Ders 5.8: auditd ile denetim

Linux denetim sistemi güvenlikle ilgili olayları çekirdek düzeyinde kaydeder: hangi dosyayı kim değiştirdi, kim neyi çalıştırdı, hangi giriş kimliğiyle, sudo üzerinden bile. İzleme kurallarının nasıl çalıştığı, denetim UID'inin (auid) neden önemli olduğu, olayların ausearch ile nasıl aranacağı ve kuralların nasıl kalıcı yapılacağı. Laboratuvarda sudoers ve hesap dosyaları üzerine izlemeler ekliyor ve hemen dün gece 03:41'den bir kayıt buluyorsun: unutulmuş test hesabı, sudo üzerinden kendisine parolasız root veren bir sudoers dosyası yazmış ve bir kullanıcı oluşturmuş. Kanıtı okuyor, arka kapıyı kaldırıyor ve hesabı kilitliyorsun.

17 dk

Bu derste öğreneceklerin

auditd'nin neyi kaydettiğini açıklamak
auditctl ile dosya izleme kuralları eklemek
Denetim UID'ini (auid) açıklamak
Olayları ausearch ile aramak
Kuralları kalıcı yapmak

Temel terimler

auditd: Linux denetim arka plan programı: çekirdek düzeyindeki güvenlik olaylarını /var/log/audit/audit.log dosyasına yazar.
İzleme kuralı: Bir dosyaya ya da klasöre erişimi kaydeden denetim kuralı.
auid (denetim UID'i): Başlangıçta giriş yapan kullanıcının kimliği; sudo ve su boyunca değişmeden korunur.
ausearch ve aureport: Denetim günlüklerini (anahtara, kullanıcıya, zamana, dosyaya göre) aramak ve özetlemek için araçlar.

← DNS: internetin telefon rehberi · Tüm dersler · Sunucu taraflı istek sahteciliği (SSRF) →