- Konu sahibi
- #1
Site ve sunucu yönetiminde en sık yapılan hata, güvenliği, yedeklemeyi ve performansı ayrı işler gibi görmek oluyor. Oysa bu üçü birlikte düşünülmediğinde küçük bir problem bile kısa sürede hizmet kesintisine dönüşebilir. Örneğin güncellenmeyen bir eklenti güvenlik açığı oluşturabilir; alınmayan ya da test edilmeyen yedekler kurtarmayı zorlaştırabilir; izlenmeyen bir disk kullanımı ise sunucuyu aniden yavaşlatabilir.
Bir web sitesi ya da sunucu için ilk soru şudur: Hangi hizmetler kritik, hangi veriler geri döndürülemez ve hangi arıza ne kadar sürede tolere edilebilir? Bu ayrım, yedekleme sıklığını, izleme düzeyini ve bakım penceresini belirler. Küçük bir kurumsal site ile yoğun trafik alan bir e-ticaret altyapısının ihtiyaçları aynı değildir.
Web uygulamalarında en sık konuşulan riskler arasında yetki hataları, yanlış yapılandırma, eski bileşenler, kimlik doğrulama sorunları ve kayıt/izleme eksikleri yer alır. OWASP Top 10 bu başlıkları temel bir farkındalık çerçevesi olarak sunar; yani tek başına yeterli bir güvenlik standardı değil, başlangıç kontrol listesi gibi düşünmek daha doğru olur. Bu yüzden sadece parola gücüyle yetinmek yerine, erişim kontrolü, güncelleme disiplini ve log takibini birlikte ele almak gerekir.
Uygulanabilir bazı temel adımlar:
Yedek almak tek başına yeterli değildir; geri yükleme çalışmıyorsa yedek pratikte işe yaramaz. NIST, yedeklerin düzenli oluşturulmasını, geri yükleme testlerinin yapılmasını ve kurtarma tatbikatlarında gözden geçirilmesini önerir. Ayrıca yedek verinin şifrelenmesi, özellikle veri at-rest ve aktarım sırasında korunması açısından önemlidir.
Bu nedenle sağlıklı bir yedekleme yaklaşımı şu mantıkla kurulabilir:
Sık hata: Yedeği alıp yıllarca geri dönüş test etmemek. Bu durumda dosya bozuk olabilir, sürüm uyumsuz olabilir ya da geri yükleme süreci dokümante edilmediği için kriz anında zaman kaybedilir.
Bakım, sadece “güncelleme yapmak” değildir. Sistem bileşenlerinin uyumunu korumak, disk doluluğunu izlemek, log rotasyonunu kontrol etmek ve gereksiz birikmiş dosyaları temizlemek de bakımın parçasıdır. İyi bakım yapılmayan bir sistem önce ufak uyarılar verir: artan disk kullanımı, geciken sorgular, yükselen hata oranı, yavaşlayan yedekler. Bunlar erkenden fark edilirse büyük kesintiler önlenebilir.
Google SRE yaklaşımında da izleme için dört temel sinyalin takip edilmesi ve sinyal bozulduğunda insan müdahalesi çağrılması önerilir. Bu yaklaşımın pratik karşılığı, yalnızca uptime görmek yerine gecikme, trafik, hata oranı ve doygunluk gibi göstergeleri birlikte izlemektir.
Birçok kişi güvenliği sadece firewall kurmak, yedeklemeyi sadece dosya kopyalamak, bakımı da sadece güncelleme yapmak sanıyor. Oysa bu üç alan birbirini tamamlar. Güvenlik açıklarını azaltır, yedekleme hasarı sınırlar, bakım ise sorun çıkmadan önce sistemi sağlıklı tutar. Üçünden biri eksik olduğunda diğerleri daha fazla yük taşımak zorunda kalır.
Özetle, iyi bir site ve sunucu yönetimi; doğru yetkilendirme, düzenli yedek, test edilmiş geri dönüş, planlı bakım ve anlamlı izleme üzerine kuruludur. En sağlam sistem, yalnızca çalıştığı için değil, sorun olduğunda nasıl toparlanacağı önceden bilindiği için güvenlidir.
Önce neyi koruduğunuzu netleştirin
Bir web sitesi ya da sunucu için ilk soru şudur: Hangi hizmetler kritik, hangi veriler geri döndürülemez ve hangi arıza ne kadar sürede tolere edilebilir? Bu ayrım, yedekleme sıklığını, izleme düzeyini ve bakım penceresini belirler. Küçük bir kurumsal site ile yoğun trafik alan bir e-ticaret altyapısının ihtiyaçları aynı değildir.
Güvenlikte temel öncelikler
Web uygulamalarında en sık konuşulan riskler arasında yetki hataları, yanlış yapılandırma, eski bileşenler, kimlik doğrulama sorunları ve kayıt/izleme eksikleri yer alır. OWASP Top 10 bu başlıkları temel bir farkındalık çerçevesi olarak sunar; yani tek başına yeterli bir güvenlik standardı değil, başlangıç kontrol listesi gibi düşünmek daha doğru olur. Bu yüzden sadece parola gücüyle yetinmek yerine, erişim kontrolü, güncelleme disiplini ve log takibini birlikte ele almak gerekir.
Uygulanabilir bazı temel adımlar:
- Yönetim paneli ve SSH erişimini mümkünse sadece gerekli IP’lere açın.
- Güçlü parola yanında mümkünse çok faktörlü doğrulama kullanın.
- Varsayılan kullanıcı adlarını, açık portları ve gereksiz servisleri kaldırın.
- Web sunucusu, CMS, eklenti ve kütüphaneleri düzenli güncelleyin.
- Hata günlüklerini ve giriş denemelerini takip edin.
Yedekleme: Asıl önemli nokta geri yükleyebilmek
Yedek almak tek başına yeterli değildir; geri yükleme çalışmıyorsa yedek pratikte işe yaramaz. NIST, yedeklerin düzenli oluşturulmasını, geri yükleme testlerinin yapılmasını ve kurtarma tatbikatlarında gözden geçirilmesini önerir. Ayrıca yedek verinin şifrelenmesi, özellikle veri at-rest ve aktarım sırasında korunması açısından önemlidir.
Bu nedenle sağlıklı bir yedekleme yaklaşımı şu mantıkla kurulabilir:
- En az bir otomatik yedek planı oluşturun.
- Yedekleri farklı bir konumda veya farklı bir ortamda saklayın.
- Belirli aralıklarla örnek geri yükleme yapın.
- Yedeklerin bozulmadığını doğrulamak için kontrol mekanizması kurun.
- Yedek erişimlerini ayrı hesaplarla ve sınırlı yetkiyle yönetin.
| Alan | Pratik yaklaşım |
|---|---|
| Sunucu güvenliği | Gereksiz servisleri kapatın, yönetim erişimini sınırlayın, güçlü kimlik doğrulama kullanın. |
| Yedekleme | Yedekleri düzenli alın, geri yüklemeyi test edin, yedek dosyalarını şifreleyin. |
| Güncelleme ve bakım | İşletim sistemi, panel, eklenti ve bağımlılıkları planlı biçimde güncel tutun. |
| İzleme | CPU, bellek, disk ve hata oranlarını takip edin; kritik eşiklerde uyarı kurun. |
| Web sitesi güvenliği | Yetki kontrollerini, giriş güvenliğini ve log kayıtlarını düzenli gözden geçirin. |
Sık hata: Yedeği alıp yıllarca geri dönüş test etmemek. Bu durumda dosya bozuk olabilir, sürüm uyumsuz olabilir ya da geri yükleme süreci dokümante edilmediği için kriz anında zaman kaybedilir.
Bakım neden performans kadar önemlidir?
Bakım, sadece “güncelleme yapmak” değildir. Sistem bileşenlerinin uyumunu korumak, disk doluluğunu izlemek, log rotasyonunu kontrol etmek ve gereksiz birikmiş dosyaları temizlemek de bakımın parçasıdır. İyi bakım yapılmayan bir sistem önce ufak uyarılar verir: artan disk kullanımı, geciken sorgular, yükselen hata oranı, yavaşlayan yedekler. Bunlar erkenden fark edilirse büyük kesintiler önlenebilir.
Google SRE yaklaşımında da izleme için dört temel sinyalin takip edilmesi ve sinyal bozulduğunda insan müdahalesi çağrılması önerilir. Bu yaklaşımın pratik karşılığı, yalnızca uptime görmek yerine gecikme, trafik, hata oranı ve doygunluk gibi göstergeleri birlikte izlemektir.
Küçük ama etkili bir kontrol listesi
- Haftalık veya aylık bakım takvimi belirleyin.
- İşletim sistemi ve panel güncellemelerini ertelemeyin.
- Disk, RAM, CPU ve ağ kullanımını izleyin.
- Önemli logları merkezi bir yerde toplayın.
- SSL/TLS sertifikalarının süresini takip edin.
- Kritik değişikliklerden önce yedek alın.
Yeni başlayanların en çok karıştırdığı noktalar
Birçok kişi güvenliği sadece firewall kurmak, yedeklemeyi sadece dosya kopyalamak, bakımı da sadece güncelleme yapmak sanıyor. Oysa bu üç alan birbirini tamamlar. Güvenlik açıklarını azaltır, yedekleme hasarı sınırlar, bakım ise sorun çıkmadan önce sistemi sağlıklı tutar. Üçünden biri eksik olduğunda diğerleri daha fazla yük taşımak zorunda kalır.
Özetle, iyi bir site ve sunucu yönetimi; doğru yetkilendirme, düzenli yedek, test edilmiş geri dönüş, planlı bakım ve anlamlı izleme üzerine kuruludur. En sağlam sistem, yalnızca çalıştığı için değil, sorun olduğunda nasıl toparlanacağı önceden bilindiği için güvenlidir.
