Sunucu Sertleştirme: Linux & Windows Güvenlik Kılavuzu 2026

Sunucu Sertleştirme Nedir ve Neden Kritiktir?

Modern işletim sistemleri kurulum sonrası kullanım kolaylığı odaklıdır; varsayılan kullanıcı hesapları, açık servisler ve gevşek güvenlik duvarı kuralları saldırganlara geniş bir hareket alanı sunar. Müşterilerimizde en sık karşılaştığımız sorunlar arasında SSH'ta parola tabanlı root girişi, güncel olmayan kernel ve yama yönetimi eksikliği öne çıkıyor. 2026'da fidye yazılımı operatörleri otomatik taramalarla bu tür zayıf yapılandırmalı sunucuları birkaç saat içinde tespit edip sömürebiliyor.

Sertleştirme, basit bir kontrol listesi uygulamasından çok daha derindir. Siber güvenlik danışmanlığı kapsamında CIS Benchmark, NIST ve STİG gibi standartları kılavuz alırız; ancak her kuruluşun iş yükü ve risk profili farklıdır. Örneğin bir e-ticaret platformunun web sunucusu ile bankanın veritabanı sunucusunun sertleştirme öncelikleri örtüşmez.

Linux Sunucu Sertleştirme: Temel Bileşenler

Linux dağıtımları (Ubuntu, CentOS/RHEL, Debian) için sertleştirme yaklaşımımız üç katmanda ilerler: ağ, kimlik doğrulama ve dosya sistemi. İlk olarak SSH yapılandırmasında (sshd_config) PasswordAuthentication no, PermitRootLogin no ve AllowUsers direktifleri ile sadece anahtar tabanlı girişe ve yetkili kullanıcılara izin veririz. Port değişikliği (varsayılan 22 yerine yüksek port) otomatik taramaları yavaşlatır ama tek başına yeterli değil.

İkinci adımda, firewall (ufw/iptables) kuralları ile yalnızca gerekli portları (HTTP/HTTPS, SSH) açık tutarız. Fail2ban gibi araçlar brute-force denemelerini IP bazında engelleyerek saldırı yükünü düşürür. Deneyimlerimizde küçük bir fail2ban ayarı bile günlük saldırı sayısını %80 azaltabilir. Üçüncü katmanda, dosya sistemi bütünlüğünü AIDE (Advanced Intrusion Detection Environment) ile izleriz; kritik sistem dosyalarında beklenmeyen değişiklikler anında alarm üretir.

Ek olarak, otomatik yama yönetimi (unattended-upgrades) ve minimal paket kümesi (gereksiz derleyici, geliştirme kütüphanelerinin kaldırılması) saldırı vektörlerini daraltır. Müşterilerimizde web sunucularında GCC, make gibi araçların olduğunu görüyoruz; saldırgan shell aldığında bu araçlarla exploit derleyip yayılabiliyor.

Windows Server Sertleştirme ve GPO Yapılandırması

Windows Server ortamlarında Group Policy Object (GPO) merkezi sertleştirmenin temelidir. Domain Controller'da oluşturduğumuz GPO'lar ile parola karmaşıklığı (en az 12 karakter, büyük/küçük/rakam/özel karakter), hesap kilitleme eşikleri (5 başarısız deneme sonrası 30 dakika kilitleme) ve oturum zaman aşımlarını tüm sunuculara uygularız. Microsoft Security Compliance Toolkit (SCT) ve CIS Windows Server Benchmark şablonları sıfırdan başlamak yerine kanıtlanmış politika setleri sağlar.

Windows Defender ve Windows Firewall varsayılan olsa da yapılandırılmazsa etkisizdirler. Giden bağlantıları da kısıtlayarak C2 (Command & Control) iletişimini engelleriz. PowerShell loglamasını (Script Block Logging, Transcription) etkinleştirmek, saldırgan PowerShell betiği çalıştırdığında tespiti kolaylaştırır. Ayrıca RDP portunu (3389) değiştirip Network Level Authentication (NLA) zorunlu kılmak, brute-force riskini düşürür.

Son olarak, gereksiz Windows özellikleri (features) kaldırılmalı: Telnet Client, TFTP Client, Simple TCPIP Services gibi bileşenler saldırganlar için pivot noktası olabilir. Sızma testleri sırasında bu servislerin açık olduğu sunucularda lateral movement çok daha kolay gerçekleşir.

CIS Benchmark ve Otomasyon Araçları

CIS (Center for Internet Security) Benchmark, endüstri standardı sertleştirme kılavuzlarıdır. Linux, Windows, veritabanları, bulut platformları için yüzlerce kontrol maddesi içerir ve iki seviye sunar: Level 1 (temel güvenlik, performans etkisi minimal) ve Level 2 (yüksek güvenlik, bazı fonksiyonlar kısıtlanabilir). Kurumsal ortamlarda Level 1'i tüm sunuculara, kritik sistemlere Level 2'yi uygularız.

Manuel kontrol listesi takibi hem zaman alır hem de hata payı yüksektir. Otomasyon araçları (Ansible, Chef, Puppet) sertleştirme adımlarını kod halinde (Infrastructure as Code) yönetir. Örneğin bir Ansible playbook'u SSH yapılandırmasını değiştirir, fail2ban kurar, kernel parametrelerini ayarlar ve her deploy sonrası CIS uyumunu doğrular. Müşterilerimizde yeni sunucu provizyon süresini 2 günden 2 saate düşürdük.

Ayrıca OpenSCAP (Linux) ve Microsoft Policy Analyzer (Windows) gibi araçlar mevcut sistemleri CIS/STİG standartlarına göre tarar ve uyumsuzlukları raporlar. Aylık otomatik taramalar yapılandırma sürüklenmesini (configuration drift) tespit eder; bir yönetici yanlışlıkla SSH'a parola girişini açtığında sonraki tarama bunu alarm olarak bildirir.

Linux ve Windows Sertleştirme Karşılaştırması

Her iki platform da sıkı sertleştirmeye izin verir; seçim genellikle uygulama stack'i ve mevcut ekip uzmanlığına bağlıdır. Hibrit ortamlarda (Linux web + Windows AD) merkezi log yönetimi ve SIEM entegrasyonu kritiktir.

Sürdürülebilir Sertleştirme ve Yaygın Hatalar

Sertleştirme tek seferlik proje değil, sürekli bir döngüdür. Yeni sunucu eklendiğinde ya da yazılım güncellemesi yapıldığında yapılandırma sürüklenmesi riski doğar. GitOps yaklaşımıyla tüm sertleştirme betikleri Git'te versiyonlanır; her değişiklik code review geçer ve otomatik testlerden sonra üretime alınır. Böylece "kimin ne zaman hangi ayarı değiştirdiği" şeffaf olur.

Müşterilerimizde sık gördüğümüz hatalar: (1) Sertleştirme sonrası fonksiyonel test yapılmaması—kritik bir servis kapanmış olabilir; (2) Logların merkezi bir SIEM'e gönderilmemesi—yerel loglar saldırgan tarafından silinebilir; (3) Yedekleme süreçlerinin güncellenmemesi—sertleştirme sonrası sistem geri yükleme başarısız olabilir. Her sertleştirme adımını staging ortamında test edin, ardından üretime alın.

Son olarak, düzenli penetrasyon testleri ve yapılandırma denetimleri planlanmalı. Altı ayda bir harici bir ekip sunucularınızı test etmeli; sertleştirmenin etkinliğini doğrulamak ve yeni vektörlere karşı önlem almak için bu geri bildirimler paha biçilmezdir.

2026 ve Sonrası: Konteyner ve Bulut Sertleştirme

Konteyner (Docker, Kubernetes) ve bulut (AWS, Azure, GCP) tabanlı altyapılar geleneksel sunucu sertleştirme prensiplerini yeniden şekillendiriyor. Konteyner sertleştirme, minimal base imajlar (Alpine, Distroless), root olmayan kullanıcı, read-only dosya sistemleri ve runtime güvenlik araçları (Falco, Aqua Security) ile sağlanır. Kubernetes ortamında Pod Security Standards, Network Policy ve RBAC yapılandırmaları kritiktir.

Bulut platformlarında IaaS (EC2, VM) sunucuları klasik sertleştirme yöntemleriyle korunurken, PaaS ve serverless fonksiyonlar için güvenlik modeli farklıdır. AWS Systems Manager, Azure Policy ve Google Cloud Security Command Center gibi native araçlar yapılandırma uyumunu otomatik kontrol eder. Ancak temel prensip değişmez: en az yetki, güncel yamalar, güçlü kimlik doğrulama ve sürekli izleme. Bulut güvenlik danışmanlığı hizmetimizde hibrit ve multi-cloud ortamları CIS ve CSA kılavuzlarıyla sertleştiriyoruz.

Önümüzdeki yıllarda sıfır güven mimarisi (Zero Trust) sunucu sertleştirme stratejilerini tamamlayacak; her bağlantı (kullanıcı, servis) doğrulanacak ve mikro-segmentasyon ile yanal hareket zorlaşacak. Bu yaklaşım sertleştirmenin etkisini katlayarak ihlal senaryolarında saldırganın erişim alanını daraltır.

Sıkça Sorulan Sorular (SSS)

Sonuç: Sertleştirme Savunmanın Temelidir

Sunucu sertleştirme, siber güvenlik stratejinizin en kritik yapı taşlarından biridir. Varsayılan yapılandırmalar saldırganlara geniş bir saldırı yüzeyi sunarken, disiplinli bir sertleştirme süreci bu kapıları kapayarak ihlal riskini dramatik şekilde azaltır. Linux ve Windows platformlarında CIS Benchmark gibi standartları takip etmek, otomasyon araçlarıyla tutarlılık sağlamak ve sürekli izleme döngüsü kurmak başarının anahtarıdır. Deneyimlerimizde sertleştirme yapılmış sunucularda saldırı başarı oranı %90'ın üzerinde düşüyor; bu yatırım hem mali hem de itibar kaybını önler. Kuruluşunuzun sunucu altyapısını gözden geçirmek, kapsamlı bir sertleştirme planı oluşturmak ya da mevcut yapılandırmanızı denetletmek için danışmanlık ekibimizle iletişime geçebilirsiniz.