Sunucu Erişim Kontrolü ve Yetkilendirme Rehberi

Sunucu Güvenliğinde Gelişmiş Erişim Kontrolü ve Yetkilendirme Nedir?

Sunucu güvenliğinin temel taşlarından biri olan erişim kontrolü ve yetkilendirme, sistem kaynaklarına kimlerin, ne zaman ve hangi koşullar altında erişebileceğini belirleyen kritik güvenlik mekanizmalarıdır. Modern IT altyapılarında, artan siber tehditler ve karmaşık kullanıcı yönetimi gereksinimleri nedeniyle gelişmiş erişim kontrolü stratejileri zorunlu hale gelmiştir.

Araştırmalara göre, veri ihlallerinin %82'sinden fazlası insan hatası veya kötüye kullanılmış kimlik bilgilerinden kaynaklanmaktadır (Verizon DBIR 2023). Bu nedenle etkili bir erişim kontrolü sistemi, sunucu güvenliğinin ilk savunma hattıdır.

Erişim Kontrolü Modelleri

Sunucu ortamlarında kullanılan temel erişim kontrolü modelleri şunlardır:

1. Zorunlu Erişim Kontrolü (MAC)

MAC modelinde, erişim hakları işletim sistemi tarafından merkezi olarak belirlenir ve kullanıcılar bu kuralları değiştiremez. Sunucu güvenliği açısından en katı model olan MAC, devlet kurumları ve yüksek güvenlik gerektiren ortamlarda tercih edilir.

2. İsteğe Bağlı Erişim Kontrolü (DAC)

DAC'ta kaynak sahipleri kendi kaynakları için erişim haklarını belirleyebilir. Linux dosya sistemi izinleri (read/write/execute) buna örnektir. Esnek yapısı nedeniyle yaygın kullanılır ancak güvenlik açısından daha az kontrollüdür.

3. Rol Tabanlı Erişim Kontrolü (RBAC)

RBAC, kullanıcılara doğrudan izin vermek yerine rollere atama yapar. Bu yaklaşım, en az yetki ilkesi (Principle of Least Privilege) uygulanmasını kolaylaştırır ve yönetim overhead'ını azaltır.

4. Öznitelik Tabanlı Erişim Kontrolü (ABAC)

ABAC, kullanıcı öznitelikleri, kaynak öznitelikleri ve çevresel koşullar gibi çoklu parametreleri değerlendirerek dinamik erişim kararları verir. Bulut ortamlarında ve mikro-hizmet mimarilerinde tercih edilir.

En Az Yetki İlkesi (Principle of Least Privilege)

En az yetki ilkesi, kullanıcılara yalnızca görevlerini yerine getirmek için gereken minimum düzeyde erişim hakkı tanınmasını öngörür. Bu ilkenin uygulanması:

• İhlal yüzeyini azaltır: Ele geçirilen bir hesabın yapabileceği zarar sınırlanır.
• İç tehditleri minimize eder: Kötü niyetli iç kullanıcıların erişimi kısıtlanır.
• Uyumluluk gereksinimlerini karşılar: GDPR, HIPAA gibi düzenlemeler için temel gerekliliklerden biridir.

Linux sistemlerde bu ilke, kullanıcı grupları ve sudo yapılandırması ile uygulanır.

Çok Faktörlü Kimlik Doğrulama (MFA)

Tek faktörlü kimlik doğrulama (yalnızca şifre) artık yetersiz kalmaktadır. MFA, erişim güvenliğini önemli ölçüde artırır:

• Bilgi faktörü: Bildiğiniz şey (şifre, PIN)
• Sahiplik faktörü: Sahip olduğunuz şey (telefon, güvenlik anahtarı)
• Biyometrik faktör: Olduğunuz şey (parmak izi, yüz tanıma)

İstatistiklere göre, MFA uygulayan kuruluşlar hesap ele geçirme saldırılarında %99,9'a varan azalma sağlamaktadır (Microsoft Security 2023).

SSH Anahtar Yönetimi ve Güvenli Uzaktan Erişim

Sunuculara uzaktan erişim için SSH (Secure Shell) en yaygın kullanılan protokol olmakla birlikte, varsayılan ayarlarıyla yeterli güvenlik sağlamaz. Gelişmiş SSH güvenliği için:

Önerilen SSH Yapılandırması

• Şifre tabanlı girişi devre dışı bırakın: Yalnızca anahtar tabanlı kimlik doğrulama kullanın.
• Root girişini kapatın: sudo ile yetkili kullanıcı üzerinden erişim sağlayın.
• Bağlantı noktasını değiştirin: Varsayılan 22 yerine farklı bir port kullanın.
• Fail2ban kurun: Brute force saldırılarına karşı otomatik engelleme sağlayın.
• İki faktörlü SSH doğrulama: Google Authenticator veya YubiKey entegrasyonu ekleyin.

Sunucu optimizasyonu süreçlerinde SSH güvenliği de göz önünde bulundurulmalıdır.

PAM (Pluggable Authentication Modules) Yapılandırması

Linux sistemlerde PAM, kimlik doğrulama mekanizmalarının modüler yapıda yönetilmesini sağlar. /etc/pam.d/ dizini altındaki yapılandırma dosyaları aracılığıyla:

• Parola politikaları (uzunluk, karmaşıklık, yaş)
• Başarısız giriş denemeleri sınırları
• Oturum açma saat kısıtlamaları
• Belirli kullanıcıların erişim yasağı

PAM yapılandırması, merkezi yedekleme politikaları ile entegre edilerek daha kapsamlı bir güvenlik durumu oluşturulabilir.

Denetim Günlükleri ve İzleme

Erişim kontrolünün etkinliği, sürekli izleme ve denetim gerektirir. Temel izleme stratejileri:

• Kimlik doğrulama günlükleri: /var/log/auth.log (Debian/Ubuntu) veya /var/log/secure (RHEL/CentOS)
• Komut geçmişi: Bash history zaman damgaları ile yapılandırın
• Dosya bütünlük izleme: AIDE veya Tripwire kullanın
• Merkezi log yönetimi: ELK Stack veya Graylog ile toplayın

Sistem denetimi ve izleme için açık kaynak araçları (OSSEC, Wazuh) kurumsal ortamlarda tercih edilmektedir.

Erişim Kontrolü Karşılaştırma Tablosu

Model	Güvenlik Seviyesi	Esneklik	Yönetim Karmaşıklığı	Kullanım Alanı
MAC	Çok Yüksek	Düşük	Yüksek	Devlet, Askeri
RBAC	Yüksek	Orta	Orta	Kurumsal Sunucular
ABAC	Çok Yüksek	Çok Yüksek	Yüksek	Bulut, Mikro-hizmetler
DAC	Orta	Çok Yüksek	Düşük	Kişisel Sistemler

Uygulama Adımları: Adım Adım Erişim Kontrolü

1. Adım: Mevcut Durum Analizi

Tüm kullanıcı hesaplarını, mevcut izinleri ve erişim haklarını belgeleyin. Kullanılmayan hesapları devre dışı bırakın.

2. Adım: Rol Tanımlama

Kuruluşunuzdaki farklı görev tanımlarını analiz ederek roller oluşturun. Her rol için gerekli minimum izinleri belirleyin.

3. Adım: Politika Oluşturma

Erişim politikalarını yazılı hale getirin. Parola gereksinimleri, oturum süreleri ve MFA zorunlulukları gibi kuralları tanımlayın.

4. Adım: Teknoloji Uygulaması

LDAP/Active Directory entegrasyonu, sudo yapılandırması, SSH anahtar dağıtımı ve MFA çözümlerini uygulayın.

5. Adım: Sürekli İzleme

Düzenli denetimler gerçekleştirin, anormallikleri tespit edin ve politikaları güncelleyin.

Sonuç

Gelişmiş erişim kontrolü ve yetkilendirme, kapsamlı bir sunucu güvenliği stratejisinin temel bileşenidir. En az yetki ilkesi, çok faktörlü kimlik doğrulama, RBAC ve sürekli izleme combination ile sunucularınızı yetkisiz erişimden koruyabilirsiniz.

Unutmayın: Güvenlik tek seferlik bir işlem değil, sürekli bir süreçtir. Düzenli denetimler ve güncellemeler, güvenlik durumunuzu güçlü tutacaktır.