Kanıtı Sildim, Sistem "Sağlam" Dedi — Ajanın Denetim İzini Mühürlemek

Saat 22.18'de Vasi'nin denetim izi "zincir kırık" diyordu: dosyaya dışarıdan dokunulmuştu. 22.19'da aynı soruya "zincir sağlam" dedi. Arada yalnızca botu durdurdum, müdahaleden önce aldığım yedeği geri koydum ve yeniden başlattım. Müdahalenin kaydı da, iki dakika önceki denetimin kaydı da gitmişti. Bu videoda denetim izini mühürlüyoruz: her satırın bir öncekinin özetini taşıdığı bir hash zinciri. Sonra mührün göremediğini canlı yaşıyor ve PostgreSQL'e ikinci bir tanık ekliyoruz: hangi kayıtların gittiğini, ne zaman yazıldıklarını ve ne olduklarını söyleyen, yalnızca ekleme kabul eden bir tablo. Sovereign denetçisinin on birinci kontrolünü, bulguyu silmek yerine onaylamayı ve testleri sınayan aracın kendisini sınamayı da göreceksiniz: ilk çalıştırmada 36 bozma, 0 yakalandı. Sonunda hepsini, işi hiç görmemiş ayrı bir yapay zekâ ajanına incelettim. Testleri yeşil yanan bu sistemde dört açık buldu. Kapattım; düzeltmelerimi de kırdı. ▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬ BÖLÜMLER 0:00 22.18 "zincir kırık", 22.19 "zincir sağlam": arada ne oldu? 1:04 İzi yazan fonksiyon: doğrudan testi olmayan kodda dört kusur 3:44 İz nerede yaşıyor: RAM'deki klasörden kalıcı diske 4:37 Mühür: hash zinciri ve hiçbir şey doğrulamadan "sorun yok" diyen doğrulayıcı 8:07 Mührün sınırı: sondan koparılan satırları göremez 10:05 İkinci tanık: yalnızca ekleme kabul eden tablo 12:55 Denetçi ve onay: bulguyu silmek yerine "gördüm" demek 15:53 Kanıtlayıcıyı kanıtlamak: 36 bozma, 0 yakalandı 17:58 Bağımsız inceleme: dört açık, sonra düzeltmelerde iki kusur daha 23:52 Sınırlar: iki tanık da aynı makinede 25:15 Dört ders ve MITRE ATT&CK'ın iz silme tarifi ▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬ KAYNAKLAR MITRE ATT&CK T1070, Indicator Removal: kapanıştaki alıntı. Dikkat çeken kaydı seçerek silmek, gerisini yerinde bırakmak. https://attack.mitre.org/techniques/T... MITRE ATT&CK M1029, Remote Data Storage: T1070'e karşı önerilen önlemlerden biri, kayıtları makinenin dışına taşımak. Videonun sonundaki "sıradaki adım" da bu yönde. https://attack.mitre.org/mitigations/... Schneier ve Kelsey, "Secure Audit Logs to Support Computer Forensics" (1999): güvenilmeyen makinedeki kayıtlar için anahtarlı klasik yöntem. Ele geçirilmeden önce yazılanlar fark edilmeden değiştirilemez, silinemez. Videodaki zincir bilerek anahtarsız. https://www.schneier.com/academic/arc... Python logging, WatchedFileHandler: dosyanın değiştiğini cihaz ve inode numarasından anlamak. Yeni yazıcı da bu fikirle çalışıyor. https://docs.python.org/3/library/log... PostgreSQL CREATE TRIGGER: TRUNCATE tetikleyicisi yalnızca deyim düzeyinde. https://www.postgresql.org/docs/curre... PostgreSQL yetkileri: tabloyu silme hakkı sahibinde doğuştan var. Bu yüzden sıradaki adım, yalnızca ekleme yetkisi olan ayrı bir hesap. https://www.postgresql.org/docs/curre... pytest --junitxml: sonucu ekran metninden değil, makine raporundan okumak. https://docs.pytest.org/en/stable/how... ▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬ PROJE KAYNAK KODU https://github.com/thecoremethodhowto... VASİ SERİSİ    • VASİ (Yapay Zeka Asistanı)   Bir sonraki videoda tarafı değiştiriyoruz: saldırganın gözünden bakacağız. Günlüklere nasıl yalan söyletilir? Ve bugün kapattığımız açıklar, bir saldırganın elinde neye dönüşürdü? Merakla kalın, profesyonel kalın. The Core Method | How To ▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬▬ EN — My system reported a broken audit chain. A minute later, after I restored an earlier backup, it said "chain intact", and the evidence was gone. I seal Vasi's audit trail with a hash chain, show live what the seal cannot see, and add a second, append-only witness in PostgreSQL. An independent AI reviewer then found four gaps, and broke my fixes too. DE — Um 22.18 Uhr meldete mein System eine gebrochene Audit-Kette. Um 22.19 Uhr, nach dem Zurückspielen eines älteren Backups, hieß es „Kette intakt“, und die Beweise waren weg. Ich versiegle Vasis Audit-Trail mit einer Hash-Kette, zeige live, was das Siegel nicht sieht, und füge in PostgreSQL einen zweiten Zeugen hinzu, der nur neue Einträge annimmt. Ein unabhängiger KI-Agent fand danach vier Lücken und hebelte auch meine Korrekturen aus. #siberguvenlik #yapayzeka #aiagent #python #postgresql #hashzinciri