Linux Sunucularda SSH Güvenliği Sıkılaştırma: Port Değişimi, Fail2Ban ve Root Girişi Kapatma

Standart SSH Portunun Yarattığı Siber Riskler

İnternete açık bir Linux sunucusu kurulduğu andan itibaren siber saldırganların otomatik tarama botları tarafından hedef alınır. SSH servisinin varsayılan olarak 22 numaralı portta çalışması, kaba kuvvet (Brute Force) ve sözlük saldırılarıyla kullanıcı adı/şifre kombinasyonlarının denenmesine yol açar. Bu saldırılar yalnızca sunucuya yetkisiz erişim riski doğurmaz, aynı zamanda işlemci (CPU) ve bant genişliği tüketerek sunucunun yanıt verme süresini olumsuz etkiler.

Sunucu erişim kapılarını korumak için uygulanması gereken temel sıkılaştırma (Hardening) adımları bulunmaktadır.

4 Aşamalı SSH Sertleştirme Metodolojisi

1. Standart Portu (22) Değiştirme

• SSH yapılandırma dosyasını düzenleyin:

  Bash

  nano /etc/ssh/sshd_config
  

• #Port 22 satırını bulun, başındaki diyez işaretini kaldırın ve 1024 ile 65535 arasında kullanılmayan rastgele bir port tanımlayın (Örn: Port 48292).

• Kritik Adım: Servisi yeniden başlatmadan önce güvenlik duvarında (UFW) yeni porta izin verin:

  Bash

  ufw allow 48292/tcp && ufw reload
  

2. Root Kullanıcısının Uzaktan Girişini Kapatma

Saldırganlar tüm brute-force denemelerini varsayılan root kullanıcı adı üzerinden yapar. Yetkili işlemleri sudo yetkisine sahip ikincil bir kullanıcıya devretmek riski minimize eder:

• sshd_config dosyası içinde PermitRootLogin satırını bulun ve değerini no yapın:

  Plaintext

  PermitRootLogin no
  

3. Şifreli Girişi Kapatıp SSH Key (Anahtar) Doğrulamasına Geçme

Parolalar ne kadar karmaşık olursa olsun sızdırılabilir. Asimetrik RSA veya Ed25519 anahtarları kırılamaz kimlik doğrulaması sağlar:

• Kendi yerel bilgisayarınızda bir anahtar çifti oluşturun: ssh-keygen -t ed25519

• Oluşan genel anahtarı sunucuya aktarın: ssh-copy-id -p 48292 kullanici@sunucu_ip

• Bağlantının çalıştığını test ettikten sonra sunucu tarafındaki sshd_config dosyasında parola ile girişi devre dışı bırakın:

  Plaintext

  PasswordAuthentication no
  

• SSH servisini yeniden yükleyin:

  Bash

  systemctl restart sshd
  

4. Fail2Ban ile Otomatik IP Engelleme

Hatalı parola denemesi yapan IP adreslerini otomatik olarak iptables seviyesinde banlamak için Fail2Ban kurulmalıdır:

• Paketi yükleyin:

  Bash

  apt install fail2ban -y
  

• Yapılandırma dosyasını kopyalayın: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

• nano /etc/fail2ban/jail.local dosyasında SSH bloğunu bularak yeni belirlediğiniz portu (port = 48292) yazın, maxretry = 3 ve bantime = 1d tanımlayarak 3 hatalı deneme yapan IP’yi 24 saat engelleyin.

• Servisi başlatın: systemctl restart fail2ban

Kurumsal Siber Savunma ve Sistem Denetimi

SSH sertleştirmesi altyapı güvenliğinin ilk katmanıdır. Kurumsal sunucularda ağ segmentasyonu (VLAN), uç nokta güvenliği ve merkezi log yönetimi sağlanmadığı sürece iç tehditler risk oluşturmaya devam eder. Sunucu altyapılarınızın güvenlik denetimi (Vulnerability Assessment) ve izolasyonu için BaykalSoft siber güvenlik ekibimizle çalışabilirsiniz.