Adli Bilişimde IDS/Firewall Log Analizi: Güvenlik İhlallerini Tespit Etme ve Müdahale Yöntemleri

Adli bilişim, dijital suçlarla mücadele eden ve dijital delillerin toplandığı bir disiplindir. İnternet güvenliği alanında, IDS (Intrusion Detection System) ve firewall (güvenlik duvarı) logları, olası siber saldırıların izlerini takip etmek ve analiz etmek için kritik öneme sahiptir. Bu loglar, güvenlik ihlallerini tespit etmek, saldırganların izlerini sürmek ve suçluları tespit etmek adına önemli bilgiler sağlar. Bu makalede, IDS ve firewall loglarının adli bilişimde nasıl analiz edileceğini, örneklerle ve ipuçlarıyla inceleyeceğiz.

1. IDS ve Firewall Loglarının Adli Bilişimdeki Rolü

IDS ve firewall logları, ağ trafiğini izlerken ortaya çıkan önemli olayları kaydeder. Bu loglar, güvenlik ihlallerini tespit etmek ve analiz etmek için birinci dereceden kaynaklardır. IDS, ağda kötü niyetli aktiviteleri tespit etmek için kullanılan bir sistemken, firewall logları, gelen ve giden ağ trafiğini denetleyerek istenmeyen bağlantıları engeller. Bu logları analiz etmek, ağdaki zayıf noktaları bulmak ve olası saldırıları önceden fark etmek açısından hayati önem taşır.

2. IDS ve Firewall Loglarının Yapısı

IDS ve firewall logları, genellikle aşağıdaki bilgileri içerir:

Zaman damgası: Olayın gerçekleştiği zaman

IP adresleri: Kaynağını ve hedefini gösterir

Protokoller: Hangi ağ protokolünün kullanıldığı

Port numaraları: İletişim için hangi portların kullanıldığını belirtir

Olay türü: İstismar, saldırı veya normal trafik

Paketteki veri: Gönderilen veya alınan veri miktarı

Bir IDS log kaydının örneği şu şekilde olabilir:

1{
2"timestamp": "2023-01-16T14:32:01Z",
3"source_ip": "192.168.1.101",
4"destination_ip": "10.0.0.5",
5"protocol": "TCP",
6"source_port": "12345",
7"destination_port": "80",
8"event": "Potential SQL Injection Attempt"
9}

Bir firewall log kaydının örneği:

1{
2"timestamp": "2023-01-16T14:35:50Z",
3"source_ip": "203.0.113.12",
4"destination_ip": "192.168.1.10",
5"protocol": "ICMP",
6"source_port": "N/A",
7"destination_port": "N/A",
8"event": "Blocked inbound ICMP traffic"
9}

3. IDS ve Firewall Log Analizinde Kullanılan Yöntemler

a. Anomali Tespiti:

Loglar üzerinden yapılan analizde anomali tespiti en yaygın yöntemlerden biridir. Anomaliler, normal trafikten sapmalar gösteren ve genellikle siber saldırıların belirtisi olan durumları ifade eder. Örneğin, bir saldırganın ağda aniden yoğun trafik oluşturması bir anomali olabilir.

b. Desen Tanıma:

Saldırıların çoğu belirli bir desene göre gerçekleşir. IDS ve firewall logları üzerinden yapılan desen tanıma, bilinen saldırı türlerini tanımada etkilidir. Örneğin, DDoS (Dağıtık Hizmet Reddi) saldırıları, loglar üzerinde belirgin bir trafik artışıyla kendini gösterir.

c. Korelasyon Analizi:

Korelasyon analizi, farklı log kaynaklarındaki verilerin birleştirilerek olayların ilişkili olduğu durumları belirlemeye yarar. Bu analiz, birden fazla saldırı türünü daha hızlı tespit etmeye olanak tanır.

4. IDS ve Firewall Loglarında Sık Karşılaşılan Saldırı İpuçları

a. SQL Injection:

SQL injection saldırıları genellikle web uygulamalarına yönelik olur. IDS loglarında, belirli karakterlerin (örneğin ', ", --) çok sık yer aldığı tespit edilebilir. Firewall loglarında ise belirli portların (80, 443) anormal kullanımına dair izler görülebilir.

Örnek bir IDS logu, SQL injection girişimini şu şekilde gösterebilir:

1{
2"timestamp": "2023-01-16T14:32:01Z",
3"source_ip": "192.168.1.101",
4"destination_ip": "10.0.0.5",
5"protocol": "TCP",
6"source_port": "12345",
7"destination_port": "80",
8"event": "Potential SQL Injection Attempt"
9}

b. DDoS (Dağıtık Hizmet Reddi) Saldırıları:

DDoS saldırıları, genellikle çok sayıda istek göndererek hedef sunucuyu yavaşlatır. Firewall loglarında, belirli bir IP'den gelen aşırı sayıda istek tespit edilebilir. IDS loglarında ise, ağdaki çok sayıda eş zamanlı bağlantı isteği dikkat çekici olabilir.

c. Phishing ve Spam:

Phishing saldırıları, genellikle kimlik avı e-postaları ve sahte web sayfaları aracılığıyla yapılır. Bu saldırılar IDS loglarında, şüpheli URL bağlantılarının görünmesiyle tespit edilebilir. Ayrıca, belirli bir web sitesine yapılan birçok isteğin tekrarı da bir phishing saldırısının belirtisi olabilir.

5. İpuçları ve Pratik Yöntemler

Logları düzenli olarak inceleyin: IDS ve firewall logları, ağdaki anormal davranışları erken tespit etmek için periyodik olarak analiz edilmelidir.

Filtreleme kullanın: Büyük miktarda log verisini analiz ederken, yalnızca ilgili olanları filtrelemek çok zaman kazandırır.

Farklı araçlar kullanın: Wireshark, Splunk, ELK Stack gibi araçlar, log analizi ve korelasyon analizi konusunda oldukça faydalıdır.

Zaman damgası dikkatlice incelenmeli: Saldırılar genellikle belirli bir zaman diliminde yoğunlaşır. Loglardaki zaman damgalarını inceleyerek, olayların zamanını doğru şekilde belirlemek önemlidir.

Adli bilişimde IDS ve firewall loglarının analizi, siber saldırıların tespit edilmesinde ve izlerinin sürülmesinde kritik bir rol oynar. Bu loglar, anomali tespiti, desen tanıma ve korelasyon analizi gibi yöntemlerle etkili bir şekilde analiz edilebilir. İyi yapılandırılmış ve düzenli olarak incelenen IDS ve firewall logları, güvenlik uzmanlarının siber tehditlere karşı daha hızlı ve doğru müdahalede bulunmalarını sağlar.

#AdliBilişim #kaynak