Ubuntu 26.04 Sunucu Güvenliği: Temel Sıkılaştırma Adımları

Bugün internetin büyük bölümü Linux sunucular üzerinde çalışıyor. Web siteleri, uygulamalar, veritabanları ve bulut servislerinin arkasında genellikle bir Linux dağıtımı var. Ubuntu ise kararlılığı, hızı ve yönetim kolaylığı sayesinde bu alanda en çok tercih edilen dağıtımlardan biri.

Ancak Ubuntu 26.04’ü kurup varsayılan ayarlarla çalıştırmak, sunucunuzu güvende tutmaya yetmiyor. Varsayılan kurulum temel işlevsellik için tasarlanmıştır; saldırı yüzeyini küçültmek ya da yetkisiz erişimi zorlaştırmak için değil. Sunucuyu internete açtığınız anda otomatik taramalar ve fırsatçı saldırı denemeleri de devreye girer.

Neden Sıkılaştırma Gerekli?

Sıkılaştırma (hardening), bir sistemin saldırı yüzeyini azaltmak için yapılan yapılandırma değişikliklerinin bütününü ifade eder. Amaç, gereksiz servisleri kapatmak, erişim yollarını sınırlamak ve olası bir sızma denemesini fark edilir hale getirmek.

Bir sunucuya sızmak için tek bir açık genellikle yeterli olur: zayıf bir parola, güncellenmemiş bir paket ya da gereksiz yere açık bırakılmış bir port. Sıkılaştırma adımları mucizevi bir koruma sağlamaz. Ama saldırganın işini zorlaştırır.

SSH Erişimini Sınırlandırın

SSH, sunucuya uzaktan bağlanmanın standart yolu ve aynı zamanda en sık hedef alınan servislerden biri. İlk yapmanız gereken şeylerden biri, root kullanıcısının doğrudan SSH ile giriş yapmasını kapatmak.

/etc/ssh/sshd_config dosyasında şu satırı bulup değiştirin:

• PermitRootLogin no — root ile doğrudan girişi engeller. Yönetim işlemlerini artık sudo yetkisi olan normal bir kullanıcı üzerinden yaparsınız.
• PasswordAuthentication no — parola ile girişi kapatıp SSH anahtar çifti kullanmaya geçin. Anahtar tabanlı kimlik doğrulama, kaba kuvvet (brute-force) saldırılarına karşı çok daha dayanıklıdır.
• SSH portunu varsayılan 22’den başka bir porta taşımak, otomatik taramaların bir kısmını eleyebilir. Bu tek başına güvenlik sağlamaz ama gürültüyü azaltır.

Değişikliklerden sonra servisi yeniden başlatın:

sudo systemctl restart sshd

Güvenlik Duvarını Etkinleştirin

Ubuntu’da varsayılan olarak gelen UFW (Uncomplicated Firewall), adı gibi basit bir güvenlik duvarı aracı. Kurulu gelmesi yetmez, etkinleştirmediğiniz sürece hiçbir işe yaramaz.

Temel bir yapılandırma şöyle görünür:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH
• sudo ufw enable

Mantık basit: gelen tüm trafiği varsayılan olarak reddedin, sadece ihtiyaç duyduğunuz portları (SSH, web sunucusu çalışıyorsa 80/443 gibi) açıkça izin verin listesine ekleyin. Başka servisler çalıştırıyorsanız ilgili portları tek tek ekleyebilirsiniz, örneğin sudo ufw allow 80/tcp.

Otomatik Güvenlik Güncellemeleri

Güvenlik açıkları düzenli olarak yayınlanır. Düzeltme paketleri Ubuntu depolarına ulaştığında bunları hızlıca uygulamanız gerekir. unattended-upgrades paketi, güvenlik güncellemelerini otomatik olarak indirip kurar.

Kurulum için:

sudo apt install unattended-upgrades

sudo dpkg-reconfigure --priority=low unattended-upgrades

Bu adım, sunucuyu her gün elle kontrol etme yükünden kurtarır. Yine de kritik sistemlerde güncellemelerin ne zaman ve nasıl uygulandığını takip etmekte fayda var. Çünkü bazı güncellemeler servis yeniden başlatması gerektirebilir.

Fail2ban ile Kaba Kuvvet Saldırılarına Karşı Koruma

Fail2ban, log dosyalarını izleyerek başarısız giriş denemelerini tespit eder ve belirli bir eşiği aşan IP adreslerini otomatik olarak engeller. SSH gibi servislere yönelik kaba kuvvet denemelerine karşı etkili bir savunma katmanı sağlar.

Kurulumu basit:

sudo apt install fail2ban

Varsayılan ayarlar çoğu senaryoda işe yarar. Ama /etc/fail2ban/jail.local dosyası üzerinden engelleme süresini ve deneme sayısını ihtiyacınıza göre ayarlayabilirsiniz.

Gereksiz Servisleri Kapatın

Sunucuda çalışan her servis, potansiyel bir giriş noktasıdır. Kullanılmayan servisleri kapatmak, saldırı yüzeyini doğrudan küçültür.

Çalışan servisleri listelemek için:

systemctl list-units --type=service --state=running

İhtiyaç duymadığınız bir servisi bulduğunuzda:

sudo systemctl stop [servis-adı]

sudo systemctl disable [servis-adı]

Erişim Kontrolü ve Kullanıcı Yönetimi

Root yetkisiyle günlük işlem yapmak yerine, her kullanıcıya sadece ihtiyacı olan yetkiyi verin. Sudo grubu üzerinden yetkilendirme yapmak hesap verebilirliği artırır. Yanlışlıkla yapılacak sistem geneli hataların da önüne geçer.

Kullanılmayan kullanıcı hesaplarını düzenli olarak temizleyin ve güçlü parola politikaları uygulayın. SSH anahtarlarına geçtiyseniz, parola tabanlı girişi tamamen devre dışı bırakın.

Son Söz

Ubuntu 26.04 sağlam bir temel sunuyor. Ama sunucu güvenliği tek seferlik bir kurulum işlemi değil, sürekli bir süreç. SSH ayarlarını sıkılaştırmak, güvenlik duvarını yapılandırmak, otomatik güncellemeleri açmak ve gereksiz servisleri kapatmak; bir sunucuyu internete güvenle açmadan önce atmanız gereken asgari adımlar bunlar.

Bu adımların her biri tek başına küçük görünebilir. Birlikte uygulandığında saldırı yüzeyini daraltır ve sunucuyu fırsatçı saldırılara karşı çok daha dirençli hale getirir. Bu rehberi uyguladıktan sonra sudo ufw status ve systemctl list-units --type=service --state=running komutlarıyla sunucunuzun durumunu düzenli aralıklarla kontrol etmeyi alışkanlık haline getirin.