VPS sunucu güvenliği; erişim yetkileri, açık hizmetler, güncellemeler, uygulama ayarları ve geri dönüş planının birlikte yönetilmesini gerektirir. Bir VPS üzerinde SSH, web sunucusu ve veritabanı gibi bileşenler farklı riskler taşır. Zayıf kimlik doğrulama, eski yazılımlar ve gereğinden geniş ağ izinleri bu riski artırabilir. Bu rehber, kontrolleri hangi sırayla ele alacağınızı ve etkilerini nasıl doğrulayacağınızı açıklar.
Erişim Kontrolü ve Kimlik Doğrulama
Önce ayrı bir yönetici hesabı oluşturun, gerekli sudo yetkisini verin ve bu hesaba SSH anahtarıyla giriş ile yetki yükseltmeyi yeni bir oturumda doğrulayın. Mevcut yönetim oturumunu ve sağlayıcının konsol erişimini koruyun; ardından doğrudan root girişini ve kullanılmayacak parola yöntemlerini kapatın. PasswordAuthentication ile keyboard-interactive/PAM yolları ayrı ayarlardır. Yalnız publickey isteyen bir AuthenticationMethods ayarı tek başına MFA değildir; TOTP gerekiyorsa desteklenen PAM kurulumu ve publickey,keyboard-interactive gibi uygun yöntem zinciri ayrıca hazırlanıp denenmelidir. SSH sertifikaları süreli erişim ve merkezi güven ilişkisi sağlayabilir, ancak tek başına ikinci faktör veya otomatik iptal sistemi değildir.
Yönetim erişimini sabit yönetici IP’leri, bir bastion veya VPN ağıyla sınırlandırabilirsiniz. Kaynak adresi, IPv6 ve acil erişim yolunu kontrol etmeden kural uygulamak sizi dışarıda bırakabilir. SSH portunu değiştirmek bazı otomatik taramaları azaltabilir; hedefli taramayı durdurmaz ve belirli bir yüzde kazancı garanti etmez. Fail2ban, günlüklerde eşleşen başarısız denemelerden sonra yasaklama kuralları uygular; dağıtık saldırıları bütünüyle durdurmaz. Örneğin maxretry 5, findtime 10m, bantime 1h değerleri ancak örnek başlangıç değerleridir; gerçek günlük eşleşmeleri ve yanlış engellemeler izlenmelidir.
SSH’ı yalnız VPN arabiriminden veya izinli tünel adreslerinden erişilebilir kılmak, yönetim portunun doğrudan açıklığını azaltabilir. Bunun için WireGuard ya da OpenVPN kurulması tek başına yeterli değildir; dinleme ve güvenlik duvarı kurallarının ilgili ağla sınırlandırılması gerekir. Kişisel VPN kurulum planı bu kararları açıklar. VPN’in kendi dış erişimi, anahtar yönetimi ve arızada kullanılacak bağımsız konsol yolu da korunmalıdır.
- Öncelik: Yönetici hesabı, doğrulanmış anahtar girişi ve sudo, ardından gereksiz giriş yöntemlerinin kapatılması.
- Ek kontroller: İhtiyaca göre MFA, bastion veya VPN üzerinden yönetim ve kaynak adresi kısıtlaması.
- Doğrulama: Mevcut oturumu kapatmadan yeni bağlantıyı, etkili SSH yapılandırmasını ve kurtarma erişimini deneyin.
Ağ Güvenliği, Güvenlik Duvarı Politikaları ve DDoS Azaltma
Gelen bağlantıları varsayılan olarak reddedip yalnız gerekli hizmetleri açın. Bir web sunucusunda TCP 80/443 kullanılabilir; HTTP/3 etkinse UDP 443, VPN veya diğer hizmetler için de ayrı kurallar gerekebilir. Yönetim erişimini önce izinli hale getirin, sonra güvenlik duvarını etkinleştirin. IPv4 ve IPv6 politikalarını birlikte denetleyin. Giden trafiği sınırlamak bazı kötüye kullanımları azaltabilir, fakat izin verilen hedefler üzerinden iletişimi bütünüyle önlemez; DNS, NTP, paket depoları, sertifika yenilemesi ve uygulama bağımlılıklarını hesaba katın. Birbiriyle çakışan güvenlik duvarı yöneticilerini birlikte kullanmayın.
WAF ve istek hızı sınırlaması, belirli zararlı HTTP isteklerinin ve kaynak tüketen davranışların etkisini azaltabilir; kuralların gerçek istemci IP’sini doğru kullandığını ve meşru kullanıcıları engellemediğini izleyin. Hacimsel saldırıda VPS’in bağlantısı doluyorsa yalnız sunucu üzerindeki filtreler yeterli olmaz. Bunun için ilgili protokolleri ve kapasiteyi kapsayan sağlayıcı filtrelemesi veya trafik temizleme hizmeti gerekir. Sıradan bir DNS hizmeti trafik temizlemez; HTTP ters vekili de bütün TCP/UDP hizmetlerini kendiliğinden korumaz. Kaynak IP doğrudan erişilebiliyorsa kenar koruması aşılabilir.
Temel kavramları doğru konumlandırmak için güvenlik duvarı mantığı ve önemi yazısındaki katmanlı kuralları ve kullanım senaryolarını inceleyin. Volumetrik ve uygulama katmanı saldırılarının farkları ile ortak korunma desenleri ise DDoS saldırıları ve korunma yöntemleri rehberinde karşılaştırmalı olarak ele alınıyor. Bu iki çerçeveyi birleştirmek, hem önleyici hem de tepkisel savunma kapasitenizi artırır.
- Öncelik: Gereksiz portları kapatın, yönetim erişimini doğrulayın, IPv4/IPv6 kapsamını kontrol edin.
- Ek kontroller: Uygulamaya uygun WAF, rate limiting ve gerekli protokoller için üst ağ DDoS hizmeti.
- Doğrulama: Yanlış engellemeleri, kaynak IP’ye doğrudan erişimi ve varsa konteynerlerin yayımladığı portları ayrı sınayın.
Sistem Sertleştirme ve Güncelleme Yönetimi
Desteklenen, gereksiz bileşenleri azaltılmış bir işletim sistemiyle başlayın. Paket veya hizmet kaldırmadan önce uygulama ve yönetim araçlarının ona bağımlı olup olmadığını kontrol edin. Otomatik silme komutlarının önizlemesini inceleyin; çalışan posta, yazdırma veya ağ keşif hizmetlerini sırf örnekte listelendiği için kaldırmayın. Etkin servislerin yanında socket aktivasyonu, zamanlanmış görevler ve açılışta başlayan işlemleri de denetleyin.
Güvenlik güncellemelerini istismarın aciliyeti ve hizmet etkisine göre uygulayın; yeniden başlatma gerekiyorsa bunu sırf aylık takvim dolmadığı için ertelemeyin. Otomatik güncelleme aracının hangi depoları ve paketleri kapsadığını, hata bildirimlerini ve yeniden başlatma politikasını doğrulayın. Canlı çekirdek yaması yalnız desteklenen çekirdek ve düzeltmeleri kapsar; tüm güncellemelerin veya yeniden başlatmaların yerini almaz. Önemli değişikliklerde temsilî test ortamı, yedek ve geri dönüş planı kullanın. Paket sürümünü sabitlemek güvenlik yamalarını da engelleyebileceğinden süre ve gerekçe belirleyin.
Desteklenen yazılımlar için SELinux veya AppArmor politikaları, süreçlerin izinlerini sınırlandırarak bazı ihlallerin etkisini azaltabilir. Politika uyumluluğunu test edin; bütün beklenmedik davranışları engellediğini varsaymayın. AIDE gibi dosya bütünlüğü araçlarının başlangıç veritabanını güvenilir bir sistemden oluşturun ve koruyun; şüpheli değişiklikleri incelemeden bu veritabanını yenilemeyin. Personel veya yetki değişikliğinde ve sızıntı şüphesinde kimlik bilgilerini iptal edin; anahtar, sertifika ve kurtarma bilgilerinin yaşam döngüsünü açıkça yönetin.
- Öncelik: Desteklenen sürüm, gereksiz hizmetlerin kontrollü kaldırılması ve izlenen güvenlik güncellemeleri.
- Ek kontroller: Uyumluluğu doğrulanmış SELinux/AppArmor politikaları ve güvenilir AIDE başlangıç kaydı.
- Doğrulama: Uygulama akışlarını, yeniden başlatma ihtiyacını ve bakım sonrası açık portları kontrol edin.
Uygulama ve Web Katmanı Güvenliği
TLS 1.2/1.3, uygun sertifikalar ve güvenli oturum çerezi ayarları aktarım riskini azaltır; uygulama açıklarını gidermez. Sertifika yenilemesini ve hata bildirimlerini izleyin. HSTS’yi geçerli HTTPS erişimini doğruladıktan sonra kısa süreyle deneyin; includeSubDomains veya preload kararını bütün ilgili alan adları hazır olmadan uygulamayın. OCSP stapling yalnız sertifika ve sağlayıcı desteği olan durumlarda anlamlıdır. ModSecurity ve OWASP CRS gibi WAF bileşenleri ile istek sınırlarını uygulamanın gerçek trafiğine göre ayarlayın.
Web sunucusu seçerken desteklenen protokolleri, güncelleme sürecini, kaynak tüketimini ve işletim deneyiminizi birlikte değerlendirin. HTTP/2 server push artık genel bir tarayıcı optimizasyonu varsayımı olarak kullanılmamalıdır. LiteSpeed ve Apache karşılaştırması seçenekleri tanımaya yardımcı olabilir; kendi iş yükünüz için ölçüm yapmadan evrensel performans veya güvenlik üstünlüğü çıkarmayın.
Gizli anahtarları ve bağlantı bilgilerini kod deposuna, herkese açık web dizinine veya günlüklere koymayın. .env gibi dosyalar kullanılıyorsa webden indirilememeli ve yalnız gerekli süreçlerce okunabilmelidir. Kasa veya KMS çözümleri erişim ve anahtar yaşam döngüsünü yönetebilir; tek başına ele geçirilmiş uygulamanın kullandığı sırları koruyamaz. Yüklemelerde tür, boyut ve içerik kontrolleri uygulayın; dosyaları çalıştırılamayan bir konumda tutun ve her indirmede erişim yetkisini denetleyin. Antivirüs taraması yardımcıdır, fakat tek doğrulama olmamalıdır. Güvenli dosya paylaşımı rehberi bu kontrolleri tamamlar.
- Önerilenler: TLS sıkılaştırma, HSTS, ModSecurity + OWASP CRS, gizli anahtar yönetimi, yükleme doğrulamaları.
- Avantajlar: Veri gizliliği ve bütünlüğünün artması, kötüye kullanım ve enjeksiyon risklerinin azalması.
- Dikkat edilmesi gerekenler: WAF yanlış pozitifleri ve performans etkisi; kademeli devreye alma ve profil çıkarma.
İzleme, Günlükleme ve Olay Müdahalesi
İzleme olmadan güvenlik, ölçülemeyen bir varsayımdır. Sistem metrikleri (CPU, bellek, disk IO), ağ metrikleri (paket/bağlantı oranları) ve uygulama metrikleri (istek süresi, hata oranı) birlikte izlenmelidir. Log’lar için merkezi toplama, indeksleme ve saklama politikaları belirlemek, olaylar arası korelasyona imkan tanır. Standartlaştırılmış formatlar ve tutarlı zaman damgası, hızlı kök neden analizini kolaylaştırır.
Uyarıları sorumlu bir kişiye ve uygulanabilir bir müdahale adımına bağlayın. Başarısız SSH girişleri, disk doluluk eğilimi ve uygulama hata oranları iyi başlangıç ölçütleridir. Eşikler örnek bir yüzdeye değil, normal yükünüze ve müdahale için gereken süreye dayanmalıdır. Davranış analizi veya IDS/IPS ve EDR, kullanılan ürün ve kapsama göre ek görünürlük sağlayabilir; her VPS için ayrı bir makine öğrenmesi sistemi şart değildir ve hiçbir araç bütün ihlalleri tespit etmez.
Olay müdahalesi tarafında playbook’lar, roller ve iletişim planları önceden tanımlanmalıdır. MTTR ve MTTD metriklerini periyodik olarak raporlayıp, iyileştirme hedefleri koymak operasyonel olgunluğu artırır. Tatbikatlar (tabletop ve teknik simülasyonlar) ve geri dönüş testleri, planların gerçek koşullarda ne kadar işe yaradığını gösterecek en değerli araçlardır. Sonuçlar sürüm kontrolünde takip edilip, süreçlere geri beslenmelidir.
- Öncelik: Zaman eşitleme, erişimi korunan merkezi günlükler ve eyleme dönüştürülebilen uyarılar.
- Ek kontroller: İş yüküne uygun IDS/IPS veya EDR ve dosya bütünlüğü izleme.
- Doğrulama: Test olayında uyarının sorumlu kişiye ulaşmasını, kayıtların bütünlüğünü ve müdahale süresini ölçün.
Yedekleme, Şifreleme ve İş Sürekliliği
RPO, kabul edilebilir veri kaybının zaman aralığı; RTO ise hizmeti geri getirme süresi hedefidir. Günlük yedek, yedekler arasındaki değişiklikler için yaklaşık bir güne varan kayıp riski taşıyabilir; daha kısa RPO için uygun günlükleme veya daha sık, tutarlı yedekler gerekir. Yedek sıklığı ve saklama süresini sipariş veya işlem yoğunluğuna göre belirleyin. Başka bölgede ya da sağlayıcıda kopya tutmak bazı ortak arızaları azaltır; aynı yönetim hesabı, anahtar veya hatalı otomasyon hâlâ ortak bir risk olabilir. Bağımsız erişimli, gerektiğinde çevrimdışı veya değiştirilemez kopyaları değerlendirin.
Depolama ve yedek şifrelemesini verinin hassasiyetine ve tehdit modeline göre seçin. LUKS veya sağlayıcı disk şifrelemesi, şifreli veri çevrimdışıyken koruma sağlayabilir; bağlı diski okuyabilen yetkili süreçleri ya da çalışmakta olan sistemi ele geçiren kişiyi kendiliğinden engellemez. Yedek anahtarlarını aynı risk alanından ayırın ve kurtarma sırasında erişilebilir olduklarını doğrulayın. Veritabanı ve dosya yedeklerinin birbiriyle tutarlı olmasını, gerçek geri yükleme denemeleriyle RPO/RTO hedeflerini sınayın.
Aktarımda SFTP kullanıyorsanız SSH sunucu anahtarını, FTPS kullanıyorsanız TLS sertifikasını doğrulayın; bunlar aynı protokol değildir. Eski şifreleme seçeneklerini uygulama uyumluluğunu göz önünde tutarak sınırlandırın. Güvenli dosya paylaşımı önerilerini yedek ve veri aktarım süreçlerinize uyarlayın; şifreli aktarımın doğru kullanıcı yetkilerinin yerine geçmediğini unutmayın.
- Öncelik: İş yüküne göre RPO/RTO, uygulamayla tutarlı yedekler ve ayrı erişim yetkileri.
- Ek kontroller: Şifreli, farklı konumda ve gerekirse çevrimdışı veya değiştirilemez kopyalar.
- Doğrulama: Dosya varlığına değil, ölçülmüş geri yükleme süresine ve geri kazanılan verinin tarihine bakın.
Otomasyon ve Sürekli Güvenlik (DevSecOps)
Tekrarlanan değişiklikleri otomasyona almak, sunucular arasında tutarlılığı artırabilir. Infrastructure as Code ile kullanıcı, izin, paket ve güvenlik duvarı yapılandırmalarını sürümleyin; sırları ayrı tutun. CI/CD içindeki güvenlik kontrolleri bazı hataları üretimden önce yakalar, ancak bütün riskli değişiklikleri engellemez. Hatalı bir kuralı çok sayıda sunucuya aynı anda yaymamak için değişikliği küçük bir grupta doğrulayın ve geri dönüş adımını hazırlayın.
Temel imajları güncel tutun; imza ve bütünlük kontrolleriyle beklediğiniz kaynaktan geldiklerini doğrulayın. Bir imzanın varlığı, imajın açık içermediğini göstermez. Konteynerlerde en az yetki, namespace ayrımı ve uygun seccomp/AppArmor/SELinux profilleri kullanın. İmaj taraması ve secret scanning bazı sorunları bulabilir; sızmış bir sırrı yalnız depodan silmek yeterli değildir, ilgili kimlik bilgisini iptal edip yenileyin.
Kapasite ve güvenlik kontrollerini birlikte test edin. Önbellek, bağlantı sınırı veya WAF değişikliğinin gerçek kullanıcı akışlarına etkisini ölçün. LiteSpeed ve Apache karşılaştırması seçim ölçütlerini düşünmek için kullanılabilir; bağlantılı yazının varlığı, sizin uygulamanız için yapılmış bir ölçüm anlamına gelmez.
- Önerilenler: IaC, imaj sertleştirme, imza/bütünlük doğrulama, CI/CD güvenlik testleri, secret scanning.
- Avantajlar: Hız, tutarlılık, izlenebilirlik ve geri alma kolaylığı; insan hatasının azalması.
- Dikkat edilmesi gerekenler: Gizli anahtar yönetimi ve pipeline erişimlerinin sıkı yetkilendirilmesi.
Özet ve Eylem Planı
İlk adımda yönetici hesabını, anahtar girişini ve kurtarma konsolunu doğrulayın; ardından ağ kurallarını ve güncelleme politikasını kademeli uygulayın. Sonraki aşamada izleme, uygulama kontrolleri ve gerçek yedekten dönüş testini tamamlayın. Gereksinimler büyüdükçe bu adımları sürümlenmiş yapılandırmalar ve otomatik kontrollerle tekrarlanabilir hale getirin. Her değişiklik için beklenen sonucu, kontrol yöntemini ve geri dönüş sorumlusunu belirlemek, araç listesinden daha kullanışlı bir VPS güvenlik planı oluşturur.
