Honey pot kurulumu: Gelişmiş tehdit izleme için net plan

Honey pot (tuzak sunucu) kurmak, gerçek üretim altyapısına dokunmadan saldırganların davranışlarını gözlemlemenin pratik bir yoludur. Ancak doğru tasarlanmadığında tuzak “gürültü kaynağı”na dönüşür, loglar eksik kalır veya potansiyel veri sızıntısı yaşanır. Bu rehberde; amaç, mimari, izleme (observability), log toplama, alarm mantığı ve güvenlik kontrolleri ile birlikte gelişmiş tehdit izleme için net bir honey pot kurulumu planı öğreneceksiniz.

Honey pot’un amacı: Ne izleyeceksiniz?

Honey pot’u sadece “hack oldu mu” sorusuna yanıt için kurmak yerine, saldırganın hangi aşamalarda hangi izleri bıraktığını ölçmek gerekir. Aşağıdaki hedefler, hangi sistemleri kuracağınızı belirler.

Hedef 1: Otomatik tarama ve keşif (recon)

Açık port taramaları (ör. 22, 80, 443, 445)
Dosya/URL brute-force denemeleri
WordPress / panel / yönetim ekranı aramaları

Önerilen izler (artifacts): - Firewall drop logları - Nginx/Apache erişim logları (user-agent, path) - SSH failed login logları

Hedef 2: Kimlik doğrulama saldırıları (credential abuse)

Brute-force
Belirli kullanıcı adlarını hedefleme (ör. admin, root)
Şifre deneme desenleri (credential stuffing göstergeleri)

Önerilen izler: - SSH authentication logları - Web uygulaması login denemeleri (varsa)

Hedef 3: İstismar denemeleri ve kalıcılık (exploitation & persistence)

Zafiyet tarama dizgileri (RCE payload imzaları)
Web shell upload denemeleri
Yetkilendirme / kalıcılık girişimleri (cron, startup script)

Önerilen izler: - Web server’de anormal dosya erişimleri - Dosya bütünlüğü izleme (file integrity monitoring) - İşlem (process) ve ağ (network) davranışları

Doğru mimari seçimi: Üretimi hiç riske atmayın

Gelişmiş tehdit izleme için en kritik nokta izolasyondur. Honey pot, saldırganın “içeriği” ile oynayacağı için saldırı yüzeyini sınırlamak şarttır.

Fiziksel/VM mi? En net kural

Üretim ortamından ayrı VDS/VPS veya ayrı bir fiziksel sunucu kullanın.
Tercih: VM (virtual machine). Çünkü snapshot ve geri dönüş (rollback) daha hızlıdır.

Önerilen katmanlı mimari

Honey pot VM (saldırganın etkileşime girdiği katman)
Log toplama katmanı (ayrı VM veya aynı ağda ayrı rol)
Alarm/analiz katmanı (SIEM ya da Elastic tabanlı arama)
Kesin izolasyon: yönetim erişimi sadece VPN ile

Ağ segmentasyonu (en net kontrol)

İnternet’e açık olacak portlar: sadece ihtiyacınız kadar.
Diğer tüm portlar drop edilmelidir.
Yönetim erişimi için: yalnızca belirli IP/NAT üzerinden VPN (veya jump host) kullanın.

Aşağıdaki mini kontrol listesi, “toy kurulum” yerine “gelişmiş izleme” hedefini destekler: - [ ] Yönetim portları (SSH/Panel) internete açık değil - [ ] Honey pot yalnızca hedeflenen protokollere yanıt veriyor - [ ] Loglar saldırgan tarafından silinemeyecek şekilde ayrı tutuluyor - [ ] Günlük snapshot/geri dönüş planı var

Kurulum adımları: Honey pot hizmeti + gözlemlenebilirlik

Bu bölümde Linux tabanlı bir honey pot için pratik bir kurulum akışı veriyorum. Amacımız; saldırı sırasında üretim etkisini azaltırken aynı anda “kanıt zinciri” (evidence) oluşturmaktır.

1) Temel sistem hazırlığı

Yeni bir VM oluşturun.
En güncel güvenlik güncellemelerini uygulayın.
Gereksiz paketleri kaldırın.

Net hedef: Saldırganın etkileşebileceği yüzey sadece web/ssh gibi ihtiyaç duyduğunuz kısımlar olsun.

2) Web honey pot mu SSH honey pot mu?

Tek bir servisle başlamak yerine izleme seviyesini artırmak mümkündür.

Web tabanlı honey pot (HTTP/HTTPS)

Nginx veya Apache üzerinde “normal sayfa” davranışı simüle edin.
Yanlış endpoint’lere 404 dönerken bile log kaydı üretin.
WAF (web application firewall) gerekiyorsa, bunu izleme kanalını engellemeyecek şekilde konumlandırın.

SSH tabanlı honey pot

SSH giriş denemeleri için ayrıntılı auth log toplayın.
Parola denemeleri için rate limit veya fail2ban benzeri mekanizmalar kullanın (ama tamamen engellemek yerine log üretimi devam etsin).

3) Log toplama: “Log yoksa delil de yok”

Gelişmiş tehdit izleme, tek dosyaya bakmak değil; tekilleştirilmiş olay akışlarını birleştirmektir.

Minimum loglar

Web erişim logları (request method, path, status, user-agent)
SSH auth logları (username, fail nedenleri)
Firewall drop logları (hangi port, hangi IP)
Sistem logları (kernel/audit varsa)

İleri seviye: audit log ve dosya bütünlüğü

Linux audit (auditd) ile kritik olayları toplayın.
Dosya bütünlüğü için file integrity monitoring kurun.

4) Zaman senkronizasyonu

NTP/chrony ile saat senkronizasyonunu sağlayın.

Net neden: Aynı saldırı farklı sistemlerde farklı zamanla görünürse korelasyon zorlaşır.

Gelişmiş tehdit izleme: SIEM/Elastic ile olay korelasyonu

Honey pot’un “işe yaradığı” yer, logların tek tek okunmasından çok, olayların bağlanıp anlamlı bir tabloya dönüşmesidir.

Elastic (ELK) mantığıyla pratik kurgulama

Elastic veya benzeri bir SIEM yaklaşımıyla: - Loglar toplanır (ingest) - Alanlar normalize edilir - Arama/kural motoruyla korelasyon yapılır - Dashboard ve alarm üretilir

Aşağıdaki tablo, “hangi olay hangi sinyali verir” yaklaşımını netleştirir.

İzlenen davranış	Tipik log alanları	Yüksek öncelik sinyali
Port taraması	firewall drop, connection attempts	Aynı IP’nin kısa sürede çok port denemesi
Admin panel araması	web path, status code	/admin, /login, /wp-admin benzeri uçlar + 404/200 karışımı
Brute-force	ssh auth username, fail reason	Çok sayıda kullanıcı adı denemesi
Web shell şüphesi	POST endpoint, dosya adı, erişim dizgileri	Belirli pattern’ler + anormal dosya uzantıları
Kalıcılık girişimi	process, cron benzeri loglar	Yeni görev/servis oluşturma

Alarm kuralları (net ve uygulanabilir)

Aşağıdaki örnek mantıklar, kural üretiminde doğrudan kullanılabilir.

Kural 1: 1 dakikada 20+ istek / tek IP

Kaynak IP başına 1 dakikada 20+ HTTP isteği
Aynı IP’nin hedef path çeşitliliği yüksekse (örn. 5+ farklı path)

Kural 2: SSH brute-force yoğunluğu

10 dakikada 15+ başarısız deneme
5+ farklı username denemesi

Kural 3: Dosya bütünlüğünde değişim

Web kök dizininde (ör. /var/www) yeni dosya
Dosya uzantısı “şüpheli” sınıfta ise (php, phtml, asp, js backdoor desenleri)

Not: Dosya uzantısı tek başına yeterli değildir. Aynı anda ağ istek desenleriyle korelasyon kurun.

Dashboard tasarımı: “Gürültüye boğulmayın”

En üstte 24 saatlik saldırı yoğunluğu
En altta olay drill-down (IP → path → status → user-agent)
Aynı saldırganın (IP/ASN) farklı servislerde zaman sıralaması

Güvenlik kontrolleri: Honey pot’un da güvenli olması şart

Honey pot “tuzak”tır; fakat saldırganın kontrol altına alabileceği bir sistem olursa tehdit üretir. Bu nedenle güvenlik kontrolleri kurulumun parçasıdır.

1) Çıkış trafiğini (egress) sınırlayın

Honey pot’tan internete sınırsız erişim vermeyin.
Paket indirme, keylogger exfil gibi senaryoları zorlaştırın.

Net hedef: - Gerekli güncelleme dışında dış bağlantı kapalı - NTP gibi zorunlu servisler kontrollü

2) Dosya/konfigürasyon hardening

Parola yerine anahtar (key) kullanımı (SSH için)
Parola auth’u kapatın (mümkünse)
Gereksiz modülleri devre dışı bırakın

3) İzolasyon ve geri dönüş

Her değişiklikten sonra VM snapshot alın.
Kritik konfigürasyonlar için “geri dönüş süresi” hedefi belirleyin (ör. 30 dakika içinde tekrar ayağa kaldırma).

4) Hassas veri bırakmayın

Gerçek veritabanı bilgileri, API anahtarları, staging üretim dump’ları yok.
Sahte kimlik doğrulama (ör. demo kullanıcılar) ile davranış simülasyonu yapın.

Test ve doğrulama: Kurduğunuz şeyi ölçün

Gelişmiş tehdit izleme, “kurdum çalışıyor” ile bitmez. Kanıt üretip üretmediğinizi doğrulayın.

Test senaryoları

Aynı IP’den kısa sürede port taraması simüle edin (Kendi ağınızdan kontrol ederek)
Web üzerinde 404/401 üreten farklı path denemeleri yapın
SSH için kısa brute-force denemesi yapın (rate limit sonrası bile log akışı görünsün)

Beklenen sonuçlar

Firewall drop kayıtları gelmeli
Erişim loglarında request path ve status görülmeli
Alarm kurallarında tetiklenme olmalı
Zaman senkronu bozulmamalı (loglar sırayla anlamlı görünmeli)

NetKıyas perspektifinden seçim kriterleri: Honey pot için VDS/VPS nasıl belirlenir?

Honey pot performansını çoğunlukla “işlenen saldırı hacmi” belirler. Ayrıca log toplama ve saklama kaynak ister.

Kaynak planlama tablosu

İhtiyaç	Belirleyici etken	Net seçim ölçütü
Log ingest (Elastic/SIEM)	Günlük olay hacmi	CPU + disk IOPS + disk alanı
Disk saklama (retention)	Log saklama süresi	30/60/90 gün planlanmalı
Ağ trafiği	Port tarama ve brute-force	Bant genişliği rezervi
Snapshot/rollback	Değişiklik sıklığı	VM storage hızı

VDS seçerken somut sorular

“Aynı anda kaç GB günlük log oluşuyor?”
“Elastic/analiz sistemi VM/serviste hangi disk IOPS’a ihtiyaç duyuyor?”
“Yönetim trafiği için ayrı IP gerekiyorsa nasıl sağlayacağım?”

Sonuç: 1 haftalık uygulanabilir aksiyon planı

Honey pot kurulumunu gelişmiş tehdit izlemeye çevirmek için önce izolasyonu sağlayın, sonra logları eksiksiz ve korelasyon yapabileceğiniz şekilde topladığınızdan emin olun. En kritik aksiyonlar: yönetim erişimini VPN/jump host ile kapatmak, logları ayrı rol üzerinde saklamak, zaman senkronunu kurmak ve alarm kurallarını gürültü azaltacak şekilde netleştirmektir. İsterseniz ilk haftada şu sıralamayla ilerleyin: (1) VM ve egress kısıtları, (2) web/ssh servis simülasyonu, (3) Elastic/SIEM ile ingest ve dashboard, (4) test senaryoları ve kural doğrulaması. Sonrasında yalnızca üretim dışı ortamda doğrulanan sinyalleri artırın; böylece hem delil kalitesi yükselir hem de gerçek riskler kontrol altında kalır.