CageFS Nedir? Paylaşımlı Hostingde Hesap İzolasyonu

Paylaşımlı bir hosting sunucusunda çoğu zaman yüzlerce farklı web sitesi aynı fiziksel makineyi paylaşır. Peki bu sitelerden biri kötü niyetli ya da ele geçirilmiş olursa, aynı sunucudaki diğer siteler tehlikeye girer mi? İşte bu soruyu güvenli biçimde yanıtlayan teknolojilerden biri CageFS’tir. Bu yazıda CageFS’in ne olduğunu, neden gerekli olduğunu ve paylaşımlı hostingi nasıl güvenli kıldığını inceleyeceğiz.

CageFS nedir?

CageFS, CloudLinux işletim sisteminin sağladığı bir dosya sistemi izolasyon katmanıdır. Adındaki “cage” (kafes) kelimesi işlevini özetler: her kullanıcıyı kendi sanal ortamına hapseder. Bir hesap sunucuya giriş yaptığında, aslında tüm sistemi değil; yalnızca kendisine ait dosyaları ve güvenli, sınırlı bir sistem dosyaları kümesini görür.

Bu sanal ortam tam işlevseldir; kullanıcının siteleri, komut dosyaları ve uygulamaları hiçbir sorun olmadan çalışır. Ancak kullanıcı, “kafesinin” dışına — yani diğer hesapların alanına veya sunucunun hassas bölgelerine — bakamaz. Kısacası CageFS, tek bir paylaşımlı sunucuyu, birbirinden habersiz yüzlerce küçük ve güvenli bölmeye ayırır.

Bu izolasyonun en güzel yanı, kullanıcı açısından tamamen görünmez olmasıdır. Sitenizi yönetirken, dosya yüklerken ya da bir uygulama kurarken CageFS’in varlığını fark etmezsiniz; her şey her zamanki gibi çalışır. Koruma, siz hiçbir ayar yapmadan, arka planda ve otomatik olarak devrededir. Yani ek bir karmaşıklık ya da bakım yükü getirmeden güvenlik sağlar.

CageFS neden gerekli? Paylaşımlı hostingin riski

CageFS olmayan klasik bir paylaşımlı sunucuda, kullanıcılar teknik olarak aynı işletim sistemini paylaşır. Bu da bazı riskler doğurur:

• Bilgi sızıntısı: Kötü niyetli bir kullanıcı, diğer hesapların yapılandırma dosyalarını (örneğin veritabanı kullanıcı adı ve parolasının bulunduğu wp-config.php gibi) okumaya çalışabilir.
• İşlem gözetleme: Sunucuda çalışan tüm işlemlerin listesi görülebilir; bu da başka sitelerin komutları veya çalışma biçimi hakkında ipucu verir.
• Tehlikeli komutlar: Sistemde bulunan bazı hassas komutlar kötüye kullanılabilir.
• Sıçrama (lateral movement): Bir site ele geçirildiğinde, saldırgan aynı sunucudaki diğer sitelere ulaşmaya çalışır.

CageFS, bu risklerin tamamını, kullanıcıları birbirinden görünmez kılarak ortadan kaldırır.

CageFS nasıl çalışır?

CageFS her kullanıcı için sanal bir dosya sistemi oluşturur. Bu dosya sistemi, işletim sisteminin çalışması için gereken dosyaların güvenli ve sınırlı kopyalarını içerir; ama kullanıcıya ait olmayan hiçbir şeyi göstermez. CageFS aktifken kullanıcıdan gizlenen başlıca şeyler şunlardır:

Bir kullanıcı sunucuda ls veya ps gibi komutlar çalıştırsa bile yalnızca kendi dünyasını görür; sistemin geri kalanı ve diğer kullanıcılar onun için görünmezdir. Bu yaklaşım aynı zamanda symlink (sembolik bağlantı) tabanlı saldırıları da büyük ölçüde etkisiz hale getirir.

CageFS ne sağlar?

• Güvenlik: Ele geçirilen bir hesap, diğer sitelere sıçrayamaz veya onların verilerini okuyamaz. Bir sorun yaşandığında etkisi tek hesapla sınırlı kalır.
• Gizlilik: Hiçbir kullanıcı, komşularının dosyalarını, veritabanı bilgilerini veya çalışan uygulamalarını göremez.
• Kararlılık: İzolasyon, yanlış yapılandırılmış bir hesabın sunucunun genelini etkilemesini zorlaştırır.
• Uyumluluk: Tüm bu koruma, sitelerin normal çalışmasını bozmadan, kullanıcı hiçbir şey yapmadan arka planda sağlanır.

CageFS hangi saldırıları engeller?

CageFS’in değeri soyut bir güvenlik vaadi değil; somut saldırı türlerini etkisiz hâle getirmesidir. Öne çıkan örnekler:

• Yapılandırma dosyası okuma: Klasik bir saldırıda kötü niyetli bir kullanıcı, komşu sitelerin wp-config.php, .env ya da veritabanı ayar dosyalarını okumaya çalışır. CageFS bu dosyaları görünmez kıldığı için deneme daha ilk adımda başarısız olur.
• Sembolik bağlantı (symlink) saldırıları: Saldırgan, kendi dizininde başka bir kullanıcının dosyasına işaret eden bir sembolik bağlantı oluşturarak o dosyayı okumayı dener. CageFS izolasyonu, bu bağlantının hedefe ulaşmasını engeller.
• İşlem ve kullanıcı keşfi: Bir saldırgan genellikle önce sunucuyu tanımak ister: hangi kullanıcılar var, hangi işlemler çalışıyor? CageFS kullanıcıya yalnızca kendi işlemlerini ve kendisini gösterdiği için bu keşif adımı da boşa çıkar.

CageFS, LVE ve CloudLinux birlikte

CageFS tek başına değil, CloudLinux’un bütünsel yaklaşımının bir parçası olarak çalışır. Bu ekosistemde iki katman birbirini tamamlar: CageFS izolasyon ve güvenlikten, LVE (Lightweight Virtual Environment) ise kaynak yönetiminden sorumludur. LVE, her hesabın kullanabileceği CPU, RAM ve giriş-çıkış (I/O) miktarını sınırlar; böylece tek bir sitenin ani yükü tüm sunucuyu yavaşlatmaz. Kaynak limitlerinin nasıl işlediğini paylaşımlı hostingde kaynak limitleri yazımızda ayrıntılı bulabilirsiniz. İkisi birlikte, paylaşımlı hostingi hem güvenli hem de “komşu etkisinden” korunmuş hale getirir.

Hosting seçerken CageFS neden önemlidir?

Paylaşımlı bir hosting paketi seçerken fiyat ve disk alanı kadar, sunucunun hangi izolasyon teknolojileriyle korunduğu da önemlidir. CageFS ve CloudLinux kullanan bir sağlayıcı, sitenizi aynı sunucudaki bilinmeyen komşulardan yalıtır; bu, özellikle müşteri verisi, üyelik bilgisi ya da e-ticaret işlemi barındıran siteler için kritik bir farktır. Bir sağlayıcının bu teknolojileri kullanıp kullanmadığını destek ekibine sorabilir ya da paket özelliklerinde “CloudLinux”, “CageFS” veya “hesap izolasyonu” ifadelerini arayabilirsiniz. Aynı şekilde, kaynakların adil paylaşıldığından emin olmak için LVE tabanlı kaynak yönetimi de dikkat etmeniz gereken bir özelliktir. Güvenliğin büyük kısmı sağlayıcının altyapı tercihlerinde gizlidir; doğru teknolojilere sahip bir sunucu, siz hiçbir şey yapmadan sitenizi çok daha güvenli kılar.

Alastyr’da CageFS

Alastyr’ın paylaşımlı ve WordPress hosting paketleri, standart olarak CloudLinux ve CageFS üzerinde çalışır. Bu, hesabınızın aynı sunucudaki diğer sitelerden izole edildiği; verilerinizin, veritabanı bilgilerinizin ve dosyalarınızın komşu hesaplarca görülemeyeceği anlamına gelir. CageFS izolasyonuna ek olarak Imunify360 güvenlik altyapısı, gerçek zamanlı zararlı yazılım taraması ve web uygulama güvenlik duvarı ile koruma katmanları da devrededir. Böylece paylaşımlı hostingin ekonomik avantajından, adanmış bir sunucuya yakın bir izolasyon seviyesiyle yararlanırsınız.

Sık Sorulan Sorular

CageFS tam olarak ne işe yarar?

CageFS, paylaşımlı bir sunucudaki her hosting hesabını kendi izole sanal dosya sistemine kapatır. Böylece bir hesap, aynı sunucudaki diğer kullanıcıların dosyalarını, yapılandırmalarını ve çalışan işlemlerini göremez. Amacı, çok kullanıcılı bir sunucuda her siteyi birbirinden görünmez ve güvenli kılmaktır.

CageFS ile LVE arasındaki fark nedir?

İkisi de CloudLinux’un parçasıdır ama farklı işler yapar. CageFS izolasyon ve güvenlikten sorumludur; kullanıcıları birbirinden gizler. LVE ise kaynak yönetiminden sorumludur; her hesabın kullanabileceği CPU, RAM ve I/O miktarını sınırlar. CageFS “kimse kimseyi görmesin”, LVE ise “kimse kaynakları tüketmesin” ilkesini uygular.

CageFS sitemin performansını yavaşlatır mı?

Hayır. CageFS, dosya sistemi düzeyinde çalışan hafif bir izolasyon katmanıdır ve normal site çalışmasında hissedilir bir performans kaybına yol açmaz. Sitenizin dosyaları ve uygulamaları her zamanki gibi çalışır; yalnızca sizin alanınızın dışına erişim engellenir.

CageFS varsa ayrıca güvenlik yazılımına gerek var mı?

CageFS güçlü bir izolasyon sağlar ancak tek başına her tehdidi karşılamaz. En sağlıklısı katmanlı güvenliktir: CageFS hesap izolasyonu sağlarken, ModSecurity gibi bir web uygulama güvenlik duvarı ve Imunify360 gibi bir tarama/koruma yazılımı zararlı yazılımları ve saldırıları engeller. Bu katmanlar birbirini tamamlar.

CageFS sadece paylaşımlı hostingte mi kullanılır?

En yaygın olarak paylaşımlı ve reseller hostingte kullanılır, çünkü asıl fayda birden çok kullanıcının aynı sunucuyu paylaştığı ortamlarda ortaya çıkar. Tek kullanıcılı bir sunucuda (örneğin kendi bulut sunucunuzda) izolasyon ihtiyacı farklıdır; orada güvenlik genellikle başka yöntemlerle sağlanır.

CageFS bir hesabı tamamen hacklenemez mi yapar?

Hayır; hiçbir teknoloji tek başına yüzde yüz güvenlik vaat etmez. CageFS’in işlevi, bir hesap ele geçirilse bile hasarın o hesapla sınırlı kalmasını, saldırganın diğer sitelere kolayca sıçrayamamasını sağlamaktır. Bu, sunucu genelindeki riski büyük ölçüde azaltır ancak site sahibinin kendi uygulamasını güncel ve güvenli tutması yine de gereklidir.

Alastyr hosting paketlerinde CageFS var mı?

Evet. Alastyr’ın paylaşımlı ve WordPress hosting paketleri CloudLinux ve CageFS üzerinde çalışır; hesabınız aynı sunucudaki diğer sitelerden izole edilir. Buna ek olarak Imunify360 ile gerçek zamanlı koruma ve LVE ile kaynak izolasyonu da standart olarak sunulur.

CageFS’i kendim açıp kapatabilir miyim?

CageFS, sunucu yöneticisi tarafından işletim sistemi düzeyinde yönetilen bir özelliktir; son kullanıcı olarak sizin bir şey yapmanıza gerek yoktur ve arka planda otomatik çalışır. Koruma, hosting hesabınız oluşturulduğu andan itibaren devrededir.