Her tür çevrimiçi proje için güvenlik çok önemlidir. Ancak finansal maliyetlere ek olarak, güvenlik sorunları projenizi aksatan kesintilere yol açabilir ve müşteri verilerini tehlikeye atabilir. Ayrıca satışları/işleri, marka imajınızı ve web sitesi güvenilirliğini de etkileyebilir.
Başlarken, akılda tutulması gereken çeşitli çevrimiçi işletmelere yönelik güvenlik tehditleri vardır. Burada, paylaşımlı hosting kullanıcılarının karşılaşabileceği güvenlik zorluklarına ve bunların nasıl önlenip çözülebileceğine bakıyoruz.
Paylaşımlı hosting güvenliği
Paylaşımlı hostingin doğası ve nasıl oluşturulduğu nedeniyle hedef alınabilecek bazı alanlar vardır. Güvenlik ayarlarının çoğu hosting sağlayıcısı tarafından yönetilse de kullanıcılar bazı güvenlik risklerini proaktif olarak yönetebilir ve azaltabilir. Paylaşımlı hostingde en fazla risk altında olan alanlar şu kategorilere girer:
Hosting sağlayıcısı düzeyi
Sunucu düzeyi (ürün ve paylaşılan sunucuyla ilgili)
Kullanıcı kontrolü (kurulu yazılım, ayarlar ve günlük kullanımla ilgili)
Hosting sağlayıcısı düzeyinde güvenlik
Hesabınız, hosting hizmetiniz ve verilerinizle ilgili olası sorunları azaltmak için gerekli güvenlik önlemlerine sahip bir hosting sağlayıcısı seçmek her zaman en iyisidir.
Dikkat etmeniz gereken bazı şeyler:
Yüksek hesap güvenliği ve veri gizliliği (çok faktörlü kimlik doğrulama ve güvenli platform).
Sunucu düzeyinde DDoS saldırılarının azaltılması.
Yazılım için düzenli yedeklemeler (bildirimlerle birlikte).
Hatırlanması gereken bir diğer nokta da, paylaşımlı hosting ile izole olmadığınızdır. Bu nedenle bir web sitesi hassas verileri şifrelememek gibi zayıf güvenlik uygulamaları kullanıyorsa, bu diğer kullanıcılar için risk oluşturabilir. Bir sitenin veritabanına erişim sağlayan bir saldırı, sunucudaki diğer hesaplarla etkileşime giren bağlantılar veya komut dosyaları bulabilir.
Bir sitenin enfekte olup paylaşılan dosyalar, komut dosyaları veya veritabanı bağlantıları aracılığıyla sunucudaki diğer sitelere yayılması durumunda kötü amaçlı yazılım yayılma riski de vardır. Kötü amaçlı yazılım birden fazla siteye bulaştıktan sonra veri ihlallerine veya daha fazla istismara yol açabilir.
Paylaşımlı hosting sağlayıcılarının, güncellemeler kullanıma sunulur sunulmaz varsayılan olarak sunucu yazılımını ve yapılandırmalarını güncellemeyebileceğini unutmayın. Bu, daha sonra istismar edilebilecek güvenlik açıkları oluşturabilir. Örneğin siber suçlular genellikle PHP veya MySQL'in güncel olmayan sürümlerini hedef alır.
Bu, sunucudaki tüm güncellemelerin zamanında yapıldığından emin olmanız gerektiği anlamına gelir. Ayrıca hosting sağlayıcılarının aşağıdakileri destekleyip desteklemediğini veya sunup sunmadığını kontrol etmek en iyisidir:
SSL sertifikaları
Güvenlik duvarları
Müşteri desteği
Kullanıcı kontrolünde
Paylaşımlı hosting yazılım altyapısı
Hosting sağlayıcıları yazılım altyapısının güvenliğinden sorumludur, ancak hosting kullanıcılarının ek yazılımlar ve özel kodlar için güvenliği yönetmesi gerekir.
Güvensiz eklentiler ve temalar
Bir güvenlik unsuru da eklenti, araç ve hizmet seçimidir. Bunlar meşru veya güvenli değilse, sunucudaki tüm paylaşımlı hosting kullanıcıları çeşitli saldırılar veya kötü amaçlı yazılım bulaşmaları açısından risk altında olabilir.
Meşru ve resmi yazılımların kullanılması ancak güncellenmemesi de mümkündür; bu durumda güvenlik açığına dönüşebilir. Bu, WordPress güncellemelerinde görülebilir; çünkü bunlar her zaman otomatik olarak uygulanmadığından e-postalarda ve bildirimlerde bunlara dikkat etmeniz gerekir.
Güncellemeleri aktif olarak uygulamanız gerektiğinde, bunları gözden kaçırmak daha kolaydır. Sağlayıcınızı seçerken bunu aklınızda bulundurun.
Hosting güncellemelerini şu yollarla öğrenebilirsiniz:
E-postalar
Kontrol panelindeki uyarılar
İçerik yönetim sistemi (CMS) sağlayıcılarından sürüm notları
Forumlar
Parola yönetimi
Parola yönetimi güvenli şekilde ele alınmadığında, hosting ortamında yetkisiz erişime olanak tanıyabilir. Güvenlik ihlalleri zayıf veya tahmin edilmesi kolay parolalardan ya da güvenlik kimlik bilgilerinin farklı kullanıcılar arasında paylaşılmasından kaynaklanabilir.
Kaba kuvvet saldırıları
Bunlar, erişim sağlanana kadar çok sayıda parola kombinasyonunu deneyen kötü amaçlı yazılımları içerir. Parolalar yeterince güçlü olmadığında erişim daha kolay elde edilebilir.
Dosya izinleri
Dosya izinlerindeki hatalar, veritabanı kimlik bilgileri gibi hassas bilgilerin sızmasına neden olabilir. Bu tür bir ihlal, yalnızca saldırının hedefindeki web sitesi için değil, sunucudaki diğer kullanıcılar için de risk oluşturabilir.
Sunucu düzeyinde güvenlik
Daha önce de belirtildiği gibi, kullanıcılar sunucu kaynaklarını diğer Shared Hosting kullanıcılarıyla paylaşır. Doğru yönetilmediğinde, paylaşılan ortamlar dikkate alınması gereken çeşitli güvenlik riskleri oluşturabilir.
DDoS saldırıları
Paylaşımlı hosting hesapları, çevrimiçi sistemlerin, sunucuların veya ağların bağlantı istekleriyle (İnternet trafiği) boğulduğu dağıtılmış hizmet engelleme (DDoS) saldırılarına karşı savunmasızdır. Bu saldırılar genellikle bir bot ağı (botnet) tarafından gerçekleştirilir ve sıradan İnternet kullanıcılarının belirli bir süre boyunca web sitesine erişmesini engeller.
Kaynak sınırlaması ve etkisi
Komşu bir hosting hesabı saldırı aldığında, bu hesap daha fazla kaynak tüketeceğinden bunlar diğer kullanıcılar için kullanılamaz hale gelir. Nihai sonuç, web sitelerinin yavaşlaması veya kullanılamaz olmasıdır.
Hosting sağlayıcıları, güvenlik duvarları ve otomatik trafik izleme gibi izleme önlemleri uygulayabilir ve bir komşu saldırıya uğradığında diğer kullanıcıların etkilenmesini önlemek için DDoS vakalarında harekete geçebilir.
Aynı sunucudaki saldırıları önlemek veya etkilerini azaltmak için alınabilecek önlemler şunlardır:
Yüksek kapasiteli yönlendiriciler
Anti-DDoS sistemleri
Hesapların yalıtılması
Güvenlik duvarları
Saldırı tespit ve önleme sistemleri (IDPS)
Trafik kısıtlama
Güvenlik önlemleri mevcut olsa bile, paylaşımlı ortamlardaki web hosting, paylaşımlı hosting hesaplarının yapısı nedeniyle biraz daha savunmasızdır.
Paylaşılan IP adresi güvenliği
Bazı durumlarda, birden fazla plan ve web sitesi içerebilen paylaşımlı hosting hesaplarının tümü aynı IP adresini paylaşır. Bu, sunucudaki bu tek IP adresi bir siber saldırıya uğrarsa, hedeflenen asıl taraf olmasalar bile çok sayıda hosting planı ve web sitesinin etkilenebileceği anlamına gelir.
Paylaşımlı hosting veri ihlalleri
Paylaşımlı hosting ortamlarında, bir web sitesi ele geçirilirse saldırganlar aynı sunucudaki diğer sitelerin dosyalarına veya veritabanlarına erişmenin yollarını bulabilir. Bu da iyi yapılandırılmamış bir sunucunun veri ihlallerine karşı daha savunmasız olduğu ve diğer kullanıcı hesaplarına yetkisiz erişime olanak tanıdığı anlamına gelir.
Sunucudaki belirli bir web sitesi DDoS saldırısı, SQL enjeksiyonu veya siteler arası komut dosyası çalıştırma gibi bir saldırı altında olabilir. Ortaya çıkan kaynak kesintisi, saldırganların sunucudaki diğer güvenlik açıklarını istismar etmesini kolaylaştırabilir; bu da birden fazla site için verilerin tehlikeye girmesi anlamına gelebilir.
Paylaşımlı hosting güvenlik özelleştirmesi
Paylaşımlı hosting ürünlerinde sunucu güvenliğinizi yönetmeniz gerekmez, ancak root erişimi sağlayan hosting seçeneklerindeki kadar esnek yapılandırma yapamazsınız.
Hosting sağlayıcıları genellikle en önemli güvenlik özelliklerini kontrol eden standart bir güvenlik yapılandırması sunar; bu da bazı kullanıcıların özel ihtiyaçlarını karşılamayabilir. Güvenlik ayarlarınızın daha yapılandırılabilir olmasına ihtiyacınız varsa, muhtemelen dedicated server veya Virtual Machine (VPS) hosting hizmetini tercih etmeniz daha iyi olur.
Paylaşımlı hosting güvenliği ve diğer hosting türleri
Paylaşımlı hosting ve VPS ile dedicated hosting karşılaştırması
Paylaşımlı hosting ile en iyi uygulamaları izleyebilir ve minimum risk altında olduğunuzdan emin olabilirsiniz. Ancak daha yüksek güvenlik gereksinimleriniz varsa, belki VPS veya dedicated server hosting seçmelisiniz. Bu seçeneklerle büyük olasılıkla root erişimine ve güvenlik ayarlarınızı tercihlerinize göre yönetip yapılandırma olanağına sahip olursunuz.
Dedicated hosting güvenlik avantajları
Dedicated hosting tarafından sunulan ek bir güvenlik avantajı tam yalıtımdır. Paylaşımlı hosting kullanıcıları aynı sunucudaki diğer kullanıcıların neden olduğu risklere karşı savunmasız olabilirken, hosting kullanıcıları tüm sunucuyu kendileri için kullanır ve kendi güvenlikleri üzerinde tam kontrole sahiptir. Aynısı sanal özel sunucu sahipleri için de geçerlidir, ancak yalıtım sanal olduğundan VPS kullanıcıları dedicated hosting kullanıcıları kadar bağımsız değildir.
Dedicated ve VPS hostingin sunduğu ek güvenlik özelleştirmesi ve kontrolün beraberinde ek sorumluluklar getirdiği unutulmamalıdır. Kullanıcılar güvenlik ayarlarını kendileri özelleştirip yönetebilecek teknik becerilere sahip değilse, bir BT uzmanı tutmaları gerekebilir.
Paylaşımlı hostingi güvence altına almak için 10 strateji
Paylaşımlı hosting kullanıcılarının dikkat etmesi gereken güvenlik riskleri vardır, ancak bu riskleri en aza indirebilecek en iyi uygulamalar da mevcuttur.
1. Düzenli yedekleme yapın
Web sitesi dosyalarını ve veritabanlarını düzenli olarak yedeklemek, veri ihlali veya kurulu yazılımla ilgili bir sorun durumunda veri kaybını önler. Ayrıca önceki, enfekte olmamış bir web sitesi durumunu geri yükleyerek kullanıcıların normal çalışmaya daha hızlı dönmesini sağlar.
Genellikle bir AutoBackup hizmeti kullanmak iyi bir fikirdir; çünkü yedeklemeleri manuel olarak uygulamak kolayca gözden kaçabilir veya yeterince düzenli yapılmayabilir.
2. Güvenilmeyen kaynaklardan kaçının
Herhangi bir eklenti veya yazılım kullanırken her zaman ekstra dikkatli olun; böylece güvenilmeyen kaynaklardan kaçınabilir ve güvenlik risklerini en aza indirebilirsiniz.
3. Güçlü parolalar ve 2FA/MFA kullanın
Hosting hesabınız, CMS yönetici panelleriniz ve FTP/SFTP hesaplarınız için yalnızca güçlü ve benzersiz parolalar kullanmanız önemlidir. Ek bir güvenlik katmanı için mümkün olduğunda iki faktörlü kimlik doğrulamayı (2FA) veya çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin.
4. İzinleri, kullanıcı rollerini ve erişimi düzenleyin
Herhangi birinin yetkisiz erişim elde etmesini önlemek için uygun kullanıcı rolleri ve izinleri belirleyin ve kimlik bilgilerini iş ortaklarınızla güvenli şekilde saklayıp paylaştığınızdan emin olun.
Hosting hesabınıza ve web sitenize erişimi olan kişi sayısını sınırlamak iyi bir uygulamadır. Olağandışı veya yetkisiz davranışlar için erişim günlüklerinizi ve hesap etkinliğinizi düzenli olarak izleyin.
Yetkisiz erişimi önlemek için doğru dosya ve klasör izinlerini ayarlamayı unutmayın. Buna dosyalar için 644 ve dizinler için 755 dahildir. Tüm kullanıcılar için tam okuma/yazma/çalıştırma izinleri veren 777'den, gerekli olduğundan emin olmadıkça kaçının.
5. Web uygulaması güvenlik duvarı (WAF) kullanın
Bir WAF, gelen web sitesi trafiğini analiz ederek kötü amaçlı istekleri web uygulamalarına ulaşmadan önce tanımlar ve filtreler. Bu, SQL enjeksiyonu, siteler arası komut dosyası çalıştırma (XSS) ve uzak dosya ekleme gibi çeşitli saldırı türlerini önlemeye yardımcı olur.
WAF'ler bilinen kötü amaçlı IP adreslerini ve spam veya DDoS saldırısı kaynaklarını engelleyerek bu isteklerin web sitesinin performansını etkilemesini önleyebilir.
Sitenize gelen kötü amaçlı trafiği filtrelemek ve engellemek için bir WAF kullanın. Bazı hosting sağlayıcıları hizmetlerinin bir parçası olarak WAF sunar veya Cloudflare ya da Sucuri gibi üçüncü taraf çözümleri kullanabilirsiniz.
6. Web sitesi güvenliği için SSL sertifikaları kullanın
Web sitesi güvenliği ve kullanıcı verilerinin korunması için SSL sertifikaları temel bir önlemdir. HTTPS protokolü, web siteniz ile ziyaretçiler arasındaki iletişimi güvence altına alır. Let’s Encrypt gibi birçok hosting sağlayıcısı, tüm web siteleri için ücretsiz SSL sertifikaları sunar.
7. Yamaları, CMS'leri ve eklentileri düzenli olarak güncelleyin
Güvenlik açıklarını en aza indirmek için içerik yönetim sistemi (CMS) platformlarınızı, eklentilerinizi ve temalarınızı her zaman düzenli olarak güncel tutun.
Hosting sağlayıcınızın Apache, PHP ve MySQL gibi tüm sunucu yazılımlarını tamamen güncel tuttuğundan emin olun.
8. Şüpheli etkinlikleri tarayın ve izleyin
Güvenlik tehditlerini kontrol etmek için şüpheli etkinlik belirtilerini düzenli olarak izleyin. cPanel Virus Scanner, Spaceship Shared Hosting planlarına dahildir. Ayrıca ImunifyAV gibi ücretsiz izleme hizmetleri ve Sucuri gibi ücretsiz çevrimiçi tarayıcılar da vardır.
Kötü amaçlı yazılım tarama araçları, web sitelerindeki kötü amaçlı yazılımları tespit eder ve kaldırır; birçok hosting sağlayıcısı da yerleşik kötü amaçlı yazılım taraması sunar. Ayrıca WordPress gibi popüler CMS platformları için güvenlik eklentilerini kolayca yükleyebilirsiniz.
9. Güvenli dosya aktarım protokolü (SFTP) kullanın
Dosya aktarım protokolünüz (FTP) için SFTP uygulayarak web sitesi dosyalarının aktarımını daha güvenli hale getirin. FTP verileri (parolalar dahil) açık metin olarak iletirken, SFTP veri iletimini şifreler. Bir diğer güvenli FTP alternatifi ise file transfer protocol secure (FTPS)'dir.
10. Güçlü hesap yalıtımı
Her kullanıcının ortamını yalıtmak ve kullanıcı hesaplarının diğerlerini etkilemesini önlemek için CloudLinux'tan CageFS gibi güçlü kullanıcı hesabı yalıtımı sunan bir hosting sağlayıcısı seçmek en iyisidir.
Ek güvenlik hususları
Hosting sağlayıcınızın mantıklı güvenlik politikaları ve standartlarını izlediğini ve CloudLinux ile cageFS gibi teknolojilere sahip olduğunu her zaman kontrol edin. Güvenliğin temel ilkelerinin kullanıcıyla başladığını unutmayın; bu nedenle otomatik yedeklemeler, SSL şifrelemesi ve sunucu yazılımının otomatik olarak yamalanıp güncellenmesi gibi güçlü güvenlik önlemleri uyguladığınızdan emin olun.
Satın almayı düşünebileceğiniz güvenlik ürünleri şunlardır:
Kötü amaçlı yazılım tespiti için otomatik tarama ve temizleme araçları
Secure shell (SSH) şifreli terminal erişimi
Yüksek hacimli saldırılara karşı saldırı koruması
WAF
DDoS koruması
CDN (DDoS saldırılarının etkisini azaltmak için)
Güvende ve emniyette kalın
Hem bireyler hem de her ölçekteki işletmeler için siber güvenlik her zaman yüksek öncelik taşımalıdır. Paylaşımlı hosting müşterisi olarak dikkat etmeniz gereken birkaç güvenlik sorunu vardır, ancak doğru kararları verip en iyi uygulamaları izleyerek riskleri kontrol altında tutabilirsiniz.
Önerilen makaleler
Düşüncelerinizi paylaşın