Web Güvenliği İçin En İyi 10 Firewall Ayarı

Firewall (Güvenlik Duvarı), ağ trafiğini filtreleyerek kötü amaçlı erişimleri engelleyen ve sisteminizi dış tehditlerden koruyan en kritik güvenlik bileşenlerinden biridir. Web sunucularında doğru yapılandırılmış bir firewall, siber saldırılara karşı ilk savunma hattını oluşturur. Bu rehberde, web güvenliğini artırmak için uygulanabilecek en iyi 10 firewall ayarını adım adım inceleyeceğiz.

1️⃣ Gereksiz Portları Kapatın

Sunucunuzda yalnızca gerekli servislerin açık olduğundan emin olun. Özellikle SSH (22), HTTP (80) ve HTTPS (443) dışındaki portlar genellikle saldırı vektörüdür. Linux’ta kontrol etmek için:

sudo netstat -tuln
sudo ufw deny 21,23,3306

2️⃣ Yalnızca Yetkili IP’lere Erişim Verin

Sunucu yönetim panellerine (örneğin Plesk, cPanel, SSH) yalnızca belirli IP adreslerinden erişim izni tanımlayın:

sudo ufw allow from 192.168.1.10 to any port 22

Böylece yalnızca güvenilir cihazlardan yönetim bağlantısı yapılabilir.

3️⃣ Gelişmiş UFW (Uncomplicated Firewall) Ayarlarını Kullanın

Ubuntu/Debian sistemlerinde ufw ile basit ama güçlü firewall yapılandırması yapılabilir:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Bu ayarlar, sadece açıkça izin verilen bağlantılara müsaade eder.

4️⃣ Brute Force Saldırılarına Karşı Koruma (Fail2Ban)

Fail2Ban, SSH ve web tabanlı brute force saldırılarını otomatik olarak engeller:

sudo apt install fail2ban -y
sudo systemctl enable fail2ban

Varsayılan yapılandırma dosyasında /etc/fail2ban/jail.local üzerinden güvenlik eşiğini belirleyebilirsiniz.

5️⃣ Web Application Firewall (WAF) Kurulumu

ModSecurity gibi bir WAF, uygulama katmanında (Layer 7) saldırıları engeller. Özellikle SQL Injection, XSS ve LFI saldırılarına karşı koruma sağlar:

sudo apt install libapache2-mod-security2 -y
sudo a2enmod security2

WAF kurulumları, HostLigo WAF Koruma hizmetleriyle otomatik hale getirilebilir.

6️⃣ DDoS Saldırılarına Karşı Oran Sınırlaması (Rate Limiting)

Aşırı istek gönderen IP’leri sınırlamak için Nginx veya Firewall katmanında rate limit uygulayın:

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
limit_req zone=one burst=20 nodelay;

Bu ayar, saniyede 10 isteğin üzerine çıkan trafiği yavaşlatır.

7️⃣ Geo-IP Engelleme (Bölgesel IP Filtreleme)

Yalnızca belirli ülkelerden erişim istiyorsanız, diğer ülkelerin IP’lerini bloklayabilirsiniz:

sudo apt install xtables-addons-common geoip-database
iptables -m geoip --src-cc CN,RU -j DROP

Alternatif olarak Plesk veya cPanel güvenlik modüllerinde de Geo-IP engelleme özelliği bulunur.

8️⃣ IDS/IPS Entegrasyonu (Saldırı Tespit ve Önleme)

Snort veya Suricata gibi IDS/IPS araçları firewall ile birlikte çalışarak ağ trafiğini analiz eder ve anormallikleri tespit eder:

sudo apt install suricata -y
sudo systemctl enable suricata

Bu araçlar, anlık saldırı girişimlerini otomatik olarak engeller.

9️⃣ SSL/TLS Trafiğini Zorunlu Hale Getirin

Tüm web trafiğini HTTPS üzerinden yönlendirin. Firewall üzerinden 80 numaralı porttan 443’e otomatik yönlendirme yapabilirsiniz:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Ayrıca HSTS başlıklarını etkinleştirin:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

🔟 Log İzleme ve Anlık Uyarı Sistemi

Firewall loglarını merkezi olarak izleyin ve saldırı tespitlerinde otomatik e-posta uyarısı gönderin:

sudo tail -f /var/log/ufw.log

Daha kapsamlı izleme için Fail2Ban + Zabbix veya HostLigo Güvenlik İzleme hizmetleri kullanılabilir.

Sonuç

Doğru yapılandırılmış bir Firewall, web sunucunuzun siber tehditlere karşı ilk savunma hattıdır. Bu 10 temel ayar ile sisteminizi brute force, DDoS, SQL Injection ve kötü amaçlı trafiğe karşı daha dayanıklı hale getirebilirsiniz. Profesyonel güvenlik altyapıları için HostLigo’nun Sunucu Barındırma ve Optimizasyon Hizmeti çözümleri ile güvenlik seviyenizi kurumsal düzeye çıkarabilirsiniz.