Siber güvenlik artık sadece bankaların, dev portalların ya da kritik altyapıların meselesi değil; birkaç çalışanlı bir ajansın, yeni açılmış bir e-ticaret sitesinin veya kişisel blogu olan bir içerik üreticisinin bile gündelik sorunu. Otomatik taramalar ve hedefli saldırılar, küçük projelerin de güvenlik önlemlerini sistematik biçimde ele almasını gerektiriyor.
Örneğin aynı projede bir yandan brute force ile yönetici paneli hedef alınabilir, diğer yandan otomatik botlar zafiyet taraması yapabilir; kimlik avı kampanyaları da e-posta hesaplarını hedef alabilir. Bu yazı, korku senaryoları veya dönemsel saldırı eğilimleri yerine, riskleri büyüten etkenleri, başlıca tehditleri ve katmanlı savunma adımlarını ele alıyor. Hosting, VPS, dedicated sunucu veya colocation kullanırken hangi kontrolleri sizin, hangilerini sağlayıcının yönettiğini hizmet kapsamına göre netleştirmek gerekiyor.
Siber Güvenlik Risklerini Büyüten Etkenler Neler?
Riskleri büyüten etkenleri anlamak, doğru savunma stratejisi kurmaya yardımcı olur. Birkaç ana etken öne çıkıyor.
Saldırı Yüzeyinin Genişlemesi: İnternete Bağlı Bileşenler
Bir işletmenin altyapısı tek bir web sitesi ve veritabanıyla sınırlı olmayabilir; şu bileşenleri de içerebilir:
- Kurumsal web sitesi
- Ayrı bir e-ticaret platformu
- Landing page ve kampanya siteleri
- Mobil uygulama backend servisleri
- API uç noktaları, webhook adresleri
- CDN, WAF, e-posta servisleri, üçüncü parti entegrasyonlar
Her bir bileşen, güvenlik açısından değerlendirilmesi gereken yeni bir alan demek; tek başına açık kapı olduğu anlamına gelmez. Yanlış yapılandırılmış DNS kayıtları, zayıf TLS yapılandırmaları ve korunmayan yönetim panelleri güvenlik riskleri oluşturabilir. DNS tarafındaki yapılandırma hatalarını incelemek için DNS kayıtları A’dan Z’ye rehberimize göz atabilirsiniz.
Otomatik Saldırı Ekonomisi: Botnetler ve Hazır Araçlar
Hazır araçlar ve kiralanabilir saldırı hizmetleri, bazı saldırılar için gereken teknik bilgi ve zaman eşiğini düşürebiliyor:
- Hazır zafiyet tarayıcıları birkaç tıkla kullanılabiliyor
- DDoS saldırısı için botnet kapasitesi kiralanabiliyor
- Fidye yazılımı kitleri, teknik bilgisi sınırlı kişilerin bile saldırı yapabilmesini sağlıyor
- Çalıntı parolalar, sızmış veritabanları yeraltı pazarlarında dolaşıyor
Sonuç: Otomasyon, saldırı denemelerini ölçeklendirmeyi kolaylaştırıyor. Yeni açılmış bir site de internete erişime açıldıktan kısa süre sonra otomatik taramaların hedefi olabilir.
Uygulama Karmaşıklığı: Mikroservisler, API’ler, Üçüncü Parti Bağımlılıklar
Modern web projeleri şu bileşenlerin bir kısmını veya tamamını içerebiliyor:
- WordPress gibi bir CMS, Laravel gibi bir framework veya Node.js gibi bir çalışma ortamı üzerine kurulu uygulama
- Redis, Memcached, RabbitMQ gibi önbellek ve mesajlaşma sistemleri
- Ödeme, kargo, kimlik doğrulama gibi üçüncü parti entegrasyonlar
Karmaşıklık arttıkça, her bileşeni aynı titizlikle takip etmek ve güncel tutmak zorlaşabilir. Eklentiler, temalar ve küçük kütüphaneler güncelleme takibinin dışında kalırsa, bilinen açıklar giderilmeyebilir. WordPress tarafında bu riskleri azaltmaya yönelik adımlar için WordPress güvenlik sertleştirme kontrol listesi iyi bir başlangıçtır.
İnsan Faktörü: Parola Tekrar Kullanımı ve Sosyal Mühendislik
Saldırganlar, teknik açıkların yanı sıra kullanıcıları da hedef alabilir. Aynı parolayı hem kişisel e-posta hesabında hem yönetim panelinde kullanmak, uygun iki faktörlü doğrulamayı etkinleştirmemek veya sahte bir giriş sayfasına bilgi girmek, hesapların ele geçirilmesine yol açabilir. Bu nedenle kullanıcı eğitimi ve farkındalık, teknik erişim kontrollerini tamamlamalıdır.
Başlıca Siber Tehdit Türleri
Web sitesi ve sunucu güvenliği planlanırken dikkate alınması gereken başlıca tehditleri toparlayalım.
Fidye Yazılımları ve Yedeklerin Hedef Alınması
Fidye yazılımları, sunucudaki dosyalarınızı ve bazen yedeklerinizi de şifreleyip, çözmek için kripto para talep eden zararlı yazılımlar. Özellikle:
- Güvensiz RDP veya SSH erişimi açık bırakılmış sunucular
- Güncel olmayan panel ve işletim sistemi sürümleri
- Zayıf veya tekrar kullanılmış parolalar
üzerinden erişim sağlanabilir; saldırganlar keşif yaptıktan sonra toplu şifreleme başlatabilir. Fidye yazılımına karşı savunma, yalnızca yedekleme ve başlangıçtaki sıkılaştırmadan ibaret değildir. Sürekli güncelleme, erişim kontrolü, izleme ve müdahale de gerekir. Yedeklerin saldırganın erişiminden ayrılması ve geri dönüşlerinin test edilmesi, kurtarma açısından önemlidir. Özellikle 3 2 1 yedekleme stratejisinin neden bu kadar işe yaradığını, cPanel, Plesk ve VPS üzerinde pratikte nasıl uygulanacağını merak ediyorsanız, 3 2 1 yedekleme stratejisi rehberimize mutlaka göz atın.
Kimlik Avı, Hesap Ele Geçirme ve E-posta İstismarı
Olası bir senaryoyu düşünelim: bir çalışan, gerçeğine çok benzeyen sahte bir giriş sayfasına parolasını girsin. Saldırgan bu parolayla e-posta hesabına erişmeyi başarırsa şunları yapabilir:
- Müşterilere sahte fatura veya ödeme linkleri göndermek
- Hesabı spam ve phishing kampanyalarında kullanmak
- Bu yollarla firmanın itibarına ve e-posta gönderici itibarına zarar vermek
Hesap ele geçirmeye karşı güçlü ve benzersiz parolalar, iki faktörlü doğrulama ve kimlik avı farkındalığı önemlidir. SPF, DKIM ve DMARC ise alan adı sahteciliğine karşı kontroller sağlar; ele geçirilmiş meşru bir hesaptan gönderilen zararlı iletileri tek başlarına engellemez. rDNS, gönderici DNS yapılandırması ve teslim edilebilirlikle ilgilidir; kullanıcı kimliğini doğrulamaz. Bu mekanizmaları detaylı öğrenmek için, SPF, DKIM, DMARC ve rDNS rehberimizi inceleyebilirsiniz.
Web Uygulama Saldırıları: Brute Force, SQL Injection, XSS
Web uygulamalarına yönelik saldırılardan iki örnek grup şöyle özetlenebilir:
- Kimlik doğrulama hedefli: Yönetici paneline brute force saldırıları, parola denemeleri, kullanıcı adı tahmini
- Uygulama açıklarını hedefleyen: SQL injection, XSS, dosya yükleme zafiyetleri, yetki yükseltme açıkları
Zayıf parolalı panel hesapları, gözden geçirilmemiş güvenlik ayarları ve güncellenmeyen eklentiler bu saldırılara karşı riski artırabilir. WAF, rate limiting, iki faktörlü doğrulama ve giriş denemesi sınırlama gibi kontroller farklı tehditlere karşı birlikte değerlendirilmelidir. Bunlar güvenli kodlama, doğru yetkilendirme ve uygulama açıklarının giderilmesinin yerine geçmez.
DDoS Saldırıları: Erişilebilirliği Hedef Alan Tehditler
DDoS saldırılarının temel hedefi, hizmet kaynaklarını veya ağ kapasitesini tüketerek erişimi aksatmaktır; tek başına veri hırsızlığı ya da sistemin ele geçirilmesi anlamına gelmez. Başarılı bir saldırıda veri çalınmasa bile:
- Müşterileriniz siteye ulaşamaz
- Kampanyalarınızın dönüşümü düşer
- Marka itibarınız zarar görür
DDoS saldırılarının işleyişini ve ağ tarafındaki riskleri daha ayrıntılı incelemek için DDoS saldırıları rehberimize göz atabilirsiniz.
Tedarik Zinciri ve Üçüncü Parti Bileşenleri Üzerinden Saldırılar
Bir proje, kendi kodunun yanında kütüphaneler, eklentiler, temalar ve SaaS hizmetleri kullanabilir. Bu parçalar:
- Bir güncelleme geciktiğinde
- Yanlış yapılandırıldığında
- Üretim ile test ortamları karıştığında
saldırganlar için potansiyel bir zafiyet noktası haline gelebiliyor. Bu nedenle güvenlik, sadece kendi kodunuzla sınırlı değil; tüm ekosistemi kapsıyor. Tedarik zinciri saldırılarında ayrıca bir bağımlılığın, sağlayıcının veya güncelleme kanalının ele geçirilmesi, zararlı kodun projeye taşınmasına yol açabilir.
Hosting ve Sunucu Perspektifinden Riskler: Nereden Patlıyor?
Tehditleri biliyoruz; peki iş Hosting, VPS, dedicated sunucu veya colocation altyapısına geldiğinde tipik zayıf halkalar neler? Bu altyapılarda dikkate alınması gereken riskleri toparlayalım.
Güncel Olmayan İşletim Sistemleri ve Paneller
Bir VPS veya dedicated sunucuda, uygulamanın bozulacağı endişesiyle güncellemeleri ertelemek güvenlik riski yaratabilir. Güncelleme planına dahil edilmesi gereken bileşenler arasında şunlar bulunur:
- Linux çekirdeği, OpenSSL, PHP, MySQL/MariaDB gibi bileşenler
- cPanel, Plesk, DirectAdmin gibi kontrol panelleri
- WordPress, Laravel, eklentiler ve temalar
Bu bileşenlerin desteklenen sürümleri güvenlik yamaları alır. İlgili yamalar uygulanmadığında, bilinen zafiyetlerin istismar edilme riski artar. Sunucu tarafında yamaları uygularken kesinti riskini azaltmak için izlenebilecek stratejileri, VPS sunucu güvenliği için pratik yaklaşımlar rehberimizde detaylı anlattık.
SSH, RDP ve Yönetim Panellerinin Korunmaması
Sunucuya doğrudan erişim sağlayan kapılar yeterince korunmadığında, en sağlam uygulama bile risk altına girer. Kaçınılması gereken hatalar:
- SSH erişiminin güçlü kimlik doğrulama ve erişim kısıtlamaları olmadan tüm internete açık olması
- Parola ile SSH girişi açık, anahtar tabanlı doğrulama kapalı
- RDP (Windows sunucu) için zayıf parola kullanımı
- cPanel, Plesk gibi panellerin HTTP üzerinden, iki faktörsüz kullanılmaları
Bu alanları sıkılaştırmak, yetkisiz erişim ve buna bağlı veri, hizmet ve itibar kaybı risklerini azaltmaya yardımcı olur. Özellikle SSH tarafında güçlü bir yapı kurmak için, VPS’te SSH güvenliği rehberimize göz atmanızı öneririz.
Paylaşımlı Hosting, VPS ve Dedicated Arasındaki Güvenlik Farkları
Kısaca toparlayalım:
- Paylaşımlı hosting: Sunucu altyapısının temel güvenlik kontrollerini sağlayıcı yönetir; kaynaklar kullanıcılar arasında paylaşılır. Uygulama, eklenti ve hesap güvenliği sorumlulukları hizmet kapsamına göre kullanıcıda kalabilir.
- VPS: Sanal sunucu üzerinde daha fazla yapılandırma kontrolü sunabilir. İşletim sistemi, erişim ve güncelleme sorumluluklarının paylaşımı, hizmetin yönetilen veya yönetilmeyen kapsamına bağlıdır.
- Dedicated sunucu: Fiziksel sunucu kullanımınıza ayrılır. Donanım hizmeti ile işletim sistemi, uygulama güvenliği ve yedekleme yönetiminin kapsamı ayrı ayrı netleştirilmelidir.
- Colocation: Kendi donanımınızı veri merkezinde barındırırsınız. Fiziksel barındırma, ağ hizmetleri ve varsa ek yönetim desteğinin sınırlarını sözleşmede kontrol edin; sistem ve uygulama yönetiminin dahil olduğunu varsaymayın.
Hangi modeli kullanırsanız kullanın, temel prensip değişmiyor: güvenlik ayarları gözden geçirilmemiş kurulumlar ve gereksiz yere açık bırakılmış servisler, saldırı yüzeyini büyütür.
Savunma Stratejisi: Katmanlı Güvenlik Yaklaşımı
Farklı tehditlere karşı tek bir ürün veya tek bir ayar yeterli değildir. Katmanlı güvenlik yaklaşımı, her katmanda riske uygun ve doğrulanabilir önlemler alarak bir kontrolün eksik kaldığı noktayı diğer kontrollerle desteklemeye dayanır.
Ağ Katmanı: Güvenlik Duvarı, DDoS Koruması, Segmentasyon
Ağ savunması hem sunucu üzerindeki kontrolleri hem de trafiğin sunucuya ulaştığı ağdaki önlemleri kapsar. Sunucudaki güvenlik duvarı ve hız sınırlaması, üst ağ bağlantısının kapasitesini aşan bir DDoS saldırısını tek başına karşılayamaz; bu durum için ağ tarafındaki trafik süzme kapsamını ayrıca değerlendirin. Yönetim erişimini veya güvenlik duvarı kurallarını kısıtlamadan önce izin verilecek bağlantı üzerinden yönetici erişimini ve erişim kaybında kullanabileceğiniz konsol ya da başka bir kurtarma yolunu doğrulayın.
- Açık olması gerekmeyen tüm portları kapatmak
- Saldırı denemelerinde IP tabanlı hız sınırlaması (rate limiting) uygulamak
- Yönetim erişimlerini (SSH, RDP, panel) sadece belirli IP bloklarına veya VPN tünellerine sınırlamak
- Web, veritabanı ve yönetim servislerini uygun ağ bölümlerine ayırıp aralarındaki trafiği ihtiyaç duyulan bağlantılarla sınırlamak
- DDoS koruması ve trafik süzme seçeneklerini, kapsanan saldırı türleri ve kapasite sınırlarıyla birlikte değerlendirmek
VPS üzerinde yazılımsal güvenlik duvarı kurallarını planlamak için nftables ile VPS güvenlik duvarı rehberimizden yararlanabilirsiniz.
Uygulama ve HTTP Katmanı: WAF, Güvenlik Başlıkları, Rate Limiting
Web uygulamalarınızı korurken HTTP düzeyinde alabileceğiniz önlemler şunlar:
- ModSecurity gibi uyumlu bir WAF motorunu OWASP CRS kural setiyle kullanmak; kuralları uygulamanın meşru istekleriyle test ederek ayarlamak
- HSTS, CSP, X-Frame-Options, X-Content-Type-Options gibi HTTP güvenlik başlıklarını doğru şekilde eklemek
- WordPress giriş sayfası, admin paneli gibi kritik uç noktalara rate limiting uygulamak
- Bot ve tarama trafiğini akıllıca filtrelemek
HTTP güvenlik başlıklarını ne zaman ve nasıl uygulamanız gerektiğini pratik örneklerle anlattığımız HTTP güvenlik başlıkları rehberimize göz atarak, hangi başlıkların uygulamanıza uygun olduğunu değerlendirebilirsiniz.
Sunucu ve Sistem Katmanı: Sertleştirme, Güncellemeler, Yetki Yönetimi
Sunucu yönetim yetkiniz varsa, Linux tabanlı VPS veya dedicated sunucu için şu adımları değerlendirin. Paylaşımlı ya da yönetilen hizmetlerde sunucu düzeyindeki işlemlerin kim tarafından yürütüleceğini sağlayıcıyla netleştirin:
- Güncel işletim sistemi ve paket deposu kullanmak
- Gereksiz servisleri kapatmak, minimal kurulum yapmak
- sudo ile yetki yükseltebilen ayrı bir yönetici hesabının erişimini doğruladıktan sonra root ile doğrudan uzaktan girişleri kapatmak
- İki faktörlü doğrulama, anahtar tabanlı giriş, güvenli parola politikaları uygulamak
- Logları merkezi toplamak ve düzenli analiz etmek
Tüm bunları oturtmak ilk bakışta göz korkutucu gelebilir, ama küçük adımlarla ilerlediğinizde öncelikli riskleri sırayla azaltabilirsiniz.
Veri ve Yedekleme Katmanı: 3-2-1 Stratejisi ve Test Edilmiş Geri Dönüş
En kötü senaryoyu düşünelim: sisteminiz ele geçirildi, verileriniz şifrelendi veya silindi. Elinizde ne kalacak? Cevabınız net değilse, yedekleme stratejinizi yeniden yazma zamanı gelmiş demektir.
İdeal yaklaşım:
- Üretimdeki veri dahil en az 3 kopya: asıl veri ve iki yedek
- En az 2 farklı ortamda (örneğin sunucu diski, harici depolama)
- En az 1 kopya tamamen farklı lokasyonda (offsite yedek)
Buna ek olarak, yedeklerin de şifrelenmesi veya silinmesi riskini azaltmak için üretim sisteminden ayrı erişim yetkileriyle korunan, çevrimdışı veya saklama süresi boyunca değiştirilemeyen (immutable) kopyalar değerlendirilmelidir. Versiyonlama tek başına değiştirilemezlik sağlamaz; eski sürümlerin silinmeye ve değiştirilmeye karşı korunması da gerekir. Hedef geri dönüş süresini (RTO) ve kabul edilebilir veri kaybı aralığını (RPO) belirleyin; yedekleme sıklığını ve geri dönüş testlerini bu hedeflere göre planlayın. Örneğin haftalık yedekleme, sık işlem alan bir e-ticaret sitesinin veri kaybı toleransını aşabilir.
DCHost Hizmetlerinde Güvenlik Kapsamını Nasıl Değerlendirmelisiniz?
DCHost hizmeti seçerken hangi güvenlik kontrollerinin sağlayıcı tarafından yönetildiğini, hangilerinin sizin sorumluluğunuzda kaldığını netleştirin. Aşağıdaki başlıklar tüm paketlerde sunulduğu doğrulanmış özellikler değil, seçilen hizmetin kapsamını sağlayıcıyla değerlendirirken kullanılabilecek bir kontrol listesidir.
Altyapı Düzeyinde Güvenlik: Ağ, Donanım ve İzolasyon
- Sunucu ve ağ ekipmanlarının bulunduğu veri merkezlerinde fiziksel erişim kontrolleri
- Ağ segmentasyonu ile müşteri ortamlarının birbirinden mantıksal olarak ayrılması
- DDoS filtreleme ve anomali izleme kontrollerinin kapsamı, sınırları ve olay bildirim süreçleri
- Olağan dışı trafik artışlarının bant genişliği ve güvenlik açısından izlenmesi
Sunucu ve VPS Tarafında En İyi Pratikler
VPS veya dedicated sunucu seçerken, özellikle yönetilen hizmetlerde şu adımların hizmet kapsamına dahil olup olmadığını netleştirin:
- İşletim sisteminin güvenli varsayılanlarla kurulması
- SSH erişim kurallarının sıkılaştırılması
- Güncellemelerin planlı biçimde uygulanması
- Temel izleme ve uyarı sistemlerinin devreye alınması
Bu adımların kim tarafından ve hangi sıklıkla yürütüleceği açık olmalıdır. Kendi VPS’ini yöneten kullanıcılar için ise, VPS sunucu güvenliği nasıl sağlanır rehberimiz, nereden başlayacağınızı adım adım gösteren pratik bir kontrol listesi sunuyor.
Uygulama Katmanında Güvenlik: Özellikle WordPress ve E-ticaret
WordPress ve WooCommerce gibi yaygın platformlar da saldırıların hedefi olabilir. Bu yüzden:
- Yönetici kullanıcı adını değiştirmeyi tek başına koruma saymadan güçlü, benzersiz parolalar ve uygun iki faktörlü doğrulama desteği kullanılması
- Giriş denemelerine rate limit ve IP bazlı engelleme eklenmesi
- XML-RPC ve WP-Cron erişimlerinin uygulamanın ihtiyaçlarına göre değerlendirilmesi
- Güvenilir tema ve eklenti seçimi, düzenli güncelleme politikası
gibi adımlar, uygulamanın ihtiyaçlarına ve desteklediği doğrulama yöntemlerine göre planlanmalıdır. Bu konuyu daha teknik seviye detaylarla öğrenmek isterseniz, WordPress siteniz sürekli hackleniyorsa ne yapmalısınız rehberimizi de okumanızı tavsiye ederiz.
Küçük Bir Kontrol Listesi: Bugün Neleri Gözden Geçirmelisiniz?
Aşağıdaki sorular, mevcut güvenlik önlemlerinizdeki eksikleri belirlemenize ve öncelikli işler için bir plan hazırlamanıza yardımcı olabilir.
- Sunucunuzda veya hosting hesabınızda kullanılan tüm yönetici parolaları benzersiz ve güçlü mü? Parola yöneticisi kullanıyor musunuz?
- cPanel, Plesk ve WordPress gibi sistemlerde uygun iki faktörlü doğrulama desteğini etkinleştirdiniz mi?
- SSH için anahtar tabanlı doğrulama kullanıyor musunuz? SSH ve RDP erişimlerini güvenilir IP adresleri veya VPN ile sınırlandırıp ayrıca güçlü kimlik doğrulamayla koruyor musunuz?
- İşletim sistemi, PHP, veritabanı ve panel yazılımlarınız desteklenen sürümlerde mi; ilgili güvenlik yamaları uygulanmış mı?
- HSTS, CSP, X-Frame-Options ve X-Content-Type-Options başlıklarının uygulamanıza uygun yapılandırıldığını kontrol ettiniz mi?
- En son ne zaman tam bir yedek alma ve geri dönme testi yaptınız? Geri dönüş süresi ve olası veri kaybı işletmenizin toleransına uygun mu?
- DNS kayıtlarınızı, kayıt kuruluşu hesabınızın iki faktörlü doğrulamasını ve alan adı transfer kilidini kontrol ettiniz mi? DNSSEC kullanıyorsanız imza ve güven zincirinin geçerliliğini doğruladınız mı?
- Çalışanlarınıza phishing ve sosyal mühendislik konusunda en son ne zaman kısa bir eğitim verdiniz?
Bu sorulardan birkaçına bile net cevap veremiyorsanız, ilgili kontrolleri doğrulayıp eksikleri risk düzeyine göre önceliklendirin.
Son Söz: Siber Güvenlikte Panik Değil Plan Zamanı
Siber güvenlik risklerini yönetmek, her tehdidi aynı anda çözmeye çalışmak yerine öncelikleri belirlemekle başlar. Düzenli yedekleme ve geri dönüş testleri, güncellemeler, yönetim erişimlerinin sıkılaştırılması, uygulama açıklarının giderilmesi ve uygun HTTP ile e-posta güvenlik kontrolleri; saldırı riskini ve olası kayıpları azaltmaya yardımcı olur. Bu adımlar, sınırlı bütçeli işletmeler için de bir başlangıç noktasıdır; tam koruma garantisi değildir.
Bu yazıyı bir alarm zili olarak değil, bir yol haritasının ilk sayfası olarak düşünün. Önce en zayıf halkayı bulun: parolalarınız mı, yedekleriniz mi, yoksa güncellemeleriniz mi? Kritik açıkları aylık planı beklemeden ele alın; diğer iyileştirmeleri risk düzeyine göre sıralayıp her ay ilerlemeyi gözden geçirin. DCHost hizmeti değerlendiriyorsanız ihtiyaç duyduğunuz yönetim ve güvenlik desteğinin seçilen plana dahil olup olmadığını netleştirin; kendi ekibinizin sorumluluklarını da yazılı hale getirin. Amaç, kesintileri tamamen ortadan kaldırmayı vaat etmek değil, riskleri azaltmak ve kurtarma hazırlığını sürdürülebilir kılmaktır.
