Linux sistemler için derinlemesine adli analiz yapılarak kalıcılık yapılarının tespit edilmesi

Günümüzde, siber saldırganlar ele geçirdiği makineler üzerinde hızlı bir şekilde yayılım gösterebilmektedir. Olay müdahale ekipleri, saldırının izlerini tespit etmek ve olası tehditleri takip etmek için güvenlik ihlaline maruz kalan makineler üzerinde uçtan uca inceleme yapmaktadır. Olay müdahale ve adli analiz süreçlerinde dijital delillerin incelenmesi ve kovuşturma evresine geçiş yapılması büyük önem taşımaktadır. Windows işletim sistemlerinde Adli bilişim uzmanları, saldırının takibi sürdürebilmesi için bazı makinelerden toplu ve hızlı şekilde veriler toplayıp analiz edebilme imkanına sahiptir. Linux açık kaynak kodlu işletim sistemlerinde görünürlük daha kısıtlı olduğundan ilgili kaynakların değerlendirilmesi ve anlamlandırılması gerekmektedir. Adli analiz süreçlerinin yaygınlık göstermesi ve gelişen teknoloji yapısı ile Linux açık kaynak kodlu işletim sistemlerinde de saldırının kaynağının ve yayılımın tespiti için dosya sistem kayıtları veya log dosyalarının toplanması analiz süreçleri yönetilmiştir. Windows işletim sisteminde adli delil nitelikleri daha fazla ve açık iken, Linux sistemlerde saldırı aktiviteleri görünürlüğü bakımından daha azdır. Saldırganlar belirli yöntemler ile sistemleri ihlal etmekle kalmayıp, sistem üzerinde kalıcılık bırakarak zamanlanmış görevler ekleyerek sistemden bilgi toplama amaçlı mekanizmalar üretmeye çalışmaktadır. Adli bilişim uzmanının, vakanın hızlı analizi için canlı bir sistemden veya adli bir imaj içerisinden önemli işletim sistemi dosyalarını toplaması yeterli olacaktır. Bu tez çalışmasında, Linux işletim sistemlerinde adli analiz süreçlerinin yönetilmesi, saldırganların Linux sistemlerde kalıcı olmak için hangi yapıları kullandıkları test edilerek ve tespitler analiz süreçleri ışığında aktarılacaktır. Linux sistemlerde kalıcı olan saldırı aktivitelerini tespit edememek kurumsal ağ için büyük tehdit oluşturmaktadır. Bu tez çalışması kapsamında, Linux işletim sistemi üzerinde yer alan cihazların aktif dizinlerinden toplanan veriler ile saldırı aktivitelerinin tespiti ve kovuşturma evresine kadar bulunan sürecin yönetilmesi ve zamanlanmış saldırı görevleri yaparak sistem üzerinde uzun yıllar kalıcı olmayı amaçlayan birtakım işlemler aktarılmıştır.