Linux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log Analizi

title: Şüpheli Systemd Servis Etkinleştirme (systemctl enable) - Linux
id: 0b4f8e2a-6c3d-4b9f-d5a8-9e1c7b4f0d25
status: experimental
description: |
  Linux process creation logları üzerinden beklenmedik konumlardan veya
  şüpheli ExecStart yollarıyla systemctl enable komutunun yürütülmesini tespit eder.
  Saldırganlar kötü amaçlı servisi etkinleştirerek yeniden başlatmada otomatik
  çalışmasını sağlar. /tmp, /dev/shm veya home dizinlerinden çalışan
  servis birimleri özellikle şüphelidir.
references:
  - https://attack.mitre.org/techniques/T1543/002/
  - https://github.com/SigmaHQ/sigma/blob/master/rules/linux/process_creation/proc_creation_lnx_systemctl_new_service.yml
  - https://www.elastic.co/security-labs/primer-on-persistence-mechanisms
author: CyberSecLab (AI)
date: 2026-06-13
modified: 2026-06-13
tags:
  - attack.persistence
  - attack.privilege-escalation
  - attack.t1543
  - attack.t1543.002
logsource:
  category: process_creation
  product: linux
detection:
  selection_systemctl:
    Image|endswith:
      - '/systemctl'
      - '/bin/systemctl'
      - '/usr/bin/systemctl'
  selection_enable_cmd:
    CommandLine|contains:
      - 'enable'
      - 'daemon-reload'
      - 'start'
  selection_suspicious_service:
    CommandLine|contains:
      - '/tmp/'
      - '/dev/shm/'
      - '/var/tmp/'
      - '.sh '
      - 'bash '
      - 'python'
      - 'perl '
      - 'nc '
      - 'ncat'
  filter_known_services:
    CommandLine|contains:
      - 'NetworkManager'
      - 'ssh.service'
      - 'sshd.service'
      - 'cron.service'
      - 'docker.service'
      - 'nginx.service'
      - 'apache2.service'
      - 'httpd.service'
      - 'mysql.service'
      - 'postgresql.service'
  condition: all of selection_* and not filter_known_services
falsepositives:
  - Sistem yöneticileri yeni kurulu servisleri etkinleştirebilir
  - Uygulama kurulum scriptleri servis etkinleştirme yapabilir
  - Docker container başlangıç scriptleri benzer komutlar çalıştırabilir
level: high