SSH Güvenliği (Root Girişi Kapatma, Yeni Kullanıcı Oluşturma, Port Değiştirme)

Merhabalar,

Bu konuda SSH girişlerini bir nebze de olsa nasıl daha güvenli hale getirebileceğimizi anlatacağım. Normalde bu işlemleri yapmaz isek sunucumuz ile kötü kişilerin arasında sadece root şifresi bulunur, kullanıcı adı zaten root olduğu için kötü niyetli kişilerin sadece root şifrenizi bulmaları tüm sunucunuzu ele geçirmeleri için yeterlidir. Bu durum beni epey bir rahatsız ettiği için buna karşı bikaç önlem alıp biraz daha içimizin rahat olacağı bikaç yöntemi sizlerle paylaşmak istiyorum. Yapacaklarımız kısaca 3 aşamadan oluşuyor bunlar; yeni kullanıcı eklemek, root girişini kapatmak ve ssh portunu değiştirmek.

1. SSH Yeni Kullanıcı Ekleme

Kendimize kullananıcı adı ve şifresi farklı olan ve temel root yetkilerine sahip olan yeni bir kullanıcı oluşturacağız. Böylelikle sadece şifre değil kullanıcı adının da bulunması gibi bir zorunluluk getirerek girişleri bir adım daha güvenli hale getirmiş olacağız. Centos işletim sistemlerinde SSH yeni kullanıcı eklemek için root olarak giriş yaptıktan sonra şu komutları giriniz:


Yukardaki komutu verdikten sonra yazdığınız isimle yeni bir kullanıcı oluşacaktır, şimdi bu kullanıcıya bir şifre atamamız gerekir bunu da aşağıdaki komutla gerçekleştireceğiz:


Yukardaki komutu yazdığınızda oluşturduğunuz kullanıcı için sizden 2 kez şifre girmeniz istenecek kendinize tahmin edilmesi zor büyük, küçük harf, rakam ve özel karakterlerden oluşan bir şifre belirleyiniz. Oluşturduğumuz hesaba şifremizi atadıktan sonra son olarak bu kullanıcıya ssh erişimi yetkisi vermemiz gerek bunu da ssh config dosyamızı düzenleyerek yapacağız. Centos işletim sisteminde ssh config dosyyası genelde /etc/ssh/sshd_config dizininde bulunur, sizin işetim sisteminiz farklı ise locate sshd_config komutu ile ssh config dosyanızın dizinini bulabilirsiniz. Gerekli dizini bulduktan sonra bunu nano, vi veya pico gibi bir editör ile açıp içerisine yeni kullanıcı adımızı ekleyip dosyayı kaydedip ssh'ı yeniden başlatmamız gerek.

ssh config dosyasını metin editörü ile açmak için:


Yukardaki komut ile config dosyamızı açtıktan sonra #PermitRootLogin no olan satırı bulunuz ve hemen altına şunu ekleyin:


Yaptığımız değiştikliklerden sonra ilgili alan şu şekilde görünmeli:



Daha sonra şu komutu girin

Şu satırı bulun:

hemen altına şunu yazın:

Deepblue yazdığım alana siz kendi oluşturduğunuz kullanıcı adınızı yazacaksınız. Son olarak CTRL+X yapın Y diyip kaydedin ve çıkın işlem tamamdır.

2. Root Girişini Kapatma

Yeni kullanıcı ekledikten sonra root girişini direk girişe kapatacağız oluşturduğumuz kullanıcı üzerinden roota geçiş yapacağız böylece 2 aşamalı bir güvenlik katmanı oluşturup sunucumuzu biraz daha güvenli hale getirmiş olacağız.

Root girişini kapatmak için yine ssh config dosyamızı düzenlememiz gerekiyor. SSH config dosyanızı açıp PermitRootLogin satırının başındaki # işareti kaldırıp kaydetmemiz yeterli olacaktır. Bu işlemi yaptıktan sonra ilgili alan şu şekilde görünmeli:



Bu değişiklikleri yaptıktan sonra CTRL+X ile ssh config dosyasını kaydedip service sshd restart komutu ile ssh servisini yeniden başlatmanız gerekli değişikliklerin etkin olması için. SSH restart attıktan sonra artık direk olarak root olarak giriş yapmayacaksınız önce oluşturduğunuz kullanıcı ile giriş yapacaksınız ardından su root komutunu vereceksiniz sizden root şifresini isteyecektir root şifresini girip root'a geçiş yapacaksınız.

3. SSH Giriş Portunu Değiştirme

Varsayılan SSH giriş portu 22'dir ve bu ister istemez bir güvenlik zaafiyeti oluşturmaktadır. SSH portumuzu değiştirip sadece ip mizi bilen bir kişinin direk ssh üzerinden kullanıcı adımız ve şifremizi bulmaya çalışmasının önüne geçebiliriz. Bunu yaptığımızda direk kullanıcı adı ve şifre bulmaya çalışmasından ziyade öncelikle doğru ssh portunu bulması gerekecek ve yapması gereken işlemler uzayıp biraz caydırıcılık oluşturacaktır. SSH portunu değiştirmek için yine ssh config dosyamızı açıyoruz Port 22 yazan yerdeki 22 portunu 49152 ile 65535 arasında bir sayı seçip değiştiriyoruz ve yine dosyamızı kaydedip ssh'ye restart (service sshd restart) atmamız yeterli olacaktır. İlgili değişiklikten sonra ssh port kısmımız örnek olarak şöyle görünecek: