> Windows Sistem İzleme ve Bakım
Bizi Takip Edin

Her Linux Sunucumda Uyguladığım 7 CIS Güvenlik Uygulaması

Yazar: onder Yorum Yok

Linux sunucu güvenliği konusunda 15+ yıllık deneyimim boyunca öğrendiğim en önemli şey şu: Varsayılan konfigürasyonlar hiçbir zaman yeterli değildir. Her yeni Linux sunucu kurduğumda, sistemi üretime almadan önce mutlaka uyguladığım 7 temel CIS (Center for Internet Security) güvenlik pratiği var. Bu yazıda, bu uygulamaları neden kritik bulduğumu ve nasıl hayata geçirdiğimi anlatacağım.

CIS Benchmarks Nedir ve Neden Önemlidir?

CIS Benchmarks, dünyanın dört bir yanından siber güvenlik uzmanlarının consensus esaslı katkılarıyla geliştirilmiş, kapsamlı güvenlik konfigürasyon rehberleridir. CIS standardlarının bilinen güvenlik açıklarının %80-95’ini eliminate ettiği kanıtlanmıştır.

CIS Benchmarks’in Temel Prensipleri:

  • Consensus-driven: Uzmanların ortaklaşa görüşüyle geliştirilir
  • Vendor-neutral: Belirli bir üreticiye bağlı değildir
  • Level 1 ve Level 2: Temel ve ileri seviye güvenlik konfigürasyonları
  • Scored ve Not Scored: Zorunlu ve opsiyonel kontroller

1. SSH Sertleştirme: İlk Savunma Hattı

SSH, Linux sunuculara erişimin temel yöntemi olduğu için sertleştirme sürecimin en kritik parçasıdır.

Temel SSH Yapılandırması

# SSH konfigürasyon dosyasını düzenle
sudo nano /etc/ssh/sshd_config

# Kritik ayarlar:
Protocol 2                           # Sadece SSH v2 kullan
PermitRootLogin no                   # Root kullanıcısının SSH erişimini engelle
PasswordAuthentication no            # Parola tabanlı girişi devre dışı bırak
PubkeyAuthentication yes             # Public key authentication aktif et
Port 2222                           # Varsayılan port değiştir
MaxAuthTries 3                      # Maksimum deneme sayısını sınırla
MaxSessions 4                       # Eşzamanlı oturum sayısını sınırla
LoginGraceTime 30                   # Giriş süresi sınırı
AllowUsers your_username            # Sadece belirli kullanıcılara izin ver
ClientAliveInterval 300             # İnaktif bağlantıları sonlandır
ClientAliveCountMax 2               # Maksimum hayatta kalma kontrolü
HostBasedAuthentication no          # Host tabanlı kimlik doğrulamayı devre dışı bırak
IgnoreRhosts yes                    # .rhosts dosyalarını yoksay

Güçlü SSH Key Oluşturma

# RSA 4096 bit key oluştur
ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

# ED25519 (önerilen - daha güvenli ve hızlı)
ssh-keygen -t ed25519 -C "your_email@example.com"

# SSH directory güvenliğini sağla
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_rsa
chmod 644 ~/.ssh/id_rsa.pub

SSH Monitoring ve Fail2Ban

# Fail2Ban kurulumu
sudo apt install fail2ban -y

# SSH için jail konfigürasyonu
sudo nano /etc/fail2ban/jail.local

[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

2. Firewall Konfigürasyonu: Ağ Trafiği Kontrolü

CIS Controls, host-based firewall ile varsayılan-reddet kuralının uygulanmasını önermektedir.

UFW (Uncomplicated Firewall) Kurulumu

# UFW'yi aktif et
sudo ufw enable

# Varsayılan politikaları ayarla
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Gerekli portları aç
sudo ufw allow 2222/tcp                    # SSH (özel port)
sudo ufw allow 80/tcp                      # HTTP
sudo ufw allow 443/tcp                     # HTTPS

# Belirli IP'den SSH erişimi (opsiyonel)
sudo ufw allow from 192.168.1.100 to any port 2222

# Rate limiting ile SSH brute force koruması
sudo ufw limit 2222/tcp

# UFW durumunu kontrol et
sudo ufw status verbose

İleri Seviye iptables Kuralları

# Temel iptables konfigürasyonu
#!/bin/bash

# Mevcut kuralları temizle
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

# Varsayılan politikalar
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Loopback trafiğine izin ver
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Established ve related bağlantılara izin ver
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SSH erişimi (rate limiting ile)
iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP
iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# Web servisleri
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# ICMP (ping) sınırlı izin
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# Kuralları kaydet
iptables-save > /etc/iptables/rules.v4

3. Kullanıcı Hesap Yönetimi: Least Privilege Prensibi

Güçlü Parola Politikası

# PAM konfigürasyonu ile parola karmaşıklığı
sudo nano /etc/pam.d/common-password

# Şu satırı ekle:
password requisite pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1

# Parola geçmişi kontrolü
sudo nano /etc/pam.d/common-password
# Şu satırı ekle:
password required pam_pwhistory.so remember=5

# Hesap kilitleme politikası
sudo nano /etc/pam.d/common-auth
# Şu satırı ekle:
auth required pam_tally2.so deny=3 unlock_time=600 onerr=fail audit even_deny_root

Sudo Konfigürasyonu

# Sudo konfigürasyonunu düzenle
sudo visudo

# Kullanıcı için sudo izinleri
your_username ALL=(ALL:ALL) ALL

# Parola timeout ayarı
Defaults passwd_timeout=5

# Sudo session timeout
Defaults timestamp_timeout=15

# Sudo kullanımını logla
Defaults logfile="/var/log/sudo.log"
Defaults log_input,log_output

Gereksiz Kullanıcı Hesaplarını Temizleme

# Sistem kullanıcılarını kontrol et
cat /etc/passwd | grep -v "/usr/sbin/nologin\|/bin/false" | cut -d: -f1

# Gereksiz hesapları devre dışı bırak
sudo usermod -L username        # Hesabı kilitle
sudo usermod -s /bin/false username  # Shell erişimini engelle

# Son giriş tarihlerini kontrol et
sudo lastlog | grep -v "Never"

# Pasif hesapları tespit et
sudo last | head -20

4. Sistem Güncellemeleri ve Yamaları

Otomatik Güvenlik Güncellemeleri

# Unattended upgrades kurulumu
sudo apt install unattended-upgrades apt-listchanges -y

# Konfigürasyon
sudo dpkg-reconfigure -plow unattended-upgrades

# Manuel konfigürasyon
sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

# İçerik:
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Unattended-Upgrade::MinimalSteps "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "false";

# E-posta bildirimlerini aktif et
Unattended-Upgrade::Mail "admin@yourdomain.com";

Manuel Güncelleme Rutini

#!/bin/bash
# update_system.sh

echo "Sistem güncelleme başlıyor..."

# Paket listesini güncelle
apt update

# Güncellenebilir paketleri listele
apt list --upgradable

# Güvenlik güncellemelerini uygula
apt upgrade -y

# Sistem temizleme
apt autoremove -y
apt autoclean

# Kernel güncellemesi kontrolü
if [ -f /var/run/reboot-required ]; then
    echo "Sistem yeniden başlatma gerekiyor!"
    echo "Yeniden başlatma için: sudo reboot"
fi

echo "Güncelleme tamamlandı: $(date)"

5. Logging ve Monitoring: Güvenlik Olaylarını Yakalama

Rsyslog Konfigürasyonu

# Rsyslog konfigürasyonu
sudo nano /etc/rsyslog.conf

# Uzak log gönderimi için (opsiyonel)
*.* @@logserver.yourdomain.com:514

# Lokal log rotasyonu
sudo nano /etc/logrotate.d/rsyslog

/var/log/syslog {
    daily
    missingok
    rotate 52
    compress
    delaycompress
    notifempty
    create 0640 syslog adm
    postrotate
        /usr/lib/rsyslog/rsyslog-rotate
    endscript
}

Auditd Kurulumu ve Konfigürasyonu

# Auditd kurulumu
sudo apt install auditd audispd-plugins -y

# Auditd kuralları
sudo nano /etc/audit/rules.d/audit.rules

# Kritik dosya değişikliklerini izle
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes
-w /etc/group -p wa -k group_changes
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/ssh/sshd_config -p wa -k ssh_config_changes

# Sistem çağrılarını izle
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change
-a always,exit -F arch=b32 -S adjtimex -S settimeofday -S stime -k time_change

# Network konfigürasyon değişikliklerini izle
-w /etc/issue -p wa -k system_locale
-w /etc/issue.net -p wa -k system_locale
-w /etc/hosts -p wa -k system_locale
-w /etc/network/ -p wa -k system_locale

# Auditd'yi yeniden başlat
sudo systemctl restart auditd
sudo systemctl enable auditd

Log Analizi Araçları

# Logwatch kurulumu
sudo apt install logwatch -y

# Günlük rapor konfigürasyonu
sudo nano /etc/logwatch/conf/logwatch.conf

Detail = High
MailTo = admin@yourdomain.com
MailFrom = logwatch@yourdomain.com
Format = html
Range = today

# Manuel logwatch raporu
sudo logwatch --detail high --mailto admin@yourdomain.com --format html --range today

6. Servis Sertleştirme: Saldırı Yüzeyini Minimize Etme

Gereksiz Servislerin Tespiti ve Devre Dışı Bırakılması

# Çalışan servisleri listele
systemctl list-units --type=service --state=running

# Açık portları kontrol et
sudo netstat -tulpn
sudo ss -tulpn

# Gereksiz servisleri devre dışı bırak
sudo systemctl disable telnet
sudo systemctl disable ftp
sudo systemctl disable rsh
sudo systemctl disable rlogin
sudo systemctl disable tftp
sudo systemctl disable xinetd
sudo systemctl disable sendmail    # Eğer mail server değilse

# Servis durumlarını kontrol et
sudo systemctl is-enabled service_name
sudo systemctl is-active service_name

Web Server Sertleştirme (Apache/Nginx)

Apache Sertleştirme

# Apache güvenlik modülü
sudo a2enmod security2
sudo a2enmod headers
sudo a2enmod ssl

# Güvenlik konfigürasyonu
sudo nano /etc/apache2/conf-available/security.conf

# İçerik:
ServerTokens Prod
ServerSignature Off
TraceEnable Off

# Güvenlik başlıkları
Header always set X-Content-Type-Options nosniff
Header always set X-Frame-Options DENY
Header always set X-XSS-Protection "1; mode=block"
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
Header always set Content-Security-Policy "default-src 'self'"

# Konfigürasyonu aktif et
sudo a2enconf security
sudo systemctl restart apache2

Nginx Sertleştirme

# Nginx güvenlik konfigürasyonu
sudo nano /etc/nginx/nginx.conf

# İçerik:
server_tokens off;

# SSL konfigürasyonu
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;

# Rate limiting
limit_req_zone $binary_remote_addr zone=login:10m rate=10r/m;

# Güvenlik başlıkları
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'" always;

7. Dosya Sistemi Güvenliği ve İzinler

Kritik Dosya İzinlerinin Ayarlanması

# Sistem dosya izinlerini kontrol et ve düzelt
sudo chmod 644 /etc/passwd
sudo chmod 600 /etc/shadow
sudo chmod 644 /etc/group
sudo chmod 600 /etc/gshadow
sudo chmod 600 /etc/ssh/sshd_config
sudo chmod 755 /etc/ssh

# World-writable dosyaları bul ve düzelt
find / -type f -perm -002 -exec ls -la {} \; 2>/dev/null
find / -type d -perm -002 -exec ls -ld {} \; 2>/dev/null

# SUID/SGID dosyalarını kontrol et
find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -la {} \; 2>/dev/null

# Sahibi olmayan dosyaları bul
find / -nouser -o -nogroup 2>/dev/null

Disk Şifreleme ve Mount Güvenliği

# Fstab güvenlik ayarları
sudo nano /etc/fstab

# Örnek güvenli mount opsisonları:
/dev/sda1 /tmp ext4 defaults,nodev,nosuid,noexec 0 2
tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0

# Dosya sistemi bütünlük kontrolü (AIDE)
sudo apt install aide -y

# AIDE veritabanını başlat
sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# Günlük bütünlük kontrolü için cron job
echo "0 5 * * * root /usr/bin/aide --check | mail -s 'AIDE Integrity Check' admin@yourdomain.com" >> /etc/crontab

Otomatik CIS Compliance Kontrolleri

CIS-CAT Lite ile Automated Assessment

#!/bin/bash
# cis_assessment.sh

# CIS-CAT Lite indir (ücretsiz versiyon)
wget https://learn.cisecurity.org/cis-cat-lite

# Unzip ve çalıştır
unzip cis-cat-lite.zip
cd CIS-CAT-Lite/

# Ubuntu 20.04 için assessment çalıştır
./CIS-CAT.sh -i -a -x -r /opt/cis-reports/

# Raporu analiz et
echo "CIS Assessment tamamlandı. Rapor: /opt/cis-reports/"

Lynis ile Security Auditing

# Lynis kurulumu
sudo apt install lynis -y

# Tam güvenlik denetimi
sudo lynis audit system

# Raporu incele
sudo lynis show report

# Öneriler için:
sudo lynis show suggestions

Sürekli İyileştirme ve Monitoring

Haftalık Güvenlik Kontrolü Scripti

#!/bin/bash
# weekly_security_check.sh

echo "=== Haftalık Güvenlik Kontrolü ==="
echo "Tarih: $(date)"

# 1. Sistem güncellemelerini kontrol et
echo "--- Mevcut Güncellemeler ---"
apt list --upgradable

# 2. Son giriş yapan kullanıcıları kontrol et
echo "--- Son Kullanıcı Girişleri ---"
last | head -10

# 3. Başarısız SSH girişlerini kontrol et
echo "--- Başarısız SSH Girişleri ---"
grep "Failed password" /var/log/auth.log | tail -10

# 4. Açık portları kontrol et
echo "--- Açık Portlar ---"
ss -tulpn

# 5. Disk kullanımını kontrol et
echo "--- Disk Kullanımı ---"
df -h

# 6. Yüksek CPU/Memory kullanımını kontrol et
echo "--- Sistem Kaynakları ---"
top -bn1 | head -20

# 7. Fail2Ban durumunu kontrol et
echo "--- Fail2Ban Durumu ---"
fail2ban-client status

echo "=== Kontrol Tamamlandı ==="

Sonuç ve Tavsiyeler

Bu 7 CIS güvenlik pratiği, Linux sunucularınızın güvenlik seviyesini önemli ölçüde artıracaktır. Ancak güvenlik bir hedef değil, sürekli bir süreçtir.

Hatırlanması Gerekenler:

  1. Test Ortamında Deneyin: Üretim sunucularında değişiklik yapmadan önce mutlaka test edin
  2. Dokümante Edin: Her değişikliği kayıt altına alın
  3. Düzenli Kontrol: Güvenlik ayarlarını düzenli olarak gözden geçirin
  4. Güncel Kalın: CIS Benchmarks düzenli güncellenir, takip edin
  5. Yedekleme: Kritik değişiklikler öncesi sistem yedeği alın

Sonraki Adımlar:

  • IDS/IPS sistemi kurulumu
  • WAF (Web Application Firewall) implementasyonu
  • Vulnerability scanning otomasyonu
  • SIEM entegrasyonu
  • Incident response planı geliştirme

Linux güvenliği karmaşık görünse de, bu temel CIS pratiklerini sistematik olarak uygulayarak sunucularınızı siber tehditlere karşı önemli ölçüde koruyabilirsiniz. Güvenlik katmanları prensibi gereği, hiçbir tek önlem %100 koruma sağlamaz, ancak bu 7 uygulamanın kombinasyonu saldırganlar için yeterince yüksek bir engel oluşturacaktır.

Her sunucu kurulumunda bu listeyi kontrol ederek, güvenli bir temel üzerine inşa etmeye devam edin. Unutmayın: En iyi savunma, proaktif önlemlerdir.

Yorum Yazın