VPS Sunucu Güvenliği Neden Bu Kadar Önemli?
VPS sunucu kiraladığınız anda aslında küçük bir veri merkezi yönettiğinizi fark etmiyor olabilirsiniz. Fakat dışarıdan bakıldığında, saldırgan için fark yok: Ortada açık bir IP, üzerinde çalışan servisler ve çoğu zaman zayıf ayarlarla bırakılmış bir işletim sistemi var. Güvenliği ciddiye almazsanız, birkaç dakikada brute force denemeleri, otomatik bot taramaları ve zafiyet arayan scriptler sunucunuza yüklenmeye başlar.
Hem kendi projelerim hem de danışmanlık verdiğim küçük işletmelerde şunu net gördüm: İlk günden planlı bir güvenlik yaklaşımı olan VPS’lerde sorunlar minimuma inerken, ‘sonra bakarız’ denilen sunucularda veri kaybı, spam listelerine girme, hatta müşteri bilgilerinin sızması gibi ciddi problemler yaşanıyor. Üstelik çoğu zaman saldırı fark edildiğinde iş işten geçmiş oluyor.
Bu rehberde teknik terimlerle boğmadan, yeni başlayanların da uygulayabileceği adım adım bir VPS güvenlik planı anlatacağım. SSH erişiminden güvenlik duvarına, güncelleme politikalarından yedeklemeye kadar temel konuları pratik komutlarla ele alacağız. İsterseniz kişisel projeniz, isterseniz kurumsal siteniz olsun; burada anlatacağım adımları takip ederek <a href="https://www.DCHost.com/tr/vps”>vps sunucunuzu kısa sürede çok daha güvenli hale getirebilirsiniz.
Temel Yaklaşım: VPS Sunucuyu Kaleye Dönüştürmek
VPS güvenliğini düşünürken, ben her zaman şu bakış açısını kullanıyorum: Önce kapıları kilitle, sonra pencereleri koru, en sonunda içeride nelerin döndüğünü izle. Yani sırasıyla:
- Erişimi güvene almak (SSH, kullanıcılar, yetkiler)
- Sistemi güncel ve temiz tutmak
- Ağ trafiğini kontrol etmek (güvenlik duvarı)
- Uygulamaları sertleştirmek (web sunucusu, veritabanı, CMS vs.)
- Yedekleme, loglama ve izleme ile süreklilik sağlamak
Daha önce yazdığım sunucu güvenliği için temel bilgiler makalesinde de benzer bir çerçeve kullanıyorum. Burada ise doğrudan VPS özelinde, uygulanabilir komutlar ve ayarlara odaklanacağız.
İlk Adım: SSH ve Root Erişimini Güvene Almak
Yeni açılan birçok VPS sunucuda en kritik açık, SSH’nin varsayılan ayarlarla bırakılmasıdır. Yani:
- Root kullanıcısına doğrudan SSH ile giriş açık
- SSH portu 22 olarak kalmış
- Sadece şifre ile kimlik doğrulama kullanılıyor
Saldırganlar için bu, davetiye çıkarmak demek. Şimdi bunları tek tek sağlamlaştıracağız.
Yeni bir kullanıcı oluşturun ve sudo yetkisi verin
Önce doğrudan root ile çalışmak yerine, sudo yetkili normal bir kullanıcı açalım:
adduser deploy
usermod -aG sudo deploy
Parolanızı güçlü seçin, farklı servislerde kullanmadığınız bir şifre olsun. Parola yöneticisi kullanmanız her zaman daha güvenlidir.
SSH ile girişte root kullanıcıyı yasaklayın
Artık deploy kullanıcısı ile bağlanabileceğinize göre, doğrudan root login’ini kapatabiliriz. SSH yapılandırma dosyasını açın:
nano /etc/ssh/sshd_config
Aşağıdaki satırları bulun veya yoksa ekleyin:
PermitRootLogin no
PasswordAuthentication yes
İlk aşamada şifreyle girişe izin veriyoruz ama root login’ini tamamen kapatıyoruz. Dosyayı kaydedip SSH servisini yeniden başlatın:
systemctl restart sshd
SSH portunu değiştirin
Sadece port değiştirmek güvenlik çözümü değildir ama otomatik bot trafiğini ciddi oranda azaltır. Aynı dosyada (sshd_config) şu satırı bulun:
#Port 22
Yorum satırını kaldırıp, 1024 ile 65535 arasında bir port belirleyin:
Port 2222
Güvenlik duvarınızda bu portu açmayı unutmayın (aşağıda anlatacağım). Değişiklikten sonra yine SSH servisini yeniden başlatın.
SSH anahtarları ile giriş yapın (zorunlu olmasa da şiddetle tavsiye)
Güvenliğin bir seviye üstüne çıkmak için şifreyi tamamen devre dışı bırakıp sadece SSH anahtarı ile giriş yapmanızı öneririm. Kendi bilgisayarınızda anahtar oluşturup VPS üzerine public key’i kopyalayabilirsiniz:
ssh-keygen -t ed25519 -C 'vps-kullanici-adi'
ssh-copy-id -p 2222 deploy@sunucu-ip-adresi
Ardından ssht_config dosyasında şifreyle girişleri tamamen kapatabilirsiniz:
PasswordAuthentication no
Bu ayar, brute force şifre saldırılarının fişini neredeyse tamamen çeker.
Sistemi Güncel Tutmak: Patch Yönetimi
VPS güvenliğinde en çok hafife alınan konulardan biri sistem güncellemeleridir. Birçok zafiyet, aslında aylar öncesinden yamalanmış olmasına rağmen, güncellenmeyen sunucularda hala aktif şekilde sömürülüyor.
Dağıtıma göre temel güncelleme komutları
Debian veya Ubuntu tabanlı dağıtımlar için:
apt update
apt upgrade -y
RHEL, CentOS veya AlmaLinux gibi dağıtımlar için:
dnf update -y
Bu komutları haftalık olarak çalıştırmak iyi bir başlangıçtır. Yoğun üretim ortamlarında önce test sunucusunda deneyip sonra canlıya almayı unutmayın.
Otomatik güvenlik güncellemeleri
Küçük projelerde ve yeni başlayanlar için, en azından güvenlik yamalarını otomatik almak mantıklı olabilir. Örneğin Ubuntu’da unattended-upgrades paketini kullanabilirsiniz:
apt install unattended-upgrades
Ardından hangi güncellemelerin otomatik uygulanacağını yapılandırabilirsiniz. Üretim ortamında kritik yazılımlar kullanıyorsanız, otomatik güncellemelerin size uygun olup olmadığını mutlaka değerlendirin.
Güvenlik Duvarı ile Trafiği Kontrol Altına Almak
Sunucunuza dışarıdan yalnızca gerçekten ihtiyaç duyduğunuz portların açık olması gerekir. Geri kalan her şeyi kapatmak, saldırı yüzeyinizi dramatik biçimde küçültür.
UFW ile basit güvenlik duvarı (Ubuntu için)
Ubuntu kullanıyorsanız ufw, yeni başlayanlar için oldukça pratik bir araç:
ufw default deny incoming
ufw default allow outgoing
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow 2222/tcp
ufw enable
Burada 2222, az önce SSH için belirlediğimiz örnek port. Kendi portunuza göre ayarlamayı unutmayın.
Firewalld kullanımı (RHEL, CentOS, AlmaLinux vb.)
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload
Bu temelin üzerine, ileride IP bazlı kısıtlama, geofencing veya rate limiting gibi daha gelişmiş senaryolar da ekleyebilirsiniz.
Genel web barındırma güvenliği açısından daha geniş bir çerçeve görmek isterseniz, web hosting güvenliği için öneriler yazısını da göz atılacaklar listenize ekleyebilirsiniz.
Güçlü Kimlik Doğrulama ve Fail2Ban
Portu değiştirip root girişini kapatsanız bile, hala şifre denemeleriyle karşılaşacaksınız. Burada devreye hem güçlü şifre politikası hem de fail2ban gibi araçlar giriyor.
Şifre politikası belirleyin
En az:
- 12 karakter uzunluk
- Büyük, küçük harf, rakam ve özel karakter karışımı
- Hiçbir yerde tekrar kullanılmayan şifreler
İş ortamında çalışıyorsanız, parolaların belirli aralıklarla yenilenmesi ve parola yöneticisi kullanımı neredeyse zorunlu hale gelmeli.
Fail2Ban ile brute force saldırılarını sınırlayın
Fail2Ban, logları izleyerek başarısız giriş denemelerini analiz eder ve şüpheli IP adreslerini otomatik olarak yasaklar. Kurulumu oldukça basit:
apt install fail2ban
Temel konfigürasyonda bile, SSH için birkaç deneme sonrasında IP’yi belirli süreliğine engelleyerek saldırı trafiğini ciddi oranda azaltır.
Uygulama Katmanı Güvenliği: Web Sunucusu ve SSL
Sunucunun dışarıya açılan yüzü genellikle web sunucusudur (Nginx, Apache vs.). İşletim sistemini ne kadar güvenli yaparsanız yapın, zayıf ayarlı bir web sunucusu büyük risk oluşturur.
Gereksiz modülleri ve dizin listelemeyi kapatın
Apache kullanıyorsanız, kullanmadığınız modülleri devre dışı bırakmak ve dizin listelemeyi kapatmak iyi bir başlangıçtır. Benzer şekilde Nginx tarafında da gereksiz config bloklarını ve varsayılan siteleri kapatmayı ihmal etmeyin.
SSL sertifikasıyla trafiği şifreleyin
Artık neredeyse hiçbir senaryoda, SSL sertifikası olmadan web sitesi yayınlamayı önermiyorum. Hem kullanıcı verileri hem de SEO açısından zorunlu hale geldi diyebiliriz. Hangi tip sertifikaya ihtiyacınız olduğunu bilmiyorsanız, SSL sertifikası nedir ve DV, OV, EV farkları rehberine göz atabilirsiniz.
WordPress ve benzeri CMS’ler için ek önlemler
Eğer VPS üzerinde WordPress çalıştırıyorsanız, güvenlik sorumluluğunuz bir katman daha artıyor. Zayıf eklentiler, güncel olmayan temalar ve tahmin edilebilir admin panel adresleri büyük risk.
- WordPress çekirdeğini, tema ve eklentileri düzenli güncelleyin
- Kullanmaya devam etmediğiniz eklentileri tamamen kaldırın
- wp-admin için ek erişim kısıtlamaları uygulayın (IP kısıtlaması, ek parola katmanı vb.)
Bu konuda daha derinleşmek isterseniz, detaylı olarak anlattığım WordPress güvenlik ipuçları ve saldırılara karşı korunma rehberine mutlaka göz atın.
Yedekleme, Loglama ve İzleme: Hata Payınızı Azaltın
Ne kadar dikkatli olursanız olun, sıfır risk diye bir şey yok. Bu yüzden yedekleme, loglama ve izleme, benim için güvenlik stratejisinin ayrılmaz parçası.
Yedekleme stratejisi oluşturun
Minimum seviyede şu üç soruya net cevap verebilmelisiniz:
- Ne sıklıkla yedek alıyorum?
- Yedekler nerede tutuluyor? (Aynı sunucuda değil)
- Yedekten geri dönüş denemesini en son ne zaman yaptım?
Özellikle küçük işletmelerde sık gördüğüm hata, yalnızca veritabanını yedekleyip dosyaları tamamen unutmak veya yedekleri aynı VPS üzerinde saklamak. Yedekleme stratejilerini daha sistematik planlamak için sunucu yedekleme stratejileri rehberime göz atabilirsiniz.
VPS aldığınız sağlayıcının sunduğu snapshot veya otomatik yedekleme özelliklerini de mutlaka inceleyin. Örneğin DCHost gibi bazı sağlayıcılar, panel üzerinden periyodik snapshot alma ve farklı lokasyonlarda saklama gibi imkanlar sunuyor. Bu tip özellikler, manuel yedeklerinize ek bir güvenlik katmanı sağlar.
Logları merkezi olarak toplayın ve inceleyin
Linux sunucularda varsayılan olarak zaten birçok log tutulur (auth.log, syslog, nginx access ve error logları vb.). Fakat bu loglara hiç bakmıyorsanız, aslında varlıklarının pek anlamı yok.
Ben genelde şu basit pratiği öneriyorum:
- Haftalık olarak SSH, Nginx/Apache ve uygulama loglarına göz atın
- Anormal IP, yoğun istek veya beklenmeyen hata mesajlarını not alın
- Mümkünse logları ayrı bir sunucuda veya merkezi log yönetim aracında saklayın
Bu yaklaşımı, genel bulut güvenliği perspektifiyle birlikte düşünmek isterseniz, bulut güvenliğinde risk yönetimi yazısı da size iyi bir çerçeve sunacaktır.
Temel izleme araçları kurun
Yeni başlayanlar için bile, CPU, RAM, disk kullanımı ve servis erişilebilirliğini izlemek zor değil. Basit izleme araçlarıyla aşağıdakileri kontrol altında tutabilirsiniz:
- Disk doluluk oranı (loglar yüzünden diskin dolup servislerin çökmesi çok sık olur)
- CPU ve RAM kullanımı (beklenmedik artışlar saldırı veya yazılım hatasına işaret edebilir)
- Web sitesinin dışarıdan erişilebilir olup olmadığı
Yeni Başlayanlar İçin VPS Güvenlik Kontrol Listesi
Tüm anlattıklarımızı, hızlıca uygulanabilir bir kontrol listesine dönüştürelim. Sunucunuzu kurduktan sonra aşağıdaki maddeleri tek tek işaretleyebilir, hatta kendi dokümanınızı oluşturabilirsiniz.
- Root ile doğrudan SSH girişi kapatıldı
- Sudo yetkili normal kullanıcı oluşturuldu
- SSH portu değiştirildi ve sadece gerekli IP’lere açıldı (mümkünse)
- SSH anahtarları ile giriş yapılandırıldı, şifreli giriş kapatıldı
- İşletim sistemi güncellendi, düzenli güncelleme rutini belirlendi
- Güvenlik duvarı kuruldu ve sadece gerekli portlar açık bırakıldı
- Fail2Ban veya benzeri bir araç ile brute force saldırıları sınırlandırıldı
- Web sunucusu temel güvenlik ayarları yapıldı, gereksiz modüller kapatıldı
- SSL sertifikası kuruldu, tüm trafik HTTPS’e yönlendirildi
- Veritabanı ve dosya sistemi için düzenli yedekleme planı oluşturuldu
- Loglar düzenli olarak kontrol edilmeye başlandı
- Temel izleme araçları ile kaynak kullanımı ve servis durumu takip ediliyor
Sonuç ve Sonraki Adımlar
VPS sunucu güvenliği gözünüzü korkutmasın; konuya adım adım yaklaştığınızda, aslında büyük kısmı birkaç temel prensipten ibaret. Erişimi kısıtlayıp kimlik doğrulamayı güçlendiriyor, sistemi güncel tutuyor, trafiği filtreliyor ve bir şeyler ters giderse geri dönmenizi sağlayacak yedek ve log yapısını kuruyorsunuz. Bu dört temel ayağı sağlam kurduğunuzda, saldırganların işini ciddi biçimde zorlaştırmış oluyorsunuz.
Benim önerim, önce bu yazıdaki kontrol listesini kendi VPS’iniz üzerinde uygulamanız, ardından daha ileri konulara geçmeniz. Örneğin WAF (web application firewall), IP bazlı erişim kısıtlamaları, gelişmiş log analizi ve SIEM çözümleri gibi başlıklar, temel güvenliği oturttuktan sonra değerlendirilebilecek sonraki adımlar.
Eğer VPS üzerinde ağırlıklı olarak WordPress kullanıyorsanız, mutlaka WordPress güvenlik ipuçları ve performans tarafını da düşünerek sunucu performansını artırmanın yolları yazılarıyla devam edebilirsiniz. Daha görsel anlatımlı, adım adım bir karşılaştırma isterseniz, İngilizce olarak hazırladığım How to Secure Your VPS Server rehberi de size farklı bir perspektif katacaktır.
Unutmayın: Güvenlik bir sefer yapılıp bırakılan bir iş değil, devam eden bir süreç. Düzenli aralıklarla sunucunuzu gözden geçirir, yeni zafiyetlere ve ihtiyaçlara göre ayarlarınızı güncellerseniz, VPS’iniz uzun vadede çok daha sağlıklı ve güvenli çalışacaktır.
