Linux auditd kuralları, çekirdeğin denetim alt sistemine hangi olayları izleyip kayda geçireceğini söyleyen yapılandırma satırlarıdır. auditd yalnızca kendisine tarif edilen olayları yakalar; bu tarifi de kurallar verir. Bir kural, izlenecek bir dosya yolunu, bir sistem çağrısını veya belirli bir kullanıcı kimliğinin eylemlerini hedefleyerek çekirdeğin o olay gerçekleştiğinde bir denetim kaydı üretmesini sağlar.

auditd kuralı, çekirdeğe ‘şu olay olduğunda bana haber ver’ diyen ve denetim kaydının kapsamını çizen tek satırlık bir talimattır.

Kural Türleri

Kurallar üç ana biçimde tanımlanır. Kontrol kuralları arabellek boyutu ve hata davranışı gibi denetim sisteminin genel ayarlarını belirler. Dosya sistemi kuralları, belirli bir dosya veya dizine erişimi (okuma, yazma, öznitelik değişikliği, çalıştırma) izler; bunlara watch kuralları da denir. Sistem çağrısı kuralları ise execve, chmod ya da connect gibi çağrıları yakalayarak bir sürecin çekirdekten ne istediğini kaydeder.

Örneğin /etc/passwd dosyasına yapılan her yazma girişimini izleyen bir watch kuralı, ayrıcalık yükseltme denemelerini görünür kılar. execve çağrısını belirli bir anahtar etiketiyle izleyen bir syscall kuralı ise sistemde hangi komutların çalıştırıldığını kayda geçirir. Her kurala verilen anahtar (key) alanı, sonradan denetim kayıtlarını amaçlarına göre süzmeyi kolaylaştırır.

Saldırı Tespitiyle Bağı

auditd kurallarının değeri, ürettikleri kayıtların üst düzey bir savunma diliyle eşleşmesinden gelir. Birçok kurum kural setini MITRE ATT&CK çerçevesi tekniklerine göre düzenler; örneğin planlanmış görev oluşturma veya kabuk geçmişi silme gibi eylemler ilgili tekniğe atıfla etiketlenir. Böylece ham denetim kayıtları, saldırganın gerçek davranışlarıyla anlamlı biçimde ilişkilenir.

Bu kuralların kapsamı Linux denetim günlükleri altyapısının ne kadar işe yarar olacağını doğrudan belirler. Kural yoksa kayıt da yoktur; kural fazla genişse denetim arabelleği taşar ve sistem performansı düşer. Doğru dengelenmiş bir set, güvenlik açısından kritik olayları yakalarken günlük gürültüyü de kontrol altında tutar.

Merkezi İzleme ve Uç Nokta Görünürlüğü

Tek bir sunucudaki denetim kaydı ancak o sunucuya bakıldığında işe yarar; asıl güç kayıtların merkezileşmesiyle ortaya çıkar. Kurallarla üretilen olaylar bir SIEM platformuna aktarıldığında, farklı sunuculardaki benzer eylemler korelasyonla birleştirilir ve tek bir saldırının filo genelindeki izi görünür hale gelir. Bu, auditd’yi izole bir günlük aracından kurumsal bir tespit kaynağına dönüştürür.

auditd, sunucu düzeyinde uç nokta güvenliği görünürlüğünün temel taşlarından biridir; çünkü çekirdek seviyesinden, kolayca atlanamayan bir kayıt üretir. Ancak bu kayıtların gerçek değeri iyi tasarlanmış bir kural setiyle ortaya çıkar. Privia Security’nin SOC olgunlaştırma çalışmaları, auditd kural setinin tehdit modeline göre kurgulanmasını ve merkezi izlemeye doğru şekilde beslenmesini kapsar.