Web Sitesi Güvenliği: WAF, ModSecurity ve Sunucu Güvenliği Önlemleri

Web Sitesi Güvenliği: WAF, ModSecurity ve Sunucu Güvenliği Önlemleri

İnternet dünyasında her gün binlerce web sitesi saldırıya uğruyor. SQL injection, XSS (Cross-Site Scripting), DDoS gibi saldırılar, güvenlik önlemleri alınmamış bir web sitesini kolaylıkla çökertip veri kaybına neden olabilir. Bu nedenle web sitesi güvenliği büyük bir öneme sahiptir. Bu yazıda, Web Application Firewall (WAF), ModSecurity ve sunucu güvenliği gibi kritik güvenlik önlemlerini detaylıca ele alacağız.

1. Web Uygulama Güvenlik Duvarı (WAF) Nedir?

Web Application Firewall (WAF), web uygulamalarını zararlı trafiklerden ve siber saldırılardan koruyan bir güvenlik katmanıdır. WAF, gelen HTTP/HTTPS isteklerini analiz ederek zararlı olabilecek istekleri engeller.

Popüler WAF Çözümleri

1. ModSecurity (Açık kaynak, Apache/Nginx/LSWS desteği)
2. Cloudflare WAF (Bulut tabanlı, DDoS koruması içerir)
3. Sucuri WAF (Web siteleri için tam güvenlik paketi sunar)
4. AWS WAF (AWS tabanlı web siteleri için özel çözüm)
5. Imperva WAF (Gelişmiş tehdit analizi ve koruma sağlar)

Öneri: Eğer kendi sunucunuzda çalıştıracağınız bir WAF arıyorsanız ModSecurity en iyi çözümlerden biridir. Eğer bulut tabanlı bir WAF tercih edecekseniz Cloudflare WAF veya Sucuri WAF gibi çözümler daha az bakım gerektirir.

2. ModSecurity ile Güvenlik Sağlama

ModSecurity, özellikle Apache, Nginx ve LiteSpeed gibi popüler web sunucularıyla çalışabilen bir WAF çözümüdür. OWASP tarafından hazırlanan Core Rule Set (CRS) kurallarını kullanarak web sitenizi saldırılara karşı korur.

ModSecurity Kurulumu (Debian 12 – Apache İçin)

1. ModSecurity modülünü yükleyin:

sudo apt update
sudo apt install libapache2-mod-security2 -y

2. OWASP Core Rule Set (CRS) Kurulumu:

sudo git clone https://github.com/coreruleset/coreruleset /etc/modsecurity/crs
cd /etc/modsecurity/crs
sudo mv crs-setup.conf.example crs-setup.conf

3. ModSecurity’yi etkinleştirin:

sudo nano /etc/apache2/mods-available/security2.conf

Aşağıdaki satırı ekleyin:

IncludeOptional /etc/modsecurity/crs/*.conf

4. Apache’yi yeniden başlatın:

sudo systemctl restart apache2

ModSecurity Ayarlarını Optimize Etme

Gereksiz kuralları devre dışı bırakma:
Bazı ModSecurity kuralları, yanlış pozitiflere neden olabilir. Örneğin, WordPress’in REST API’sini kullanıyorsanız, aşağıdaki kuralı devre dışı bırakmalısınız:

SecRuleRemoveById 949110

Performansı artırma:

SecRequestBodyLimit 13107200
SecResponseBodyLimit 524288
SecRequestBodyNoFilesLimit 102400
SecPcreMatchLimit 250000
SecPcreMatchLimitRecursion 250000

3. Sunucu Güvenliği İçin Alınması Gereken Önlemler

Bir web sunucusunun güvenli olabilmesi için aşağıdaki adımları uygulamak şarttır:

1️⃣ Güçlü Parolalar ve İki Faktörlü Kimlik Doğrulama (2FA)

• SSH, FTP, WordPress ve diğer yönetim panellerinde karmaşık ve uzun parolalar kullanın.
• Google Authenticator veya Yubikey gibi çözümlerle iki faktörlü kimlik doğrulama (2FA) etkinleştirin.

2️⃣ SSH Güvenliği

• Varsayılan SSH portunu (22) değiştirin:

sudo nano /etc/ssh/sshd_config

Port 2222 gibi farklı bir port belirleyin.

• Root kullanıcı ile girişleri kapatın:

PermitRootLogin no

• Yalnızca belirli IP’lerden erişime izin verin:

sudo ufw allow from 192.168.1.100 to any port 2222

3️⃣ DDoS ve Brute-Force Saldırılarına Karşı Koruma

• Fail2Ban kurarak saldırganları engelleyin:

sudo apt install fail2ban -y

• Cloudflare kullanarak DDoS saldırılarına karşı önlem alın.

4️⃣ Güvenlik Duvarı (Firewall) Yapılandırması

UFW kullanarak gereksiz portları kapatın:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

5️⃣ Güncellemeleri Düzenli Olarak Yapın

sudo apt update && sudo apt upgrade -y

Sistem güncellemeleri, bilinen güvenlik açıklarını kapatmak için gereklidir.

4. Güvenilir Bir Hosting Firması Nasıl Seçilir?

Eğer kendi sunucunuzu yönetmiyorsanız ve bir hosting firması kullanıyorsanız, aşağıdaki kriterlere dikkat etmelisiniz:

🔹 DDoS Koruması: Cloudflare, Imperva gibi DDoS koruma çözümleri sunuyor mu?
🔹 WAF Desteği: Hosting sağlayıcı, ModSecurity, Cloudflare WAF gibi güvenlik önlemlerine sahip mi?
🔹 Yedekleme Politikası: Haftalık veya günlük yedekleme yapılıyor mu?
🔹 Güvenlik Duvarı (Firewall): Sunucu seviyesinde güvenlik önlemleri var mı?
🔹 Güncellenmiş PHP ve MySQL Desteği: PHP ve MySQL’in en son sürümlerini kullanabiliyor musunuz?
🔹 7/24 Destek: Teknik destek hızlı ve etkili mi?

Sonuç

Web sitenizi saldırılara karşı korumak için ModSecurity veya Cloudflare WAF gibi bir güvenlik duvarı kullanmanız büyük önem taşır. Ayrıca, güçlü şifreler, güvenlik duvarı (UFW), Fail2Ban ve düzenli sistem güncellemeleriyle sunucunuzu güvenli hale getirebilirsiniz. Eğer bir hosting firması tercih ediyorsanız, DDoS koruması, WAF, yedekleme hizmetleri ve güvenlik duvarı gibi özellikleri barındıran bir sağlayıcıyı seçmeniz gerekmektedir.

Web sitesi güvenliği, önceden alınan önlemlerle saldırılara karşı korunarak sağlanır. Önlemleri ne kadar erken alırsanız, siteniz o kadar güvende olur.