Sunucu Güvenliği Nedir? Windows ve Linux Server Hardening Nasıl Yapılır?

Bir kurumun en kritik verileri ve uygulamaları çoğu zaman sunucular üzerinde çalışır.

Active Directory Domain Controller.

ERP sistemi.

Web uygulaması.

Veritabanı.

Dosya sunucusu.

API servisi.

Yedekleme sistemi.

SIEM veya güvenlik yönetim sunucuları.

Bu sistemlerden yalnızca birinin ele geçirilmesi saldırganın kurum içerisinde çok daha geniş bir erişim elde etmesine neden olabilir.

Üstelik sunucunun nerede çalıştığı çoğu zaman temel güvenlik prensiplerini değiştirmez.

Sunucu;

fiziksel data center'da,

VMware üzerinde,

Microsoft Azure'da,

AWS üzerinde,

Google Cloud'da

çalışabilir.

Sonuçta işletim sisteminin güvenli şekilde yapılandırılması gerekir.

Bu nedenle Windows Server Security, Linux Server Security ve Server Hardening, kurumsal sistem ve bulut güvenliğinin temel yapı taşlarından biridir.

Sunucu güvenliği yalnızca antivirüs kurmak veya işletim sistemini güncellemek değildir.

Gerçek bir Server Security Hardening yaklaşımı;

güvenli konfigürasyon,

minimum servis,

minimum yetki,

patch management,

network segmentation,

privileged access management,

EDR/XDR,

loglama,

SIEM monitoring,

backup ve recovery

katmanlarını birlikte ele alır.

Temel prensip basittir:

Bir sunucu yalnızca çalışıyor olmamalı; güvenli bir baseline üzerinde çalışmalı ve bu güvenlik seviyesi sürekli doğrulanmalıdır.

Sunucu Güvenliği Nedir?

Sunucu Güvenliği – Server Security, Windows Server ve Linux Server gibi sistemlerin yetkisiz erişim, kötü amaçlı yazılım, güvenlik açığı istismarı, credential theft ve yanlış yapılandırmalara karşı korunmasıdır.

Sunucu güvenliğinin amacı üç temel güvenlik prensibini korumaktır:

Confidentiality – Gizlilik

Yetkisiz kişilerin verilere erişmesini önlemek.

Integrity – Bütünlük

Sistem ve verilerin izinsiz değiştirilmesini önlemek.

Availability – Erişilebilirlik

Kritik servislerin çalışmaya devam etmesini sağlamak.

Ancak modern sunucu güvenliği bunların yanında saldırgan hareketlerinin mümkün olduğunca erken tespit edilmesini de hedefler.

Server Hardening Nedir?

Server Hardening, sunucu üzerindeki saldırı yüzeyini azaltmak amacıyla gereksiz servislerin, protokollerin, kullanıcıların, portların ve yetkilerin sınırlandırılması sürecidir.

Örneğin bir sunucuda;

FTP kullanılmıyorsa kapatılabilir.

RDP gerekmiyorsa erişim kaldırılabilir.

SSH yalnızca yönetim network'ünden erişilebilir hale getirilebilir.

Gereksiz local administrator hesapları kaldırılabilir.

Eski TLS protokolleri devre dışı bırakılabilir.

Bu işlemlerin tamamı hardening yaklaşımının parçalarıdır.

Ama hardening yalnızca:

“Gereksiz servisleri kapatalım.”

demek değildir.

Güvenli bir baseline oluşturmak ve sistemin bu baseline'dan sapmasını sürekli takip etmek gerekir.

Server Hardening Neden Önemlidir?

Varsayılan işletim sistemi konfigürasyonu her kurumun güvenlik gereksinimine göre tasarlanmış değildir.

İşletim sistemi üreticileri kullanılabilirlik ve uyumluluğu da düşünmek zorundadır.

Bu nedenle bazı;

servisler,

protokoller,

ayarlar,

yetkiler

kurumun ihtiyacından daha geniş olabilir.

Saldırgan açısından her gereksiz özellik yeni bir saldırı yüzeyi oluşturabilir.

Bu nedenle temel yaklaşım:

Kullanılmıyorsa kapat.

Gerekmiyorsa yetki verme.

İnternete açık olması gerekmiyorsa açma.

olmalıdır.

Attack Surface Nedir?

Attack Surface – Saldırı Yüzeyi, saldırganın bir sistemi hedeflemek için kullanabileceği erişilebilir bileşenlerin toplamıdır.

Bir sunucuda saldırı yüzeyi;

açık portlar,

çalışan servisler,

kullanıcı hesapları,

web uygulamaları,

uzak yönetim servisleri,

API'ler,

paylaşımlar

gibi unsurlardan oluşabilir.

Attack surface küçüldükçe saldırganın kullanabileceği seçenekler de azalır.

Hardening'in temel hedeflerinden biri budur.

Windows Server Hardening Nedir?

Windows Server Hardening, Windows Server işletim sisteminin güvenli yapılandırma standartlarına göre sıkılaştırılmasıdır.

Bu süreçte;

Windows Firewall,

Group Policy,

User Rights Assignment,

Audit Policy,

RDP,

PowerShell,

SMB,

NTLM,

TLS,

local accounts,

Windows Defender veya EDR

gibi birçok alan değerlendirilir.

Ama tüm Windows sunucularına aynı ayarların uygulanması doğru olmayabilir.

Domain Controller ile application server'ın güvenlik profili farklı olabilir.

Bu nedenle role-based security baseline oluşturulması önemlidir.

Linux Server Hardening Nedir?

Linux Server Hardening, Linux işletim sisteminin gereksiz servislerden, zayıf yetkilerden ve riskli yapılandırmalardan arındırılması sürecidir.

Değerlendirilebilecek başlıca alanlar;

SSH,

root access,

sudo,

PAM,

filesystem permissions,

services,

kernel parameters,

firewall,

auditd,

logging

olabilir.

Linux dağıtımına göre konfigürasyon detayları değişebilir.

Ubuntu,

Debian,

Red Hat Enterprise Linux,

Rocky Linux,

AlmaLinux,

SUSE

gibi sistemler farklı yönetim araçlarına sahip olabilir.

Ancak güvenlik prensipleri büyük ölçüde benzerdir.

CIS Benchmark ile Server Hardening Nasıl Yapılır?

CIS Benchmarks, işletim sistemleri ve diğer teknolojiler için güvenli yapılandırma önerileri sunan yaygın güvenlik referanslarından biridir.

Windows ve Linux sistemler için;

account policies,

logging,

network configuration,

filesystem,

services,

security options

gibi alanlarda öneriler bulunabilir.

CIS Benchmark, hardening çalışmalarında güçlü bir başlangıç noktasıdır.

Ancak önemli bir ayrım vardır:

CIS uyumluluğu ile güvenli sistem aynı şey değildir.

Bir sistem benchmark'ın büyük bölümüne uyabilir ancak uygulamaya özgü ciddi bir güvenlik riski taşıyabilir.

Bu nedenle benchmark, risk analiziyle birlikte kullanılmalıdır.

CIS Level 1 ve Level 2 Nedir?

CIS Benchmarks bazı teknolojilerde farklı güvenlik profilleri sunabilir.

Genel yaklaşım olarak:

Level 1

Temel güvenlik sıkılaştırması sağlar ve operasyonel etkiyi sınırlı tutmayı amaçlar.

Level 2

Daha yüksek güvenlik gereksinimleri için daha sıkı kontroller içerebilir.

Level 2 kontrollerinin operasyonel etkisi daha yüksek olabilir.

Bu nedenle bütün sunuculara doğrudan en katı profil uygulanmamalıdır.

Önce test edilmelidir.

Security Baseline Nasıl Oluşturulur?

Kurumsal Security Baseline, bir sunucunun minimum güvenlik konfigürasyonunu tanımlar.

Örneğin Windows Server baseline:

Password Policy

Account Lockout

Windows Firewall

RDP Security

Audit Policy

SMB Configuration

PowerShell Logging

EDR

TLS Configuration

başlıklarını içerebilir.

Linux baseline ise;

SSH Configuration

Root Access

sudo

PAM

auditd

Firewall

Filesystem Permissions

Logging

başlıklarını kapsayabilir.

Ama baseline dokümanı oluşturmak yeterli değildir.

Uygulandığının doğrulanması gerekir.

Golden Image Nedir?

Golden Image, güvenli şekilde hazırlanmış standart sunucu imajıdır.

Yeni sunucu oluşturulurken her seferinde sıfırdan konfigürasyon yapmak yerine güvenli image kullanılabilir.

Golden Image içerisinde;

güncel patch'ler,

hardening,

EDR agent,

logging agent,

monitoring agent

önceden bulunabilir.

Bu yaklaşım standardizasyon sağlar.

Özellikle cloud ve virtualization ortamlarında oldukça değerlidir.

Golden Image Güvenliği Zamanla Bozulabilir mi?

Evet.

Golden Image oluşturulduğu gün güvenli olabilir.

Ancak birkaç ay sonra;

yeni güvenlik açıkları,

yeni patch'ler,

yeni güvenlik politikaları

ortaya çıkabilir.

Bu nedenle Golden Image sürekli güncellenmelidir.

Aksi halde her yeni oluşturulan sunucu eski güvenlik problemlerini tekrar üretir.

Configuration Drift Sunucularda Nasıl Oluşur?

Bir sunucu ilk kurulduğunda CIS uyumlu olabilir.

Ancak zaman içerisinde;

firewall portu açılır,

test hesabı oluşturulur,

RDP erişimi genişletilir,

service eklenir,

audit policy değiştirilir.

Bu değişiklikler güvenlik baseline'ından sapmaya neden olabilir.

Bu nedenle hardening assessment periyodik yapılmalıdır.

Gereksiz Servisler Neden Kapatılmalıdır?

Her çalışan servis potansiyel saldırı yüzeyidir.

Örneğin sunucu;

web server olarak kullanılıyor ancak FTP servisi de çalışıyorsa gereksiz risk oluşabilir.

Aynı prensip;

Telnet,

SNMP,

legacy file sharing,

remote management

gibi servisler için de geçerlidir.

Ama servis kapatılmadan önce application dependency kontrol edilmelidir.

Açık Port Sayısı Ne Kadar Az Olursa O Kadar İyi midir?

Genel olarak gereksiz portların kapalı olması gerekir.

Ancak amaç mümkün olan en az sayıda port değil:

İş için gerekli minimum port

olmalıdır.

Örneğin web server için 443 gerekli olabilir.

Database sunucusunun 1433 veya 5432 portunun internetten erişilebilir olması ise çoğu mimaride gerekli değildir.

Burada Least Exposure prensibi uygulanmalıdır.

Host-Based Firewall Neden Gereklidir?

Network firewall bulunması sunucu üzerindeki firewall ihtiyacını ortadan kaldırmaz.

Host-Based Firewall, sunucu seviyesinde ek güvenlik katmanı sağlar.

Örneğin Windows Firewall veya Linux üzerinde nftables/firewalld kullanılabilir.

Bu sayede aynı network segmentindeki sistemler arasındaki trafik de sınırlandırılabilir.

Defense in Depth açısından değerlidir.

RDP Güvenliği Nasıl Sağlanır?

Remote Desktop Protocol – RDP, Windows Server yönetiminde yaygın olarak kullanılır.

Ancak RDP'nin doğrudan internete açılması önemli saldırı yüzeyi oluşturabilir.

Güvenli yaklaşımda;

VPN,

Jump Server,

Bastion Host,

MFA,

PAM

üzerinden erişim değerlendirilebilir.

Ayrıca yalnızca yetkili kullanıcıların RDP kullanmasına izin verilmelidir.

RDP Neden İnternete Doğrudan Açılmamalıdır?

Public RDP servisleri;

brute force,

password spraying,

credential stuffing,

vulnerability exploitation

gibi saldırıların hedefi olabilir.

Bu nedenle:

Internet → RDP → Server

modeli yerine:

Authorized User → MFA/VPN/PAM → Bastion → Server

gibi daha kontrollü mimari tercih edilebilir.

Network Level Authentication Nedir?

Network Level Authentication – NLA, RDP session tam olarak oluşturulmadan önce kullanıcının kimliğinin doğrulanmasını sağlar.

Bu, RDP güvenliğini artıran kontrollerden biridir.

Ancak NLA kullanılması RDP'nin doğrudan internete açılmasını otomatik olarak güvenli hale getirmez.

Birden fazla güvenlik katmanı gereklidir.

SSH Güvenliği Nasıl Sağlanır?

Linux sunucular için SSH kritik yönetim servisidir.

Güvenli SSH yapılandırmasında;

root login sınırlandırılması,

password authentication azaltılması,

SSH key kullanımı,

MFA,

source IP restriction,

logging

değerlendirilebilir.

SSH'nin gereksiz şekilde tüm internete açık olması önlenmelidir.

SSH Key Paroladan Daha Güvenli midir?

Doğru yönetildiğinde güçlü bir yöntemdir.

Ancak SSH key de credential'dır.

Private key çalınırsa saldırgan erişim sağlayabilir.

Bu nedenle;

private key protection,

passphrase,

key rotation,

central management

önemlidir.

Eski çalışanların SSH key'lerinin sunucularda unutulması ciddi bir güvenlik problemidir.

Root Login Neden Sınırlandırılmalıdır?

Linux'ta doğrudan root kullanımı;

accountability,

auditability,

privilege control

açısından sorun oluşturabilir.

Tercihen kullanıcı kendi hesabıyla giriş yapar ve gerekli işlemler için sudo kullanır.

Bu sayede hangi kullanıcının hangi privileged komutu çalıştırdığı daha iyi takip edilebilir.

sudo Güvenliği Nasıl Sağlanır?

En sık yapılan hatalardan biri kullanıcıya:

ALL=(ALL) ALL

gibi çok geniş yetkiler vermektir.

Sudo politikaları mümkün olduğunca minimum yetki prensibine göre tasarlanmalıdır.

Örneğin bir uygulama yöneticisinin yalnızca ilgili servisi restart etmesi gerekiyorsa tam root yetkisi gerekmeyebilir.

Windows Local Administrator Riski Nedir?

Her sunucuda aynı local administrator parolasının kullanılması ciddi risk oluşturabilir.

Bir sunucunun credential'ı ele geçirilirse saldırgan aynı parola ile diğer sistemlere erişmeyi deneyebilir.

Bu nedenle local admin credential'larının benzersiz ve kontrollü olması önemlidir.

Windows ortamlarında bu amaçla merkezi parola yönetim yaklaşımları kullanılabilir.

LAPS Nedir?

Windows Local Administrator Password Solution / Windows LAPS, local administrator parolalarının merkezi ve güvenli şekilde yönetilmesine yardımcı olur.

Her cihaz veya sunucu için farklı parola oluşturulabilir.

Parolalar otomatik rotate edilebilir.

Bu sayede aynı local admin parolasının tüm altyapıda kullanılmasının oluşturduğu lateral movement riski azaltılır.

Service Account Nedir?

Service Account, uygulama veya servislerin çalışması için kullanılan hesaptır.

Bu hesaplar çoğu zaman insan kullanıcı değildir.

Örneğin;

backup service,

database integration,

scheduled task,

web application

service account kullanabilir.

Service account'lar saldırganlar için değerli olabilir çünkü bazen yüksek yetkilere sahiptir ve parolaları uzun süre değiştirilmez.

Service Account Güvenliği Nasıl Sağlanır?

Service account için;

interactive login kapatılması,

minimum privilege,

password rotation,

usage monitoring,

account ownership

uygulanabilir.

Windows ortamlarında uygun senaryolarda Group Managed Service Accounts – gMSA gibi yaklaşımlar değerlendirilebilir.

Amaç statik ve yıllarca değişmeyen servis parolalarını azaltmaktır.

Least Privilege Sunucularda Nasıl Uygulanır?

Her kullanıcıya yalnızca ihtiyacı olan yetki verilmelidir.

Application developer'ın bütün production sunucularında local administrator olması gerekmeyebilir.

Database yöneticisinin Domain Admin olması gerekmeyebilir.

Backup operatörünün bütün network'e erişmesi gerekmeyebilir.

Bu ayrım saldırganın ele geçirilen hesap üzerinden ilerlemesini sınırlar.

Privilege Creep Nedir?

Kullanıcı zaman içerisinde farklı projelerde görev alabilir.

Her görevde yeni yetki alır.

Ancak eski yetkileri kaldırılmaz.

Yıllar sonra kullanıcının ihtiyacından çok daha geniş erişimi olabilir.

Bu duruma Privilege Creep denir.

Periyodik Access Review ile bu yetkiler gözden geçirilmelidir.

PAM Sunucu Yönetiminde Nasıl Kullanılır?

Privileged Access Management – PAM, administrator erişimlerini merkezi şekilde yönetebilir.

Örneğin admin;

sunucu parolasını görmeden,

onay aldıktan sonra,

belirli süre için

session açabilir.

PAM ayrıca session recording sağlayabilir.

Bu özellikle kritik production sistemlerinde güvenlik ve denetim açısından değerlidir.

Just-in-Time Access Nedir?

Just-in-Time – JIT Access, administrator yetkisinin sürekli açık tutulması yerine ihtiyaç olduğunda geçici olarak verilmesidir.

Örneğin kullanıcı 30 dakika boyunca server administrator olabilir.

Süre sonunda yetki otomatik kaldırılır.

Bu yaklaşım standing privilege riskini azaltır.

Patch Management Sunucu Güvenliğinde Neden Kritiktir?

Hardening yapılmış bir sunucu güncel değilse yine risk altında olabilir.

İşletim sistemi ve servislerde yeni güvenlik açıkları sürekli ortaya çıkar.

Bu nedenle patch management düzenli yürütülmelidir.

Ancak production sistemlerde patch işlemleri;

test,

change management,

rollback,

maintenance window

ile birlikte yönetilmelidir.

Kritik Patch Ne Kadar Hızlı Uygulanmalıdır?

Tek bir evrensel süre yoktur.

Risk;

açığın kritikliğine,

internet exposure'a,

exploit availability'ye,

asset criticality'ye

göre belirlenmelidir.

Özellikle aktif olarak istismar edilen ve internete açık sistemleri etkileyen güvenlik açıkları daha yüksek öncelikle ele alınmalıdır.

Zero-Day Açığında Patch Yoksa Ne Yapılır?

Patch bulunmaması hiçbir şey yapılamayacağı anlamına gelmez.

Compensating Controls – Telafi Edici Kontroller uygulanabilir.

Örneğin;

servis geçici kapatılabilir,

network erişimi sınırlandırılabilir,

WAF rule eklenebilir,

EDR detection oluşturulabilir,

IPS signature kullanılabilir.

Amaç patch çıkana kadar exploit riskini azaltmaktır.

Vulnerability Scanner Tek Başına Yeterli midir?

Hayır.

Scanner;

eksik patch,

açık port,

bilinen vulnerability

tespitinde çok faydalıdır.

Ancak;

yetki mimarisi,

iş gereksinimi,

credential exposure,

attack path,

bazı configuration riskleri

için manuel analiz gerekebilir.

Bu nedenle Vulnerability Assessment ile Security Configuration Assessment birbirini tamamlar.

Authenticated Vulnerability Scan Nedir?

Authenticated scan sırasında scanner sunucuya yetkili credential ile erişerek iç konfigürasyonu da inceleyebilir.

Bu sayede;

installed patches,

software versions,

local settings

daha doğru değerlendirilebilir.

Unauthenticated scan ise dışarıdan görülen saldırı yüzeyine daha fazla odaklanır.

İki yaklaşım farklı görünürlük sağlar.

EDR Sunucularda Neden Kullanılmalıdır?

Endpoint Detection and Response – EDR, yalnızca çalışan bilgisayarları için değildir.

Server workload'larında da;

malware,

ransomware,

web shell,

credential theft,

suspicious PowerShell,

persistence

gibi aktiviteleri tespit etmeye yardımcı olabilir.

Özellikle kritik Windows ve Linux sunucular SOC görünürlüğüne dahil edilmelidir.

EDR ile Antivirüs Arasındaki Fark Nedir?

Klasik antivirüs ağırlıklı olarak zararlı dosyaların tespitine odaklanabilir.

EDR ise daha geniş davranış telemetry'si sağlar.

Örneğin;

process execution,

network connection,

file activity,

registry change,

script execution

gibi olayları izleyebilir.

Bu nedenle modern saldırıların tespitinde EDR daha geniş görünürlük sağlayabilir.

PowerShell Logging Neden Önemlidir?

PowerShell Windows yönetimi için güçlü bir araçtır.

Aynı zamanda saldırganlar tarafından da kötüye kullanılabilir.

Bu nedenle uygun ortamlarda;

PowerShell Script Block Logging,

Module Logging,

Transcription

gibi kontroller değerlendirilebilir.

Bu kayıtlar SIEM'e gönderildiğinde threat hunting ve incident response açısından önemli görünürlük sağlar.

Windows Event Logging Nasıl Planlanmalıdır?

Varsayılan log politikaları her kurum için yeterli olmayabilir.

Özellikle;

logon/logoff,

account management,

privilege use,

process creation,

policy change,

PowerShell

olayları değerlendirilebilir.

Ama her şeyi sınırsız loglamak da doğru değildir.

Storage ve SOC kapasitesi dikkate alınmalıdır.

Sysmon Nedir?

Sysmon – System Monitor, Windows sistemlerde detaylı güvenlik telemetry'si sağlayabilen araçlardan biridir.

Örneğin;

process creation,

network connection,

file creation,

registry activity

gibi olayları kaydedebilir.

Doğru yapılandırıldığında SIEM ve threat hunting süreçlerine güçlü veri sağlar.

Ancak yanlış konfigürasyon çok yüksek log hacmi üretebilir.

Linux auditd Nedir?

auditd, Linux sistemlerde güvenlik açısından önemli aktivitelerin audit edilmesini sağlayabilir.

Örneğin;

kritik dosya değişiklikleri,

privileged command,

authentication,

configuration change

izlenebilir.

Bu kayıtlar merkezi SIEM'e gönderilerek analiz edilebilir.

Loglar Sunucunun Kendisinde Tutulursa Yeterli midir?

Hayır.

Saldırgan administrator/root yetkisi elde ederse local logları silebilir veya değiştirebilir.

Bu nedenle kritik logların merkezi sisteme aktarılması önemlidir.

Örneğin:

Server → Log Collector → SIEM

mimarisi kullanılabilir.

Bu sayede saldırgan sunucuyu ele geçirse bile geçmiş telemetry merkezi sistemde kalabilir.

SIEM Server Security'de Nasıl Kullanılır?

SIEM farklı sunuculardan gelen olayları korele edebilir.

Örneğin:

Bir kullanıcı gece 03:00'te RDP login yaptı.

↓

PowerShell çalıştırdı.

↓

Yeni local administrator oluşturdu.

↓

EDR alarm üretti.

Bu olaylar tek tek bakıldığında farklı görünebilir.

SIEM bunları saldırı zinciri olarak ilişkilendirebilir.

Failed Login Sayısı Neden İzlenmelidir?

Çok sayıda başarısız login;

brute force,

password spraying,

credential stuffing

göstergesi olabilir.

Ancak sadece failed login sayısına bakmak yeterli değildir.

Başarısız girişlerden sonra başarılı authentication gerçekleşmesi daha kritik olabilir.

Successful Login de Güvenlik Olayı Olabilir mi?

Kesinlikle.

Saldırganın amacı sürekli başarısız login üretmek değildir.

Doğru credential'ı bulduğunda başarılı giriş yapar.

Bu nedenle SOC;

yeni location,

yeni device,

beklenmeyen saat,

privileged account,

yeni source IP

gibi bağlamları da analiz etmelidir.

File Integrity Monitoring Nedir?

File Integrity Monitoring – FIM, kritik sistem dosyalarında beklenmeyen değişiklikleri izler.

Örneğin;

web application dosyası,

system configuration,

startup script

değiştiğinde alarm üretilebilir.

Web shell veya persistence tespitinde faydalı olabilir.

Application Allowlisting Nedir?

Application Allowlisting, yalnızca onaylanmış uygulamaların çalışmasına izin verilmesi yaklaşımıdır.

Bu yöntem malware ve unauthorized tool çalıştırılmasını zorlaştırabilir.

Ancak operasyonel olarak dikkatli tasarlanmalıdır.

Aksi halde legitimate uygulamalar engellenebilir.

SMB Güvenliği Neden Önemlidir?

Server Message Block – SMB, Windows ortamlarında dosya paylaşımı ve farklı servisler için kullanılabilir.

Eski veya zayıf SMB yapılandırmaları saldırı yüzeyi oluşturabilir.

Özellikle legacy SMB sürümleri, gereksiz paylaşımlar ve geniş erişim izinleri değerlendirilmelidir.

Ayrıca SMB trafiğinin network segmentleri arasında gereksiz yere açık olmaması önemlidir.

Legacy Protocol Nedir?

Güvenlik açısından artık önerilmeyen eski protokol veya authentication yöntemleri legacy olarak değerlendirilebilir.

Örneğin;

Telnet,

FTP,

eski TLS sürümleri

modern alternatifleri bulunduğunda kaldırılabilir.

Legacy protocol kullanımı saldırganın downgrade veya zayıf şifreleme avantajlarından yararlanmasına neden olabilir.

TLS Hardening Nedir?

Sunucuların yalnızca güncel ve güvenli TLS protokolleri ile cipher suite'leri kullanması sağlanmalıdır.

Eski;

SSL,

TLS sürümleri,

zayıf cipher

konfigürasyonları kaldırılabilir.

Ancak eski uygulamalarla compatibility kontrol edilmelidir.

Hardening sonrası application test yapılmalıdır.

NTP Güvenliği Neden Önemlidir?

Sunucuların saatlerinin doğru ve senkron olması;

authentication,

certificate validation,

log correlation,

incident response

için önemlidir.

SOC saldırı timeline'ı oluştururken sistem saatleri farklıysa olayları ilişkilendirmek zorlaşabilir.

Bu nedenle güvenilir NTP kaynakları kullanılmalıdır.

DNS Ayarları Sunucu Güvenliğini Etkiler mi?

Evet.

Sunucuların güvenilir DNS resolver kullanması önemlidir.

DNS manipulation saldırganı kötü niyetli servislere yönlendirebilir.

Ayrıca DNS telemetry;

malware,

C2,

data exfiltration

tespitinde önemli olabilir.

Bu nedenle server DNS trafiği de güvenlik monitoring kapsamına alınabilir.

Internet Access Sunucularda Sınırlandırılmalı mı?

Her sunucunun sınırsız internet erişimine ihtiyacı yoktur.

Örneğin database sunucusunun internetteki her adrese bağlantı kurması gerekmeyebilir.

Egress filtering sayesinde sunucunun yalnızca gerekli servislere çıkması sağlanabilir.

Bu durum saldırganın Command & Control bağlantılarını da zorlaştırabilir.

Egress Filtering Nedir?

Egress Filtering, kurum içerisinden dışarı çıkan network trafiğinin kontrol edilmesidir.

Güvenlik ekipleri çoğu zaman inbound trafiğe odaklanır.

Ancak ele geçirilen sunucunun;

C2,

malware download,

data exfiltration

için dış bağlantı kurması gerekebilir.

Bu nedenle outbound policy de önemlidir.

Network Segmentation Sunucuları Nasıl Korur?

Kritik sunucular kullanıcı network'ünden ayrılmalıdır.

Örneğin;

User VLAN

↓

Application Server

↓

Database Server

şeklinde kontrollü erişim tasarlanabilir.

Kullanıcı bilgisayarının database sunucusuna doğrudan erişmesine ihtiyaç yoksa bu yol kapatılmalıdır.

Bu yaklaşım lateral movement riskini azaltır.

Management Network Nedir?

Sunucuların yönetim portları production application trafiğinden ayrı network üzerinden erişilebilir hale getirilebilir.

Örneğin;

SSH,

RDP,

hypervisor management

yalnızca Management Network'ten erişilebilir olabilir.

Bu network'e ise VPN, PAM veya Bastion üzerinden ulaşılır.

Bu mimari saldırı yüzeyini ciddi şekilde azaltabilir.

Bastion Host Nedir?

Bastion Host / Jump Server, administrator'ların kritik sistemlere erişmek için kullandığı kontrollü ara sistemdir.

Doğrudan:

Laptop → Production Server

yerine:

Laptop → MFA/PAM → Bastion → Production Server

modeli uygulanabilir.

Bu sayede privileged access daha iyi kontrol edilir ve izlenebilir.

Backup Sunucusu Neden Ayrı Korunmalıdır?

Backup sunucusu çoğu zaman kurumun en kritik sistemlerinden biridir.

Çünkü ransomware saldırganı production sistemlerini şifreledikten sonra backup'ları da yok etmeye çalışabilir.

Bu nedenle backup sunucusu;

ayrı credential,

network segmentation,

MFA/PAM,

immutable storage,

restricted access

ile korunmalıdır.

Domain Admin Backup Administrator Olmalı mı?

Mümkün olduğunca görev ayrımı uygulanmalıdır.

Aynı credential'ın;

Domain,

Backup,

Virtualization,

Cloud

üzerinde tam yetkili olması saldırgan için tek noktadan büyük kontrol sağlar.

Bu nedenle Separation of Duties – Görevler Ayrılığı önemlidir.

Server Backup Almak Yeterli midir?

Hayır.

Backup'ın varlığı değil:

Restore edilebilmesi

önemlidir.

Bu nedenle düzenli restore testleri yapılmalıdır.

Örneğin kritik server backup'ı kontrollü ortamda restore edilerek;

boot,

application,

data integrity

kontrol edilebilir.

Immutable Backup Server Security'yi Nasıl Güçlendirir?

Immutable backup belirli süre boyunca backup verisinin değiştirilmesini veya silinmesini zorlaştırır.

Bu ransomware sonrası recovery için önemlidir.

Ancak saldırgan backup management hesabını ele geçirirse başka riskler oluşabilir.

Bu nedenle immutability + identity security birlikte uygulanmalıdır.

Windows ve Linux Sunucular Cloud'da Çalışıyorsa Hardening Gerekir mi?

Kesinlikle.

AWS EC2 üzerinde Windows Server kullanmak onu otomatik olarak güvenli yapmaz.

Azure VM üzerinde Linux çalıştırmak da aynı şekilde.

Cloud provider fiziksel altyapıyı koruyabilir.

Ancak;

işletim sistemi,

user,

service,

patch,

EDR,

configuration

çoğu durumda müşterinin sorumluluğundadır.

Bu Shared Responsibility Model'in önemli örneklerinden biridir.

Ephemeral Server Güvenliği Nasıl Sağlanır?

Cloud-native ortamlarda bazı sunucular kısa ömürlü olabilir.

Bir VM birkaç saat sonra silinebilir.

Bu durumda manuel hardening sürdürülebilir değildir.

Güvenlik;

Golden Image,

Infrastructure as Code,

configuration management,

automated compliance

ile uygulanmalıdır.

Bu yaklaşım Immutable Infrastructure modellerine doğru ilerler.

Infrastructure as Code Server Hardening'de Kullanılabilir mi?

Evet.

Terraform, Ansible veya benzeri otomasyon yaklaşımlarıyla güvenli konfigürasyonlar standardize edilebilir.

Böylece administrator'ın her sunucuyu manuel olarak ayarlaması gerekmez.

Ancak otomasyon kodu yanlışsa aynı güvenlik hatası yüzlerce sunucuya yayılabilir.

Bu nedenle IaC de security review'dan geçirilmelidir.

Server Security Assessment Nedir?

Server Security Assessment, Windows ve Linux sunucuların güvenlik seviyesinin sistematik olarak değerlendirilmesidir.

Bu çalışma;

hardening,

vulnerability,

account,

service,

network,

logging,

EDR,

backup

kontrollerini kapsayabilir.

Amaç yalnızca eksikleri listelemek değildir.

Riskli kombinasyonları anlamaktır.

Server Hardening Assessment Nasıl Yapılır?

Genel olarak şu aşamalar uygulanabilir:

1. Asset Discovery

Sunucular belirlenir.

2. Role Classification

DC, database, web, application gibi roller ayrılır.

3. Baseline Selection

CIS veya kurum standardı belirlenir.

4. Configuration Review

Mevcut ayarlar analiz edilir.

5. Vulnerability Assessment

Eksik patch ve güvenlik açıkları incelenir.

6. Privilege Review

Admin ve servis hesapları kontrol edilir.

7. Logging Review

Audit görünürlüğü değerlendirilir.

8. Network Exposure

Port ve erişim yolları analiz edilir.

9. Remediation

Riskler önceliklendirilir.

10. Retest

Düzeltmeler doğrulanır.

Hardening Compliance Yüzdesi Tek Başına Yeterli midir?

Hayır.

Örneğin:

CIS Compliance: %94

çok iyi görünebilir.

Ancak kalan %6 içerisinde;

RDP'nin internete açık olması,

Domain Admin sayısının çok yüksek olması,

audit logging'in kapalı olması

gibi kritik problemler bulunabilir.

Bu nedenle compliance oranı risk seviyesiyle birlikte değerlendirilmelidir.

Server Security Score Nasıl Oluşturulabilir?

Kurumlar farklı kategorileri puanlayabilir:

Hardening

Patch

Identity

Network Exposure

EDR Coverage

Logging

Backup

Örneğin toplam:

Server Security Posture: 82/100

olarak gösterilebilir.

Ancak skorun arkasındaki kritik bulgular mutlaka görünür olmalıdır.

Tek bir sayı güvenliğin tamamını anlatamaz.

Server Security Raporunda Neler Olmalıdır?

Profesyonel raporda şu alanlar bulunabilir:

Executive Summary

Yönetim özeti.

Server Inventory

Değerlendirilen sistemler.

Security Baseline

Kullanılan standart.

Critical Misconfigurations

Kritik yapılandırma hataları.

Vulnerability Findings

Eksik patch ve açıklar.

Privileged Access Risks

Administrator ve root riskleri.

Network Exposure

RDP, SSH ve diğer servisler.

Logging & Monitoring

SIEM görünürlüğü.

EDR Coverage

Endpoint güvenliği.

Backup Security

Recovery riskleri.

Remediation Roadmap

Önceliklendirilmiş iyileştirme planı.

Sunucu Güvenliğinde En Büyük Hata Nedir?

En büyük hatalardan biri sunucuyu kurduktan sonra güvenli kabul etmektir.

Sunucu bugün güvenli olabilir.

Yarın yeni CVE çıkar.

Bir hafta sonra geçici firewall rule açılır.

Bir ay sonra yeni administrator eklenir.

Altı ay sonra servis hesabının yetkileri genişletilir.

Bu nedenle sunucu güvenliği bir kurulum işi değil:

Sürekli güvenlik yaşam döngüsüdür.

Server Security Lifecycle Nasıl Olmalıdır?

Güçlü yaklaşım şu şekilde düşünülebilir:

Build

Güvenli Golden Image.

↓

Harden

CIS ve kurum baseline'ı.

↓

Protect

EDR, firewall ve PAM.

↓

Monitor

SIEM ve SOC.

↓

Patch

Vulnerability Management.

↓

Validate

Security Assessment.

↓

Improve

Remediation.

↓

Retest

Kontrollerin doğrulanması.

Bu döngü sürekli devam etmelidir.

Windows ve Linux Hardening Arasındaki Temel Fark Nedir?

Teknik araçlar farklıdır.

Windows tarafında;

Group Policy,

Windows Firewall,

PowerShell,

Event Logs,

LAPS

ön plana çıkabilir.

Linux tarafında;

SSH,

sudo,

PAM,

auditd,

filesystem permissions,

kernel settings

daha fazla önem kazanabilir.

Ancak güvenlik felsefesi aynıdır:

Minimum Service

Minimum Privilege

Minimum Exposure

Maximum Visibility

Bu dört prensip güçlü server security yaklaşımının temelini oluşturur.

Sonuç: Güvenli Sunucu, Güvenli Kurulumdan Daha Fazlasıdır

Windows veya Linux sunucuyu kurmak kolaydır.

Onu yıllar boyunca güvenli tutmak ise çok daha zordur.

Çünkü sistem sürekli değişir.

Yeni kullanıcı gelir.

Yeni uygulama kurulur.

Yeni port açılır.

Yeni güvenlik açığı ortaya çıkar.

Yeni servis hesabı oluşturulur.

Yeni cloud entegrasyonu yapılır.

Her değişiklik yeni bir saldırı yüzeyi oluşturabilir.

Bu nedenle güçlü bir Windows Server Security ve Linux Server Hardening yaklaşımı yalnızca ilk kurulum sırasında uygulanmamalıdır.

Güvenlik;

CIS Benchmark + Security Baseline + Patch Management + Least Privilege + PAM + Network Segmentation + EDR/XDR + SIEM + Backup Security

katmanlarıyla sürekli yönetilmelidir.

Ancak sunucuların güvenliği yalnızca kendi konfigürasyonlarıyla sınırlı değildir.

Birçok kurumsal Windows altyapısında sunucuların kimlik ve yetki yapısını merkezi olarak yöneten çok daha kritik bir sistem bulunur:

Active Directory.

Bir saldırgan tek bir Windows Server'ı ele geçirdiğinde hedefi çoğu zaman o sunucuda kalmak değildir.

Credential toplamaya,

Lateral Movement gerçekleştirmeye,

Privilege Escalation yapmaya

ve sonunda yüksek yetkili domain hesaplarına ulaşmaya çalışabilir.

Bu nedenle bir sonraki kritik soru şudur:

Active Directory ele geçirilirse kurumun geri kalanı ne kadar güvende kalabilir?