Çoğu Linux Sunucusunda Normalde Varsayılan Olarak Devre Dışı Bırakılan Nedir?

Yeni bir Linux sunucusu hazırladığınızda – ister bir VPS, ister çıplak metal adanmış bir sunucu ya da bulutta barındırılan bir sanal makine olsun – sistemin kasıtlı olarak minimalist ve sertleştirilmiş bir ortamda açıldığını fark edeceksiniz. Bu bir dikkatsizlik değil, kasıtlı bir tasarım tercihidir. Modern Linux dağıtımları, saldırı yüzeyini en aza indirmek, sistem kaynaklarını korumak ve yöneticilere neyin etkinleştirileceği konusunda ince ayarlı kontrol sağlamak için gereksiz hizmetleri ve işlevleri ortadan kaldırır. Aşağıda, varsayılan olarak devre dışı bırakılan (veya basitçe bulunmayan) en yaygın özellikleri ve hizmetleri ve bunun hem güvenlik hem de operasyonel verimlilik açısından neden önemli olduğunu inceleyeceğiz.

Kök SSH Girişi

SSH üzerinden doğrudan root girişi, çağdaş Linux sunucu yapılarında neredeyse evrensel olarak devre dışı bırakılmıştır. Uzaktan root erişimine izin vermek göze batan bir güvenlik açığıdır: ele geçirilen tek bir parola tüm sistem sahipliğine eşittir.

Bunun yerine, yöneticilerin ayrıcalıklı olmayan bir kullanıcıyla oturum açması ve sudo veya su aracılığıyla ayrıcalıkları yükseltmesi beklenir.

Doğrulama:

Görmeniz gerekir:

SSH’de Parola Doğrulama

Bulut tarafından sağlanan birçok sunucuda, parola kimlik doğrulaması da devre dışı bırakılır ve SSH anahtarları tek kimlik doğrulama mekanizması olarak kalır. Anahtarlar kaba kuvvet saldırılarına karşı dirençlidir ve yetkisiz erişim girişimleri için çıtayı önemli ölçüde yükseltir.

Geleneksel ISO kurulumları hala parola girişlerine izin verebilir, ancak en iyi uygulama bunları hemen devre dışı bırakmaktır.

Doğrulama:

Kullanımdan Kaldırılan Ağ Protokolleri

Telnet, FTP, Rlogin ve Rsh gibi eski hizmetler modern sunucu yapılarında bulunmamaktadır. Bu protokoller kimlik bilgilerini ve verileri açık metin olarak iletir, bu da onları kesmek için önemsiz hale getirir.

Bunlar tarafından değiştirilmiştir:

Uzaktan kabuk erişimi için SSH
Güvenli dosya transferleri için SFTP/FTPS

Etkin hizmetleri kontrol edin:

21 (FTP) veya 23 (Telnet) gibi bağlantı noktaları görünmüyorsa, bu hizmetler çalışmıyor demektir.

Grafik Kullanıcı Arayüzleri (GUI)

Masaüstü dağıtımlarının aksine, sunucu sürümleri GNOME, KDE veya diğer grafik ortamlarla birlikte gönderilmez. GUI, bellek ve CPU döngülerini tüketirken güvenlik ayak izini genişletebilecek ek yazılım bağımlılıklarını da beraberinde getirir.

Beklenti açıktır: sunucular SSH üzerinden CLI aracılığıyla yönetilecektir.

Geliştirme Araç Zincirleri

Gcc gibi derleyiciler ve make gibi derleme araçları çoğu minimal sunucu imajında kasıtlı olarak bulunmamaktadır. Gerekçe iki yönlüdür:

Temel imaj boyutunu küçültmek.
Bir saldırganın erişim sağlaması durumunda kötü amaçlı ikili dosyaları anında derlemesini önlemek.

GCC’nin mevcut olup olmadığını kontrol edin:

Komut bulunamadı olarak dönerse, araç zinciri yüklenmemiş demektir.

Gerekirse manuel olarak yükleyin:

ICMP (Ping)

Çoğu Linux sunucusu ICMP yankı isteklerine varsayılan olarak yanıt verir, ancak bazı barındırma sağlayıcıları bunu güvenlik duvarı düzeyinde devre dışı bırakır. ICMP yanıtlarını bastırmak bir sunucuyu ağ taramaları için daha az görünür kılar, ancak aynı zamanda izleme ve tanılamayı da engeller.

Test:

IPv6

IPv6, Ubuntu, Debian ve RHEL türevleri gibi modern dağıtımlarda varsayılan olarak etkindir. Ancak, birçok barındırma sağlayıcısı IPv6 bağlantısı sunmuyorsa ağ düzeyinde devre dışı bırakır.

IPv6 adreslerini kontrol edin:

Sonuç

Kullanıma hazır Linux sunucuları kasıtlı olarak güvenli, sadeleştirilmiş bir durumda hazırlanır. Kök SSH oturum açma devre dışı bırakılır, parola kimlik doğrulaması genellikle kısıtlanır ve eski protokoller tamamen atlanır. Hiçbir grafik ortamı sağlanmaz ve derleyiciler temel yapıların dışında tutulur.

Buna karşılık, ICMP ve IPv6 gibi hizmetler varsayılan olarak etkin kalır, ancak sağlayıcının güvenlik duruşuna bağlı olarak kısıtlanabilir.

Bu “varsayılan olarak güvenli, seçimle genişletilebilir” felsefesi, yöneticilerin tam yetkiye sahip olmalarını sağlar: sunucu yalnızca amaçlanan rolü için açıkça gerekli olanları ortaya çıkarır. Bu, hem operasyonel güvenliği hem de performans verimliliğini en üst düzeye çıkaran bir modeldir.