Sanal sunucuda erişim güvenliği: root hesabı, güncelleme düzeni ve güvenlik duvarı

Kiralık bir sanal sunucuda ilk haftanın güvenlik tablosunu üç soru belirler: sunucuya kim ve hangi yöntemle giriş yapabiliyor, sistemin yamaları ne kadar güncel, dışarıya hangi portlar açık bırakılmış. Bu üçü oturmadan kurulan oyun sunucusu, panel ya da web uygulaması, güvenliği sonraya bırakılmış bir zeminin üzerinde çalışır.

Paylaşımlı barındırmada işletim sistemi katmanını sağlayıcı yönetir. Sanal sunucuda ise yönetim yetkisi kullanıcıya geçer ve bu yetkiyle birlikte işletim sistemi içindeki kararlar da kullanıcıya geçer. Kiralama sonrasında en geç fark edilen konu genelde budur.

Kiralık sunucuda sorumluluk nerede el değiştirir

Bir sunucunun güvenliği tek bir katmanda çözülmez. Fiziksel erişimden uygulama parolasına uzanan bir yığın vardır ve bu yığının bir bölümü sağlayıcının, bir bölümü kiralayanın elindedir. Hangi katmanın kime ait olduğunu bilmek, ilk gün hangi işin sizde olduğunu da netleştirir.

Üstteki iki satır altyapı işidir ve kiralayanın müdahale alanı dışındadır. Saganetwork sunucuları Vodafone Veri Merkezi’nin kurumsal altyapısında barındırılmaktadır, oyun sunucularında ise Stormwall DDOS koruması ve Layer 7 saldırı koruması ücretsiz verilir. Alttaki dört satır ise kiralamanın ilk saatinden itibaren tamamen kullanıcının kurduğu düzendir.

Root erişimi: en yetkili hesap neden en kırılgan noktadır

Root, Linux sistemlerde her dosyayı okuyup değiştirebilen ve her servisi durdurabilen yönetici hesabıdır; Windows tarafındaki karşılığı Administrator hesabıdır. Bu hesabın sınırı olmadığı için bu hesapla yapılan hatanın da sınırı yoktur. Yanlış bir silme komutu, hatalı bir izin değişikliği ya da farkında olmadan çalıştırılan kötü niyetli bir betik, root ile çalıştırıldığında tüm sistemi kapsar.

İkinci sorun tahmin edilebilirliktir. Otomatik giriş denemeleri bilinen kullanıcı adlarından başlar ve root ile Administrator, hemen her sistemde bulunduğu bilinen iki isimdir. Karşı tarafın çözmesi gereken tek şey parola olarak kalır.

Sanal sunucu kiralamanın tanımı gereği bu yetki kullanıcıya devredilir. Saganetwork vds paketlerinde de sunucu bu yetkiyle teslim edilir ve panel bilgileri kiralamadan sonra beş dakika içinde iletildiği için hesap düzenini kurmak ilk oturumun işidir. Sıralama şöyle işler:

1. Günlük işler için ayrı bir kullanıcı hesabı açın ve yönetici yetkisini bu hesaba gerektiğinde kullanılacak biçimde tanımlayın. Linux tarafında bunun karşılığı sudo yetkisidir.
2. Yeni hesapla ikinci bir oturum açıp bağlantının gerçekten çalıştığını doğrulayın.
3. Parola yerine anahtarla giriş kurun. SSH, sunucuya komut satırından bağlanmayı sağlayan şifreli bağlantı yöntemidir ve anahtar dosyasıyla giriş, tahmin edilebilir bir parolayı denklemden çıkarır.
4. Windows tarafında uzak masaüstü parolasını uzun ve yalnızca bu sunucuya özel tutun, mümkünse bağlantıyı belirli adreslerle sınırlayın.
5. Bütün bunlar çalıştıktan sonra doğrudan root veya Administrator girişini kapatın.

Sıralamanın önemi tam burada ortaya çıkar. Yedek bir giriş yolu bırakmadan root erişimini kapatan kullanıcı, kendi sunucusuna giremez hale gelir ve işi çoğu zaman yeniden kurulumla çözmek zorunda kalır. Bağlantı portunu varsayılan numaradan başka bir numaraya almak da sık yapılan bir düzenlemedir; bu, kayıtlardaki otomatik deneme gürültüsünü azaltır fakat tek başına bir güvenlik önlemi sayılmaz, çünkü portları tarayan bir araç için farklı bir numara engel oluşturmaz.

Güncelleme düzeni: ertelenen yama neyi biriktirir

Güncelleme, kiralık sunucularda ilk gün yapılıp sonra unutulan iştir. Oysa bir güvenlik açığı duyurulduğunda o açığı arayan otomatik tarama araçları da yayılır. Yamayı geciktiren sunucu, kapatılabilecek bir kapıyı açık tutmaya devam eder.

İki tür güncellemeyi ayırmak işi kolaylaştırır. Güvenlik yamaları dar kapsamlıdır, çalışan uygulamayı nadiren bozar ve beklemeye alınmaları için iyi bir gerekçe yoktur. Sürüm yükseltmeleri ise davranış değiştirebilir: veritabanı sürümünü, çalışma zamanını veya işletim sisteminin ana sürümünü yükseltmek planlı bir iştir, yedek alınmadan yapılmaz. Çekirdek güncellemeleri yeniden başlatma ister, bu yüzden bakım penceresini oyuncuların veya ziyaretçilerin en az olduğu saate almak mantıklıdır.

Bakılacak yer yalnızca işletim sistemi değildir. Sunucuda çalışan web sunucusu, veritabanı, oyun sunucusu yazılımı ve kurulu eklentiler kendi güncelleme takvimlerine sahiptir. Sistem tarafı güncel görünürken, uzun süredir güncellenmemiş bir eklenti üzerinden giriş bulunabilir.

Güvenlik duvarı: kapalı başlayıp yalnızca gerekeni açmak

Güvenlik duvarı, sunucuya gelen ve sunucudan çıkan bağlantıları port numarasına ve kaynak adresine göre eleyen kural kümesidir. Port ise bir sunucudaki farklı servislerin dinlediği numaralı kapı gibi düşünülebilir; web trafiği, veritabanı ve oyun sunucusu farklı numaralarda dinler.

Sağlıklı kurulum, her şeyi kapalı kabul edip yalnızca çalışması gereken kapıyı açmaktır. Tersi, yani her şeyi açık bırakıp sorun çıkanı kapatmak uzun vadede sürdürülemez, çünkü açık port listesi zamanla büyür ve o listeyi kimse geri daraltmaz. Genellikle açık kalması gerekenler yönetim erişimi, web trafiği, oyun sunucusunun kendi portu ve varsa panel portudur. Kurulum sırasında test için açılan portlar iş biter bitmez kapatılır.

Burada da bir sıra tuzağı vardır. Uzaktan bağlıyken varsayılan reddetme kuralını devreye alan ve kendi yönetim portunu izinli listeye eklemeyi unutan kullanıcı, kuralı uyguladığı anda oturumunu kaybeder. Önce erişim yolunu izinli hale getirmek, sonra reddetme politikasını açmak gerekir.

Güvenlik duvarı ile DDOS koruması aynı işi yapmaz

İkisi farklı katmanlarda çalışır. Güvenlik duvarı sunucunun kendi üzerindedir ve hangi bağlantının kabul edileceğine karar verir, yani trafik sunucuya ulaştıktan sonra devreye girer. Hacimsel bir saldırıyı ise sunucuya ulaşmadan ağ tarafında elemek gerekir, çünkü gelen trafiği karşılamaya çalışan sunucu kaynağını zaten tüketir. Bu nedenle ağ tarafındaki filtreleme sağlayıcının katmanında durur. İki katman birbirinin yerine geçmez: ağ filtresi çalışırken gereksiz yere açık bırakılmış bir yönetim portu hala açıktır, zayıf bir parola da hala zayıftır.

İlk oturumda en sık yapılan hatalar

• Günlük işleri de root veya Administrator hesabıyla yürütmek
• Kısa parola seçmek ya da başka bir serviste kullanılan parolayı tekrar kullanmak
• Kurulum sırasında test için açılan portu iş bittikten sonra açık bırakmak
• Güncellemeyi yalnızca ilk gün yapıp sonrasında hiç bakmamak
• Panel, veritabanı ve uygulama parolalarını aynı tutmak
• Ekipteki herkese aynı seviyede erişim yetkisi vermek
• Yeni giriş yönteminin çalıştığını doğrulamadan eski yolu kapatmak
• Yalnızca işletim sistemini güncelleyip eklenti ve uygulama sürümlerini unutmak

Bu düzenin tek bir doğru kurulumu yok. Tek kişinin bağlandığı bir test sunucusuyla, on kişilik bir yönetim ekibinin ve bir web uygulamasının paylaştığı sunucu aynı erişim kurallarını taşımaz; karar, sunucuda ne çalıştığına ve o sunucuya kaç kişinin dokunduğuna göre değişir. Değişmeyen tek şey sıradır: önce kim girebiliyor, sonra sistem güncel mi, en sonda hangi kapılar açık. Bu üç soruya yazılı bir cevabı olan sunucu, bir sorun çıktığında nereye bakılacağı belli olan sunucudur.