Sunucu Güvenlik Denetimi Nedir ve Neden Önemlidir?
Sunucu güvenlik denetimi (audit), bir sistemin güvenlik duruşunu detaylı bir şekilde inceleyerek zayıf noktaları, açıkları ve uyumsuzlukları ortaya çıkarmak anlamına gelir. Özellikle VDS sunucu paketleri gibi paylaşımlı ortamlarda, bir sunucunun güvenlik açığı tüm hizmetleri etkileyebilir ve %40’a varan iş kaybına yol açabilir. Denetim, sadece bir kez yapılan bir işlem değildir; düzenli olarak tekrarlanması gereken, risk yönetimi sürecinin kritik bir parçasıdır.
Yaygın hatalar arasında gereksiz servislerin açık bırakılması, güncel olmayan paketlerin kullanılması ve zayıf parola politikaları yer alır. Bu hatalar, saldırganların root erişimi elde etmesine ve veri sızıntısına neden olabilir; ortalama bir saldırı maliyeti ise 150.000 USD’yi aşabilir. Bu yüzden denetim öncesi bir risk değerlendirmesi yaparak, hangi bileşenlerin kritik olduğunu belirlemek ilk adımdır.
Denetim Öncesi Hazırlık: Envanter ve Politikalar
Denetime başlamadan önce, sunucuda çalışan tüm hizmetlerin, yazılımların ve konfigürasyon dosyalarının tam bir envanterini çıkarmak gerekir. dpkg -l (Debian/Ubuntu) ya da rpm -qa (CentOS/RHEL) komutları bu iş için idealdir. Envanter oluşturulduktan sonra, şirketinizin Güvenlik Politikası ve uyumluluk gereksinimlerine (ISO 27001, PCI‑DSS vb.) göre bir kontrol listesi hazırlanmalıdır.
Bu aşamada WAF güvenlik duvarı gibi koruma katmanlarının mevcut durumu da incelenir. Eğer bir fiziksel sunucu (dedicated server) kullanıyorsanız, donanım tabanlı güvenlik özellikleri (TPM, Secure Boot) de envantere eklenmelidir. Politikalar net olduğunda, denetim süreci daha odaklı ve ölçülebilir hâle gelir.
Temel Güvenlik Kontrolleri ve Araçları
Denetimin kalbini oluşturan temel kontroller, aşağıdaki başlıklarda toplanabilir:
- İşletim Sistemi Güncellemeleri: Tüm paketlerin en son güvenlik yamalarıyla güncel olduğundan emin olun.
- Açık Port ve Servis Tespiti:
nmapveyanetstat -tulnpile gereksiz servisleri kapatın. - Kullanıcı ve Yetki Yönetimi:
sudoyapılandırması, parola politikaları ve SSH anahtar yönetimi kontrol edilmelidir. - Dosya ve Dizin İzinleri: Kritik dosyaların (ör.
/etc/shadow) izinleri600veya400olmalıdır. - Log Yönetimi: veri merkezimiz üzerinden merkezi log toplama (ELK, Graylog) kullanılmalıdır.
Bu kontrolleri otomatikleştirmek için OpenSCAP**, **Lynis** ve **Tiger** gibi açık kaynaklı araçlar tercih edilebilir. Örneğin, Lynis çalıştırıldığında aşağıdaki gibi bir çıktı alınır:
# lynis audit system
[+] System hardening checks: 124 passed, 7 warnings, 2 suggestionsBu araçlar, sadece eksikleri listelerken aynı zamanda önerilen düzeltme adımlarını da sunar, böylece denetim süreci hızlanır.
Adım Adım Sunucu Güvenlik Denetimi Süreci
Şimdi, tüm bu bilgileri birleştirerek 7 adımlık bir denetim metodolojisini inceleyelim:
- Envanter Çıkarma:
lshw -shortvesystemctl list-unitskomutlarıyla donanım ve hizmet envanteri alın. - Güncelleme ve Yama Yönetimi:
apt update && apt upgrade -y(Debian) ya dayum update -y(RHEL) komutlarıyla tüm paketleri güncelleyin. - Port ve Servis Analizi:
nmap -sS -p-ile dışa açık portları tarayın; gereksiz servislerisystemctl disableile kapatın. - Kullanıcı ve Yetki Denetimi:
cat /etc/passwdvesudo -lile kullanıcıları ve sudo yetkilerini gözden geçirin. - SSH Güvenliği:
/etc/ssh/sshd_configdosyasındaPermitRootLogin no,PasswordAuthentication nogibi ayarları etkinleştirin. - Log ve İzleme: WAF güvenlik duvarı ve SEO hosting loglarını merkezi bir SIEM’e yönlendirin.
- Raporlama ve Düzeltme: Tespit edilen bulguları bir rapor halinde toplayın, risk seviyesine göre önceliklendirin ve düzeltme planı oluşturun.
Bu adımlar, bir denetimin başlangıcından sonuç raporuna kadar tüm süreci kapsar ve tekrarlanabilir bir metodoloji sunar.
Karşılaştırma Tablosu: Popüler Denetim Araçları
| Araç | Platform Desteği | Otomasyon Seviyesi | Rapor Formatı | Ücret |
|---|---|---|---|---|
| Lynis | Linux/Unix | Yüksek (CLI) | HTML, TXT | Ücretsiz |
| OpenSCAP | Linux (RHEL, CentOS) | Orta (SCAP) | XML, HTML | Ücretsiz |
| Nessus | Windows, Linux | Yüksek (GUI) | PDF, HTML | Ücretli |
| Qualys Cloud Platform | Çoklu OS | Yüksek (Bulut) | PDF, CSV | Ücretli |
Tablodan görüldüğü gibi, ücretsiz araçlar temel denetimler için yeterli iken, kurumsal ölçekli veri merkezi ortamlarında Nessus veya Qualys gibi ücretli çözümler daha kapsamlı raporlamalar ve entegrasyonlar sunar.
Gerçek Dünya Senaryosu: E‑Ticaret Hostinginde Denetim
Bir e‑ticaret sitesinin e-ticaret hosting ortamında güvenlik denetimi yapıldığını düşünelim. İlk adımda, ödeme sistemine bağlı PCI‑DSS gereksinimleri kontrol edilir; burada openssl ile TLS 1.2+ zorunluluğu ve güçlü şifreleme algoritmaları (AES‑256‑GCM) test edilir. Ardından, WordPress hosting kullanan sitelerde bilinen WP‑vuln-db eklentileri taranır.
Denetim sonucunda, eski bir php sürümünün (7.2) kritik bir zafiyeti olduğu tespit edildi ve AMD Ryzen VDS sunucular üzerine geçiş planı oluşturuldu. Bu geçiş, sitenin yanıt süresini %30 azaltırken, aynı zamanda cve-2022-22965 gibi ciddi bir açık için yamayı da uygulamış oldu. Sonuç raporu, risk puanı 8/10 olan bu zafiyetin “Acil Düzeltme” kategorisine alınması gerektiğini belirtti.
Sıkça Sorulan Sorular
Sunucu güvenlik denetimi ne sıklıkla yapılmalı?
En az çeyrek dönemde bir kez, büyük değişiklikler (yazılım güncellemesi, yeni servis ekleme) sonrasında ise hemen yapılması önerilir. Kritik sistemlerde haftalık kısa taramalar da faydalıdır.
Denetim sırasında hangi log dosyaları en kritik?
/var/log/auth.log (kimlik doğrulama), /var/log/syslog (sistem olayları) ve web sunucusu logları (access/error) en çok incelenen dosyalardır. Bu loglar, olası saldırı izlerini erken tespit eder.
OpenSCAP ile otomatik rapor alabilir miyim?
Evet. oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard /usr/share/xml/scap/ssg-centos7-ds.xml komutu, standart bir rapor oluşturur ve HTML çıktısı verir.
Denetim sonrası bulgular nasıl raporlanmalı?
Bulgu başlıkları, risk seviyesi, etki analizi ve önerilen düzeltme adımlarını içeren bir tablo formatı kullanılmalı. Ayrıca, sorumlular ve zaman çizelgesi net bir şekilde belirtilmelidir.
Denetim Sonrası İzleme ve Sürekli İyileştirme
Denetim tamamlandıktan sonra, elde edilen bulgulara göre bir iyileştirme planı oluşturulmalı ve uygulanmalıdır. Plan, kısa vadeli (acil yamalar), orta vadeli (konfigürasyon değişiklikleri) ve uzun vadeli (otomasyon, CI/CD entegrasyonu) adımları içermelidir. İzleme aşamasında SLA hizmeti kapsamında tanımlanan performans ve güvenlik metrikleri düzenli olarak kontrol edilmelidir.
Ek olarak, colocation hizmeti kullanan müşteriler için fiziksel erişim kontrolleri ve ortam güvenliği (yangın, su baskını) de denetim kapsamına eklenmelidir. Böylece sadece dijital değil, fiziksel altyapı da güvence altına alınmış olur.
Sonuç: Güvenli Sunucu İçin İzlenecek Yol Haritası
Sunucu güvenlik denetimi, sisteminizin savunma hattını güçlendiren sistematik bir süreçtir. Bu makalede anlatılan 7 adımlı metodoloji, envanter çıkarmadan raporlamaya kadar tüm aşamaları kapsar ve hem ücretsiz hem de kurumsal araçlarla uygulanabilir. Denetimi tamamladıktan sonra, elde edilen bulgulara göre bir iyileştirme planı oluşturup, sürekli izleme mekanizmaları kurarak güvenlik seviyenizi yüksek tutabilirsiniz.
Artık bir sonraki adımınız, denetim takvimini oluşturmak ve VDS sunucu paketleri içinde güvenlik odaklı bir yapılandırma yapmaktır. Unutmayın, güvenli bir sunucu sadece bir kez değil, sürekli bir çaba gerektirir.
