Kurumsal Site Hosting: Güvenlik Kriterleri ve Net Kontrol Listesi

Kurumsal bir web sitesi; marka itibarını, müşteri verilerini ve iş sürekliliğini doğrudan etkileyen bir varlıktır. Bu nedenle hosting seçerken “hız” kadar güvenlik kriterlerini de sayısal ve denetlenebilir biçimde ele almak gerekir. Bu rehberde, kurumsal site için barındırma (hosting) altyapısında hangi güvenlik kontrollerinin “olmazsa olmaz” olduğunu; nasıl test edileceğini ve sağlayıcıdan hangi kanıtların isteneceğini net şekilde göreceksiniz.

Aşağıdaki başlıklar; saldırı yüzeyini azaltma, veri kaybını önleme, yetkisiz erişimi engelleme ve olay sonrası inceleme (forensic) için log tutma konularını kapsar. Sonunda, satın alma öncesi kullanabileceğiniz kısa bir kontrol listesini aksiyon önerisiyle tamamlayacağız.

1) Kurumsal hostingte güvenlik “katmanları”: Saldırı yüzeyi → doğrulama → veri koruma

Kurumsal sitelerde güvenliği tek bir özellik değil, katmanlı bir mimari belirler. Bu yaklaşımı maddeler halinde ele alalım:

Ağ katmanı (Network)

DDoS koruması: Sadece “var” demek yetmez. Trafik temizleme (scrubbing), otomatik ölçekleme ve saldırı türlerine göre davranış (L3/L4 ve L7) açıklanmalıdır.
Anycast / gelişmiş yönlendirme: DNS ve trafik dağıtımı, özellikle Türkiye’de farklı POP’lar (Points of Presence) üzerinden gecikmeyi ve saldırı etkisini azaltabilir.
Giriş noktası azaltma: Sunucu üzerinde gereksiz portların kapalı olması, yönetim arayüzlerinin (panel) kısıtlı IP ile erişilmesi kritik seviyededir.

Uygulama katmanı (Application)

WAF (Web Application Firewall): SQL injection, XSS, path traversal gibi ataklarda imza ve davranış tabanlı engelleme yapılmalıdır.
Bot yönetimi: Login denemeleri, credential stuffing ve tarayıcı/otomasyon trafiği için hız sınırlama (rate limiting) etkin olmalıdır.

Kimlik katmanı (Identity & access)

2FA (iki aşamalı doğrulama): Panel erişimi ve destek talepleri gibi yetkili işlemler için 2FA zorunlu olmalıdır.
RBAC: Kurumsal ekiplerde rol bazlı yetkilendirme (admin / editor / support gibi) beklenir.

Veri katmanı (Data)

Yedekleme (backup) politikası: Sadece otomatik yedek değil; saklama süresi, şifreleme, geri dönüş (restore) testi ve versiyonlama (point-in-time) net olmalıdır.
Şifreleme: Hem in transit (TLS) hem de at rest (disk/öğeler) için durum açıkça belirtilmelidir.

Bu katmanlar, saldırı gerçekleşse bile etkiyi sınırlamak (blast radius) ve hızlı toparlanmayı sağlamak için gereklidir.

2) Kurumsal güvenlik kriterleri: Sağlayıcıdan isteyeceğiniz net kanıtlar

Aşağıdaki başlıklar, kurumsal site için hosting seçerken sağlayıcıdan “belgeyle” talep edebileceğiniz kriterlere dönüşür.

2.1 WAF ve L7 koruma: Güvenlik değil ölçüm

WAF var mı sorusunun yerine şu soruları sorun: - WAF, OWASP Top 10 sınıfında hangi kategorileri kapsıyor? (ör. injection, XSS, SSRF) - Gerçek zamanlı engelleme mi var, yoksa raporlama (monitoring) ile sınırlı mı? - WAF kuralları manuel mi yönetiliyor, yoksa otomatik güncelleniyor mu? - WAF olaylarında log dışa aktarımı (export) mümkün mü?

Net talep örneği: - Son 30 gün içinde WAF tarafından engellenen olay sayısının sınıflandırılmış raporu.

2.2 DDoS koruması: Akış temizliği ve ölçeklenebilirlik

DDoS için “koruma sağlıyoruz” ifadesi yetersizdir. İstenen kanıtlar: - L3/L4 ve L7 ayrımı - Trafik temizleme (scrubbing) ve blackhole / sinkhole mekanizmaları - Otomatik ölçekleme ile saldırı altında servis sürekliliği - Büyük olaylarda (varsa) yayınlanmış incident raporu

2.3 Yama yönetimi (patching): İşletim sistemi ve uygulama

Kurumsal güvenlikte en sık ihmal edilen nokta yamadır. Sağlayıcının: - Hypervisor/host güncellemeleri - İşletim sistemi kernel yamaları - Panel bileşenleri ve temel paketler

konusunda SLA benzeri bir yaklaşımı var mı değerlendirilmelidir.

Net talep: - “Güncelleme penceresi (maintenance window)” ve kritik yamalar için ortalama müdahale süresi (ör. 24 saat / 48 saat gibi ölçü).

2.4 Ayrık ortam (isolation): VDS/VPS farkı ve kaynak paylaşımı

Kurumsal site için en riskli senaryolardan biri “komşu kiracı” (noisy neighbor / cross-tenant risk) etkisidir. - VDS/VPS ortamında çekirdek (kernel) paylaşımı ve CPU/RAM garantisi nasıl çalışıyor? - Storage tarafında (SSD/NVMe) performans kararlılığı nasıl sağlanıyor?

Net ölçüm önerisi: - Aynı tarifede CPU/IO için garanti metrikleri: “baseline” ve “burst” tanımı.

3) Erişim kontrolü (access control) ve hesap güvenliği: Kurumsal sitenin kilidi

Saldırının çoğu zaman başlangıç noktası, açık bir panel ya da zayıf kimlik doğrulamadır.

3.1 Yönetim paneli erişimi: IP kısıtlama + 2FA

Sağlayıcı panelinde şu kontroller bulunmalıdır: - 2FA zorunluluğu (TOTP/SMS yerine TOTP tercih edilir) - Panel girişinde IP allowlist (kurumsal ofis / VPN IP’leri) - Otomatik oturum süresi (session timeout)

3.2 SSH ve servis hesapları: Minimum yetki (least privilege)

Erişim katmanında hedef: - Root kullanımı yerine yetkili (sudo) hesaplar - Kullanılmayan servis hesaplarının kapatılması - SSH için parola yerine anahtar doğrulama (public key) - Fail2ban / benzeri otomatik bloklama gibi katmanlar.

3.3 Yetki devri ve denetim izi (audit trail)

Kurumsal ekiplerde en kritik kontrol, “kim ne zaman ne yaptı?” sorusunun cevaplanabilmesidir. - Panelde değişiklik logları - Yetki değişiklikleri ve ödeme/konfigürasyon değişikliklerinde audit

4) Yedekleme ve olay sonrası toparlanma: Ransomware senaryosu için somut plan

Ransomware veya veri sızıntısında asıl fark; yedeklemenin var olup olmaması değil, restore edilebilir olmasıdır.

4.1 Yedekleme kriterleri: RPO/RTO hedefleri

Sağlayıcıdan şu kavramları netleştirin: - RPO (Recovery Point Objective): Son veri kaybı toleransı (örn. 15 dk) - RTO (Recovery Time Objective): Sistemin yeniden hizmete dönüş süresi (örn. 2 saat)

Net talep: - Yedekleme sıklığı (saatlik/günlük) ve saklama süresi - Yedekten geri yükleme (restore) adımlarının dokümantasyonu

4.2 Yedeklerin güvenliği: Şifreleme ve ayrık saklama

Yedeklerin kendisi de hedef olabilir. - Yedekler şifreli mi? - Yedekler ana sistemden ayrık bir konumda mı tutuluyor? - Versiyonlama var mı? (ör. “son 7 günün her günü”)

4.3 Restore testi: “Sahip olmak” değil “çalıştırmak”

Kurumsal güvenlikte en az iki test önerilir: - Her çeyrek (veya aylık) sahte incident senaryosuyla restore denemesi - Uygulama düzeyinde test: WordPress/NodeJS ayarlarının doğru ayağa kalkması

5) Loglama, izleme ve uyum (compliance): Olayın izini sürmek

Saldırı gerçekleştiğinde kanıtlar loglardan çıkar. Bu nedenle loglama, kurumsal hostingte güvenlik kriterinin merkezindedir.

5.1 Merkezi log ve dışa aktarma

Uygulama logları (web server / application)
WAF/DDoS olay logları
Sistem logları (OS)

Sağlayıcının logları: - indirilebilir mi, - SIEM entegrasyonu var mı (ör. syslog/webhook), - en azından belirli bir süre saklanıyor mu?

5.2 Zaman senkronizasyonu (NTP) ve tutarlılık

Olay analizinde logların doğru sırayla okunması gerekir. - Sunucu saatleri NTP ile senkronize mi? - Log zaman damgaları (timestamp) standart mı?

5.3 Giriş/çıkış raporları ve değişiklik izleri

Kurumsal sitelerde kritik eylemler: - DNS değişiklikleri - SSL sertifika yenilemesi - Panelde dosya/konfigürasyon değişiklikleri

Bunlar için audit trail olmalıdır.

6) Kurumsal site için pratik seçim matrisi: VDS/VPS ve web hosting nasıl ayrışır?

Kurumsal ihtiyaçta tek doğru yok; doğru seçim, güvenlik hedefleriyle kullanım senaryosunun eşleşmesidir. Aşağıdaki tablo, güvenlik kriterleri açısından pratik bir ayrım sunar.

İhtiyaç / kriter	Web hosting (managed)	VPS/VDS (kontrollü)
WAF/DDoS katmanı	Genelde paket içinde	Genelde sağlayıcıya bağlı; ayrıca entegre edilebilir
Yama yönetimi	Sağlayıcı yönetir (kurala bağlı)	İşletim sistemi + servislerin sorumluluğu artar
Erişim kontrolü	Panel üzerinden IP/2FA ile yönetilir	SSH/serbest erişim yönetimi daha teknik
Yedekleme	Genelde otomatik; restore dokümantasyonu istenir	Yedekleme yaklaşımı (snapshot/backup) seçilmelidir
Loglama	Panel ve temel loglar	Uygulama + OS logları daha detaylı olabilir
Uyum ve denetim	Sağlayıcı raporlarına dayanır	Daha çok sizin kurgunuza bağlı

Hangi senaryoda hangisi daha güvenli olur?

İçerik ağırlıklı, hızlı teslim ve standart güvenlik kontrolleriyle yönetim isteyen ekiplerde managed web hosting; WAF + otomatik yedekleme + panel audit avantajı sağlar.
Uygulama güvenliği için ince ayar (özel firewall kuralları, özel log akışı, sıkı kullanıcı yönetimi) isteyen kurumsal ekiplerde VPS/VDS güvenlik kontrolünü artırır; ancak yanlış yapılandırma riskini de artırır.

Sonuç: Satın alma öncesi 12 maddelik güvenlik kontrolünü uygula

Kurumsal hostingte en doğru yaklaşım, “özelliği var” cümlesi yerine teknik kanıt ve denetlenebilir davranış istemektir. Satın alma sürecinde sağlayıcıdan aşağıdakileri doğrulayın:

WAF; engelleme kategorileri ve log dışa aktarma imkanı
DDoS; L3/L4 + L7 ayrımı, scrubbing davranışı
Panel erişiminde 2FA ve mümkünse IP kısıtlama
Yama yönetimi için kritik paketlerde ortalama müdahale süresi
Yedekleme; sıklık, saklama süresi, şifreleme ve ayrı konum
Restore testi dokümantasyonu ve (mümkünse) örnek başarı kaydı
Yedeklerin versiyonlanması (point-in-time / günlük kopyalar)
Loglama; WAF/DDoS ve erişim logları için saklama süresi
Zaman senkronizasyonu ve tutarlı timestamp yaklaşımı
RBAC veya en azından rol bazlı erişim
TLS (sertifika) yenileme sürecinin otomatikliği
Konfigürasyon değişikliklerinde audit trail

Bu 12 maddeyi tamamlayan bir hosting seçimi, kurumsal güvenlik hedeflerinizi somut şekilde ilerletir. Eğer bu kriterlerden 3’ü bile net yanıtlanmıyorsa, güvenlik planınızı sağlayıcıya “varsayım” üzerinden bağlamayın; önce teknik gereksinimleri kesinleştirip ona göre altyapıyı netleştirin.