Sunucu dünyasının büyük bölümü Linux üzerinde döndüğü için, ciddi bir ihlalin merkezinde çoğu zaman bir Linux makinesi bulunur. Bu sistemleri incelemek, Windows adli analizinden hem araç hem yaklaşım olarak ayrılır; kayıtlar dağınık metin loglarında, ayarlar gizli dosyalarda, kullanıcı izleri ise kabuk geçmişlerinde saklıdır. Linux adli analizi, bu parçalı izleri bir araya getirerek ‘sistemde ne oldu, ne zaman ve kimin eliyle’ sorularını yanıtlar.

İzler nerede birikir

Bir Linux sisteminde anlatı, birden fazla kaynağın örtüşmesiyle ortaya çıkar. /var/log altındaki kimlik doğrulama ve sistem günlükleri, kullanıcıların ana dizinlerindeki .bash_history dosyaları, systemd birim tanımları, cron kayıtları ve dosya zaman damgaları birlikte okunur. Tek bir log satırı çok az şey söyler; asıl değer, farklı kaynaklardaki olayların aynı saniyeye denk düşmesinden doğar.

Linux adli analizi, dağınık log ve dosya sistemi izlerini tutarlı tek bir olay anlatısına dönüştürme sanatıdır.

Olayları zamanda dizmek

Toplanan izler yalnızca listelendiğinde bir yığın veriden ibarettir; anlam, onları kronolojik sıraya koyduğunuzda belirir. Zaman çizelgesi analizi, dosya sistemi zaman damgalarını, log girişlerini ve süreç etkinliğini tek bir eksene yerleştirerek saldırganın ilk erişimden yetki yükseltmeye ve veri sızdırmaya uzanan adımlarını görünür kılar. Bu süreç, ihlalin kök nedenini ve kapsamını belirleyen DFIR adli analiz ve olay müdahalesi çalışmasının bel kemiğidir.

Saldırgan izini silerken

Deneyimli saldırganlar arkalarında temiz bir sahne bırakmaya çalışır; log dosyalarını kırpar, zaman damgalarını değiştirir ya da geçmiş dosyalarını sıfırlar. Anti-forensic teknikler bu yüzden analistin sürekli hesaba katması gereken bir gerçekliktir. Silinen bir logun boşluğu, tutarsız zaman damgaları veya beklenen bir kaydın hiç olmayışı, kendi başına birer kanıt haline gelir. İz silme çabası çoğu zaman kendi izini bırakır.

• Kimlik doğrulama ve oturum logları (auth.log, wtmp)
• Kabuk geçmişi ve cron/at zamanlanmış görevleri
• systemd birimleri ve başlangıç betikleri
• Dosya sistemi zaman damgaları ve silinmiş inode kalıntıları

Diskte biten yerde bellek başlar

Diskteki izler çok şey anlatsa da, çalışan zararlının bir kısmı hiçbir zaman diske yazılmaz. Şifresi çözülmüş yükler, ağ bağlantıları ve enjekte edilmiş süreçler yalnızca RAM’de yaşayabilir. Bu yüzden kapsamlı bir inceleme, disk analizini bellek adli analizi ile tamamlar ve sistem henüz kapatılmadan uçucu veriyi yakalamaya öncelik verir. İki katmanın bulguları birbirini doğruladığında anlatı sağlamlaşır.

Bir Linux sunucunuzda şüpheli etkinlikten kuşkulanıyor ya da bir ihlal sonrası kapsamı netleştirmek istiyorsanız, kanıt zincirini bozmadan yürütülen adli analiz hizmetimizle olayın tam anlatısını çıkarabiliriz.