Sunucu Güvenliği İçin İlk Kurulum Kontrol Listesi

Sunucu güvenliği için ilk hedef, internete açık yönetim yüzeyini azaltmak ve yapılan değişikliklerin gerçekten etkili olduğunu doğrulamaktır. Yönetici erişiminiz olan Linux sunucuda önce yedek veya geri dönüş planı hazırlayın; ardından ayrı bir yönetici hesabı, anahtar tabanlı SSH erişimi, sınırlı güvenlik duvarı kuralları ve güncel yazılımlar uygulayın. Her değişikliği tek başına yapıp aynı erişim denemesini yeniden test edin.

Başlamadan önce ortamı ve geri dönüş yolunu belirleyin

Bu rehber, işletim sistemi ve hizmetleri yönetebildiğiniz bir VPS ya da fiziksel Linux sunucu içindir. Paylaşımlı hosting hesabında SSH, güvenlik duvarı veya sistem güncellemesi gibi ayarlar sağlayıcı tarafından yönetilebilir; bu durumda yalnızca panelde sunulan erişim ve güvenlik seçeneklerini kullanın. Sunucuya yönetici hesabıyla bağlanabilmeniz, sağlayıcının acil konsoluna erişebilmeniz ve mevcut ayarları geri alabilmeniz gerekir.

Değişiklikten önce çalışan SSH oturumunu kapatmayın. Mevcut SSH portunu, oturum açma yöntemini, güvenlik duvarı kurallarını ve servis yapılandırmalarını not edin. Mümkünse sağlayıcının anlık görüntü veya yedek özelliğini kullanın. Böylece yeni ayar bağlantıyı keserse konsoldan önceki değere dönebilirsiniz. Üretim sisteminde birden fazla ayarı aynı anda değiştirmeyin; aksi halde hangi değişikliğin sonucu etkilediğini ayırt etmek zorlaşır.

Sunucu güvenliği için erişim yüzeyini küçültün

Ayrı bir yönetici hesabı ve anahtar tabanlı giriş

İlk adımda, günlük yönetim için kişisel ve sınırlı yetkili bir hesap oluşturun. Bu hesap yalnızca ihtiyaç duyduğu yönetim yetkilerini kullanmalı; doğrudan sürekli kullanılan ortak bir hesap olmamalıdır. SSH anahtarıyla giriş, parolanın ağ üzerinden tahmin edilmesine dayanan saldırıları azaltır. Ancak anahtar dosyasının bulunduğu bilgisayarın ekran kilidi, disk şifrelemesi ve erişim kontrolü de önemlidir.

1. Yeni hesabı oluşturup gerekli yönetim yetkisini verin; yeni bir SSH oturumunda bu hesapla bağlantı kurulabildiğini doğrulamadan mevcut oturumu kapatmayın. Giriş başarılıysa sonraki adıma geçin; başarısızsa SSH ayarını değiştirmeden hesabın kabuk, yetki ve anahtar tanımını düzeltin.
2. Yönetici hesabının SSH yapılandırmasında parola ile giriş ve doğrudan süper kullanıcı girişini, ortamınızda anahtar erişiminin çalıştığını doğruladıktan sonra kısıtlayın. Değişiklikten önce yapılandırma dosyasının özgün kopyasını saklayın. Yeni bir terminalden aynı sunucuya bağlanın; anahtar girişi çalışıyor, parola ile deneme ise beklenen biçimde reddediliyorsa ayar amacına ulaşmıştır.

Örneğin, yalnızca bakım için kullanılan bir VPS’de yeni yönetici hesabıyla anahtar girişi çalışıyor fakat eski ortak hesap hâlâ parola kabul ediyorsa erişim yüzeyi tam olarak küçülmüş sayılmaz. Eski hesabın hangi otomasyon veya ekip üyesi tarafından kullanıldığını belirleyip bağımlılığı taşıdıktan sonra hesabı kilitlemek daha güvenlidir; doğrudan silmek, beklenmeyen bir otomasyonu bozabilir.

Açık portları hizmet ihtiyacına göre sınırlandırın

Güvenlik duvarı kuralını körlemesine değil, servise göre uygulayın

Güvenlik duvarı, sunucuya gelen trafiği port ve protokole göre kabul eder veya reddeder. Önce sunucunun gerçekten sunduğu hizmetleri listeleyin: web uygulaması için genellikle HTTP ve HTTPS, yönetim için SSH gerekir; veritabanı portları ise çoğu kurulumda genel internete açılmamalıdır. Sağlayıcının ağ güvenlik grubunu ve işletim sistemi güvenlik duvarını birlikte kullanıyorsanız, bir katmanda izin verilmeyen trafiğin diğer katmanda açılmayacağını unutmayın.

SSH portunu yalnızca bilinen yönetim ağına veya VPN adres aralığına sınırlandırabiliyorsanız bunu tercih edin. Sabit bir yönetim ağı yoksa portu değiştirmek tek başına koruma sağlamaz; esas değer, kimlik doğrulama ve kaynak adresi kısıtlamasındadır. Web portları açık kalmalıysa yalnızca web hizmetinin gerçekten dinlediği portları izinli bırakın. Kullanılmayan portları rastgele kapatmak yerine ilgili servisin neden çalıştığını inceleyin.

Bu aşamadaki karar nettir: Bir portta gerekli bir hizmet dinlemiyorsa kuralı kaldırın; hizmet gerekiyorsa yalnızca gerekli kaynak ve protokole izin verin. Kapatma sonrasında uygulamanın beklenen URL’si çalışıyor ancak yönetim erişimi kesiliyorsa, web kuralını geri almadan yalnızca SSH için doğru yönetim adresini düzeltin. Kendi dış IP adresinizi yanlışlıkla engellerseniz sağlayıcının konsolundan önceki kurala dönün.

Güncelleme, servis ve kayıt kontrolünü birlikte yapın

İşletim sistemi güvenlik güncellemeleri, çekirdek ve kurulu servislerde bilinen açıkların giderilmesini sağlar; fakat her güncellemeyi otomatik olarak üretimde uygulamak da uyumluluk riski yaratabilir. Önce paket yöneticisinin bekleyen güvenlik güncellemelerini ve sağlayıcının bakım notlarını inceleyin. Kritik uygulamalarda yedek, test ortamı veya bakım penceresi yoksa değişikliği planlayın; sunucuyu sırf rutin kontrol için açıklamasız biçimde yeniden başlatmayın.

Güvenlik duvarı ve SSH değişikliklerinden sonra sistem günlüklerinde, kimlik doğrulama kayıtlarında ve ilgili servis günlüklerinde yeni olayları kontrol edin. Aynı başarısız bağlantı denemesinin saatini not edip değişiklikten sonra yeni bir deneme yapın. Yeni kayıtta beklenen reddetme görünüyorsa kural çalışıyor demektir. Bunun yerine bir servis başlatılamıyor veya yetki hatası veriyorsa, sorunu ağ kuralı sanmadan önce o servisin yapılandırmasını ve dosya izinlerini ayrı inceleyin.

İlk doğrulama turu ve güvenli sonraki adım

Kontrolü şu sırayla tamamlayın: yeni yönetici hesabıyla ikinci bir oturum açın; dışarıdan yalnızca gerekli web adreslerini deneyin; yönetim portunun yalnızca izin verilen ağdan erişilebilir olduğunu doğrulayın; ardından güncel saat aralığına ait kimlik doğrulama ve servis kayıtlarını inceleyin. Beklenen sonuç, gerekli hizmetlerin çalışması, gereksiz erişimlerin reddedilmesi ve yeni bağlantıların kayıtlarda ayırt edilebilir olmasıdır. Bu kontrol, uygulama içindeki güvenlik açıklarının veya çalınmış bir hesabın var olmadığını kanıtlamaz.

Bir doğrulama başarısız olursa son değiştirdiğiniz tek ayarı, kaydettiğiniz özgün değere döndürün ve aynı testi yeniden yapın. Sorun sürerse sağlayıcının konsolunu, ağ güvenlik grubunu ve işletim sistemi güvenlik duvarını ayrı ayrı karşılaştırın; erişim kanıtı olmadan tüm kuralları açmayın. Yönetim erişiminiz sınırlıysa, mevcut ayar notlarıyla birlikte sağlayıcının sunucu kiralama çözümleri sayfasından uygun yönetim seçeneklerini değerlendirebilirsiniz.

Bir sonraki güvenli adım, bu temel yapılandırmayı yazılı bir değişiklik kaydıyla düzenli aralıklarla gözden geçirmek ve yeni açılan her servisin neden internete açık olması gerektiğini ayrıca belgelemektir.