Hızlı cevap: Linux sunucu sıkılaştırma, bir sunucunun varsayılan ve geniş saldırı yüzeyini güvenli bir taban çizgisine indirmektir. Gereksiz servisleri kapatmak, erişimi en az yetkiyle sınırlamak, SSH ve güvenlik duvarını yapılandırmak, güncellemeleri otomatikleştirmek ve denetim günlüğü tutmak bu işin temelidir. Ortak referans CIS Benchmark'tır: her dağıtım için denetlenebilir, maddeli bir sertleştirme standardı sunar. Amaç, sunucuyu kurulduğu haliyle bırakmak değil, bilinçli bir güvenlik seviyesine getirmektir.

Neden sunucu sıkılaştırma gerekli?

Bir Linux sunucu kurulduğunda, kolay kullanım için birçok servis ve ayar varsayılan olarak açık gelir. Bu kolaylık aynı zamanda geniş bir saldırı yüzeyi demektir: gereksiz açık portlar, zayıf varsayılan ayarlar ve fazla yetkili hesaplar. Sıkılaştırma, bu yüzeyi ihtiyaç duyulan asgariye indirir.

Önemli bir ilke şudur: güvenlik, kurulumdan sonra eklenen bir katman değil, sunucunun taban çizgisi olmalıdır. Sıkılaştırılmamış bir sunucu, tek bir açıkta kalan serviste bile saldırgana kapı aralar.

CIS Benchmark temelli sertleştirme alanları

Alan Örnek önlem
Servis yüzeyi Gereksiz servis ve paketleri kaldırma
Erişim ve yetki Root ile doğrudan girişi kapatma, sudo denetimi
SSH Anahtarlı giriş, parola girişini kapatma, güçlü yapılandırma
Güvenlik duvarı Yalnızca gerekli portları açma, gerisini kapatma
Günlük ve denetim auditd ve merkezi loglama ile iz kaydı
Güncelleme Güvenlik yamalarının düzenli ve otomatik uygulanması
Dosya sistemi Kritik dizin izinleri, bütünlük izleme

CIS Benchmark, bu alanları dağıtıma özel maddelerle tanımlar ve her maddenin denetlenebilir olmasını sağlar. Lynis gibi araçlar, sunucuyu bu taban çizgisine karşı tarayıp eksikleri raporlar.

Sıkılaştırmada en sık atlanan noktalar

  • Root ile doğrudan SSH girişinin açık kalması.
  • Parolayla SSH girişinin kapatılmaması (anahtar yerine).
  • Güvenlik duvarının hiç yapılandırılmaması ya da tüm portların açık olması.
  • Güvenlik yamalarının düzensiz uygulanması.
  • Denetim günlüğünün tutulmaması, bir olayda iz kalmaması.

KAOS ve DSET yaklaşımı

DSET, Linux sunucularının güvenlik denetimini CIS Benchmark temelli yürütür ve sunucunun taban çizgisinden ne kadar saptığını raporlar. Geliştirdiğimiz KAOS güvenlik motoru, dışa açık servisleri, zayıf SSH yapılandırmalarını ve eksik yamaları tespit eder ve bunların gerçekten istismar edilebilir olup olmadığını doğrulamaya çalışır. Amacımız uzun bir kontrol listesi değil, saldırganın gireceği gerçek yolu kanıtla göstermektir.

Bağlantılı okumalar: SSH sunucu güvenliği ve sertleştirme, web sunucu sertleştirme Nginx Apache, veritabanı sertleştirme, güvenlik yanlış yapılandırması OWASP, yama yönetimi, TLS SSL yapılandırma sertleştirme.

Sık sorulan sorular

CIS Benchmark nedir? CIS Benchmark, Center for Internet Security tarafından yayımlanan, işletim sistemleri ve yazılımlar için maddeli ve denetlenebilir güvenlik sertleştirme standartlarıdır. Her Linux dağıtımı için ayrı bir benchmark vardır ve her madde, uygulanması ve doğrulanması kolay somut bir ayar önerir. Sunucu sıkılaştırmada en yaygın kullanılan ortak referanstır.

Sunucu sıkılaştırma performansı düşürür mü? Genelde hayır. Sıkılaştırmanın çoğu, gereksiz servisleri kapatmak ve erişimi sınırlamaktır; bu çoğu zaman performansı artırır çünkü yük azalır. Bazı denetim ve günlükleme ayarları küçük bir ek yük getirebilir, ama bu kritik sunucularda güvenlik açısından kabul edilebilir bir maliyettir.

Sıkılaştırmaya nereden başlanmalı? İlk ve en etkili adımlar SSH'ı güvenli yapılandırmak (anahtarlı giriş, root girişini kapatma), güvenlik duvarıyla yalnızca gerekli portları açmak ve güvenlik yamalarını düzenli uygulamaktır. Ardından CIS Benchmark gibi bir referansa karşı tam denetim gelir. Lynis gibi araçlar bu denetimi otomatikleştirir.

Kaynaklar

Linux sunucularınızın CIS Benchmark temelli güvenlik denetimi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.