Logchase
Demo talep et

Dosya bütünlüğü izleme (File Integrity Monitoring): Her değişiklik. Görünür. İzlenir. Kontrol altında.

Dosya bütünlüğü izleme (file integrity monitoring) ile Linux ve Windows'taki kritik dosyaları izleyin; neyin, ne zaman ve kim tarafından değiştiğini görün.

Demo talep etFIM'i keşfet
  • Linux
  • Windows
  • Sürekli izleme

Neyin değiştiğini bilin.
Ve neden önemli olduğunu.

Dosya bütünlüğü izleme (FIM), kritik dosya, dizin ve yapılandırmalardaki değişiklikleri görünür kılar; yetkisiz değişiklikleri tespit etmenize ve etkilerini anlamanıza yardımcı olur.

Değişiklikleri tespit edin

Linux ve Windows'ta oluşturma, silme, değiştirme ve yeniden adlandırmaları görün.

Ayrıntıları inceleyin

Dosya farklarını, meta verileri, kullanıcı ve süreç bağlamını görün.

Yanıtı önceliklendirin

Beklenen ve yetkili değişiklikleri ayırt edin, önemli olana odaklanın.

Detaylı değişiklik görünürlüğü

Bir dosya olayından
tüm hikâyeye.

Tam olarak neyin değiştiğini görün, dosya sürümlerini karşılaştırın ve her olayın arkasındaki bağlamı anlayın.

  • Oluşturma, değiştirme, silme ve yeniden adlandırma
  • İzin ve sahiplik değişiklikleri
  • Hash karşılaştırması
  • Kullanıcı ve süreç bağlamı

Esnek izleme

Önemli olanı izleyin.
Gerisini eleyin.

Kritik sistem dosyaları, uygulama dizinleri ve yapılandırma dosyaları için kapsam bazlı kurallar oluşturun. Ortamınız için önemli olan değişikliklere odaklanın.

  • Esnek yol ve dosya kuralları
  • Önem derecesine göre uyarılar
  • Linux ve Windows ajanları

Nasıl çalışır?

Logchase dosya bütünlüğü izleme nasıl çalışır?

Logchase FIM, Linux ve Windows sunucularınıza kurulan hafif ajanlarla çalışır. İzlenecek yolları Logchase konsolundan seçersiniz; her ajan önce bir referans durum (baseline) kaydeder, ardından her yeni taramayı bu durumla karşılaştırır.

  1. 1

    Referans durumu kaydedin

    Ajan, izlenen her dosyanın SHA-256 hash değerini, boyutunu, izinlerini ve sahibini saklar. Böylece karşılaştırma için güvenilir bir başlangıç noktası oluşur.

  2. 2

    Değişikliği yakalayın

    Yeni, değiştirilmiş, silinmiş ve yeniden adlandırılmış dosyalar ile izin ve sahiplik değişiklikleri referans duruma göre tespit edilir. Metin dosyalarında satır satır fark gösterilir.

  3. 3

    Önem derecesini belirleyin

    /etc/shadow, /etc/sudoers veya Windows hosts dosyası gibi kritik dosyalardaki değişiklikler kritik olarak işaretlenir; silme işlemleri varsayılan olarak yüksek önem taşır.

  4. 4

    Bağlamla inceleyin

    Dosya olayları diğer loglarınızla aynı platformdadır; bir değişikliği aynı andaki giriş, süreç ve ağ olaylarıyla SIEM ve log yönetimi ekranlarında birlikte görürsünüz.

Bir ajan durum bilgisi (heartbeat) göndermeyi bırakırsa Logchase onu pasif olarak işaretler ve bildirim gönderir; sessiz kalan bir ajan sorunsuz bir sunucuyla karıştırılmaz.

Linux ve Windows

Aşağıdaki yollarla başlayın. Hesaplar, erişim kuralları, zamanlanmış görevler, başlangıç öğeleri ve web içeriği bu dizinlerde durur; saldırganların ilk değiştirdiği yerler de genellikle bunlardır. Ardından kendi uygulama dizinlerinizi ekleyin.

Linux

Linux'ta dosya bütünlüğü izleme

Linux'ta Logchase FIM ajanı bir systemd servisi olarak çalışır ve konsoldan kendisine atanan dizinleri tarar. Geçici, swap ve önbellek dosyaları varsayılan olarak hariç tutulur; böylece gerçek değişiklikler gürültüde kaybolmaz.

İzlenmesi önerilen yollar

/etc/passwd/etc/shadow/etc/group
Yerel hesaplar ve parola hash'leri. Beklenmeyen bir kayıt, arka kapı hesabı olabilir.
/etc/sudoers/etc/sudoers.d/
Kimin root olarak komut çalıştırabileceğini belirler; yetki yükseltmede sık hedeflenir.
/etc/ssh/sshd_config/root/.ssh/authorized_keys
SSH erişim kuralları ve anahtarları. Saldırganlar erişimi korumak için anahtar ekler.
/etc/crontab/etc/cron.d//etc/systemd/system/
Zamanlanmış görevler ve servisler; kalıcılık için sık kullanılan noktalar.
/var/www/
Web uygulaması dosyaları. Yeni veya değişmiş betikler webshell olabilir.
/bin/sbin/usr/bin/usr/sbin
Sistem komutları. Değiştirilmiş bir ikili dosya, kurcalamaya veya rootkit'e işaret eder.

Logchase varsayılan olarak /etc, /bin, /sbin, /usr/bin ve /usr/sbin altındaki değişiklikleri yüksek, /etc/shadow, /etc/sudoers ve sshd_config gibi dosyalardaki değişiklikleri kritik önem derecesiyle bildirir.

Windows

Windows'ta dosya bütünlüğü izleme

Windows'ta PowerShell tabanlı Logchase ajanı dosyaların SHA-256 hash değerini hesaplar ve değişiklikleri, metin dosyaları için farklarla birlikte, Linux sunucularınızla aynı konsola gönderir.

İzlenmesi önerilen yollar

C:\Windows\System32\drivers\etc\
hosts, lmhosts ve services dosyaları. Değiştirilmiş bir hosts dosyası, bir alan adını sessizce başka adrese yönlendirir.
C:\Windows\System32\config\
SAM, SECURITY, SYSTEM ve SOFTWARE gibi kayıt defteri dosyaları; hesapları ve sistem ayarlarını tutar.
C:\Users\*\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Oturum açılışında çalışan programlar; klasik bir kalıcılık noktası.
C:\inetpub\wwwroot\
IIS web kök dizini. Yeni .aspx veya .ashx dosyaları yakından incelenmeli.
web.configappsettings.json
Uygulamalarınızın bağlantı bilgileri, kimlik doğrulama ve güvenlik ayarları.

Yol atanmadığında Windows ajanı ilk üç konumu izler. hosts, SAM ve SYSTEM gibi dosyalar kritik, silme işlemleri yüksek, diğer değişiklikler orta önem derecesiyle bildirilir.

Kullanım senaryoları

Kritik yollarınızı koruyun.

Logchase FIM, sistem yapılandırmalarından uygulama dosyalarına kadar en önemli alanları izlemenize yardımcı olur.

Webshell tespiti

/var/www/html/ gibi web dizinlerindeki beklenmeyen değişiklikleri tespit edin.

Yapılandırma izleme

/etc/ gibi kritik sistem yapılandırmalarındaki değişiklikleri izleyin.

Fidye yazılımı göstergeleri

Fidye yazılımı aktivitesine işaret edebilecek olağandışı toplu dosya değişikliklerini belirleyin.

İçeriden aktivite incelemesi

Hesap verebilirlik için dosya değişikliklerini kullanıcı ve süreç bağlamıyla inceleyin.

Uyumluluk izlemeyi destekleyin:

PCI DSSISO 27001

Senaryolar ayrıntılı

FIM pratikte neyi yakalar?

Web dizinlerinde webshell tespiti

Webshell, saldırganın bir web sunucusuna yerleştirdiği ve sıradan HTTP istekleriyle komut çalıştırmasını sağlayan küçük bir betiktir; genellikle PHP, ASPX veya JSP dosyasıdır. Çoğu zaman açığı olan bir yükleme formu, eklenti ya da yamalanmamış bir uygulama üzerinden gelir ve meşru dosyaların arasına gizlenir. FIM tam da bu anı yakalar: Logchase, /var/www/html veya C:\inetpub\wwwroot gibi web dizinlerinde oluşan yeni dosyaları işaretler, mevcut bir sayfa değiştiğinde farkı gösterir, hash, sahip ve zaman bilgisini kaydeder. Dosya olayını web sunucusu ve firewall loglarıyla ilişkilendirerek webshell'i yükleyen isteği bulabilirsiniz. Ayrıntılar için: Webshell nedir?

Yapılandırma izleme ve kayma tespiti

Pek çok olay bir yapılandırma dosyasındaki tek bir satırla başlar: yes'e çevrilmiş bir PermitRootLogin, sudoers'a eklenmiş yeni bir kayıt, değiştirilmiş bir DNS sunucusu ya da bir alan adını başka adrese yönlendiren hosts dosyası. Logchase FIM, /etc altındaki yapılandırma dosyalarını, uygulama dizinlerinizi ve Windows'taki drivers\etc klasörünü izler; değişen satırı öncesi ve sonrası farkıyla gösterir. Her değişiklik sunucu, zaman, kullanıcı ve süreç bilgisi taşıdığı için planlı bir değişikliği yapılandırma kaymasından veya kurcalamadan ayırabilir, değişiklik geçmişini denetimlerde ve olay sonrası incelemelerde kanıt olarak kullanabilirsiniz.

İzlenen yollarda fidye yazılımı göstergeleri

Fidye yazılımı zarar vermek için dosyalara dokunmak zorundadır: kısa sürede çok sayıda dosyayı yeniden yazar, yeniden adlandırır ve siler; çoğu zaman .locked veya .encrypted gibi uzantılar ekler. İzlenen yollarda FIM bunu ani bir değiştirme, yeniden adlandırma ve silme olayı artışı olarak görür. Logchase silme işlemlerini varsayılan olarak yüksek önem derecesiyle bildirir; kural kütüphanesinde bilinen fidye yazılımı uzantılarını loglarda yakalayan hazır bir şablon da bulunur. Artışı hangi sunucu, kullanıcı ve sürecin başlattığını görmek, doğru makineyi hızla ağdan ayırmanıza ve yedekten geri yüklenmesi gereken dosyaları belirlemenize yardımcı olur.

İçeriden ve ayrıcalıklı hesap aktivitesi

Her riskli değişiklik dışarıdan gelmez. Yöneticiler ve servis hesapları geniş yetkilere sahiptir; bir hata ya da kötüye kullanım, biri inceleyene kadar sıradan bir iş gibi görünür. Logchase FIM bir dosyayı hangi kullanıcının ve hangi sürecin değiştirdiğini, izin ve sahiplik değişiklikleriyle birlikte kaydeder; böylece ayrıcalıklı hesapların faaliyetleri hesap verebilir kalır. Kural kütüphanesinde yönetici hesabıyla yapılan toplu dosya silme için hazır bir şablon da vardır. Rol tabanlı erişim kontrolü (RBAC) sayesinde denetçiler ve ekip liderleri tam yönetici yetkisi almadan bu aktiviteyi inceleyebilir; değişiklik geçmişi de sonradan bir soru çıktığında net bir kayıt sunar.

Teknik özellikler

Ayrıntılı değişiklik görünürlüğü için tasarlandı.

Değişiklik takibi

  • Dosya oluşturuldu
  • Dosya değiştirildi
  • Dosya silindi
  • Dosya yeniden adlandırıldı

Bütünlük kontrolleri

  • SHA-256 doğrulaması
  • Önceki ve güncel hash değerleri
  • Değişiklik geçmişi
  • Doğrulama bağlamı

İzleme kontrolleri

  • Dizin kapsamı
  • Dosya adı desenleri
  • Uyarı önem derecesi
  • Ortam

Uyarı seviyeleri

Doğru ayrıntı.
Doğru öncelik.

Öncelikleri ortamınıza göre yapılandırın.

Yüksek

Kritik sistem dosyası değişikliği

web-01 üzerinde root tarafından /etc/sudoers değiştirildi.

Orta

Uygulama yapılandırma güncellemesi

web-01 üzerinde www-data tarafından /etc/nginx/nginx.conf değiştirildi.

Düşük

İzlenen log dosyası değişikliği

db-01 üzerinde app tarafından /var/log/app.log güncellendi.

Uyumluluk

Dosya bütünlüğü izleme ve uyumluluk

Birçok güvenlik standardı, kritik dosyalardaki yetkisiz değişikliklerin tespit edilmesini bekler. Logchase FIM; değişiklik kayıtları, hash karşılaştırmaları ve denetçiye gösterebileceğiniz uyarılarla bu uyumluluk süreçlerini destekler.

PCI DSS

PCI DSS v4.0'ın 11.5.2 numaralı gereksinimi; kritik dosyalardaki yetkisiz değişiklik, ekleme ve silmeleri personele bildiren ve kritik dosyaları en az haftada bir karşılaştıran, dosya bütünlüğü izleme gibi bir değişiklik tespit mekanizması ister. 10.3.4 numaralı gereksinim ise mevcut log verilerinin uyarı üretmeden değiştirilememesi için denetim logları üzerinde FIM veya değişiklik tespiti bekler.

ISO/IEC 27001

ISO/IEC 27001:2022 Ek A; yapılandırmaların izlenmesini ve gözden geçirilmesini (8.9), logların üretilip korunmasını (8.15) ve sistemlerin anormal davranışa karşı izlenmesini (8.16) bekler. FIM değişiklik kayıtları, bu kontrollerin uygulamada işlediğini göstermenize yardımcı olur.

KVKK ve GDPR

KVKK'nın 12. maddesi ve GDPR'ın 32. maddesi, kişisel verileri korumak için uygun teknik tedbirlerin alınmasını ister; GDPR, işleme sistemlerinin sürekli bütünlüğünü açıkça sayar. Kişisel veri barındıran sunuculardaki yetkisiz değişiklikleri tespit etmek bu tedbirlerin bir parçasıdır.

Logchase bu uyumluluk süreçlerini destekler; bir sertifika değildir ve bir standardı karşılamak yine kendi politikalarınıza ve değerlendirmenize bağlıdır. Logchase'teki log arşivlerine ayrıca hash ve zaman damgası eklenir; bu da kanıtın kendisinin değişmediğini göstermeye yardımcı olur. Log yönetimini inceleyin

Sık sorulan sorular

Merak edilenler

Logchase'in dosya bütünlüğü izleme özelliği hakkında en sık sorulan sorular.

File Integrity Monitoring (FIM) nedir?

Dosya bütünlüğü izleme (FIM), kritik dosya, dizin ve yapılandırmalardaki değişiklikleri tespit eden güvenlik kontrolüdür. Yetkisiz değişiklikleri erken fark etmenizi ve neyin, ne zaman, kim tarafından değiştirildiğini görmenizi sağlar. Ayrıntılı rehber: File Integrity Monitoring (FIM) nedir?

Logchase FIM hangi işletim sistemlerini destekler?

Linux ve Windows. İki ajan da aynı Logchase konsoluna raporlar; tüm sunucularınızdaki değişiklikleri tek yerden incelersiniz.

Hangi değişiklikler izlenir?

Dosya oluşturma, değiştirme, silme ve yeniden adlandırma; izin ve sahiplik değişiklikleri. Her değişiklikte dosya farkı, SHA-256 hash karşılaştırması ve değişikliği yapan kullanıcı ile süreç bilgisi görünür.

FIM webshell tespitinde nasıl yardımcı olur?

Web dizinlerinde beklenmeyen bir dosya oluştuğunda ya da mevcut bir dosya değiştiğinde FIM bunu tespit eder ve uyarı üretir; webshell yüklemeleri çoğu zaman ilk olarak bu şekilde görünür olur. Daha fazlası: Webshell nedir?

Beklenen değişikliklerle yetkisiz değişiklikler nasıl ayrılır?

İzleme kuralları ve önem düzeyleriyle beklenen, yetkili değişiklikler ayrıştırılır; ekip yalnızca önemli olanlara odaklanır.

FIM, SIEM ile nasıl birlikte çalışır?

Logchase'te dosya olayları diğer loglarla aynı platformdadır; bir dosya değişikliğini aynı zamandaki giriş, süreç ve ağ olaylarıyla ilişkilendirerek tüm hikâyeyi görebilirsiniz. Ayrıntılar: Logchase SIEM

Kritik değişiklikleri görünür kılın.

Logchase'in dosya bütünlüğü izleme özelliğiyle güvenlik duruşunuzu güçlendirin.

Demo talep etLog yönetimini keşfedin