Ders 2.2: AIDE ile dosya bütünlüğü izleme
root olan saldırganlar değişiklik bırakır: yeni bir hesap, bir kabuğun SUID kopyası, bir cron girdisi, bırakılmış bir ikili dosya. Dosya bütünlüğü izleme (FIM) hassas dosyaların neye benzediğini (izinler, sahip, boyut, özetler) kaydeder ve sonradan her farkı bildirir. AIDE Linux'ta standart açık kaynak araçtır ve FIM PCI DSS gibi çerçevelerce zorunlu tutulur. Laboratuvarda AIDE'nin Northwind'in web sunucusundaki gece denetimi geçen haftaki temel çizgiden farklar bildiriyor: raporu okuyor, bir arka kapı hesabını, bir kalıcılık işini ve bir SUID değişikliğini doğruluyor ve kanıtı yok etmeden bulguları kaydediyorsun.
17 dk
Bu derste öğreneceklerin
- Dosya bütünlüğü izlemeyi açıklamak
- Bir AIDE yapılandırmasını okumak
- aide --check çıktısını ve çıkış kodlarını yorumlamak
- Bulguları sıradan araçlarla doğrulamak
- Bir olay sırasında temel çizgiyi ele almak
Temel terimler
- Dosya bütünlüğü izleme (FIM)
- Dosya özniteliklerini ve özetlerini kaydedip sonra değişiklikleri bildirmek.
- AIDE
- Advanced Intrusion Detection Environment: Linux ve Unix için açık kaynak FIM.
- Temel çizgi
- Denetimin karşılaştırdığı kaydedilmiş, bilinen iyi durum.
- UID 0
- Hesabın adı ne olursa olsun root olan kullanıcı kimliği.
- Kalıcılık
- Saldırganın erişimini yeniden başlatmalar ve parola değişiklikleri boyunca koruyan mekanizmalar.
← Windows güvenlik modeli · Tüm dersler · OWASP Top 10 ve saldırıların günlükte nasıl göründüğü →