Dosya bütünlüğü izleme nedir?
Dosya bütünlüğü izleme (File Integrity Monitoring, FIM), önemli dosya ve dizinlerin içeriğini, izinlerini ve sahipliğini bilinen sağlam bir referansla karşılaştırarak yetkisiz değişiklikleri tespit eden güvenlik kontrolüdür. Sunucuya yerleştirilmiş bir webshell veya değiştirilmiş sistem ikilisi böylece fark edilir.
Mantık basittir: dosyanın kriptografik özeti ilk durumda kaydedilir; sonraki taramalarda özet değişirse uyarı üretilir.
Nasıl çalışır?
Araç, izlenecek yolların bir temel çizgisini (baseline) oluşturur: özet değeri, boyut, izinler, sahip, değişim zamanı. Periyodik tarama veya çekirdek düzeyinde gerçek zamanlı olay yakalama (örneğin inotify, denetim alt sistemi) ile değişiklikler kıyaslanır. Meşru güncellemeler için temel çizgi yenilenmelidir.
Gürültüyü azaltmak için sık değişen dizinler (önbellek, oturum, günlük) hariç tutulur; ayar dosyaları, /etc, /bin, /usr/bin, web kök dizini ve çalıştırılabilir betikler öncelikli izlenir.
Sunucu ve hosting ortamında
Web sitelerinde en değerli kullanımı, kod dizinlerinde beklenmeyen .php dosyalarını ve değişmiş çekirdek dosyalarını yakalamaktır. WordPress'te çekirdek dosyalarının resmî özetlerle karşılaştırılması benzer işi yapar. Sistem tarafında AIDE, Tripwire ve Wazuh gibi araçlar, ayrıca ileri düzey kurulumlarda auditd kuralları kullanılır.
Güncelleme sonrası yaşanan toplu değişimler uyarı seline yol açar; bakım pencerelerini araçla eşleştirmek gerekir.