Makale Başlıkları
Kısaca
Sunucu sıkılaştırma (hardening), bir sunucuyu varsayılan ayarlarından çıkarıp saldırı yüzeyini daraltarak güvenli hâle getirme sürecidir. Gereksiz servisleri kapatmak, güçlü kimlik doğrulama kullanmak, güncellemeleri düzenli yapmak ve güvenlik duvarı kurmak bu sürecin temel adımlarıdır. Amaç, bir saldırganın işini olabildiğince zorlaştırmak ve olası bir ihlalin etkisini sınırlamaktır.
- Hardening tek bir işlem değil, bir katmanlar bütünüdür; her katman bir savunma hattı ekler.
- Temel adımlar: SSH güvenliği, güncel yazılım, gereksiz servislerin kapatılması, güvenlik duvarı ve en az yetki ilkesi.
- Kaba kuvvet saldırılarına karşı fail2ban gibi araçlar ve iki adımlı doğrulama önemli bir savunma katmanıdır.
- Paylaşımlı hostingte sıkılaştırmanın büyük kısmını sağlayıcı üstlenir; kendi sunucunuzda ise sorumluluk sizdedir.
- Alastyr, sunucu tarafında CloudLinux, Imunify360, ModSecurity ve DDoS koruması gibi katmanlarla güvenliği yönetir.
Yeni kurulan bir sunucu, tıpkı fabrika ayarlarındaki bir cihaz gibidir: çalışır, ama güvenlik açısından savunmasızdır. İnternete açık her sunucu, kurulduğu andan itibaren otomatik botların taramasına maruz kalır. İşte bu sunucuyu saldırılara karşı sağlamlaştırma sürecine “hardening” (sıkılaştırma) denir. Bu yazıda sunucu sıkılaştırmanın ne olduğunu ve sunucunuzu adım adım nasıl güçlendireceğinizi ele alacağız.
Sunucu sıkılaştırma (hardening) nedir?
Hardening, bir sistemin varsayılan yapılandırmasındaki gereksiz veya riskli unsurları kaldırıp, güvenlik önlemlerini artırarak “saldırı yüzeyini” daraltma sürecidir. Saldırı yüzeyi, bir saldırganın sisteme girmek için deneyebileceği tüm olası yolların toplamıdır; hardening bu yolların sayısını azaltır. Kapalı olması gereken bir port, kullanılmayan bir servis ya da zayıf bir parola, her biri bir kapıdır — sıkılaştırma bu kapıları tek tek kapatmaktır.
Önemli olan, hardening’in tek seferlik bir işlem değil, katmanlı ve sürekli bir yaklaşım olmasıdır. Hiçbir tek önlem mükemmel değildir; ama üst üste eklenen katmanlar, bir saldırganın işini her adımda zorlaştırır. Buna “derinlemesine savunma” (defense in depth) denir.
Temel sunucu sıkılaştırma adımları
1. SSH erişimini güvenceye alın
SSH, sunucuya uzaktan erişimin ana kapısıdır ve saldırganların ilk hedefidir. Parola yerine SSH anahtarı kullanmak, varsayılan 22 portunu değiştirmek, root ile doğrudan girişi kapatmak ve fail2ban ile başarısız denemeleri engellemek en temel önlemlerdir. Kaba kuvvet saldırılarına karşı fail2ban yapılandırması, tek başına büyük fark yaratır.
2. Yazılımı güncel tutun
Saldırıların çoğu, bilinen ve yaması çıkmış açıkları hedef alır. İşletim sistemini, web sunucusunu, PHP’yi ve tüm uygulamaları düzenli güncellemek, bu açıkların kapanmasını sağlar. Güvenlik güncellemelerini mümkünse otomatik hâle getirmek iyi bir uygulamadır.
3. Gereksiz servisleri ve portları kapatın
Bir sunucuda çalışan her servis, potansiyel bir giriş noktasıdır. Kullanmadığınız servisleri durdurun ve yalnızca ihtiyaç duyulan portları açık bırakın. Ne kadar az şey çalışıyorsa, saldırı yüzeyi o kadar küçük olur.
4. Güvenlik duvarı kurun
Bir güvenlik duvarı (firewall), sunucuya gelen ve giden trafiği kurallara göre denetler. Yalnızca izin verilen bağlantılara geçit veren, geri kalanı reddeden bir yapılandırma, savunmanın temel taşıdır.
5. En az yetki ilkesini uygulayın
Her kullanıcı ve her servis, yalnızca işini yapması için gereken yetkilere sahip olmalıdır. Gereğinden fazla yetki, bir hesap ele geçirildiğinde verilecek zararı büyütür. Root’u günlük işler için kullanmamak da bu ilkenin bir parçasıdır.
6. Yedekleme ve izlemeyi ihmal etmeyin
Sıkılaştırmanın en çok gözden kaçan iki parçası yedekleme ve izlemedir. Düzenli, otomatik ve ayrı bir ortamda tutulan yedekler; bir ihlal veya veri kaybı durumunda tek gerçek kurtarma yolunuzdur. İzleme ise gözünüz ve kulağınızdır: sunucu günlüklerini takip etmek, olağandışı giriş denemelerini, ani kaynak artışlarını veya beklenmedik dosya değişikliklerini erkenden fark etmenizi sağlar. Bir saldırıyı ne kadar erken fark ederseniz, etkisini o kadar sınırlarsınız. Yedekleme “geri dönebilmeyi”, izleme ise “zamanında haberdar olmayı” sağlar.
Uygulama düzeyinde sıkılaştırma
Sunucu sıkılaştırması yalnızca işletim sistemiyle sınırlı değildir; üzerinde çalışan uygulamalar da güvenli tutulmalıdır. Bir web uygulaması güvenlik duvarı (WAF), web trafiğindeki saldırı denemelerini (SQL enjeksiyonu, XSS gibi) filtreler. Uygulamaları, temaları ve eklentileri güncel tutmak, güçlü parola politikaları uygulamak ve gereksiz yönetici hesaplarını kaldırmak da uygulama katmanının hardening’idir. Paylaşımlı ortamlarda, hesapları birbirinden yalıtan CageFS gibi teknolojiler de bu güvenliğin bir parçasıdır.
Paylaşımlı hosting mi, kendi sunucunuz mu?
Sıkılaştırma sorumluluğunun kimde olduğu, hizmet türüne göre değişir. Paylaşımlı hostingte işletim sistemi ve sunucu düzeyindeki güvenliğin büyük bölümünü sağlayıcı üstlenir; siz yalnızca kendi sitenizin (güçlü parola, güncel eklentiler gibi) güvenliğinden sorumlusunuz. Kendi bulut sunucunuzda veya adanmış sunucunuzda ise sıkılaştırmanın tamamı sizin sorumluluğunuzdadır. Bu yüzden yönetim panelinden erişilen, güvenlik katmanları hazır gelen hizmetler; teknik ekibi olmayan kullanıcılar için önemli bir avantajdır.
Sıkılaştırmada sık yapılan hatalar
- Tek önleme güvenmek: Yalnızca güçlü bir parola ya da yalnızca bir güvenlik duvarı yeterli sanılır; oysa güvenlik katmanlıdır.
- Güncellemeleri ertelemek: “Sonra yaparım” denilen güncellemeler, saldırganların en sık kullandığı açık kapıdır.
- Yedeği test etmemek: Yedek almak yetmez; geri yükleyebildiğinizden emin olmak için ara sıra denemek gerekir.
- Kur ve unut: Güvenlik bir kez yapılıp bırakılan bir iş değildir; düzenli bakım ve gözden geçirme ister.
- Aşırı yetki vermek: Kolaylık olsun diye her şeye tam yetki vermek, bir hesap ele geçtiğinde felakete dönüşür.
Bu hataların ortak noktası, güvenliği bir “durum” değil “süreç” olarak görmemektir. İyi sıkılaştırılmış bir sunucu; düzenli olarak gözden geçirilen, güncellenen ve izlenen bir sunucudur.
Alastyr’da güvenlik yaklaşımı
Alastyr, sunucu tarafındaki güvenliği katmanlı biçimde yönetir. Paylaşımlı ve WordPress hosting paketlerinde CloudLinux ile hesap izolasyonu, Imunify360 ile gerçek zamanlı zararlı yazılım taraması ve web uygulama güvenlik duvarı, ModSecurity kuralları ve ağ tarafında yüksek kapasiteli DDoS koruması standart olarak sunulur. Böylece işletim sistemi ve ağ düzeyindeki sıkılaştırmayı bizim ekibimiz üstlenir; siz sitenizin içeriğine odaklanırsınız. Güvenlik altyapımızın ve veri merkezimizin ayrıntılarını veri merkezi sayfamızda bulabilirsiniz.
Katmanlı güvenlikle korunan hosting
CloudLinux, Imunify360, ModSecurity ve DDoS korumasıyla sunucu güvenliği bizde.
Sık Sorulan Sorular
Sunucu sıkılaştırma (hardening) tam olarak nedir?
Hardening, bir sunucuyu varsayılan ayarlarından çıkarıp gereksiz servisleri kapatarak, güçlü kimlik doğrulama kullanarak ve güvenlik önlemleri ekleyerek saldırı yüzeyini daraltma sürecidir. Amaç, bir saldırganın sisteme girmesini olabildiğince zorlaştırmak ve olası bir ihlalin etkisini sınırlamaktır. Tek seferlik bir işlem değil, sürekli ve katmanlı bir yaklaşımdır.
En önemli sıkılaştırma adımı hangisidir?
Tek bir “en önemli” adım yoktur; güç, katmanların birlikteliğinden gelir. Ancak SSH erişimini güvenceye almak (anahtar tabanlı giriş, root girişini kapatma, fail2ban) ve yazılımı güncel tutmak, en yüksek etkili ilk adımlardır; çünkü saldırıların büyük bölümü bu iki noktayı hedef alır.
Güvenlik duvarı tek başına yeterli mi?
Hayır. Güvenlik duvarı önemli bir katmandır ama tek başına yeterli değildir. Güncellemeler, güçlü kimlik doğrulama, en az yetki ilkesi ve uygulama düzeyinde koruma (WAF gibi) da gereklidir. Güvenlik, tek bir aracın değil, birbirini tamamlayan katmanların bütünüdür.
Paylaşımlı hostingte sunucuyu ben mi sıkılaştırmalıyım?
Hayır. Paylaşımlı hostingte işletim sistemi ve sunucu düzeyindeki sıkılaştırmayı sağlayıcı üstlenir. Sizin sorumluluğunuz kendi sitenizle sınırlıdır: güçlü parolalar kullanmak, uygulama ve eklentilerinizi güncel tutmak, gereksiz yönetici hesaplarını kaldırmak gibi. Kendi bulut ya da adanmış sunucunuzda ise sıkılaştırmanın tamamı sizindir.
Hardening yapınca sitem yavaşlar mı?
Hayır; doğru yapılan sıkılaştırma performansı olumsuz etkilemez. Gereksiz servisleri kapatmak hatta kaynakları serbest bırakarak performansa katkı sağlayabilir. Güvenlik katmanlarının çok küçük bir işlem yükü olsa da, bunun getirdiği koruma bu maliyetin çok üzerindedir.
Bir kez sıkılaştırınca güvenli olur muyum?
Hayır; güvenlik süreklilik ister. Yeni açıklar keşfedildikçe güncellemeleri uygulamak, günlükleri izlemek ve yapılandırmayı gözden geçirmek gerekir. Hardening bir “kur ve unut” işi değil, düzenli bakım gerektiren yaşayan bir süreçtir.
Fail2ban ne işe yarar?
Fail2ban, sunucu günlüklerini izleyerek tekrarlayan başarısız giriş denemelerini (kaba kuvvet saldırılarını) tespit eder ve saldırgan IP’yi geçici olarak engeller. Özellikle SSH ve panel girişlerini korumak için etkili, hafif ve yaygın kullanılan bir araçtır.
Alastyr sunucu güvenliği için ne yapıyor?
Alastyr, paylaşımlı ve WordPress hosting paketlerinde CloudLinux ile hesap izolasyonu, Imunify360 ile gerçek zamanlı tarama ve web uygulama güvenlik duvarı, ModSecurity kuralları ve ağ tarafında yüksek kapasiteli DDoS koruması sunar. Böylece işletim sistemi ve ağ düzeyindeki sıkılaştırmayı bizim ekibimiz üstlenir.
