1. GİRİŞ

"Security hardening" (güvenlik sertleştirme), bir sistemin saldırı yüzeyini azaltmak ve yetkisiz erişim, yanlış konfigürasyon ve istismar (exploit) risklerini minimize etmek için uygulanan teknik ve operasyonel önlemler bütünüdür. Günümüzde bulut‑native uygulamalar, sürekli dağıtım (CI/CD), mikroservisler ve uzaktan çalışma modellerinin yaygınlaşması, saldırı yüzeyini hem yatay hem dikey olarak büyüttü. Bu ortamda sertleştirme, sadece bir başlangıç kontrolü değil, yaşam döngüsü boyunca sürdürülmesi gereken sürekli bir süreçtir.

Neden bugün önemli?

• Yanlış konfigürasyonlar ve açık servisler hâlâ en yaygın ihlal nedenlerinden biridir.
• Regülasyonlar ve uyumluluk (PCI‑DSS, GDPR, KVKK, HIPAA) sertleştirme ve logging gereksinimlerini artırdı.
• OT/IoT, bulut ve SaaS entegrasyonları sertleştirme yaklaşımlarını yeniden tanımlıyor; otomasyon zorunlu hale geldi.

Kimler için önemli?

• Platform mühendisleri ve SRE'ler — altyapı sertleştirme ve dayanak oluşturma
• Güvenlik mühendisleri — baseline, hardening checklist ve denetim
• Uygulama geliştiricileri — secure by design uygulamaları
• Operasyon ve uyumluluk ekipleri — politika uygulanması ve raporlama

2. KAVRAMSAL TEMELLER

2.1 Hardening nedir — temel prensipler

• Least privilege: Hesaplara ve servislere yalnızca gerekli izinleri verin.
• Reduce attack surface: Gereksiz servisleri kapatın, network access'i kısıtlayın.
• Default deny: Varsayılan olarak reddet; sadece onaylanmış eylemlere izin ver.
• Immutable infrastructure: Ortamı değiştirilemez veya tekrar oluşturulabilir hale getirerek konfigürasyon drift'ini azaltın.
• Automated, repeatable baselines: Konfigürasyonları versiyonla ve otomasyonla uygulayın.

2.2 Terminoloji

• Baseline: Güvenli kabul edilen minimum konfigürasyon seti.
• Hardening guide: Uygulanabilir adım adım talimatlar (CIS Benchmarks, DISA STIG).
• Drift: Zaman içinde konfigürasyonun istenenden sapması.
• Remediation: Tespit edilen sapmaların düzeltilmesi süreci.

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE UYGULAMA KAPSAMI

3.1 Katmanlı yaklaşım

Sertleştirme, genelde dört ana katmanda ele alınır: fiziksel/host, işletim sistemi, platform altyapısı (container, VM, hypervisor) ve uygulama katmanı. Bulut ortamlarında bu modele bulut konfigürasyonları (IAM, security groups, storage policies) eklenir. Her katmanda ayrı kontrol listeleri ve doğrulamalar uygulanmalıdır.

3.2 Host/OS sertleştirme

• Gereksiz paketlerin kaldırılması: minimal işletim sistemi görüntüleri kullanın.
• Günceleme ve patch management: kernel ve paket yamalarını merkezi olarak yönetin.
• SSH ve yönetim erişimi: password auth kapatın, sadece key‑based auth ve MFA kullanın; bastion/jump host uygulayın.
• Firewall ve network policy: host‑level firewall (iptables/nftables/Windows Firewall) ve egress/ingress kısıtları.
• Disk encryption: at‑rest veri koruması için full disk veya volume encryption kullanın.
• Audit logging: auditd/ETW gibi araçlarla yetkili eylemleri kaydedin ve merkezi SIEM'e gönderin.

3.3 Container ve orkestrasyon platformları

• Minimal base images: daha küçük surface için distroless veya slim imajlar kullanın.
• Image signing ve provenance: imajları imzalayın (Notary), registry erişimini kısıtlayın.
• Runtime policies: Pod Security Policies / Pod Security Admission, seccomp, AppArmor, SELinux profil uygulamaları.
• RBAC ve namespace izolasyonu: kubernetes RBAC ile servis hesaplarını sınırlandırın.
• Network policy: sadece gerekli servisler arasına trafik izni verin (Calico, Cilium).

3.4 Ağ ve sınır güvenliği

• Zero trust network: güvenilen ağ kavramını terk ederek kimlik ve ilkeye dayalı erişim kontrolü uygulayın.
• Microsegmentation: east‑west trafiği segmentlere ayırın; VLAN/SDN çözümleri ile lateral movement'u azaltın.
• WAF ve API gateway: uygulama katmanında istekleri filtreleyin ve throttle uygulayın.
• IDS/IPS ve NDR: anomali tespiti için network‑level monitoring ve response araçları kullanın.

3.5 Identity, Access & Key Management

• Least privilege ve just‑in‑time erişim: PAM ve JIT mekanizmaları ile yönetici haklarını sınırlayın.
• Service‑to‑service auth: short‑lived tokens, mTLS ve identity‑based access (OIDC) kullanın.
• Secrets management: secrets'ları kodda saklamayın; HashiCorp Vault, Azure Key Vault veya AWS KMS gibi çözümler kullanın.
• Key rotation: anahtar ve sertifika rotasyon stratejileri belirleyin.

3.6 Uygulama seviyesinde sertleştirme

• Secure coding: input validation, output encoding, parametrized queries ve dependency hygiene uygulayın.
• Runtime protection: RASP, WAF ve EDR ile uygulama davranışını izleyin.
• Feature toggles ve canary deploys: güvenli rollout ve rollback planları oluşturun.

4. GERÇEK DÜNYA UYGULAMALARI

4.1 Büyük ölçekli bulut sağlayıcılarda hardening

AWS/Azure/GCP üzerinde sertleştirme, yalnızca VM konfigürasyonu değil; IAM posture (least privilege policies), storage ACL'leri, VPC yapılandırmaları, CloudTrail/Azure Monitor gibi denetim logları ve Security Hub / Defender gibi merkezi servislerle entegre çalışmayı gerektirir. Örneğin S3/GCS bucket'larının public erişim ayarlarını default deny yapmak temel uygulamalardandır.

4.2 Finans ve regüle sektör örnekleri

Bankacılık gibi sektörlerde sıkı segmentasyon, PAM, HSM kullanımı, immutable logging ve düzenli konfigürasyon denetimleri zorunludur. Ayrıca değişiklik yönetimi sıkı süreçlerle izlenir; sertleştirme otomatik testlere entegre edilir.

4.3 Startup ve küçük ekip uygulamaları

Küçük ekipler için maliyet‑etkin tedbirler: managed secrets, cloud provider'ın native security posture servisleri, minimal images ve automated scanner entegrasyonlarıdır. Complexity'yi azaltmak için opinionated platformlar seçmek (ör. managed Kubernetes) sık tercih edilir.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Risk azalır: saldırı yüzeyi küçülür ve istismar başarı oranı düşer.
• Uyumluluk kolaylaşır: standardizasyon denetim süreçlerini hızlandırır.
• Operasyonel stabilite: öngörülebilir konfigürasyonlar ile sorun çözme hızlanır.

Sınırlamalar

• Performans ve usability trade‑offs: çok katı politikalar operasyonu yavaşlatabilir.
• Operasyonel maliyet: sürekli bakım, drift yönetimi ve test altyapısı gerektirir.
• Yanlış konfigürasyon riski: sertleştirme yanlış uygulanırsa hizmet kesintisine neden olabilir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

7.1 Production kullanımı

• Automate everything: Baseline oluşturun ve IaC/CM ile uygulayın; manuel değişiklikleri engelleyin.
• Shift‑left güvenlik: CI/CD pipeline içinde güvenlik kontrolleri (SAST, SCA, container scanning) çalıştırın.
• Policy as code: Güvenlik politikalarını kod olarak tutun ve PR/CI süreçleriyle yönetin.

7.2 Operasyon ve izleme

• Drift detection: Konfigürasyon drift'ini tespit eden araçlar (e.g. AWS Config, Terraform Cloud) kullanın.
• Centralized logging & monitoring: SIEM ile izleme, alerting ve playbook entegrasyonları kurun.
• Regular auditing: CIS benchmark taramaları, vulnerability scans ve compliance raporları planlayın.

7.3 Güvenlik kültürü ve eğitim

• Operational runbooks and playbooks: Hangi adımların otomatik, hangilerinin insan onaylı olduğunu tanımlayın.
• Training: Dev, Ops ve Security ekipleri için düzenli sertleştirme eğitimleri planlayın.
• Incident drills: Tabletop ve yakından gerçek zamanlı tatbikatlar yapın.

8. SIK YAPILAN HATALAR

• Sadece checklist uygulayıp test etmeme: uygulanabilirliği doğrulamadan prod'a sokmak.
• Secrets'i kodda bırakmak veya yetersiz yönetmek.
• Over‑restrictive kurallar koyup operasyonu bloklamak.
• Drift'i izlememek; manuel değişikliklerin otomatize edilmemiş olması.

9. GELECEK TRENDLER

9.1 AI‑driven hardening ve konfigürasyon önerisi

ML modelleri ortamlardaki normal davranışı öğrenerek anomalileri, yanlış konfigürasyonları ve riskli değişiklikleri daha hızlı tahmin edecek. AI destekli öneriler, güvenlik ekiplerine optimizasyon yolları sunacak ancak kararların doğrulanması insan uzmanlığı gerektirecek.

9.2 Security‑as‑Code ve politika otomasyonu

Policy as Code ile güvenlik kuralları CI/CD döngüsüne entegre edilerek değişiklikler otomatik olarak test edilip deploy edilebilecek. Bu yaklaşım governance ve izlenebilirliği iyileştirecek.

9.3 Confidential computing ve donanım tabanlı güvenlik

TEE'ler ve hardware‑backed keystore'lar (TPM, HSM) sertleştirme stratejisinin ayrılmaz parçaları haline gelecek; secrets ve kritik işlemler donanım tabanlı sınır içinde çalıştırılacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Security hardening nereden başlamalı?

   Asset inventory ve baselines ile başlayın: hangi varlıkların kritik olduğunu tespit edip minimum güvenli konfigürasyonlar belirleyin.

2. 2. Hangi benchmark'ları kullanmalıyım?

   CIS Benchmarks, DISA STIG ve vendor‑specific hardening guidelar iyi başlangıçlardır.

3. 3. Sertleştirme otomatikleştirilebilir mi?

   Evet; IaC, configuration management (Ansible/Terraform) ve policy as code ile otomatikleştirilebilir fakat test ve gözden geçirme gerekir.

4. 4. Secrets yönetimi için en iyi pratikler nelerdir?

   Secrets'ları merkezi bir secret manager'da saklayın, short‑lived credential ve RBAC kullanın; kodda veya config repo'da plaintext saklamayın.

5. 5. Hardening ile performans arasında nasıl denge kurarım?

   Risk‑based approach kullanın: kritik servislerde daha katı kurallar; olmayanlarda daha esnek politikalar uygulayın. Canary rollout ile performans etkisini ölçün.

6. 6. Drift'i nasıl tespit ederim?

   Configuration drift detection araçları (AWS Config, Terraform Cloud, Chef Automate) ve düzenli taramalar kullanın.

7. 7. Compliance için nelere dikkat etmeliyim?

   Immutable loglama, change management kayıtları, erişim kontrol ve düzenli denetimler compliance gereksinimlerinin temelini oluşturur.

8. 8. Küçük ekipler nasıl başlayabilir?

   Minimal image, managed secrets, cloud provider'ın default security araçlarını kullanarak başlayın; ardından IaC ve otomasyonla genişleyin.

Anahtar Kavramlar

• Baseline: Güvenli kabul edilen minimum konfigürasyon seti.
• IaC: Infrastructure as Code — konfigürasyonun kod olarak yönetilmesi.
• Drift: Konfigürasyonun zaman içinde sapması.
• PAM: Privileged Access Management — ayrıcalıklı hesapların yönetimi.

Öğrenme Yol Haritası

1. 0–1 ay: Temel ağ, işletim sistemi ve kimlik yönetimi kavramlarını öğrenin; CIS benchmark'ları inceleyin.
2. 1–3 ay: IaC (Terraform/Ansible) ile basit bir baseline oluşturun ve otomatik dağıtım deneyin.
3. 3–6 ay: Container hardening, runtime security (seccomp, AppArmor), secrets management ve RBAC uygulamalarında pratik yapın.
4. 6–12 ay: Policy as Code, drift detection, incident response playbook'ları ve confidential computing konularında ileri düzey uygulamalar geliştirin.