Hosting

Sunucu ve Hosting İçin Siber Güvenlik Önlemleri

Siber Güvenlik Tehditleri: Tabloyu Doğru Okumak

Sunucu yöneten, e-ticaret işleten veya kurumsal web uygulamaları barındıran işletmeler için saldırı trafiğini izlemek, kapasite planlamasının ve güvenlik denetiminin önemli bir parçasıdır. Saldırı sayısındaki değişimi değerlendirmek için karşılaştırılabilir dönemlere ait loglar, güvenlik duvarı istatistikleri ve e-posta raporları gerekir; bu yazıda artışın boyutunu ölçen bir veri seti sunulmuyor. Siber güvenlik tehditleri yalnızca büyük şirketleri değil, KOBİ’leri ve kişisel projeleri de ilgilendirir.

Bu makalede, saldırı riskini etkileyebilen koşulları, başlıca saldırı türlerini ve özellikle sunucu/hosting tarafında alabileceğiniz pratik önlemleri ele alacağız. Amacımız sizi korkutmak değil; riskleri değerlendirmek ve azaltmak için hangi adımları atabileceğinizi netleştirmek. İster paylaşımlı hosting, ister VPS, ister dedicated ya da colocation kullanın; katmanlı güvenlik prensipleri geçerlidir, ancak doğrudan uygulayabileceğiniz işlemler yetkinize ve hizmet kapsamına bağlıdır.

Siber Saldırı Riskini Etkileyen Koşullar

Saldırı riskini değerlendirirken internete açık varlıkları, erişim yollarını, yazılım bakımını ve saldırganların kullanabileceği araçları birlikte düşünmek gerekir. Aşağıdaki etkenler riskin nasıl oluşabileceğini açıklar; tek başlarına saldırı sayısının zaman içinde arttığını göstermez.

Başlıca risk etkenlerini şöyle özetleyebiliriz:

  • İnternete açılan iş süreçleri: Yeni uygulamalar, veri akışları ve kritik sistemler internete açıldığında saldırı yüzeyi büyüyebilir; erişimleri envanterle birlikte değerlendirin.
  • Hazır saldırı araçları ve otomasyon: Hazır DDoS panelleri, brute-force botları ve exploit kitleri, saldırganların bazı işlemleri otomatikleştirmesine ve çok sayıda hedefi taramasına olanak tanıyabilir.
  • Ekonomik motivasyon: Fidye talepleri, çalınan müşteri verilerinin satılması veya reklam dolandırıcılığı gibi gelir elde etme yolları, saldırganları siber suça teşvik edebilir.
  • Uzaktan çalışma ve dağınık yapılar: VPN, RDP gibi uzaktan erişim hizmetleri ve SaaS uygulamaları farklı erişim noktaları oluşturur. Bu noktaların kimlik doğrulama, yetkilendirme ve güncelleme ihtiyaçlarını ayrı ayrı değerlendirin.
  • Güncellenmeyen sistemler ve teknik borç: Eski PHP uygulamaları, güncellenmeyen CMS’ler veya bakımı ihmal edilmiş sunucu konfigürasyonları bilinen açıklar ve gereksiz erişim yolları barındırabilir. “Çalışıyor, bozmayalım” yaklaşımı güvenlik bakımını ertelemek için yeterli gerekçe değildir.
  • Jeopolitik ve aktivist motivasyonlar: Politik veya ideolojik amaçlar, belirli ülke, sektör veya kurumların hedef alınmasına yol açabilir.

Bu etkenler otomatik taramaları ve kitlesel saldırıları kolaylaştırabilir. Küçük bir işletme olmak bu saldırılardan muaf olmak anlamına gelmez. Saldırgan, sitenizin kime ait olduğunu bilmeden, IP bloklarını ya da belirli bir yazılım sürümünü tarayarak sizi bulabilir.

Başlıca Saldırı Türleri ve Sunucuya Etkileri

Güvenlik risklerini yönetebilmek için saldırı tiplerini tanımak gerekiyor. Aşağıda sunucu ve hosting ortamlarını etkileyebilen başlıca saldırı türlerini ve özellikle sunucu tarafındaki etkilerini özetledik.

DDoS Saldırıları: Kaynakları Tüketerek Hizmeti Engellemek

DDoS (Distributed Denial of Service), birden çok kaynaktan sunucunuza veya ağınıza trafik ya da istek göndererek gerçek kullanıcıların erişimini engellemeye çalışan saldırı türüdür. Hedeflenen şey genelde sisteminizin CPU, RAM, disk IO veya bant genişliği limitlerini aşmaktır.

Uygulama veya altyapı tasarlarken kapasite planlama sürecinde DDoS senaryolarını da mutlaka konuşmak gerekiyor. Özellikle yüksek trafikli projelerde, oran sınırlama, reverse proxy katmanı ve WAF uygulama katmanındaki saldırıların etkisini azaltabilir. Ancak sunucunun önündeki ağ bağlantısını doyuran hacimsel saldırılar için trafik bağlantıya ulaşmadan önce sağlayıcı veya DDoS koruma hizmeti tarafında filtrelenmelidir. DDoS saldırılarının detaylarını ve pratik korunma yöntemlerini daha derinlemesine okumak isterseniz DDoS saldırıları ve korunma yöntemleri rehberimizi de mutlaka inceleyin.

Fidye Yazılımı ve Veri Şifreleme Saldırıları

Fidye yazılımları (ransomware), sunucunuzdaki dosyaları, veritabanlarını veya paylaşımlı diskleri şifreleyerek geri açmak için sizden para talep eden kötü amaçlı yazılımlardır. Web sunucularında genellikle şu yollarla içeri girerler:

  • Güncellenmeyen CMS veya eklenti zafiyetleri
  • Zayıf parola ile korunan yönetici panelleri
  • Güvenliği zayıf RDP/SSH erişimleri
  • Truva atı içeren e-posta ekleri (özellikle kurumsal ağlara sızmak için)

Bu tür saldırılardan sonra verileri geri yüklemek için temel dayanaklardan biri doğru kurgulanmış yedeklemedir. 3-2-1 yedekleme stratejisi, immutable (değiştirilemeyen) yedekler ve periyodik geri dönüş testleri kurtarma sürecini destekler; ancak ilk sızmayı veya verilerin çalınmasını önlemez. Yedekleme konusunu daha detaylı düşünmek isterseniz 3-2-1 yedekleme stratejisi rehberimize göz atabilirsiniz.

Brute-Force ve Hesap Ele Geçirme Saldırıları

Brute-force saldırılarında saldırgan, yönetici paneli, SSH, FTP veya e-posta hesaplarınızın parolasını tahmin etmek için otomatik botlar kullanır. Bu saldırılar genellikle şu belirtilerle kendini gösterir:

  • SSH veya wp-login.php gibi uç noktalarda artan başarısız giriş logları
  • cPanel ya da Plesk girişlerinde alışılmadık IP adresleri
  • IMAP/SMTP başarısız giriş denemelerinde ani artış

IP bazlı oran sınırlama, iki faktörlü kimlik doğrulama (2FA) ve Fail2Ban gibi araçlarla otomatik IP engelleme, brute-force riskini azaltmaya yardımcı olur; dağıtık denemelere karşı tek başlarına yeterli olmayabilir. Fail2Ban kurulumu ve sunucu düzeyindeki kurallar yönetici yetkisi gerektirir; paylaşımlı hostingde hesabınızın sunduğu kontrolleri kullanın ve diğer önlemlerin kapsamını sağlayıcınıza sorun. Özellikle VPS kullananlar için VPS sunucu güvenliği rehberimiz bu senaryolara yönelik ek adımlar sunuyor.

Web Uygulama Saldırıları: SQL Injection, XSS, RCE

Sunucunuz ne kadar sağlam olursa olsun, üzerinde çalışan web uygulamanız zayıfsa saldırgan doğrudan uygulama katmanından içeri girebilir. Başlıca web uygulama açıkları şunlar:

  • SQL Injection: Güvenilmeyen girdinin SQL sorgusunun yapısını değiştirebilmesiyle verilerin yetkisiz okunmasına, değiştirilmesine veya silinmesine yol açabilen zafiyet. Temel önlem, veri ile sorgu yapısını ayıran parametreli sorgular kullanmaktır.
  • XSS (Cross-Site Scripting): Ziyaretçinin tarayıcısında kötü amaçlı JavaScript kodu çalıştırarak oturum çalma, form manipülasyonu veya yönlendirme yapılması.
  • RCE (Remote Code Execution): Sunucuda komut çalıştırılmasına izin verebilecek kritik zafiyetler.

Bu tür saldırılara karşı hem kod tarafında güvenli geliştirme prensipleri, hem de sunucu tarafında WAF (Web Application Firewall) ve doğru HTTP güvenlik başlıkları konfigürasyonu büyük fark yaratır. CSP, X-Frame-Options ve X-Content-Type-Options gibi başlıklar tarayıcı tarafındaki belirli riskleri azaltır; SQL Injection veya RCE açıklarını gidermez. Güvenlik başlıkları ve WAF, uygulamadaki açıkların düzeltilmesinin yerini tutmaz.

E-posta, Phishing ve Kimlik Avı Yönlü Saldırılar

Phishing (oltalama) e-postaları, kullanıcıları giriş bilgilerini paylaşmaya veya zararlı içerik açmaya yönlendirebilir. Yönetici paneli bilgilerini çalan sahte formlar, sahte fatura veya kargo bildirimleri ve sahte hosting bildirimleri bu saldırılara örnektir. Burada hem insan faktörü hem de sunucu tarafı korumalar önemlidir.

E-posta tarafında DMARC, görünen From alan adıyla hizalı en az bir başarılı SPF veya DKIM doğrulaması arar. Alıcının değerlendirmesine bağlı olarak alan adınızı taklit eden iletilerin ayırt edilmesine ve filtrelenmesine yardımcı olur; benzer görünümlü başka alan adlarıyla gönderilen oltalamayı veya içeriğin zararlı olmasını tek başına engellemez. Doğru rDNS yapılandırması da teslim edilebilirliği destekleyebilir; ancak bu ayarlar meşru iletilerin gelen kutusuna ulaşmasını garanti etmez. Bu ayarları adım adım uygulamak için SPF, DKIM, DMARC ve rDNS rehberimizi inceleyebilirsiniz.

Sunucu ve Hosting Tarafında Alınması Gereken Temel Önlemler

Siber tehditlere karşı kontrollü ve adım adım güvenlik katmanları oluşturun. Aşağıdaki sunucu düzeyindeki işlemler yönetici yetkisi gerektirir. Paylaşımlı hostingde işletim sistemi, ağ, sistem servisleri ve merkezi sistem loglarını genellikle sağlayıcı yönetir; siz hesabınız, uygulamanız ve erişiminize sunulan ayarlardan sorumlusunuz. VPS, dedicated ve colocation için de donanım sahipliği veya hizmet adı tek başına yönetim sorumluluğunu belirlemez; görevleri sözleşme ve yönetim kapsamına göre netleştirin.

Ağ ve Güvenlik Duvarı Katmanı

Ağ güvenliği, katmanlı korumanın temel parçalarından biridir. Aşağıdaki prensipler paylaşımlı hosting ve VPS/dedicated ortamları için geçerlidir; ancak paylaşımlı hostingde sunucu düzeyindeki ağ ve güvenlik duvarı ayarlarını genellikle sağlayıcı yönetir:

  • En az yetki ilkesi: Sadece gerçekten ihtiyaç duyulan portları dış dünyaya açın. Örneğin veritabanı portlarını (MySQL, PostgreSQL vb.) herkese açık bırakmayın; uzaktan erişim gerekiyorsa yalnızca yetkili kaynaklara izin verin.
  • IP kısıtlama: Yönetim panellerine (WHM, cPanel, Plesk, phpMyAdmin, SSH) mümkünse belirli IP bloklarından erişim verin.
  • Oran sınırlama: SSH, HTTP/HTTPS ve e-posta portlarında brute-force denemelerini sınırlayacak rate limiting kuralları kullanın.
  • DDoS önlemleri: Trafik analizi, SYN flood koruması ve mümkünse ağ tarafında DDoS filtreleme altyapısı kullanın.

VPS üzerinde daha gelişmiş güvenlik duvarı kurallarıyla oynamak isterseniz, nftables ile VPS güvenlik duvarı rehberimiz size iyi bir başlangıç noktası sunar.

İşletim Sistemi ve Panel Sertleştirmesi

Sunucuyu sertleştirmek (hardening), açıkları ve gereksiz erişim yollarını azaltmayı amaçlar. İşletim sistemi, kernel, SSH servisi ve sunucu paneli ayarları için yönetici yetkisi gerekir. Paylaşımlı hostingde bu işleri sağlayıcı yürütür; hesap düzeyinde sunulan 2FA gibi kontrolleri siz etkinleştirebilirsiniz. Sunucuyu yöneten kişi veya ekip için temel adımlar şunlardır:

  • Düzenli güvenlik güncellemeleri (OS, kernel, panel ve eklentiler)
  • SSH için anahtar tabanlı girişin çalıştığı ayrı bir oturumda doğrulandıktan ve kurtarma erişimi hazırlandıktan sonra parola ile girişin kapatılması
  • Gereksiz servislerin kapatılması; varsayılan portların değiştirilmesinin erişim kontrolünün yerini tutmadığının bilinmesi
  • Panel için 2FA (iki faktörlü doğrulama) zorunlu hale getirilmesi

cPanel için pratik bir kontrol listesi arıyorsanız cPanel güvenlik sertleştirme kontrol listemizden yararlanabilirsiniz; hesap düzeyindeki işlemlerle sunucu yöneticisinin yapacağı işlemleri ayırarak ilerleyin.

Uygulama Katmanı ve CMS Güvenliği

Sunucunuzun üzerine kurduğunuz yazılım (WordPress, Laravel, özel geliştirme vb.) güvenlik zincirinin en kritik halkalarından biridir. Özellikle WordPress gibi yaygın CMS’ler de saldırganların hedefleri arasındadır. Bu nedenle şu adımları atmanızı öneririz:

  • Çekirdek, tema ve eklentileri düzenli olarak güncelleyin.
  • Kullanmadığınız eklenti ve temaları tamamen kaldırın.
  • Yönetici hesaplarını minimumda tutun, “admin” gibi tahmin edilebilir kullanıcı adlarından kaçının.
  • wp-login.php, XML-RPC gibi uç noktalara rate limiting uygulayın; IP kısıtlamalarını meşru kullanıcıların ve entegrasyonların erişim ihtiyaçlarına göre belirleyin.

WordPress kullanıyorsanız, WordPress güvenlik sertleştirme kontrol listemiz dosya izinlerinden XML-RPC kısıtlamalarına kadar kapsamlı bir yol haritası sunuyor.

Şifreleme, HTTPS ve HTTP Güvenlik Başlıkları

Veriyi hem aktarım sırasında hem de disk üzerinde korumak önemlidir; şifreleme gereksinimlerini verinin hassasiyetine, risklere ve geçerli mevzuata göre belirleyin. Disk ve yedek şifrelemesini tasarlarken anahtar erişimini ve kurtarma yöntemini de planlayın; disk şifrelemesi çalışan sistemde yetkili erişim elde eden saldırganı tek başına durdurmaz. Sunucu ayarlarına erişiminiz yoksa bu seçeneklerin kapsamını sağlayıcınıza sorun. Aktarım güvenliği ve tarayıcı kontrolleri için başlıca konular:

  • HTTPS’in zorunlu hale getirilmesi: Tüm siteyi SSL sertifikası ile HTTPS üzerinden sunmak, sunucuda HTTP’den HTTPS’e yönlendirme yapmak ve HTTPS erişimi doğrulandıktan sonra HSTS’yi kademeli olarak devreye almak. HSTS, politikayı öğrenmiş veya ön yükleme listesi üzerinden bilen tarayıcıların HTTP yerine HTTPS kullanmasını sağlar.
  • Modern TLS sürümleri: TLS 1.2 ve 1.3 kullanmak, zayıf şifre takımlarını devre dışı bırakmak.
  • HTTP güvenlik başlıkları: HSTS, CSP, X-Frame-Options, X-Content-Type-Options gibi başlıklarla tarayıcının uygulamayı daha güvenli şekilde işlemesini sağlamak.

Bu başlıkları nasıl seçeceğiniz ve nerede devreye almanız gerektiği konusunda daha teknik bir rehber isterseniz, HTTP güvenlik başlıkları rehberimize göz atabilirsiniz.

Yedekleme ve Felaket Kurtarma Stratejisi

Yedekleme, güvenlik ve kurtarma stratejisinin temel parçalarından biridir. En iyi güvenlik duvarı ve en sıkı WAF kuralı bile sıfır risk garanti etmez. Şu prensipleri alışkanlık haline getirmelisiniz:

  • Yedekleri yalnızca aynı sunucuda veya aynı depolamanın başka bir mantıksal bölümünde tutmayın; en az bir kopyayı ayrı bir fiziksel lokasyonda, bağımsız erişim kontrolleriyle saklayın.
  • Yedekleri periyodik olarak geri yükleme testine tabi tutun; test edilmemiş bir yedeğin kurtarma sırasında kullanılabilirliği belirsizdir.
  • Yedeklerin bir kısmını çevrimdışı veya saklama süresi boyunca değiştirilemeyen ve silinemeyen (immutable) depolamada tutun. Saldırganın değiştirebildiği salt-okunur izinler tek başına fidye yazılımına karşı yeterli değildir.
  • Veritabanı ve dosya yedeklerini ayrı ayrı planlayın, ancak birlikte tutarlı bir duruma geri yüklenebilmelerini sağlayın. Kabul edilebilir veri kaybı (RPO) ve hizmeti geri getirme süresi (RTO) hedeflerini uygulamanın bağımlılıklarını gözeterek belirleyin.

DCHost altyapısında ister paylaşımlı hosting, ister VPS, ister dedicated veya colocation kullanın; yedekleme mimarisini hizmetin kapsamına ve sizin sorumluluklarınıza göre planlayın.

Süreç, İzleme ve Olay Müdahale Kültürü Olmadan Güvenlik Tamamlanmaz

Teknik önlemler, süreç ve sorumluluklarla desteklenmelidir. Bir saldırının aylarca fark edilmemesi, müdahaleyi geciktirerek zararın büyümesine yol açabilir.

Log Yönetimi ve Merkezi İzleme

Sunucu logları saldırı izlerini barındırabilir. Ancak dağınık, ihtiyaç duyulmadan silinen veya incelenmeyen kayıtlar tespiti zorlaştırır. Merkezi sistem loglama kurulumu yönetici yetkisi gerektirir. Paylaşımlı hostingde erişiminize sunulan hesap ve uygulama loglarını inceleyin; sistem, SSH, e-posta ve güvenlik duvarı kayıtlarının izlenmesi ile olay anında paylaşılabilecek bilgileri sağlayıcınızla netleştirin. Aşağıdaki adımları yetkili olduğunuz sistemlerde uygulayın:

  • Web sunucusu (Nginx/Apache), PHP, veritabanı, SSH, e-posta ve firewall loglarını merkezi bir yerde toplayın.
  • Belirli eşikleri aşan hatalar, 4xx/5xx artışları, başarısız giriş denemeleri için alarm kuralları oluşturun.
  • Log tutma sürelerini KVKK/GDPR ve iç politika ile uyumlu olacak şekilde planlayın.

Özellikle VPS ortamında merkezi loglama kurmak istiyorsanız, VPS log yönetimi rehberimiz pratik bir başlangıç senaryosu sunuyor.

İzleme (Monitoring) ve Alarm Mekanizmaları

Yetkiniz olan sistemlerde CPU, RAM, disk kullanımı, bağlantı sayısı, yanıt süreleri ve hata oranlarını birlikte izleyin. Paylaşımlı hostingde panelin sunduğu kaynak ve hata raporlarından, uygulama loglarından ve dışarıdan erişilebilirlik takibinden yararlanın; sunucu genelindeki metrikler için sağlayıcının izleme kapsamını sorun. Ani CPU patlamaları, dışarı yönlü trafik pikleri veya 5xx hata artışları saldırı belirtisi olabilir; meşru trafik artışları, yazılım hataları veya kaynak yetersizliği de benzer belirtiler üretebilir.

İyi tasarlanmış bir monitoring sistemi:

  • Sadece “sunucu down” olduğunda değil, anomali tespit ettiğinde de uyarı üretir.
  • Haftalık/aylık raporlarla trafik ve hata oranlarındaki değişimleri karşılaştırmanızı sağlar; saldırı denemelerini değerlendirmek için ilgili loglarla birlikte kullanılır.
  • Performans sorunları ile güvenlik olaylarını ayırt etmenizde yardımcı olur.

DCHost olarak VPS ve dedicated sunucularda bu tip metrikleri gözlemleyebileceğiniz çözümlere mimari aşamasında yer vermenizi öneriyoruz. Daha teknik bir başlangıç için VPS izleme ve alarm kurulum rehberimizi inceleyebilirsiniz.

Olay Müdahale Planı ve Tatbikatlar

Ne kadar iyi önlem alırsanız alın, “hiçbir zaman olay yaşamayacağız” diye bir dünya yok. Kritik olan, olay anında ne yapacağınızı önceden planlamış olmanız:

  • Yetki zinciri ve sorumlulukları belirleyin: Kim, hangi durumda, ne yapacak?
  • Logların saklanması, izole sunucuya kopyalanması ve analiz süreçlerini yazılı hale getirin.
  • Hangi senaryoda yedeğe dönüleceği, hangi senaryoda sistemlerin izole edileceği net olsun.
  • Yılda en az bir kez masaüstü tatbikat veya teknik tatbikat yaparak planınızı test edin.

Felaket senaryolarına daha kapsamlı bir bakış için felaket kurtarma planı rehberimiz size iyi bir çerçeve sağlayacaktır.

DCHost İçin Hizmet Seçerken Güvenlik Kapsamını Belirlemek

DCHost üzerinde bir proje planlarken güvenliği yalnızca ek bir özellik olarak değil, hizmet seçiminde değerlendirilecek bir gereksinim olarak ele alın. Kişisel web sitesi, yüksek trafikli e-ticaret veya kurumsal SaaS ürünü için ihtiyaç duyduğunuz kontrolleri listeleyin; seçilecek planın kapsamını ve sorumluluk paylaşımını yazılı olarak doğrulayın.

Önerdiğimiz temel yaklaşımlar:

  • Katmanlı güvenlik: Ağ, sunucu, uygulama ve veri katmanında ayrı ayrı ama birbiriyle uyumlu güvenlik kontrolleri.
  • Güncel yazılım ve donanım: Sunucu işletim sistemleri, kontrol panelleri ve firmware güncellemelerini operasyonel takvime dahil edin; kritik güvenlik açıkları için acil güncelleme süreci belirleyin.
  • Esnek mimari seçenekleri: Paylaşımlı hosting, VPS, dedicated sunucu ve colocation arasında seçim yaparken, ihtiyaç duyduğunuz güvenlik kontrollerini kimin yöneteceğini ve hizmet kapsamını netleştirin.
  • Gözlemlenebilirlik: Loglama, izleme ve alarm çözümlerini, özellikle kurumsal projelerde, mimarinin temel bileşenleri olarak planlayın.

Mimari tasarımda “Performans ne olacak?” kadar “Bu mimaride zayıf halka neresi, nasıl güçlendiririz?” sorusu da önemlidir. Güvenlik gereksinimlerini tasarım aşamasında değerlendirmek, zayıf noktaların erken belirlenmesine yardımcı olur.

Sonuç: Siber Güvenlik Risklerini Nasıl Yönetirsiniz?

Siber güvenlik tehditleri sürekli ele alınması gereken bir risk alanıdır. Doğru mimari, katmanlı güvenlik, düzenli güncellemeler, sağlam yedekleme ve iyi kurgulanmış izleme/olay müdahale süreci riskleri azaltmaya yardımcı olur. Kalan riskin kabul edilebilir olup olmadığını projenizin gereksinimlerine göre değerlendirin ve önlemleri düzenli olarak gözden geçirin.

Bu yazıda anlattıklarımızı kendi altyapınıza uyarlarken aklınızda tutmanız gereken ana başlıklar şöyle:

  • Önce tabloyu doğru okuyun: Saldırılar kişisel olarak sizi hedef almasa da internete açık hizmetleriniz otomatik taramalarla hedef alınabilir.
  • Sunucu, ağ, uygulama ve veri katmanlarını birlikte düşünün; tek bir güçlü halka yetmez.
  • Log, izleme ve alarm mekanizmaları, olayları tespit etmek ve güvenlik önlemlerinin etkinliğini değerlendirmek için önemlidir.
  • Yedekleri ve felaket kurtarma planını güvenlik stratejisinin ayrılmaz parçası olarak görün.

Altyapınızı DCHost üzerinde çalıştırıyor veya taşımayı düşünüyorsanız, önce erişim kontrolü, güncelleme, WAF/DDoS koruması, yedekleme ve izleme gereksinimlerinizi listeleyin. Paylaşımlı hosting, VPS, dedicated veya kendi donanımınızı barındırmayı gerektiren colocation seçeneklerini değerlendirirken her işin kim tarafından yapılacağını netleştirin. Yönetilen hizmet, geçişte sertleştirme veya birlikte mimari planlama ihtiyacınız varsa bunların seçtiğiniz planda bulunup bulunmadığını, kapsamını ve varsa ek ücretlerini DCHost’tan yazılı olarak doğrulayın.

Sıkça Sorulan Sorular

Karşılaştırılabilir dönemlere ait, erişiminiz olan web sunucusu, güvenlik duvarı, SSH ve e-posta loglarını inceleyin. Başarısız girişler, trafik değişimleri ve hata oranlarını kaynak kullanımı metrikleriyle birlikte değerlendirin. CPU veya 5xx artışı tek başına saldırı kanıtı değildir; meşru trafik, yazılım hataları ve kapasite sorunları da benzer belirtiler üretebilir. Paylaşımlı hostingde erişemediğiniz sistem kayıtları için sağlayıcınızdan bilgi isteyin.

Evet. Otomatik taramalar IP bloklarını, açık portları veya belirli yazılım sürümlerini hedefleyebilir; saldırganın işletmenizi tanıması gerekmez. Güncellenmeyen uygulamalar, zayıf parolalar ve gereksiz yere açık yönetim erişimleri küçük projeler için de risk oluşturur. Temel güvenlik önlemleri işletmenin ölçeğinden bağımsız olarak gereklidir.

Yönetici yetkiniz varsa sistem güncellemelerini uygulayın, gerekli portlarla yetinin ve yönetim erişimlerini kısıtlayın. SSH parola girişini kapatmadan önce anahtarla erişimi ayrı oturumda doğrulayın ve kurtarma erişimini hazırlayın. Uygulamaları güncel tutun; uygun yerlerde 2FA, HTTPS, ayrı konumda yedekler, geri yükleme testleri ve izleme planlayın. Paylaşımlı hostingde sunucu düzeyindeki işlemler için sağlayıcınızla sorumlulukları netleştirin. Bunlar başlangıç adımlarıdır; yeterlilik projenizin risklerine bağlıdır.

DCHost ile görüşürken seçtiğiniz planın güvenlik ve yönetim kapsamını yazılı olarak netleştirin. SSH ve panel sertleştirmesi, WAF, yedekleme, loglama ve izleme için hangi işlemlerin dahil olduğunu, kim tarafından yürütüleceğini ve ek hizmet gerekip gerekmediğini sorun. Bu rehber, bu çalışmaların her planda sunulduğunu veya sunulmadığını doğrulamıyor.

WordPress gibi yaygın CMS’ler saldırı hedefleri arasındadır; güvenlik, uygulamanın ve altyapının nasıl yönetildiğine bağlıdır. Çekirdek, tema ve eklentileri güncel tutun, kullanılmayan bileşenleri kaldırın ve yönetici hesaplarını sınırlayın. Giriş uç noktalarında oran sınırlama kullanın; IP kısıtlamalarını meşru kullanıcı ve entegrasyon ihtiyaçlarına göre belirleyin. WAF ve güvenlik başlıkları uygulama açıklarının düzeltilmesinin yerini tutmaz.
↑