Komut satırı başvuru kartı

Açılış

Kaan'ın ilk tek başına gece vardiyasıydı. Gülay Hanım çıkmadan önce monitörün kenarına katlanmış bir kâğıt sıkıştırdı ve "Gece bir şey olursa önce buna bak, sonra beni ara" dedi. Kaan kâğıdı açmadı bile; altı haftadır komut satırında çalışıyordu.

Saat ikiyi kırk geçe, depo yönetim sisteminin bir Linux sunucusundan alarm geldi: işlemci kullanımı birden tavana vurmuştu. Kaan sunucuya bağlandı ve parmakları klavyenin üstünde kaldı. Bütün alıştırmalarını Windows'ta yapmıştı; süreç listesini PowerShell'de nasıl alacağını biliyordu ama burada aynı işi gören komutun adını hatırlayamadı. Bir dakika internette aradı, bulduğu ilk forum cevabı ona süreçleri sonlandıran bir komut öneriyordu.

Kâğıdı açtı. Üst satırda Gülay Hanım'ın el yazısıyla "Önce oku, sonra değiştir" yazıyordu. Altında küçük bir tablo vardı: solda yapılacak iş, sağda üç işletim sisteminde o işi gören okuma komutu. Kaan süreç satırını buldu, çalıştırdı ve otuz saniyede yüksek kullanımın gece yedeklemesine ait olduğunu gördü. Bu ders, Gülay Hanım'ın kâğıdının kendi sürümünü yazmayı öğretiyor.

Tek fikir

Baskı altında hafıza değil kâğıt çalışır. İyi bir başvuru kartı yalnız durumu gösteren komutları içerir, her satırı kendi bilgisayarında denenmiştir ve ilk dakikalarda bir şeyi bozmadan bakmayı sağlar.

Nasıl çalışır

Bu modül boyunca altı ayrı iş öğrendik: kabuğu tanımak, dizinlerde gezinmek, izinleri okumak, süreçleri görmek, ağ tablolarını okumak ve günlükleri süzmek. Her iş için üç işletim sisteminde ayrı bir komut gördük ve toplam sayı ellinin üstüne çıktı. Bunların hepsini akılda tutmak gerekmez; ama hangisinin nerede yazılı olduğunu bilmek gerekir.

Kartın ilk ilkesi, yalnız okuyan komutları içermesidir.

Bu ayrım bir olayın ilk dakikalarında hayati önemdedir. Kaan'ın forumda bulduğu cevap, süreci sonlandırarak sorunu "çözmeyi" öneriyordu. Süreç gerçekten kötü niyetli olsaydı, sonlandırmak onun bellekteki izlerini yok eder ve ne olduğunu anlamayı zorlaştırırdı; masum bir yedekleme olsaydı, o geceki yedek yarım kalırdı. Her iki durumda da önce bakmak, sonra karar vermek doğruydu.

Kartın düzeni de bir karardır. Gülay Hanım'ın tablosunun sol sütununda komut adları değil sorular duruyordu: hangi hesaptayım, kim konuşuyor, son hatalar ne? Bunun sebebi, baskı altındaki insanın aklına komutun adının değil sorunun gelmesidir. Kaan süreç listesini veren komutun adını hatırlayamadı, ama sunucuda neyin çalıştığını bilmek istediğini biliyordu; soruyu sol sütunda buldu, cevabı sağda. Satırların sırası da rastgele değildir. Kart, bir olayda sorulacak soruların sırasını izler: önce kim olduğun ve nerede olduğun, sonra makinenin içinde ne çalıştığı, sonra dışarıyla nasıl konuştuğu, en son da geçmişte ne olduğu. Bu sıra, uçucu bilginin önce bakılmasını da kendiliğinden sağlar: süreçler ve bağlantılar birkaç dakika içinde değişebilir, günlük ise saatlerce yerinde durur.

Kartın ikinci ilkesi, her satırının kendi bilgisayarında denenmiş olmasıdır. Kâğıda yazılan ama hiç çalıştırılmamış bir komut, gece ikide çalışmayan bir komuttur: bir harf eksiktir, bir seçenek o sürümde yoktur ya da çıktı beklenen biçimde değildir. Gülay Hanım'ın kartındaki her satır, onun kendi test makinelerinde çalıştırılmıştı.

Kartın üçüncü ilkesi, yardımın nerede olduğunu da söylemesidir.

Son bir ilke, kartın sınırını da bilmektir. Kartın komutları, işletim sisteminin sana söylediğini gösterir; işletim sisteminin kendisi ele geçirilmişse söylediği de değişebilir.

Sahada

Savunma

Bir başvuru kartının savunmadaki işi, baskı altındaki ilk dakikalarda yanlış hareketi önlemektir.

Önlemede kart, olaydan önce yapılan bir hazırlıktır. Kaan'ın kâğıdı gece ikide yazılmadı; Gülay Hanım onu sakin bir günde, kendi makinelerinde deneyerek yazdı. Olay sırasında internette aranan komutlar, Kaan'ın gördüğü gibi, çoğu zaman sorunu çözmek için değiştiren komutlardır ve kimin yazdığı, hangi sistem için yazıldığı belli değildir.

Tespitte kart, olağan ile olağandışını ayırmanın hızlı yoludur. Bu modülün her dersinde bir şeyin olağan hâlini kaydetmeyi önerdik: hangi süreçlerin çalıştığını, hangi portların dinlediğini, günlüğün hangi kaynaktan sık hata yazdığını. Kart, bu kayıtlarla karşılaştırma yapacağın komutları bir araya getirir.

Müdahalede kart, delili korur. Salt okunur komutlar sistemi değiştirmez; çıktılarını bir dosyaya kaydetmek ise sonradan inceleyecek kişiye o anın bir fotoğrafını bırakır. Bora'nın nöbetçi teknisyeni tam olarak bunu yaptı. Kurumlarda bu adım olay müdahale planının bir parçasıdır ve Seviye 8'de ayrıntılı ele alınacak; evde ise kartın altına "çıktıları kaydet, kimseyi bekletme, ara" yazmak yeterlidir.

Kartın kendisi de korunmalıdır. Kartta parola, sunucu adresi ya da hesap adı yazmaz; yalnız komutlar ve işler yazar. Kurum kartı herkesin görebileceği bir yerde asılı durabilir, ama içeriği bir saldırgana harita vermemelidir.

Uygulama

Bu başvuru kartı dersinin ağırlık merkezi kartın kendisidir. Aşağıdaki tablo, modül boyunca kullandığımız salt okunur komutları üç işletim sisteminde yan yana dizer. Sütunlardan yalnız kendi kullandığın sistemi kopyalayabilirsin.

Defter: Arka kapakta denenmiş kart, denediğin tarih ve işletim sistemi sürümü. İşletim sistemi büyük bir güncelleme aldığında kartı yeniden dene. Acil durum sayfasından bu karta bir ok çiz.

Hata köşesi

Etik ve sınırlar

Kartındaki komutların hepsi, kendi bilgisayarında ya da bakmaya yetkin olan bir sistemde çalıştırılmak içindir. Kaan sunucuya, vardiyasının ona verdiği yetkiyle bağlandı; Defne Hanım'ın kıdemli çalışanı komutları kendi masasındaki bilgisayarda çalıştırdı. Çıktıları paylaşırken de dikkat gerekir: bir süreç listesi ya da bağlantı tablosu, kullanıcı adlarını, bilgisayar adlarını ve iç adresleri içerir. Yardım istemek için bir foruma çıktı yapıştıracaksan önce bu bilgileri karart; kurumun çıktısını ise kurumun izin verdiği kanalların dışına hiç taşıma.

Kapanış

1. Başvuru kartı, baskı altında hafızanın yerini alan ve yalnız durumu gösteren, hiçbir şeyi değiştirmeyen komutlardan oluşan kısa bir listedir.
2. Kartın her satırı kendi bilgisayarında denenmiş olmalı; çalışmayan satır kılavuz sayfasından düzeltilir ve kart büyük güncellemelerden sonra yeniden sınanır.
3. Kart ilk dakikalarda delili korur ve yanlış hareketi önler, ama ele geçirilmiş bir sistemde son sözü söylemez; çıktılar kaydedilir ve yetkili kişiye ulaştırılır.

Üç soru

1. Kaan'ın forumda bulduğu cevap neden tehlikeliydi ve Gülay Hanım'ın kartı onu nasıl farklı bir yola soktu?
2. Tolga'nın eski kartta bulduğu satır neden karttan çıkarıldı ve yerine hangi kural kondu?
3. Temiz görünen bir komut çıktısı neden ciddi bir şüpheyi tek başına kapatmaz?

Yanıtlar

1. Cevap, süreçleri sonlandıran bir komut öneriyordu; yani bakmadan değiştirmeyi. Süreç kötü niyetli olsaydı izleri kaybolacak, masum bir yedekleme olsaydı yarım kalacaktı. Kartın üst satırı "önce oku, sonra değiştir" diyordu ve Kaan süreci yalnız listeleyerek yüksek kullanımın gece yedeklemesine ait olduğunu otuz saniyede gördü.
2. Satır bir dizinin bütün izinlerini herkese açıyordu; izin hatasını "çözmek" için güvenlik açığı yaratan, sistemi değiştiren bir komuttu. Selin satırı sildi ve karta yalnız okuyan komutların duracağını, değiştiren her adımın ayrı bir prosedürle ve onayla yapılacağını yazdı.
3. Kartın komutları işletim sisteminin verdiği bilgiyi gösterir. Sistem tamamen ele geçirilmişse, çekirdek düzeyinde çalışan araçlar bu komutlara yanlış bilgi döndürebilir; bu yüzden temiz bir çıktı ilk bakış için yeterlidir ama ciddi şüphede inceleme donanımlı ve yetkili ekibe bırakılır.

Sonraki derse köprü

Kart bu modülü ve Dijital Dünyanın Temelleri seviyesini kapatıyor: artık bir bilgisayarın içini, ağını ve tarayıcısını okuyabiliyorsun. Bir sonraki adım, bu bilgisayarlara ve hesaplara kimin girebildiği sorusu ve o sorunun en eski cevabı. Ders 6.1 parolaların neden zayıfladığını ele alıyor: tahmin, tekrar kullanım ve sızıntının bir parolayı nasıl ele verdiğini ve uzunluğun neden karmaşıklıktan daha önemli olduğunu.