Сегодня в 12:56
Первое сообщение
[TAGS: apache, sunucu, güvenlik, hosting, web güvenliği]
Apache Sunucularında Veri Güvenliği
Giriş: Apache, dünya çapında en çok kullanılan web sunucularından biri ve konfigürasyon esnekliğiyle bilinir. Ancak bu güç, doğru yapılandırılmadığında veri güvenliği risklerini de artırır. Bu nedenle güvenlik, yapılandırmanın temel bir parçasıdır ve çoğu zaman “ikinci katman güvenlik” olarak uygulanır: ulaşılabilirliğin korunması, veri bütünlüğünün sağlanması ve yetkisiz erişimin engellenmesi.
1) Transport Katmanı ve Şifreleme
- TLS sertifikası kullanımı: http yerine https yönlendirmesi zorunlu hale getirilmeli. Modern sürümlerde TLS 1.2 veya 1.3 tercih edilmeli ve zayıf paketler devre dışı bırakılmalı.
- SSL/TSL konfigürasyonu: Cipher suite seçimi, PFS (forward secrecy) ve HSTS başlıkları uygulanmalı. Bu, eski protokoller veya zayıf anahtar değişimlerinin kullanımlarını engeller.
- Direktifler örnekleri:
1234Protocols h2 http/1.1
SSLProtocol all -SSLv2 -SSLv3
SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
2) Sunucu Erişimi ve Yetkilendirme
- Erişim kontrolleri: Yönetim panellerine sadece belirli IP’lerden erişim veya VPN arayüzü üzerinden erişim.
- HTTP temel kimlik doğrulamasını mümkünse azaltma ve OAuth/JWT gibi daha güvenli akışları tercih etme.
- Dizin listelemesini kapatma ve güvenlik için ön uç proxy ile kimlik doğrulama katmanını ayırma.
3) Güncellemeler ve İzleme
- Apache’nin sürüm farklarını ve modüllerini güncel tutma; mod_security gibi güvenlik modüllerinin etkin olması.
- Loglama: erişim ve hata loglarını merkezi bir güvenlik bilgi ve olay yönetimi (SIEM) sistemiyle analiz etme.
- Uygulama tarafı güvenlik: .htaccess yerine ana konfigürasyon dosyasının kullanımı, gereksiz modüllerin devre dışı bırakılması.
4) Veri Bıçağı: Data in Transit ve Data at Rest
- Giriş/çıkış verilerinizi TLS ile koruyun; arka uç veritabanı bağlantıları için şifreli iletim ve at-rest şifreleme için uygun çözümler düşünün.
- Şifreleme anahtarlarının güvenli yönetimi: anahtar yönetimini ayrı bir güvenlik katmanında tutma, anahtar rotasyonu belirli periyotlarda yürütme.
Sonuç: Güvenlik, tek bir konfigürasyona bağlı kalmayan çok katmanlı bir yaklaşım ister. TLS uygulanmasıyla başlayan güvenli iletişim, güçlü erişim kontrolleri, düzenli güncellemeler ve etkin izleme ile desteklenmelidir. Apache konfigürasyonunuza dair özel bir senaryo veya karşılaştığınız bir risk var mı?
