Adli Bilişim Log Analizi: Firewall ve IDS İnceleme Rehberi

Günümüz siber dünyasında güvenlik olaylarının tespiti ve incelenmesi, organizasyonlar için kritik bir öneme sahiptir. Bu noktada Firewall ve IDS (Intrusion Detection System) log analizi, saldırıların kaynağını bulmak ve sistemleri korumak için temel bir yöntemdir. Bu makalede adım adım log analizi süreçlerini, önemli ipuçlarını ve örnekleri bulabilirsiniz.

Firewall ve IDS Log Analizine Giriş

Firewall ve IDS sistemleri, ağ trafiğini izler ve şüpheli aktiviteleri kaydeder. Bu loglar, siber saldırıların veya iç tehditlerin tespitinde kritik veri sağlar.

Firewall Logları

Firewall logları genellikle IP adresi, port, protokol ve zaman damgası içerir. Bu bilgiler, yetkisiz erişim girişimlerini ve anormal trafik desenlerini ortaya çıkarır.

IDS Logları

IDS logları, sistemdeki imza tabanlı veya anomali tabanlı saldırı tespitlerini raporlar. Örneğin:

- SQL Injection

- Port taramaları

- Brute force girişimleri

Firewall Log Analizi Örnekleri

Bir firewall log kaydı genellikle şöyle görünür:

1Jan 19 12:45:22 firewall1 kernel: IN=eth0 OUT= MAC=aa:bb:cc:dd SRC=192.168.1.105 DST=10.0.0.5 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=54321 DF PROTO=TCP SPT=445 DPT=3389 WINDOW=14600 RES=0x00 SYN URGP=0

Bu logda dikkat edilmesi gerekenler:

İpucu:

Port 3389 (RDP) gibi kritik portlara gelen alışılmadık bağlantılar, brute force veya yetkisiz erişim girişimlerini gösterebilir.

IDS Log Analizi Örnekleri

IDS logları, saldırı türünü ve ciddiyetini gösterebilir:

1[1:1000001] SQL Injection Attempt [Priority: 1] {TCP} 192.168.1.105:12345 -> 10.0.0.5:80

1:1000001 → IDS imza numarası

Priority: 1 → Kritik öncelik

SRC → DST → Saldırının kaynağı ve hedefi

Port → Saldırının hedef portu

İpucu:

Aynı kaynaktan gelen tekrar eden girişimler, bir saldırı kampanyasının göstergesidir.

Log Analizinde Kullanılacak Araçlar

Splunk veya ELK Stack → Logları merkezi olarak toplayıp görselleştirmek için

Wireshark → Ağ trafiğini detaylı incelemek için

Snort veya Suricata → IDS loglarını analiz etmek için

Örnek Senaryo: Brute Force Tespiti

1 - Firewall logunda kısa süre içinde aynı hedefe birçok bağlantı isteği görüyoruz.

2 - IDS logları aynı IP’den gelen başarısız giriş denemelerini bildiriyor.

3 - Kaynak IP kara listeye alınabilir veya erişim sınırlandırılabilir.

1Fail2Ban ile örnek otomatik engelleme
2
3sudo fail2ban-client set sshd banip 192.168.1.105

Firewall logları, trafiğin kaynağını ve hedefini gösterir.

IDS logları, saldırı türünü ve önceliğini bildirir.

Log analizi, saldırıları anlamak ve önlemek için kritik bir adımdır.

Araçlar ve otomatik sistemler ile analiz sürecini hızlandırabilirsiniz.

#AdliBilişim  #kaynak