Linux Sunucu Kurulumu: İlk Bir Saatte Yapılması Gerekenler

Linux sunucu kurulumu tamamlandığı anda iş bitmez; asıl kritik saat o andan sonra başlar. Yeni kurulan bir sunucu, internete açıldığı ilk dakikalardan itibaren otomatik taramaların hedefi olur. Bu taramalar kişisel değildir; tüm adres bloklarını sürekli deneyen botlardır. Bu yüzden uygulama kurulmadan önce yapılması gereken bir sertleştirme rutini vardır. Aşağıdaki adımlar yaklaşık bir saat sürer ve ileride yaşanacak sorunların büyük bölümünü baştan keser.

1. Güncelleme ve temel ayarlar

İlk iş paket listesini güncellemek ve mevcut güvenlik yamalarını uygulamaktır. Ardından saat dilimi ayarlanmalı ve zaman senkronizasyonu doğrulanmalıdır. Yanlış saat, kayıt dosyalarını okunamaz hâle getirir; sertifika doğrulamalarında ve zaman damgalı işlemlerde de sorun çıkarır.

Sunucuya anlamlı bir ad verin. Beş sunucunuz olduğunda hepsinin adının varsayılan olması, yanlış makinede komut çalıştırmanın en kısa yoludur.

2. Kullanıcı yönetimi

Root ile günlük çalışmak iki nedenle sakıncalıdır: hata payı ve izlenebilirlik. Kişiye özel bir kullanıcı açın, gerektiğinde yetki yükseltme kullanın ve root ile doğrudan girişi kapatın.

Ekipte birden fazla kişi varsa herkes kendi hesabıyla girmelidir. Ortak hesap kullanımı, bir sorun çıktığında "kim yaptı" sorusunu cevapsız bırakır ve işten ayrılan kişinin erişimini kesmeyi imkânsızlaştırır.

3. SSH sertleştirmesi

Bu adım, sunucu güvenliğinin en kritik parçasıdır:

• Anahtar tabanlı girişe geçin ve anahtarınızı parola ile koruyun.
• Parola ile girişi tamamen kapatın. Bu tek ayar, kaba kuvvet saldırılarının tamamını etkisiz kılar.
• Root girişini kapatın.
• Başarısız giriş denemelerini izleyip ilgili adresleri geçici olarak engelleyen bir araç kurun.
• Mümkünse yönetim erişimini yalnızca bilinen adres aralıklarına açın.

4. Güvenlik duvarı

Varsayılan politika "her şey kapalı" olmalı, yalnızca ihtiyaç duyulan portlar açılmalıdır. Web sunucusu için 80 ve 443, yönetim için SSH portu genelde yeterlidir. Veritabanı, önbellek sunucusu ve yönetim panelleri internete açılmamalıdır; bunlara erişim yerel ağ veya güvenli tünel üzerinden yapılmalıdır.

Sahada en sık görülen açık: internete açık bırakılmış, varsayılan parolayla çalışan bir veritabanı portu. Taramalar bunu dakikalar içinde bulur.

5. Web sunucusu ve sertifika

Nginx veya Apache kurulduktan sonra ilk iş HTTPS’i zorunlu hâle getirmektir. Ücretsiz sertifikalar otomatik yenileme ile birlikte kurulmalı ve yenileme işleminin çalıştığı test edilmelidir. Sertifikanın gece yarısı sessizce süresi dolduğunda öğrenilmesi, önlenebilir bir kesintidir.

Ek olarak: dizin listeleme kapatılmalı, sunucu sürüm bilgisi gizlenmeli ve hassas dosyalara (yapılandırma, yedek, sürüm kontrol klasörleri) web üzerinden erişim engellenmelidir. Bu son madde çok sık atlanır; adres satırına doğrudan yazarak mutlaka test edin.

6. Otomatik güncellemeler

Güvenlik yamalarının otomatik uygulanması, küçük ekiplerde en yüksek getirili ayarlardan biridir. Yalnızca güvenlik güncellemelerini otomatik yapacak şekilde yapılandırın; büyük sürüm geçişleri elle ve planlı olmalıdır. Yeniden başlatma gerektiren güncellemeler için bakım penceresi belirleyin.

7. İzleme ve uyarı

En az şu dört şey izlenmelidir: disk doluluğu, bellek ve işlemci kullanımı, kritik servislerin ayakta olup olmadığı ve sertifika bitiş tarihi. Disk dolması, veritabanının yazamaz hâle gelmesiyle sonuçlanır ve çoğu zaman gece yarısı fark edilir. Basit bir eşik uyarısı bu senaryoyu tamamen önler.

Kayıt dosyaları da döndürülmeli (log rotation), aksi hâlde kayıtlar diski doldurur. Uygulama, web sunucusu ve sistem kayıtları için ayrı saklama süreleri belirleyin.

8. Zaman planlı görevler ve servis yönetimi

Uygulamaların çoğu arka planda çalışan işlere ihtiyaç duyar: yedek alma, e-posta kuyruğu, rapor üretimi, temizlik işleri. Bu görevlerin sunucuda nasıl tanımlandığı sonradan sorun çıkaran bir alandır.

Üç kurala dikkat edin. Birincisi, planlı görevlerin çıktısı bir kayıt dosyasına yazılmalıdır; sessizce çalışan bir görev, sessizce de durur. İkincisi, uzun süren işler üst üste binmemelidir; önceki çalışma bitmeden yenisi başlarsa çift kayıt veya kilitlenme oluşur, bunun için basit bir kilit dosyası yeterlidir. Üçüncüsü, sürekli çalışması gereken işçiler doğrudan başlatılmamalı, servis yöneticisine tanımlanmalıdır; böylece çöktüğünde otomatik yeniden başlar ve sunucu yeniden başlatıldığında kendiliğinden ayağa kalkar.

9. Yedekleme

Sunucu kurulumu, yedek planı yapılmadan tamamlanmış sayılmaz. Veritabanı ve yüklenen dosyalar için ayrı yedek stratejisi kurun, yedekleri farklı bir sunucuda veya nesne depolamada tutun ve geri yükleme provası yapın. Genel kabul gören yaklaşım için NCSC’nin kurtarma rehberi sade bir çerçeve sunar.

Kurulum sonrası doğrulama

Bitirdikten sonra dışarıdan bir kontrol yapın: hangi portlar açık, HTTPS düzgün çalışıyor mu, hassas dosyalar erişilebilir mi, root ile giriş gerçekten kapalı mı? Bu doğrulama beş dakika sürer ve yapılan işin gerçekten uygulandığını kanıtlar.

Sonuç

Sunucu güvenliği karmaşık araçlarla değil, disiplinli bir başlangıç rutiniyle kurulur. Güncelle, kişisel kullanıcı aç, SSH’i anahtara geçir, güvenlik duvarını kapat, otomatik yamayı aç, izlemeyi kur ve yedeği doğrula. Bu sekiz adım, sunucunuzu tarama gürültüsünün hedef listesinden büyük ölçüde çıkarır.