Web sitesi ve sunucuda güvenliği artırmak için temel kontrol listesi

Web Sitesi ve Sunucuda Güvenliği Artırmak İçin Temel Kontrol Listesi​

Bir web sitesi ya da sunucu yönetirken en sık yaşanan sorunlardan biri, sistemin çalışıyor olması ama güvenli ve sürdürülebilir olmamasıdır. Çoğu zaman problem büyük bir saldırıdan değil; yanlış yapılandırılmış bir yönetim paneli, eksik yedek, güncellenmeyen paketler veya gereğinden fazla açık servislerden çıkar. Bu yüzden site ve server administration tarafında amaç sadece sistemi ayağa kaldırmak değil, onu düzenli, izlenebilir ve geri döndürülebilir halde tutmaktır.

1) Yönetim yüzeyini küçültün​

Sunucuya SSH, kontrol paneli, veritabanı arayüzü, yedekleme paneli ve benzeri noktalar üzerinden erişilir. Bu alanların her biri ayrı bir saldırı yüzeyi oluşturur. Yönetim arayüzlerini internete doğrudan açmak yerine, mümkünse sadece VPN, özel ağ, IP kısıtı veya güvenlik duvarı kuralı ile erişilebilir hale getirin. OWASP, yönetim uç noktalarının internete açık olmamasını; gerekiyorsa güçlü kimlik doğrulama ve ağ kısıtlarıyla korunmasını önerir.

Pratik örnek:

• SSH erişimini tüm dünyaya açmak yerine belirli IP'lerle sınırlandırın.
• Panel girişlerinde mümkünse çok faktörlü doğrulamayı etkinleştirin.
• Kullanmadığınız servisleri kapatın; açık servis sayısı arttıkça risk de artar. Bu, saldırı yüzeyini azaltmanın temel mantığıdır.

2) Web güvenlik başlıklarını ihmal etmeyin​

HTTP güvenlik başlıkları, tarayıcıya sitenin nasıl davranması gerektiğini anlatır. Özellikle güvenlik başlıkları; XSS, tıklama yoluyla kandırma ve içerik karışması gibi riskleri azaltmaya yardımcı olur. OWASP, CSP'nin özellikle önemli olduğunu ve mümkün olduğunda header olarak gönderilmesini önerir. Ayrıca X-Content-Type-Options gibi başlıklar, tarayıcının dosya türünü yanlış yorumlamasını engellemeye yardımcı olur.

En yaygın ve anlamlı başlıklar şunlardır:

• Content-Security-Policy (CSP): Hangi kaynaklardan script, stil, resim yüklenebileceğini sınırlar.
• X-Content-Type-Options: nosniff: MIME sniffing riskini azaltır.
• X-Frame-Options veya CSP frame-ancestors: Sayfanın başka bir çerçevede açılmasını sınırlar.

Buradaki önemli nokta, başlıkları ezbere değil ihtiyaca göre kurmaktır. Örneğin çok katı bir CSP, sitenin kendi scriptlerini de bozabilir. Bu yüzden değişiklikleri önce test ortamında denemek daha güvenlidir.

3) Yedekleme sadece kopya almak değildir​

Yedekleme, dosya kopyalamakla sınırlı değildir; geri yüklenebilir bir plan kurmak gerekir. Bir yedek çalışıyor gibi görünse bile, geri dönüş testi yapılmadıysa pratikte işe yaramayabilir. Bu yüzden yedek stratejisinde şu soruların cevabı net olmalıdır:

• Neleri yedekliyorsunuz? Web dosyaları, veritabanı, yapılandırmalar, cron kayıtları ve sertifika bilgileri dahil mi?
• Yedekler nerede tutuluyor? Aynı sunucuda tutulan yedek, tek başına yeterli değildir.
• Geri yükleme ne sıklıkla test ediliyor?
• Yedekler şifreli mi ve erişimi sınırlandırılmış mı?

Genel yaklaşım olarak, farklı fiziksel ya da mantıksal konumlarda en az bir ek kopya bulundurmak iyi bir pratiktir. Ancak her ortamın ihtiyacı farklıdır; küçük bir forum sitesi ile yüksek trafik alan bir e-ticaret sistemi aynı yedek modeline ihtiyaç duymaz. Belirsiz olan nokta, hedef RPO/RTO değerleridir; bunlar iş ihtiyacına göre belirlenmelidir.

4) Güncelleme ve bakım rutini oluşturun​

Sunucu yönetiminde en sık yapılan hatalardan biri, güncellemeyi sadece sorun çıktığında yapmaktır. Oysa paketler, çekirdek bileşenler, web sunucusu ve uygulama katmanı düzenli bakıma ihtiyaç duyar. Güncelleme yaparken amaç, bir yandan güvenlik yamalarını almak, diğer yandan uyumluluğu bozmamaktır. Bu nedenle değişiklikleri bir anda üretime taşımak yerine önce test ortamında denemek daha sağlıklıdır.

Bakım sırasında özellikle şunlara bakın:

• Disk kullanımı ve log büyümesi
• CPU ve bellek tüketimi
• Web sunucusu hata kayıtları
• Başarısız giriş denemeleri
• Zamanlanmış görevlerin çalışıp çalışmadığı

Bakımın düzenli yapılmaması genellikle sessiz sorunlar üretir: disk dolar, loglar dönmez, yedek alınmaz, servisler yavaşlar. Bu sorunlar bir gün üst üste gelince kesinti gibi görünür ama kök neden çoğu zaman uzun süredir biriken teknik borçtur.

5) Log tutun ama hassas bilgi sızdırmayın​

Loglar, sorun çözmenin en değerli kaynaklarından biridir. Ancak logların da güvenli yönetilmesi gerekir. Kimlik bilgileri, tam oturum belirteçleri, parola, kredi kartı verisi ya da gizli anahtarlar loglara yazılmamalıdır. OWASP, hata mesajlarının istemciye gereksiz teknik ayrıntı vermemesi gerektiğini de vurgular.

İyi bir log yaklaşımı için:

• Hata mesajlarını kullanıcıya sade gösterin, ayrıntıyı sunucu logunda tutun.
• Loglara erişimi sınırlayın.
• Log döndürme ve arşivleme kuralı belirleyin.
• Gerekirse logları merkezi bir sisteme aktarın; ama erişim denetimini unutmayın.

6) Performans optimizasyonunu güvenlikle birlikte düşünün​

Performans optimizasyonu yalnızca hız demek değildir; gereksiz yükün azaltılmasıdır. Önbellekleme, CDN kullanımı, veritabanı indeksleri, statik dosya optimizasyonu ve kaynak sınırları sistemin daha az yorulmasını sağlar. Ama her performans iyileştirmesi güvenli olmayabilir. Örneğin yanlış yapılandırılmış önbellek, kullanıcıya özel içeriğin başka birine gösterilmesine yol açabilir. Bu yüzden cache kuralları oluştururken hassas içeriklerin saklanmaması gerektiğini kontrol edin.

Yaygın hata örnekleri:

• Yönetim sayfalarını yanlışlıkla önbelleğe almak
• Hata sayfalarında fazla bilgi göstermek
• CDN üzerinden sunulan içerikte başlıkların kaybolduğunu fark etmemek
• Veritabanı tarafında basit bir indeks eksikliğini sürekli sunucu yükseltmesiyle telafi etmeye çalışmak

7) En sık yapılan hatalar​

• Yedek var sanıp geri dönüş testini yapmamak
• SSH ve panel erişimini herkese açık bırakmak
• Güvenlik başlıklarını hiç ayarlamamak
• Güncellemeleri aylarca ertelemek
• Logları toplamak ama okumamak
• Performans sorununu kaynak artırarak çözmeye çalışıp asıl nedeni aramamak

Kısacası sağlıklı bir site ve sunucu yönetimi; erişimi sınırlamak, güvenlik başlıklarını kurmak, yedekleri test etmek, bakım rutini oluşturmak ve logları anlamlı şekilde kullanmak üzerine kurulur. Bu adımların hiçbiri tek başına mucize değildir; fakat birlikte uygulandığında hem kesinti riskini hem de güvenlik açığını ciddi ölçüde azaltır.