Siber GüvenlikSunucu Güvenliği
Sunucu Güvenliği Hizmetleri
Sunucunuzu bir uzman gözüyle değerlendirir, saldırı yüzeyini daraltır ve işletim sistemi, ağ, hizmet ve veritabanı katmanlarını disiplinli biçimde sertleştiririz. Otomatik denetimi manuel doğrulamayla birleştirir; size uzun bir kontrol listesi değil, kanıtlı, önceliklendirilmiş ve uygulanabilir bulgular veririz. Erişimi düz metin kök parolasıyla değil, kısa ömürlü ve en az yetkili yetkilendirmeyle alırız. Vaadimiz "sunucum asla ele geçirilemez" değil; ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planıdır.
Otomatik denetim + manuel doğrulama ile ayıklanmış, yanlış pozitiften arındırılmış sunucu bulguları
Her bulgu ağırlık ve gerçek iş etkisine göre önceliklendirilir; önce hangi kapıyı kapatacağınızı bilirsiniz
Denetimden sertleştirmeye, güvenlik duvarından sürekli izlemeye kadar uçtan uca sunucu güvenlik döngüsü
Örnek site güvenlik durumu
66
Güvenlik skoru
0–100 · önceliklendirme aracı
0–100 · önceliklendirme aracı
YüksekCSP başlığı eksik
OrtaSunucu sürümü ifşa
KritikGüncel olmayan eklenti
Farkındalık
Web siteniz gerçekten güvende mi?
Ayakta ve yanıt veren bir sunucu, güvenli bir sunucu anlamına gelmez. Bir sunucu siteleri servis ediyor, e-postaları iletiyor ve işleri çalıştırıyor olabilir; buna rağmen arka planda ele geçirilmiş, bir botnete katılmış, kripto madenciliği yapıyor veya sızıntı için beklemeye alınmış olabilir. Sunucu saldırılarının çoğu gürültü çıkarmaz: amaç makineyi çökertmek değil, onu fark ettirmeden hesaplama gücü, ağ konumu veya veri deposu olarak kullanmaktır. Aşağıdaki belirtiler tek başına kesin kanıt değildir; ancak birden fazlası bir araya geldiğinde ciddi bir incelemeyi hak eder. Erken fark eden kontrollü ve ucuz müdahale eder; geç fark eden veri kaybı ve kesintiyle uğraşır.
Açıklanamayan CPU yüküSunucu, herhangi bir trafik veya iş artışı olmadan sürekli yüksek işlemci kullanıyor; çoğu zaman gizli bir madencilik süreci çalışıyordur.
Yoğun SSH deneme kaydıauth loglarında binlerce başarısız SSH oturum açma denemesi ve yabancı IP yoğunluğu görülüyor; sunucu sürekli yoklanıyor.
Tanımadığınız kullanıcılar/etc/passwd içinde veya sudo grubunda sizin açmadığınız hesaplar ve beklenmedik yetkiler beliriyor.
Bilinmeyen giden bağlantılarSunucu, tanımadığınız dış adreslere sürekli bağlantı kuruyor; komuta-kontrol veya veri sızma işareti olabilir.
Beklenmedik açık portlarDinleyen port listesinde sizin başlatmadığınız hizmetler ve arka kapı dinleyicileri görünüyor.
Değişen sistem dosyalarıSistem ikili dosyalarının veya yapılandırmaların değiştirilme tarihleri, hiçbir işlem yapmadığınız zamanlara denk geliyor.
Güncellenmemiş paketlerÇekirdek ve sistem paketleri aylardır güncellenmemiş ve bilinen, yamalı açıklar hâlâ istismar edilebilir durumda.
Silinen veya boşalan loglarSistem günlükleri beklenmedik biçimde temizlenmiş, kesilmiş veya belirli aralıkları eksik; iz gizleme işaretidir.
Şüpheli zamanlanmış görevlercrontab veya systemd zamanlayıcılarında sizin tanımlamadığınız, dış kaynaktan komut indiren görevler var.
Anlamsız disk dolmasıDisk, açıklanamayan biçimde doluyor; saldırganın bıraktığı araç setleri, dökümler veya kayıtlar birikiyor olabilir.
Sunucudan spam çıkışıIP adresiniz e-posta kara listelerine giriyor; sunucu, ele geçirildikten sonra spam gönderiyor olabilir.
Gereksiz açık hizmetlerKullanmadığınız veritabanı, önbellek veya yönetim panelleri dış ağa açık dinliyor ve saldırı yüzeyini büyütüyor.
Ani ağ trafiğiSunucu, açıklanamayan yoğun giden trafik üretiyor; DDoS aracı veya sızma kanalı olarak kullanılıyor olabilir.
Değişmiş erişim anahtarlarıauthorized_keys dosyalarına sizin eklemediğiniz SSH anahtarları girmiş; saldırgan kalıcı erişim bırakmış olabilir.
Katmanlı yapı
Web sitesi güvenliği aslında neyi kapsar?
Sunucu güvenliği tek bir ayar ya da tek bir araç değil; birbirini yedekleyen katmanlardan oluşan bir sistemdir. Buna derinlemesine savunma denir: bir katman aşılsa bile bir sonraki katman saldırıyı durdurmaya veya yavaşlatmaya çalışır. Aşağıdaki katmanların her birinde ayrı bir yanlış yapılandırma, ayrı bir risk doğurur; güçlü bir duruş ancak hepsinin birlikte ele alınmasıyla mümkündür. Tek bir katmana (örneğin yalnızca bir güvenlik duvarına) güvenmek, ön kapıyı kilitleyip arka kapıyı ardına kadar açık bırakmaya benzer.
1
Ağ & Güvenlik DuvarıSunucuya ulaşabilen trafiği belirleyen ilk hattır. nftables veya iptables ile varsayılan-reddet politikası, yalnızca gerekli portların açılması ve yönetim erişiminin kaynak IP ile sınırlanması bu katmanın temelidir. İyi yapılandırılmış bir güvenlik duvarı, saldırganın hizmetlere hiç ulaşamamasını sağlayarak zafiyetlerin çoğunu erişilmez kılar.
2
SSH & ErişimUzaktan yönetimin kapısıdır ve en sık saldırıya uğrayan yüzeydir. Anahtar tabanlı kimlik doğrulama, parola girişinin tamamen kapatılması, kök ile doğrudan girişin engellenmesi, fail2ban ile kaba kuvvetin sınırlanması ve en az yetkili yönetim hesapları bu katmanın özüdür. Zayıf SSH, diğer tüm sertleştirmeyi anlamsız kılar.
3
İşletim Sistemi & ÇekirdekÇekirdek parametreleri (sysctl), yama düzeyi ve zorunlu erişim kontrolü tüm sistemin sağlamlığını belirler. Güncel çekirdek, sıkılaştırılmış ağ ve bellek sysctl ayarları, SELinux veya AppArmor ile zorunlu erişim kontrolü ve CIS Benchmark hizasında bir taban yapılandırma bu katmanın omurgasıdır. Güncel olmayan bir çekirdek, tek bir yerel istismarla tam ele geçirmeye açılır.
4
Hizmetler (Servis Minimizasyonu)Bir sunucuda çalışan her hizmet, potansiyel bir giriş noktasıdır. En az yetki ilkesi burada servis minimizasyonu olarak somutlaşır: kullanılmayan hizmetlerin kapatılması, gereksiz paketlerin kaldırılması ve her hizmetin kendi sınırlı kullanıcısıyla çalıştırılması. Ne kadar az şey çalışırsa, saldırılacak o kadar az yüzey kalır.
5
Web Sunucu (Nginx/Apache)İnternete bakan hizmetlerin başında gelir ve yanlış yapılandırması doğrudan saldırı yüzeyi olur. Sürüm ifşasının gizlenmesi, dizin listelemenin kapatılması, güvenlik başlıklarının eklenmesi, TLS yapılandırmasının güçlendirilmesi ve gereksiz modüllerin devre dışı bırakılması bu katmanda yönetilir. İyi yapılandırılmış bir web sunucu, saldırgana verdiği bilgiyi asgariye indirir.
6
Çalışma Zamanı (PHP-FPM)Uygulama kodunu çalıştıran katmanın sürümü ve ayarları, çalıştırılabilecek kodun sınırlarını belirler. Güncel PHP-FPM sürümü, tehlikeli işlevlerin kapatılması, açık_basedir ile dizin sınırlaması, ayrı havuz kullanıcıları ve hata çıktısının gizlenmesi bu katmanın özüdür. Gevşek bir çalışma zamanı, tek bir zafiyeti tam kod çalıştırmaya çevirebilir.
7
Veritabanı (MySQL/MariaDB)Sunucunun en değerli varlığını (kullanıcılar, siparişler, içerik) tutar ve sızıntının başlıca hedefidir. En az yetkili veritabanı kullanıcıları, yalnızca yerelden dinleme, güçlü kimlik doğrulama, gereksiz varsayılan hesap ve şemaların kaldırılması ve şifreli bağlantı bu katmanı korur. Dışarıya açık ve zayıf yapılandırılmış bir veritabanı, tek adımda tüm veriyi kaybettirebilir.
8
Loglama & Denetim (auditd)Diğer katmanlar önlemeyi amaçlar; loglama olay sonrası görünürlük ve denetlenebilirlik sağlar. auditd ile ayrıcalıklı işlemlerin kaydedilmesi, logların merkezi ve değiştirilemez biçimde saklanması ve anlamlı olayların ayrıştırılması bu katmanın işidir. İyi tutulmuş denetim izi, bir olayın kapsamını saatler değil dakikalar içinde ortaya çıkarır.
9
YedeklemeYedek bir güvenlik kontrolü sayılmasa da kurtarmanın belkemiğidir. İzole depolanan, sürümlenen, şifreli ve düzenli olarak geri yükleme testi yapılan yedekler ile veritabanında noktaya-dönüş (PITR) yeteneği, en kötü senaryoda temiz bir çıkış yolu sunar. Test edilmemiş veya sunucunun kendisinde duran bir yedek, kriz anında işe yaramaz.
10
İzlemeDiğer tüm katmanlar önlemeyi hedefler; izleme erken tespit sağlar. Dosya bütünlüğü, kaynak kullanımı, açık port değişiklikleri, başarısız giriş desenleri ve hizmet sağlığı sürekli gözlenmezse, bir ele geçirme haftalarca fark edilmeden sürebilir. İzleme, önleme başarısız olduğunda hasarı sınırlayan güvenlik ağıdır.
İş etkisi
Güvenlik göz ardı edilirse ne olur?
Ele geçirilmiş bir sunucunun bedeli, yeniden kurulan birkaç paketten çok daha büyüktür. Etkiler teknik olduğu kadar ticaridir; çoğu zaman en pahalı kısım olayın kendisi değil, sonrasında kaybedilen veri, güven ve süreklilik olur. Aşağıdaki sonuçlar birbirini besler: ele geçirilen bir sunucu veri sızıntısına, sızıntı yasal yükümlülüğe, kesinti gelir kaybına ve kaybedilen güven kalıcı itibar hasarına dönüşür. Proaktif sunucu güvenliğinin maliyeti, bu zincirin tamamının maliyeti yanında küçük kalır.
Hizmet kesintisiEle geçirilen ya da kaynağı tükenen bir sunucu yavaşlar, hata verir veya tamamen erişilemez hale gelir. Üzerinde çalışan tüm siteler ve hizmetler aynı anda düşer.
Veri sızıntısıSunucudaki veritabanları ve dosyalar tek bir erişimle dışarı sızabilir; kullanıcı, müşteri ve ödeme verisi yasal yükümlülük ve kalıcı güven kaybı doğurur.
Kök erişimin kaybıAyrıcalık yükseltmeyle kök erişimi ele geçiren saldırgan, sistemi tümden kontrol eder; kendi sunucunuza erişiminizi kaybedebilirsiniz.
Kripto madenciliğiSunucunuz gizlice madencilik yapan bir işçiye dönüşebilir; kaynaklarınız tükenir, performans çöker ve barındırma maliyetiniz artar.
Botnet ve DDoS aracıEle geçirilen sunucu bir botnete katılarak başka hedeflere saldırıda kullanılabilir; IP itibarınız ve barındırma hesabınız risk altına girer.
Spam ve kara listeSunucudan spam gönderilmesi IP adresinizi kara listelere sokar; meşru e-postalarınız bile teslim edilemez hale gelir.
Yanal hareketBir sunucudaki dayanak, aynı ağdaki diğer sistemlere sıçramanın basamağı olur; tek bir zayıf makine tüm altyapıyı riske atar.
Fidye yazılımıŞifrelenen veri ve sistemler işi durdurur; fidye ödemek bile geri dönüşü garanti etmez ve genellikle yeni saldırıları davet eder.
İtibar kaybıBir kez ele geçirilmiş ve müşteri verisi sızmış marka, güveni geri kazanmakta zorlanır; müşteriler ve iş ortakları temkinli davranmaya başlar.
Gelir ve kurtarma maliyetiKayıp işlem hacminin üzerine acil müdahale, yeniden kurulum, adli analiz ve uyum masrafları eklenir. Kriz sonrası fatura, önlemenin katı olur.
Yaygın riskler
En sık karşılaşılan web sitesi güvenlik riskleri
Aşağıda sunucularda en sık karşılaşılan risk kategorileri yer alıyor. Her biri için ne olduğunu, neden önemli olduğunu, nasıl fark edilebileceğini ve tipik giderme yönünü özetledik. Bu liste bir teşhis aracı değil, bir farkındalık haritasıdır; sunucunuzda hangilerinin bulunduğunu kesin olarak söylemek ancak yetkili ve yapılandırılmış bir değerlendirmeyle mümkündür.
Parolayla SSH girişi
Nedir?SSH üzerinde parola tabanlı kimlik doğrulamanın açık bırakılması ve kök ile doğrudan giriş.
Neden önemli?Parolalar kaba kuvvet ve kimlik bilgisi doldurma ile denenebilir; kök girişi tek bir kırılmayı tam ele geçirmeye çevirir.
Nasıl tespit edilir?sshd yapılandırmasında PasswordAuthentication ve PermitRootLogin ayarları incelenerek.
Giderme yönüAnahtar tabanlı kimlik doğrulamaya geçmek, parola girişini kapatmak ve kök ile doğrudan girişi engellemek.
Açık yönetim portları
Nedir?SSH, veritabanı veya panel portlarının tüm internete açık dinlemesi.
Neden önemli?Açık her yönetim portu, sürekli taranan ve saldırılan bir giriş noktasıdır.
Nasıl tespit edilir?Dinleyen portları ve güvenlik duvarı kurallarını gözden geçirerek, dışarıdan erişilebilirliği kontrol ederek.
Giderme yönüYönetim erişimini kaynak IP ile kısıtlamak, veritabanını yalnızca yerelden dinletmek, gereksiz portları kapatmak.
Gevşek güvenlik duvarı
Nedir?Varsayılan-izin veren veya hiç yapılandırılmamış bir güvenlik duvarı politikası.
Neden önemli?Kapatılması gereken hizmetler dahil her port dışarıya açık kalır; saldırı yüzeyi kontrolsüz büyür.
Nasıl tespit edilir?nftables/iptables kural setini ve varsayılan zincir politikalarını inceleyerek.
Giderme yönüVarsayılan-reddet politikası kurmak, yalnızca gerekli trafiğe izin vermek ve kuralları belgelemek.
Güncel olmayan çekirdek/paket
Nedir?İşletim sistemi çekirdeğinin ve paketlerin bilinen açıklar taşıyan eski sürümlerde kalması.
Neden önemli?Bilinen açıklar herkese açıktır ve otomatik istismar araçlarıyla kitlesel biçimde denenir.
Nasıl tespit edilir?Kurulu paket sürümlerini ve bekleyen güvenlik güncellemelerini denetleyerek.
Giderme yönüGüvenlik güncellemelerini düzenli uygulamak, otomatik güvenlik yamasını ve yeniden başlatma planını kurmak.
Zorunlu erişim kontrolü kapalı
Nedir?SELinux veya AppArmor gibi zorunlu erişim kontrolünün devre dışı bırakılması.
Neden önemli?Ele geçirilen bir hizmet, ek bir sınırlama olmadığından tüm sistemde serbestçe hareket edebilir.
Nasıl tespit edilir?SELinux/AppArmor durumunun etkin (enforcing) olup olmadığını kontrol ederek.
Giderme yönüZorunlu erişim kontrolünü etkinleştirmek ve hizmetlere uygun profilleri uygulamak.
Ayrıcalık yükseltme
Nedir?Yerel bir kullanıcının veya hizmetin, hatalı izin ve setuid ikilileriyle kök yetkisine ulaşabilmesi.
Neden önemli?Sınırlı bir erişim, tam sistem kontrolüne dönüşerek olayı felakete çevirir.
Nasıl tespit edilir?setuid/setgid ikililerini, sudo yapılandırmasını ve dosya sahipliklerini inceleyerek.
Giderme yönüGereksiz setuid bitlerini kaldırmak, sudo yetkilerini daraltmak ve en az yetki uygulamak.
Zayıf dosya izinleri
Nedir?Yapılandırma, anahtar ve veri dosyalarına gereğinden geniş okuma/yazma izni verilmesi.
Neden önemli?Gevşek izinler, sınırlı bir kullanıcının hassas bilgileri okumasına veya kodu değiştirmesine olanak tanır.
Nasıl tespit edilir?Kritik dizin ve dosyaların sahiplik ve izin bitlerini gözden geçirerek.
Giderme yönüEn az yetki ilkesiyle izinleri daraltmak, gizli anahtarları yalnızca sahibine okutmak.
Gereksiz hizmetler
Nedir?Kullanılmayan servislerin ve paketlerin sunucuda çalışır durumda bırakılması.
Neden önemli?Her çalışan hizmet, yamanması gereken ayrı bir saldırı yüzeyi ve olası bir giriş noktasıdır.
Nasıl tespit edilir?Çalışan hizmetleri ve dinleyen portları listeleyip gerekliliklerini sorgulayarak.
Giderme yönüKullanılmayan hizmetleri durdurup devre dışı bırakmak, gereksiz paketleri kaldırmak.
Güvensiz veritabanı yapılandırması
Nedir?Varsayılan hesaplar, boş/zayıf parolalar ve veritabanının dış ağa açık dinlemesi.
Neden önemli?Dışarıdan erişilebilir ve zayıf korunan bir veritabanı, tek adımda tüm veriyi sızdırabilir.
Nasıl tespit edilir?Dinleme adresini, kullanıcı yetkilerini ve varsayılan hesapların varlığını inceleyerek.
Giderme yönüYalnızca yerelden dinletmek, varsayılanları kaldırmak, en az yetkili kullanıcılar ve güçlü kimlik doğrulama kurmak.
Zayıf TLS yapılandırması
Nedir?Web ve diğer hizmetlerde eski protokol sürümleri, zayıf şifre paketleri veya hatalı sertifika.
Neden önemli?Trafiğin araya girme ve şifre çözme risklerine açılmasıyla hem güvenlik hem uyum ihlali doğar.
Nasıl tespit edilir?Desteklenen protokolleri ve sertifika zincirini bir TLS kontrolüyle ölçerek.
Giderme yönüYalnızca TLS 1.2/1.3 destekleyip zayıf şifre paketlerini devre dışı bırakmak, sertifika zincirini düzeltmek.
fail2ban / hız sınırı yokluğu
Nedir?Kaba kuvvet denemelerine karşı otomatik engelleme veya hız sınırı bulunmaması.
Neden önemli?SSH ve panel girişleri sınırsız denenebilir; zayıf hesaplar zamanla ele geçirilebilir.
Nasıl tespit edilir?Başarısız giriş kayıtlarını ve otomatik engelleme mekanizmasının varlığını inceleyerek.
Giderme yönüfail2ban ile başarısız denemeleri otomatik engellemek ve giriş hızını sınırlamak.
Yetersiz loglama
Nedir?Sistem ve denetim günlüklerinin tutulmaması, yerelde bırakılması veya erken silinmesi.
Neden önemli?Bir olay yaşandığında kapsamı ve kök nedeni belirlenemez; saldırgan izini kolayca gizler.
Nasıl tespit edilir?auditd durumunu, log saklama sürelerini ve merkezi toplama olup olmadığını inceleyerek.
Giderme yönüauditd ile ayrıcalıklı işlemleri kaydetmek, logları merkezi ve değiştirilemez biçimde saklamak.
Sırların açıkta kalması
Nedir?Parola, API anahtarı ve gizli anahtarların yapılandırma dosyalarında düz metin ve geniş izinle durması.
Neden önemli?Sınırlı bir erişim bile tüm sistemin sırlarını ele geçirmeye ve yanal harekete dönüşebilir.
Nasıl tespit edilir?Yapılandırma dosyalarının içeriğini ve izinlerini, ortam değişkenlerinin maruziyetini gözden geçirerek.
Giderme yönüSırları daraltılmış izinlerle saklamak, mümkünse bir sır yöneticisi kullanmak ve sızanları yenilemek.
Test edilmemiş yedek
Nedir?Yedeklerin hiç alınmaması, sunucunun kendisinde tutulması veya geri yüklemenin test edilmemesi.
Neden önemli?Kriz anında yedek çalışmazsa kurtarma imkânsız hale gelir; fidye ve veri kaybı kaçınılmaz olur.
Nasıl tespit edilir?Yedek konumunu, sürümlemeyi, şifrelemeyi ve son geri yükleme testinin tarihini sorgulayarak.
Giderme yönüİzole ve şifreli yedek almak, sürümlemek, veritabanı için PITR kurmak ve düzenli geri yükleme testi yapmak.
Yönetimsiz konteyner/sanallaştırma
Nedir?Güncellenmeyen imajlar, aşırı ayrıcalıklı konteynerler ve zayıf izolasyon.
Neden önemli?Bir konteynerin kırılması, yetersiz izolasyonda ana makineye sıçramaya yol açabilir.
Nasıl tespit edilir?Çalışan konteynerlerin ayrıcalık düzeyini, imaj güncelliğini ve izolasyon ayarlarını inceleyerek.
Giderme yönüİmajları güncel tutmak, ayrıcalıkları kısmak ve ana makine ile konteyner sınırını sertleştirmek.
Zamanlanmış görev istismarı
Nedir?cron ve systemd zamanlayıcılarına saldırgan tarafından kalıcılık için görev eklenmesi.
Neden önemli?Görünen zararlı silinse bile zamanlanmış bir görev sistemi tekrar tekrar yeniden bulaştırır.
Nasıl tespit edilir?crontab girdilerini ve systemd zamanlayıcılarını, dış komut indiren görevler açısından inceleyerek.
Giderme yönüTüm yetkisiz görevleri kaldırmak, zamanlayıcı dizinlerini denetime almak ve kök nedeni kapatmak.
Arka kapılar
Nedir?Saldırganın tekrar erişim için bıraktığı gizli kullanıcı, SSH anahtarı veya dinleyici süreç.
Neden önemli?Görünen zararlı temizlense bile arka kapı, sunucuyu saatler içinde yeniden ele geçirilebilir kılar.
Nasıl tespit edilir?authorized_keys, kullanıcı listesi ve dinleyen süreçleri bütünlük karşılaştırmasıyla inceleyerek.
Giderme yönüTüm arka kapıları bulup kaldırmak, anahtar ve kimlik bilgilerini yenilemek, girişi sertleştirmek.
Değerlendirme
Web sitesi güvenliğini nasıl değerlendiriyoruz?
Bir sunucunun güvenlik duruşu tek bir teste indirgenemez; birden çok boyutun birlikte değerlendirilmesini gerektirir. Aşağıda değerlendirmeyi yapılandırdığımız ana başlıklar ve her başlıkta baktığımız temel unsurlar yer alıyor. Bu çerçeve, hem neyin kapsandığını hem de bir sunucu incelemesinin ne kadar geniş olması gerektiğini şeffaf biçimde gösterir. İnceleme, düz metin kök parolasıyla değil; kısa ömürlü, en az yetkili ve denetlenebilir bir erişimle yürütülür.
Erişim & SSH
- Anahtar tabanlı kimlik doğrulama
- Parola girişinin kapalı olması
- Kök ile doğrudan giriş kontrolü
- fail2ban / hız sınırı
- Yönetim erişiminin kaynak IP kısıtı
Ağ & Güvenlik Duvarı
- Varsayılan-reddet politikası
- Açık ve dinleyen portlar
- Yönetim portu maruziyeti
- Kaynak tabanlı erişim kuralları
- Dış hizmet erişilebilirliği
İşletim Sistemi & Çekirdek
- Çekirdek ve paket güncelliği
- sysctl sertleştirme ayarları
- SELinux / AppArmor durumu
- CIS Benchmark hizası
- Bekleyen güvenlik güncellemeleri
Hizmet & Çalışma Zamanı
- Çalışan hizmetlerin minimizasyonu
- Web sunucu (Nginx/Apache) sertleştirme
- PHP-FPM yapılandırması ve tehlikeli işlevler
- Ayrı hizmet kullanıcıları
- Sürüm ifşası ve dizin listeleme
Veritabanı Güvenliği
- Dinleme adresi ve ağ maruziyeti
- En az yetkili kullanıcılar
- Varsayılan hesap ve şemalar
- Şifreli bağlantı
- Kimlik doğrulama gücü
Dosya İzinleri & Sırlar
- Kritik dosya izin bitleri
- setuid/setgid ikilileri
- Gizli anahtar ve sertifika izinleri
- Sırların açıkta kalması
- sudo ve ayrıcalık yapılandırması
Loglama & Kurtarma
- auditd ve denetim izi
- Log saklama ve merkezi toplama
- Dosya bütünlüğü izleme
- Yedek varlığı ve PITR
- Geri yükleme testi ve olay hazırlığı
Hizmet haritası
Web sitesi güvenliği hizmetlerimiz
Her hizmet belirli bir soruna, bağımsız ve derinlemesine çözüm sunar.
Sunucu Güvenlik Denetimi
Tek SeferlikÇözdüğü sorun: Sunucunuzun güvenlik durumunu görünmez katmanda (SSH, güvenlik duvarı, çekirdek, hizmetler, dosya izinleri, veritabanı) yapılandırılmış biçimde ortaya çıkarır. Nerede zayıf olduğunuzu tahminle değil kanıtla öğrenirsiniz. Erişimi kısa ömürlü, en az yetkili bir yetkilendirmeyle alırız; düz metin kök parolası istemeyiz.
Kimler için: Durumunu netleştirmek isteyen üretim sunucuları, yeni devreye alınan VPS ve kritik iş yükü taşıyan makineler için.
Sonuç: Ağırlığa göre önceliklendirilmiş, kanıtlı ve uygulanabilir bir sunucu bulgu raporu.
Senaryo: "Sunucum güvenli mi bilmiyorum" diyen ve önce durumu görmek isteyen ekipler için.
Linux Sunucu Sertleştirme
Tek SeferlikÇözdüğü sorun: Varsayılan ve gevşek yapılandırmayı CIS Benchmark hizasında katmanlı, savunmacı bir düzene taşır: çekirdek sysctl ayarları, zorunlu erişim kontrolü, servis minimizasyonu ve dosya izinleri. Denetimin bulduğu açıkları uygulamaya döker.
Kimler için: Denetim sonrası açıklarını kapatmak isteyen ve sağlam bir güvenlik tabanı kurmak isteyen sunucular için.
Sonuç: Uygulanmış, belgelenmiş ve geri alınabilir katmanlı sunucu sertleştirmesi.
Senaryo: "Saldırı yüzeyini azaltmak istiyorum" diyen, sağlam bir temel kurmak isteyen ekipler için.
Sunucu Güvenlik Duvarı Yapılandırma
Tek SeferlikÇözdüğü sorun: nftables/iptables ile varsayılan-reddet politikasına dayalı, yalnızca gerekli trafiğe izin veren ve yönetim erişimini kaynak IP ile kısıtlayan bir güvenlik duvarı kurar. Açık ve gereksiz portları kapatarak saldırı yüzeyini ağ katmanında daraltır.
Kimler için: Güvenlik duvarı hiç yapılandırılmamış ya da gevşek bırakılmış, açık portlarını kontrol altına almak isteyen sunucular için.
Sonuç: Belgelenmiş, en az yetkili ve gözden geçirilmiş bir güvenlik duvarı kural seti.
Senaryo: "Hangi portlar açık, kimlere açık bilmiyorum" diyen ekipler için.
SSH Güvenlik Sertleştirme
Tek SeferlikÇözdüğü sorun: Uzaktan yönetimin en çok saldırılan yüzeyini sıkılaştırır: anahtar tabanlı kimlik doğrulamaya geçiş, parola girişinin kapatılması, kök ile doğrudan girişin engellenmesi, fail2ban ile kaba kuvvet sınırı ve en az yetkili yönetim hesapları.
Kimler için: SSH loglarında yoğun kaba kuvvet gören, parola girişini hâlâ açık tutan veya erişim hijyenini düzeltmek isteyen sunucular için.
Sonuç: Anahtar tabanlı, parola girişi kapalı ve kaba kuvvete dirençli bir SSH yapılandırması.
Senaryo: "SSH sürekli saldırı altında" diyen ve erişimi güvene almak isteyen ekipler için.
Sunucu İzleme
SürekliÇözdüğü sorun: Önleme başarısız olduğunda erken tespit sağlar: dosya bütünlüğü, kaynak kullanımı, açık port değişiklikleri, başarısız giriş desenleri ve hizmet sağlığını sürekli gözler ve sizi zamanında uyarır.
Kimler için: Bir kez sertleştirmiş ve bu duruşu sürekli korumak isteyen tüm üretim sunucuları için.
Sonuç: Sürekli görünürlük, erken uyarı ve bir olayda hazır müdahale başlangıcı.
Senaryo: "Sürekli koruma ve gözetim istiyorum" diyen ekipler için.
Veritabanı Güvenliği
Tek SeferlikÇözdüğü sorun: MySQL/MariaDB kurulumunu sertleştirir: yalnızca yerelden dinleme, en az yetkili kullanıcılar, varsayılan hesap ve şemaların kaldırılması, güçlü kimlik doğrulama, şifreli bağlantı ve noktaya-dönüş (PITR) yedek yeteneği.
Kimler için: Veritabanı dışa açık dinleyen, varsayılan hesapları duran veya yetki hijyenini düzeltmek isteyen sunucular için.
Sonuç: Sertleştirilmiş, en az yetkili ve kurtarılabilir bir veritabanı yapılandırması.
Senaryo: "Veritabanım yeterince güvenli mi bilmiyorum" diyen ekipler için.
Yönetilen Sunucu Güvenliği
SürekliÇözdüğü sorun: Denetim, sertleştirme, güvenlik duvarı, izleme, yama yönetimi ve olay müdahalesini tek elden ve sürekli yürütür. Güvenlik duruşunu tek seferlik bir işe değil, düzenli bir hizmete dönüştürür; sunucunuzu zamanla aşınmaya karşı korur.
Kimler için: Kendi güvenlik ekibi olmayan, sunucu güvenliğini uçtan uca dış kaynağa vermek isteyen işletmeler için.
Sonuç: Sürekli sertleştirilen, izlenen, yamalanan ve bir olayda hazır destek sunan yönetilen sunucu güvenliği.
Senaryo: "Bunu sürekli yönetecek zamanım/ekibim yok" diyen işletmeler için.
Yol gösterici
Hangi hizmete ihtiyacım var?
Doğru hizmet, içinde bulunduğunuz duruma göre değişir. Aşağıdaki hızlı eşleştirme, durumunuzu bir cümleyle tanımlayıp size en uygun başlangıç noktasını bulmanıza yardımcı olur. Emin değilseniz sunucu güvenlik denetimi neredeyse her zaman doğru ilk adımdır; çünkü hangi hizmete ihtiyacınız olduğunu da o netleştirir.
| Durumunuz | Önerilen hizmet | |
|---|---|---|
| "Sunucum güvenli mi bilmiyorum" | Sunucu Güvenlik Denetimi | Git |
| "Saldırı yüzeyini azaltmak istiyorum" | Linux Sunucu Sertleştirme | Git |
| "Hangi portlar açık kontrol edilsin" | Sunucu Güvenlik Duvarı Yapılandırma | Git |
| "SSH sürekli saldırı altında" | SSH Güvenlik Sertleştirme | Git |
| "Sürekli koruma ve gözetim istiyorum" | Sunucu İzleme | Git |
| "Veritabanım yeterince güvenli mi" | Veritabanı Güvenliği | Git |
| "Bunu benim yerime yönetin" | Yönetilen Sunucu Güvenliği | Git |
Süreç
Güvenlik sürecimiz
1KapsamDenetlenecek sunucuları, hizmetleri, varlıkları ve sınırları yazılı olarak netleştiririz. Ne yapacağımızı ve neyi yapmayacağımızı baştan tanımlarız.
2Güvenli ErişimErişimi düz metin kök parolasıyla değil; kısa ömürlü, en az yetkili ve denetlenebilir bir yetkilendirmeyle alırız. Yaptığımız her işlem izlenebilir kalır.
3KeşifÇalışan hizmetleri, açık portları, kullanıcı ve yetki yapısını ve genel saldırı yüzeyini haritalarız. Sistemi bozmadan tanırız.
4DeğerlendirmeSSH, güvenlik duvarı, çekirdek, hizmetler, dosya izinleri ve veritabanını tahribatsız araçlarla denetler, ardından manuel olarak doğrularız.
5Risk SınıflandırmaHer doğrulanmış bulguyu ağırlık ve gerçek iş etkisine göre kritik, yüksek, orta, düşük ve bilgilendirici olarak sınıflandırırız.
6Giderme PlanıÖnce neyin kapatılacağını belirleyen, bağımlılıkları ve olası hizmet kesintisi risklerini gözeten bir yol haritası çıkarırız.
7Sertleştirmeİstenirse sertleştirmeyi biz uygularız; her değişikliği izole, belgelenmiş ve geri alınabilir biçimde, tercihen bir bakım penceresinde yaparız.
8DoğrulamaKapatıldığı bildirilen bulguların gerçekten giderildiğini yeniden test ile doğrular, hizmetlerin normal işleyişinin bozulmadığını kontrol ederiz.
9İzlemeİsteğe bağlı sürekli izleme ile duruşun zamanla aşınmadığından emin olur, yeni tehditleri ve sapmaları erken yakalarız.
Örnek bulgular
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Kritik
RiskSSH parola girişi ve kök ile doğrudan giriş açık (örnek bulgu)
sshd yapılandırmasında parola tabanlı kimlik doğrulama ve kök ile doğrudan giriş etkindir.
Olası etkiİnternete açık bir yönetim kapısı sürekli kaba kuvvete maruz kalır; tek bir zayıf parola tam ele geçirmeye yol açabilir.
Önerilen aksiyonAnahtar tabanlı kimlik doğrulamaya geçin, parola girişini kapatın, kök ile doğrudan girişi engelleyin ve fail2ban ekleyin.
Kritik
RiskVeritabanı tüm internete açık dinliyor (örnek bulgu)
MySQL/MariaDB hizmeti 0.0.0.0 üzerinden dış ağa açık dinlemektedir ve zayıf kimlik doğrulama kullanmaktadır.
Olası etkiDışarıdan erişilebilir ve zayıf korunan veritabanı, tek adımda tüm veriyi sızdırabilir veya değiştirebilir.
Önerilen aksiyonVeritabanını yalnızca yerelden dinletin, güvenlik duvarıyla kısıtlayın, en az yetkili kullanıcılar ve güçlü kimlik doğrulama kurun.
Yüksek
RiskGüvenlik duvarı yapılandırılmamış (örnek bulgu)
Sunucuda varsayılan-reddet politikası yoktur; gereksiz hizmet portları dış ağa açık kalmaktadır.
Olası etkiKapatılması gereken hizmetler dahil her port dışarıya açık olduğundan saldırı yüzeyi kontrolsüz büyür.
Önerilen aksiyonnftables/iptables ile varsayılan-reddet politikası kurun, yalnızca gerekli trafiğe izin verin, yönetim erişimini kaynak IP ile kısıtlayın.
Yüksek
RiskÇekirdek ve paketler aylardır güncellenmemiş (örnek bulgu)
Sistem çekirdeği ve paketleri bilinen, yamalı güvenlik açıkları taşıyan eski sürümlerdedir.
Olası etkiBilinen açıklar herkese açıktır ve otomatik istismar araçlarıyla kitlesel biçimde denenir.
Önerilen aksiyonGüvenlik güncellemelerini uygulayın, otomatik güvenlik yamasını kurun ve düzenli bir yeniden başlatma planı belirleyin.
Orta
RiskZorunlu erişim kontrolü devre dışı (örnek bulgu)
SELinux veya AppArmor kapalı (permissive/disabled) durumdadır.
Olası etkiEle geçirilen bir hizmet, ek bir sınırlama olmadığından tüm sistemde serbestçe hareket edebilir.
Önerilen aksiyonZorunlu erişim kontrolünü etkinleştirin ve hizmetlere uygun profilleri uygulayın.
Orta
RiskAşırı geniş dosya izinleri ve setuid ikilileri (örnek bulgu)
Yapılandırma dosyaları ve bazı ikili dosyalar gereğinden geniş izinlerle ve gereksiz setuid bitleriyle durmaktadır.
Olası etkiSınırlı bir kullanıcı hassas bilgileri okuyabilir veya ayrıcalık yükseltme yoluna gidebilir.
Önerilen aksiyonİzinleri en az yetki ilkesiyle daraltın, gereksiz setuid bitlerini kaldırın ve gizli anahtarları yalnızca sahibine okutun.
Düşük
RiskWeb sunucu sürüm ifşası (örnek bulgu)
Nginx/Apache yanıt başlıkları tam sürüm bilgisini açığa çıkarmaktadır.
Olası etkiSaldırganlar hedefe uygun bilinen istismarları hızla daraltabilir.
Önerilen aksiyonİlgili başlıklarda sürüm ayrıntısını gizleyin veya kaldırın.
Düşük
Riskauditd kapalı ve loglar yerelde tutuluyor (örnek bulgu)
Denetim günlüğü (auditd) etkin değildir ve sistem logları yalnızca yerelde saklanmaktadır.
Olası etkiBir olay yaşandığında kapsamı belirlenemez ve saldırgan izini kolayca gizleyebilir.
Önerilen aksiyonauditd ile ayrıcalıklı işlemleri kaydedin ve logları merkezi, değiştirilemez biçimde saklayın.
Önceliklendirme
Önem derecesi modeli
KritikKritik — Aktif olarak istismar edilebilir, doğrudan tam ele geçirmeye veya veri sızıntısına yol açan bulgular. Derhal ele alınması gerekir.
YüksekYüksek — Ciddi etkisi olan, istismarı görece kolay veya olası; kısa vadede öncelikli olarak kapatılması gereken bulgular.
OrtaOrta — Belirli koşullarda istismar edilebilen veya etkisi sınırlı; planlı biçimde giderilmesi gereken bulgular.
DüşükDüşük — Tek başına düşük riskli, ancak diğer bulgularla birleştiğinde saldırı yüzeyini genişleten bulgular.
BilgiBilgilendirici — Doğrudan bir zafiyet olmayan, iyileştirme veya sertleştirme fırsatı işaret eden gözlemler.
Çıktı
Ne teslim alırsınız?
- Yönetici özeti ve genel sunucu güvenlik duruşu değerlendirmesi
- Önem derecesine göre sınıflandırılmış, kanıtlı bulgu listesi
- Her bulgu için etki açıklaması ve adım adım çözüm önerisi
- Ağırlık temelli önceliklendirilmiş giderme yol haritası
- CIS Benchmark hizasında sertleştirme kontrol listesi
- Uygulanan sertleştirme adımlarının belgelenmiş ve geri alınabilir listesi (ilgili hizmetlerde)
- Teknik olmayan paydaşlar için sadeleştirilmiş özet
- Yeniden ele geçirme veya sapmayı önleme önerileri
- İsteğe bağlı aktarım görüşmesi ve soru-cevap desteği
Ücretsiz
Ücretsiz web sitesi güvenlik taraması
Başlamadan önce sunucunuzun dış yüzeyini hızlıca görmek isterseniz, ücretsiz ve saldırgan olmayan bir tarama sunuyoruz. Bu tarama yalnızca dışarıdan gözlemlenebilir, halka açık göstergelere bakar; sunucunuza giriş yapmaz, port taraması yürütmez ve hiçbir değişiklik yapmaz. Sunucunun iç durumunu değerlendirmek yetkili, kimlik doğrulamalı erişim gerektirir ve tam denetimin konusudur. Amaç kapsamlı bir değerlendirme değil; öncelikli riskleri erkenden görünür kılmak ve size bir başlangıç yönü vermektir.
Neyi kontrol eder
- HTTPS/TLS yapılandırması
- güvenlik başlıkları
- sunucu sürüm ifşası
- açık web hizmeti göstergeleri
Neyi kontrol etmez
- SSH ve işletim sistemi iç denetimi
- açık port taraması
- dosya izinleri incelemesi
- veritabanı incelemesi
Sitenizin güvenlik skorunu ölçün
Sonuç olarak bir güvenlik skoru ve öncelikli bulguların kısa bir listesini alırsınız; bu, yetkili bir tam denetime geçip geçmemenize karar vermenize yardımcı olur.
Ölçüm
Web sitesi güvenlik skoru
Ücretsiz tarama ve denetim çıktısını anlaşılır kılmak için sunucu güvenlik duruşunu kategorilere ayırıp örnek bir skorla gösteriyoruz. Aşağıdaki sayılar gerçek bir sunucuya ait değildir; skorun nasıl okunacağını göstermek için temsilîdir.
66/100 · örnek
Güvenlik tek bir sayıya indirgenemez; skor bir garanti değil, önceliklendirme aracıdır. Yüksek bir toplam skor bile tek bir kritik bulgunun (örneğin dışa açık bir veritabanı) önemini ortadan kaldırmaz; skoru her zaman bulguların ayrıntısıyla birlikte okuyun.
Önce / Sonra
Sertleştirme öncesi ve sonrası
Güvenlik garanti değil, ölçülebilir risk azaltmadır. Örnek bir dönüşüm:
Önce
- parolayla SSH girişi
- yapılandırılmamış güvenlik duvarı
- güncel olmayan çekirdek
- izleme yok
- dışa açık veritabanı
- test edilmemiş yedek
Sonra
- anahtar tabanlı, parola girişi kapalı SSH
- varsayılan-reddet güvenlik duvarı
- yamalı çekirdek ve paketler
- sürekli izleme aktif
- yerelden dinleyen sertleştirilmiş veritabanı
- izole, şifreli ve doğrulanmış yedek
Kimler için?
Web sitesi güvenliğine kimlerin ihtiyacı var?
VPS/Sunucu YönetenlerKendi sanal ya da fiziksel sunucusunu yöneten ekipler, çoğu zaman güvenlik uzmanı olmadan çalışır. Varsayılan yapılandırma ile bırakılan bir sunucu, kurulumdan kısa süre sonra taranmaya ve saldırılmaya başlar.
Üretim Uygulama SunucularıCanlı yük taşıyan sunucularda kesinti ve sızıntı doğrudan gelir kaybıdır. Sertleştirme, izleme ve hazır bir müdahale planı bu makineler için pazarlık konusu değildir.
Uyum Gereksinimi Olan EkiplerDenetim izi, en az yetki ve belgelenmiş kontrol beklenen ekiplerde sunucu güvenliği bir zorunluluktur. CIS hizasında sertleştirme ve auditd tabanlı loglama bu beklentiyi karşılar.
E-Ticaret AltyapılarıÖdeme akışı ve müşteri verisi taşıdıkları için yüksek değerli hedeftir. Sunucu katmanındaki tek bir açık, hem gelir hem yasal yükümlülük riski doğurur.
Ajans ve Hosting YönetenlerOnlarca müşteri sunucusunu yönetirler; tek bir zayıf halka tüm portföyü riske atabilir. Ölçeklenebilir sertleştirme ve merkezi izleme onlar için kritiktir.
Olay Sonrası SağlamlaştırmaBir olay yaşamış ve tekrarını önlemek isteyen ekipler, kök nedeni kapatan ve duruşu kalıcı biçimde yükselten bir sertleştirmeye ihtiyaç duyar. Amaç yeniden ele geçirilme riskini belirgin biçimde azaltmaktır.
Güvenlik & SEO
Güvenlik sorunları SEO'nuzu nasıl etkiler?
Sunucu güvenliği ile arama görünürlüğü çoğu sitede aynı madalyonun iki yüzüdür. Ele geçirilmiş bir sunucu, üzerinde barındırdığı tüm siteleri etkiler ve arama görünürlüğünüze doğrudan, çoğu zaman kalıcı zarar verir; tersine, sağlam bir sunucu duruşu organik değerinizi korur. Aşağıdaki noktalar, bir sunucu ele geçirmesinin SEO tarafında nasıl karşımıza çıktığını özetliyor.
- Sunucudan enjekte edilen spam sayfalar ve gizli bağlantılar, üzerindeki tüm sitelerin dizinini kirletir.
- Ele geçirilen sunucudan yapılan zararlı yönlendirmeler, ziyaretçileri sahte sitelere göndererek trafiği kaçırır.
- Sunucunun kara listeye girmesi, üzerindeki her alan adının arama itibarını aynı anda düşürür.
- Arama motorları sunucu kaynaklı bir güvenlik ihlalini tespit ettiğinde sıralamalar hızla geriler.
- IP tabanlı kara liste, sunucudan çıkan e-postaların ve bildirimlerin teslim edilememesine yol açar.
- Yüksek CPU yükü veya madencilik, sayfa yanıt sürelerini yavaşlatarak sıralama sinyallerini olumsuz etkiler.
- Search Console'da güvenlik sorunu uyarıları belirir ve dizinleme durur.
- Bir kez zararlı işaretlenen sunucu ve alan adlarının arama motoru itibarı yavaş toparlanır.
- Sürekli izleme, bir sunucu ele geçirmesini haftalarca değil dakikalar veya saatler içinde görünür kılar.
- İzole, şifreli ve sürümlenen yedekler, en kötü senaryoda temiz bir çıkış noktası sunar.
- Veritabanı için noktaya-dönüş (PITR) yeteneği, olay öncesi tutarlı bir duruma geri dönmeyi mümkün kılar.
- Düzenli test edilmiş geri yükleme, yedeğin kriz anında gerçekten çalışacağını garanti eder.
- Tanımlı bir olay müdahale sırası, panikle atılan ve kanıtı yok eden adımları önler.
İş sürekliliği
Önleme tek başına yeterli değildir
Sunucu güvenliği yalnızca saldırıyı önlemek değil; bir olay yaşandığında hızlı ve güvenli biçimde ayağa kalkabilmektir. İş sürekliliği, önleme başarısız olduğunda hasarı sınırlayan hazırlıkla ilgilidir. Aşağıdaki unsurlar, kriz anını felakete dönüşmeden yönetmenizi sağlar.
Neden Yazılım.pro
Bizi farklı kılan nedir?
Sistem yönetimi bilgisiLinux çekirdeği, ağ, hizmetler ve dosya sistemi katmanlarına hâkim olduğumuzdan, sorunları yüzeyde değil kökünde ele alır ve doğru sertleştirmeyi uygularız.
Güvenli devreye almaErişimi düz metin kök parolasıyla istemeyiz; kısa ömürlü, en az yetkili ve denetlenebilir bir yetkilendirmeyle çalışır, yaptığımız her işlemi izlenebilir tutarız.
Web geliştirme bilgisiSunucularda çalışan uygulamaların nasıl yazıldığını bildiğimiz için çalışma zamanı, veritabanı ve web sunucu katmanlarını uygulamanın gerçek ihtiyacına göre sertleştiririz.
Entegre gidermeDenetim, sertleştirme, güvenlik duvarı ve izlemeyi tek elden sunarız; bulgu ile çözüm arasında kopukluk olmaz.
Şeffaf kapsamNe yapacağımızı ve neyi yapmayacağımızı baştan yazılı olarak belirleriz; kapsam sürprizi ve beklenmedik kesinti yaşatmayız.
Gerçekçi vaatKimseye "%100 güvenli" veya "sunucunuz asla ele geçirilemez" demeyiz; ölçülebilir risk azaltma ve dürüst bir duruş sözü veririz.
Geri alınabilir değişiklikHer sertleştirme adımını izole, belgelenmiş ve geri alınabilir biçimde uygularız; bir değişiklik hizmeti aksatırsa hızla geri dönebiliriz.
Sürekli destekTek seferlik işten sonra ortadan kaybolmayız; izleme, yeniden test, yama yönetimi ve sonraki adımlar için yanınızda kalırız.
SSS
Web sitesi güvenliği hakkında sık sorulanlar
Çalışan bir sunucunun güvenlik hizmetine ihtiyacı var mı?
Evet. Ayakta olması güvenli olduğu anlamına gelmez. Sunucu saldırılarının çoğu makineyi çökertmeyi değil, fark ettirmeden hesaplama gücü, ağ konumu veya veri deposu olarak kullanmayı hedefler. Görünmez katmandaki açıklar ancak yetkili ve yapılandırılmış bir değerlendirmeyle ortaya çıkar.
Sunucuya erişim için kök parolamı vermem gerekiyor mu?
Hayır. Düz metin kök parolası talep etmeyiz. Erişimi kısa ömürlü, en az yetkili ve denetlenebilir bir yetkilendirmeyle alırız; ideal olarak size ait ayrı bir yönetim hesabı ve gerektiğinde sınırlı yükseltme yeterlidir. Yaptığımız her işlem izlenebilir kalır ve iş bitince erişim geri alınır.
Yüzde yüz güvenli olabilir miyim?
Hayır ve böyle bir vaat teknik olarak dürüst değildir. Güvenlik; risk azaltma, izleme ve müdahalenin sürekli bir döngüsüdür. Biz ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planı sözü veririz; sihirli bir garanti değil.
Bir güvenlik duvarı kurmak yeterli değil mi?
Değil. Güvenlik duvarı önemli bir katmandır ama tek başına yeterli değildir. SSH sertleştirme, çekirdek ayarları, servis minimizasyonu, dosya izinleri, veritabanı yapılandırması ve izleme güvenlik duvarının göremediği katmanlardır. Tek katmana güvenmek, ön kapıyı kilitleyip arka kapıyı açık bırakmaya benzer.
Hangi hizmetle başlamalıyım?
Aktif bir sorun yoksa neredeyse her zaman sunucu güvenlik denetimiyle başlamak doğrudur; çünkü durumu netleştirir ve hangi hizmete ihtiyacınız olduğunu da o gösterir. SSH sürekli saldırı altındaysa doğrudan SSH sertleştirme, portlarınız kontrolsüzse güvenlik duvarı yapılandırma iyi bir başlangıçtır.
Denetim veya sertleştirme sunucumu bozar mı?
Denetim tahribatsızdır ve normal işleyişi etkilemez. Sertleştirmede ise her değişikliği izole, belgelenmiş ve geri alınabilir biçimde, tercihen bir bakım penceresinde uygularız. Bir değişiklik bir hizmeti aksatırsa hızla geri dönebiliriz; kesinti riski taşıyan adımları önceden bildiririz.
SSH neden bu kadar önemli?
Çünkü uzaktan yönetimin kapısıdır ve internete açık sunucuların en çok saldırıya uğrayan yüzeyidir. Parola girişi açık bir SSH sürekli kaba kuvvete maruz kalır; tek bir zayıf parola tam ele geçirmeye yol açabilir. Anahtar tabanlı kimlik doğrulama, parola girişini kapatma ve fail2ban bu riski belirgin biçimde azaltır.
Anahtar tabanlı kimlik doğrulama ne kazandırır?
Parola tahmini ve kaba kuvvet saldırılarını pratik olarak imkânsız kılar. Parolalar denenebilir; SSH anahtarları ise brute-force ile kırılamayacak kadar uzun ve rastgeledir. Parola girişini tamamen kapatmakla birlikte, SSH sizi kaba kuvvet gürültüsünden büyük ölçüde arındırır.
CIS Benchmark nedir, buna göre mi sertleştiriyorsunuz?
CIS Benchmark, işletim sistemleri ve hizmetler için geniş kabul gören bir güvenli yapılandırma referansıdır. Sertleştirmeyi bu hizada, ancak sunucunun gerçek ihtiyacını gözeterek yaparız; körü körüne her maddeyi uygulayıp hizmeti bozmayız. Her sapmayı gerekçesiyle belgeleriz.
Veritabanımı nasıl güvene alıyorsunuz?
MySQL/MariaDB için tipik adımlar: yalnızca yerelden dinletmek, varsayılan hesap ve şemaları kaldırmak, en az yetkili kullanıcılar tanımlamak, güçlü kimlik doğrulama ve şifreli bağlantı kurmak, ağ erişimini güvenlik duvarıyla kısıtlamak. Kurtarma için de noktaya-dönüş (PITR) yedek yeteneğini öneririz.
İşim ne kadar sürer?
Sunucunun büyüklüğüne, çalışan hizmet sayısına ve hizmet türüne bağlıdır. Tipik bir tek sunucu denetimi birkaç iş günü sürer; sertleştirme kapsamın genişliğine göre değişir. Aktif bir olay varsa müdahale önceliklidir.
Windows sunucularla da çalışıyor musunuz?
Odağımız Linux sunucu güvenliğidir (Debian/Ubuntu, RHEL/CentOS ailesi ve benzerleri). Güvenlik ilkeleri (en az yetki, servis minimizasyonu, izleme, yedekleme) platformdan bağımsız olsa da, uygulamalı sertleştirmede en güçlü olduğumuz alan Linux ve üzerinde çalışan web yığınıdır. Kapsamı baştan netleştiririz.
Bulguları kendim mi gidereceğim, siz mi?
Size kalmış. Denetim tek başına alınabilir ve raporumuz kendi ekibinizin uygulayabileceği net adımlar içerir. Dilerseniz sertleştirmeyi ayrı bir hizmet ya da yönetilen paket kapsamında biz de uygularız.
Sürekli koruma için ne öneriyorsunuz?
Bir kez sertleştirdikten sonra Sunucu İzleme veya Yönetilen Sunucu Güvenliği hizmetini öneririz. Paket güncellemeleri ve yapılandırma değişiklikleri zamanla ayarları aşındırabilir; sürekli izleme ve düzenli yama yönetimi yeni tehditleri ve sapmaları erken yakalar.
Sunucum zaten ele geçirildiyse ne yapmalıyım?
Panikle dosya silmeyin veya sunucuyu yeniden kurmaya koşmayın; bu kanıtı yok eder ve kök nedeni belirsizleştirir. Mümkünse sunucuyu ağ düzeyinde izole edin ve profesyonel destek isteyin. Doğru sıra önce kanıtı korumak ve yayılmayı durdurmak, sonra temizlemek, kök nedeni kapatmak ve sertleştirmektir.
Sonraki adım
İlgili rehberler ve hizmetler
Web sitenizin güvenliğini bugün değerlendirin
Sorunu tespit edelim, önceliklendirelim, giderelim ve sürekli izleme ile koruyalım — abartılı vaat değil, ölçülebilir risk azaltma.