Fiziksel sunucuda güvenliğin tamamı size aittir. Paylaşımlı barındırmada sağlayıcının üstlendiği işler — sistem yamaları, hesap izolasyonu, güvenlik duvarı — burada sizin sorumluluğunuzdadır. Buna karşılık kontrol de tamamen sizdedir: hiçbir kısıt olmadan istediğiniz savunmayı kurabilirsiniz.
Bu rehber, bir kiralık sunucu üzerinde katmanlı savunmayı sırayla kurmayı anlatıyor.
Katman 1: Saldırı Yüzeyini Daraltmak
En etkili güvenlik önlemi, saldırılabilecek şeyin sayısını azaltmaktır.
- Gereksiz servisleri kapatın. Varsayılan kurulumlar kullanmayacağınız servisleri de başlatır. Çalışan servis listesini gözden geçirip ihtiyaç duymadıklarınızı devre dışı bırakın — çalışmayan bir servis saldırılamaz.
- Gereksiz paketleri kaldırın. Kurulu olmayan bir yazılımın açığı sizi etkilemez. Özellikle geliştirme araçlarını üretim sunucusunda tutmayın.
- Varsayılan ret güvenlik duvarı. Her şeyi kapatıp yalnızca gerekeni açın. Veritabanı ve yönetim portları dışarıya kapalı olmalı.
- Uzaktan yönetim arayüzünü kısıtlayın. Bu arayüz sunucunun ana anahtarıdır — ele geçiren biri diski kurtarma modundan okuyabilir. İnternete açık bırakmayın.
Katman 2: Erişim Kontrolü
- Anahtar tabanlı SSH, parola girişi kapalı. Bu tek değişiklik, otomatik sözlük saldırılarını tamamen anlamsız kılar.
- Root ile doğrudan giriş kapalı. Yetkili bir kullanıcıyla bağlanıp gerektiğinde yetki yükseltin. Böylece işlemler kayda geçer.
- Kişi başına ayrı hesap ve anahtar. Paylaşılan hesapta kimin ne yaptığı bilinmez ve biri ayrıldığında tüm erişimi yeniden kurmak gerekir.
- Yetki yükseltmeyi sınırlayın. Her kullanıcının her komutu yönetici yetkisiyle çalıştırmasına gerek yoktur.
- Yetkili anahtar listesini düzenli denetleyin. Tanımadığınız bir satır, kalıcı erişim kurulmuş olduğunun klasik göstergesidir.
Katman 3: Güncelleme Disiplini
Saldırıların ezici çoğunluğu yeni keşfedilmiş açıkları değil, yamalanmamış bilinen açıkları hedefler. Bu yüzden güncelleme disiplini, listedeki diğer tüm maddelerden daha yüksek getirilidir.
Otomatikleştirin ama kapsamı ayırın: güvenlik yamaları otomatik uygulansın, sürüm yükseltmeleri elle ve planlı yapılsın. Bu ayrım, hem güvenlik açığı penceresini kapatır hem beklenmedik kırılmaları önler.
Ayrıca işletim sistemi dışındaki katmanları da unutmayın: uygulama bağımlılıkları, yönetim paneli ve firmware. Uzaktan yönetim denetleyicisi ve RAID denetleyicisi kendi yazılımlarına sahiptir ve ayrı güncellenir — bunlar en sık atlanan katmandır.
Katman 4: İzolasyon
Tek bir sunucuda birden fazla servis çalıştırıyorsanız, birinde yaşanan bir olayın diğerlerine yayılmasını engelleyin:
- Her servis kendi kullanıcısıyla çalışsın. Web sunucusu ve veritabanı aynı kullanıcıyla çalışıyorsa, birinde açılan bir kapı diğerine de açılır.
- Konteyner veya sanallaştırma kullanın. Farklı projeler veya müşteriler için ek bir izolasyon katmanı sağlar.
- Dosya izinlerini daraltın. Yalnızca gerçekten yazılması gereken dizinlerde yazma izni olsun. Yükleme dizinlerinde betik çalıştırma engellenmelidir.
- Veritabanı kullanıcılarını ayırın. Her uygulama yalnızca kendi veritabanına erişebilsin.
Katman 5: Tespit
Önleme katmanları aşılabilir. Beşinci katman, aşıldığını fark etmenizi sağlar.
| İzleme | Yakaladığı |
|---|---|
| Başarılı SSH girişleri | Beklenmedik saatte veya kaynaktan erişim |
| Yetkili anahtar dosyası değişikliği | Kalıcı arka kapı kurulması |
| Sistem dosyası bütünlüğü | Değiştirilmiş ikili dosyalar |
| Giden ağ trafiği | Sunucunun başkasına saldırması veya veri sızdırması |
| Zamanlanmış görev listesi | Eklenmiş kalıcılık mekanizması |
| Beklenmedik işlemler | Kripto madenciliği, bot yazılımı |
Dördüncü satır özellikle değerlidir: giden trafikteki açıklanamayan artış, ele geçirilme vakalarının en güvenilir erken göstergesidir. Gelen trafiği herkes izler; gidene bakmak çok daha az yaygındır ve çok daha çok şey söyler.
Katman 6: Kurtarma Hazırlığı
En iyi savunma bile aşılabilir. Kurtarma hazırlığı güvenliğin bir parçasıdır:
- Sunucu dışında, silinemez yedek. Sunucunun yedek depolamaya yalnızca yazma yetkisi olsun, silme yetkisi olmasın. Saldırganın ilk yapacağı iş yedekleri silmektir.
- Yazılı olay müdahale planı. Ele geçirilme şüphesinde ne yapılacak, kim bilgilendirilecek, hangi sırayla?
- Merkezi log. Sunucudaki loglar değiştirilebilir; dışarı aktarılmış olanlar değiştirilemez.
- Test edilmiş geri yükleme. Ele geçirilmiş bir sunucuyu temizlemeye çalışmak yerine temiz kurulum yapıp yedekten dönmek her zaman daha güvenlidir — ama bu, yedeğin çalıştığından emin olmayı gerektirir.
Sonuç
Sertleştirme tek bir işlem değil, katmanlı bir düzendir. En yüksek getirili üç katman şudur: saldırı yüzeyini daraltmak (gereksiz servisleri kapatmak), anahtar tabanlı erişime geçmek ve güncelleme disiplinini otomatikleştirmek. Bu üçü, otomatik saldırıların büyük bölümünü etkisiz kılar. Tespit ve kurtarma katmanları ise koruma değil dayanıklılık sağlar — ve kötü senaryoda aralarındaki fark, birkaç saatlik kesinti ile kalıcı veri kaybı arasındaki farktır.
Sıkça Sorulan Sorular (SSS)
Nereden başlamalıyım?
Üç adımla: sistem güncellemesini otomatikleştirin, anahtar tabanlı SSH'a geçip parola girişini kapatın ve varsayılan ret politikasıyla güvenlik duvarını kurun. Bu üçü bir saatten kısa sürer ve riskin büyük bölümünü kapatır.
Sunucumun ele geçirildiğini nasıl anlarım?
Tipik belirtiler: açıklanamayan yüksek CPU kullanımı, tanımadığınız çalışan işlemler, beklenmedik giden ağ trafiği, IP adresinizin kara listelere düşmesi ve zamanlanmış görevlerde sizin eklemediğiniz kayıtlar.
Ele geçirilmiş sunucuyu temizleyebilir miyim?
Denenebilir ama önerilmez. Saldırganın bıraktığı bir arka kapıyı kaçırma riski her zaman vardır ve bu durumda sunucu kısa süre sonra tekrar ele geçirilir. Temiz kurulum yapıp doğrulanmış bir yedekten dönmek güvenli tek yoldur.
Firmware güncellemesi gerçekten gerekli mi?
Evet. Uzaktan yönetim denetleyicilerinde bulunan açıklar, doğrudan sunucu ele geçirilmesine yol açabilecek ciddiyettedir ve işletim sistemi güncellemeleri bu katmanı kapsamaz. Planlı bir bakım penceresinde yapın ama atlamayın.
