Kurumsal Site İçin Hosting: Güvenlik Kriterleri Kontrol Listesi

Kurumsal bir web sitesi için hosting seçimi, sadece sayfa açılış hızından ibaret değildir. Güvenlik kriterleri; hesabın ele geçirilmesi (account takeover), veri kaybı (backup/restore), saldırı yüzeyinin küçültülmesi ve olaylara hızlı müdahale gibi başlıklarda net fark yaratır. Bu rehberde, kurumsal site için hosting satın almadan önce sağlayıcıyı somut şekilde değerlendirmenizi sağlayacak güvenlik odaklı kontrol listesini göreceksiniz. Ayrıca Hangi özelliğin hangi riski azalttığını ve pratikte nasıl doğrulayacağınızı adım adım anlatacağım.

1) Kimlik ve Erişim: Hesapları “ele geçirilemez” yapın

Kurumsal sistemlerde ilk hedef genellikle web sitesi değil, erişim noktalarıdır. Bu yüzden hosting tarafında kimlik doğrulama ve yetkilendirme net şekilde tanımlı olmalıdır.

Hangi yetenekler şart?

Aşağıdaki kontrolleri “var mı” diye değil, “nasıl uygulanıyor” diye kontrol edin:

• 2FA (two-factor authentication) zorunluluğu: Panel (kontrol paneli) ve API erişimi için 2FA’nın zorunlu olması gerekir.
• Rol tabanlı yetkilendirme (RBAC): “Okuma” ve “yazma” izinleri ayrı olmalı; ekip üyeleri için hesap bazlı rol atanabilmelidir.
• Kurumsal SSO desteği: Bazı sağlayıcılar SAML/OIDC ile tek oturum (SSO) sunar. Bu, özellikle çok kişili ekiplerde erişim güvenliğini doğrudan artırır.
• Oturum politikaları: Oturum süresi, şüpheli giriş engelleme ve IP kısıtlaması gibi ayarlar bulunmalıdır.

Net doğrulama yöntemi

Sağlayıcıyla yazışırken şu iki soruyu doğrudan sorun: - “Kontrol paneli ve SSH/Web yönetim erişiminde 2FA zorunlu mu, opsiyonel mi?” - “Ekip üyelerine rol bazlı yetki nasıl veriliyor? Varsayılan yetki seviyesi nedir?”

Bu sorulara “evet” cevabı tek başına yeterli değildir; seçenek, varsayılan ve kapsam net olmalıdır.

2) Ağ saldırılarını durdurma: WAF, DDoS ve hız sınırlama

Kurumsal siteler, otomasyonla denenen saldırılara açıktır. Bu noktada sağlayıcının sunduğu koruma katmanları kritik olur.

WAF (Web Application Firewall) ne zaman fark yaratır?

WAF, SQL injection, XSS, kötü niyetli bot istekleri ve bazı kırılganlık denemeleri için filtreleme sağlar. Kurumsal kullanımda şu özellikleri arayın:

• Modüler kural setleri: OWASP benzeri kurallar veya yönetilebilir rule set.
• Bot/robot yönetimi: Gereksiz trafiğin sınırlanması.
• 403/404 türü güvenli yanıtlar ve loglanabilir olaylar.

DDoS korumasında ölçüm sorusu

DDoS koruma “var/yok” değil “hangi kapsamda” değerlendirilmelidir. Sunucu korumasında şunları isteyin: - Troughput/mitigation kapasitesi (ör. Gbps ölçeği) ve hangi trafik türlerinde etkili olduğu - Akıllı filtreleme: Layer 3/4 ve Layer 7 seviyelerinde ayrım - Bulut tabanlı scrubbing merkezi veya benzeri bir mimari

Sağlayıcıdan şu net bilgiyi isteyin: - “WAF ve DDoS koruması sağlayıcı tarafında mı, yoksa müşterinin ek ayarıyla mı açılıyor?” - “Loglar olay bazında saklanıyor mu ve ne kadar süre tutuluyor?”

Hız sınırlama (rate limiting) neden kritik?

Rate limiting, brute-force ve bazı bot trafiğini doğrudan azaltır. Özellikle login sayfaları için login deneme limitleri (ör. belirli deneme sonrası geçici bloke) aranmalıdır.

3) Güvenli sunucu yönetimi: SSH, güvenlik duvarı ve uzaktan erişim

Kurumsal altyapıda “kim yönetiyor ve nasıl yönetiyor” en önemli sorudur.

SSH erişimi kontrolü

Şunlar net olmalıdır: - Şifre tabanlı SSH yerine anahtar tabanlı erişim - Varsayılan port yerine port değiştirme tek başına güvenlik değildir; asıl güvenlik anahtar ve firewall ile gelmelidir. - Fail2ban veya benzeri brute-force engelleme mekanizmaları - Kullanıcı bazlı erişim: root doğrudan kapatılmalı, yetkilendirme kontrollü olmalıdır.

Güvenlik duvarı (firewall) ve ağ izolasyonu

• İzin verilen portlar (minimum açık servis): Kurumsal site için genellikle web (HTTP/HTTPS), yönetim için kontrollü erişim ve gerekirse e-posta entegrasyonu gibi portlar dışında açık olmamalıdır.
• Erişim kısıtları: Yönetim paneline sadece kurumsal IP aralıklarıyla erişim gibi kısıtlamalar.

IPMI / iLO / iDRAC (varsa) ile uzaktan yönetim

Dedicated veya yönetilen sunucularda uzak yönetim kartları (IPMI/iLO/iDRAC) fiziksel erişim olmadan müdahaleyi kolaylaştırır. Bu kartlarda: - Ayrı ağ segmentasyonu - Varsayılan şifrelerin değiştirildiğinin kanıtlanması - Yönetim erişiminin 2FA ve IP kısıtlarıyla korunması

net aranmalıdır.

4) Yedekleme ve geri dönüş (restore): Kurumsalda “olay olduğunda” kritik

Kurumsal sitelerde saldırı veya hata sonrası kurtarma, planlı ve test edilmiş olmalıdır. Sadece “yedek var” demek yetmez.

Yedekleme için net kriterler

Aşağıdaki sorulara verilecek cevapler kurumsal güvenliği belirler:

• Yedek türü: Tam yedek (full) mi, artımlı mı? Uygulama yedeği mi (app-level) yoksa sadece disk mi?
• Saklama süresi: Gün/hafta/ay bazında kaç gün saklanıyor?
• RPO/RTO: Olay sonrası ne kadar veri kaybı tolere edilebilir (RPO) ve hizmet ne kadar sürede geri dönmeli (RTO)?
• Şifreleme: Yedekler depoda şifreleniyor mu?
• Restore testi: Sağlayıcı restore testini raporluyor mu ya da müşteriye nasıl test yapacağını anlatıyor mu?

Yedeklemeyi sağlayıcı değil siz de nasıl doğrularsınız?

Kurumsal ekiplerin yaptığı en etkili uygulama, “kurtarma simülasyonu”dır: - Son yedek alındıktan sonra staging ortamına restore denemesi yapılır. - Restore sonrası uygulama ve veritabanı bağlantıları doğrulanır.

Bu testi en az ayda bir (veya kritik dönemlerde daha sık) rutinleştirmeniz gerekir. Hosting sağlayıcısından restore prosedürünü yazılı olarak istemek süreç riskini azaltır.

5) Loglama ve olay müdahalesi: Kanıt ve iz sürme olmadan güvenlik eksik kalır

Güvenlik olaylarında ilk hedef; “ne oldu, ne zaman oldu, nasıl oldu” sorusuna cevap verebilmektir. Kurumsal hostingte log, kanıt üretme aracıdır.

Minimum log kapsamı

Sağlayıcıda şunları arayın: - Panel erişim logları: Kim giriş yaptı, hangi işlem yapıldı - Sistem logları: Güvenlik olayları, servis başlatma/durdurma, disk/CPU uyarıları - Web trafiği ve WAF olay logları - Fail2ban ve brute-force denemeleri ile ilgili olay kaydı

Log saklama süresi

“Loglar tutuluyor” demek yetersizdir. Kurumsal ihtiyaç için saklama süresi net olmalıdır (ör. 30/60/90 gün). Ayrıca hangi formatta erişilebildiği önemlidir: - İndirme imkanı - API ile erişim - SIEM entegrasyonu (varsa)

Sağlayıcıya şu net soruları sorun: - “Loglar kaç gün saklanıyor?” - “Loglara kullanıcı panelinden mi erişiliyor, yoksa yalnızca destek üzerinden mi?” - “WAF/DDoS olaylarında hangi alanlar tutuluyor (IP, URL, aksiyon, zaman)?”

6) Güvenlik “paketleri” değil mimari: Güncelleme, izolasyon ve varsayılan ayarlar

Kurumsal sitelerde saldırılar çoğu zaman güncel olmayan bileşenler üzerinden gelir. Bu nedenle güncelleme politikası, sanallaştırma izolasyonu ve varsayılan hardening kritik olur.

Güncelleme (patching) politikası

Şunlar net tanımlı olmalıdır: - İşletim sistemi otomatik güncelleme: Hangi sıklıkta, hangi pencere ile? - Kritik CVE (vulnerability) durumunda aksiyon: Kaç saat içinde müdahale? - Kullanıcı tarafında kontrol: Güncelleme kapatılabiliyor mu, kapatılamıyorsa gerekçesi nedir?

Sanallaştırma izolasyonu (VDS/VPS senaryosu)

Kurumsal site için VDS/VPS seçiliyorsa sanallaştırma katmanı önemlidir. Aşağıdaki ayrımı net değerlendirin:

• KVM: Modern izolasyon ve performans açısından kurumsal senaryolarda sık tercih edilir.
• Daha eski/limitli izolasyon yaklaşımları: Güvenlikten çok maliyet avantajına odaklı çözümler risk yaratabilir.

Bu bölümde tek bir “en iyisi” yoktur; ancak kurumsal güvenlikte amaç, kaynak izolasyonunun ve çekirdek seviyesindeki davranışların öngörülebilir olmasıdır.

Varsayılan hardening

Sağlayıcı tarafında açık bırakılmış “varsayılan” ayarlar kurumsal ekipler için risk üretir. Şunları kontrol edin: - Gereksiz servisler kapalı mı (ör. açık FTP, eski yönetim arayüzleri) - Güvenli sertifika yönetimi: TLS ayarları, otomatik sertifika (varsa) - Panel erişimi: Hangi güvenlik önlemleriyle korunuyor (2FA, IP kısıtı, rate limiting)

Kurumsal güvenlik kriterlerini puanlayın: Net seçim tablosu

Aşağıdaki tablo, sağlayıcı kıyasını hızlandırır. Her kriter için “Var” yanında somut uygulama yazın; belirsiz ifadeleri puanlamayın.

Pratik satın alma adımı: 30 dakikada sağlayıcıyı ele, geçiş riskini ölç

Kurumsal güvenlikte en hızlı yöntem, teklif almadan önce sağlayıcıyı kısa bir doğrulama listesiyle yoklamaktır.

Sağlayıcıya gönderilecek kısa kontrol listesi

• 1) 2FA tüm yönetim erişimlerinde zorunlu mu? 2FA kapatılabiliyor mu?
• 2) WAF/DDoS koruması varsayılan mı, etkinleştirme gerekir mi? Olay logları nerede görülür?
• 3) Yedekler hangi sıklıkta alınır, saklama süresi nedir ve yedekler şifreleniyor mu?
• 4) Restore işlemi için adımlar ve ortalama restore süresi nedir? Restore testi yapıyor musunuz?
• 5) Loglar kaç gün saklanıyor ve hangi formatta dışa aktarılabiliyor?
• 6) Sunucu yönetiminde (panel/SSH) brute-force engelleme hangi mekanizma ile sağlanıyor?
• 7) Güncelleme/patcheme politikanız nedir? Kritik CVE için hedef müdahale süresi var mı?

Bu sorulara “belirsiz” cevap gelirse ne yapmalısınız?

Belirsiz yanıtlar (ör. “loglar tutulur”, “yedek var”, “güvenlik yapılır”) kurumsal ölçüm için yetersizdir. Kurumsal ekipler ya net dokümantasyon ister ya da ilgili özelliği üçüncü taraf doğrulamasıyla test eder.

Sonuç: Kurumsal güvenlik için hedef “özellik” değil “doğrulanabilir süreç”

Kurumsal site için hosting seçerken güvenlik; tek tek yazılan özellik listesiyle değil, 2FA, WAF/DDoS, yedek (backup) ve restore, loglama, erişim kontrolü ve güncelleme politikalarının doğrulanabilir olmasıyla sağlanır. Aksiyon olarak, seçim yapmadan önce yukarıdaki tabloyu kullanın; sağlayıcıdan net yanıt ve dokümantasyon alın. Sonrasında kendi tarafınızda restore simülasyonu ve erişim testi yaparak “kâğıt üzerindeki güvenliği” üretim benzeri koşullara taşıyın.