Güvenlik ve Yedekleme

"Yedeğimiz var" tek başına yetmez

Çoğu işletme yedeğinin olduğunu düşünür. Sorulduğunda tablo genellikle şudur: yedek aynı sunucuda duruyor, en son ne zaman alındığı bilinmiyor, veritabanı dâhil mi belli değil ve bugüne kadar hiç geri yüklenmemiş. Denenmemiş yedek, yedek sayılmaz; işe yarayıp yaramadığı ancak geri dönmeniz gereken gün belli olur. Aynı şey erişim düzeni için de geçerli: panele kimlerin girdiği, ayrılan çalışanın hesabının kapatılıp kapatılmadığı, kaç kişinin tam yetkiyle dolaştığı çoğu sitede kayıtlı değildir. Bu hizmet ikisine de yazılı bir cevap üretmek için var.

Denetim, sıkılaştırma, yedek düzeni

İşe güvenlik denetimiyle başlıyoruz: yazılım ve eklenti sürümleri, dosya izinleri, yönetici hesapları, açıkta kalan yapılandırma dosyaları ve sunucu ayarları tek tek çıkarılıyor. Sıkılaştırmada gereksiz servis ve dizin erişimleri kapatılıyor, yönetim paneli için erişim sınırlaması ve iki adımlı doğrulama kuruluyor, parola politikası tanımlanıyor, güvenlik başlıkları ve HTTPS yönlendirmeleri ayarlanıyor. Yedeklemede dosya ve veritabanı için ayrı sıklık belirleniyor, bir kopya sunucu dışında tutuluyor ve geri yükleme bir kez fiilen deneniyor. Sonunda erişim düzeni raporunu alıyorsunuz: hangi hesap hangi yetkiye sahip, hangileri kapatıldı, hangi ayar neden değişti. cPanel, güvenlik başlıkları ve yedekleme araçları üzerinde çalışıyoruz.

Neyi korur, neyi korumaz

Sınırları açık söyleyelim. Yedekleme bir kayıptan sonra geri dönüş imkânıdır; olayı engellemez. Siteniz şifrelenir ya da içeriği bozulursa yedekten dönersiniz, fakat dışarı sızmış bir veri yedekle geri alınamaz. Sıkılaştırma bilinen ve yaygın saldırı yollarını kapatır, otomatik tarama yapan botların işini zorlaştırır; ama yaması henüz çıkmamış bir açığı, çalınmış bir yönetici parolasını ya da bir çalışanın yanlışlıkla sildiği sayfayı engellemez. Bu yüzden ölçümüz "kırılmaz site" değil; riski azaltmak ve olay anında hızlı dönebilmek. Sızma testi kapsamda değildir, ayrı bir hizmettir; sunucu lisans ücretleri de hizmet bedelinin dışındadır.

Kimler için, sonrası nasıl

Müşteri verisi tutan, çevrim içi ödeme ya da başvuru alan ve daha önce saldırı yaşamış siteler için önceliklidir; son grupta ilk olayın nasıl olduğu çoğu zaman araştırılmamıştır, denetim bunu ortaya çıkarır. Kurulum tek seferlik bir iştir; oysa sürümler eskir, kullanıcılar eklenir, yedeklerin çalıştığı düzenli kontrol edilmelidir. Bu sürekliliği web sitesi bakım hizmetiyle birlikte kurmak en sağlıklısı. Konunun e-posta ayağını e-posta güvenliği rehberi yazımızda anlattık. Mevcut yapınızın denetimi için teklif isteyebilirsiniz.