SSH Güçlendirme ve Denetim için En İyi Uygulamalar

SSH güvenliğini güçlendirmede en etkili tek adım, /etc/ssh/sshd_config içinde PasswordAuthentication no ayarını yapmaktır. Bu, tüm kullanıcıları açık anahtarlarla kimlik doğrulaması yapmaya zorlar ve zayıf veya yeniden kullanılmış parolalardan ve kaba kuvvet saldırılarından kaynaklanan riski ortadan kaldırır. Parola kimlik doğrulamasını devre dışı bırakmadan önce en az bir yetkilendirilmiş anahtarın kurulu olduğundan emin olun; aksi hâlde kendinizi sistemin dışında bırakabilirsiniz.

AllowUsers ve AllowGroups yönergeleri, SSH erişimini adı belirtilen kullanıcılarla veya grup üyeleriyle sınırlar. Örneğin AllowGroups sshusers, yalnızca sshusers grubunun üyelerine izin verir. Bu, katmanlı savunma sağlar: bir saldırgan bir kullanıcı adını bilse ve kimlik bilgilerini ele geçirse bile, hesap açıkça izin verilmediği sürece SSH erişimi reddedilir.

SSH'yi 22 numaralı bağlantı noktasından yüksek numaralı bir bağlantı noktasına taşımak güvenlik değil, gizlemeye dayalı bir yaklaşımdır. Ancak 22 numaralı bağlantı noktasını hedefleyen otomatik tarayıcıların günlüklerde oluşturduğu gürültüyü önemli ölçüde azaltır. Bu, gerçek tehditlere yönelik günlükleri analiz etmeyi kolaylaştırır. Güvenlik duvarı kurallarını her zaman birincil erişim denetimi olarak koruyun; bağlantı noktası gizleme yalnızca yardımcı bir önlemdir.

PermitRootLogin no ayarı, SSH üzerinden doğrudan kök kullanıcı kimlik doğrulamasını engeller. Kök kullanıcıyı hedefleyen saldırganların geçerli bir kullanıcı adı ve başarılı olmaları hâlinde sınırsız ayrıcalıkları vardır. Önerilen ayar PermitRootLogin prohibit-password değeridir; bu ayar kök kullanıcıyla yalnızca açık anahtar kimlik doğrulaması kullanılarak oturum açılmasına izin verir, parola tabanlı kök kullanıcı kaba kuvvet saldırılarını engeller ve acil durum erişimini korur.

MaxAuthTries 3, bağlantı başına kimlik doğrulama denemesi sayısını üçle sınırlar. Üç başarısız denemeden sonra sunucu bağlantıyı sonlandırır. Bu, kaba kuvvet denemelerini yavaşlatır. Tekrarlanan başarısızlıklardan sonra IP adreslerini geçici olarak engelleyen fail2ban veya SSHGuard'ın üstel geri çekilmesiyle birlikte kullanıldığında, kaba kuvvet saldırılarının gerçekleştirilmesi hesaplama açısından olanaksızlaşır.

LoginGraceTime, bağlantıyı kesmeden önce sunucunun başarılı kimlik doğrulama için ne kadar bekleyeceğini belirtir. Varsayılan değer 120 saniyedir; bunu 20 saniyeye düşürmek yavaş kaba kuvvet denemelerini önler ve kimlik doğrulaması yapılmamış bağlantıların kaynakları meşgul tutmasını azaltır. ClientAliveInterval ve ClientAliveCountMax, boşta kalan veya yanıt vermeyen oturumların bağlantısını kesmek için bağlantı durumu denetimlerini yönetir.

Modern SSH yapılandırmaları, algoritmaları güçlü ve güncel seçeneklerle sınırlamalıdır. sshd_config içinde Ciphers değerini chacha20-poly1305@openssh.com,aes256-gcm@openssh.com olarak, MACs değerini hmac-sha2-256-etm@openssh.com olarak ve KexAlgorithms değerini curve25519-sha256 olarak ayarlayın. Bu, geriye dönük uyumluluk için kullanılabilir olan arcfour, DES ve MD5 tabanlı MAC'ler gibi eski algoritmaları ortadan kaldırır.

fail2ban, kimlik doğrulama günlüklerini izler ve başarısız oturum açma denemeleri belirli bir eşiği aşan IP adreslerini yasaklar. Belirli bir zaman aralığında yapılandırılabilir sayıda başarısızlıktan sonra fail2ban, bu IP'den gelen sonraki paketleri düşürmek için bir iptables kuralı ekler. Bu otomatik yanıt, manuel müdahale gerektirmeden kaba kuvvet saldırılarını uygulanamaz hâle getirir.

ssh-audit aracı bir SSH sunucusuna bağlanır ve yapılandırmasını değerlendirir: sunduğu anahtar değişim algoritmalarını, ana bilgisayar anahtarı türlerini, şifreleri ve MAC'leri inceler, kullanımdan kaldırılmış veya zayıf seçenekleri işaretler. Güçlendirme öncesinde ve sonrasında sunucularınızda ssh-audit çalıştırmak, nesnel bir öncesi-sonrası değerlendirmesi sağlar ve yapılandırma eksikliklerini belirler.

SSH kimlik doğrulama olayları syslog aracılığıyla günlüğe kaydedilir. Linux'ta /var/log/auth.log (Debian) veya /var/log/secure (RHEL), her başarılı ve başarısız oturum açma işlemini zaman damgası, kullanıcı adı, kaynak IP ve kullanılan anahtar parmak iziyle birlikte kaydeder. Bu günlükleri merkezi bir SIEM'e göndermek, beklenmeyen ülkelerden veya alışılmadık saatlerde yapılan oturum açmalar gibi olağandışı erişim örüntülerinin tespit edilmesini sağlar.

Güçlendirilmiş bir sshd_config; PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, kısıtlanmış Ciphers ve MACs, X11Forwarding no ve tünelleme gerekmedikçe AllowTcpForwarding no ayarlarını bir araya getirir. Her yönerge belirli bir saldırı vektörünü ortadan kaldırır ve tümü birlikte katmanlı bir SSH güvenlik duruşu oluşturur.

SSH güvenlik güçlendirme denetim listesi: parola kimlik doğrulamasını devre dışı bırakın, erişimi AllowGroups/AllowUsers ile sınırlayın, kök kullanıcıyla oturum açmayı devre dışı bırakın veya yalnızca anahtar kullanımına sınırlayın, MaxAuthTries 3 değerini ayarlayın, LoginGraceTime değerini azaltın, algoritmaları yalnızca modern şifreleme algoritmalarıyla sınırlayın, fail2ban veya SSHGuard'ı devreye alın, nesnel değerlendirme için ssh-audit çalıştırın ve anomali tespiti için günlükleri merkezileştirin.