Linux Sunucularda İzinsiz Ssh Giriş Denemeleri Nasıl Tespit Edilir?

Linux Sunucularda İzinsiz SSH Giriş Denemeleri Nasıl Tespit Edilir?

Günümüz dijital altyapılarında, internete açık olan her Linux sunucu, sürekli olarak otomatik botlar ve kötü niyetli aktörler tarafından taranmaktadır. Linux sunucularda izinsiz SSH giriş denemeleri, sistem güvenliğinizin en zayıf halkası olan uzaktan erişim kapısını zorlayan en yaygın siber saldırı yöntemlerinden biridir. Bu denemelerin zamanında tespit edilmesi, olası bir veri ihlalini veya sunucu ele geçirme vakasını önlemek adına kritik bir rol oynar.

2026 yılı itibarıyla saldırı teknikleri daha sofistike hale gelmiş olsa da, temel izleme prensipleri hala sistem günlüklerini (log) doğru analiz etmekten geçmektedir. Bu rehberde, sunucunuzun güvenliğini sağlamak için SSH giriş denemelerini nasıl izleyeceğinizi, hangi araçları kullanacağınızı ve şüpheli aktiviteleri nasıl yorumlayacağınızı adım adım inceleyeceğiz.

SSH Giriş Denemelerini İzlemek İçin Temel Log Dosyaları

Linux işletim sistemlerinde, kimlik doğrulama süreçlerine dair tüm hareketlilik merkezi bir günlük dosyasında tutulur. SSH üzerinden yapılan tüm başarılı ve başarısız giriş denemeleri, sistemin kayıt mekanizması tarafından yakalanır.

Auth.log Dosyasını İnceleme

Debian, Ubuntu ve türevi dağıtımlarda SSH giriş denemelerini takip etmek için kullanılan birincil kaynak /var/log/auth.log dosyasıdır. Bu dosya, sistemdeki tüm yetkilendirme süreçlerini barındırır. SSH üzerinden gelen başarısız denemeleri görmek için şu komutu kullanabilirsiniz:

1. Terminali açın ve root yetkisiyle giriş yapın.
2. grep "Failed password" /var/log/auth.log komutunu çalıştırın.
3. Bu komut, sistemdeki tüm başarısız giriş denemelerini listeleyecektir.

Secure Log Dosyasını Anlama

RHEL, CentOS, AlmaLinux veya Rocky Linux gibi Red Hat tabanlı sistemlerde ise aynı kayıtlar /var/log/secure dosyasında tutulur. Bu dosya, kullanıcı girişleri, sudo yetkilendirmeleri ve SSH anahtar değişimleri hakkında detaylı bilgi sağlar.

Dikkat: Log dosyaları, saldırganların sistemde iz bırakmamak için ilk hedefledikleri dosyalardır. Bu dosyaların bütünlüğünü korumak ve merkezi bir log sunucusuna yedeklemek, siber güvenlik en iyi uygulamalarından biridir.

Sistemdeki Şüpheli Giriş Denemelerini Tespit Etmek İçin Araçlar

Manuel log incelemesi, anlık saldırıları tespit etmek için etkili olsa da, büyük ölçekli saldırılarda yetersiz kalabilir. Otomatik araçlar, hatalı denemeleri gerçek zamanlı olarak analiz ederek sizi uyarabilir.

Fail2Ban Kullanımı

Fail2Ban, belirli bir süre içinde çok sayıda başarısız giriş denemesi yapan IP adreslerini otomatik olarak tespit eder ve bu adresleri güvenlik duvarı (iptables/nftables) üzerinden engeller. Kurulumu oldukça basittir:

• Paket yöneticiniz ile Fail2Ban'i yükleyin.
• jail.local yapılandırma dosyasını düzenleyerek SSH servisini izlemeye alın.
• Servisi yeniden başlatarak korumayı aktif hale getirin.

Last ve Lastb Komutları

Sisteme daha önce kimlerin giriş yaptığını veya başarısız giriş denemelerinin kimler tarafından gerçekleştirildiğini görmek için last ve lastb komutları kullanılır.

• last: Başarılı giriş yapan kullanıcıların listesini gösterir.
• lastb: Başarısız giriş denemelerini içeren /var/log/btmp dosyasını okur.

SSH Giriş Analizinde Karşılaştırmalı Yöntemler

Aşağıdaki tablo, SSH güvenliğini izlemek için kullanılan yöntemlerin etkinlik düzeylerini ve kullanım amaçlarını özetlemektedir.

SSH Güvenliğini Artırmak İçin Uygulanabilir Adımlar

İzinsiz giriş denemelerini tespit etmek kadar, bu denemelerin başarılı olma ihtimalini sıfıra indirmek de önemlidir. İşte 2026 standartlarında uygulamanız gereken temel güvenlik adımları:

1. SSH Portunu Değiştirin: Varsayılan 22 portu, botların ilk hedefidir. Portu 1024'ün üzerinde rastgele bir sayı ile değiştirin.
2. Root Girişini Kapatın: PermitRootLogin no ayarını yaparak doğrudan root kullanıcısıyla girişi engelleyin.
3. Parola Yerine SSH Anahtarı Kullanın: Parola tabanlı girişi tamamen kapatın ve sadece SSH anahtarlarıyla (RSA/Ed25519) erişime izin verin.
4. İki Faktörlü Doğrulama (2FA): Google Authenticator gibi araçlarla SSH erişimine ikinci bir katman ekleyin.

SSH Anahtarlarıyla Girişin Avantajları

Parola tabanlı girişler, kaba kuvvet (brute-force) saldırılarına karşı son derece savunmasızdır. SSH anahtarları ise matematiksel olarak tahmin edilmesi imkansız olan kriptografik anahtarlar kullanır. Bu sayede, saldırganın doğru parolayı bulma ihtimali ortadan kalkar.

Saldırı Altında Olduğunuzu Nasıl Anlarsınız?

Sunucunuzun yoğun bir saldırı altında olduğunu gösteren bazı belirgin işaretler vardır. Bu işaretleri gözlemlediğinizde vakit kaybetmeden aksiyon almalısınız.

Sistem Kaynaklarının Olağandışı Kullanımı

Eğer CPU veya RAM kullanımı durduk yere yükseliyorsa, bu durum arka planda sürekli çalışan bir SSH brute-force botunun işareti olabilir. top veya htop komutları ile çalışan süreçleri izleyin.

Ağ Trafiğindeki Ani Artışlar

Sunucunuzun ağ trafiğinde, özellikle gelen (inbound) paketlerde anormal bir artış varsa, dış dünyadan yoğun bir tarama alıyor olabilirsiniz. nethogs gibi araçlarla hangi sürecin ağ trafiğini kullandığını takip edebilirsiniz.

Sıkça Sorulan Sorular

SSH giriş denemelerini izlemek sunucuyu yavaşlatır mı?

Hayır, log dosyalarını okumak veya Fail2Ban gibi araçlar kullanmak sunucu kaynaklarını ihmal edilebilir düzeyde kullanır. Aksine, botların yarattığı yükü engellediği için performansı olumlu etkiler.

Fail2Ban kullanırken kendi IP adresimi engellersem ne yapmalıyım?

Fail2Ban yapılandırmasında ignoreip kısmına kendi sabit IP adresinizi ekleyerek kendinizi beyaz listeye alabilirsiniz. Eğer engellenirseniz, sunucuya farklı bir ağ üzerinden veya konsol (VNC/KVM) erişimi ile bağlanıp engeli kaldırmanız gerekir.

Sadece logları izlemek güvenliği sağlamak için yeterli midir?

Hayır, log izleme sadece tespit etmenizi sağlar. Güvenlik için mutlaka SSH anahtarları ve güçlü bir güvenlik duvarı yapılandırması ile birlikte kullanılmalıdır.

SSH üzerinden gelen tüm saldırılar loglara düşer mi?

Evet, SSH servisi yapılandırması düzgünse, her türlü bağlantı girişimi (başarılı veya başarısız) log dosyalarına kaydedilir. Eğer loglarda hiçbir şey görmüyorsanız, SSH servisi düzgün çalışmıyor olabilir.

Saldırı tespit edildiğinde yasal bir işlem başlatmalı mıyım?

İzinsiz giriş denemeleri internetin doğası gereği yaygındır. Ancak, sisteminize ciddi bir sızma girişimi veya veri ihlali şüphesi varsa, bir siber güvenlik uzmanına veya hukuk danışmanına başvurarak loglarınızı adli bilişim standartlarında inceletmeniz önerilir.

Sonuç

Linux sunucularda izinsiz SSH giriş denemelerini tespit etmek, bir sistem yöneticisinin sahip olması gereken en temel yetkinliklerden biridir. Başarılı bir savunma stratejisi; düzenli log takibi, otomasyon araçlarının kullanımı ve SSH yapılandırmasının sıkılaştırılması üzerine kurulmalıdır. 2026 yılında, güvenlik artık "kur ve unut" değil, sürekli izleme ve proaktif önlem alma disiplinidir. Yukarıda paylaşılan adımları takip ederek, sunucunuzun güvenliğini bir üst seviyeye taşıyabilir ve saldırganlara karşı caydırıcı bir duruş sergileyebilirsiniz.

Linux Sunucularda İzinsiz SSH Giriş Denemeleri Nasıl Tespit Edilir?

Dijital dünyada Linux tabanlı sunucular, internetin omurgasını oluşturur. Ancak bu popülarite, onları otomatik botların ve kötü niyetli aktörlerin birincil hedefi haline getirir. SSH (Secure Shell) protokolü üzerinden yapılan kaba kuvvet (brute-force) saldırıları, sunucu güvenliğinin en zayıf halkalarından biridir. Bu rehberde, bir sistem yöneticisinin izinsiz giriş denemelerini nasıl tespit edeceğini, hangi araçları kullanması gerektiğini ve proaktif savunma mekanizmalarını nasıl kuracağını derinlemesine inceleyeceğiz.

SSH Giriş Denemelerini İzlemek İçin Temel Log Dosyaları

Linux işletim sistemleri, gerçekleşen her türlü olayı merkezi bir loglama sistemine (syslog veya journald) kaydeder. SSH giriş denemeleri söz konusu olduğunda, sistemin "kalbi" sayılabilecek iki ana dosya öne çıkar.

Auth.log Dosyasını İnceleme

Debian ve Ubuntu tabanlı sistemlerde /var/log/auth.log dosyası, kimlik doğrulama ile ilgili tüm olayların merkezidir. Bu dosyayı inceleyerek hangi IP adreslerinin, hangi kullanıcı adlarıyla, ne zaman giriş yapmaya çalıştığını görebilirsiniz.

• Failed password: Yanlış şifre ile giriş denemesi yapıldığını gösterir.
• Accepted password: Başarılı bir girişin gerçekleştiğini belirtir.
• Invalid user: Sistemde bulunmayan bir kullanıcı adı ile giriş denendiğini işaret eder.

Secure Log Dosyasını Anlama

RHEL, CentOS ve Fedora gibi sistemlerde ise aynı veriler /var/log/secure dosyasında tutulur. İçerik yapısı auth.log ile benzerdir ancak sistemin güvenlik politikalarına dair daha spesifik detaylar içerebilir.

Sistemdeki Şüpheli Giriş Denemelerini Tespit Etmek İçin Araçlar

Log dosyalarını manuel olarak incelemek, küçük çaplı sunucular için mümkün olsa da, yüzlerce saldırı girişimi olduğunda imkansız hale gelir. Bu noktada otomasyon araçları devreye girer.

Fail2Ban Kullanımı

Fail2Ban, log dosyalarını sürekli tarayan ve belirli bir hata eşiğini aşan IP adreslerini iptables veya firewalld aracılığıyla engelleyen bir "savunma kalkanı"dır. Kurulumu için şu adımları izleyebilirsiniz:

1. Paket yöneticisi ile kurulum yapın: sudo apt install fail2ban
2. Yapılandırma dosyasını kopyalayın: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
3. jail.local içerisinde SSH bölümünü aktif hale getirin ve maxretry değerini (örneğin 3) belirleyin.
4. Servisi yeniden başlatın: systemctl restart fail2ban

Last ve Lastb Komutları

last komutu, sisteme başarılı giriş yapmış kullanıcıların geçmişini listelerken, lastb komutu ise başarısız giriş denemelerini (bad login attempts) gösterir. Bu komutlar, saldırganın sisteminize sızıp sızmadığını anlamak için en hızlı yöntemdir.

SSH Güvenliğini Artırmak İçin Uygulanabilir Adımlar

Tespit etmek kadar, saldırı yüzeyini daraltmak da kritiktir. İşte uygulamanız gereken temel güvenlik adımları:

• Root Girişini Kapatın: /etc/ssh/sshd_config dosyasında PermitRootLogin no ayarını yapın.
• Port Değiştirin: Varsayılan 22 portu yerine yüksek ve rastgele bir port seçin.
• Şifre Girişini Devre Dışı Bırakın: Sadece SSH anahtarları ile giriş yapılmasına izin verin (PasswordAuthentication no).

SSH Anahtarlarıyla Girişin Avantajları

Parolalar, kaba kuvvet saldırılarına karşı savunmasızdır. SSH anahtarları (Public/Private Key) ise matematiksel olarak çok daha karmaşık olduğu için kırılmaları neredeyse imkansızdır. Bir anahtar çifti oluşturmak için ssh-keygen komutunu kullanın ve özel anahtarınızı (private key) asla kimseyle paylaşmayın.

Saldırı Altında Olduğunuzu Nasıl Anlarsınız?

Sadece loglara bakmak bazen yanıltıcı olabilir. Saldırı altında olduğunuzu gösteren diğer belirtiler şunlardır:

Sistem Kaynaklarının Olağandışı Kullanımı

Eğer CPU kullanımı aniden yükseliyorsa ve sistemde tanımadığınız arka plan süreçleri (özellikle kripto madenciliği veya botnet yazılımları) çalışıyorsa, bir saldırgan çoktan içeri girmiş olabilir.

Ağ Trafiğindeki Ani Artışlar

Sunucunuzun dışarıya doğru gönderdiği veri miktarında (outbound traffic) açıklanamayan bir artış varsa, sunucunuz başka hedeflere saldırmak için kullanılıyor olabilir.

SSH Güvenlik Yöntemleri Karşılaştırma Tablosu

Sıkça Yapılan Hatalar ve Güvenlik İpuçları

Sistem yöneticilerinin en sık yaptığı hata, logları düzenli olarak kontrol etmemektir. Ayrıca, "Security through obscurity" (gizlilik yoluyla güvenlik) mantığı ile sadece port değiştirmek tek başına yeterli değildir; bu sadece botların ilk taramasını atlatmanızı sağlar.

Örnek Senaryo: Brute-Force Saldırısı

Bir saldırgan, sunucunuza 10 dakika içinde 500 farklı şifre denemesi yaparsa, /var/log/auth.log dosyanız anında dolar. Eğer Fail2Ban kurulu değilse, sistem kaynaklarınız bu loglama işlemi ve SSH servisinin yanıt verme çabası nedeniyle ciddi oranda tüketilir. Bu senaryoda Fail2Ban, ilk 3 denemeden sonra saldırganın IP adresini engelleyerek sunucuyu korur.

Güvenlik Araçları Seçimi

Sadece Fail2Ban değil, aynı zamanda CrowdSec gibi modern ve topluluk tabanlı tehdit istihbaratı sunan araçları da inceleyebilirsiniz. Bu araçlar, dünya genelinde bilinen kötü niyetli IP listelerini otomatik olarak sunucunuza entegre eder.

Önemli Not: Bu rehber genel bilgilendirme amaçlıdır. Sunucu güvenliği yapılandırması sırasında yapacağınız hatalar, kendinizi sunucudan dışlamanıza (lock-out) neden olabilir. Her zaman bir "konsol erişimi" (KVM veya bulut sağlayıcı panelinden) olduğundan emin olun.

Son olarak, güvenlik bir süreçtir. SSH yapılandırmanızı periyodik olarak gözden geçirmeli, güncellemeleri takip etmeli ve sunucu loglarınızı merkezi bir log sunucusuna (SIEM gibi) aktararak izlemelisiniz. Bu, sadece saldırıları tespit etmenizi değil, aynı zamanda geriye dönük adli analiz yapmanızı da kolaylaştırır.

SSH Giriş Denemelerini İzlemek İçin Gelişmiş İzleme Teknikleri

Temel log inceleme yöntemlerinin ötesine geçmek, bir sistem yöneticisi için proaktif savunmanın ilk adımıdır. Sadece log dosyalarını okumak yerine, bu verileri anlamlı grafiklere ve anlık bildirimlere dönüştürmek, saldırı vektörlerini daha hızlı analiz etmenizi sağlar.

Gerçek Zamanlı Log İzleme Araçları

Log dosyalarını manuel olarak tail -f ile takip etmek, yoğun bir saldırı anında pratik değildir. Bunun yerine şu araçları kullanabilirsiniz:

• GoAccess: SSH loglarını terminal üzerinde görselleştirerek, hangi IP adresinden kaç deneme yapıldığını anlık olarak tablo halinde sunar.
• Lnav: Log dosyalarını gelişmiş bir arayüzle incelemenizi sağlar; SQL sorguları ile loglar üzerinde filtreleme yapmanıza olanak tanır.
• Promtail ve Grafana: Log verilerini merkezi bir sisteme aktararak, saldırı girişimlerini görsel panellerde izlemenizi sağlar.

SSH Güvenlik Yöntemleri Karşılaştırma Tablosu

Aşağıdaki tablo, yaygın olarak kullanılan SSH güvenlik önlemlerinin etkinlik düzeylerini ve sağladıkları koruma türlerini karşılaştırmalı olarak sunmaktadır.

Sıkça Yapılan Hatalar ve Güvenlik İpuçları

Sistem yöneticilerinin SSH güvenliğini sağlarken düştüğü en yaygın hatalar, genellikle yanlış yapılandırmalar veya ihmallerden kaynaklanır.

• Root Girişine İzin Vermek: PermitRootLogin yes ayarı, saldırganların doğrudan sistem yöneticisi yetkilerine odaklanmasına neden olur. Bunu mutlaka no olarak ayarlayın.
• Varsayılan Portu Kullanmak: Her ne kadar "güvenlik yoluyla belirsizlik" (security by obscurity) tam bir çözüm olmasa da, varsayılan 22 portunu değiştirmek, loglarınızdaki "gürültüyü" (rastgele bot taramalarını) %90 oranında azaltır.
• Eski SSH Protokollerini Desteklemek: SSHv1 gibi artık zayıf kabul edilen protokolleri kullanmak, man-in-the-middle saldırılarına davetiye çıkarır. Sadece Protocol 2 kullanıldığından emin olun.

Örnek Senaryo: Brute-Force Saldırısı Analizi

Bir saldırganın sunucunuza yönelik bir "Dictionary Attack" (Sözlük Saldırısı) gerçekleştirdiğini varsayalım. Saldırgan, en sık kullanılan 10.000 şifreyi denemek için bir script kullanır.

1. Tespit: /var/log/auth.log dosyasında "Failed password for root" ifadesinin saniyede 5-10 kez tekrarlandığını görürsünüz.
2. Analiz: grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr komutu ile en çok deneme yapan IP adresini bulursunuz.
3. Müdahale: Eğer Fail2Ban kuruluysa, ilgili IP zaten iptables veya nftables üzerinden engellenmiştir. Değilse, ufw deny from [IP_ADRESI] komutu ile manuel engelleme yapmanız gerekir.

SSH Anahtarlarıyla Girişin Avantajları ve Teknik Detaylar

Şifre tabanlı kimlik doğrulama, günümüz siber tehdit ortamında artık savunmasız kalmaktadır. SSH anahtarları (RSA, Ed25519), matematiksel olarak kırılması imkansıza yakın olan kriptografik anahtarlar kullanır.

Uzman Görüşü: SSH anahtarları kullanırken, anahtarınıza mutlaka bir "passphrase" (anahtar parolası) atayın. Bu, anahtar dosyanız çalınsa bile saldırganın anahtarı kullanmasını engeller.

Sistem Kaynaklarının Olağandışı Kullanımı

SSH saldırıları sadece güvenlik riski oluşturmaz, aynı zamanda sunucu performansını da doğrudan etkiler. Özellikle büyük ölçekli brute-force saldırılarında:

• CPU Kullanımı: SSH daemon (sshd) her başarısız denemeyi loglamak ve işlemciyi yormak için ek kaynak harcar.
• Disk I/O: Sürekli yazılan log dosyaları, özellikle SSD olmayan sistemlerde I/O darboğazına yol açabilir.
• Ağ Bant Genişliği: Çok yoğun saldırılarda, SSH paketleri sunucunun ağ trafiğini meşgul ederek meşru kullanıcıların erişimini yavaşlatabilir.

Ağ Trafiğindeki Ani Artışlar

Eğer sunucunuzda SSH dışı bir trafik artışı gözlemliyorsanız, bu durum SSH üzerinden ele geçirilen bir hesabın sunucuyu bir "zombi" (botnet) olarak kullandığına işaret edebilir. nload veya iftop gibi araçlarla anlık ağ trafiğini izleyerek, hangi portların veya hangi IP'lerin dışarıya doğru yoğun veri gönderdiğini kontrol edin.

Güvenlik Araçları Seçimi ve Strateji

Güvenlik araçlarını seçerken "katmanlı savunma" (defense in depth) prensibini benimsemelisiniz. Tek bir aracın %100 koruma sağlamayacağını bilmek, sizi daha dirençli bir sistem kurmaya yönlendirir.

Özet Strateji:

1. Sıkılaştırma: SSH konfigürasyonunu (sshd_config) en güvenli seviyeye getirin.
2. Otomasyon: Fail2Ban veya benzeri bir "Intrusion Prevention System" (IPS) kurun.
3. Görünürlük: Logları merkezi bir yerde toplayın ve şüpheli durumlarda e-posta veya Slack/Telegram üzerinden bildirim alın.
4. Yedekleme: Sunucu yapılandırmalarınızı ve SSH anahtarlarınızı düzenli olarak yedekleyin.

Bu adımları izleyerek, Linux sunucularınızdaki SSH erişim güvenliğini profesyonel bir seviyeye taşıyabilir ve olası saldırıları henüz başlamadan etkisiz hale getirebilirsiniz. Unutmayın, güvenlik bir varış noktası değil, sürekli devam eden bir süreçtir.

SSH Giriş Denemelerini İzlemek İçin Gelişmiş İzleme Teknikleri

Temel log incelemelerinin ötesine geçmek, özellikle büyük ölçekli sunucu altyapılarında kritik öneme sahiptir. Manuel olarak dosya okumak yerine, veriyi görselleştiren veya anomali tespiti yapan sistemlere geçiş yapmak, siber güvenlik durumsal farkındalığınızı artırır.

SIEM Entegrasyonu ve Log Yönetimi

Logların sadece yerel dosyada tutulması, bir saldırganın sisteme sızması durumunda kanıtları silmesine olanak tanır. Bu nedenle, ELK Stack (Elasticsearch, Logstash, Kibana) veya Graylog gibi merkezi log yönetim sistemleri kullanılmalıdır. Bu araçlar, SSH denemelerini gerçek zamanlı olarak grafiklere döker ve "başarısız giriş denemesi" sayısının belirli bir eşiği aşması durumunda alarm üretir.

Gerçek Zamanlı Log İzleme Araçları

Sunucunuzda anlık olarak neler olup bittiğini görmek için aşağıdaki araçlar profesyonel standarttır:

• GoAccess: Terminal üzerinden görsel bir arayüz sunan, log dosyalarını analiz eden hızlı bir araçtır.
• Logwatch: Günlük olarak sistem loglarını özetleyen ve size e-posta ile rapor gönderen bir yardımcı programdır.
• Swatchdog: Log dosyalarını "tail" komutuyla izleyip, belirli anahtar kelimeler (örn: "Failed password") geçtiğinde komut tetikleyebilen bir araçtır.

SSH Güvenlik Yöntemleri Karşılaştırma Tablosu

Farklı güvenlik katmanlarının sağladığı koruma düzeyini anlamak, stratejinizi belirlemenize yardımcı olur.

Sıkça Yapılan Hatalar ve Güvenlik İpuçları

Sistem yöneticilerinin SSH güvenliği konusunda düştüğü en yaygın hatalar, saldırganların işini kolaylaştırmaktadır.

Yaygın Hatalar

• Root Girişine İzin Vermek: SSH üzerinden doğrudan root kullanıcısıyla giriş yapılması, saldırganın sistemi tam yetkiyle ele geçirmesine neden olur.
• Zayıf Parola Kullanımı: Sözlük saldırılarına karşı dirençsiz parolalar, 2FA kullanılmadığı durumlarda dakikalar içinde kırılabilir.
• Güncelleme İhmali: OpenSSH sürümünüzün eski olması, bilinen güvenlik açıklarına (CVE) davetiye çıkarır.

Profesyonel İpuçları

PermitRootLogin no ayarını /etc/ssh/sshd_config dosyasında aktif edin. Bunun yerine, sudo yetkisine sahip standart bir kullanıcı oluşturun. Ayrıca, AllowUsers direktifini kullanarak sadece belirli kullanıcıların SSH ile giriş yapmasına izin verin.

Örnek Senaryo: Brute-Force Saldırısı Analizi

Bir saldırganın sisteminize yönelik bir brute-force saldırısı düzenlediğini varsayalım. İşte adım adım analiz süreci:

1. Belirti: Sistem kaynakları (CPU ve RAM) aniden yükselir ve sunucu yanıt vermekte gecikir.
2. Tespit: grep "Failed password" /var/log/auth.log komutuyla binlerce başarısız giriş denemesi olduğunu görürsünüz.
3. İnceleme: lastb komutuyla saldırganın denediği kullanıcı adlarını (örn: "admin", "test", "support") ve kaynak IP adreslerini not edersiniz.
4. Müdahale: Saldırganın IP adresini iptables veya ufw ile kalıcı olarak engelleyerek saldırıyı kesersiniz.

SSH Anahtarlarıyla Girişin Avantajları ve Teknik Detaylar

Parola tabanlı kimlik doğrulamadan SSH anahtarlarına geçmek, güvenliğinizi katbekat artırır. SSH anahtarları, asimetrik şifreleme (Public/Private Key) kullanır.

Neden Anahtar Kullanmalısınız?

Parolalar tahmin edilebilir veya "keylogger" gibi yöntemlerle çalınabilir. Ancak 2048 veya 4096 bitlik RSA/Ed25519 anahtarları, brute-force saldırılarıyla kırılması matematiksel olarak imkansıza yakın olan karmaşık yapılardır. Anahtarınızı oluştururken mutlaka bir passphrase (parola cümlesi) ekleyin; bu sayede özel anahtar dosyanız çalınsa bile, saldırgan onu kullanmak için ek bir şifreye ihtiyaç duyacaktır.

Güvenlik Araçları Seçimi ve Strateji

Güvenlik araçlarını seçerken "katmanlı savunma" (defense in depth) prensibini benimsemelisiniz. Tek bir aracın %100 koruma sağlamayacağını bilmek, sizi daha dirençli bir sistem kurmaya yönlendirir.

Özet Strateji:

• Sıkılaştırma: SSH konfigürasyonunu (sshd_config) en güvenli seviyeye getirin.
• Otomasyon: Fail2Ban veya benzeri bir "Intrusion Prevention System" (IPS) kurun.
• Görünürlük: Logları merkezi bir yerde toplayın ve şüpheli durumlarda e-posta veya Slack/Telegram üzerinden bildirim alın.
• Yedekleme: Sunucu yapılandırmalarınızı ve SSH anahtarlarınızı düzenli olarak yedekleyin.

Bu adımları izleyerek, Linux sunucularınızdaki SSH erişim güvenliğini profesyonel bir seviyeye taşıyabilir ve olası saldırıları henüz başlamadan etkisiz hale getirebilirsiniz. Unutmayın, güvenlik bir varış noktası değil, sürekli devam eden bir süreçtir.