Linux Sunucu Güvenliği: Kurulumdan Sonra Yapılması Gereken 15 Adım

Yeni bir Linux sunucu kurduğunuzda, varsayılan yapılandırma güvenlik açısından yetersizdir — root SSH erişimi açık, firewall kapalı ve gereksiz servisler çalışır durumdadır. Linux sunucu güvenliği için kurulumdan hemen sonra uygulamanız gereken adımlar, sunucunuzun saldırılara karşı direncini dramatik şekilde artırır. Bu rehberde SSH hardening'den fail2ban kurulumuna, firewall yapılandırmasından otomatik güncellemeye kadar 15 kritik güvenlik adımını ele alıyoruz.

SSH Güvenliği ve Hardening

SSH, sunucu yönetiminin temel aracıdır ve en çok hedef alınan servislerden biridir. Varsayılan yapılandırmada root kullanıcıyla doğrudan giriş mümkündür ve port 22 üzerinden brute force saldırıları sürekli gerçekleşir. İlk adım olarak SSH yapılandırmasını sıkılaştırmanız gerekir.

SSH Güvenlik Kontrol Listesi

• ✓
  Root Girişini Devre Dışı Bırakın: PermitRootLogin no ayarıyla root SSH erişimini kapatın, sudo yetkili kullanıcı oluşturun.
• ✓
  SSH Key Authentication Kullanın: Parola girişini kapatın (PasswordAuthentication no), yalnızca SSH key ile giriş izni verin.
• ✓
  SSH Portunu Değiştirin: Varsayılan 22 portunu farklı bir porta taşıyarak otomatik tarama botlarını engelleyin.
• ✓
  İzin Verilen Kullanıcıları Sınırlayın: AllowUsers direktifiyle yalnızca belirli kullanıcıların SSH erişimine izin verin.

Firewall Yapılandırması

UFW (Uncomplicated Firewall) veya iptables ile yalnızca gerekli portları açın. Varsayılan politika olarak tüm gelen trafiği engelleyin ve yalnızca SSH, HTTP (80) ve HTTPS (443) portlarını açın. Veritabanı portları (3306, 5432) dışarıya asla açık olmamalıdır.

Fail2ban ile Brute Force Koruması

Fail2ban, log dosyalarını izleyerek belirli sayıda başarısız giriş denemesinden sonra IP adresini otomatik olarak engeller. SSH, Nginx, Apache ve diğer servisler için hazır filtreler sunar. Varsayılan ayarlarla bile sunucunuza yönelik brute force saldırılarının büyük çoğunluğunu engeller.

Linux sunucu güvenliği hakkında daha fazla bilgi için CIS Benchmarks rehberlerini ve Fail2ban dokümantasyonunu inceleyebilirsiniz.

Sıkça Sorulan Sorular

Managed hosting kullanıyorsam bu adımlar gerekli mi?

Managed hosting sağlayıcıları temel güvenlik yapılandırmasını üstlenir, ancak uygulama seviyesindeki güvenlik sizin sorumluluğunuzdadır. Sağlayıcınızın hangi güvenlik önlemlerini uyguladığını öğrenin ve eksik kalan alanları kendiniz tamamlayın.

SSH portunu değiştirmek gerçekten güvenliği artırır mı?

Port değişikliği "security through obscurity" olarak değerlendirilir ve tek başına yeterli değildir. Ancak otomatik tarama botlarının %99'u yalnızca port 22'yi hedef alır. Port değişikliği, SSH key authentication ve fail2ban ile birlikte kullanıldığında etkili bir katman oluşturur.

Otomatik güncelleme production sunucuda riskli mi?

Güvenlik güncellemelerini otomatik uygulamak, güncelleme yapmamaktan çok daha az risklidir. unattended-upgrades paketini yalnızca güvenlik güncellemeleri için yapılandırın. Kernel güncellemeleri gibi yeniden başlatma gerektiren güncellemeler için bakım penceresi planlayın.

SSL yapılandırması için SSL/TLS Sertifikası Rehberi yazımızı okuyun. DDoS koruması hakkında DDoS Koruma Stratejisi makalemize göz atın. WAF kurulumu için WAF ve ModSecurity Rehberini inceleyin.