Güvenlik duvarı, sunucu güvenliğinin en temel katmanıdır ama sınırları da nettir: hangi portların açık olduğuna karar verir, o portlardan gelen trafiğin içeriğine karışmaz. Bu ayrımı bilmek, hangi tehdide karşı hangi katmanın gerektiğini anlamanın anahtarıdır.
Bu rehber, kendi sanal sunucunuz üzerinde katmanlı bir savunma kurmayı — güvenlik duvarından uygulama katmanına kadar — anlatıyor.
Temel Kural: Varsayılan Ret
Güvenlik duvarı yapılandırmasının tek doğru mantığı şudur: her şeyi kapat, gerekeni aç. Ters yaklaşım — "sorun çıkaranları kapat" — sürdürülemez, çünkü hangi portun ne zaman açıldığını takip edemezsiniz.
Tipik bir web sunucusunda açık kalması gereken portlar azdır: web trafiği, SSH ve varsa e-posta. Geri kalan her şey kapalı olmalıdır.
Özellikle dikkat: veritabanı portunu asla dışarıya açmayın. Veritabanına yalnızca sunucunun kendi içinden erişilmelidir. Dışarı açılmış bir veritabanı portu, otomatik taramaların en sevdiği hedeftir ve ele geçirilme vakalarının yaygın nedenidir. Uzaktan veritabanı yönetimi gerekiyorsa bunu port açarak değil, SSH tüneli üzerinden yapın.
Kendinizi Kilitlememek
Güvenlik duvarı kurarken en sık yaşanan kaza, SSH kuralını yazmadan duvarı etkinleştirmektir. Sonuç: sunucuya erişemezsiniz ve kurtarma için sağlayıcının konsoluna ihtiyaç duyarsınız.
Üç önlem bu riski ortadan kaldırır: kuralları yazdıktan sonra etkinleştirmeden önce SSH kuralının listede olduğunu iki kez kontrol edin, mevcut oturumunuzu kapatmadan ayrı bir pencerede yeni bağlantı test edin ve sağlayıcınızın konsol erişimini önceden denemiş olun.
DDoS: Neyi Durdurabilirsiniz, Neyi Durduramazsınız?
Hizmet engelleme saldırıları farklı katmanlarda gerçekleşir ve her katman farklı bir savunma gerektirir. En yaygın yanılgı, sunucu üzerindeki güvenlik duvarının her türlü saldırıyı durduracağını sanmaktır.
| Saldırı tipi | Nasıl çalışır | Nerede durdurulur |
|---|---|---|
| Hacimsel saldırı | Bant genişliğini doldurur | Yalnızca sağlayıcı/üst ağ — sizde durdurulamaz |
| Protokol saldırısı | Bağlantı tablosunu doldurur | Kısmen sunucu ayarlarıyla |
| Uygulama katmanı saldırısı | Pahalı sayfalara yoğun istek | Hız sınırlama, önbellek, uygulama güvenlik duvarı |
İlk satır kritiktir ve sıkça yanlış anlaşılır: bant genişliğinizi dolduran bir saldırıyı sunucunuzda durduramazsınız. Trafik sunucunuza ulaştığında hattınız zaten doludur; güvenlik duvarınızın onu reddetmesi bir şey değiştirmez. Bu tür saldırılar yalnızca üst ağda, sağlayıcı seviyesinde filtrelenebilir.
Bu yüzden sunucu satın alırken sağlayıcının koruma politikasını sormak, sunucu üzerinde alacağınız her önlemden daha belirleyicidir. Özellikle şunu netleştirin: saldırı anında sağlayıcı trafiği filtreliyor mu, yoksa sunucunuzun tüm trafiğini kapatıyor mu? İkinci politika, saldırganın amacına ulaşması demektir.
Sunucu Tarafında Yapabilecekleriniz
Uygulama katmanı saldırıları ve otomatik tarama trafiği sizin kontrolünüzdedir. En etkili dört önlem:
1. Hız Sınırlama
Tek bir kaynaktan gelen istek sayısını sınırlayın. Özellikle pahalı uç noktalarda — arama, giriş, form gönderimi, API — bu sınır kritiktir. Normal bir ziyaretçi saniyede birkaç istek atar; yüzlerce atan bir kaynak ziyaretçi değildir.
2. Önbellek — Savunma Aracı Olarak
Sayfa önbelleği bir performans aracı olarak bilinir ama aynı zamanda güçlü bir savunmadır: önbellekten karşılanan bir istek uygulamayı ve veritabanını hiç çalıştırmaz. Yoğun bir istek seli, önbellekli bir sitede kolayca emilirken önbelleksiz bir sitede sunucuyu düşürür.
3. Bağlantı Limitleri
Tek bir IP'nin açabileceği eşzamanlı bağlantı sayısını sınırlayın. Bağlantıyı açıp yavaşça veri gönderen saldırı tiplerine karşı etkilidir.
4. Uygulama Güvenlik Duvarı
Klasik güvenlik duvarı portlara bakar, uygulama güvenlik duvarı isteğin içeriğine bakar: veritabanı enjeksiyonu denemeleri, betik enjeksiyonu, dizin geçişi girişimleri. Bu, portlardan geçen ama zararlı olan trafiği yakalayan katmandır.
Bot Trafiği Yönetimi
Her yoğun trafik saldırı değildir. Erişim loglarınızı inceleyip trafiğinizin ne kadarının gerçek ziyaretçi, ne kadarının bot olduğunu ölçün. Bazı sitelerde kaynak tüketiminin önemli bir bölümü hiçbir ticari değer üretmeyen tarama trafiğidir.
Arama motoru botlarını engellemeyin — onlar değerlidir. Ancak agresif içerik kazıyıcıları ve tanımadığınız yoğun tarayıcıları sınırlamak, hem kaynak kazandırır hem gerçek bir saldırı olduğunda logları okunabilir tutar.
Erken Uyarı
Saldırıyı ziyaretçilerden önce fark etmek için üç metriği izleyin: gelen bağlantı sayısındaki ani sıçrama, bant genişliği kullanımındaki anormallik ve web sunucusu işçi doluluğu. Bu üçünden biri eşiği aştığında uyarı alacak şekilde yapılandırın.
Ayrıca giden trafiği de izleyin. Beklenmedik bir giden trafik artışı, saldırı altında olduğunuzu değil, sunucunuzun ele geçirilip başkasına saldırmak için kullanıldığını gösterir — ve bu daha ciddi bir durumdur.
Sonuç
Güvenlik duvarı gerekli ama tek başına yeterli değildir: portları kapatır, o portlardan geçen zararlı trafiği durdurmaz. Katmanlı bir savunma kurun — varsayılan ret politikası, hız sınırlama, önbellek ve uygulama katmanı filtreleme. Hacimsel saldırılar ise yapısal olarak sizin katmanınızda çözülemez; orada belirleyici olan sağlayıcınızın koruma politikasıdır. Bir VDS satın alırken bu politikayı yazılı olarak netleştirmek, sunucu üzerinde alacağınız önlemler kadar önemlidir.
Sıkça Sorulan Sorular (SSS)
Sunucumdaki güvenlik duvarı DDoS'u durdurur mu?
Uygulama katmanı saldırılarını kısmen, hacimsel saldırıları hayır. Bant genişliğinizi dolduran trafik sunucunuza ulaştığında hat zaten doludur; reddetmek durumu değiştirmez. Bu katman yalnızca üst ağda filtrelenebilir.
Hangi portları açık bırakmalıyım?
Yalnızca gerçekten kullandıklarınızı: web trafiği, SSH ve varsa e-posta. Veritabanı, önbellek deposu ve yönetim arayüzleri dışarıya kapalı olmalı, bunlara yalnızca sunucu içinden veya SSH tüneli üzerinden erişilmelidir.
Uygulama güvenlik duvarı şart mı?
Şart değil ama getirisi yüksektir, özellikle bilinen açıklara sahip olabilecek üçüncü taraf bileşenler kullanıyorsanız. Uygulamanızdaki bir açığı yamalayana kadar geçici koruma sağlayan katman budur.
Güvenlik duvarı kurarken kendimi kilitlersem?
Sağlayıcınızın panelinden sunucu konsoluna bağlanın — bu erişim ağ katmanından bağımsızdır. Konsoldan kuralı düzeltebilirsiniz. Bu yüzden konsol erişiminizi, güvenlik duvarını etkinleştirmeden önce test etmiş olmanız gerekir.
