Hızlı cevap: SSH sunucu sertleştirme, sunucuya uzaktan erişimin en sık hedef alınan kapısını güvenli hale getirmektir. Temel adımlar: parola yerine anahtarlı kimlik doğrulama, root ile doğrudan girişi kapatma, güçlü şifreleme yapılandırması, erişimi IP ya da kullanıcı bazlı sınırlama ve kaba kuvvet denemelerini fail2ban gibi araçlarla engellemek. SSH internete açık olduğunda saniyeler içinde otomatik saldırı botlarının hedefi olur, bu yüzden varsayılan haliyle bırakılmamalıdır.

SSH neden bu kadar çok hedef alınır?

SSH, sunuculara uzaktan yönetim erişiminin standart yoludur ve çoğu zaman internete açıktır. Bu da onu otomatik saldırı botları için birincil hedef yapar: dışa açık bir SSH portu, dakikalar içinde kaba kuvvet ve varsayılan kimlik bilgisi denemeleriyle dövülmeye başlar.

Tehlike, zayıf bir parola ya da açık root girişi gibi tek bir yanlış ayarın, sunucunun tamamına erişim vermesidir. Bu yüzden SSH sertleştirme, sunucu güvenliğinin en yüksek öncelikli adımlarından biridir.

SSH sertleştirme adımları

Adım Amaç
Anahtarlı kimlik doğrulama Parolayı kapat, yalnızca SSH anahtarıyla giriş
Root girişini kapat Doğrudan root ile giriş yerine sudo kullan
Güçlü şifreleme Zayıf cipher ve anahtar değişim yöntemlerini devre dışı bırak
Erişim sınırlama AllowUsers, IP allowlist ya da VPN arkasına alma
Kaba kuvvet engeli fail2ban ile tekrarlayan başarısız denemeleri banla
Port ve görünürlük Gereksiz banner sızıntısını azalt, mümkünse tünel arkasına al
Denetim Giriş günlüklerini topla ve izle

İnternete açık SSH ya da tünel arkasında?

En güçlü yaklaşım, SSH'ı doğrudan internete açmak yerine bir VPN, bastion host ya da sıfır dış portlu tünel arkasına almaktır. Bu, SSH portunu halka açık taramadan tamamen gizler. Doğrudan açık bırakmak gerekiyorsa, anahtarlı giriş, root kapalı, fail2ban ve erişim sınırlama birlikte uygulanmalıdır. Parola girişinin kapatılması, kaba kuvvet saldırılarını tek başına büyük ölçüde etkisiz kılar.

KAOS ve DSET yaklaşımı

DSET, sunucuların dışa açık SSH yüzeyini denetler ve zayıf yapılandırmaları (parola girişi açık, root girişi açık, zayıf cipher) raporlar. Geliştirdiğimiz KAOS güvenlik motoru, keşifte bulunan açık SSH servislerini ve zayıf yapılandırmaları değerlendirir. Saha deneyimimizde en sık gördüğümüz sorun, parola girişinin açık bırakılması ve kaba kuvvet korumasının olmamasıdır. Amacımız SSH'ın sunucuya açılan zayıf bir kapı olup olmadığını göstermektir.

Bağlantılı okumalar: Linux sunucu sıkılaştırma CIS, bastion host ve güvenli uzaktan erişim, parola kırma Hashcat John, VPN güvenliği ve ZTNA, password spraying parola püskürtme, zero trust mimari.

Sık sorulan sorular

SSH'da parola girişini kapatmak şart mı? Şart değil ama güçlü bir tavsiyedir. Parola girişi açıkken, dışa açık bir SSH portu sürekli kaba kuvvet ve varsayılan kimlik denemelerine maruz kalır. Anahtarlı kimlik doğrulamaya geçip parola girişini kapatmak, bu saldırıları neredeyse tamamen etkisiz kılar, çünkü saldırganın tahmin edebileceği bir parola kalmaz.

fail2ban SSH'ı tam korur mu? fail2ban, tekrarlayan başarısız girişleri tespit edip ilgili IP'yi geçici banlayarak kaba kuvveti yavaşlatır ve gürültüyü azaltır. Ancak tek başına yeterli değildir; asıl koruma anahtarlı giriş, root kapalı ve erişim sınırlamadır. fail2ban bunları tamamlayan bir katmandır, yerini almaz.

SSH'ı internete hiç açmamak mümkün mü? Evet ve en güvenli yaklaşım budur. SSH'ı bir VPN, bastion host ya da dış portu olmayan bir tünel arkasına alırsanız, port halka açık taramadan tamamen gizlenir. Bu durumda saldırgan SSH'a ulaşmak için önce o güvenli katmanı aşmak zorunda kalır.

Kaynaklar

Sunucularınızın SSH yüzeyini denetlemek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.