Web Sitesi Güvenliği İçin Temel Önlemler

Web sitesi güvenliği, kurumsal imajın ve operasyonel sürekliliğin korunmasında kritik bir rol oynar. Web sitesi güvenliği; SSL sertifikası, WAF kullanımı ve düzenli güncellemeler ile OWASP standartlarına uygun altyapı yapılandırmalarını içeren temel teknik koruma adımlarıdır. Dijital varlıkların siber saldırganların hedefi haline gelmesi, sadece veri kaybına değil, aynı zamanda ciddi finansal kayıplara ve yasal yaptırımlara yol açar. Bu rehberde, sunucu mimarisinden uygulama katmanına kadar siber güvenlik duruşunuzu güçlendirecek adımları, teknik detayları ve sektörel standartları ele alıyoruz.

Web Sitesi Güvenliği Neden Kritik Bir İşletme Önceliğidir?

Veri İhlallerinin Kurumsal İtibar ve Finansal Etkileri

Veri ihlali (data breach), bir işletmenin karşılaşabileceği en yıkıcı operasyonel krizlerin başında gelir. Müşteri bilgilerinin, ticari sırların veya finansal kayıtların yetkisiz üçüncü şahısların eline geçmesi, şirketin pazardaki güvenilirliğini doğrudan sarsar. Bir veri sızıntısının ardından kullanıcıların platformu terk etme oranı (churn rate) hızla yükselirken, yeni müşteri edinme maliyetleri (CAC) de ciddi oranda artış gösterir. İtibar kaybı, markanın yıllar boyunca inşa ettiği değeri kısa bir süre içinde yok edebilir.

Finansal açıdan bakıldığında, güvenlik ihlallerinin doğrudan ve dolaylı olmak üzere iki farklı maliyet kalemi bulunur. Doğrudan maliyetler arasında adli bilişim (forensics) incelemeleri, sistemlerin yeniden kurulması, yasal danışmanlık ücretleri ve etkilenen kullanıcılara ödenen tazminatlar yer alır. Dolaylı maliyetler ise operasyonel duraksamalardan kaynaklanan ciro kaybı ve marka değerindeki düşüş olarak kendini gösterir. Ayrıca, global pazarda faaliyet gösteren işletmeler için siber güvenlik standartlarına uyumsuzluk, regülatörler tarafından kesilen cezalarla sonuçlanır.

Sektörel raporlara göre, veri ihlallerinin ortalama maliyeti her geçen dönem artmaktadır. Özellikle kullanıcı veritabanı sızdırılan e-ticaret platformları ve SaaS girişimleri, sadece hukuki süreçlerle değil, aynı zamanda arama motorları tarafından uygulanan algoritma cezaları ve arama sonuçlarında görünürlük kaybı gibi teknik yaptırımlarla da karşı karşıya kalır. Güvenliğin bir masraf kalemi değil, işletme değerini koruyan stratejik bir yatırım olarak konumlandırılması bu nedenle zorunludur.

Siber Tehditlere Karşı Proaktif Korumanın Gerekliliği

Reaktif güvenlik yaklaşımları, yani yalnızca bir saldırı gerçekleştikten sonra önlem alma yöntemi, modern siber tehdit ortamında yetersiz kalmaktadır. Tehdit aktörleri, zafiyetleri tespit etmek ve sızma girişimlerinde bulunmak için sürekli olarak otomatik tarama araçları ve bot ağları kullanır. Proaktif koruma, sistemdeki zayıf noktaları saldırganlardan önce belirlemeyi ve bu açıkları sistem ağ geçitleri üzerinden kapatmayı hedefler.

Proaktif bir siber güvenlik yaklaşımı, sürekli izleme, tehdit avcılığı ve düzenli risk analizleri üzerine kurulur. Bu süreçte kullanılan zafiyet taraması yazılımları, ağdaki açık kapıları ve güncellenmemiş bileşenleri tespit ederek BT ekiplerine önceliklendirilmiş raporlar sunar. Güvenliği proaktif olarak yöneten işletmeler, yamaları (patch) kritik sızıntılar oluşmadan önce uygulayarak sıfır gün (zero-day) açıklarının yaratacağı riskleri minimize eder.

Bu proaktif yaklaşımın bir diğer önemli bileşeni de çalışanların ve yöneticilerin siber güvenlik farkındalığıdır. Sosyal mühendislik ve oltalama (phishing) saldırıları, teknik güvenlik duvarlarını aşmak için en sık kullanılan yöntemlerdir. Şirket içi eğitimler, simüle edilmiş saldırı testleri ve katı kimlik doğrulama politikaları, insan kaynaklı zafiyetlerin teknik altyapıyı tehdit etmesini engeller. Savunma katmanlarını dinamik tutmak, olası bir ihlalin tespit edilme süresini (MTTD) ve müdahale süresini (MTTR) önemli ölçüde düşürür.

:::key-takeaways
title: Öne Çıkanlar
description: Siber güvenlik stratejinizi oluştururken aklınızda tutmanız gereken kritik noktalar.

• Proaktif güvenlik yatırımları, kriz anındaki kurtarma maliyetlerinden daha ekonomiktir.

• Ağ seviyesindeki koruma ile uygulama katmanındaki WAF entegrasyonu birlikte çalışmalıdır.

• İnsan faktörünü minimize etmek için MFA ve minimum ayrıcalık ilkesi (PoLP) zorunludur.

:::

Altyapı ve Veri İletişimi Güvenliği

SSL/TLS Sertifikaları ile Uçtan Uca Şifreleme

Veri iletiminin güvenliği, kullanıcı tarayıcısı ile web sunucusu arasındaki trafiğin şifrelenmesini gerektirir. SSL/TLS şifreleme, bu iletişimin üçüncü şahıslar tarafından dinlenmesini, değiştirilmesini veya araya girme (Man-in-the-Middle - MitM) saldırılarıyla ele geçirilmesini engeller. Günümüzde HTTPS protokolü, yalnızca güvenliğin değil, aynı zamanda modern arama motorlarının arama sıralama faktörlerinin de temel bir bileşenidir.

SSL (Secure Sockets Layer) protokolü yerini daha güvenli ve gelişmiş olan TLS (Transport Layer Security) protokolüne bırakmıştır. Modern bir web altyapısında TLS 1.2 sürümünün altındaki tüm eski sürümler (TLS 1.0 ve TLS 1.1) devre dışı bırakılmalı, sunucu yapılandırmasında TLS 1.3 sürümü önceliklendirilmelidir. TLS 1.3, daha az el sıkışma (handshake) adımıyla daha hızlı bağlantı kurarken, zayıf şifreleme algoritmalarını (cipher suites) eleyerek kriptografik güvenliği en üst düzeye çıkarır.

Sertifika yönetiminde Let's Encrypt gibi otomatize edilmiş ücretsiz sertifika otoriteleri (CA) veya yüksek prestijli kurumsal Extended Validation (EV) sertifikaları tercih edilebilir. Önemli olan, sertifikaların düzenli olarak yenilenmesi ve sunucu tarafında HTTP Strict Transport Security (HSTS) başlığının aktif edilmesidir. HSTS, tarayıcıları web sitesine yalnızca HTTPS üzerinden bağlanmaya zorlayarak güvensiz HTTP bağlantı isteklerini tamamen engeller.

Güvenli ve İzole Sunucu (Hosting) Mimarisi Seçimi

Web sitesinin barındığı sunucu ortamının güvenliği, uygulamanın genel direnciyle doğrudan ilişkilidir. Güvenli barındırma (hosting) sağlayıcısı seçilirken, altyapının fiziksel güvenliği, ağ izolasyonu ve sanallaştırma teknolojileri titizlikle incelenmelidir. Paylaşımlı hosting (shared hosting) ortamları, aynı fiziksel sunucudaki diğer web sitelerinin güvenliğine doğrudan bağımlı olduğu için yüksek güvenlik gerektiren kurumsal projeler için uygun değildir.

Kurumsal yapılar için sanal özel sunucular (VPS), bulut sunucular (Cloud Hosting) veya adanmış sunucular (Dedicated Server) tercih edilmelidir. Bu mimarilerde, her bir işletim sistemi ve konteyner (container) diğerlerinden tamamen izole edilmiştir. Kernel tabanlı sanallaştırma (KVM) teknolojileri, yan kanal (side-channel) saldırılarını ve kaynak suistimallerini engellemede yüksek başarı gösterir.

Sunucu işletim sisteminin güvenliği için şu adımların atılması kritik öneme sahiptir:

• Kullanılmayan tüm ağ portlarının (örn: Telnet, güvensiz FTP) kapatılması.

• SSH erişiminin standart port (22) yerine özel bir porta taşınması ve şifre ile giriş yerine SSH anahtarı (SSH Key) doğrulaması kullanılmasının zorunlu tutulması.

• Sunucu seviyesinde düzenli işletim sistemi güncellemelerinin ve güvenlik yamalarının otomatikleştirilmesi.

DDoS Saldırılarına Karşı Ağ Seviyesinde Koruma

Dağıtık Hizmet Engelleme (DDoS) saldırıları, web sunucularının kaynaklarını (bant genişliği, işlemci gücü, bellek) tüketerek sitenin erişilemez hale gelmesini hedefler. DDoS koruması, bu saldırıların sunucuya ulaşmadan önce ağ seviyesinde algılanması ve filtrelenmesini gerektirir. Geleneksel güvenlik duvarları, milyonlarca bot cihazdan gelen yoğun trafiği tek başına süzmekte yetersiz kalır.

Etkili bir DDoS savunması için Anycast ağ altyapısına sahip Content Delivery Network (CDN) ve bulut tabanlı güvenlik servisleri kullanılmalıdır. Bu servisler, sitenize gelen trafiği global veri merkezlerine dağıtarak emebilir. Şüpheli bot trafiği, sunucuya ulaşmadan önce CAPTCHA testleri, JavaScript doğrulamaları veya IP itibar (reputation) analizleriyle filtrelenir.

Ayrıca, sunucu tarafında rate-limiting (istek sınırlama) mekanizmaları yapılandırılmalıdır. Nginx veya Apache gibi web sunucularında, tek bir IP adresinden saniyede gelebilecek maksimum istek sayısı sınırlandırılarak uygulama katmanına yönelik (Layer 7) DDoS ve kaba kuvvet (brute force) saldırıları engellenebilir. Bu sayede sunucu kaynakları optimize edilir ve web sitesinin çalışma süresi (uptime) korunur.

:::comparison
title: Karar Matrisi
description: Farklı barındırma ve ağ güvenliği altyapılarının karşılaştırması.

• criterion: Güvenlik İzolasyonu

advantage: Cloud/VPS altyapısı, sanallaştırma ile tam izole ortam sağlar.
disadvantage: Paylaşımlı hosting, komşu sitelerdeki açıklardan etkilenebilir.

• criterion: DDoS Direnci

advantage: Entegre CDN ve bulut tabanlı koruma, volumetrik saldırıları ağda eritir.
disadvantage: Sadece sunucu içi yazılımlarla yapılan filtreleme yüksek trafikte kilitlenir.

• criterion: Maliyet Verimliliği

advantage: Yönetilen bulut servisleri esnek ölçeklendirme ile kaynak tasarrufu sunar.
disadvantage: Adanmış fiziksel sunucuların yönetim ve bakım maliyeti yüksektir.
:::

Web Uygulama Güvenliği ve OWASP Standartları

WAF (Web Uygulama Güvenlik Duvarı) Entegrasyonu ve Kuralları

Geleneksel güvenlik duvarları paketlerin kaynak ve hedef IP adreslerini kontrol ederken, WAF (Web Uygulama Güvenlik Duvarı) HTTP trafiğini doğrudan uygulama katmanında inceleyebilir. WAF, web sitenize gelen tüm istekleri analiz ederek siber saldırganların kullandığı yaygın imza ve davranış kalıplarını tespit eder. Bu sayede, uygulamanızdaki olası zayıflıklar sömürülmeden önce istekler engellenir.

WAF entegrasyonu, OWASP ilkeleri doğrultusunda yapılandırılmalıdır. OWASP (Open Web Application Security Project) tarafından yayınlanan ve her yıl güncellenen en kritik on güvenlik açığı listesi, WAF kurallarının temelini oluşturur. Etkin bir WAF yapılandırmasında şu kurallar öncelikli olarak tanımlanmalıdır:

1. Bilinen zararlı botların ve tarayıcıların (user-agent) engellenmesi.

2. Belirli coğrafi bölgelerden (jeo-IP filtreleme) gelen anormal trafik artışlarının kısıtlanması.

3. Parametre bazlı anomali tespiti ve şüpheli karakter dizilerinin engellenmesi.

WAF çözümleri bulut tabanlı (Cloud-based WAF) veya sunucu içi (Host-based WAF) olarak kurulabilir. Bulut tabanlı çözümler (örn: Cloudflare, AWS WAF, Akamai) trafiği kendi ağlarında temizledikten sonra sunucuya ilettiği için sunucu üzerindeki işlemci ve bellek yükünü azaltır. Düzenli olarak güncellenen kural setleri sayesinde yeni ortaya çıkan sıfır gün (zero-day) açıklarına karşı anında savunma kalkanı oluşturulur.

SQL Injection ve XSS Zafiyetlerine Karşı Kodlama Standartları

Web uygulamalarındaki en yaygın güvenlik açıkları, kullanıcıdan alınan girdilerin (input) yeterince temizlenmemesinden (sanitization) ve doğrulanmamasından (validation) kaynaklanır. SQL Injection (SQLi) ve Cross-Site Scripting (XSS) bu açıkların en tehlikelileridir. SQLi, saldırganın veri tabanında yetkisiz sorgular çalıştırmasına izin verirken; XSS, kurbanın tarayıcısında zararlı JavaScript kodlarının yürütülmesine yol açar.

SQLi açıklarını tamamen ortadan kaldırmak için yazılım geliştirme aşamasında Parametreli Sorgular (Parameterized Queries) veya Hazırlanmış İfadeler (Prepared Statements) kullanılmalıdır. Veritabanı etkileşimlerinde ham (raw) SQL sorguları oluşturmak yerine güvenli Nesne-İlişkisel Eşleme (ORM) kütüphaneleri (örn: Entity Framework, Hibernate, Sequelize) tercih edilmelidir. Bu yöntem, kullanıcı girdilerini komut olarak değil, salt veri olarak işleyerek sorgunun yapısını korur.

XSS saldırılarını önlemek için ise şu adımlar izlenmelidir:

• Girdi Doğrulama (Input Validation): Kullanıcıdan gelen verilerin beklenen formatta (örneğin sadece sayı veya e-posta formatında) olduğu sunucu tarafında kontrol edilmelidir.

• Çıktı Kodlama (Output Encoding): Veri tabanından çekilen veya kullanıcıdan alınan veriler HTML içinde ekrana yazdırılmadan önce özel karakterlerinden arındırılmalıdır (örn: @@CODE0@@ karakteri @@CODE1@@ olarak kodlanmalıdır).

• İçerik Güvenliği Politikası (Content Security Policy - CSP): Web sunucusundan gönderilen HTTP yanıt başlıklarında CSP tanımlanarak, tarayıcının yalnızca izin verilen güvenilir kaynaklardan script çalıştırması zorunlu kılınmalıdır.

Çekirdek Yazılım, Tema ve Eklenti Güncellemelerinin Yönetimi

Birçok kurumsal web sitesi WordPress, Joomla, Drupal, Magento gibi hazır içerik yönetim sistemleri (CMS) veya Laravel, Django, ASP.NET gibi yazılım çatısı (framework) altyapıları üzerinde çalışır. Bu sistemlerin kendilerinde veya kullanılan üçüncü taraf tema ve eklentilerde (plugins) zamanla güvenlik açıkları keşfedilebilir. Yama yönetimi (patch management), bu açıkların siber saldırganlar tarafından kullanılmasını önlemenin en temel yoludur.

Otomatik güncellemeler, küçük güvenlik yamaları için hayat kurtarıcı olsa da büyük ana sürüm güncellemelerinde sitenin işlevselliğini bozma riski taşır. Bu nedenle, profesyonel projelerde güncelleme süreçleri test ortamlarında (staging environment) yürütülmelidir. Önce yedek alınan staging sunucusunda güncellemeler test edilmeli, uyumluluk sorunları çözüldükten sonra değişiklikler canlı (production) ortama aktarılmalıdır.

Eklenti ve kütüphane kullanımında asgari düzeyde tutulması gereken prensipler:

• Sadece resmi kaynaklardan, aktif olarak güncellenen ve geniş bir topluluk tarafından desteklenen eklentileri tercih edin.

• Kullanılmayan veya geliştiricisi tarafından desteği sonlandırılmış (deprecated) tüm eklenti ve temaları sunucudan tamamen silin (sadece deaktif etmek güvenlik açıklarını engellemez).

• Kod bağımlılıklarını (dependency) denetlemek için npm audit, Composer audit veya OWASP Dependency-Check gibi araçları kullanarak kütüphanelerdeki bilinen açıkları otomatik olarak tarayın.

:::pros-cons
title: Artılar ve Eksiler
description: Otomatik güncelleme (auto-patching) ile manuel test odaklı güncelleme süreçlerinin analizi.
pros:

• title: Otomatik Güncelleme Avantajı

description: Kritik güvenlik açıklarının insan müdahalesi olmadan anında kapatılmasını sağlar.

• title: Güvenlik Yamalarında Hız

description: Sıfır gün açıklarının (zero-day) keşfedilmesinden hemen sonra sistemi korumaya alır.
cons:

• title: Manuel Güncelleme Sınırlaması

description: Sistem entegrasyonlarının ve özel eklentilerin bozulma riskine karşı ek test süresi gerektirir.

• title: Uyumsuzluk Riski

description: Otomatik güncellemeler canlı web sitelerinde anlık kesintilere ve tasarım bozulmalarına neden olabilir.
:::

Kimlik Doğrulama ve Erişim Yönetimi

Yönetici Girişlerinde Çok Faktörlü Kimlik Doğrulama (MFA)

Geleneksel kullanıcı adı ve şifre ikilisi, günümüzün siber tehdit ortamında tek başına yeterli bir koruma sağlamaz. Siber saldırganlar, kaba kuvvet (brute force) saldırıları, kimlik bilgisi doldurma (credential stuffing) veya oltalama (phishing) yöntemleriyle kimlik bilgilerini kolaylıkla ele geçirebilir. Yönetici yetkileri taşıyan hesapların güvenliğini sağlamak için Çok faktörlü kimlik doğrulama (MFA) kullanımı zorunlu olmalıdır.

MFA, kullanıcının sisteme giriş yapabilmesi için bildiği bir şey (şifre), sahip olduğu bir şey (akıllı telefon, güvenlik anahtarı) veya kendisi olduğu bir şey (biyometrik veri) gibi iki veya daha fazla kanıt sunmasını gerektirir. Kurumsal düzeyde SMS tabanlı doğrulama kodları yerine, zaman tabanlı tek kullanımlık şifre (TOTP) üreten mobil uygulamalar (örn: Google Authenticator, Microsoft Authenticator) veya donanımsal güvenlik anahtarları (FIDO2/YubiKey) kullanılmalıdır. SMS kodları, SIM kart kopyalama (SIM swapping) saldırılarıyla ele geçirilebildiği için daha düşük güvenlik seviyesine sahiptir.

Yönetici panellerinin (admin panels) giriş yolları da ek güvenlik önlemleriyle korunmalıdır. Standart yönetim paneli URL'leri (örneğin @@CODE0@@ veya @@CODE1@@) değiştirilmeli ve yalnızca belirli IP adreslerinden (IP whitelisting) veya kurumsal bir sanal özel ağ (VPN) üzerinden erişilebilir hale getirilmelidir. Ayrıca, başarısız giriş denemeleri sınırlandırılmalı ve ardışık hatalı girişlerde ilgili IP adresi geçici veya kalıcı olarak engellenmelidir.

Minimum Ayrıcalık Prensibi (PoLP) ile Rol Yönetimi

İçeriden gelebilecek tehditleri veya ele geçirilen hesapların yaratacağı hasarı sınırlamanın en etkili yolu, minimum ayrıcalık prensibi (Principle of Least Privilege - PoLP) uygulamaktır. Bu prensibe göre, bir kullanıcıya, sisteme veya sürece, yalnızca görevini yerine getirebilmesi için kesinlikle ihtiyaç duyduğu minimum seviyede erişim kontrolü ve yetki tanımlanmalıdır.

Rol tabanlı erişim kontrolü (RBAC) mimarisi kurularak, sistem kullanıcıları kategorize edilmelidir. Örneğin, bir web sitesinde içerik yazarı olarak görev yapan bir personele veritabanı yönetimi, eklenti yükleme veya genel site ayarlarını değiştirme yetkisi verilmemelidir. Benzer şekilde, harici destek sağlayan üçüncü taraf ajansların erişimleri, yalnızca ilgili iş bittikten sonra iptal edilecek şekilde geçici süreyle tanımlanmalıdır.

Erişim yönetiminde dikkat edilmesi gereken temel kurallar şunlardır:

• Tüm kullanıcıların kendi bireysel hesapları olmalı; ortak "admin" veya "ortak_kullanici" gibi hesap paylaşımlarından kaçınılmalıdır.

• Sistem loglarında hangi işlemin, hangi kullanıcı hesabı tarafından, ne zaman gerçekleştirildiği (non-repudiation) net bir şekilde izlenebilmelidir.

• Belirli periyotlarla (örneğin 3 ayda bir) aktif kullanıcı listesi ve yetki hiyerarşisi gözden geçirilmeli, işten ayrılan veya pozisyonu değişen personelin erişim hakları anında iptal edilmelidir.

Güvenli Parola Politikalarının Kurumsal Çapta Uygulanması

Güvenli parola politikaları, sistemdeki en zayıf halkanın (insan faktörünün) sömürülmesini engellemek için kurumsal düzeyde standartlaştırılmalıdır. Çalışanların kolay tahmin edilebilir, kişisel bilgiler içeren veya daha önce başka platformlarda kullanılmış şifreler belirlemesi otomatik sistem kurallarıyla engellenmelidir.

Güvenli bir parola politikası şu teknik kriterleri barındırmalıdır:

• Şifrelerin en az 12-16 karakter uzunluğunda olması zorunlu tutulmalıdır.

• Şifre içeriğinde büyük harf, küçük harf, rakam ve özel karakter bulunması gereklidir.

• Parolaların veri tabanında tutulma biçimi kriptografik olarak güvenli olmalıdır. Şifreler asla açık metin (plain text) olarak saklanmamalı; tuzlanmış (salted) ve yavaş hash algoritmaları (örn: bcrypt, PBKDF2 veya Argon2) kullanılarak özetlenmelidir. MD5 veya SHA-1 gibi eski ve çakışma (collision) zafiyeti bulunan algoritmalar şifre saklama süreçlerinde kesinlikle kullanılmamalıdır.

• Şirket genelinde personelin şifrelerini güvenli bir şekilde saklaması ve benzersiz şifreler üretebilmesi için kurumsal şifre yöneticisi (password manager) kullanımı teşvik edilmelidir.

:::risk-alert
title: Risk Uyarısı
description: Yetkilendirme hataları ve kimlik hırsızlığı risklerini kontrol altında tutun.

• İki faktörlü doğrulaması (MFA) olmayan yönetici hesapları, siber korsanların ilk hedefidir.

• API anahtarlarının kod depolarında (GitHub vb.) açık olarak paylaşılması sızıntılara davetiye çıkarır.

• Ortak hesap kullanımı, bir ihlal durumunda adli analizin yapılmasını imkansız kılar.

:::

Proaktif Güvenlik İzleme ve Kriz Yönetimi

Otomatik Veri Yedekleme ve Felaket Kurtarma Planları

Siber güvenlikte hiçbir sistem tamamen aşılmaz değildir. Bu nedenle, başarılı bir saldırı, fidye yazılımı (ransomware) bulaşması veya donanımsal arıza durumunda iş sürekliliğini sağlamanın tek yolu sağlam bir yedekleme ve kurtarma stratejisidir. Yedekleme süreçlerinin insan hatasından arındırılması için tamamen otomatikleştirilmesi gerekir.

Güvenli bir yedekleme mimarisi kurarken "3-2-1 Kuralı" standart kabul edilir:

• Verilerinizin en az 3 adet kopyasını bulundurun.

• Bu kopyaları en az 2 farklı depolama ortamında (örneğin yerel sunucu ve bulut depolama) saklayın.

• Yedeklerin en az 1 kopyasını tamamen farklı bir coğrafi lokasyonda veya izole edilmiş (off-site / immutable) bir bulut alanında depolayın.

Yedeklerin saklandığı sunucu ile canlı web sitesinin bulunduğu sunucu arasında doğrudan yazma yetkisi olan kalıcı bir bağlantı olmamalıdır. Eğer saldırgan canlı sunucuyu ele geçirirse, aynı ağdaki veya aynı sunucudaki yedek dosyalarını da silebilir veya şifreleyebilir. Yedekleme dosyaları da iletim ve depolama aşamalarında güçlü şifreleme algoritmalarıyla (AES-256 gibi) şifrelenmelidir. En önemlisi, yedeklerin sadece alınması yeterli değildir; belirli periyotlarla yedeklerden geri yükleme testleri (recovery drills) yapılarak yedeklerin sağlamlığı ve kurtarma süresi (RTO/RPO) doğrulanmalıdır.

Zararlı Yazılım Taraması ve Sistem Loglarının İzlenmesi

Web sitesinin dosya yapısındaki ve veritabanındaki değişikliklerin anlık olarak izlenmesi, sisteme sızmış bir zararlı yazılımın (malware) erken aşamada tespit edilmesini sağlar. Siber saldırganlar genellikle sisteme sızdıktan sonra arka kapılar (backdoors) bırakarak erişimlerini kalıcı hale getirmeyi amaçlar. Düzenli dosya bütünlüğü izleme (File Integrity Monitoring - FIM) süreçleri bu değişiklikleri raporlar.

Sunucu üzerinde çalışan ve periyodik malware tespiti yapan güvenlik tarayıcıları kullanılmalıdır. Bu tarayıcılar, kod tabanındaki şüpheli kalıpları, gizlenmiş (obfuscated) kod bloklarını ve yetkisiz eklenen PHP/ASP scriptlerini tespit eder. Ayrıca, sistem günlükleri (system logs), web sunucusu erişim logları (access logs) ve hata logları (error logs) merkezi bir SIEM (Security Information and Event Management) sistemine veya log analiz aracına aktarılmalıdır.

Log analizinde aranması gereken bazı şüpheli davranışlar şunlardır:

• Kısa sürede anormal derecede yüksek miktarda 404 (Bulunamadı) hatası alan IP adresleri (zafiyet tarayıcılarının izleri).

• Yönetici paneline yönelik alışılmadık saatlerde yapılan başarılı veya başarısız giriş denemeleri.

• Web sunucusu konfigürasyon dosyalarında (@@CODE0@@, @@CODE1@@) yapılan habersiz değişiklikler.

Periyodik Sızma Testleri ve Zafiyet Analizleri

Otomatik zafiyet taraması araçları bilinen açıkları bulmada başarılı olsa da karmaşık mantıksal hataları ve iş akışı zafiyetlerini tespit etmekte yetersiz kalabilir. Sızma testi (penetration testing veya pentest), sertifikalı siber güvenlik uzmanlarının (ethical hackers), bir saldırgan gözüyle sisteminize sızmaya çalışarak güvenlik açıklarını bulma sürecidir.

Yıllık veya büyük altyapı değişikliklerinden sonra gerçekleştirilen sızma testleri şu aşamaları kapsar:

1. Bilgi Toplama (Reconnaissance): Hedef sistem hakkında açık kaynaklardan ve pasif taramalardan bilgi toplanması.

2. Zafiyet Analizi: Sistemdeki açık kapıların, güncel olmayan servislerin ve hatalı yapılandırmaların manuel ve otomatik araçlarla tespiti.

3. Sömürme (Exploitation): Tespit edilen açıkların kullanılarak sisteme sızılması ve yetki yükseltme (privilege escalation) adımlarının denenmesi.

4. Raporlama: Keşfedilen açıkların etki derecesine (düşük, orta, yüksek, kritik) göre sınıflandırılarak çözüm önerileriyle birlikte yönetime sunulması.

Düzenli sızma testleri, sadece teknik açıkları kapatmakla kalmaz, aynı zamanda kurumun KVKK, GDPR ve PCI-DSS gibi veri güvenliği standartlarına ve yasal düzenlemelere uyumluluğunu da belgeler.

:::checklist
title: Sızma Testi Hazırlık Kontrol Listesi
description: Başarılı bir siber güvenlik denetimi için tamamlanması gereken teknik ön hazırlıklar.

• title: Kapsam Belirleme

description: Test edilecek tüm IP adreslerinin, alan adlarının ve API uç noktalarının eksiksiz envanterini çıkarın.

• title: İzin Belgeleri

description: Barındırma ve bulut servis sağlayıcılarınızdan sızma testi gerçekleştirmek için gerekli yazılı onayları alın.

• title: Yedekleme Kontrolü

description: Test işlemlerine başlamadan önce tüm veritabanlarının ve uygulama dosyalarının güncel yedeğini alın.
:::

Sonuç: Güvenliği Sürekli Bir Süreç Olarak Konumlandırmak

Siber güvenlik, kurulup kendi haline bırakılacak statik bir sistem değildir. Teknolojik altyapılar geliştikçe, saldırganların kullandığı yöntemler ve keşfedilen sıfır gün açıkları da aynı hızla dönüşmektedir. Bu nedenle, web sitesi güvenliğini sürdürülebilir kılmak, organizasyon genelinde bir güvenlik kültürü oluşturulmasını ve süreçlerin sürekli olarak denetlenmesini gerektirir.

Etkin bir güvenlik yönetimi için şu yaklaşımlar benimsenmelidir:

• DevSecOps Entegrasyonu: Güvenlik testlerinin yazılım geliştirme süreçlerinin en başından itibaren (Shift-Left Security) boru hattına (CI/CD pipeline) dahil edilmesi.

• Sürekli İzleme ve Analiz: Sadece kriz anlarında değil, her gün otomatik izleme araçlarının verilerinin incelenmesi ve olası anomali eğilimlerinin takip edilmesi.

• Regülasyon ve Standartlara Uyum: Sektörel gelişmeleri, KVKK ve GDPR kurul kararlarını yakından izleyerek kişisel veri işleme süreçlerini yasal mevzuatlara tam uyumlu halde tutmak.

Güvenlik yatırımlarını planlarken risk analizi odaklı hareket etmek, bütçe ve kaynak kullanımını optimize eder. En kritik varlıklarınızı (örneğin müşteri ödeme ve kimlik bilgileri) en dış katmandan en iç katmana kadar koruyacak çok katmanlı savunma (Defense-in-Depth) mimarisi kurmak, olası bir siber saldırı durumunda hasarı asgari düzeyde tutmanızı ve iş sürekliliğinizi korumanızı sağlar.