Web sunucusu güvenliği, web sunucularını güvende tutan süreçleri ve çözümleri kapsayan geniş bir terimdir. Web sunucusu güvenliği üç unsuru kapsar: ana bilgisayar, ağ ve fiziksel. Örneğin, kapsamlı bir güvenlik duvarı ağ bağlantılarını koruyabilirken, yetkisiz kullanıcıların bir ağa erişmesi belirli donanım veya yazılım bileşenleri tarafından engellenir.
Web sunucusu güvenliğini tartışırken iki temel alana bakabiliriz:
- Bir web sunucusunun verilerinin güvenliğini sağlama
- Web sunucusu üzerinde çalışan hizmetlerin güvenliğini sağlama
Erişim kontrolleri ve işletim sistemi güvenliği bir web sunucusunun verilerini korurken, antivirüs yazılımı ve güvenlik duvarları söz konusu sunucu üzerinde çalışan hizmetleri korur. Sunucunun verileri, varlıklarının en önemlisi olarak kabul edilebilir, bu nedenle saldırıların çoğunda hedef alınması muhtemeldir.
Neyse ki diskte depolanan bilgilerin şifrelenmesi verileri korumanıza olanak tanır. İzinsiz giriş tespit araçları da yetkisiz kullanıcıların izinsiz giriş girişimlerini tespit edebilir ve bunlara etkili bir şekilde yanıt vermenize yardımcı olabilir.
Nihayetinde, bir kullanıcının interneti kullanırken önceliği belirli bir web sitesine mümkün olan en kısa sürede ulaşmaktır. Ancak bu web sitesine güvenli bir şekilde girmek ve kullanmak isterler. Bu nedenle web sunucusu güvenliği, özellikle de bilgisayar korsanlarının son derece sofistike yazılımlara erişebildiği günümüzde çok kritik bir konudur.
İyi haber şu ki, bilgi teknolojisi (BT) sektöründeki profesyoneller web sunucularını dışarıdan gelebilecek saldırılara karşı korumak için çeşitli adımlar atabilirler. Örneğin, bir güvenlik duvarı uygulamak en temel güvenlik önlemlerinden biridir: bunlar bir web sunucusuna giren ve çıkan tüm trafiği kontrol eder, tehlikeli veya şüpheli olabilecek trafiği tanımlar ve ardından engeller. Peki başka ne yapabilirsiniz?
Bu kılavuzda web sunucunuzun güvenliğini sağlamanın faydalı yollarını, en iyi açık kaynak araçlarını ve daha fazlasını keşfedeceğiz. Ama önce, web sunucusu güvenliğinin neden bu kadar önemli olduğunu tartışarak başlayalım.
- Web Sunucusu Güvenliği Neden Önemlidir ?
- Yaygın Web Sunucusu Zayıflıkları
- DoS Saldırıları
- XSS Saldırıları
- SQL Enjeksiyonları
- Web Sunucunuzu Nasıl Güvende Tutabilirsiniz ?
- Gereksiz Hizmetleri Ortadan Kaldırın
- Uzaktan Hizmet Kontrolü
- Geliştirme ve Üretim Ortamlarını Ayırt Etme
- Web Uygulaması Verilerini İzole Edin
- İzinleri ve Ayrıcalıkları Yönetme
- Güvenlik Yamalarını Yükleyin
- Sunucu Günlüklerini İzleme ve Denetleme
- Güvenli Kullanıcı Hesapları
- Kullanılmayan Modülleri ve Uzantıları Kaldırın
- Sağlanan Güvenlik Araçlarını Kullanın
- Açık Kaynak Web Sunucusu Güvenlik Çözümleri
- Nmap
- Snort
- Metasploit
- Sqlmap
- OpenVAS
- Plesk için Web Sunucusu Güvenlik Araçları
- Sentinel Anti-malwareKernelcare
- BitNinja
- Atomic Güvenli Linux
- .(D)Dos Deflate Arayüzü
Web Sunucusu Güvenliğinin Öneminin Nedeni
Bir web sitesine sahip olmanın en önemli parçalarından biri, özellikle bir web sunucusu işletirken etkili bir güvenlik sağlamaktır. Bir web sunucusu korumasız olduğunda, kolayca bir saldırının hedefi haline gelebilir ve bilgisayar korsanları kısa sürede hassas verileri çalabilir.
Web sunucuları, web sayfalarının (ve diğer çevrimiçi içerik biçimlerinin) depolanması, işlenmesi ve sunulması dahil olmak üzere çok sayıda görevden sorumludur. Ayrıca, web sunucuları farklı formatlarda çeşitli verilerin barındırılması ve sunulması için gereklidir. Örneğin, video dosyaları, çalıştırılabilir programlar ve ses dosyaları.
Bunu akılda tutarak, bir web sunucusu, üzerindeki tüm bilgilerin güvende kalmasını sağlamak için yetkisiz kullanıcılara karşı korunmalıdır. Bu, herhangi birinin sunucudaki verilere erişmesi, bunları değiştirmesi, ifşa etmesi ve hatta yok etmesi riskini azaltır.
En Yaygın Web Sunucusu Zayıflıkları Nelerdir?
Web sunucuları her gün gezindiğiniz web içeriğini sunar ve mümkün olduğunca sağlam, verimli ve güvenli olacak şekilde tasarlanmıştır. Ancak yine de kendilerinin (ve kullanıcılarının) güvenliğini etkileyen bir dizi güvenlik açığına sahiptirler.
Yaygın zayıflıklar arasında komut enjeksiyonu, siteler arası komut dosyası oluşturma (XSS) ve SQL enjeksiyonu yer alır. Bunlardan bazılarından yararlanmak kolay olsa da, diğerlerinden yararlanmak biraz daha fazla çalışma ve ayrıntı gerektirir. Aşağıda, bu güvenlik tehditlerine ve neden bu kadar tehlikeli olduklarına daha yakından bakacağız.
DoS Saldırıları
Birisi bir hizmet reddi (DoS) saldırısı başlattığında, kullanıcıların hedeflenen web sunucusuna veya ağ kaynağına normalde olduğu gibi erişmesini engellemeye çalışır.
Bunlar belirli bir web sunucusuna veya kaynağına odaklanır: saldırgan, gerçek kullanıcılar tarafından kullanılamaz hale gelene kadar hedefi yüksek düzeyde trafikle doldurur. Bu durum özellikle online perakende siteleri için zarar verici olabilir, zira bu siteler işlem yapamaz hale gelecektir.
Saldırganlar virüsler, botlar ya da hedefin CPU veya ağ kapasitesini tüketen diğer araçları kullanarak DoS saldırıları başlatırlar. Ayrıca virüs veya diğer zararlı yazılımların bulaştığı bilgisayarlar veya ağlarla da saldırı başlatabilirler.
Siteler Arası Komut Dosyası Saldırıları
Siteler arası komut dosyası oluşturma (XSS) saldırıları sırasında, failler kullanıcının web tarayıcısı tarafından çalıştırılan kodu enjekte eder. Sorumlu kod genellikle kullanıcının çerezleri web sunucusuna gönderildiğinde ele geçirilir.
Failler, XSS saldırılarını bir kullanıcı adına eylemler gerçekleştirmek için kullanma eğilimindedir, bu da kullanıcının mevcut oturumuna erişmelerine olanak tanır.
SQL Enjeksiyon Saldırıları
SQL enjeksiyonu, bir veritabanını geçersiz kılabilen bir saldırı biçimidir. Saldırgan, veri odaklı bir uygulama veya web sitesindeki bilgi giriş alanlarına kötü amaçlı kod girecektir.
Kod bir web sitesinin veya uygulamanın veritabanına enjekte edildiğinde, saldırgan normalde erişemeyeceği verilere erişebilir. Bu bilgileri görüntüleyebilir ve kurcalayabilirler, bu da hassas verileri manipüle etmelerine ve ifşa etmelerine olanak sağlayabilir.
Web Sunucunuzu Nasıl Güvende Tutabilirsiniz?
Birbirine bağlı dünyamızda, her büyüklükteki şirket güvende kalmak için web sunucusu güvenliğini ciddiye almalıdır. Siber suçluların seçebilecekleri çok çeşitli teknikler vardır, bu nedenle web sunucunuzu güvence altına almak için gerekli önlemleri uygulamanız hayati önem taşır.
Saldırganlar herhangi bir işletmeye büyük zarar verebilir, ancak kapsamlı güvenlik onların işini çok daha zor hale getirebilir. İşte web sunucunuzu güvende tutmak için üç basit adım.
Gereksiz Hizmetleri Ortadan Kaldırın
Standart işletim sistemi kurulumları güvenli değildir, genellikle uzak kayıt defteri veya yazdırma sunucusu hizmetleri gibi kullanılmayan ağ hizmetlerini içerir. Bu hizmetler ek bağlantı noktaları açarak kötü niyetli saldırılara karşı savunmasızlığı artırır. Bu hizmetleri devre dışı bırakarak yeniden başlatma sonrasında otomatik olarak başlamalarını engelleyin, sunucu performansını artırın ve donanım kaynaklarını serbest bırakın.
Uzaktan Erişimi Kontrol Et
Günümüzde daha az pratik olsa da, sunucu yöneticileri ideal olarak web sunucularına doğrudan erişmelidir. Uzaktan erişim gerekliyse, tünelleme ve şifreleme ile güvenli hale getirin, güvenlik belirteçleri ve çoklu oturum açma araçları kullanın, belirli IP’lere ve hesaplara erişimi sınırlayın ve uzak sunucu erişimi için herkese açık bilgisayarları veya ağları kullanmaktan kaçının.
Geliştirme ve Üretim Ortamlarını Ayırt Etme
Geliştiriciler genellikle daha hızlı uygulama geliştirmek için üretim sunucularını kullanır ve bu da /test/ veya /new/ gibi dizinlerde tamamlanmamış sürümlerin veya içeriğin herkese açık olmasına neden olur. Çeşitli güvenlik açıkları ve zayıf istisna işleme özelliklerine sahip bu erken aşama uygulamalar istismara açıktır. Geliştirme ve test işlemleri, canlı verilerden ve veritabanlarından ayrılmış, izole sunucularda gerçekleştirilmelidir.
Web Uygulaması Verilerini İzole Edin
eb uygulamaları ve komut dosyaları işletim sisteminden ve diğer sistem dosyalarından ayrı bir bölümde veya sürücüde bulunmalıdır. Web kök dizinine erişen bilgisayar korsanları güvenlik açıklarından faydalanabilir ve sistem dosyaları da dahil olmak üzere tüm diske erişim sağlayarak komutları çalıştırabilir ve sunucuyu kontrol edebilirler.
İzinleri ve Ayrıcalıkları Yönetme
Dosyalara ve ağ hizmetlerine izinlerin uygun şekilde atanması güvenlik için çok önemlidir. Bir ağ hizmetinin tehlikeye girmesi durumunda, ayrıcalıkların sınırlandırılması daha fazla istismarı önleyebilir. Ağ hizmetleri için gerekli minimum erişimi ve web uygulamaları ve veritabanları için anonim kullanıcıları sağlayın.
Güvenlik Yamalarını Yükleyin
Tam yamalı yazılımlar tam güvenliği garanti etmez, ancak işletim sistemini ve yazılımı en son yamalarla düzenli olarak güncellemek hayati önem taşır. Birçok bilgisayar korsanlığı olayı yamalanmamış sunucuların istismar edilmesinden kaynaklanmaktadır.
Sunucu Günlüklerini İzleme ve Denetleme
Web sunucusu günlüklerini ayrı bir alanda tutun ve ağ hizmetleri, web sitesi erişimi, veritabanı sunucusu ve işletim sistemi günlükleri dahil olmak üzere bunları düzenli olarak kontrol edin. Olası güvenlik sorunlarını ele almak için olağandışı günlük girdilerini derhal araştırın.
Güvenli Kullanıcı Hesapları
İşletim sistemi kurulumları sırasında oluşturulan kullanılmayan varsayılan hesapları devre dışı bırakın. Yazılım yüklemeleri tarafından eklenen hesapları kontrol edin, izinleri gerektiği gibi ayarlayın, yerleşik yönetici hesaplarını yeniden adlandırın ve her yöneticinin kimlik bilgilerini paylaşmadan benzersiz bir hesaba sahip olmasını sağlayın.
Kullanılmayan Modülleri ve Uzantıları Kaldırın
Gereksiz Apache modüllerini devre dışı bırakın ve IIS ‘yi HTTP fiil kullanımlarını kısıtlayarak temel uygulama uzantılarıyla sınırlayın. Bu adım, bu modüllere yönelik hedefli saldırı risklerini azaltır.
Sağlanan Güvenlik Araçlarını Kullanın
IIS için URL taraması ve Apache için mod_security gibi güvenlik araçlarını kullanın. Kurulum karmaşık ve zaman alıcı olsa da, özellikle özel uygulamalarda, bu araçlar önemli güvenlik geliştirmeleri sağlar.
Web Sunucuları için En İyi Açık Kaynak Güvenlik Çözümleri
Web sunucunuzu korumak için çok çeşitli açık kaynak güvenlik araçları arasından seçim yapabilirsiniz. Bunlar sizi yaygın tehditlere karşı korumaya yardımcı olabilir ve kullanıcılara daha güvenli bir deneyim sağlayabilir.
İşte web sunucuları için mevcut en iyi açık kaynak güvenlik araçları.
Nmap
Nmap (Network Mapper), güvenlik denetimleri, ağları ve ana bilgisayarları keşfetmek ve ağları keşfetmek için açık kaynaklı bir çözümdür. Nmap’i ağları daha büyük ölçekte taramak için kullanabilirsiniz, ancak tek ana bilgisayarlar için de uygundur.
Snort
Snort, ağa izinsiz girişleri önlemek ve potansiyel tehditleri belirlemek için tasarlanmıştır. Ağ trafiğindeki olası sorunların işaretlerini belirlemek için hem protokol analizini hem de desen eşleştirmeyi kullanarak gerçek zamanlı olarak trafik analizi yapabilir.
Metasploit
Metasploit ile web sunucunuzu korumanızı kolaylaştıracak güvenlik zayıflıkları hakkında fikir edinebilirsiniz.
Metasploit, IDS imzası geliştirme ve sızma testlerine yardımcı olur, böylece güvenlik açıkları hakkında daha fazla bilgi edinebilir ve saldırganlar tarafından istismar edilmeden önce bunları ele almak için harekete geçebilirsiniz.
Sqlmap
Sqlmap otomatik güvenlik testi için açık kaynaklı bir araçtır: saldırganların bir veritabanını ele geçirmesine izin verecek SQL enjeksiyon açıklarını otomatik olarak belirleyebilir ve kullanabilirsiniz. Bu, zayıflıkları başkaları keşfetmeden önce düzeltmenin etkili bir yolu olabilir.
OpenVAS
OpenVAS ile sorunları (XSS güvenlik açıkları gibi) tespit etmek için kapsamlı bir ağ taraması yapabilirsiniz. OpenVAS’ın kullanımı ücretsizdir ve dünyanın dört bir yanındaki şirketler güvenli bir altyapı sağlamak için onu kullanmaktadır.
Plesk için En İyi Web Sunucusu Güvenlik Araçları
Plesk tarafından yönetilen sunucuların sayısı her yıl artıyor. Halihazırda Plesk kullanıyorsanız ya da kullanmayı planlıyorsanız, en popüler Plesk uzantılarının bir kısmının sunucu güvenliğine odaklananlar olduğunu hatırlamakta fayda var. İşte sunucu tehditleriyle mücadeleye yardımcı olan en güçlülerinden bazıları.
Sentinel Anti-malware
Sentinel Anti-malware ,Linux Malware Detect ve ClamAV’ın açık kaynak ilkelerini birleştiren bir tarayıcıdır. Bu eklenti özellikle çeşitli kötü amaçlı yazılımlara karşı koruma sağlamak isteyen güçlü kullanıcılara ve hizmet sağlayıcılara hizmet eder.
Kernelcare
Bu premium uzantı (30 gün boyunca ücretsiz deneme) Linux sunucularını kritik güvenlik açıklarına karşı korur. Temel olarak güvenlik güncellemelerini çalışan çekirdeklere otomatik olarak yükleyerek. Bu sayede sunucuların yeniden başlatılmasını ve müşterileriniz için planlanmış kesinti sürelerini önler. Ayrıca kesintisiz güvenlik için çekirdeklerin yama yayınlandıktan sonraki saatler içinde güncellenmesini sağlar.
BitNinja
BitNinja uzantısı kötü niyetli saldırıların %99’unu önler. Bu da sunucu uyarılarınızı ve müşteri şikayetlerinizi aynı oranda azaltabilir. Aslında kötü niyetli port taramaları ve enfeksiyonlar da dahil olmak üzere dokuz farklı saldırı yönüne karşı koruma sağlar. Hatta beş dakika gibi kısa bir sürede kurabilir ve sunucunuzu otomatik olarak korumaya başlayabilirsiniz.
Atomic Güvenli Linux
Atomic Secured Linuz uzantısı, genellikle uzman bir güvenlik ekibiyle birlikte gelen aynı koruma düzeyini sağlar. Günümüzün en büyük siber güvenlik sorunlarını önleyebilir, tespit edebilir ve bunlara yanıt verebilir. Özellikle, ana bilgisayar ve çekirdek saldırı önleme sistemleri, kaba kuvvet koruması ve otomatik kötü amaçlı yazılım kaldırma özelliklerine sahiptir.
(D)DoS Deflate Arayüzü
(D)DoS Deflate Interface, DDoS saldırılarını otomatik olarak saptırmaya yardımcı olan hafif bir kabuk betiğidir. Komut dosyası arka planda çalışır ve bağlantıların yapılandırılmış eşiği aştığı birden çok IP’den gelen bağlantıları engeller. Ve bunun da ötesinde – Kurulumu ve kullanımı basittir.
Özet
Her türlü web sitesini işletmek için iyi bir web sunucusu gerekir. Sitenin temel dosyaları bir bilgisayarda barındırılır ve sitenize gelen kullanıcılara iletilir, bu nedenle riskleri azaltmak için etkili web sunucusu güvenliği sağlamak çok önemlidir. Aksi takdirde saldırganlar sitenizi hedef alabilir, hassas verilere erişebilir ve faaliyetlerinizi sekteye uğratabilir.
Web sunucusu güvenliğine ilişkin bu kılavuzun bazı riskleri ve güvende kalmanın en iyi yollarını anlamanıza yardımcı olduğunu umuyoruz.