Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz

12 Pages·2016·0.82 MB·Turkish

Fırat Üniv. Müh. Bil. Dergisi Science and Eng. J of Fırat Univ.
28 (2), 291-302, 2016 28 (2), 291-302, 2016
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine
Yönelik Web Tabanlı Log Analiz Platformu
Muhammet BAYKARA1, Resul DAŞ1*, Gürkan TUNA2
1Fırat Üniversitesi Teknoloji Fakültesi Yazılım Mühendisliği Bölümü, 23119/ELAZIĞ
2Trakya Üniversitesi, Teknik Bilimler Meslek Yüksek Okulu, Bilgisayar Programcılığı, EDİRNE
*[email protected]
(Geliş/Received: 28.06.2016; Kabul/Accepted: 29.09.2016)
Özet
İnternetin her alanda kullanıldığı ve yaşantımıza yön verdiği bir zamanda yaşamaktayız. Doğal olarak bu değişim
bilgisayarları ve dijital dünyayı hayatımızın vazgeçilmezleri arasına yerleştirmiş ve sürekli bir ihtiyaç haline
getirmiştir. Günümüzde hemen hemen her şey dijital ortamlarda yapılmaktadır. İşte dijital ortamların bu kadar
yaygın olması ve günlük işlerin büyük çoğunluğunun buradan gerçekleştirilmesi, yapılan işlemlerin güvenliğini
sağlamanın gerekliliğini de büyük oranda arttırmış, bilgilerin yetkisiz kişilerin eline geçmesini önlemek
zorlaşmıştır. Bu sebeple bilgi güvenliğinin sağlanmasına yönelik yapılan çalışmalar da artmıştır. Bu çalışmada
web sunucularına yönelik olarak gerçekleştirilen kötücül aktivitelerin tespitine yönelik bir log analiz ve takip
yazılımı geliştirilmiştir. Web erişim kayıtlarının analiz edilmesi, sistem üzerinde yaşanabilecek olası saldırıların
erken fark edilmesinde ve saldırı örüntülerinin tespit edilebilmesinde önemli bir rol oynamaktadır. Geliştirilen log
analiz platformu ile web sunucularına yapılan saldırılar istatistiksel olarak rapor edilebilmektedir.
Anahtar Kelimeler: Bilgi güvenliği, Saldırı tespit sistemleri, Log analizi, Web sunucu güvenliği.
Web Based Log Analysis Platform for Detection of Web Attacks from Web
Server Access Logs
Abstract
Internet is used in all areas and we are living at a time when it gives direction to our lives. Naturally, these changes
have placed computers and digital world has become an indispensable part of our lives and a constant need.
Nowadays, almost everything is done in the digital environment. Here the digital realization here the majority of
the daily work is so common, the need to ensure the security of transactions has also increased to a large extent,
the information is difficult to avoid falling into the hands of unauthorized persons. This is done in order to ensure
information security reason, the work also increased. In this study, a log analysis and monitoring platform for the
detection of malicious activity performed for the web server has been developed. Analysis of Web access logs, in
the early detection of possible attacks that may occur on the system and plays an important role in the attack pattern
is detected. Made to the web server log analysis platform developed by attacks it can be reported as statistically
significant.
Keywords: Information security, Intrusion detection systems, Log analysis, Web server security.
1. Giriş sistemleri hem iç tehditlere karşı hem de dışarıdan
gelebilecek olası kötücül amaçlı tehditlere karşı
Bilgi güvenliği, günümüzde dijital
korunmak zorundadır [1, 2].
ortamlarda artan veri hacmi düşünüldüğünde
Bilgi güvenliği sistemlerinin korunması için
önemi her geçen gün daha da artan bir unsur
alınması gereken birçok önlem vardır.
haline gelmiştir. Bilgi sistemlerinde güvenliğin
Günümüzde özellikle gelişen teknoloji ile birlikte
sağlanması için çok çeşitli çalışmalar
yeni açıklıklar meydana gelebilmektedir. Bu da
yapılmaktadır [1]. Bilgi güvenliği sistemlerinde
güvenliğin sağlanabilmesini zorlaştırmakta; bilgi
insan faktörü en zayıf halkadır. Sistemler
güvenliği yönetim sistemi araçlarının ve güvenlik
üzerinde kullanım yetkisi bulunan kişiler dahi
yönetiminin sürekli olarak güncellenmesini
bilinçsiz kullanım sonucu sisteme farkında
gerektirmektedir. Bilişim sistemlerinde
olmadan zarar verebilmektedir. Bu sebeple bilgi
tehditlerin belirlenmesi ve kötücül aktivitelerin
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu
tespit edilebilmesi için kullanılabilecek veri almaktadırlar. Saklanan bu dosyalar türüne göre
kaynaklarından birisi de log dosyalarıdır. Bilişim farklı formatlarda olabilmektedir. Log dosyaları
sistemlerinde kullanılan birçok cihaz ve sistem için bir kategorizasyon Şekil 1’de verilmiştir [3].
üzerinde meydana gelen olayları kayıt altına
alırlar. Bu log kaydı, zamana bağlı olarak hangi 2.1. Sistem Log Dosyaları
kullanıcının hangi aktiviteyi yaptığını gösterir.
Log kayıtları bir uçağın kara kutusuna benzer bir Sistem log dosyaları, işletim sistemleri
şekilde işlev gören text dosyalarıdır. Farklı üzerinde çalışan ve gerçekleşen olayları kaydeden
formatlardaki log kayıtları, üzerinde bulundukları dosyalardır. Microsoft Windows ya da Linux gibi
sistem ile ilgili birçok bilgiyi tutmaktadır. Bu sistemlerde meydana gelen olayları saklayan
bilgiler ile saldırı tespiti, adli bilişim süreç analizi, dosyalardır. Bu kayıtlar, bu tarz sistemlere normal
performans analizleri, adli olayların ve anormal girişlerin belirlenmesine yardımcı
aydınlatılması vb. mümkün olabilmektedir. olmaktadır. İşletim sistemlerinde bu log
Log dosyaları, öneminden dolayı günümüzde dosyalarının toplanması, bilişim sistemi
artık yasal bir zorunluluk olarak düzenli bir yöneticilerinin işletim sistemleri ve
biçimde arşivlenmesi ve korunması zorunlu hale uygulamalardaki performans sorunlarını
gelmiştir. Bu zorunluluk belirli standartlar ve çözmelerinde önemli bir rol oynamaktadır. Sistem
kanunlar ile desteklenmiştir. 5651 sayılı kanun, loglarındaki bu kayıtlar, sistem üzerinde meydana
FISMA (Federal Information Security gelen yetkisiz erişimlerin, tehlikeli aktivitelerin,
Management Act), HIPAA (Health Insurance veri hırsızlığının, virüs ya da solucan gibi çeşitli
Portability and Accountability Act), SOX sebeplerle oluşan kötücül, riskli aktivitelerin
(Sarbanes-Oxley), ISO 17799 gibi ismi sıkça tespiti için büyük önem taşımaktadır. Windows
duyulan kanun, düzenleme ve standartlar da log işletim sistemlerinde üç çeşit sistem log dosyası
tutma konusunu zorunlu tutmuştur [3]. vardır. Bunlar uygulama log dosyaları, güvenlik
Günümüzde artık bilişim sistemleri, log dosyaları ve sistem log dosyalarıdır [3].
otomasyon sistemleri, elektronik doküman
yönetim sistemleri vb. birçok yazılım web tabanlı
Log Dosyaları
olarak geliştirilmektedir. İnternete erişimin
mümkün olduğu her yer ve cihazdan ulaşılabilir
olan web tabanlı bu sistemler arttıkça güvenlik
Sistem Logları Ağ Cihazı Logları
hususu da önem kazanmaktadır. Web tabanlı bu
sistemler, kurumsal anlamda büyük bir öneme
Uygulama Logları Yönlendirici Logları
sahip olan altyapılardır. Bu gibi sistemlere
Güvenlik Logları Anahtar Logları
yapılabilecek olası saldırılar maddi manevi
kayıplara yol açabilmektedir. Sistem Logları Güvenlik Duvarı
Logları
Bu çalışmada web sunucularına Uygulama
Sunucu Logları
yapılabilecek olası saldırıların tespit ve analizine
yönelik olarak log analizi ve takip yazılımına
Web Sunucu E-Posta Sunucu Veri Tabanı
sahip web tabanlı bir platform geliştirilmiştir.
Logları Logları Sunucu Logları
Sağlıklı gerçekleştirilmiş bir log/izleme altyapısı,
yaşanmış saldırıların analizinde veya yaşanacak Erişim Logları
muhtemel saldırıların erken fark edilmesinde
Etmen Logları
hayati bir role sahiptir. Gerçekleştirilen yazılım
Hata Logları
ile sistem üzerindeki log kayıtları analiz edilip
Referans Logları
çeşitli istatistikler çıkarılabilmekte ve saldırı
Şekil 1. Log dosya kaynakları [3]
tespiti yapılabilmektedir.
2.1.1. Uygulama Logları
2. Log Dosyaları ve Türleri
Uygulama logları, işletim sistemleri vb. çatı
Bilişim sistemlerinde birçok sistem üzerinde
yazılım sistemleri üstünde çalıştırılan uygulama
gerçekleşen olayları log dosyalarında kayıt altına
292
Muhammet BAYKARA, Resul DAŞ, Gürkan TUNA
ve programların gerçekleştirdikleri olaylar istemcilerin aktivitelerini düz metin formatında
hakkında bilgi içermektedir. Örneğin bir veri saklamaktadırlar [6, 7]. Saklanan bu bilgilerin
tabanı yönetim sistemi programı, uygulama log analiz edilmesiyle, kullanıcılara ait birçok önemli
dosyasına dosya hatalarını kaydedebilir. Program bilgi elde edilebilmektedir. Kullanıcıların istekte
geliştiriciler hangi olayların kaydedileceğine bulunduğu URL adresleri, IP adresleri, işlemlerin
karar verebilmektedir [3, 4]. gerçekleştirildiği tarih-saat bilgileri, referans
başlığı bilgileri, HTTP durum kodları, servis
2.1.2. Güvenlik logları edilen verinin byte olarak miktarı ve kullanıcı
etmen dosyaları bu bilgilere örnek olarak
Güvenlik log dosyası (Security Log), sistem verilebilir.
üzerinde oturum yönetimi, dosya yönetimi ve Literatürde genel olarak dört tip sunucu log
kaynak kullanımı ile ilgili olayları kaydeden log kaydından söz edilmektedir [3]. Bunlar;
dosyası türüdür. Geçerli geçersiz oturum açma - Erişim Logları (Access Logs)
girişimleri, dosya oluşturma, dosya açma, dosya - Etmen Logları (Agent Logs)
silme vb. kaynak kullanımı olayları güvenlik log - Hata Logları (Error Logs)
dosyalarında tutulmaktadır. Hangi olayların - Referans Logları (Referer Logs)’dır.
güvenlik log dosyalarına kaydedileceğini Erişim logları:
belirlemek için ilgili sistem üzerinde yönetici Web sunucusu tarafından işlenen bütün
olarak oturum açılmış olması gerekmektedir [3, istekleri kaydeden log dosyalarıdır. Bu dosyalar
5]. üzerlerinde bulundukları servisin açılmasından
kapanmasına kadar geçen süre içerisinde kullanıcı
2.1.3. Sistem loğları erişim bilgilerini kaydederler. Sunucu servisi açık
olduğu sürece bu dosyalar diskte bulundukları
Sistem logları (System Logs) Windows yerden silinemez ya da taşınamazlar. Bu
işletim sistemi bileşenleri tarafından kaydedilen dosyaların silinmesi için sunucu servislerinin
olayları içermektedir. Örneğin, bir sürücü veya kapalı olması gerekmektedir.
sistem bileşeni, işletim sistemi başladığında Etmen logları:
yüklenemiyorsa bu olay sistem günlüğüne Etmen logları, sunucu üzerinde sistem
kaydedilmektedir. Sistem bileşenleri tarafından yöneticisi tarafından aktif ya da pasif edilebilen
kaydedilen olay türleri Windows tarafından dosyalardır. Sistem yöneticisi gerektiğinde
önceden belirlenmektedir [3]. sunucu üzerinde bu seçeneği aktif yaparak etmen
dosyalarının kaydedilmesini sağlayabilir. Bu
2.2. Uygulama sunucusu log dosyaları dosyaların içerdiği bilgiler birleştirilmiş günlük
biçimi tarafından da kaydedilebildiği için sunucu
Kişisel bilgisayarlardaki işletim sistemleri performansını düşürücü bir etken olmaması
gibi sunucular üzerinde bulunan işletim sistemleri açısından bu tip log dosyalarının aktif yapılması
de sunucu üzerinde gerçekleşen olaylar ile ilgili aksi bir durum olmadıkça tercih edilmez.
kayıtları log dosyalarında tutmaktadır. Kayıtların Etmen dosyaları, sunucu ile bağlantı kuran
tutulduğu bu dosyalarda, sunucu üzerinde istemcilerin web tarayıcı bilgileri ile kullandıkları
gerçekleşen erişimler, hatalar, bağlantı hataları, işletim sistemi bilgilerini tutarlar.
yüklenen dosyalar, çalıştırılan komutlar, erişilen Hata logları:
nesneler, giriş kayıtları, veri tabanı aktiviteleri En önemli log dosyalarından olan hata
gibi önemli olaylar kaydedilmektedir [3]. logları, sistem yöneticilerinin sunucu üzerinde
oluşan hataları görmelerini sağlamaktadırlar.
2.2.1. Web sunucu loğları Herhangi bir istemci, sunucu üzerinde
bulunmayan bir dosyaya erişmek istediğinde kırık
link hatası ile karşılaşacaktır. Bu hata sunucu
Web sunucu log dosyaları, sunucu
üzerindeki hata log dosyasına kaydedilmektedir.
platformundan bağımsız düz metin (ASCII)
Referans Logları:
dosyalarıdır. Bu dosyalar, web tarayıcısı
Referans logları, HTTP isteği başlığındaki
üzerinden web sunucusuna erişim sağlayan
“referer” alanı bilgilerini kaydetmektedirler. Bu
293
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu
alanda bulunan doküman adresleri, bir önceki (access list) takılan bağlantılar gibi güvenlik
adres de göz önünde bulundurularak referans açısından önemli olan bilgilerin kaydı
loglarına kaydedilir. tutulabilmektedir [3].

2.2.2. E-posta sunucu loğları 2.3.1. Yönlendirici Log Dosyaları

Bir e-posta sunucusu, SMTP (Simple Mail Yönlendirici, OSI referans modelinin 3.
Transfer Protocol), POP3 (Post Office Protokol 3) katmanında çalışan ağ protokollerini destekleyen
ve IMAP (Internet Message Access Protocol) ve ağları birbirine bağlayan cihazdır. Bir ya da
protokollerini kullanarak e-posta alıp gönderme daha fazla ağ arasındaki kesişim noktasıdır.
hizmeti vermektedir. İsminden de belli olduğu üzere, yönlendirme
E-posta sunucuları, 25. port üzerinden mesaj görevinden dolayı iki ağ arasındaki veri
gönderip almaktadır. İki e-posta sunucusu iletişiminin doğruluğunu ve iletişimini
aralarında konuşmaya başladıklarında ilk olarak sağlamaktadırlar.
SMTP protokolüne özgü olarak el sıkışma diye
tabir edilen safhayı gerçekleştirmektedir. O anda 2.3.2. Anahtar Log Dosyaları
her sunucu hangi kullanıcıdan hangi kullanıcıya
e-posta göndereceği ve alınacağı konusunda Anahtarlar, ağ üzerindeki bilgisayarların ve
birbirlerine gerekli bilgileri verirler ve eğer alıcı diğer ağ aygıtlarının birbirlerine bağlanmasını
sunucuda ilgili e-posta hesabı var ise veri akışı sağlayan ağ aktif cihazlarındandır. OSI referans
başlamaktadır [3]. Bu veri akışı esnasında e-posta modelinin 2. katmanında çalışırlar. Ancak yeni
sunucuları gelen ve giden e-postalar ile ilgili nesil anahtarlarda IP Routing özelliği de
bilgileri log dosyalarında tutmaktadırlar. olduğundan bu anahtarlar OSI referans modelinin
3. katmanında da çalışmaktadırlar. Diğer ağ
2.2.3. Veri Tabanı Sunucu Logları cihazları gibi anahtarlar da üzerlerinde
gerçekleştirdikleri işlemler için log kayıtları
Veri tabanı sunucuları, herhangi bir veri tutmaktadırlar.
tabanı yönetim sisteminin üzerinde bulunduğu
sunuculardır. Bu sunucular, web sunucuları gibi 2.3.3. Güvenlik Duvarı Log Dosyaları
işlev görmektedir. Web sunucularında olduğu gibi
istemciler ağ ortamından belli kurallar Güvenlik duvarları bilgisayarlar ve ağlar
doğrultusunda veri tabanı sunucularına erişim arasındaki ağ trafiği akışını kontrol eden yazılım
sağlayabilmektedirler. Bu erişimler sonucunda veya donanımlardır. Günümüzde güvenlik
web sunucularında olduğu gibi veri tabanı duvarları artık sadece ağ trafiğini
sunucuları da sunucu üzerinde meydana gelen denetlememekte, ayrıca bazı saldırıların tespitini
hatalarla ilgili, başarılı ve başarısız erişimler ile de yapabilmektedir. İnternet ve intranet
ilgili bilgileri log dosyalarına kaydetmektedirler. kullanıcıları güvenlik duvarlarını kullanarak
bağlantılarını güvenli hale getirmektedirler.
2.3. Ağ Cihazı Log Dosyaları Yönlendirici ve anahtarlarda olduğu gibi
donanımsal ya da yazılımsal olarak hizmet sunan
Ağ cihazları, ağ alt yapısı tarafından güvenlik duvarları da ağ ortamında gerçekleşen
gerçekleştirilen işlemler ile ilgili log dosyalarını olayları log dosyalarına kaydetmektedirler.
saklamaktadırlar. Yönlendirici (Router), anahtar
(Switch) ve güvenlik duvarı (Firewall) gibi ağ 3. Saldırı Tespit Sistemleri Açısından Log
cihazları üzerlerinden geçen ağ trafiği ile ilgili Dosyaları
bilgileri kaydetmektedirler. Bu kayıtlar, güvenlik
zafiyetlerinin belirlenmesinde ve önlem Saldırı tespiti, bilişim sistemlerinde veya
alınmasında büyük önem taşımaktadır. Cihaz ağda meydana gelen olayları izleyip analiz
arayüzlerinin durum değişikliği, sistem ederek, bilginin gizliliğini, bütünlüğünü ve
konfigürasyon değişikliği, erişim listelerine erişilebilirliğini bozmak ya da sistemin güvenlik
mekanizmalarını aşmak için yapılan aktiviteler
294
Muhammet BAYKARA, Resul DAŞ, Gürkan TUNA
olarak tanımlanan saldırı işaretlerini yorumlama gerçekleştirilmesinde kullanılır. STS’ler
sürecidir [9]. En basit tanımıyla, saldırı tespit denetleme izini, daha çok sistemde tanımlı
işlemini yapmak için geliştirilen sistemlere ise bulunan kullanıcıların veya grupların hareket-
“saldırı tespit sistemleri (STS)” denir. davranış örüntülerini çıkarmak için kullanır.
STS’lerin sınıflandırılmaları için birçok farklı Günlük yapılan işler ve bu işlere yönelik olarak
kriter kullanılabilir. Genel olarak kullanılan sistemdeki yetkiler göz önünde bulundurularak
kriterler şöylece sıralanabilir: kullanıcı profilleri oluşturulur. Çeşitli analizlerle
- Saldırı tespit yöntemi, bu profillerin doğrulukları ispatlanır. STS’ler bu
- Mimari yapı, belirlenen profillere aykırı her türlü hareketi
- Korunan sistem türü, saldırı olarak algılar [9].
- Veri işleme zamanı, STS’ler açısından bir başka bilgi kaynağı
- Kullanılan bilgi kaynağı. yapısı olan ağ paketleri; koklayıcılar (sniffers)
STS’lerin en çok kullanılan bu sınıflandırma tarafından ağ trafiğinin dinlenmesiyle elde edilir.
kriterlerine göre sınıflandırılması Şekil 2’de Bu günlükler daha çok hizmet aksattırma (DoS)
verilmiştir. STS’ler, saldırıların tespitine yönelik saldırılarını tespit etmekte kullanılır. Ağ
olarak bilgi kaynaklarını analiz ve karşılaştırma paketlerinin dinlenmesiyle elde edilen bilgiler
yapmak için kullanırlar. Saldırı tespiti için sayesinde, sunucu tabanlı STS’lerden farklı
temelde kullanılabilecek bilgi kaynakları, olarak, ağ katmanında gerçekleşen saldırı
bilgisayar veya ağ paketlerinin dinlenmesinden olaylarını da tespit etmek mümkün
elde edilebildiği gibi, kullanıcıların davranış olabilmektedir.
örüntülerinden de elde edilebilir. STS açısından Uygulama log dosyaları; uygulama
kullanılabilecek bilgi kaynakları “denetleme izi”, katmanında gerçekleşebilecek saldırıları tespit
“ağ paketleri” ve “uygulama kayıt (log)” etmekte kullanılabilir. Bu veri kaynağı, diğer iki
dosyalarıdır. kaynaktan daha kolay elde edilebilmektedir ancak
Saldırı Tespit saldırı tespit oranı daha düşüktür. Ayrıca gerçek
Sistemleri zamanlı bir saldırı tespiti yapılması gerekiyorsa,
eş zamanlı olarak uygulama log dosyalarının hem
oluşturulup hem analiz edilmesi gibi bir yapı
Veri İşleme
Mimari Yapı pratikte pek mümkün olamayacağından bu bilgi
Zamanı
kaynağı kullanılmaz. Daha çok saldırı ile analiz
Gerçek Zamanlı Dağıtık Sistem aşamasının farklı olduğu, gerçek zamanlı
olmayan sistemlerde log kayıtlarının analizleri
Gerçek Zamanlı Merkezi Sistem
yapılır [9]. Bu çalışmamızda, log kayıtlarını
Olmayan
kullanan, gerçek zamanlı olmayan bir saldırı
analiz platformu ve istatistiksel çıkarım motoru
Saldırı Tespit
Korunan Sistem Bilgi Kaynağı olarak nitelenebilecek bir öneri sistemi
Yöntemi
geliştirilmiştir.
Anomali Tespiti Ağ Temelli Denetleme İzi
Sistem (audit trail)
Kötüye Kullanım Sunucu Temelli 4. Materyal ve Metot
Ağ Paketleri
Tespiti Sistem
Kayıt (Log)
Uygulama Temelli Web tabanlı uygulamaların ve web sitelerinin
Dosyaları
Sistem erişim bilgileri sunucu üzerinde bulunan erişim
Şekil 2. Saldırı tespit sistemlerinin sınıflandırılması
log dosyalarında tutulmaktadır. Oluşturulan her
bir log dosyası sunucu tarafından otomatik olarak
Denetim (hesap, günlük) izi; bilgi ve iletişim
her gün için ayrı bir log dosyası olarak
güvenliği için, sistem aktivitelerinin zamana göre
kaydedilmektedir. Web sitesine ait alt domainler
sıralanmış şeklidir. Bu yapı, sistem üzerinde
mevcut ise sunucu tarafından her alt domain için
gerçekleşen olayların sıralaması bozulduğunda
ayrı klasörler oluşturularak erişim bilgileri bu
veya bu olaylarda değişiklikler meydana
klasörlerde tutulur. Ziyaretçilerin her bir erişimi
geldiğinde, sistemin yeniden yapılandırılmasında
log dosyasına yeni bir satır olarak eklenir.
ve buradaki test işlemlerinin
Eklenen her bir satır erişimle ilgili çeşitli bilgiler
295
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu
tutmaktadır. Tutulan bilgi türleri kullanılan web Tablo 2. Erişim log alanlarının açıklaması
sunucusuna ve kullanılan log formatına göre Alan Adı Örnek Değer Açıklama
farklılık gösterebilir. Ayrıca sunucu üzerinde
date 2015-11-20 Aktivitenin meydana
yapılan ayarlamalara göre tutulacak bilgi türü
geldiği tarih
sayısı artırılabilir veya azaltılabilir. Şekil 2’de time 00:22:31 Aktivitenin meydana
Windows Server 2003 işletimi sistemi üzerinde geldiği saat
c-ip 212.154.80.164 İstekte bulunan
çalışan IIS 6.0 web sunucusunda tutulan log
kullanıcının IP adresi
dosyasından örnek bir satır verilmiştir. s-ip 193.140.180.4 Web sitesinin bulunduğu
sunucunun IP adresi
cs-uri- /Default.aspx İstekte bulunulan web
Tablo 1. Örnek erişim log satırı
stem adresi
2014-11-20 00:22:31 193.140.180.4 GET
sc-status 200 İsteğe verilen cevabın
/Default.aspx - 80 - 212.154.80.164 durum kodunu içerir
Mozilla/4.0+(compatible;+MSIE+6.0;+Windo cs(user- Mozilla/4.0+(compatib İstemci tarafından
ws+NT+5.1; +SV1;+GTB6.4) - 200 0 0 67049 agent) le; +MSIE+6.0; kullanılan tarayıcının tipi
+Windows+NT+5.1;) ve diğer özellikler
428 31
cs- - Aktif sayfaya hangi
referrer kaynaktan gelindiğini
Tablo 1’de verilen web erişim log satırı, ilgili log gösterir

dosyasındaki bir satıra karşılık gelmekte ve çeşitli
alanlardan meydana gelmektedir. Bu alanlar farklı Web logları üzerinde yapılan analizlerin
önemli bir kısmını ön işleme adımı
anlamlara gelmektedir. Erişim log dosyalarındaki
bu alanlar ve anlamları Tablo 2’de verilmiştir. oluşturmaktadır. Log dosyalarında büyük
Gerçekleştirilen sistem, Tablo 1’de gösterilen log miktarda içerdiği gereksiz bilgi, ön işleme
aşamasını zorunlu bir hale getirmektedir. Ön
dosyalarındaki satırları, Tablo 2’de gösterilen
alanlara göre ayrıştırarak [10] saldırı tespiti ve işleme aşaması ile gereksiz bilgilerden temizlenen
log dosyalarının yönetimi ve analizi
çeşitli analizler gerçekleştirmektedir. Web erişim
log dosyaları üzerinde çalışan sistem genel olarak kolaylaşmaktadır.
Ön işleme aşamasında veri temizleme, veri
şu yeteneklere sahiptir:
filtreleme ve birleştirme gibi tekniklerden
- Erişim sağlanan dosyaların bilgilerini, ne
yararlanılmaktadır. Web log dosyalarındaki ön
kadar erişim sağlandığı, kim tarafından erişim
işleme süreci tüm veri madenciliği sürecinin
sağlandığı bilgisini kaydeder.
%80’ini kapsamaktadır. Önişleme adımı daha
- Erişim sağlanan web sayfa ve uygulamalarının
sonraki adımlar olan örüntü keşfi ve örüntü
verilerini tutar.
analizinin daha etkili ve kolay yapılmasını
- Web uygulamasına erişim sağlayan
sağlamaktadır [11].
kullanıcıya ait IP bilgisini kaydeder.
Literatürde yapılan birçok çalışmada veri
- Web uygulamasına hangi internet
temizleme algoritmasıyla analiz edilen verideki
tarayıcısından erişildiği bilgisini kaydeder.
gereksiz olan kısımlar çıkarılmıştır. Log kayıtları
- Web uygulamasına nereden referans alıp Tablo 2’de verildiği üzere bölünmesi gereken
eriştiği bilgisini kaydeder. çeşitli alanlar içermektedir. Log dosyasındaki tek
- Web uygulamasına erişim metodunu kaydeder bir satırdan alanların bölünerek çıkarılması
(GET, POST gibi). işlemine “alan ayrıştırma” adı verilmektedir.
- Web uygulamasını, kullanıcı IP numaralarına Burada en çok kullanılan ayırıcı karakterler ‘,’
göre raporlar. veya ‘boşluk’ karakteridir. Aye yaptığı çalışmada
bu işlemi gerçekleştirmek için ayrıştırma
- Uygulama ile ilgili tüm bu bilgileri istatistiksel
algoritması oluşturmuştur [12].
olarak kayıt altına alır.
Bu çalışmada bu işlemi gerçekleştirmek için
- XSS, Brute Force, DoS, DDoS ve injection
Şekil 4’te akış şeması verilen ayrıştırma yöntemi
saldırıları ile ilgili tespit raporları oluşturur ve
kullanılmıştır. Veri temizleme aşamasında ise
kaydeder.
analiz edilen log dosyasına özel olarak analiz

amacı için önem arz etmeyen nesneler (stil

dosyaları, grafik dosyaları, ses dosyaları vb.)

296
Muhammet BAYKARA, Resul DAŞ, Gürkan TUNA
temizlenmektedir [12]. Bununla birlikte bazı özel
Başla
resim sitelerinde veya haber sayfalarında
kullanıcıların ilgisinin analiz edilmesi gibi bir
LogDosyasi=kayit.txt
durumda özellikle bu dosyalara odaklanmak da
gerekebilmektedir. Burada önemli olan web log
Ayrıştırma
madenciliğinin amacının doğru olarak (Log Dosyasını
Gönder)
belirlenmesidir [13]. Bu çalışmada resim ve diğer
bağlı olan dosyalar olmadan daha hızlı analiz
Liste, Metin
etmek amacıyla .gif, .jpg, .css, .js, .png, javascript
uzantılı dosyalar analiz edilmemiştir.
Kriterler=<<.jpg,png,.gif,.css,
.js,.txt,.ttf,.wof,..f
5. Uygulama Sonuçları

Metin H
Geliştirilen web tabanlı log analizi platformu Dolu mu? Listeyi Gönder
uygulaması ile web erişim logları üzerinde Şekil E
3’te verilen işlemler yapılabilmektedir. Sistem Metni Ayrıştır
üzerinde kullanım yetkisi bulunan her kullanıcı
log dosyalarını analiz etmek üzere sisteme
yükleyebilir, log analiz ve dosyalarını listeyebilir, MetinAdyer ıKştrıirtıelarlne rden H Liste=metin
düzenleyebilir. Listelediği log dosyaları üzerinde Biri Var Metin=YeniSatırOku
mı?
gerçekleştirdiği saldırı tespit ve istatistiksel
E
analizleri görebilir. Log dosyalarından tespit
Metin=YeniSatırOku
edilebilecek olan Sql enjeksiyonu, XSS, DoS,
DDoS, brute force, kırık link tespiti, RFI/LFI vb.
Bitir
kötücül atakların analiz sonuçlarını ve log
Şekil 4. Ön işleme ve ayrıştırma akış şeması
dosyasını incelediği web sitesi ya da

uygulamasının erişimine yönelik istatistiklere
erişebilmektedir. Şekil 5, DoS türü atakların tespiti için
kullanılan akış şemasını göstermektedir. Log
dosyası üzerinde yapılan analizler sonucunda,
Kullanıcılar
belirli bir zaman aralığında belirlenen eşik
değerden fazla bir istek yapılması durumunda
ilgili durum bir DoS atağı olarak
Tarih Sayfa Saat IP Bazlı
değerlendirilmekte ve ilgili log satırı DoS atak
listesine kaydedilmektedir. DoS atağı, hedef
Log İşlemleri sistemin kaynaklarının tüketimine yönelik
TCP/IP protokollerini istismar eden bir saldırı
türüdür. Burada web erişim kayıtlarındaki belirli
Log Ekle Logları Listele Log Düzenle bir IP tarafından sıklıkla tekrar eden istekler
değerlendirilmiştir.
Şekil 6, DDoS türü atakların tespiti için
kullanılan akış şemasını göstermektedir. Log
Saldırı Tespit İstatistik
dosyası üzerinde yapılan analizler sonucunda,
belirli bir zaman aralığında birden fazla IP
XSS IP Bazlı
numarasından, belirlenen eşik değerden fazla bir
SQL Saat
istek yapılması durumunda ilgili durum bir DDoS
DoS Tarih
atağı olarak değerlendirilmekte ve ilgili log satırı
DDoS Sayfa
DDoS atak listesine kaydedilmektedir. DDoS
Şekil 3. Log dosyasının analizi
atağı, hedef sistemin kaynaklarının tüketimine

yönelik TCP/IP protokollerini istismar eden ve
297
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu
birden fazla saldırganın eş zamanlı olarak yöneticiye belli formatlarda sunulur. SQL
gerçekleştirdiği bir saldırı türüdür. Burada web enjeksiyonu yöntemi tam bu işlemler
erişim kayıtlarındaki birçok IP tarafından sıklıkla gerçekleştirilirken yapılır. Saldırgan, web tarayıcı
tekrar eden belirli istekler değerlendirilmiştir. adres çubuğuna veya uygulamada bulunan giriş
kontrollerine kötücül kodlar ekleyerek, SQL
enjeksiyon saldırısını gerçekleştirir.
Başla

Başla
DoS Listele
(Ayrıştırılmış Liste)
DDoS Listele
(Ayrıştırılmış Liste)
DoSListe, Metin
DDoSListe, Metin
Metin=Liste.UrlOku
Metin=Liste.UrlOku
Metin H
Listeyi Gönder
Dolu mu?
Metin H
Listeyi Gönder
E Dolu mu?
E
Ayrıştırılan Metin İçerisinde
Belirli Tarih-Saat Aralığında Tekil IP
E Bazında Yoğunluk Var mı? H Ayrıştırılan Metin İçerisinde
Belirli Tarih-Saat Aralığında Çoğul IP
E Bazında Yoğunluk Var mı? H
DoSListe=Metin
Metin=YeniSatırOku
Metin=YeniSatırOku
DDoSListe=Metin
Metin=YeniSatırOku
Metin=YeniSatırOku
DoS Listeyi Yazdır
DDoS Listeyi
Yazdır
Bitir

Şekil 5. DoS atakları tespiti akış şeması Bitir

Şekil 6. DDoS atakları tespiti akış şeması
Günümüzde profesyonel olarak hizmet sunan
web uygulamalarının neredeyse tamamı veri Genel kullanıma açık olmayan ancak bu
tabanlarını kullanmaktadır. Online çalışan bu web şekilde elde edilen bilgiler önemli ve gizli olabilir.
uygulamaları, veri tabanı ile yapısal bir sorgulama Saldırgan, sistem ve veri tabanı hakkında elde
dili olan SQL aracılığıyla haberleşirler. SQL ettiği bu önemli bilgilerle SQL enjeksiyon
Enjeksiyonu, web uygulamalarından alınan senaryosuna farklı boyutlar kazandırarak, veri
kullanıcı girdileri ile oluşturulan SQL tabanında bulunan diğer bilgilere ulaşabilir.
sorgularının manipülasyonu olarak Sonrasında elde ettiği bilgileri kullanarak,
tanımlanmaktadır [2, 9]. Kullanıcıların hedefini gerçekleştirir. SQL enjeksiyonu
etkileşimde bulundukları veri tabanlı web ataklarında kullanılan anahtar kelimeler [2]’den
uygulamalarında, sorgu veya parametreler yararlanılarak buradaki yazılımda tanımlanmış ve
kullanılarak veri tabanı tablolarındaki bilgiler kullanılmıştır. Kural tabanlı saldırı tespit sistemi
belli şartlara göre filtrelenerek uygulama ara mantığında, ayrıştırılan log satırları içerisinde
yüzüne aktarılır. Aktarılan bu sonuç değerleri, SQL enjeksiyonu anahtar kelimelerinden [2]
uygulamanın tasarımına göre kullanıcıya veya herhangi birinin bulunması durumunda
298
Muhammet BAYKARA, Resul DAŞ, Gürkan TUNA
enjeksiyon saldırısı tespit edilebilmektedir. Şekil yönlendirilebilir, DoS saldırıları yapılabilir. XSS
7’de SQL enjeksiyonu tespitinde kullanılan akış saldırısında kurban, üzerinde XSS açığı bulunan
şeması verilmektedir. web sitesine normal giriş yaptığında, oturum
bilgileri normal olarak makinesine yüklenecektir.
Bu sırada saldırgan, bir XSS betiğinin linkini e-
Başla
mail vb. bir yolla yollamaktadır. Kurban, XSS
betiğini çalıştırdığı anda sunucuyla etkileşime
SQL Injection Listele
geçilip kod çalıştırılacak ve kurbanın oturum
(Ayrıştırılmış Liste)
bilgileri çalınabilecektir. Şekil 8, XSS
saldırılarının tespiti için kullanılan akış şeması
InjectionListe, gösterilmiştir. Burada [9]’da verilen XSS anahtar
Metin
terimlerinden yararlanılarak yazılımda
tanımlanmış ve kullanılmıştır.
Kriterler=<<. ,select,+,union,

update, delete, %%, or, and, 1=1>>
Metin=Liste.UrlOku Başla
Metin H XSSTespit
Dolu mu? Listeyi Gönder (Ayrıştırılmış Liste)
E
XSSListe, Metin
Ayrıştırılan Metin
İçerisinde Kriterler=<<<,>,<script>,alert();,
E Kriterlerden Biri Var mı? H </script>>>
Metin=Liste.UrlOku
Injection Liste=Metin Metin H
Metin=YeniSatırOku Metin=YeniSatırOku Dolu mu? Listeyi Gönder
E
Injection Listeyi Ayrıştırılan Metin
Yazdır İçerisinde
E Kriterlerden Biri Var mı? H
Bitir
Şekil 7. SQL enjeksiyonu tespiti akış şeması XSS Liste=Metin
Metin=YeniSatırOku
Metin=YeniSatırOku

Çapraz site betikleme (XSS-Cross Site
Scripting) saldırıları, web siteleri arasında kod
yazma şeklinde gerçekleştirilen saldırılardır [9].
XSS Listeyi Yazdır
Bu saldırı, sitedeki kontrol yapısı içermeyen a
lanlarda betik kodların çalıştırılmasıyla
gerçekleştirilir. Bu betik, HTML veya Javascript Bitir

kodlarından oluşabilir. Genel olarak Javascript Şekil 8. XSS tespiti akış şeması
kodlarıyla gerçekleştirilir. Ancak web tarayıcılar
tarafından desteklenen VBScript, Ajax, ActiveX Uygulamaya ait ekran görüntüleri Şekil 9-
benzeri diller tarafından yazılan betiklerle de bu 12’de gösterilmiştir. Şekil 9’da log dosyaları
saldırılar yapılabilmektedir. Betik kodlar, HTML sisteme yüklenmekte, Şekil 10’da analizi yapılan
etiketleri arasında çalıştırıldığından XSS yerine log dosyası saldırı tespiti için değerlendirilmekte
HTML Enjeksiyonu ifadesi de kullanılmıştır [9, ve Şekil 11 ve Şekil 12’de bu sonuçların rapor
14]. XSS saldırısı ile web siteleri oturum çerezleri edilmesi gösterilmektedir.
ele geçirilebilir, web tarayıcısı istenen adrese
299
Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu

Şekil 9. Log dosyalarının sisteme yüklenmesi

Şekil 10. Log dosyalarından saldırı kayıtlarının tespit edilmesi

Şekil 11. Log dosyalarının saldırı türüne göre analiz edilmesi
300