Web Sunucusu Logları Nasıl Korunur?

Günümüzde web sunucusu logları, sorun çözümünden güvenlik olaylarına kadar pek çok kritik görevi üstlenir. Ancak bu logların sızdırılması veya bozularak değiştirilmesi, saldırganların izlerini gizlemesini ve operasyonel görünürlüğün azalmasını sağlar. Aşağıda, log güvenliğini artırmak için uygulanabilir, pratik adımları derledim.

• Erişim ve yazma yetkilerini sınırla
  — Log dosyaları genellikle kök klasörde bulunur ve çoğu zaman trapdoor olarak yanlış konumlandırılır. Log dizinlerine yalnızca gerekli kullanıcıların yazma izni verilmelidir. Örneğin, web sunucusu çalıştıran kullanıcı için yazma yetkisini sadece log klasörüne tahsis edin; diğer kullanıcılar için okuma/kalıcı arşivleme izni sınırlı olsun.
• Yapılandırma güvenliğini güçlendir
  — Log dosyalarının bulunduğu dizinlerin sahipliği ve izinleri (ls -l tarzı) kuralına uyulur. Ayrıca log rotağını değiştirmeyi hedefleyen müdahalelere karşı, log açma noktalarını imza ile doğrulayan mekanizmalar kullanın. Örneğin, logrotate gibi araçların konfigürasyon dosyalarını kimlik doğrulama ile kilitleyin ve değişiklikleri denetleyin.
• Log bütünlüğünü sağlayın
  — Log içeriğinin değiştirilmesini önlemek için zaman damgası doğrulaması, kriptografik imza veya HMAC kullanımı düşünün. Özellikle güvenlik olaylarıyla ilgili loglarda, olayın orijinal akışını korumak için yazma sonrası imza kontrolü uygulanabilir.
• Merkezi ve yazılabilir olmayan depolama
  — Logları mümkün olduğunca merkezi bir güvenli depolamaya yönlendirin. Ağ üzerinden güvenli protokollerle (TLS/TLSv1.2+; SSH üzerinden taşıma) iletilen loglar, hedefte sadece okunabilir olarak monte edilsin ve yazma yetkileri merkezi sunucunun hesaplarına kısıtlanmış olsun.
• Yedekleme ve saklama politikası
  — Loglar için belirli saklama süreleri belirleyin ve eski logları güvenli şekilde arşivleyin. WORM benzeri (write-once-read-many) medya veya immutability özellikleri sunan çözümler bu amaçla değerlendirilebilir. Yedeklemeler ayrı bir ağ bileşeninde ve bozulmaya karşı korunmuş bir yapı üzerinde tutulmalıdır.
• Log rotasyonu ve arşiv yönetimi
  — Logrotate veya eşdeğer araçlar ile günlükler periyodik olarak arşivlenip boyutlarına göre döndürülsün. Rotasyon dosyaları güvenli konumlarda tutulmalı; eski dosyaların değiştirilmesini engelleyen kurallar uygulanmalıdır.
• Giriş ve erişim denetimi
  — Hangi kullanıcıların hangi logları incelediğini ve hangi araçlarla erişim sağladığını kaydedin. Güvenlik olaylarının bağımsız denetim için loglarına erişim iyi bir şekilde izlenmelidir. Özellikle yönetimsel hesaplar için çok faktörlü kimlik doğrulama (MFA) kullanımı kritik bir adım olabilir.
• Güvenlik olaylarına karşı tetikleyiciler
  — Loglar üzerinde anormal büyüme, sık tekrarlanan hatalar veya beklenmeyen coğrafi erişimler gibi anormallikler için otomatik uyarı sistemleri kurun. Bu, saldırı planlarını erken aşamada tespit etmeye yardımcı olur.
• Uyum ve standardizasyon
  — Farklı bileşenlerde tutarlı log formatları ve zaman senkronizasyonu (NTP) kullanın. UTC zamanı ile ortak bir referans, olay zamanlamasını netleştirir.
• Kamuya açık loglar için ek önlemler
  — Eğer bazı loglar halka açık olarak sunuluyorsa, içeriğinde kişisel verileri veya güvenlik açısından hassas bilgileri olmadığından emin olun. Gerektiğinde veri maskesi veya anonimizasyon uygulanabilir.