Neden komut satırı?

Açılış

Stajının dördüncü haftasında Gülay Hanım, Kaan'a basit görünen bir iş verdi. Bir gece önce şüpheli bir adresten şirketin web sunucusuna istekler gelmişti ve sunucunun son bir aylık kayıtlarında bu adresin bütün izlerini bulması gerekiyordu. Kayıtlar her gün için ayrı bir dosyadaydı; otuz dosya, toplamda birkaç milyon satır.

Kaan ilk dosyayı bir metin düzenleyicide açmaya çalıştı. Program bir dakika düşündü, sonra yanıt vermeyi bıraktı. İkinci denemede dosya açıldı ama arama kutusu ilk eşleşmeyi bulup durdu; otuz dosyanın her birinde aynı işi tek tek yapmak bir öğleden sonrayı alacaktı. Gülay Hanım yanına geldi, bir komut penceresi açtı ve tek bir satır yazdı. Birkaç saniye sonra ekranda, otuz dosyanın içinden o adresi taşıyan bütün satırlar, tarih sırasıyla duruyordu.

Kaan hayretle baktı. Gülay Hanım bunun bir sihir olmadığını, yalnız metinle çalışmanın en eski ve en hızlı yolu olduğunu söyledi. Sonra ekledi: aynı pencere, saldırganların da en çok sevdiği yerdi. Bu modül o pencereyi, komut satırını, savunmacının gözünden tanıtıyor ve ilk ders, neden hâlâ bu kadar önemli olduğunu soruyor.

Tek fikir

Komut satırı, bilgisayara metinle komut vermenin yoludur ve güvenlik işinin büyük kısmı burada yürür: kayıtları aramak, sistemleri sorgulamak, işleri otomatikleştirmek. Aynı güç saldırganların da işine yaradığı için, komut satırını bilmek hem kullanmak hem de kötüye kullanımını tanımak demektir.

Nasıl çalışır

Önceki modüllerde birkaç kez komut satırına uğradık: ağ ayarlarını okuduk, dinleyen portları listeledik, bir dosyanın özetini hesapladık, bir sitenin başlıklarını çektik. Her seferinde bir pencere açıp bir satır yazdık ve bilgisayar bize metinle cevap verdi. Şimdi o pencerenin kendisine bakıyoruz.

Bilgisayarı iki biçimde kullanabiliriz. Grafik arayüzde simgelere tıklar, pencereleri sürükler, menülerden seçeriz. Komut satırında ise ne istediğimizi bir cümleyle yazarız ve bilgisayar sonucu metin olarak döndürür. Grafik arayüz öğrenmesi kolaydır ve tek bir işi tek bir kez yapmak için çoğu zaman yeterlidir. Komut satırı ise bir işi binlerce dosyada, yüzlerce bilgisayarda ya da her gece aynı saatte yapmak gerektiğinde öne çıkar.

Kabuğun güvenlik işindeki yerini üç özellik açıklar. Birincisi hızdır: Kaan'ın otuz dosyası gibi büyük metin yığınlarında arama, süzme ve sayma, kabukta saniyeler sürer. İkincisi tekrarlanabilirliktir: bir komut yazıldığında aynı işi bir sonraki gün, bir sonraki bilgisayarda birebir aynı biçimde tekrarlar; grafik arayüzde yapılan elle işler ise her seferinde farklı yapılabilir. Üçüncüsü otomasyondur: komutlar bir dosyaya yazılıp bir program gibi çalıştırılabilir.

Gülay Hanım'ın tek satırının gücü bir fikre daha dayanıyordu: küçük komutları birbirine bağlamak. Kabukta bir komutun çıktısı, bir boru işaretiyle doğrudan başka bir komutun girdisine verilebilir. Biri dosyaları okur, öbürü yalnız aranan adresi taşıyan satırları süzer, bir üçüncüsü onları tarihe göre sıralar, bir dördüncüsü sayar. Her biri tek bir işi iyi yapan küçük araçlar, birleşince büyük bir soruyu cevaplar. Bu modülün sonraki derslerinde bu birleştirmenin basit örneklerini kendi bilgisayarında göreceksin.

Güvenlik ekiplerinin araçlarının çoğu bu yüzden komut satırından çalışır ya da en azından bir komut satırı arayüzü sunar. Sunucuların büyük çoğunluğunda grafik arayüz hiç yoktur; onları yönetmenin tek yolu kabuktur.

Ama aynı gerekçeler saldırganlar için de geçerlidir.

Bu, Modül 2'de dosyasız saldırıdan söz ederken değindiğimiz noktanın kendisidir: saldırganlar çoğu zaman bilgisayara yeni bir program indirmek yerine, zaten orada olan kabuğu kullanır. Bu yüzden savunmacı için kabuğu bilmek iki iş görür: onu kendi işi için kullanmak ve kayıtlarda onun olağandışı kullanımını tanımak.

Sahada

Savunma

Komut satırına dair savunmanın üç yönü vardır: onu kullanmayı öğrenmek, onu kullandırmak isteyenlere karşı dikkatli olmak ve kurumlarda onun kullanımını görünür kılmak.

Kullanmayı öğrenmek bir savunmadır, çünkü bu modülün sonraki derslerinde göreceğin gibi kendi bilgisayarının durumunu, izinleri, süreçleri, ağ bağlantılarını ve kayıtlarını en doğrudan okumanın yolu kabuktur. Grafik arayüzün gizlediği ayrıntılar burada görünür. Bu modülün bütün uygulamaları yalnız okuma yapar; komut satırında okumak, değiştirmekten her zaman önce gelir.

Dikkatli olmak bir savunmadır, çünkü kabuğa yazılan bir komut senin yetkinle çalışır. Süreçler ve izinler dersinde gördüğümüz gibi, yönetici yetkisiyle açılmış bir kabuk bütün sisteme dokunabilir. Bu yüzden üç kural vardır. Anlamadığın bir komutu, kim verirse versin, yazma ya da yapıştırma; telefonda sana komut yazdıran bir "destek görevlisi" neredeyse her zaman bir dolandırıcıdır. İnternetten indirilen bir betiği okumadan çalıştırma; kaynağı resmî olsa bile ne yaptığına bir kez bak. Ve kabuğu yalnız gerektiğinde yönetici olarak aç; okumak için standart yetki yeter.

Görünür kılmak kurumların savunmasıdır. Kabukların ve betik dillerinin kullanımı kayıt altına alınabilir; PowerShell'in betik bloğu kaydı gibi özellikler, bir bilgisayarda hangi komutların çalıştırıldığını gösterir. Bu kayıtlar, olağan yönetim işlerinden farklı bir saatte, farklı bir kullanıcıyla ya da tuhaf biçimde gizlenmiş komutlarla yapılan kullanımı fark etmeyi sağlar. Çerçevenin önerdiği diğer önlem de, betik dillerinin tehlikeli özelliklerini sıradan kullanıcılar için kısıtlamaktır. Bunları Seviye 5'te Windows ve uç nokta güvenliğinde ayrıntılı işleyeceğiz.

Uygulama

Sıra sende: bir kabuk açacak, hangi kabuğu kullandığını öğrenecek ve yalnız bilgi okuyan birkaç zararsız komut çalıştıracaksın. Hiçbir şey değiştirmeyeceksin.

Son komut önemli bir şey öğretir: kabuk, yazdıklarını hatırlar ve çoğu kabuk bu geçmişi bir dosyada saklar. Bir komutun içine parola yazmak, o parolayı geçmiş dosyasına düz metin olarak bırakmak demektir.

Defter: Envanterde her bilgisayarın yanına kullandığı kabuğun adı ve sürümü. Acil durum sayfasına üç satır: telefonda ya da mesajla bana komut yazdırmak isteyen kimseye güvenmem; internetten gelen betiği okumadan çalıştırmam; komutlara parola yazmam.

Hata köşesi

Etik ve sınırlar

Kabuk, bir bilgisayarı en doğrudan yönetmenin yoludur ve bu güç, yalnız yetkin olan bilgisayarlarda kullanılır. Kendi bilgisayarında komut çalıştırmak senin hakkındır; bir iş bilgisayarında komut satırının kullanımı kurumun kurallarına tabidir ve bazı kurumlar onu sıradan kullanıcılar için kısıtlar. Başkasına ait bir bilgisayarda, bir arkadaşının ya da bir müşterinin cihazında, sahibinin izni olmadan komut çalıştırmak, o sistemin işleyişine müdahaledir. Telefonda "destek" adı altında birine komut yazdırmak da dolandırıcılığın en eski yollarından biridir; birinin makinesine bu yolla ulaşmak, amaç masum görünse de, onun açık ve bilinçli rızasını gerektirir.

Kapanış

1. Komut satırı bilgisayara metinle komut vermenin yoludur; kabuk bu komutları işletim sistemine ileten programdır ve hız, tekrarlanabilirlik ve otomasyon sağladığı için güvenlik işinin büyük kısmı burada yürür.
2. Betik, bir dosyaya yazılmış komutlar dizisidir; Bora'nın yedek kontrolü gibi, bir insanın hatırlamasına bağlı işleri güvenilir bir rutine dönüştürür.
3. Saldırganlar da bilgisayarda zaten bulunan kabuğu kullanır; savunma, anlamadığın komutu çalıştırmamak, internetten gelen betiği okumadan çalıştırmamak ve kurumlarda kabuk kullanımını kayıt altına almaktır.

Üç soru

1. Gülay Hanım, Kaan'ın bir öğleden sonrasını alacak işi neden birkaç saniyede yapabildi?
2. Defne Hanım'ın bürosunu arayan "destek görevlisi" neden çalışana bir komut yazdırmak istiyordu?
3. Saldırganların bilgisayardaki kabuğu kullanması, savunmacının işini nasıl etkiler?

Yanıtlar

1. Çünkü kabuk metinle çalışır ve tek bir komut, otuz dosyanın tamamında aynı aramayı birkaç saniyede yapabilir. Grafik bir metin düzenleyici büyük dosyalarda yavaşlar ve her dosyada aynı işi elle tekrarlamak gerekir. Komut ayrıca kaydedilip bir sonraki olayda birebir tekrarlanabilir.
2. Çünkü bir komut, onu yazan kişinin yetkisiyle çalışır. Çalışana bir komut yazdırmak, dolandırıcının bilgisayara uzaktan erişim yazılımı kurmasını, bilgi toplamasını ya da kötü amaçlı bir betik çalıştırmasını sağlayabilirdi. Kimse sana tanımadığın bir komutu yazdırmamalıdır; böyle bir istek tek başına alarm sebebidir.
3. Saldırgan yeni bir program getirmeden zaten orada olan kabuğu kullandığında, yalnız bilinen kötü programları arayan önlemler onu görmeyebilir. Savunmacı bu yüzden kabuk ve betik kullanımını kayıt altına almalı ve olağan yönetim işlerinden farklı saatlerde, kullanıcılarla ya da gizlenmiş komutlarla yapılan kullanımı fark etmeyi öğrenmelidir.

Sonraki derse köprü

Bu derste kabuğu açtın ve kim olduğunu sordun. Komut satırında yapılan işlerin neredeyse hepsi bir yerde başlar: doğru klasörde olmak ve doğru dosyayı bulmak. Sıradaki ders dosyalarda gezinmeyi ele alıyor: dizinler ve yollar arasında dolaşmayı, bir klasörün içini listelemeyi ve bir dosyanın içeriğini değiştirmeden okumayı.