Siber Güvenlik İçin Web Sitesi Saldırısında İlk Müdahale Rehberi

Siber güvenlik açısından web sitenizde beklenmeyen yönlendirme, değiştirilmiş bir sayfa veya tanımadığınız bir yönetici hesabı görürseniz ilk adım dosyaları rastgele silmek değil, erişimi sınırlayıp kanıtları korumaktır. Önce olayın zamanını ve etkilenen adresi kaydedin; ardından hosting panelindeki kayıtları veya sunucu yöneticisinin erişebildiği günlükleri inceleyerek sorunun kapsamını belirleyin.

Siber güvenlik olayında önce ortamı ve erişimi belirleyin

Paylaşımlı hosting kullanıyorsanız genellikle dosya yöneticisi, veritabanı aracı, yedekleme ekranı ve siteye ait hata veya erişim günlükleriyle sınırlı bir görünümünüz olur. Yönetilen ya da kendi yönettiğiniz sunucuda ise web sunucusu, uygulama, kimlik doğrulama ve sistem günlüklerine erişim bulunabilir; ancak her sağlayıcının menü adları ve saklama süresi farklıdır. Bu nedenle panelde görünmeyen bir kaydı varmış gibi varsaymayın.

İlk olarak siteyi değiştirebilen tüm hesapları listeleyin: hosting paneli, CMS yönetimi, FTP veya SFTP, veritabanı ve varsa dağıtım sistemi. Hesaplardan biri ele geçirilmiş olabileceği için parolaları güvenilir, temiz bir cihazdan ve mümkünse çok faktörlü doğrulama ile yenileyin. Fakat aktif olayı incelerken dosya tarihlerini, kullanıcı adlarını veya log kayıtlarını değiştirecek gereksiz işlemler yapmayın. Orijinal ayarları ve mevcut yedeğin tarihini not edin.

Belirtiyi kanıta bağlayan güvenli inceleme adımları

1. Belirtiyi kaydedin: Etkilenen URL'yi, görülen mesajı, kullandığınız cihazı ve yaklaşık zamanı not edin. Yalnızca ana sayfa bozuksa kapsam sınırlı olabilir; birden fazla sayfa yönleniyorsa uygulama, eklenti veya sunucu yapılandırmasını birlikte ele almak gerekir.
2. Yeni bir yedek alın: Paneldeki dosya ve veritabanı yedekleme işleviyle mevcut durumu ayrı bir kopya olarak saklayın. Yedekleme başarısızsa bunu zorlamayın; sağlayıcının mevcut anlık görüntü veya yedek seçeneklerini kontrol edin. Bu kopya, yanlış bir düzeltmeden sonra karşılaştırma yapabilmek içindir.
3. Zamanla eşleşen kayıtları bulun: Hosting panelindeki erişim ve hata günlüklerinde ya da yönetici sunucusunun ilgili log ekranında olay saatine yakın satırları arayın. Aynı IP adresinin çok sayıda başarısız giriş denemesi, bir yönetim URL'sine beklenmeyen istekler veya belirli bir dosyada hata görülmesi farklı yolları gösterir. Tek bir satırın saldırının tamamını açıkladığını varsaymayın.
4. Yetkisiz hesabı veya erişim yolunu sınırlayın: Tanımadığınız bir CMS yöneticisi varsa hesabı silmek yerine önce hesabı devre dışı bırakın ve kullanıcı adını, oluşturulma zamanını ve rolünü kaydedin. Şüpheli bir FTP veya SFTP anahtarı görürseniz yalnızca o anahtarı kaldırın; tüm kullanıcıların izinlerini topluca değiştirmeyin. Kayıtlar belirli bir eklentinin güncelliğini yitirmiş dosyasını gösteriyorsa eklentiyi kendi yönetim aracı üzerinden devre dışı bırakmak, dosyaları rastgele silmekten daha güvenli bir ilk düzeltmedir.
5. Aynı işlemi yeniden deneyin ve yeni kanıtı kontrol edin: Örneğin sorun belirli bir URL'nin ziyaretçiyi tanımadığı bir adrese yönlendirmesiyse, önceki adresi yeniden açın ve denemenin saatini not edin. Ardından aynı saate ait yeni erişim ve hata kayıtlarını inceleyin. Yönlendirme sürüyor ancak logda yeni uygulama hatası oluşmuyorsa değiştirilmiş yapılandırma veya veritabanı içeriğini; yeni bir eklenti hatası oluşuyorsa ilgili eklentinin sürümünü ve değişiklik geçmişini ele alın.
6. Sonucu doğrulayın veya geri dönün: Belirti ortadan kalktıysa farklı bir tarayıcı oturumunda aynı sayfayı, yönetici girişini ve temel form akışını test edin. Belirti devam ediyorsa yaptığınız son değişikliği not ettiğiniz önceki değerine geri alın ve siteyi geçici bakım sayfasıyla sınırlamayı değerlendirin. Bu aşamada sağlayıcıdan zaman damgalı yedek ve erişim kayıtlarını istemek, kanıtları yok edecek geniş kapsamlı temizlikten daha güvenli bir sonraki adımdır.

Görülen sonuca göre hangi düzeltme yapılır?

Kayıtlarda belirli bir dosya veya eklenti çağrısı sırasında oluşan hata görünüyorsa önce uygulamanın sürüm uyumluluğunu ve son değişikliği kontrol edin; yalnızca ilgili bileşeni devre dışı bırakıp aynı URL'yi tekrar test edin. Hata kaydı yerine başarısız yönetici girişleri yoğunlaşıyorsa uygulama dosyalarını değiştirmek yerine hesap parolalarını, çok faktörlü doğrulamayı ve giriş kısıtlarını ele alın. Yönlendirme her kullanıcıda sürüyorsa tarayıcı önbelleğini temizlemek tek başına yeterli kanıt değildir; uygulama yapılandırması, veritabanındaki içerik ve sunucu yönlendirme kuralları ayrı ayrı incelenmelidir.

Diyelim ki bir içerik yönetim sisteminde yalnızca belirli bir yazı adresi açıldığında yabancı bir sayfaya yönlendirme görülüyor. Olay zamanına ait kayıtta yönetici hesabıyla yapılan bir içerik değişikliği bulunur, dosya değişikliği kaydı ise yoktur. Bu durumda önce hesabı devre dışı bırakıp parolasını yenilemek ve ilgili içeriğin güvenilir yedekle karşılaştırmasını yapmak mantıklıdır; dosyaları topluca silmek, kaydın işaret ettiği içerik tabanlı yolu açıklamaz. Buna karşılık yeni denemede belirli bir eklenti dosyasında hata görülürse inceleme o eklentinin sürümüne yönelir.

Temiz geri dönüş ve kalıcı önlemler

Olayın kaynağı belirlendikten sonra güvenilir olduğu doğrulanmış bir yedekten geri dönmek, tek tek şüpheli dosyaları ayıklamaktan daha tutarlı olabilir; ancak yedeğin olaydan önceki tarihe ait olması ve aynı güvenlik açığını taşımaması gerekir. Geri yükleme öncesinde mevcut durumu ayrıca saklayın. Geri dönüşten sonra yönetici, panel, veritabanı ve dosya aktarım hesaplarının parolalarını yenileyin; kullanılmayan hesapları kapatın ve uygulama ile eklentileri desteklenen sürümlere taşıyın.

İlk incelemeden sonra düzenli yedeklerin gerçekten geri yüklenebildiğini, yönetici girişlerinde çok faktörlü doğrulamanın çalıştığını ve erişim kayıtlarının yeterli süre saklandığını kontrol edin. Paylaşımlı hostingde sağlayıcının saldırı inceleme ve yedek saklama kapsamını önceden öğrenmek önemlidir; bu hizmetlerin kapsamı platforma göre değişebilir. Genel hosting seçeneklerini değerlendirirken İyibirNet üzerindeki bilgileri inceleyebilirsiniz; teknik olayda ise bağlantıyı tek başına bir güvenlik kanıtı olarak kullanmayın.

Belirti sürerse güvenli sonraki adım

Aynı yönlendirme veya yetkisiz değişiklik, hesaplar yenilendikten ve etkilenen bileşen sınırlandıktan sonra da devam ediyorsa siteyi normal kullanıma açık bırakmak yerine erişimi geçici olarak azaltın. Sağlayıcıya olay saati, etkilenen URL'ler, yaptığınız tekil değişiklikler ve ilgili log zamanlarını iletin; parola, erişim anahtarı veya kişisel verileri paylaşmayın. İnceleme tamamlanmadan dosya silmek ya da tüm izinleri topluca değiştirmek, hem geri dönüşü hem de olayın nedenini belirlemeyi zorlaştırabilir.