Web sitesi güvenliği nasıl sağlanır? 7 adım ve aylık liste

Web sitesi güvenliği nasıl sağlanır sorusunun kısa cevabı şu: Tek bir araçla değil, birbirini tamamlayan katmanlarla. Yazılımı güncel tutarsınız, girişleri güçlü şifre ve iki adımlı doğrulamayla korursunuz, düzenli yedek alırsınız, önüne bir güvenlik duvarı koyarsınız, dosya izinlerini daraltırsınız ve siteyi zararlı yazılıma karşı tarayıp izlersiniz. Bunu her ay tekrarlanan bir rutine çevirmek işin asıl kısmıdır.

Kısaca:

• Saldırıların çoğu güncellenmemiş eklentilerden ve zayıf şifrelerden girer; ilk iş bunları kapatmaktır.
• Yedeğiniz yoksa en iyi güvenlik önlemi bile sizi kurtarmaz; yedeği siteden ayrı bir yerde saklayın.
• Güvenliği bir kerelik kurulum olarak değil, aylık bir kontrol listesi olarak düşünün.

Web sitesi güvenliği nasıl sağlanır?

Güvenliği katman katman kurarak sağlarsınız; bir katman aşılırsa bir sonraki devreye girer. Kapınızı kilitlemek iyidir ama alarm, kamera ve sigorta da olunca gece rahat uyursunuz.

İşletme sitelerinde gördüğüm sorunların büyük kısmı karmaşık saldırılardan değil, ihmal edilmiş temel adımlardan kaynaklanır. Aşağıdaki yedi başlık bu temeli oluşturuyor:

1. Güncellemeler
2. Güçlü giriş ve iki adımlı doğrulama
3. Yedekleme
4. Web uygulaması güvenlik duvarı
5. Dosya izinleri
6. Zararlı yazılım taraması ve izleme
7. Aylık kontrol rutini

Güncellemeler neden ilk sırada?

Güncellemeler ilk sıradadır, çünkü bilinen bir açık yayımlandığında onu kullanan saldırı denemeleri de hızla başlar. Güncel olmayan bir site, kapısı açık bırakılmış bir dükkân gibidir.

Güncellenmesi gerekenler yalnızca içerik yönetim sistemi değildir:

• Çekirdek yazılım: WordPress gibi sistemin kendisi.
• Eklentiler ve temalar: En sık açık bulunan kısım genellikle burasıdır.
• Sunucu tarafı: PHP sürümü ve sunucu yazılımları.
• Kullanılmayan eklentiler: Pasif bırakmak yetmez, tamamen silin.

Güncellemeyi canlı sitede körlemesine yapmayın. Önce yedek alın, mümkünse bir test kopyasında deneyin, sonra canlıya geçin. Güncelleme sonrası site bozulursa yedekten dönmek dakikalar sürer.

Güçlü giriş ve iki adımlı doğrulama (2FA) nasıl kurulur?

Yönetim paneline girişi, uzun ve benzersiz bir şifre ile iki adımlı doğrulama birlikte korur. İki adımlı doğrulama (2FA), şifrenin yanında telefona gelen kod gibi ikinci bir kanıt isteyen giriş yöntemidir.

ABD siber güvenlik ajansı CISA'ya göre çok faktörlü kimlik doğrulama, girişte iki veya daha fazla kimlik bilgisinin birlikte istendiği katmanlı bir yaklaşımdır. Bir şifre ele geçirilse bile yetkisiz kişi ikinci adımı geçemez.

Uygulamada şunları öneririm:

1. Her yönetici için ayrı hesap açın; ortak şifre kullanmayın.
2. Şifreleri bir şifre yöneticisinde saklayın ve her sitede farklı şifre kullanın.
3. Yönetim paneli, hosting paneli ve alan adı hesabında 2FA'yı açın.
4. Varsayılan "admin" gibi kullanıcı adlarını değiştirin.
5. Ardı ardına hatalı giriş denemelerini sınırlayın.
6. İşten ayrılan çalışanın ya da işi biten ajansın erişimini hemen kapatın.

Yedekleme nasıl yapılmalı?

Yedek otomatik, düzenli ve siteden ayrı bir yerde tutulmalıdır. Sitenizle aynı sunucuda duran yedek, sunucu çöktüğünde ya da hacklendiğinde onunla birlikte gider.

İyi bir yedekleme düzeni şöyle görünür:

• Dosyalar ve veritabanı birlikte: Yalnızca dosya yedeği siparişleri ve içerikleri geri getirmez.
• Sıklık sitenin hareketine göre: E-ticaret sitesinde günlük, az değişen kurumsal sitede haftalık yeterli olabilir.
• Birden fazla sürüm: Hack birkaç gün fark edilmezse temiz bir eski sürüme dönebilmeniz gerekir.
• Geri yükleme testi: Hiç denenmemiş yedek, yedek sayılmaz. Arada bir test ortamına geri yükleyip açıldığını kontrol edin.

Web uygulaması güvenlik duvarı (WAF) ne işe yarar?

WAF, sitenize gelen zararlı istekleri siteye ulaşmadan durdurur. Vikipedi'deki tanıma göre web uygulaması güvenlik duvarı, bir uygulamaya giden ve uygulamadan gelen HTTP trafiğini filtreler, inceler ve engeller.

Sıradan güvenlik duvarından farkı, sunucular arasında genel bir geçit olmak yerine belirli bir web uygulamasının içeriğini filtreleyebilmesidir. WAF sanal da olabilir fiziksel de; küçük işletmeler için genellikle bulut tabanlı ya da eklenti olarak gelen çözümler yeterlidir.

WAF şu tür girişimlere karşı işe yarar:

• Form ve adres satırı üzerinden yapılan kod enjeksiyonu denemeleri
• Giriş sayfasına yönelik otomatik şifre deneme saldırıları
• Kötü niyetli botların yoğun trafiği

WAF kurallarının çoğu, en yaygın web açıklarını listeleyen OWASP Top 10 gibi çalışmalara dayanır. Hosting tarafında hangi seçeneklerin olduğunu merak ediyorsanız hosting, domain ve kurumsal altyapı sayfasına göz atabilirsiniz.

Dosya izinleri nasıl ayarlanmalı?

Dosya izinleri, "gerektiği kadar yetki" ilkesiyle ayarlanmalıdır. Dosya izni, sunucudaki bir dosyayı kimin okuyabileceğini, değiştirebileceğini ya da çalıştırabileceğini belirleyen ayardır.

Dikkat etmeniz gerekenler:

• Herkese yazma izni veren klasör ve dosya bırakmayın.
• Veritabanı şifresini tutan wp-config.php gibi yapılandırma dosyalarını daha sıkı koruyun.
• Yükleme klasöründe kod çalıştırılmasını engelleyin.
• .env, yedek arşivleri ve .git klasörü gibi hassas dosyaları dışarıdan erişilebilir bırakmayın.

Açıkta kalan hassas dosyaları kontrol etmek için ücretsiz site güvenlik analizi aracımızı kullanabilirsiniz. Araç siteye zarar vermeden sertifikanızı, güvenlik başlıklarınızı, açıkta kalan dosyaları ve adınıza sahte e-posta gönderilmesini önleyen kayıtları kontrol ediyor.

Zararlı yazılım taraması ve izleme nasıl yapılır?

Zararlı yazılımı düzenli tarama ile, sorunları ise sürekli izleme ile yakalarsınız. Hacklenmiş siteler çoğu zaman ilk günden belli olmaz; gizli bağlantılar, sahte sayfalar ya da yönlendirmeler haftalarca fark edilmeden kalabilir.

Google'a göre hacklenmiş içerik, güvenlik açıkları nedeniyle site sahibinin izni olmadan siteye yerleştirilen her türlü içeriktir. Google bunu tespit ederse Search Console'daki Güvenlik sorunları raporunda gösterir; kimlik avı ve zararlı yazılım yükleme gibi davranışlar da burada listelenir.

İzleme için şunları kurun:

• Search Console: Siteyi ekleyin ve e-posta bildirimlerini açık tutun.
• Erişilebilirlik takibi: Site kapandığında size haber veren bir izleme servisi.
• Dosya değişikliği uyarısı: Sizin bilginiz dışında değişen dosyaları bildiren bir güvenlik eklentisi.
• Resmî bildirimler: Ulusal Siber Olaylara Müdahale Merkezi'nin güvenlik bildirimleri, USOM sitesindeki duyuruya göre artık Siber Güvenlik Başkanlığı'nın sitesinde yayımlanıyor.

Site bir gün açılmazsa nereden başlayacağınızı web sitem neden açılmıyor yazısında anlattım.

Aylık kontrolle web sitesi güvenliği nasıl sağlanır?

Ayda bir saat ayırıp aşağıdaki listeyi sırayla uygulayarak güvenliği sürdürürsünüz. Listeyi takviminize tekrar eden bir görev olarak eklemenizi öneririm.

Güncelleme ve erişim

1. Çekirdek yazılımı, eklentileri ve temaları güncelleyin.
2. Kullanılmayan eklenti ve temaları silin.
3. Yönetici hesaplarını gözden geçirin; tanımadığınız ya da artık gerekmeyen hesapları kapatın.
4. Tüm yöneticilerde 2FA'nın açık olduğunu doğrulayın.

Yedek ve geri yükleme

5. Son yedeklerin gerçekten alındığını kontrol edin.
6. Üç ayda bir de olsa bir yedeği test ortamına geri yükleyin.

Tarama ve izleme

7. Zararlı yazılım taraması çalıştırın.
8. Search Console'da Güvenlik sorunları raporuna bakın.
9. WAF ve güvenlik eklentisinin engellediği denemeleri gözden geçirin.
10. SSL sertifikasının bitiş tarihini kontrol edin.
11. Açıkta kalan hassas dosyaları ve güvenlik başlıklarını bir analiz aracıyla tarayın.

Siteniz hacklendiyse ilk ne yapmalısınız?

İlk iş paniğe kapılmadan erişimi kesmek ve temiz bir yedeğe dönmektir. Ardından tüm şifreleri değiştirin, açığın girdiği yeri bulun ve kapatın; yalnızca zararlı dosyayı silmek aynı açıktan tekrar girilmesini engellemez.

Google, Güvenlik sorunları raporunda gösterilen tüm örneklerin düzeltilmesini ve sorunun giderildiğinden emin olunduktan sonra aynı rapor üzerinden güvenlik incelemesi istenmesini öneriyor. İnceleme olumlu sonuçlanınca arama sonuçlarındaki uyarılar kalkar.

Güvenliği alışkanlığa çevirin

Web sitesi güvenliği nasıl sağlanır diye düşündüğünüzde aklınızda tek bir cümle kalsın: Düzenli bakım. Güncellemeler, 2FA, yedek, WAF, dosya izinleri ve tarama birlikte çalıştığında saldırganın işi ciddi biçimde zorlaşır.

Başlamak için sitenizi ücretsiz güvenlik analizinden geçirebilirsiniz. Bu rutini kendiniz takip etmek yerine düzenli olarak yürütülmesini istiyorsanız web sitesi bakım ve teknik destek sayfasında nasıl çalıştığımı anlattım.

Sık sorulan sorular

Web sitesi güvenliği nasıl sağlanır, nereden başlamalıyım?

Güncellemelerden ve girişlerden başlamalısınız. Çekirdek yazılımı, eklentileri ve temaları güncelleyin, kullanılmayanları silin, ardından tüm yönetici hesaplarında güçlü şifre ve iki adımlı doğrulamayı açın. Bunların hemen arkasından otomatik ve siteden ayrı saklanan bir yedekleme düzeni kurun; diğer önlemler bu temelin üstüne eklenir.

İki adımlı doğrulama siteyi gerçekten korur mu?

Evet, giriş güvenliğini belirgin biçimde artırır. CISA'ya göre çok faktörlü doğrulamada şifre ele geçirilse bile yetkisiz kişi ikinci doğrulama adımını geçemez. Yönetim panelinin yanında hosting paneli ve alan adı hesabında da açılması gerekir, çünkü bu hesaplar da sitenin kontrolünü verir.

Sitemin hacklendiğini nasıl anlarım?

En güvenilir yollardan biri Search Console'daki Güvenlik sorunları raporudur. Google sitenin hacklendiğini ya da ziyaretçiye zarar verebilecek davranış gösterdiğini belirlerse bulgularını burada listeler. Bunun yanında tanımadığınız sayfalar, garip yönlendirmeler ve bilginiz dışında değişen dosyalar da hacklenme belirtisidir.

WAF ile normal güvenlik duvarı arasındaki fark nedir?

WAF belirli bir web uygulamasının trafiğini içerik düzeyinde filtreler. Sıradan güvenlik duvarları sunucular arasında genel bir güvenlik geçidi olarak çalışır; WAF ise siteye giden ve siteden gelen HTTP trafiğini inceleyip kod enjeksiyonu ya da şifre deneme saldırısı gibi zararlı istekleri engelleyebilir.

Küçük bir işletme sitesinde web sitesi güvenliği nasıl sağlanır, ne sıklıkla kontrol etmeliyim?

Ayda bir kez düzenli kontrol çoğu işletme sitesi için iyi bir başlangıçtır. Bu kontrolde güncellemeleri yapın, yönetici hesaplarını gözden geçirin, yedeklerin alındığını doğrulayın, zararlı yazılım taraması çalıştırın ve Search Console'daki Güvenlik sorunları raporuna bakın. Yedekleme ise sitenin hareketine göre daha sık olmalıdır.

Kaynaklar

• cisa.gov: Multi-Factor Authentication (MFA) - CISA
• tr.wikipedia.org: Web uygulaması güvenlik duvarı - Vikipedi
• support.google.com: Security issues report - Search Console Help (Google)
• usom.gov.tr: USOM — Ulusal Siber Olaylara Müdahale Merkezi / Siber Güvenlik Başkanlığı
• tr.wikipedia.org: Ulusal Siber Olaylara Müdahale Merkezi - Vikipedi