Sunucu Güvenliği: Linux VPS İçin Güvenli Başlangıç Adımları

Sunucu güvenliği için önce hangi sistemde yetkiniz olduğunu netleştirin: paylaşımlı hosting hesabında işletim sistemi ve ağ duvarı sağlayıcı tarafından yönetilir; yönetilen bir Linux VPS'te ise yönetici hesabıyla temel ayarları siz yaparsınız. Bu rehber VPS için güncelleme, SSH erişimi, güvenlik duvarı, yetki sınırları ve kayıtların kontrollü biçimde ele alınmasını gösterir.

Sunucu güvenliği çalışmasına başlamadan önce ortamı belirleyin

Bu işlemler, işletim sistemi yönetici hesabına veya sudo yetkisine sahip olduğunuz, uzaktan yönetilen bir Linux VPS varsayımıyla hazırlanmıştır. Hosting panelinde yalnızca site, veritabanı ve e-posta ayarlarını görebiliyorsanız SSH politikasını, çekirdek güncellemelerini ya da ağ duvarını değiştirmeye çalışmayın. Bu durumda sağlayıcının güvenlik seçeneklerini ve erişim kayıtlarını inceleyin.

Değişiklik yapmadan önce mevcut SSH bağlantınızı kapatmayın; ikinci bir yönetici oturumu açık tutun. Mevcut SSH portu, yönetici kullanıcıları, güvenlik duvarı kuralları ve yedekleme durumunu not edin. Özellikle uzaktan erişim ayarlarında yanlış bir kural, yeni bağlantıları engelleyebilir. Bu nedenle her seferinde tek bir faktörü değiştirin ve önceki değeri geri alınabilecek şekilde saklayın.

Linux VPS üzerinde güvenli başlangıç sırası

1. İşletim sistemi ve paket durumunu inceleyin. Yönetim panelindeki bakım veya güncelleme ekranını, ayrıca dağıtımın paket yöneticisindeki bekleyen güvenlik güncellemelerini kontrol edin. Çekirdek, SSH sunucusu ve ağ bileşenleri için güvenlik güncellemesi varsa önce sağlayıcının anlık görüntü ya da yedekleme seçeneğinin kullanılabilir olduğunu doğrulayın, sonra yalnızca güvenilir depolardan güncelleme yapın. Güncelleme sonunda sistemin sürüm ve paket durumunu yeniden kontrol edin; bekleyen kritik paketler hâlâ görünüyorsa uygulamanın bakım penceresini ve sağlayıcı yönergelerini incelemeden rastgele yeniden başlatma yapmayın.
2. SSH erişimini anahtar tabanlı hale getirin. Önce ayrı bir yönetici kullanıcısının anahtarla giriş yapabildiğini ikinci oturumda doğrulayın. Bu bağlantı çalışıyorsa SSH yapılandırmasında parola ile giriş ve doğrudan root girişini, kurumunuzun erişim prosedürü izin veriyorsa, kademeli olarak kapatın; değişikliği kaydedip SSH hizmetinin yapılandırma doğrulamasını çalıştırın. Aynı kullanıcıyla yeni bir SSH bağlantısı açın: anahtar kabul ediliyorsa ayar doğru yöndedir, reddediliyorsa açık oturumu kapatmadan önce önceki değeri geri yükleyin. Parola girişini kapatmadan önce anahtarın yedek kopyasını güvenli ve şifreli bir yerde saklayın.
3. Ağ duvarında yalnızca gerekli trafiği bırakın. Paneldeki veya işletim sistemi üzerindeki güvenlik duvarı ekranında yönetim portu ile web uygulamasının kullandığı HTTP ve HTTPS trafiğini ayrı değerlendirin. Yönetim erişiminiz belirli ofis veya VPN adresleriyle sınırlanabiliyorsa SSH kuralını bu kaynaklarla daraltın; sabit kaynak adresi yoksa mevcut bağlantıyı koruyacak daha dikkatli bir kural kullanın. Kuralı uygulamadan önce sağlayıcının acil konsol erişiminin bulunup bulunmadığını kontrol edin. Ardından yeni bir SSH bağlantısı ve sitenin normal HTTPS isteğiyle test edin; site çalışıyor fakat SSH kesiliyorsa web kuralını değil, yönetim kaynağı veya port kuralını düzeltin.
4. Yetkileri ve çalışan servisleri azaltın. Kullanıcı ve grup ekranında uygulamanın dosya işlemleri için ayrı bir kullanıcı kullandığını, yönetici yetkisinin yalnızca bakım hesabında bulunduğunu kontrol edin. Servis listesinde kullanılmayan veritabanı, dosya paylaşımı veya test servislerini önce yapılandırma bağımlılıklarıyla birlikte belirleyin; yalnızca gerçekten gereksiz olanı sağlayıcının güvenli durdurma ve devre dışı bırakma seçenekleriyle ele alın. Bir web uygulaması yazma izni istiyorsa tüm dizini genişletmek yerine yalnızca uygulamanın gerçekten yazdığı klasörü belirleyin. Yazma hatası ortadan kalkmıyorsa bunun boyut sınırı veya uygulama hatası olduğunu varsaymayın; uygulama kaydındaki yeni zaman damgalı satırları ayrı inceleyin.
5. Kayıtları ve geri dönüş planını doğrulayın. SSH başarısız girişleri, yönetici işlemleri, güvenlik duvarı olayları ve uygulama hata kayıtlarının hangi panel veya günlük görüntüleyicide tutulduğunu belirleyin. Beklenmeyen bir giriş görürseniz önce ilgili hesabın anahtarını veya oturumunu iptal edin, sonra kaydın saatini ve kaynak adresini not ederek diğer kayıtlarla karşılaştırın; tek bir satır saldırının kapsamını kanıtlamaz. Değişiklikten sonra aynı yönetici SSH girişini ve aynı HTTPS isteğini yeniden yapın, yeni ve aynı saat aralığına ait kayıtlarda beklenen başarılı erişimi ve gereksiz reddedilen trafiğin oluşmadığını kontrol edin. Sorun sürerse yeni değişiklik eklemeyin; son ayarı geri alıp sağlayıcının konsol erişimi veya yedekten dönüş prosedürüyle güvenli duruma dönün.

Belirtiye göre hangi ayarı ele almalısınız?

Yeni bir SSH anahtarıyla giriş başarılı, parola girişleri ise günlüklerde başarısız görünüyorsa bu sonuç ağ erişiminin değil, kimlik doğrulama yönteminin değiştiğini gösterir; parolayı kapatmadan önce anahtar ve kurtarma erişimini koruyun. Buna karşılık web sitesi HTTPS üzerinden açılıyor ancak yönetici bağlantısı zaman aşımına uğruyorsa uygulama ayarlarını değiştirmeyin; önce güvenlik duvarının kaynak adresi ve port kuralını inceleyin.

Diyelim ki küçük bir VPS'te yalnızca HTTPS üzerinden çalışan bir site ve VPN'den yapılan SSH yönetimi var. Güvenlik duvarında SSH'yi herkese açık bırakmak yerine VPN ağıyla sınırlamak, saldırı yüzeyini azaltan uygun bir seçimdir; ancak ekip dışarıdan ve VPN'siz acil erişime ihtiyaç duyuyorsa bu kural tek başına uygun değildir. Böyle bir durumda kapatmak yerine anahtar tabanlı erişim, ayrı yönetici hesabı ve sağlayıcının acil konsol yolu birlikte korunmalıdır.

Yedek ile güvenlik ayarını karıştırmayın

Yedekleme, yanlış yapılandırmayı otomatik olarak engellemez; yalnızca geri dönüş seçeneği sağlar. Kritik ayarların metin kopyasını ve yedekleme zamanını not edin, fakat anahtarları veya günlüklerdeki kimlik bilgilerini herkese açık bir yere koymayın. Uygulama için temel kontrolleri tamamladıktan sonra sunucu kiralama çözümleri sayfasındaki ortam seçeneklerini, kendi yönetim ve erişim gereksinimlerinizle karşılaştırabilirsiniz.

İlk güvenli sonraki adım, mevcut SSH oturumunu açık tutarak ayrı yönetici hesabının anahtar bağlantısını test etmektir. Bu bağlantı doğrulanmadan parola girişini, root erişimini veya güvenlik duvarı kurallarını değiştirmeyin; doğrulama başarısız olursa önce erişimi geri kazanmayı, sonra tek bir ayarı ele almayı seçin.