Denetim zinciri ve SIEM dışa aktarımı

Her denetim kaydı iki kez korunur: uygulama veritabanı kayıtları bir hash zincirine bağlar ve isteğe bağlı sink’ler her olayı veritabanı yöneticisinin denetlemediği bir sisteme kopyalar. İkinci kısım önemlidir; çünkü yalnızca veritabanı içinde tutulan bir zinciri, veritabanının sahibi olan biri yeniden yazabilir.

Hash zinciri

Her kayıt prev_hash ve hash saklar; burada hash = SHA-256(prev_hash || canonical_json) kaydın alanları (takım, kullanıcı, eylem, talep, bağlantı, SQL, anahtarları sıralı metadata, IP ve zaman) üzerinden hesaplanır. Kayıtlar, bir kilit satırını da alan tek bir transaction içinde bağlanır; böylece zincir çatallanamaz. İki hash üzerindeki unique index’ler, aynı öncülü olan ikinci bir kaydı reddeder.

Veritabanı trigger’ları denetim tablosunda UPDATE ve DELETE’i, PostgreSQL’de ayrıca TRUNCATE’i reddeder (MySQL ve MariaDB trigger’ları bunu engelleyemez).

Doğrulama

docker exec queryproxy php artisan audit:verify

Komut zinciri ilk kayıttan itibaren dolaşır. Zincir sağlamsa kayıt sayısını ve zincirin başını basar ve 0 ile çıkar. Değilse ilk bozuk kaydın id’sini ve nedenini basar ve 1 ile çıkar. Değiştirilmiş kayıtları, kaldırılmış ya da araya eklenmiş kayıtları, yeniden sıralanmış bir zinciri, ilk kayıttan başlamayan bir zinciri ve yazılan kayıt sayısından kısa bir zinciri (kaldırılmış bir kuyruk ya da boşaltılmış bir tablo) saptar. queryproxy:doctor en yeni kayıtların ve zincir başının daha hızlı bir kontrolünü yapar; queryproxy:doctor --full-audit tüm zinciri dolaşır.

Checkpoint’ler

Zamanlayıcı her gün audit:checkpoint çalıştırır. Son kayıt id’sini, hash’ini ve kayıt sayısını içeren bir audit.checkpoint olayı yazar; bir öncekinden beri hiçbir şey yazılmadıysa yazmaz. Checkpoint sıradan bir denetim olayıdır; bu yüzden sink’lerinize de gider.

Zincirin yapamadıkları

• Trigger’ları kaldırıp zinciri yeniden hesaplayan bir veritabanı sahibini yakalayamaz. Bu güce sahip biri tutarlı bir geçmiş yazabilir. Farkı yalnızca veritabanının dışında, SIEM’inizde tutulan bir kopya gösterir. Checkpoint’lerin ve aşağıdaki sink’lerin amacı budur.
• MySQL ve MariaDB: created_at UTC duvar saati olarak hash’lendiği için bağlantı saat dilimi UTC’ye sabitlenir. QueryProxy’nin arkasından sunucunun ya da oturumun saat dilimini değiştirmeyin.
• Denetim yazıcısını çağıran uzun dış transaction’lar, bitene kadar kilit satırını tutar; bu yüzden diğer yazıcılar bekler.

SIEM’e aktarım

Her sink varsayılan olarak kapalıdır. QUERYPROXY_SIEM_SINKS onları açar: stdout, syslog ve webhook değerlerinin virgülle ayrılmış, herhangi bir kombinasyonlu listesi.

Teslim, denetim kaydı commit edildikten sonra kuyrukta çalışır; bu yüzden çökmüş bir sink bir denetim yazmasını asla engellemez ya da geri almaz. Teslim en az bir kez yapılır: alıcı olayın id’si üzerinden tekilleştirme yapmalıdır. Başarısız olmaya devam eden bir webhook ya da syslog teslimi, ölü mektup kuyruğu (dead-letter queue) görevi gören failed_jobs içine düşer (php artisan queue:failed). Kuyruk backend’inin kendisi çökmüşse olay dışa aktarılmaz ve sorun loglanır; kayıt sistemi veritabanı olarak kalır ve zinciri eksiksiz kalır. Boşluk, SIEM kopyasında dizide eksik bir id olarak görünür.

Yapılandırması hatalı bir sink kullanılmaz ve sorun süreç başına bir kez loglanır. queryproxy:doctor bunu siem_sinks olarak bildirir.

Olay

Tüm sink’ler aynı JSON belgesini gönderir; belge docs/audit-event.schema.json ile tanımlanır (JSON Schema Draft 2020-12, additionalProperties: false, schema_version: 1).

Ham SQL asla dışa aktarılmaz. Şemanın action listesi olay kataloğundan üretilir ve user, request, connection, masking_rule, team, auth, chat_integration, chat_identity, execution, audit, masking_key, error_messages ve result kategorilerinde gruplanmış 50 olay içerir. actor.email, olay teslim edilirken okunur; bu yüzden denetim yazısı ile teslim arasında e-posta adresini değiştiren bir kullanıcı yeni adresiyle görünür.

stdout

Konteynerin standart çıktısında satır başına bir JSON nesnesi. Aynı stream nginx, php-fpm ve kuyruk işçisinin çıktısını da (RUNNING ve DONE satırları) taşır; bu yüzden toplayıcı JSON olmayan satırları atlamalıdır. Konteyner log driver’ları ve Docker logunu okuyan agent’lar bunu alır.

syslog

Gövdesi JSON olay olan bir RFC 5424 mesajı; UDP, TCP ya da TLS üzerinden. TCP ve TLS, newline seçmediğiniz sürece octet-counting framing (RFC 6587) kullanır. tls ile QueryProxy alıcının sertifikasını ve adını doğrular; alıcının CA’sı sistem güven deposunda değilse QUERYPROXY_SIEM_SYSLOG_TLS_CA_FILE ayarlayın. Standart TLS syslog portu 6514’tür.

İmzalı webhook

QueryProxy, JSON olayı şu başlıklarla POST eder ve yönlendirmeleri izlemez:

En az 16 karakterlik secret’ı olmayan bir webhook asla imzasız gönderilmez. 2xx dışındaki her HTTP durumu başarısızlık sayılır ve artan bir gecikmeyle yeniden denenir (10 sn, 1 dk, 5 dk, 15 dk, ardından 1 sa). Bir teslime güvenmeden önce doğrulayın:

import hashlib
import hmac
import time

def is_valid(secret: str, timestamp: str, raw_body: bytes, signature: str) -> bool:
    # Reject stale deliveries; a retry carries a fresh timestamp.
    if abs(time.time() - int(timestamp)) > 300:
        return False
    message = timestamp.encode() + b"." + raw_body
    expected = "sha256=" + hmac.new(secret.encode(), message, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, signature)

İmzayı, yeniden serileştirilmiş bir kopya üzerinden değil, alındığı haliyle ham gövde üzerinden hesaplayın.

Ürüne özgü connector’lar (Splunk, Elastic, Wazuh, Microsoft Sentinel) ile gelmez. Syslog kabul eden, container loglarını okuyan ya da imzalı bir HTTP POST alan herhangi bir toplayıcı bu olayları içeri alabilir.

Sonraki adımlar

• İzleme
• Tehdit modeli
• Yapılandırma