Linux Sunucu Güvenliği: VDS'i Kurduktan Sonra İlk 10 Adım

İnternete bağlanan yeni bir sunucu dakikalar içinde otomatik tarama ve parola deneme saldırıları almaya başlar. Aşağıdaki adımlar (örnekler Ubuntu/Debian içindir), ilk saatte uygulanırsa saldırı yüzeyini büyük ölçüde küçültür.

İlk 10 adım

1. Sistemi güncelleyin: apt update && apt upgrade ile tüm paketleri güncelleyin.
2. Yönetici kullanıcı oluşturun: Günlük işler için sudo yetkili normal kullanıcı kullanın, root ile doğrudan çalışmayın.
3. SSH anahtarı ile giriş yapın: ssh-keygen ile anahtar üretip açık anahtarı sunucuya ekleyin.
4. Parola ile SSH girişini kapatın: /etc/ssh/sshd_config içinde PasswordAuthentication no ayarlayın.
5. Root SSH girişini kapatın: PermitRootLogin no ayarlayın. Değişikliklerden önce başka bir oturumda anahtarla girişin çalıştığından emin olun; yoksa dışarıda kalabilirsiniz.
6. Güvenlik duvarı kurun: UFW veya nftables ile yalnızca gerekli portları açın (SSH, 80, 443).
7. fail2ban kurun: Tekrarlayan başarısız girişleri otomatik engeller.
8. Otomatik güvenlik güncellemelerini açın: Ubuntu'da unattended-upgrades.
9. Gereksiz servisleri kapatın: ss -tulpn ile dinleyen servisleri kontrol edin, kullanmadıklarınızı durdurun.
10. Yedek ve izleme kurun: Anlık görüntü (snapshot) ve dış yedek alın; kaynak kullanımını ve oturum açma kayıtlarını izleyin. Yedekleme rehberi

SSH portunu değiştirmek gerekli mi?

Portu değiştirmek log gürültüsünü azaltır ama gerçek güvenlik sağlamaz ("belirsizlik yoluyla güvenlik"). Asıl koruma anahtar tabanlı kimlik doğrulama, güvenlik duvarı ve fail2ban'dır. İsterseniz ek önlem olarak değiştirin, tek başına güvenmeyin.

Uygulama katmanı

• Web sunucusunu ve uygulamayı root ile değil, kısıtlı kullanıcıyla çalıştırın.
• Veritabanını yalnızca localhost'a veya özel ağa açın; 3306/5432 portunu internete açmayın.
• TLS sertifikalarını otomatik yenilenecek şekilde kurun. SSL rehberi
• Yönetim panellerini (phpMyAdmin vb.) IP kısıtlaması veya VPN arkasına alın.