Honey pot Kurulumu: Gelişmiş Tehdit İzleme (High-Interaction)

Honey pot (yalancı hedef) kurmak, güvenlik ekibinin “saldırganın gerçekte ne yaptığını” görmesini sağlar. Düşük etkileşimli (low-interaction) kurulumlar çoğu saldırıyı yakalar; ancak gelişmiş tehdit izleme için high-interaction yaklaşımı daha zengin sinyaller üretir. Bu rehberde, gelişmiş tehdit izleme hedefiyle honey pot kurulumunu; ağ izolasyonu, kullanıcı etkileşimi, log/telemetri toplama ve uyarı tasarımı dahil, uygulanabilir adımlarla ele alıyorum.

Honey pot neyi ölçer, neyi ölçmez?

Honey pot’un değeri, saldırganın niyetini ve yöntemini davranış düzeyinde yakalamasıdır. Yine de hedef, “tam bir savunma” değildir; amaç gözlem üretmektir.

Low vs High-interaction farkı

Low-interaction: Genelde sahte servisler (ör. emüle edilmiş banner/portlar) üzerinden sinyal toplar. Kurulum kolaydır; saldırganın derin adımlarını çoğu zaman görmez.
High-interaction: Gerçek işletim sistemi üzerinde gerçek servisleri “kısıtlı ve izole” çalıştırır. Saldırganın komut çalıştırma, keşif ve lateral hareket girişimleri gibi adımlar daha görünür olur.

Bu yazı, high-interaction’a yakın bir modeli anlatır: “Gerçekçi” ama “kontrollü” bir ortam.

Mimari plan: İzole ağ + görünürlük + kontrol

High-interaction honey pot’ta en kritik konu, saldırganın başka sistemlere zarar vermesini engellemektir. Bu nedenle mimariyi üç katmanda düşünün:

Ağ izolasyonu (Network isolation)
Kimlik ve erişim kontrolü (Controlled interaction)
Log toplama ve uyarı (Telemetry & alerting)

Önerilen topoloji (pratik)

Honey pot sunucusu ayrı bir VLAN veya ayrı bir sanal ağ (VPC/VNet) içinde olsun.
İnternet girişini yalnızca gerekli portlara izin verin.
Honey pot’un dış dünyaya çıkışını sınırlayın; güncelleme (update) gerekiyorsa yalnızca güvenilir hedeflere izin verin.
Honey pot’un yönetimini bant dışı yapın: Admin trafiğini (SSH yönetim) mümkünse yalnızca kendi IP aralığınızdan açın.

Temel firewall politikasını “taslak” olarak tanımlayın

Aşağıdaki kuralların mantığı önemlidir; gerçek portlar sizdeki servis tipine göre değişir. - İnbound: - Web gözlemi için 80/443 - SSH gözlemi için 22 - Diğer servisleri sadece gerçekten gerekiyorsa açın - Inbound’ta “tam açık” yerine her servisi ayrı ayrı ve gerekçeli açın. - Outbound: - Varsayılan deny - Gerekliyse yalnızca DNS (53/UDP/TCP) ve paket güncelleme için HTTPS (443) gibi bantlar

Kurulum adımları: High-interaction honey pot

Aşağıdaki adımlar, VDS/VPS üzerinde çalışacak şekilde çerçevelenmiştir. NetKıyas’ta karşılaştıracağınız bir “honey pot” ürünü yok; mantık donanımın değil, izolasyonun ve izleme tasarımının sonucudur.

1) Sistem seçimi ve minimum yüzey alanı

Honey pot işletim sistemini gerçek bir üretim sistemi gibi yapılandırın (ör. aynı paket seti), ama gereksiz servisleri kapalı tutun.
“Gerçekçi görünsün” amacıyla sadece gözlem için gerekli servisleri açın.

Örnek servis hedefleri (seçin): - SSH: Brute force / credential stuffing sinyali için - HTTP/HTTPS: Web exploit taraması için - SFTP/FTP (gerekmedikçe açmayın): Rastgele tarayıcılar FTP’ye yığılabilir

2) Yerel kullanıcılar ve “tuzak” dosyalar

High-interaction’da, saldırganın etkileşime geçmesi için ortam gerçekçi olmalı. Ancak bu “her şeyi açık bırakmak” değildir.

Gerçek kullanıcı adı kalıplarını taklit edin (ör. admin, support, manager gibi) ama şifre politikalarını üretim ile aynı düşünmeyin; amaç açık verileri toplamaktır.
Honeypot verisi için:
README.txt içinde yanıltıcı ama güvenlik ekibinin okuyacağı ipuçları
Rastgele isimli “iş dosyaları” (ör. invoice_2026_Q2.xlsx gibi)
Önemli: Bu dosyalarda gerçek müşteri verisi kullanmayın.

3) Servisleri açın ama “kısıtlı” çalıştırın

SSH için:
Parola yerine anahtar doğrulamasını kapalı bırakmak isteyebilirsiniz; bu, brute force denemelerini artırır. Ancak bunun saldırgan davranışını artıracağını bilin.
Rate limit ekleyin (aşağıda).
Web için:
Basit bir sayfa veya bilgilendirici bir içerik
Zayıf konfigürasyonlar taklit edilecekse, bu “güvenlik açığı envanteri” çalışması içindir; aksi halde risk doğurabilir.

4) Rate limit ve saldırgan davranışını bozmadan kontrol

High-interaction honey pot’ta “tam koruma” değil “kontrollü gözlem” hedeflersiniz.

SSH için fail2ban kullanın.
Web için WAF (web application firewall) veya basit rate limiting uygulayın.

Ama amaç şu: Saldırgan tamamen engellenmesin; yalnızca honey pot’un tükenmesini ve log şelalesi yüzünden sistemin yavaşlamasını önleyin.

5) Güvenlik güncellemeleri: Tamamen kapatmayın

Honey pot “izole” olsa bile işletim sistemi güvenlik güncellemelerini ihmal etmeyin. Mantık şudur: - Honey pot, saldırgan için hedef; ama aynı zamanda saldırganın kullandığı bir zincir ile dışarı taşınmaması gerekir. - Sistem güncellemelerini düzenli yapın; yapılırken snapshot/yedek planı olsun.

Not: “Snapshot yedekleme gerçek backup yerine geçmez” prensibini burada daha sık düşünün. Snapshot geri dönüş için hızlı olabilir; fakat saklama politikası ve kurtarma senaryosu net değilse gerçek backup sayılmaz. (Bu konu daha önceki rehberlerinizde de ele alınmıştır.)

Tehdit izleme: Loglar ve olay korelasyonu

High-interaction honey pot’un değeri, loglardan bağlam üretmektir. Sadece “ham log” değil, olay korelasyonu gerekir.

Toplanacak log türleri (minimum set)

Sistem olayları: kernel/auth/syslog/journald
SSH logları: deneme sayısı, kaynak IP, user denemeleri
Web erişim logları: path denemeleri, status code, user-agent
Komut/oturum izi (opsiyonel ama güçlü): komut geçmişi yakalama
Linux’ta komut izleme için kullanıcı düzeyinde kayıt yaklaşımı kullanılabilir.

Logların saklanması ve saklama süresi

Net bir saklama planı oluşturun: - 7-14 gün: hızlı inceleme için detay - 30-90 gün: trend/iyileştirme için - Uzun vadede özet (aggregation) ve seçilmiş ham veri

Olay korelasyonu: “tek seferlik istek” yerine şablon

Aşağıdaki sinyaller, saldırgan davranışını ayırt etmenizi sağlar: - Tek IP’nin farklı uç noktalarda tekrarlı denemesi (SSH + web + dizin arama) - Aynı kullanıcı adı/aynı payload kalıbı tekrarları - İlk deneme sonrası dosya okuma girişimleri - Aynı kaynaktan kısa aralıklarla artan istek yoğunluğu

Uyarı tasarımı: Kim, ne zaman, ne kadar?

Honey pot’ta uyarı, iki şeyi ayırt etmeli: 1) “Normal tarama” mı? 2) “İleri seviye davranış” mı?

Net eşik örnekleri (somut)

Aşağıdaki eşikler, sistemden sisteme değişir; ama karar mekanizması için sayısal başlangıç sağlar: - SSH için: - 5 dakika içinde 30 başarısız deneme = uyarı (düşük seviye) - 5 dakika içinde 30 başarısız + 1 başarılı giriş = uyarı (yüksek seviye) - Web için: - 10 dakika içinde 200 istek ve status kod dağılımı “4xx/5xx” ağırlıklı = tarama uyarısı - Aynı IP’den 10 dakika içinde çoklu endpoint (ör. /wp-login.php, /admin, /phpmyadmin) denemeleri = davranış uyarısı

Uyarı kanalları ve disiplin

Uyarı aldığınızda: - IP’yi otomatik engellemeyi değil, önce doğrulamayı hedefleyin. - 1-2 gün sonra saldırının “istikrarla devam mı ettiği” görüldüğünde aksiyon alın.

Dayanıklılık: Honey pot çalışır durumda kalmalı

Honey pot, sürekli saldırı alır. Bu yüzden performans ve kaynak planı kritik.

Kaynak tasarımı (CPU/RAM/disk)

Günlük log hacmi büyür. Diskin dolması log kaybına yol açar.
Çözüm: Log rotasyonu (rotation) ve sıkıştırma.
CPU tarafında: Log işleme (ör. merkezi toplama) için ayrı süreç planlayın.

Basit izleme metrikleri

Disk kullanımı (%80 uyarı, %90 kritik)
SSH/HTTP istek hacmi
CPU %70 üstü uzun süre (ör. 10 dk) = yavaşlama riski

Kurulumu hızlandıran “kontrol listesi”

Aşağıdaki listeyi kurulumdan önce doldurun.

[ ] Honey pot sunucusu ayrı ağda izole mi?
[ ] Inbound portlar sadece gerekli olanlarla sınırlı mı?
[ ] Outbound trafiği varsayılan deny mi?
[ ] Admin erişimi sadece belirli IP’lerden mi?
[ ] SSH için rate limit / fail2ban benzeri mekanizma var mı?
[ ] Web için rate limiting veya WAF var mı?
[ ] Log toplama için minimum set oluşturuldu mu?
[ ] Log rotasyonu ve saklama süresi belirlendi mi?
[ ] Uyarı eşikleri (SSH/Web) sayısal olarak tanımlandı mı?
[ ] Snapshot var ama kurtarma senaryosu net mi? (gerçek backup mantığıyla)

NetKıyas üzerinden seçim yaparken nelere bakmalısınız?

Honey pot’un başarısı “en ucuz” değil “iş gören izolasyon ve izleme”dır. VDS/VPS seçerken şu başlıkları netleştirin:

Kriter	Neden önemli	Honey pot etkisi
Ağ bant genişliği	Yüksek istek hacmi logu şişirir	Log/erişim hızını etkiler
Disk I/O ve kapasite	Log rotasyonu ve uzun saklama	Disk dolması kesinti yaratır
RAM	Log işleme/agent’ler	Düşük RAM sistem çökmesi riskini artırır
CPU	Agent/analiz yükü	Rate limit ve işleme tıkanabilir
Lokasyon (region)	Gözlenen saldırganların yakınlığı	Latency uyarı gecikmesini azaltır
Snapshot/backup altyapısı	Kurtarma ve test	Deneysel değişiklikte geri dönüş hızı sağlar
DDoS ve temel anti-abuse	Trafik fırtınası	Honey pot’un servis sağlayamaması engellenir

Bu tabloyu kullanarak, “honey pot için yeterli kaynak” sonucunu çıkarın. Sadece CPU/RAM değil, ağ ve disk tarafına daha fazla ağırlık verin.

High-interaction’da performans tuzağı

High-interaction’ın maliyeti bazen CPU’dan değil log işleme ve diskten gelir. Özellikle web taraması senaryolarında erişim logu aşırı büyür. Bu nedenle kurulumun ilk gününde log hacmini ölçmeden “sonra optimize ederim” yaklaşımı doğru değildir.

Sonuç: 1. hafta hedefi ve ölçülebilir aksiyon

Honey pot kurulumu, gelişmiş tehdit izleme için doğru bir yaklaşımdır; ancak değer, izolasyon ve telemetri tasarımı tamamlandığında ortaya çıkar. İlk hafta hedefiniz şu olsun: Honey pot servisleri çalışıyor olsun, loglar rotasyonla düzenli akıyor olsun ve SSH/Web için sayısal uyarılar devrede olsun. Kurulumdan sonra 7 gün içinde “hangi saldırı türleri tekrar ediyor” sorusuna net cevap üretin; ardından inbound port setini daraltın, uyarı eşiklerini revize edin ve yedek/kurtarma planını (snapshot + gerçek backup yaklaşımı) somutlaştırın.