Linux i\u015fletim sistemleri, a\u00e7\u0131k kaynak kodlu olmalar\u0131 ve g\u00fc\u00e7l\u00fc g\u00fcvenlik mimarileri sayesinde sunucu ortamlar\u0131nda yayg\u0131n olarak tercih edilmektedir. Ancak, her yaz\u0131l\u0131m sistemi gibi Linux \u00e7ekirde\u011fi de zaman zaman ciddi g\u00fcvenlik a\u00e7\u0131klar\u0131na ev sahipli\u011fi yapabilmektedir. Bu a\u00e7\u0131klar\u0131n en bilinen ve tehlikeli \u00f6rneklerinden biri, 2016 y\u0131l\u0131nda ke\u015ffedilen ve “Dirty COW” olarak adland\u0131r\u0131lan CVE-2016-5195 g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. Bu makale, Dirty COW g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n ne oldu\u011funu, nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131, sunucular \u00fczerindeki potansiyel etkilerini ve en \u00f6nemlisi, bu t\u00fcr bir tehdide kar\u015f\u0131 sunucular\u0131n\u0131z\u0131 nas\u0131l koruyabilece\u011finizi teknik detaylar\u0131yla ele alacakt\u0131r. Amac\u0131m\u0131z, sistem y\u00f6neticilerine ve g\u00fcvenlik uzmanlar\u0131na, bu kritik g\u00fcvenlik a\u00e7\u0131\u011f\u0131 hakk\u0131nda kapsaml\u0131 bilgi sa\u011flamak ve pratik koruma stratejileri sunmakt\u0131r.<\/p>\n
Dirty COW (Copy-On-Write), Linux \u00e7ekirde\u011finde bulunan ve yerel ayr\u0131cal\u0131k y\u00fckseltme (local privilege escalation) sald\u0131r\u0131lar\u0131na olanak tan\u0131yan ciddi bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. CVE-2020-14386 olarak da bilinen bu a\u00e7\u0131k, ilk olarak 2016 y\u0131l\u0131nda ke\u015ffedilmi\u015f ve h\u0131zla t\u00fcm Linux da\u011f\u0131t\u0131mlar\u0131 i\u00e7in bir tehdit haline gelmi\u015ftir. Ad\u0131n\u0131, Linux \u00e7ekirde\u011finin “copy-on-write” (yazma an\u0131nda kopyalama) mekanizmas\u0131ndaki bir yar\u0131\u015f ko\u015fulundan (race condition) almaktad\u0131r.<\/p>\n
CVE-2016-5195, Linux \u00e7ekirde\u011finin bellek y\u00f6netimi alt sisteminde bulunan bir yazma an\u0131nda kopyalama (copy-on-write) uygulamas\u0131ndaki bir yar\u0131\u015f ko\u015fulunu tan\u0131mlar. Bu yar\u0131\u015f ko\u015fulu, sald\u0131rgan\u0131n salt okunur bellek e\u015flemelerine (read-only memory mappings) yazma eri\u015fimi elde etmesine olanak tan\u0131r. Bir sald\u0131rgan, bu a\u00e7\u0131\u011f\u0131 kullanarak, normalde yaln\u0131zca root kullan\u0131c\u0131s\u0131n\u0131n de\u011fi\u015ftirebilece\u011fi sistem dosyalar\u0131n\u0131 (\u00f6rne\u011fin, Dirty COW’un tehlikesi, sald\u0131r\u0131n\u0131n yerel (local) olmas\u0131 ve genellikle basit bir kullan\u0131c\u0131 hesab\u0131 gerektirmesidir. Yani, bir sald\u0131rgan\u0131n zaten sisteme bir \u015fekilde eri\u015fim sa\u011flam\u0131\u015f olmas\u0131 (\u00f6rne\u011fin, bir web uygulamas\u0131ndaki ba\u015fka bir zafiyet arac\u0131l\u0131\u011f\u0131yla veya d\u00fc\u015f\u00fck ayr\u0131cal\u0131kl\u0131 bir kullan\u0131c\u0131 olarak) durumunda, bu a\u00e7\u0131k ona root ayr\u0131cal\u0131klar\u0131n\u0131 elde etme f\u0131rsat\u0131 sunar. Bu, sistem g\u00fcvenli\u011fi a\u00e7\u0131s\u0131ndan \u00e7ok ciddi bir durumdur, \u00e7\u00fcnk\u00fc root ayr\u0131cal\u0131klar\u0131, sald\u0131rgan\u0131n:<\/p>\n * Sistemde kal\u0131c\u0131 arka kap\u0131lar (backdoor) olu\u015fturmas\u0131na. G\u00fcvenlik a\u00e7\u0131\u011f\u0131, neredeyse t\u00fcm Linux da\u011f\u0131t\u0131mlar\u0131n\u0131 (Debian, Ubuntu, Red Hat, CentOS, Fedora, SUSE vb.) ve Android i\u015fletim sistemini etkilemi\u015ftir. Linux \u00e7ekirde\u011fi s\u00fcr\u00fcm 2.6.22’den (2007’de yay\u0131nland\u0131) 4.8.3’e kadar olan s\u00fcr\u00fcmler bu a\u00e7\u0131ktan etkilenmi\u015ftir. Bu geni\u015f kapsam, Dirty COW’u son on y\u0131l\u0131n en kritik Linux g\u00fcvenlik a\u00e7\u0131klar\u0131ndan biri haline getirmi\u015ftir.<\/p>\n Dirty COW’un nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 anlamak, bu t\u00fcr a\u00e7\u0131klar\u0131 ve genel olarak Linux \u00e7ekirde\u011fi g\u00fcvenlik mekanizmalar\u0131n\u0131 kavramak i\u00e7in \u00f6nemlidir. G\u00fcvenlik a\u00e7\u0131\u011f\u0131, Linux \u00e7ekirde\u011finin temel bellek y\u00f6netimi \u00f6zelliklerinden biri olan copy-on-write (COW) mekanizmas\u0131n\u0131 istismar eder.<\/p>\n COW, bellek verimlili\u011fini art\u0131rmak i\u00e7in kullan\u0131lan bir optimizasyon tekni\u011fidir. Bir i\u015flem ba\u015fka bir i\u015flemin belle\u011fini kopyalad\u0131\u011f\u0131nda (\u00f6rne\u011fin, Dirty COW a\u00e7\u0131\u011f\u0131, bu COW mekanizmas\u0131ndaki bir yar\u0131\u015f ko\u015fulunu istismar eder. Yar\u0131\u015f ko\u015fulu, birden fazla i\u015flem veya i\u015f par\u00e7ac\u0131\u011f\u0131 ayn\u0131 kayna\u011fa ayn\u0131 anda eri\u015fmeye \u00e7al\u0131\u015ft\u0131\u011f\u0131nda ve bu eri\u015fimlerin s\u0131ras\u0131 veya zamanlamas\u0131 beklenmedik sonu\u00e7lara yol a\u00e7t\u0131\u011f\u0131nda ortaya \u00e7\u0131kar. Dirty COW \u00f6zelinde, sald\u0131rgan, \u00e7ekirde\u011fin salt okunur bir bellek sayfas\u0131n\u0131 kopyalamaya \u00e7al\u0131\u015ft\u0131\u011f\u0131 an ile, bu kopyalanan sayfay\u0131 ger\u00e7ekte de\u011fi\u015ftirebildi\u011fi an aras\u0131ndaki k\u00fc\u00e7\u00fck bir zaman penceresini kullan\u0131r.<\/p>\n Dirty COW sald\u0131r\u0131s\u0131, genellikle \u015fu ad\u0131mlar\u0131 izler:<\/p>\n 1. Hedef Dosya Se\u00e7imi:<\/strong> Sald\u0131rgan, root ayr\u0131cal\u0131klar\u0131 gerektiren ve de\u011fi\u015ftirilmesi durumunda ayr\u0131cal\u0131k y\u00fckseltmeye yol a\u00e7acak bir dosya se\u00e7er. En yayg\u0131n hedefler, SUID bitine sahip ikili dosyalar (\u00f6rne\u011fin, Bu sald\u0131r\u0131n\u0131n en \u00f6nemli \u00f6zelli\u011fi, \u00e7ekirdek seviyesinde bir hata oldu\u011fu i\u00e7in, mevcut dosya izinlerinin ve SELinux veya AppArmor gibi ek g\u00fcvenlik mekanizmalar\u0131n\u0131n \u00e7o\u011funu atlatabilmesidir.<\/p>\n Yukar\u0131da belirtildi\u011fi gibi, Dirty COW a\u00e7\u0131\u011f\u0131 2007’den 2016’ya kadar yay\u0131mlanm\u0131\u015f Linux \u00e7ekirdeklerinin \u00e7o\u011funu etkilemi\u015ftir. Bu, milyonlarca sunucu, masa\u00fcst\u00fc bilgisayar ve Android cihaz\u0131n potansiyel olarak savunmas\u0131z oldu\u011fu anlam\u0131na geliyordu. Etkilenen sistemlerde olas\u0131 sonu\u00e7lar \u015funlard\u0131r:<\/p>\n * Tam Sistem Kontrol\u00fc:<\/strong> En do\u011frudan sonu\u00e7, yerel bir sald\u0131rgan\u0131n root ayr\u0131cal\u0131klar\u0131 elde etmesidir. Bu, sald\u0131rgan\u0131n sistem \u00fczerinde istedi\u011fi her \u015feyi yapabilece\u011fi anlam\u0131na gelir. Dirty COW, basitli\u011fi ve geni\u015f etkisi nedeniyle, ke\u015ffedildi\u011fi d\u00f6nemde siber g\u00fcvenlik d\u00fcnyas\u0131nda b\u00fcy\u00fck yank\u0131 uyand\u0131rm\u0131\u015f ve Linux ekosisteminin h\u0131zl\u0131 bir \u015fekilde yama yay\u0131nlamas\u0131na neden olmu\u015ftur.<\/p>\n Sunucular\u0131n\u0131z\u0131n Dirty COW g\u00fcvenlik a\u00e7\u0131\u011f\u0131ndan etkilenip etkilenmedi\u011fini anlamak, koruma stratejilerinin ilk ad\u0131m\u0131d\u0131r. Bu kontrol, genellikle \u00e7ekirdek s\u00fcr\u00fcm\u00fcn\u00fc kontrol etmek ve \u00f6zel tespit ara\u00e7lar\u0131n\u0131 kullanmakla yap\u0131l\u0131r.<\/p>\n Dirty COW a\u00e7\u0131\u011f\u0131, belirli Linux \u00e7ekirde\u011fi s\u00fcr\u00fcmlerinde bulunur. Bu nedenle, sunucunuzun \u00e7ekirdek s\u00fcr\u00fcm\u00fcn\u00fc bilmek, ilk ve en basit kontrol y\u00f6ntemidir.<\/p>\n Komut sat\u0131r\u0131nda a\u015fa\u011f\u0131daki komutu kullanarak \u00e7ekirdek s\u00fcr\u00fcm\u00fcn\u00fcz\u00fc \u00f6\u011frenebilirsiniz:<\/p>\n Bu komut, \u00e7ekirdek s\u00fcr\u00fcm\u00fc, derleme tarihi ve di\u011fer sistem bilgilerini i\u00e7eren bir \u00e7\u0131kt\u0131 verecektir. \u00d6rne\u011fin:<\/p>\n Bu \u00f6rnekte, \u00e7ekirdek s\u00fcr\u00fcm\u00fc * Linux \u00e7ekirde\u011fi 4.8.3 ve sonras\u0131 E\u011fer Sadece \u00e7ekirdek s\u00fcr\u00fcm\u00fcne bakmak yerine, Dirty COW’u tespit etmek i\u00e7in \u00f6zel olarak tasarlanm\u0131\u015f ara\u00e7lar\u0131 kullanmak daha g\u00fcvenilir bir y\u00f6ntemdir. Bu ara\u00e7lar, genellikle a\u00e7\u0131\u011f\u0131n varl\u0131\u011f\u0131n\u0131 test etmek i\u00e7in bir exploit’in g\u00fcvenli bir versiyonunu \u00e7al\u0131\u015ft\u0131rmay\u0131 dener.<\/p>\n Bir\u00e7ok a\u00e7\u0131k kaynakl\u0131 Dirty COW tespit arac\u0131 mevcuttur. \u00d6rne\u011fin, GitHub \u00fczerinde bulunan 1. Arac\u0131 \u0130ndirin:<\/strong><\/p>\n (Not: Bu, web sitesinin deposudur, ger\u00e7ek bir checker olmayabilir. Do\u011fru checker’\u0131 bulmak i\u00e7in GitHub’da “dirty cow checker” aratman\u0131z gerekebilir. \u00d6rne\u011fin, 2. Arac\u0131 Derleyin (Gerekirse):<\/strong> Baz\u0131 ara\u00e7lar C koduyla yaz\u0131lm\u0131\u015f olabilir ve derlenmesi gerekebilir:<\/p>\n 3. Arac\u0131 \u00c7al\u0131\u015ft\u0131r\u0131n:<\/strong><\/p>\n Ara\u00e7, sisteminizin Dirty COW’a kar\u015f\u0131 savunmas\u0131z olup olmad\u0131\u011f\u0131n\u0131 size bildirecektir. Bu t\u00fcr ara\u00e7lar genellikle, Bir Dirty COW sald\u0131r\u0131s\u0131 ba\u015far\u0131l\u0131 olursa, sald\u0131rgan genellikle ayr\u0131cal\u0131klar\u0131n\u0131 y\u00fckseltmek i\u00e7in kritik sistem dosyalar\u0131n\u0131 de\u011fi\u015ftirmeye \u00e7al\u0131\u015f\u0131r. Bu t\u00fcr de\u011fi\u015fiklikler veya yetkisiz eri\u015fim giri\u015fimleri sistem g\u00fcnl\u00fcklerinde iz b\u0131rakabilir. D\u00fczenli g\u00fcnl\u00fck analizi, bir sald\u0131r\u0131n\u0131n tespit edilmesine yard\u0131mc\u0131 olabilir.<\/p>\n Dikkat edilmesi gereken g\u00fcnl\u00fck dosyalar\u0131 ve olaylar \u015funlard\u0131r:<\/p>\n * Bu kural, G\u00fcnl\u00fckleri merkezi bir SIEM (Security Information and Event Management) \u00e7\u00f6z\u00fcm\u00fcne g\u00f6ndermek ve anormallikleri otomatik olarak tespit etmek, b\u00fcy\u00fck ve karma\u015f\u0131k ortamlarda kritik \u00f6nem ta\u015f\u0131r.<\/p>\n Dirty COW gibi kritik g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 korunman\u0131n en etkili yolu, \u00e7ok katmanl\u0131 bir g\u00fcvenlik yakla\u015f\u0131m\u0131 benimsemektir. Bu, hem an\u0131nda yama uygulamalar\u0131n\u0131 hem de uzun vadeli proaktif g\u00fcvenlik \u00f6nlemlerini i\u00e7erir.<\/p>\n Dirty COW gibi \u00e7ekirdek seviyesindeki g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 korunman\u0131n en do\u011frudan ve en etkili yolu, etkilenen sistemleri en k\u0131sa s\u00fcrede yamalamakt\u0131r. Linux da\u011f\u0131t\u0131mlar\u0131, g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n ke\u015ffedilmesinden k\u0131sa bir s\u00fcre sonra d\u00fczeltmeleri i\u00e7eren g\u00fcncellenmi\u015f \u00e7ekirdek paketlerini yay\u0131nlam\u0131\u015ft\u0131r.<\/p>\n Yama uygulamak i\u00e7in:<\/p>\n 1. Paket Listelerini G\u00fcncelleyin:<\/strong> * Red Hat\/CentOS\/Fedora tabanl\u0131 sistemler i\u00e7in:<\/strong><\/p>\n 2. Sistem G\u00fcncellemelerini Uygulay\u0131n (\u00c7ekirdek dahil):<\/strong> * Red Hat\/CentOS\/Fedora tabanl\u0131 sistemler i\u00e7in:<\/strong><\/p>\n Bu komutlar, mevcut \u00e7ekirdek s\u00fcr\u00fcm\u00fcn\u00fcz\u00fc g\u00fcvenlik d\u00fczeltmelerini i\u00e7eren daha yeni bir s\u00fcr\u00fcme g\u00fcncelleyecektir.<\/p>\n 3. Sistemi Yeniden Ba\u015flat\u0131n:<\/strong> \u00c7ekirdek g\u00fcncellemeleri, yeni \u00e7ekirde\u011fin y\u00fcklenmesi i\u00e7in sistemin yeniden ba\u015flat\u0131lmas\u0131n\u0131 gerektirir. Bu ad\u0131m, yeni \u00e7ekirde\u011fin etkinle\u015ftirilmesi i\u00e7in zorunludur.<\/p>\n 4. G\u00fcncellenmi\u015f \u00c7ekirdek S\u00fcr\u00fcm\u00fcn\u00fc Do\u011frulay\u0131n:<\/strong> Yeniden ba\u015flatman\u0131n ard\u0131ndan, Yama uygulamas\u0131, Dirty COW’a kar\u015f\u0131 en kritik ad\u0131md\u0131r. Otomatik g\u00fcncelleme mekanizmalar\u0131n\u0131 yap\u0131land\u0131rmak veya d\u00fczenli olarak manuel kontrol yapmak, sunucular\u0131n\u0131z\u0131n her zaman g\u00fcncel kalmas\u0131n\u0131 sa\u011flamak i\u00e7in \u00f6nemlidir.<\/p>\n Baz\u0131 durumlarda, bir sunucuyu hemen yamalamak m\u00fcmk\u00fcn olmayabilir (\u00f6rne\u011fin, \u00fcretim ortamlar\u0131nda planl\u0131 bak\u0131m penceresi olmadan yeniden ba\u015flatma yap\u0131lamamas\u0131). Bu gibi durumlarda, riski azaltmak i\u00e7in ge\u00e7ici \u00f6nlemler al\u0131nabilir. Ancak, bu y\u00f6ntemlerin hi\u00e7birinin tam bir koruma sa\u011flamad\u0131\u011f\u0131n\u0131 ve yama uygulamas\u0131n\u0131n yerini tutmad\u0131\u011f\u0131n\u0131 unutmamak \u00f6nemlidir.<\/p>\n * SUID Bitlerinin Y\u00f6netimi:<\/strong> Bu, * SELinux\/AppArmor Kullan\u0131m\u0131:<\/strong> * A\u011f G\u00fcvenli\u011fi ve Eri\u015fim Kontrolleri:<\/strong> * Sald\u0131r\u0131 Tespit ve \u00d6nleme Sistemleri (IDS\/IPS):<\/strong> Sadece Dirty COW de\u011fil, gelecekteki g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 da sunucular\u0131n\u0131z\u0131 korumak i\u00e7in s\u00fcrekli ve proaktif g\u00fcvenlik \u00f6nlemleri almak kritik \u00f6neme sahiptir.<\/p>\n * D\u00fczenli G\u00fcvenlik Denetimleri ve Penetrasyon Testleri:<\/strong> * En Az Ayr\u0131cal\u0131k Prensibi (Principle of Least Privilege):<\/strong> * G\u00fcvenlik Bilinci E\u011fitimi:<\/strong> * Yedekleme ve Kurtarma Stratejileri:<\/strong> * Merkezi Log Y\u00f6netimi:<\/strong> E\u011fer Dirty COW veya benzeri bir ayr\u0131cal\u0131k y\u00fckseltme sald\u0131r\u0131s\u0131n\u0131n sunucunuzda ger\u00e7ekle\u015fti\u011finden \u015f\u00fcpheleniyorsan\u0131z veya bunu do\u011frulad\u0131ysan\u0131z, h\u0131zl\u0131 ve sistematik bir olay m\u00fcdahale plan\u0131 uygulamak kritik \u00f6neme sahiptir.<\/p>\n Etkili bir olay m\u00fcdahale plan\u0131, bir g\u00fcvenlik ihlalinin etkisini en aza indirmek ve sistemi g\u00fcvenli bir \u015fekilde kurtarmak i\u00e7in gereklidir. Dirty COW \u00f6zelinde, bu plan \u015fu ad\u0131mlar\u0131 i\u00e7ermelidir:<\/p>\n 1. \u0130zolasyon:<\/strong> Sald\u0131r\u0131 tespit edildi\u011finde, etkilenen sunucuyu a\u011fdan izole edin. Bu, sald\u0131rgan\u0131n di\u011fer sistemlere yay\u0131lmas\u0131n\u0131 veya daha fazla veri \u00e7almas\u0131n\u0131 engeller. Ancak, adli analiz i\u00e7in sistemin tam bir kopyas\u0131n\u0131 almadan \u00f6nce sistemi tamamen kapatmaktan ka\u00e7\u0131n\u0131n. Bir Dirty COW sald\u0131r\u0131s\u0131, root ayr\u0131cal\u0131klar\u0131 elde etmekle kalmaz, sald\u0131rgan\u0131n sistemde kal\u0131c\u0131l\u0131k sa\u011flamak i\u00e7in \u00e7e\u015fitli y\u00f6ntemler kullanmas\u0131na da yol a\u00e7abilir. Bu nedenle, sald\u0131r\u0131 sonras\u0131 kal\u0131c\u0131l\u0131k mekanizmalar\u0131n\u0131 kontrol etmek \u00e7ok \u00f6nemlidir:<\/p>\n * Yeni Kullan\u0131c\u0131 Hesaplar\u0131:<\/strong> Bu kontroller, sald\u0131rgan\u0131n sistemde gizlenmi\u015f kal\u0131c\u0131l\u0131k mekanizmalar\u0131n\u0131 bulmak ve tamamen ortadan kald\u0131rmak i\u00e7in kapsaml\u0131 bir yakla\u015f\u0131m gerektirir.<\/p>\n Dirty COW, Linux \u00e7ekirde\u011finin copy-on-write mekanizmas\u0131ndaki bir yar\u0131\u015f ko\u015fulunu istismar eden, yerel ayr\u0131cal\u0131k y\u00fckseltme sa\u011flayan ciddi bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131yd\u0131. Ke\u015ffedildi\u011fi d\u00f6nemde, milyonlarca Linux tabanl\u0131 sunucu ve cihaz\u0131 etkileme potansiyeliyle siber g\u00fcvenlik d\u00fcnyas\u0131nda b\u00fcy\u00fck bir endi\u015fe kayna\u011f\u0131 olmu\u015ftur. Bu makale boyunca, Dirty COW’un teknik detaylar\u0131n\u0131, nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131, sistemler \u00fczerindeki potansiyel etkilerini ve en \u00f6nemlisi, bu t\u00fcr bir tehdide kar\u015f\u0131 sunucular\u0131n\u0131z\u0131 nas\u0131l koruyabilece\u011finizi kapsaml\u0131 bir \u015fekilde inceledik.<\/p>\n Dirty COW’a kar\u015f\u0131 korunman\u0131n en kritik ve acil ad\u0131m\u0131, sistemdeki Linux \u00e7ekirde\u011fini g\u00fcvenlik yamalar\u0131n\u0131 i\u00e7eren g\u00fcncel bir s\u00fcr\u00fcme y\u00fckseltmektir. Yama uygulamas\u0131, bu \u00f6zel g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 do\u011frudan kapat\u0131r ve sald\u0131rganlar\u0131n istismar etmesini engeller. Ancak, sadece yama uygulamak yeterli de\u011fildir. G\u00fcvenli bir sunucu ortam\u0131, \u00e7ok katmanl\u0131 ve proaktif bir g\u00fcvenlik stratejisi gerektirir. Bu strateji; SELinux veya AppArmor gibi zorunlu eri\u015fim kontrol mekanizmalar\u0131n\u0131n etkinle\u015ftirilmesi, a\u011f g\u00fcvenli\u011fi duvarlar\u0131n\u0131n s\u0131k\u0131la\u015ft\u0131r\u0131lmas\u0131, en az ayr\u0131cal\u0131k prensibinin uygulanmas\u0131, d\u00fczenli g\u00fcvenlik denetimleri ve penetrasyon testleri, etkili bir yedekleme ve kurtarma plan\u0131 ve merkezi g\u00fcnl\u00fck y\u00f6netimi gibi \u00f6nlemleri i\u00e7ermelidir.<\/p>\n Ayr\u0131ca, bir g\u00fcvenlik ihlali durumunda, h\u0131zl\u0131 ve organize bir olay m\u00fcdahale plan\u0131na sahip olmak, sald\u0131r\u0131n\u0131n etkisini en aza indirmek ve sistemleri g\u00fcvenli bir \u015fekilde kurtarmak i\u00e7in hayati \u00f6nem ta\u015f\u0131r. Sald\u0131r\u0131 sonras\u0131 adli analiz, kal\u0131c\u0131l\u0131k mekanizmalar\u0131n\u0131n tespiti ve tam bir temizlik, sistemin gelecekteki sald\u0131r\u0131lara kar\u015f\u0131 daha diren\u00e7li olmas\u0131n\u0131 sa\u011flar.<\/p>\n Dirty COW, Linux \u00e7ekirde\u011fi geli\u015ftiricilerinin ve g\u00fcvenlik toplulu\u011funun s\u00fcrekli olarak yeni g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 ke\u015ffetme ve yamalama \u00e7abalar\u0131n\u0131n bir hat\u0131rlat\u0131c\u0131s\u0131d\u0131r. Sistem y\u00f6neticileri olarak, g\u00fcvenlik b\u00fcltenlerini takip etmek, sistemleri d\u00fczenli olarak g\u00fcncellemek ve genel g\u00fcvenlik duru\u015funu s\u00fcrekli olarak iyile\u015ftirmek, sunucular\u0131m\u0131z\u0131 ve verilerimizi korumak i\u00e7in vazge\u00e7ilmez bir sorumluluktur. G\u00fcvenlik, tek seferlik bir g\u00f6rev de\u011fil, s\u00fcrekli bir s\u00fcre\u00e7tir ve bu anlay\u0131\u015fla hareket etmek, dijital varl\u0131klar\u0131m\u0131z\u0131n korunmas\u0131nda anahtard\u0131r.<\/body><\/p>\n","protected":false},"excerpt":{"rendered":"Sunucunuzu Dirty COW Linux G\u00fcvenlik A\u00e7\u0131\u011f\u0131na Kar\u015f\u0131 Nas\u0131l Korursunuz?\nLinux i\u015fletim sistemleri, a\u00e7\u0131k kaynak kodlu olmalar\u0131 ve g\u00fc\u00e7l\u00fc g\u00fcv","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[241],"tags":[],"class_list":{"0":"post-37805","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-linux","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n\/etc\/passwd<\/code> veya SUID bitine sahip ikili dosyalar) de\u011fi\u015ftirebilir. Bu, yetkisiz bir yerel kullan\u0131c\u0131n\u0131n sistemde root ayr\u0131cal\u0131klar\u0131 elde etmesine yol a\u00e7ar ve sistem \u00fczerinde tam kontrol sa\u011flamas\u0131na imkan tan\u0131r. G\u00fcvenlik a\u00e7\u0131\u011f\u0131, 2007’den beri Linux \u00e7ekirde\u011finde mevcut oldu\u011fundan, etkilenen sistem say\u0131s\u0131 olduk\u00e7a geni\u015f bir yelpazeyi kapsamaktayd\u0131.<\/p>\nG\u00fcvenlik A\u00e7\u0131\u011f\u0131n\u0131n Tehlikesi ve Kapsam\u0131<\/h4>\n
\n* Hassas verilere eri\u015fmesine ve bunlar\u0131 \u00e7almas\u0131na.
\n* Sistem g\u00fcnl\u00fcklerini manip\u00fcle etmesine ve izlerini silmesine.
\n* Sistemi k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlarla enfekte etmesine.
\n* Sistemi bir botnet’in par\u00e7as\u0131 haline getirmesine olanak tan\u0131r.<\/p>\nDirty COW Teknik Detaylar\u0131<\/h3>\n
Copy-on-Write (COW) Mekanizmas\u0131 ve Yar\u0131\u015f Ko\u015fulu (Race Condition)<\/h4>\n
fork()<\/code> sistem \u00e7a\u011fr\u0131s\u0131 ile), \u00e7ekirdek verilerin fiziksel bir kopyas\u0131n\u0131 hemen olu\u015fturmaz. Bunun yerine, her iki i\u015flem de ayn\u0131 fiziksel bellek sayfas\u0131na i\u015faret eder, ancak bu sayfalar salt okunur olarak i\u015faretlenir. E\u011fer i\u015flemlerden biri bu sayfay\u0131 de\u011fi\u015ftirmeye \u00e7al\u0131\u015f\u0131rsa, o zaman \u00e7ekirdek sayfan\u0131n ger\u00e7ek bir kopyas\u0131n\u0131 olu\u015fturur ve i\u015flemi kopyalanan sayfa \u00fczerinde \u00e7al\u0131\u015fmas\u0131na izin verir. Bu, bellek t\u00fcketimini azalt\u0131r ve s\u00fcre\u00e7 olu\u015fturma h\u0131z\u0131n\u0131 art\u0131r\u0131r.<\/p>\nSald\u0131r\u0131n\u0131n \u0130\u015fleyi\u015fi<\/h4>\n
\/usr\/bin\/passwd<\/code> veya \/usr\/bin\/sudo<\/code>) veya \/etc\/passwd<\/code> gibi kritik sistem dosyalar\u0131d\u0131r.
\n2. Dosyan\u0131n Belle\u011fe E\u015flenmesi:<\/strong> Sald\u0131rgan, hedef dosyay\u0131 mmap()<\/code> sistem \u00e7a\u011fr\u0131s\u0131 ile belle\u011fe e\u015fler. Bu e\u015fleme, PROT_READ<\/code> (salt okunur) bayra\u011f\u0131yla yap\u0131l\u0131r, yani i\u015flem dosyay\u0131 sadece okuyabilir.
\n3. Yar\u0131\u015f Ko\u015fulunun Tetiklenmesi:<\/strong> Sald\u0131rgan, e\u015flenmi\u015f bellek sayfas\u0131n\u0131 s\u00fcrekli olarak de\u011fi\u015ftirmeye \u00e7al\u0131\u015f\u0131r. Bu, madvise(MADV_DONTNEED)<\/code> sistem \u00e7a\u011fr\u0131s\u0131 ile yap\u0131l\u0131r. MADV_DONTNEED<\/code>, \u00e7ekirde\u011fe bir bellek sayfas\u0131n\u0131n art\u0131k gerekli olmad\u0131\u011f\u0131n\u0131 ve at\u0131labilece\u011fini bildirir. Bu, \u00e7ekirde\u011fi, sayfa \u00fczerinde COW kopyalama i\u015flemini yeniden tetiklemeye zorlar.
\n4. Veri Enjeksiyonu:<\/strong> Ayn\u0131 anda, sald\u0131rgan, ptrace(PTRACE_POKEDATA)<\/code> veya benzer bir mekanizma kullanarak bellek sayfas\u0131n\u0131n i\u00e7eri\u011fini de\u011fi\u015ftirmeye \u00e7al\u0131\u015f\u0131r. PTRACE_POKEDATA<\/code>, bir i\u015flemin adres alan\u0131ndaki belirli bir adrese veri yazmaya yarar.
\n5. Zamanlama ve \u0130stismar:<\/strong> Yar\u0131\u015f ko\u015fulu, \u00e7ekirde\u011fin MADV_DONTNEED<\/code> \u00e7a\u011fr\u0131s\u0131 nedeniyle sayfan\u0131n fiziksel kopyas\u0131n\u0131 olu\u015fturmaya \u00e7al\u0131\u015ft\u0131\u011f\u0131 an ile, sald\u0131rgan\u0131n PTRACE_POKEDATA<\/code> ile sayfan\u0131n i\u00e7eri\u011fini de\u011fi\u015ftirmeye \u00e7al\u0131\u015ft\u0131\u011f\u0131 an\u0131n \u00e7ak\u0131\u015fmas\u0131yla ortaya \u00e7\u0131kar. E\u011fer zamanlama do\u011fru olursa, sald\u0131rgan, \u00e7ekirdek salt okunur sayfay\u0131 kopyalamadan \u00f6nce sayfan\u0131n i\u00e7eri\u011fini de\u011fi\u015ftirmeyi ba\u015far\u0131r. Bu, salt okunur olarak i\u015faretlenmi\u015f bir sayfan\u0131n i\u00e7eri\u011finin, asl\u0131nda salt okunur olmamas\u0131 gereken bir \u015fekilde de\u011fi\u015ftirilmesine yol a\u00e7ar.
\n6. Ayr\u0131cal\u0131k Y\u00fckseltme:<\/strong> \u00d6rne\u011fin, \/etc\/passwd<\/code> dosyas\u0131na yeni bir root kullan\u0131c\u0131s\u0131 eklenirse veya bir SUID ikili dosyas\u0131n\u0131n i\u00e7eri\u011fi, sald\u0131rgan\u0131n kontrol\u00fcndeki k\u00f6t\u00fc ama\u00e7l\u0131 kodla de\u011fi\u015ftirilirse, sald\u0131rgan root ayr\u0131cal\u0131klar\u0131na sahip olur.<\/p>\nEtkilenen Sistemler ve Olas\u0131 Sonu\u00e7lar<\/h4>\n
\n* Veri \u0130hlali:<\/strong> Sald\u0131rgan, sistemdeki t\u00fcm verilere (veritabanlar\u0131, kullan\u0131c\u0131 dosyalar\u0131, \u015fifreler vb.) eri\u015febilir, bunlar\u0131 \u00e7alabilir veya de\u011fi\u015ftirebilir.
\n* Sistem B\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fcn Bozulmas\u0131:<\/strong> K\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar\u0131n y\u00fcklenmesi, sistem dosyalar\u0131n\u0131n de\u011fi\u015ftirilmesi veya sistemin tamamen devre d\u0131\u015f\u0131 b\u0131rak\u0131lmas\u0131 m\u00fcmk\u00fcnd\u00fcr.
\n* Kal\u0131c\u0131l\u0131k:<\/strong> Sald\u0131rgan, ayr\u0131cal\u0131klar\u0131n\u0131 y\u00fckselttikten sonra sistemde kal\u0131c\u0131 arka kap\u0131lar veya rootkit’ler kurarak, sistem yeniden ba\u015flat\u0131lsa bile eri\u015fimini s\u00fcrd\u00fcrebilir.
\n* Yan Yana Sald\u0131r\u0131lar (Lateral Movement):<\/strong> Bir sunucuda root ayr\u0131cal\u0131klar\u0131 elde eden sald\u0131rgan, bu sunucuyu bir s\u0131\u00e7rama tahtas\u0131 olarak kullanarak a\u011fdaki di\u011fer sistemlere sald\u0131rmaya \u00e7al\u0131\u015fabilir.<\/p>\nSisteminizi Dirty COW \u0130\u00e7in Kontrol Etme<\/h3>\n
\u00c7ekirdek S\u00fcr\u00fcm\u00fcn\u00fc Kontrol Etme<\/h4>\n
uname -a<\/code><\/pre>\nLinux yourserver 4.4.0-31-generic #50-Ubuntu SMP Wed Jul 13 00:07:12 UTC 2016 x86_64 x86_64 x86_64 GNU\/Linux<\/code><\/pre>\n4.4.0-31<\/code>. Dirty COW a\u00e7\u0131\u011f\u0131n\u0131n yamaland\u0131\u011f\u0131 \u00e7ekirdek s\u00fcr\u00fcmleri \u015funlard\u0131r:<\/p>\n
\n* Linux \u00e7ekirde\u011fi 4.7.9 ve sonras\u0131
\n* Linux \u00e7ekirde\u011fi 4.4.26 ve sonras\u0131 (LTS serisi i\u00e7in)<\/p>\nuname -a<\/code> \u00e7\u0131kt\u0131n\u0131zdaki \u00e7ekirdek s\u00fcr\u00fcm\u00fc bu de\u011ferlerden daha d\u00fc\u015f\u00fckse, sunucunuz Dirty COW a\u00e7\u0131\u011f\u0131na kar\u015f\u0131 savunmas\u0131z olabilir. Ancak, baz\u0131 da\u011f\u0131t\u0131mlar (\u00f6rne\u011fin Red Hat\/CentOS) \u00e7ekirdeklerini yamalar\u0131n\u0131 arka porta (backport) alabilir, yani s\u00fcr\u00fcm numaras\u0131 de\u011fi\u015fmeden g\u00fcvenlik d\u00fczeltmeleri uygulanm\u0131\u015f olabilir. Bu nedenle, sadece s\u00fcr\u00fcm numaras\u0131na bakmak yeterli olmayabilir; da\u011f\u0131t\u0131m\u0131n\u0131z\u0131n g\u00fcvenlik duyurular\u0131n\u0131 da kontrol etmeniz \u00f6nemlidir.<\/p>\nG\u00fcvenlik A\u00e7\u0131\u011f\u0131 Tespit Ara\u00e7lar\u0131n\u0131 Kullanma<\/h4>\n
dirtycow-checker<\/code> gibi betikler yayg\u0131n olarak kullan\u0131lm\u0131\u015ft\u0131r. Bu t\u00fcr bir arac\u0131 kullanmak i\u00e7in:<\/p>\ngit clone https:\/\/github.com\/dirtycow\/dirtycow.github.io.git\n cd dirtycow.github.io<\/code><\/pre>\nhttps:\/\/github.com\/gbonacini\/dirtycow-checker<\/code> gibi bir depo daha uygun olabilir.)<\/p>\ngcc -pthread dirtycow-checker.c -o dirtycow-checker<\/code><\/pre>\n.\/dirtycow-checker<\/code><\/pre>\n\/tmp<\/code> dizininde ge\u00e7ici bir dosya olu\u015fturup \u00fczerinde Dirty COW benzeri bir i\u015flem ger\u00e7ekle\u015ftirmeye \u00e7al\u0131\u015farak a\u00e7\u0131\u011f\u0131n varl\u0131\u011f\u0131n\u0131 do\u011frular. E\u011fer ba\u015far\u0131l\u0131 olursa, sistemin savunmas\u0131z oldu\u011funu belirtir.<\/p>\nSistem G\u00fcnl\u00fcklerini Analiz Etme<\/h4>\n
\/var\/log\/auth.log<\/code> veya \/var\/log\/secure<\/code>:<\/strong> Bu g\u00fcnl\u00fckler, kimlik do\u011frulama giri\u015fimlerini, kullan\u0131c\u0131 oturumlar\u0131n\u0131 ve ayr\u0131cal\u0131k y\u00fckseltme eylemlerini kaydeder. Yetkisiz root oturumlar\u0131, yeni kullan\u0131c\u0131 olu\u015fturma veya mevcut kullan\u0131c\u0131lar\u0131n \u015fifrelerinin de\u011fi\u015ftirilmesi gibi anormal aktiviteler burada g\u00f6r\u00fclebilir.
\n* \/var\/log\/syslog<\/code> veya \/var\/log\/messages<\/code>:<\/strong> Genel sistem mesajlar\u0131n\u0131 ve \u00e7ekirdek uyar\u0131lar\u0131n\u0131 i\u00e7erir. mmap()<\/code>, madvise()<\/code> veya ptrace()<\/code> gibi sistem \u00e7a\u011fr\u0131lar\u0131n\u0131n anormal veya yo\u011fun kullan\u0131m\u0131, bir Dirty COW sald\u0131r\u0131s\u0131n\u0131n g\u00f6stergesi olabilir, ancak bu t\u00fcr detaylar genellikle daha d\u00fc\u015f\u00fck seviyeli g\u00fcnl\u00fcklerde veya \u00e7ekirdek denetim g\u00fcnl\u00fcklerinde (audit logs) daha belirgindir.
\n* Auditd G\u00fcnl\u00fckleri (\/var\/log\/audit\/audit.log<\/code>):<\/strong> Linux Denetim Sistemi (Auditd), sistem \u00fczerinde ger\u00e7ekle\u015fen g\u00fcvenlik ile ilgili olaylar\u0131 detayl\u0131 bir \u015fekilde kaydeder. \u00d6zellikle, kritik dosyalar\u0131n (\u00f6rne\u011fin, \/etc\/passwd<\/code>, \/usr\/bin\/sudo<\/code>) de\u011fi\u015ftirilmesi veya SUID ikili dosyalar\u0131n\u0131n \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131 gibi olaylar\u0131 izlemek i\u00e7in audit kurallar\u0131 tan\u0131mlanabilir. \u00d6rne\u011fin, \/etc\/passwd<\/code> dosyas\u0131ndaki yazma i\u015flemlerini izlemek i\u00e7in bir kural tan\u0131mlanabilir:<\/p>\nauditctl -w \/etc\/etc\/passwd -p wa -k passwd_changes<\/code><\/pre>\n\/etc\/passwd<\/code> \u00fczerinde herhangi bir yazma (w<\/code>) veya \u00f6znitelik de\u011fi\u015fikli\u011fi (a<\/code>) oldu\u011funda bir kay\u0131t olu\u015fturur. Bir Dirty COW sald\u0131r\u0131s\u0131 bu dosyay\u0131 de\u011fi\u015ftirdi\u011finde, auditd bunu yakalayabilir.<\/p>\nSunucular\u0131n\u0131z\u0131 Dirty COW’dan Koruma Stratejileri<\/h3>\n
Acil Yama Uygulamas\u0131<\/h4>\n
\n * Debian\/Ubuntu tabanl\u0131 sistemler i\u00e7in:<\/strong><\/p>\nsudo apt update<\/code><\/pre>\nsudo yum update # veya sudo dnf update<\/code><\/pre>\n
\n * Debian\/Ubuntu tabanl\u0131 sistemler i\u00e7in:<\/strong><\/p>\nsudo apt upgrade\n sudo apt dist-upgrade # Gerekliyse<\/code><\/pre>\nsudo yum upgrade # veya sudo dnf upgrade<\/code><\/pre>\nsudo reboot<\/code><\/pre>\nuname -a<\/code> komutunu tekrar \u00e7al\u0131\u015ft\u0131rarak \u00e7ekirdek s\u00fcr\u00fcm\u00fcn\u00fcz\u00fcn yamal\u0131 s\u00fcr\u00fcmlerden biri oldu\u011fundan emin olun (\u00f6rn. 4.8.3, 4.7.9, 4.4.26 veya daha y\u00fcksek).<\/p>\nGe\u00e7ici Azaltma Y\u00f6ntemleri (Yama M\u00fcmk\u00fcn De\u011filse)<\/h4>\n
\n Dirty COW, genellikle SUID bitine sahip ikili dosyalar\u0131 veya \/etc\/passwd<\/code> gibi kritik dosyalar\u0131 hedef al\u0131r. SUID (Set User ID) bitine sahip bir program, onu \u00e7al\u0131\u015ft\u0131ran kullan\u0131c\u0131n\u0131n ayr\u0131cal\u0131klar\u0131 yerine, dosyan\u0131n sahibinin (genellikle root) ayr\u0131cal\u0131klar\u0131yla \u00e7al\u0131\u015f\u0131r. Sald\u0131rganlar, bu SUID ikili dosyalar\u0131n\u0131n i\u00e7eri\u011fini de\u011fi\u015ftirerek root ayr\u0131cal\u0131klar\u0131 elde etmeye \u00e7al\u0131\u015f\u0131r.
\n Ge\u00e7ici bir \u00f6nlem olarak, sistemdeki SUID bitine sahip belirli programlar\u0131n yazma izinlerini kald\u0131rabilirsiniz. \u00d6rne\u011fin, passwd<\/code> komutunun SUID bitini ge\u00e7ici olarak devre d\u0131\u015f\u0131 b\u0131rakmak:<\/p>\nsudo chmod u-s \/usr\/bin\/passwd<\/code><\/pre>\npasswd<\/code> komutunun root ayr\u0131cal\u0131klar\u0131yla \u00e7al\u0131\u015fmas\u0131n\u0131 engeller ve kullan\u0131c\u0131n\u0131n \u015fifresini de\u011fi\u015ftiremez hale getirir. Bu t\u00fcr de\u011fi\u015fiklikler, sistem i\u015flevselli\u011fini ciddi \u015fekilde etkileyebilir, bu y\u00fczden \u00e7ok dikkatli olunmal\u0131 ve yaln\u0131zca ge\u00e7ici bir \u00e7\u00f6z\u00fcm olarak d\u00fc\u015f\u00fcn\u00fclmelidir. Ayr\u0131ca, Dirty COW a\u00e7\u0131\u011f\u0131 do\u011frudan dosyan\u0131n i\u00e7eri\u011fini de\u011fi\u015ftirdi\u011finden, SUID bitini kald\u0131rmak sadece program\u0131n ayr\u0131cal\u0131k y\u00fckseltme mekanizmas\u0131n\u0131 etkiler, dosyan\u0131n de\u011fi\u015ftirilebilir olmas\u0131n\u0131 engellemez.<\/p>\n
\n SELinux (Security-Enhanced Linux) ve AppArmor, Linux i\u00e7in zorunlu eri\u015fim kontrol\u00fc (Mandatory Access Control – MAC) sistemleridir. Bu sistemler, ayr\u0131cal\u0131k y\u00fckseltme sald\u0131r\u0131lar\u0131n\u0131n etkisini azaltmaya yard\u0131mc\u0131 olabilir. SELinux\/AppArmor, s\u00fcre\u00e7lerin ve programlar\u0131n sistem kaynaklar\u0131na (dosyalar, a\u011f soketleri vb.) eri\u015fimini kat\u0131 kurallarla s\u0131n\u0131rlar.
\n Dirty COW \u00e7ekirdek seviyesinde bir a\u00e7\u0131k oldu\u011fu i\u00e7in SELinux veya AppArmor’\u0131 tamamen atlatabilir, ancak bu ara\u00e7lar, sald\u0131rgan\u0131n root ayr\u0131cal\u0131klar\u0131n\u0131 elde ettikten sonra sistemde daha fazla zarar vermesini veya kal\u0131c\u0131l\u0131k kazanmas\u0131n\u0131 zorla\u015ft\u0131rabilir. \u00d6rne\u011fin, bir sald\u0131rgan passwd<\/code> dosyas\u0131n\u0131 de\u011fi\u015ftirse bile, SELinux politikalar\u0131 k\u00f6t\u00fc ama\u00e7l\u0131 bir program\u0131n bu dosyay\u0131 kullanarak bir kabuk \u00e7al\u0131\u015ft\u0131rmas\u0131n\u0131 engelleyebilir. Bu nedenle, SELinux’u veya AppArmor’\u0131 Enforcing<\/code> modunda ve uygun politikalarla \u00e7al\u0131\u015ft\u0131rmak, genel sistem g\u00fcvenli\u011fini art\u0131r\u0131r.<\/p>\n
\n Dirty COW bir yerel ayr\u0131cal\u0131k y\u00fckseltme a\u00e7\u0131\u011f\u0131d\u0131r, yani sald\u0131rgan\u0131n zaten sisteme bir \u015fekilde eri\u015fimi olmas\u0131 gerekir. Bu nedenle, sisteme d\u0131\u015far\u0131dan eri\u015fimi k\u0131s\u0131tlamak, sald\u0131r\u0131 y\u00fczeyini azalt\u0131r.
\n * G\u00fcvenlik Duvar\u0131 (Firewall):<\/strong> Sunucular\u0131n\u0131zda iptables<\/code>, firewalld<\/code> veya ba\u015fka bir g\u00fcvenlik duvar\u0131 kullanarak sadece gerekli portlar\u0131 ve IP adreslerini a\u00e7\u0131n.
\n * A\u011f Segmentasyonu:<\/strong> Sunucular\u0131n\u0131z\u0131 farkl\u0131 a\u011f segmentlerine ay\u0131r\u0131n. Kritik sunucular\u0131 (veritaban\u0131 sunucular\u0131 gibi) daha izole bir a\u011f segmentinde tutun.
\n * VPN Kullan\u0131m\u0131:<\/strong> Uzaktan eri\u015fim i\u00e7in her zaman VPN kullan\u0131n ve SSH gibi hizmetlere do\u011frudan internetten eri\u015fimi k\u0131s\u0131tlay\u0131n.<\/p>\n
\n Bir IDS (Intrusion Detection System) veya IPS (Intrusion Prevention System), a\u011f trafi\u011fini ve sistem etkinliklerini \u015f\u00fcpheli desenler i\u00e7in izler. Bir Dirty COW sald\u0131r\u0131s\u0131, belirli sistem \u00e7a\u011fr\u0131lar\u0131n\u0131 (\u00f6rne\u011fin, mmap<\/code>, madvise<\/code>, ptrace<\/code>) anormal bir \u015fekilde kullanabilir veya kritik sistem dosyalar\u0131nda de\u011fi\u015fiklikler yapabilir. Bir IDS\/IPS, bu t\u00fcr anormal etkinlikleri tespit edebilir ve uyar\u0131 verebilir veya bir IPS durumunda sald\u0131r\u0131y\u0131 engelleyebilir.
\n \u00d6zellikle, host tabanl\u0131 IDS (HIDS) \u00e7\u00f6z\u00fcmleri (\u00f6rne\u011fin, OSSEC), dosya b\u00fct\u00fcnl\u00fc\u011f\u00fc izleme (File Integrity Monitoring – FIM) ve sistem \u00e7a\u011fr\u0131s\u0131 izleme yetenekleri sayesinde Dirty COW gibi yerel sald\u0131r\u0131lar\u0131 tespit etmede faydal\u0131 olabilir.<\/p>\nProaktif G\u00fcvenlik \u00d6nlemleri<\/h4>\n
\n Sunucular\u0131n\u0131zda d\u00fczenli olarak g\u00fcvenlik denetimleri ve penetrasyon testleri yap\u0131n. Bu testler, sisteminizdeki zay\u0131fl\u0131klar\u0131 ve potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 (Dirty COW gibi) ortaya \u00e7\u0131karman\u0131za yard\u0131mc\u0131 olur. Profesyonel penetrasyon test uzmanlar\u0131, ger\u00e7ek d\u00fcnya sald\u0131r\u0131 senaryolar\u0131n\u0131 sim\u00fcle ederek savunmas\u0131z noktalar\u0131 tespit edebilir.<\/p>\n
\n Bu prensip, kullan\u0131c\u0131lar\u0131n ve s\u00fcre\u00e7lerin, g\u00f6revlerini yerine getirmek i\u00e7in ihtiya\u00e7 duyduklar\u0131 minimum ayr\u0131cal\u0131klara sahip olmalar\u0131 gerekti\u011fini belirtir.
\n * Kullan\u0131c\u0131lar:<\/strong> T\u00fcm kullan\u0131c\u0131 hesaplar\u0131n\u0131n sadece gerekli dosyalara ve kaynaklara eri\u015fim izinleri oldu\u011fundan emin olun. Root ayr\u0131cal\u0131klar\u0131 yaln\u0131zca gerekti\u011finde ve k\u0131sa s\u00fcreli\u011fine kullan\u0131lmal\u0131d\u0131r.
\n * Uygulamalar:<\/strong> Uygulamalar\u0131, root ayr\u0131cal\u0131klar\u0131yla de\u011fil, kendi \u00f6zel ve k\u0131s\u0131tl\u0131 kullan\u0131c\u0131 hesaplar\u0131 alt\u0131nda \u00e7al\u0131\u015ft\u0131r\u0131n.
\n * sudo Kullan\u0131m\u0131:<\/strong> sudo<\/code> yap\u0131land\u0131rmas\u0131n\u0131 s\u0131k\u0131 tutun ve kullan\u0131c\u0131lar\u0131n sadece belirli komutlar\u0131 root olarak \u00e7al\u0131\u015ft\u0131rmas\u0131na izin verin.<\/p>\n
\n Sistem y\u00f6neticileri ve di\u011fer personel, g\u00fcvenlik a\u00e7\u0131klar\u0131, kimlik av\u0131 (phishing) sald\u0131r\u0131lar\u0131 ve sosyal m\u00fchendislik teknikleri hakk\u0131nda d\u00fczenli olarak e\u011fitilmelidir. \u0130nsan fakt\u00f6r\u00fc, genellikle g\u00fcvenlik zincirinin en zay\u0131f halkas\u0131d\u0131r ve bilin\u00e7li kullan\u0131c\u0131lar, bir\u00e7ok sald\u0131r\u0131y\u0131 \u00f6nleyebilir.<\/p>\n
\n Herhangi bir g\u00fcvenlik ihlali veya sistem ar\u0131zas\u0131 durumunda, verilerinizi korumak ve sisteminizi h\u0131zl\u0131 bir \u015fekilde kurtarmak i\u00e7in sa\u011flam bir yedekleme ve kurtarma stratejisine sahip olmak hayati \u00f6nem ta\u015f\u0131r. D\u00fczenli olarak tam ve art\u0131ml\u0131 yedekler al\u0131n ve bu yedeklerin b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc ve geri y\u00fcklenebilirli\u011fini test edin.<\/p>\n
\n T\u00fcm sunucular\u0131n\u0131zdaki g\u00fcnl\u00fckleri merkezi bir g\u00fcnl\u00fck y\u00f6netim sistemine (\u00f6rne\u011fin, ELK Stack, Splunk, Graylog) g\u00f6nderin. Bu, g\u00fcvenlik olaylar\u0131n\u0131 daha kolay izlemenizi, analiz etmenizi ve korelasyon kurman\u0131z\u0131 sa\u011flar. Anormal etkinlikler veya sald\u0131r\u0131 belirtileri, merkezi g\u00fcnl\u00fck sistemleri arac\u0131l\u0131\u011f\u0131yla daha h\u0131zl\u0131 tespit edilebilir.<\/p>\nSald\u0131r\u0131 Sonras\u0131 Yap\u0131lmas\u0131 Gerekenler<\/h3>\n
Olay M\u00fcdahale Plan\u0131<\/h4>\n
\n2. Adli Analiz:<\/strong> Sistem belle\u011finin (RAM) ve disk g\u00f6r\u00fcnt\u00fcs\u00fcn\u00fcn adli kopyalar\u0131n\u0131 al\u0131n. Bu kopyalar, sald\u0131r\u0131n\u0131n nas\u0131l ger\u00e7ekle\u015fti\u011fini, sald\u0131rgan\u0131n ne yapt\u0131\u011f\u0131n\u0131 ve hangi verilere eri\u015fti\u011fini anlamak i\u00e7in hayati \u00f6neme sahiptir.
\n * Bellek Analizi:<\/strong> Sald\u0131rgan\u0131n s\u00fcre\u00e7lerini, a\u011f ba\u011flant\u0131lar\u0131n\u0131 ve y\u00fckl\u00fc mod\u00fclleri tespit etmek i\u00e7in bellek d\u00f6k\u00fcm\u00fc analizi (\u00f6rne\u011fin, Volatility Framework ile) yap\u0131n.
\n * Disk Analizi:<\/strong> Dosya sistemi de\u011fi\u015fikliklerini, yeni olu\u015fturulan dosyalar\u0131, de\u011fi\u015ftirilen sistem dosyalar\u0131n\u0131 ve loglar\u0131 inceleyin.
\n3. Tehdidin Ortadan Kald\u0131r\u0131lmas\u0131 (Eradication):<\/strong>
\n * Tespit edilen t\u00fcm arka kap\u0131lar\u0131, rootkit’leri ve k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar\u0131 kald\u0131r\u0131n.
\n * Sald\u0131rgan taraf\u0131ndan olu\u015fturulmu\u015f t\u00fcm kullan\u0131c\u0131 hesaplar\u0131n\u0131 silin veya devre d\u0131\u015f\u0131 b\u0131rak\u0131n.
\n * T\u00fcm \u015fifreleri (kullan\u0131c\u0131lar, hizmet hesaplar\u0131, veritabanlar\u0131) s\u0131f\u0131rlay\u0131n.
\n * Sald\u0131rgan\u0131n kulland\u0131\u011f\u0131 bilinen g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 (bu durumda Dirty COW) yamalad\u0131\u011f\u0131n\u0131zdan emin olun.
\n4. Kurtarma:<\/strong> Sistemleri temiz bir durumdan (g\u00fcvenli yedeklerden) geri y\u00fckleyin veya temiz bir kurulum yap\u0131n. G\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n giderildi\u011finden ve sistemin tamamen temizlendi\u011finden emin olun.
\n5. Olay Sonras\u0131 \u0130nceleme (Post-Mortem):<\/strong> Sald\u0131r\u0131n\u0131n nas\u0131l ger\u00e7ekle\u015fti\u011fini, hangi zay\u0131fl\u0131klar\u0131n istismar edildi\u011fini ve gelecekte benzer olaylar\u0131 \u00f6nlemek i\u00e7in hangi derslerin \u00e7\u0131kar\u0131lmas\u0131 gerekti\u011fini analiz edin. Olay m\u00fcdahale plan\u0131n\u0131z\u0131 bu derslere g\u00f6re g\u00fcncelleyin.<\/p>\nKal\u0131c\u0131l\u0131\u011f\u0131n Kontrol Edilmesi<\/h4>\n
\/etc\/passwd<\/code> ve \/etc\/shadow<\/code> dosyalar\u0131n\u0131 kontrol ederek yetkisiz yeni kullan\u0131c\u0131 hesaplar\u0131 olup olmad\u0131\u011f\u0131n\u0131 kontrol edin.
\n* SUID \u0130kili Dosyalar\u0131:<\/strong> Sisteminize yeni SUID bitine sahip ikili dosyalar eklenmi\u015f olup olmad\u0131\u011f\u0131n\u0131 veya mevcut SUID ikili dosyalar\u0131n\u0131n de\u011fi\u015ftirilip de\u011fi\u015ftirilmedi\u011fini kontrol edin. find \/ -perm -4000 -print<\/code> komutuyla SUID bitine sahip dosyalar\u0131 listeleyebilirsiniz.
\n* Ba\u015flang\u0131\u00e7 Komut Dosyalar\u0131:<\/strong> \/etc\/rc.local<\/code>, \/etc\/init.d\/<\/code>, \/etc\/systemd\/<\/code> dizinleri ve ~\/.bashrc<\/code>, ~\/.profile<\/code> gibi kullan\u0131c\u0131 ba\u015flang\u0131\u00e7 dosyalar\u0131 dahil olmak \u00fczere, sistemin ba\u015flang\u0131c\u0131nda veya oturum a\u00e7ma s\u0131ras\u0131nda \u00e7al\u0131\u015fan komut dosyalar\u0131n\u0131 kontrol edin.
\n* Cron \u0130\u015fleri:<\/strong> crontab -l<\/code> komutuyla t\u00fcm kullan\u0131c\u0131lar\u0131n ve sistemin (\u00f6rne\u011fin, \/etc\/crontab<\/code>, \/etc\/cron.d\/<\/code>) zamanlanm\u0131\u015f g\u00f6revlerini kontrol edin. Sald\u0131rganlar, kal\u0131c\u0131l\u0131k i\u00e7in s\u0131k\u00e7a cron i\u015flerini kullan\u0131r.
\n* SSH Anahtarlar\u0131:<\/strong> \/root\/.ssh\/authorized_keys<\/code> ve di\u011fer kullan\u0131c\u0131lar\u0131n .ssh\/authorized_keys<\/code> dosyalar\u0131n\u0131 kontrol ederek yetkisiz SSH anahtarlar\u0131 olup olmad\u0131\u011f\u0131n\u0131 inceleyin.
\n* \u00c7ekirdek Mod\u00fclleri (Rootkit’ler):<\/strong> lsmod<\/code> komutuyla y\u00fckl\u00fc \u00e7ekirdek mod\u00fcllerini kontrol edin. chkrootkit<\/code> veya rkhunter<\/code> gibi rootkit tespit ara\u00e7lar\u0131n\u0131 kullanarak gizlenmi\u015f rootkit’leri taray\u0131n.
\n* A\u011f Yap\u0131land\u0131rmas\u0131:<\/strong> \/etc\/hosts<\/code>, \/etc\/resolv.conf<\/code> gibi a\u011f yap\u0131land\u0131rma dosyalar\u0131nda yetkisiz de\u011fi\u015fiklikler veya yeni a\u011f aray\u00fczleri olup olmad\u0131\u011f\u0131n\u0131 kontrol edin.
\n* Web Sunucusu Yap\u0131land\u0131rmas\u0131:<\/strong> E\u011fer sunucu bir web sunucusu ise, web k\u00f6k dizininde veya yap\u0131land\u0131rma dosyalar\u0131nda (\u00f6rne\u011fin, .htaccess<\/code>) k\u00f6t\u00fc ama\u00e7l\u0131 betikler veya arka kap\u0131lar olup olmad\u0131\u011f\u0131n\u0131 kontrol edin.<\/p>\nSonu\u00e7<\/h3>\n