Adli Bilişim ve Linux Log ile Dosya Analizi: Güvenlik İzlerini Keşfetmek
Adli bilişim, dijital suçların soruşturulmasında kullanılan, veri ve dosya analizine dayalı bir disiplindir. Linux işletim sistemi, güvenlik ve performansı ile tercih edilen bir platformdur. Bu makalede, Linux üzerinde log analizi ve dosya incelemesi yaparak, adli bilişim açısından önemli bilgiler edinmeyi öğreneceksiniz. Linux log dosyalarının nasıl analiz edileceği, hangi araçların kullanılacağı ve dosya inceleme süreçleri detaylı bir şekilde ele alınacaktır.
1. Linux Log Dosyalarının Önemi ve Adli Bilişimdeki Rolü
Linux sistemlerinde, kullanıcı etkinlikleri, sistem hataları ve güvenlik olayları çoğunlukla log dosyalarına kaydedilir. Bu dosyalar, adli bilişim uzmanlarının suç faaliyetlerini tespit etmesine yardımcı olur. Sistem logları, yalnızca güvenlik olaylarını kaydetmekle kalmaz, aynı zamanda sistemdeki diğer anormal faaliyetleri de izler.
1.1 Linux Log Dosyalarının Yaygın Türleri
/var/log/auth.log: Kullanıcı giriş-çıkış aktivitelerini içerir. Bu log dosyası, özellikle şüpheli giriş girişimlerinin tespit edilmesinde kritik rol oynar.
/var/log/syslog: Sistemin genel durumu ve hata mesajları burada yer alır. Sistem hatalarını ve genel problemleri gözden geçirmek için kullanılır.
/var/log/kern.log: Kernel tabanlı hatalar ve önemli sistem olayları buraya kaydedilir.
/var/log/secure: Sistemdeki güvenlik olayları ve oturum açma/kapama faaliyetleri bu log dosyasında tutulur.
2. Linux Log Dosyalarını Analiz Etme Yöntemleri
Log dosyalarının analizi, suçlu aktivitelerin tespiti ve sistemin güvenliğinin sağlanması açısından son derece önemlidir. Log dosyalarını manuel olarak veya çeşitli araçlar kullanarak analiz edebilirsiniz.
2.1. Temel Log Analiz Komutları
Linux'ta log dosyalarını incelemek için aşağıdaki komutlar kullanılabilir:
cat /var/log/auth.log: Bu komut, authentication (kimlik doğrulama) işlemleri ile ilgili logları gösterir.
tail -f /var/log/syslog: Syslog dosyasını gerçek zamanlı olarak izler.
grep "sshd" /var/log/auth.log: SSH bağlantılarıyla ilgili girişleri sorgular.
2.2. Otomatik Log Analiz Araçları
Log dosyalarını manuel olarak incelemek zaman alıcı olabilir, bu yüzden çeşitli otomatik analiz araçları kullanılabilir:
Logwatch: Sistemdeki log dosyalarını özetler ve analiz sonuçlarını e-posta yoluyla bildirir.
GoAccess: Web sunucusu loglarını gerçek zamanlı olarak analiz etmek için kullanılan bir araçtır.
OSSEC: Hem sunucu hem de uygulama loglarını analiz eden bir güvenlik izleme aracıdır.
3. Linux Dosya Sistemi ve Dosya Analizi
Adli bilişimde, sistemdeki dosyaların analizi de kritik bir öneme sahiptir. Linux, dosya izinleri ve kullanıcı rolleri açısından güçlü bir yapı sunar. Dosya analizi, şüpheli dosyaların tespiti ve sistemin güvenliği açısından büyük bir role sahiptir.
3.1. Dosya İzinlerini İnceleme
Linux'ta dosya izinleri, kullanıcının hangi dosya üzerinde ne tür işlemler yapabileceğini belirler. Bu izinleri kontrol etmek için ls -l komutu kullanılır. Örnek bir çıktı aşağıdaki gibidir:
1-rwxr-xr-x 1 root root 1024 Jan 10 12:00 example_fileBu çıktı, dosyanın sahip olduğu izinleri gösterir. Bu durumda dosya, sahibi root olan bir dosyadır ve diğer kullanıcıların yalnızca okuma ve çalıştırma izni vardır.
3.2. Dosya İlişkilerini İnceleme
Linux, dosya sistemindeki dosyaların ve dizinlerin hiyerarşik bir yapıda düzenlenmesini sağlar. Bir dosyanın sistemde nasıl ilişkilendirildiğini görmek için find komutunu kullanabilirsiniz. Örneğin:
1find / -name "example_file"Bu komut, example_file adını taşıyan dosyayı tüm dosya sisteminde arar.
3.3. Dosya Hash Değerleri ile İntihal ve Manipülasyon Kontrolü
Bir dosyanın içeriği zaman içinde değişmişse, bu dosyanın hash değeri de değişecektir. Linux'ta dosyanın hash değerini öğrenmek için sha256sum komutunu kullanabilirsiniz:
1sha256sum /path/to/fileBu komut, belirtilen dosyanın SHA-256 hash değerini hesaplar. Dosyanın orijinalliği hakkında bilgi edinmek için bu hash değeriyle karşılaştırabilirsiniz.
4. Örnek Adli Bilişim Senaryosu
Bir şirketin Linux sunucusunda şüpheli bir etkinlik rapor edilmiştir. Adli bilişim uzmanı olarak, sunucuda bir güvenlik açığından yararlanarak yetkisiz bir erişim sağlandığını düşünüyorsunuz.
1 - Log Analizi: Öncelikle /var/log/auth.log dosyasını inceleyerek, şüpheli giriş girişimlerini araştırırsınız. grep "Failed password" komutunu kullanarak başarısız giriş denemelerini bulabilirsiniz.
1grep "Failed password" /var/log/auth.log2 - Dosya Sistemi İncelemesi: Sistemdeki tüm dosya izinlerini ve kullanıcı etkileşimlerini gözden geçirirsiniz. Anormal dosya izinleri olan dosyaları tespit edersiniz.
1ls -l /home3 - Hash Kontrolü: Tespit edilen şüpheli dosyaların hash değerlerini kontrol eder ve bu dosyanın sistemdeki diğer kopyalarıyla karşılaştırma yaparsınız.
1sha256sum /home/user/suspicious_fileİpuçları ve Önlemler
Log Yedeklemesi: Log dosyalarını düzenli olarak yedekleyin, çünkü saldırganlar genellikle log dosyalarını silerek izlerini kaybettirmeye çalışır.
Log Yönetimi: Log dosyalarını analiz etmek için bir log yönetim sistemi (SIEM) kullanın. Bu tür sistemler, büyük veri akışlarını etkin bir şekilde analiz etmenize yardımcı olabilir.
Güvenlik Yama Yönetimi: Linux sisteminizin güvenlik yamalarını düzenli olarak güncelleyin ve sistemdeki zayıf noktaları minimize edin.
Adli bilişimde, Linux sistemlerinin log dosyalarının ve dosya sisteminin analizi, güvenlik ihlallerini tespit etme açısından çok önemlidir. Sistem loglarını izlemek, şüpheli dosya izinlerini ve değişiklikleri kontrol etmek, dijital suçların çözülmesinde etkili yöntemlerdir. Bu makalede, Linux log dosyalarının analizi, dosya izinlerinin kontrolü ve dosya hash'lerinin karşılaştırılması gibi temel adımları ele aldık. Bu süreçleri düzenli olarak uygulayarak, Linux sisteminizi güvence altına alabilir ve olası saldırıları önceden tespit edebilirsiniz.
0 yorum