Orion Belt v1.0: Alpha Bastion'dan Stabil Bir Kendi Kendine Barındırılan SSH PAM Sistemine Geçiş

Orion Belt v1.0: Alpha Bastion’dan Stabil Bir Kendi Kendine Barındırılan SSH PAM Sistemine Geçiş

Günümüzün karmaşık IT altyapılarında, sunuculara ve kritik sistemlere güvenli erişim sağlamak, her organizasyon için hayati bir öneme sahiptir. Özellikle birden fazla sunucu, farklı kullanıcılar ve değişen erişim ihtiyaçları söz konusu olduğunda, geleneksel SSH anahtar yönetimi yöntemleri yetersiz kalabilir. Bu makalede, basit bir “Alpha Bastion” (tekil bir atlama sunucusu) yaklaşımından yola çıkarak, kendi kendine barındırılan, sağlam ve denetlenebilir bir SSH Privileged Access Management (PAM) sistemi olan “Orion Belt”i nasıl kuracağımızı ve yöneteceğimizi adım adım inceleyeceğiz.

Neden SSH Erişimi Yönetimi Kritik Bir Sorun Haline Geldi?

Dijital dönüşümle birlikte şirketler, bulut tabanlı hizmetlerden on-premise (şirket içi) sunuculara kadar geniş bir yelpazede altyapılar kullanıyor. Bu altyapılara erişimin temel taşı olan SSH (Secure Shell), sistem yöneticileri, geliştiriciler ve otomasyon araçları için vazgeçilmez bir protokoldür. Ancak, bu kolaylık beraberinde ciddi güvenlik risklerini de getirir. Geleneksel SSH yönetimi genellikle şu sorunları barındırır:

Anahtar Dağıtımı ve Yönetimi: Her kullanıcıya ayrı ayrı SSH anahtarları dağıtmak, bu anahtarları düzenli olarak değiştirmek ve yetkileri doğru bir şekilde atamak, özellikle büyük ekiplerde kabusa dönüşebilir. Anahtarların kaybolması veya çalınması durumunda tüm altyapının güvenliği tehlikeye girer.
Erişim Yetkilendirmesi: Kimin hangi sunucuya, ne zaman ve hangi yetkilerle erişebileceğini merkezi olarak yönetmek zorlaşır. Manuel yöntemlerle yapılan yetkilendirme hatalara açıktır ve güvenlik açıklarına yol açabilir.
Denetim ve İzlenebilirlik: Bir güvenlik ihlali durumunda, kimin ne yaptığını, hangi komutları çalıştırdığını ve hangi verilere eriştiğini tespit etmek oldukça güçtür. Geleneksel SSH logları genellikle yeterli detay sağlamaz.
Kullanıcı Yaşam Döngüsü Yönetimi: Bir çalışanın işten ayrılması veya rol değiştirmesi durumunda, tüm erişim yetkilerini hızla ve eksiksiz bir şekilde iptal etmek veya değiştirmek zordur. Unutulan bir anahtar, eski çalışana hala kritik sistemlere erişim imkanı sunabilir.
Uyum Gereksinimleri: GDPR, KVKK, ISO 27001 gibi regülasyonlar, hassas sistemlere erişimin sıkı bir şekilde kontrol edilmesini, denetlenmesini ve raporlanmasını gerektirir. Geleneksel yöntemler bu uyum gereksinimlerini karşılamakta yetersiz kalır.

Bu sorunlar, şirketlerin siber güvenlik duruşunu zayıflatır, operasyonel verimliliği düşürür ve uyum risklerini artırır. İşte tam da bu noktada, Privileged Access Management (PAM) çözümleri devreye girerek bu karmaşıklığı yönetilebilir hale getirir. SSH PAM, özellikle SSH tabanlı erişimler için tasarlanmış bir PAM alt kümesidir ve Orion Belt projemizin temelini oluşturacaktır. Bu sistem, sadece erişimi yönetmekle kalmayacak, aynı zamanda oturumları kaydedecek, çok faktörlü kimlik doğrulaması (MFA) entegrasyonu sağlayacak ve kapsamlı denetim raporları sunarak modern güvenlik ihtiyaçlarına yanıt verecektir.

SSH PAM Nedir ve Geleneksel Yöntemlerden Farkı Nelerdir?

Privileged Access Management (PAM) veya Türkçe karşılığıyla Ayrıcalıklı Erişim Yönetimi, bir organizasyonun IT altyapısındaki en kritik hesaplara ve sistemlere yapılan erişimi izlemek, kontrol etmek ve denetlemek için kullanılan kapsamlı bir güvenlik stratejisi ve teknoloji setidir. SSH PAM ise, bu genel PAM şemsiyesi altında, özellikle SSH protokolü üzerinden yapılan ayrıcalıklı erişimleri hedef alır. Geleneksel SSH yönetimi, genellikle kullanıcıların kendi SSH anahtarlarını sunuculara manuel olarak kopyalaması veya bir merkezi yetkilendirme sunucusu (örneğin LDAP veya FreeIPA) kullanması üzerine kuruludur. Ancak bu yaklaşımların sınırlılıkları vardır.

Geleneksel SSH yönetiminde, her kullanıcının bir veya daha fazla sunucuda kendi authorized_keys dosyasında anahtarı bulunur. Bu, dağıtık bir yapı oluşturur ve anahtar iptali, yetki değişimi gibi durumlarda her sunucuda manuel müdahale gerektirebilir. Ayrıca, oturumların kaydedilmesi, komutların denetlenmesi veya çok faktörlü kimlik doğrulama gibi gelişmiş güvenlik özellikleri genellikle entegre değildir veya ek araçlarla karmaşık bir şekilde sağlanır. Örneğin, bir kullanıcının bir sunucuya bağlandığında hangi komutları çalıştırdığını görmek için sunucunun kendi loglarını incelemek gerekir ki bu da her zaman yeterli detay sağlamaz.

SSH PAM çözümleri ise bu süreci merkezileştirir ve otomatize eder. Temel farklılıkları şunlardır:

Merkezi Anahtar ve Kimlik Yönetimi: Kullanıcıların doğrudan sunuculara anahtar göndermesi yerine, PAM sistemi anahtar yönetimini üstlenir. Kullanıcılar PAM sistemine kimlik doğrular (genellikle tek oturum açma – SSO veya MFA ile), PAM sistemi de kullanıcı adına hedef sunucuya güvenli bir bağlantı kurar. Bu, anahtarların hiçbir zaman son kullanıcının eline geçmemesini sağlar.
Oturum Kaydı ve Denetimi: SSH PAM çözümleri, kullanıcıların ayrıcalıklı oturumlarını baştan sona kaydedebilir. Bu kayıtlar, hangi kullanıcının hangi sunucuya bağlandığını, hangi komutları çalıştırdığını ve ne kadar süreyle aktif olduğunu gösterir. Bu özellik, güvenlik ihlali durumunda adli analiz için kritik öneme sahiptir ve uyum gereksinimlerini karşılamaya yardımcı olur.
Politika Tabanlı Erişim Kontrolü: Kimin hangi kaynağa hangi koşullar altında erişebileceği, merkezi bir politika motoru aracılığıyla tanımlanır. Bu politikalar zamana bağlı, role bağlı veya belirli IP adreslerine bağlı olabilir. Örneğin, “Geliştirici ekibi sadece iş saatlerinde üretim sunucularına erişebilir” gibi kurallar kolayca uygulanabilir.
Çok Faktörlü Kimlik Doğrulama (MFA): SSH PAM, geleneksel parola veya anahtar tabanlı kimlik doğrulamanın ötesine geçerek, ek bir güvenlik katmanı olarak MFA’yı entegre eder. Bu, kullanıcıların bir parola ve ek bir doğrulama yöntemi (örneğin, mobil uygulama kodu, donanım tokenı) ile kimlik doğrulaması yapmasını gerektirir.
Parola Kasası ve Otomatik Parola Döngüsü: Bazı SSH PAM çözümleri, ayrıcalıklı hesapların parolalarını güvenli bir kasada saklar ve düzenli aralıklarla otomatik olarak değiştirebilir. Kullanıcılar parolaları bilmeden ayrıcalıklı hesaplara erişebilir.
Just-in-Time (JIT) Erişim: Kullanıcılara sadece ihtiyaç duydukları anda ve belirli bir süre için ayrıcalıklı erişim yetkisi verilir. Bu, sürekli ayrıcalıklı erişim riskini ortadan kaldırır.

Özetle, SSH PAM, geleneksel ve manuel SSH yönetiminin getirdiği güvenlik açıklarını ve operasyonel yükü ortadan kaldıran, merkezi, otomatize ve denetlenebilir bir yaklaşım sunar. Orion Belt projemizle, bu gelişmiş özelliklerin birçoğunu kendi altyapımızda nasıl kurabileceğimizi keşfedeceğiz.

Alpha Bastion’dan Orion Belt’e: Mevcut Durumunuzu Analiz Etme

Her büyük dönüşüm projesi gibi, “Orion Belt”e geçiş de mevcut durumun detaylı bir analiziyle başlar. Çoğu organizasyon için “Alpha Bastion”, yani tek bir atlama sunucusu (jump host) veya basit bir SSH anahtar yönetimi yaklaşımı, başlangıç noktasıdır. Bu bölümde, mevcut Alpha Bastion yapınızın güçlü ve zayıf yönlerini nasıl değerlendireceğinizi ve Orion Belt’e geçiş için bir yol haritası çıkaracağınızı ele alacağız.

Mevcut SSH Altyapınızın Envanteri ve Değerlendirilmesi:

İlk adım, mevcut tüm SSH erişim noktalarını, kullanıcıları ve kullanılan anahtarları listelemektir. Bu, kapsamlı bir envanter çalışması gerektirir:

Sunucular ve Cihazlar: SSH ile erişilebilen tüm sunucuların (fiziksel, sanal, bulut), ağ cihazlarının ve diğer altyapı bileşenlerinin bir listesini çıkarın. Her bir cihaz için IP adresi, hostname, işletim sistemi ve amacı gibi bilgileri kaydedin.
Kullanıcılar ve Gruplar: Hangi kullanıcıların veya kullanıcı gruplarının SSH erişimine sahip olduğunu belirleyin. Bu kullanıcıların rolleri (sistem yöneticisi, geliştirici, DevOps mühendisi vb.) ve erişim yetki seviyeleri nelerdir?
SSH Anahtarları: Hangi anahtarların hangi kullanıcılara ait olduğunu ve hangi sunucularda yetkilendirildiğini (~/.ssh/authorized_keys dosyaları) tespit edin. Anahtar tiplerini (RSA, Ed25519) ve bit uzunluklarını da not alın. Eski, zayıf veya kullanılmayan anahtarlar var mı?
Erişim Metodolojisi: Kullanıcılar sunuculara doğrudan mı bağlanıyor, yoksa bir atlama sunucusu (jump host/bastion host) üzerinden mi? Eğer atlama sunucusu kullanılıyorsa, bu sunucunun kendisi nasıl yönetiliyor ve güvenliği ne durumda?
Kimlik Doğrulama Yöntemleri: Sadece anahtar tabanlı mı, yoksa parola tabanlı veya diğer yöntemler de kullanılıyor mu?
Mevcut Güvenlik Kontrolleri: Hangi sunucularda sshd_config ayarları sıkılaştırılmış durumda? Firewall kuralları, SELinux/AppArmor gibi zorlayıcı erişim kontrol sistemleri kullanılıyor mu? Mevcut loglama ve denetim mekanizmaları nelerdir?

Risk Değerlendirmesi ve Güvenlik Açıklarının Tespiti:

Envanteri çıkardıktan sonra, mevcut Alpha Bastion yaklaşımınızdaki potansiyel güvenlik açıklarını ve riskleri belirleyin:

Anahtar Sızıntısı Riski: Kullanıcıların anahtarları kendi bilgisayarlarında güvenli bir şekilde saklamaması, anahtarların çalınmasına veya kaybolmasına yol açabilir.
Yetki Karmaşası: Kimin hangi yetkiye sahip olduğu net değilse, gereğinden fazla yetki verilmesi (over-privileging) riski doğar.
Denetim Eksikliği: Kimin hangi komutları çalıştırdığına dair yeterli kayıt yoksa, güvenlik ihlali durumunda soruşturma yapmak imkansız hale gelir.
Kullanıcı Yaşam Döngüsü Sorunları: İşten ayrılan bir çalışanın SSH anahtarlarının tüm sunuculardan kaldırılmaması, arka kapı (backdoor) riski oluşturur.
MFA Eksikliği: Sadece anahtar veya parola ile kimlik doğrulama, tek bir kimlik bilgisi sızıntısının tüm sistemi tehlikeye atmasına neden olabilir.
Merkezi Yönetim Eksikliği: Büyük ölçekli altyapılarda manuel anahtar ve yetki yönetimi, hem zaman alıcı hem de hataya açık bir süreçtir.

Bu değerlendirme, Orion Belt projesinin hedeflerini ve önceliklerini belirlemenize yardımcı olacaktır. Örneğin, eğer en büyük risk anahtar sızıntısı ise, merkezi anahtar yönetimi ve MFA entegrasyonu projenizin temel taşı olmalıdır. Eğer denetim eksikliği bir sorunsa, oturum kaydı ve detaylı loglama öncelik kazanacaktır. Alpha Bastion’dan Orion Belt’e geçiş, sadece yeni bir teknoloji kurmak değil, aynı zamanda mevcut güvenlik süreçlerinizi olgunlaştırmak anlamına gelir.

Kendi Kendine Barındırılan Bir SSH PAM Sistemi Nasıl Tasarlanır?

Kendi kendine barındırılan bir SSH PAM sistemi tasarlamak, organizasyonunuza özel ihtiyaçları ve güvenlik gereksinimlerini karşılayacak esnek ve maliyet etkin bir çözüm sunar. Orion Belt’i tasarlarken, modüler bir yaklaşım benimseyeceğiz. Bu sistemin temel bileşenleri ve bunların nasıl bir araya geleceği aşağıda açıklanmıştır.

1. Merkezi Yetkilendirme ve Kimlik Doğrulama Katmanı:

Bu, tüm SSH erişim isteklerinin ilk uğradığı noktadır. Kullanıcıların kimliklerini doğrulayacak ve hangi kaynaklara erişebileceklerini belirleyecek merkezi bir mekanizma sağlar.

Kimlik Sağlayıcı (Identity Provider – IdP): Mevcut bir LDAP, Active Directory, Okta, Auth0 veya Keycloak gibi bir IdP ile entegrasyon, kullanıcı kimliklerinin merkezi olarak yönetilmesini sağlar. Bu, kullanıcı yaşam döngüsü yönetimini basitleştirir.
Çok Faktörlü Kimlik Doğrulama (MFA): YubiKey, Google Authenticator (TOTP), Duo Security veya FIDO2 gibi yöntemlerle MFA entegrasyonu, kimlik doğrulama güvenliğini önemli ölçüde artırır. Bu, Orion Belt’in temel güvenlik özelliklerinden biri olmalıdır.
Erişim Politikaları Motoru: Hangi kullanıcının hangi rol veya grup üyeliğine göre hangi sunuculara erişebileceğini tanımlayan kurallar burada işlenir. Bu politikalar, “geliştiriciler sadece geliştirme sunucularına erişebilir, üretim sunucularına ise sadece iş saatlerinde ve onay sonrası erişebilir” gibi karmaşık senaryoları desteklemelidir.

2. SSH Proxy/Jump Host Katmanı:

Bu katman, kullanıcılar ile hedef sunucular arasında bir aracı görevi görür. Doğrudan SSH bağlantılarını engeller ve tüm trafiği bu proxy üzerinden yönlendirir. Bu, oturum kaydı, politika uygulama ve ağ izolasyonu için kritik öneme sahiptir.

Tek Giriş Noktası: Tüm SSH trafiği tek bir veya birkaç yüksek erişilebilirliğe sahip proxy sunucusu üzerinden geçer. Bu, firewall kurallarını basitleştirir ve dışarıdan doğrudan sunucu erişimini engeller.
Sertifika Yetkilisi (Certificate Authority – CA) Entegrasyonu: Kullanıcıların uzun ömürlü SSH anahtarları yerine, kısa ömürlü SSH sertifikaları kullanmasını sağlayabiliriz. PAM sistemi, kullanıcı kimlik doğrulaması başarılı olduğunda dinamik olarak bir SSH sertifikası imzalar ve kullanıcıya verir. Kullanıcı bu sertifikayı kullanarak hedef sunucuya bağlanır. Bu yöntem, anahtar yönetimini basitleştirir ve anahtar sızıntısı riskini azaltır. Örneğin, OpenSSH’in kendi CA özelliğini kullanabiliriz.
Oturum Kaydı (Session Recording): Proxy katmanı, kullanıcıların tüm SSH oturumlarını (klavye girdileri, ekran çıktıları) kaydedebilir. Bu kayıtlar, güvenlik denetimi ve adli analiz için kullanılır.

3. Hedef Sunucu Entegrasyonu:

PAM sistemi ile hedef sunucular arasında güvenli ve otomatik bir entegrasyonun sağlanması gerekir.

SSH Daemon (sshd) Yapılandırması: Hedef sunuculardaki sshd servisleri, sadece PAM proxy’sinden gelen bağlantılara izin verecek şekilde yapılandırılmalıdır. Ayrıca, eğer SSH sertifikaları kullanılıyorsa, sshd‘nin PAM sisteminin CA’sını güvenilir olarak tanıması gerekir (TrustedUserCAKeys yönergesi).
Ayrıcalık Yükseltme (Privilege Escalation): PAM sistemi, belirli kullanıcıların hedef sunucularda sudo veya diğer ayrıcalık yükseltme araçlarını kullanma yetkisini yönetebilir. Örneğin, bir kullanıcının sadece belirli komutları sudo ile çalıştırmasına izin verilebilir.

4. Denetim ve Raporlama Katmanı:

Toplanan tüm erişim ve oturum verilerinin depolanması, analiz edilmesi ve raporlanması için bir mekanizma.

Log Yönetimi: Tüm kimlik doğrulama girişimleri, erişim kararları ve oturum kayıtları merkezi bir loglama sistemine (örneğin ELK Stack, Splunk) gönderilmelidir.
Raporlama ve Uyarılar: Şüpheli aktiviteler (örneğin, başarısız oturum açma girişimleri, yetkisiz erişim denemeleri) için otomatik uyarılar oluşturulmalıdır. Düzenli denetim raporları, uyum gereksinimlerini karşılamak için kritik öneme sahiptir.

Bu mimariyi inşa ederken, açık kaynaklı çözümlerden faydalanabiliriz. Örneğin, Teleport, Boundary gibi araçlar bu bileşenlerin çoğunu entegre bir şekilde sunar. Daha basit bir yaklaşım için, OpenSSH’in kendi CA özelliklerini, bastion host yapılandırmalarını ve script tabanlı oturum kaydını bir araya getirebiliriz. Orion Belt, bu bileşenlerin uyumlu bir şekilde çalışarak güvenli, yönetilebilir ve denetlenebilir bir SSH erişim ortamı oluşturmasını sağlayacaktır.

Orion Belt’i İnşa Etmek: Adım Adım Kurulum ve Yapılandırma Rehberi

Orion Belt’i inşa etme süreci, teorik tasarımın pratik uygulamaya dönüştürüldüğü aşamadır. Bu rehberde, kendi kendine barındırılan bir SSH PAM sisteminin temel bileşenlerini adım adım nasıl kuracağınızı ve yapılandıracağınızı anlatacağız. Odak noktamız, açık kaynaklı ve esnek çözümler kullanarak maliyeti düşük tutmak ve mevcut altyapınızla entegrasyonu kolaylaştırmaktır. Bu örnekte, OpenSSH’in CA (Certificate Authority) özelliğini kullanarak merkezi anahtar yönetimini ve bir atlama sunucusu (jump host) üzerinden oturum kaydını nasıl sağlayabileceğimizi göstereceğiz.

Adım 1: SSH Sertifika Yetkilisi (CA) Kurulumu

Orion Belt’in kalbinde, kısa ömürlü SSH sertifikaları imzalamak için bir CA bulunur. Bu, kullanıcıların uzun ömürlü anahtarlarını doğrudan sunuculara kopyalamak yerine, PAM sistemi tarafından geçici olarak imzalanmış sertifikaları kullanmasını sağlar.

CA Anahtar Çifti Oluşturma: Güvenli bir sunucuda (tercihen sadece CA işlemleri için ayrılmış bir sunucu) CA anahtar çiftinizi oluşturun. Bu anahtar çifti çok iyi korunmalıdır.


ssh-keygen -t ed25519 -f /etc/ssh/ca_key -C "Orion Belt SSH CA"

Bu komut, hem özel anahtarı (ca_key) hem de herkese açık anahtarı (ca_key.pub) oluşturacaktır.

Hedef Sunucuları Yapılandırma: Erişim sağlamak istediğiniz tüm hedef sunucularda /etc/ssh/sshd_config dosyasını düzenleyerek CA’nızın herkese açık anahtarını güvenilir olarak belirtin.


# /etc/ssh/sshd_config dosyasına ekleyin
TrustedUserCAKeys /etc/ssh/ca_key.pub

Ardından sshd servisini yeniden başlatın: sudo systemctl restart sshd. Bu, sunucuların artık sadece CA’nız tarafından imzalanan sertifikalarla kimlik doğrulamasına izin vereceği anlamına gelir.

Adım 2: Orion Belt Proxy/Jump Host Kurulumu

Bu sunucu, tüm SSH trafiğinin geçtiği merkezi noktadır ve oturum kaydını gerçekleştirecektir.

Proxy Sunucusunu Kurma: Yeni bir Linux sunucusu kurun ve SSH erişimini sadece belirli IP’lerden (örneğin, kendi ofis IP’niz veya VPN ağınız) kısıtlayın.
SSH Ajan Yönlendirme ve Sertifika İmzalama Mekanizması: Kullanıcılar, kendi anahtarlarını proxy’ye yükleyecek ve proxy de bu anahtarı kullanarak hedef sunucuya bağlanmak için bir sertifika imzalatacaktır. Bu, genellikle bir otomasyon betiği veya özel bir araçla yapılır. Basit bir betik örneği:


#!/bin/bash
USER_PUB_KEY="$1"
USERNAME="$2"
TTL="+1h" # Sertifikanın geçerlilik süresi (örneğin 1 saat)

if [ -z "$USER_PUB_KEY" ] || [ -z "$USERNAME" ]; then
    echo "Kullanım: $0 <kullanıcı_pub_anahtarı_dosyası> <kullanıcı_adı>"
    exit 1
fi

# Kullanıcı anahtarını CA ile imzalama
ssh-keygen -s /etc/ssh/ca_key -I "$USERNAME" -n "$USERNAME" -V "$TTL" "$USER_PUB_KEY"

echo "Sertifika başarıyla imzalandı: ${USER_PUB_KEY}-cert.pub"

Bu betik, kullanıcının herkese açık anahtarını (USER_PUB_KEY) alır, CA özel anahtarı (/etc/ssh/ca_key) ile imzalar ve belirli bir kullanıcı adı (USERNAME) ve geçerlilik süresi (TTL) ile bir sertifika (.pub-cert.pub) oluşturur. Kullanıcı bu sertifikayı kullanarak hedef sunucuya bağlanır.

Oturum Kaydı İçin Yapılandırma: Proxy sunucusunda, script komutunu kullanarak veya daha gelişmiş bir araçla (örneğin tlog, asciinema veya Teleport gibi bir PAM çözümü) tüm SSH oturumlarını kaydedebilirsiniz. Basit bir script tabanlı kayıt için, kullanıcıların ~/.ssh/rc dosyasına veya /etc/ssh/sshd_config içindeki ForceCommand yönergesine bir betik ekleyebilirsiniz:


# /etc/ssh/sshd_config dosyasına ekleyin (sadece proxy sunucusunda)
Match User *
    ForceCommand /usr/local/bin/record_session.sh

/usr/local/bin/record_session.sh betiği şöyle olabilir:


#!/bin/bash
LOG_DIR="/var/log/ssh_sessions"
mkdir -p "$LOG_DIR"
TIMESTAMP=$(date +%Y%m%d-%H%M%S)
LOG_FILE="$LOG_DIR/${USER}_${SSH_ORIGINAL_COMMAND}_${TIMESTAMP}.log"

# Oturum kaydını başlat
script -q -f -c "$SSH_ORIGINAL_COMMAND" "$LOG_FILE"

# Orijinal komutu çalıştır
exec "$SSH_ORIGINAL_COMMAND"

Bu betik, her SSH oturumunu bir dosyaya kaydeder. Ancak, bu basit bir örnektir ve daha sağlam bir çözüm için özel oturum kayıt araçları veya ticari/açık kaynaklı PAM çözümleri önerilir.

Adım 3: Kullanıcı Deneyimi ve Entegrasyon

Kullanıcıların Orion Belt sistemini kolayca kullanabilmesi için bazı kolaylıklar sağlamak önemlidir.

SSH Yapılandırması: Kullanıcıların ~/.ssh/config dosyalarına, proxy üzerinden bağlantı kurmalarını sağlayacak ayarları eklemelerini isteyin.


# ~/.ssh/config dosyasına ekleyin
Host *.orionbelt.internal
    ProxyJump user@orionbelt-proxy.example.com
    IdentityFile ~/.ssh/id_ed25519-cert.pub # İmzalanmış sertifika
    IdentitiesOnly yes

Bu yapılandırma ile kullanıcılar, ssh sunucu.orionbelt.internal komutunu kullanarak otomatik olarak proxy üzerinden bağlanacaktır.

Sertifika Dağıtım Mekanizması: Kullanıcıların kendi herkese açık anahtarlarını (id_ed25519.pub) Orion Belt CA’sına gönderebilecekleri ve imzalanmış sertifikalarını geri alabilecekleri bir web arayüzü veya CLI aracı geliştirebilirsiniz.

Bu adımlar, Orion Belt’in temelini oluşturur. Daha gelişmiş özellikler (MFA, JIT erişim, parola kasası) için Teleport veya Boundary gibi entegre PAM çözümlerini değerlendirebilirsiniz. Ancak bu basit yapılandırma bile, Alpha Bastion’dan çok daha güvenli ve yönetilebilir bir SSH erişim ortamı sağlayacaktır.

Güvenliği ve Kullanılabilirliği Artırma: İleri Düzey Özellikler ve Entegrasyonlar

Orion Belt’in temel yapısını kurduktan sonra, sistemin güvenliğini, operasyonel verimliliğini ve kullanıcı deneyimini daha da ileriye taşımak için çeşitli ileri düzey özellikler ve entegrasyonlar ekleyebiliriz. Bu bölümde, deneyimli IT profesyonelleri için Orion Belt’i daha da güçlendirecek ipuçları ve püf noktaları sunulmaktadır.

1. Çok Faktörlü Kimlik Doğrulama (MFA) Entegrasyonu:

Sadece SSH anahtarı veya parola ile kimlik doğrulama, modern tehdit ortamında yeterli değildir. MFA, ek bir güvenlik katmanı sağlayarak kimlik avı (phishing) ve anahtar sızıntısı risklerini azaltır.

PAM Modülleri ile Entegrasyon: Linux sistemlerinde Pluggable Authentication Modules (PAM) çerçevesi, SSH’e MFA eklemek için güçlü bir araçtır. FreeRADIUS, Google Authenticator (pam_google_authenticator.so) veya Duo Security (pam_duo.so) gibi modüllerle entegrasyon sağlayabilirsiniz. Örneğin, /etc/pam.d/sshd dosyasını düzenleyerek bir MFA modülü ekleyebilirsiniz.
IdP Entegrasyonu: Eğer Orion Belt, Okta, Azure AD veya Keycloak gibi bir Kimlik Sağlayıcı (IdP) ile entegre ise, bu IdP’lerin sağladığı MFA özelliklerinden faydalanabilirsiniz. Kullanıcılar önce IdP’ye MFA ile kimlik doğrular, ardından IdP, Orion Belt’e erişim için bir token sağlar.

2. Just-in-Time (JIT) Erişim ve Onay İş Akışları:

Sürekli ayrıcalıklı erişim vermek yerine, kullanıcılara yalnızca ihtiyaç duydukları anda ve belirli bir süre için yetki vermek, güvenlik riskini önemli ölçüde azaltır. Orion Belt, bu yaklaşımı desteklemelidir.

Dinamik Sertifika Oluşturma: Kullanıcı bir sunucuya erişim talep ettiğinde, Orion Belt CA’sı, kullanıcının talebine ve belirlenen politikalara göre kısa ömürlü (örneğin 1 saatlik) bir SSH sertifikası imzalar. Sertifikanın süresi dolduğunda, erişim otomatik olarak iptal edilir.
Onay İş Akışları: Kritik sistemlere erişim için yöneticiden veya belirli bir ekipten onay alınmasını gerektiren iş akışları oluşturulabilir. Bu, bir chat uygulaması (Slack, Microsoft Teams) veya bir IT servis yönetimi (ITSM) aracı (Jira Service Management) ile entegre edilebilir. Kullanıcı erişim talep eder, onay mekanizması devreye girer, onaylandığında sertifika imzalanır.

3. Oturum İzleme ve Komut Filtreleme:

Oturum kaydı önemli olsa da, proaktif güvenlik için oturumları gerçek zamanlı izlemek ve potansiyel tehlikeli komutları engellemek daha iyidir.

Gerçek Zamanlı İzleme: Bazı gelişmiş PAM çözümleri, yöneticilerin aktif SSH oturumlarını gerçek zamanlı olarak izlemesine olanak tanır. Şüpheli bir aktivite tespit edildiğinde, oturum anında sonlandırılabilir.
Komut Filtreleme/Kısıtlama: Kullanıcıların belirli komutları çalıştırmasını engelleyebilir veya sadece belirli komutlara izin verebilirsiniz. Örneğin, üretim sunucularında rm -rf / gibi yıkıcı komutları engellemek veya sadece güvenli yönetim betiklerinin çalıştırılmasına izin vermek. Bu, ForceCommand yönergesi ve özel betikler veya daha gelişmiş araçlarla (örneğin sudo‘nun gelişmiş özellikleri) yapılabilir.

4. Parola Kasası ve Otomatik Parola Döngüsü:

Eğer SSH anahtar tabanlı erişim her zaman mümkün değilse (örneğin eski sistemler veya ağ cihazları), ayrıcalıklı hesapların parolalarını yönetmek gerekir.

Merkezi Parola Kasası: HashiCorp Vault, CyberArk veya açık kaynaklı bir çözüm kullanarak ayrıcalıklı hesapların parolalarını güvenli bir kasada saklayın. Kullanıcılar parolaları görmeden bu hesaplara erişebilir.
Otomatik Parola Döngüsü: Kasa, ayrıcalıklı hesapların parolalarını düzenli aralıklarla (örneğin her 30 günde bir) otomatik olarak değiştirebilir. Bu, sızan bir parolanın geçerlilik süresini kısaltır.

5. Log Yönetimi ve SIEM Entegrasyonu:

Orion Belt’in ürettiği tüm loglar (kimlik doğrulama, erişim, oturum kayıtları, hatalar) merkezi bir log yönetim sistemine (ELK Stack, Splunk, Graylog) gönderilmelidir. Bu, güvenlik olaylarını hızlıca tespit etmek ve adli analiz yapmak için kritiktir.

SIEM (Security Information and Event Management) Entegrasyonu: Logları bir SIEM çözümüne göndererek, güvenlik olaylarını korele edebilir, anormallikleri tespit edebilir ve otomatik uyarılar oluşturabilirsiniz.

Bu ileri düzey özellikler, Orion Belt’inizi sadece bir SSH erişim yöneticisinden öte, kapsamlı bir ayrıcalıklı erişim güvenliği platformuna dönüştürecektir. Her bir entegrasyon, sisteminizin genel güvenlik duruşunu güçlendirirken, operasyonel yükü azaltmaya ve uyum gereksinimlerini karşılamaya yardımcı olacaktır.

Orion Belt ile Karşılaşılabilecek Zorluklar ve Çözüm Önerileri

Orion Belt gibi kapsamlı bir SSH PAM sistemi kurmak ve yönetmek, birçok avantaj sunsa da beraberinde bazı zorlukları da getirebilir. Bu zorlukları önceden bilmek ve bunlara yönelik çözüm önerileri geliştirmek, projenin başarısı için kritik öneme sahiptir. İşte karşılaşabileceğiniz yaygın zorluklar ve bunların üstesinden gelmek için stratejiler:

1. Kullanıcı Adaptasyonu ve Eğitim:

Zorluk: Kullanıcılar, mevcut alışkanlıklarından (doğrudan SSH bağlantısı, kendi anahtarlarını yönetme) vazgeçmekte zorlanabilirler. Yeni bir sisteme geçiş, başlangıçta dirençle karşılaşabilir ve verimlilik düşüşüne neden olabilir.

Çözüm Önerisi:

Kapsamlı Eğitim ve Dokümantasyon: Kullanıcılara Orion Belt’in nasıl kullanılacağını adım adım anlatan açık ve anlaşılır dokümantasyon (Türkçe örnekler ve ekran görüntüleri ile) sağlayın. Eğitim oturumları düzenleyin ve sıkça sorulan soruları içeren bir rehber oluşturun.
Faydalarını Vurgulayın: Kullanıcılara yeni sistemin onlara nasıl kolaylık sağlayacağını (örneğin, anahtar yönetimi derdinden kurtulma, daha az parola hatırlama, daha hızlı erişim) anlatın.
Pilot Uygulama: Önce küçük bir grupla (örneğin, gönüllü bir ekip) pilot uygulama yaparak geri bildirimleri toplayın ve sistemi iyileştirin.
Teknik Destek: Geçiş sürecinde kullanıcılara hızlı ve etkili teknik destek sağlayın.

2. Performans ve Ölçeklenebilirlik:

Zorluk: Merkezi bir proxy üzerinden geçen tüm SSH trafiği, özellikle yoğun kullanımda performans darboğazlarına yol açabilir. Çok sayıda eşzamanlı oturum, proxy sunucusunun kaynaklarını zorlayabilir.

Çözüm Önerisi:

Yüksek Erişilebilirlik (HA) ve Yük Dengeleme: Orion Belt proxy katmanını birden fazla sunucuya dağıtın ve bir yük dengeleyici (Load Balancer) kullanarak trafiği bu sunuculara eşit şekilde dağıtın. Bu, hem performansı artırır hem de tek hata noktasını ortadan kaldırır.
Kaynak Optimizasyonu: Proxy sunucularının CPU, RAM ve ağ bant genişliği gibi kaynaklarını dikkatlice izleyin ve gerektiğinde ölçeklendirin.
Önbellekleme: Sertifika imzalamaları gibi sık yapılan işlemler için önbellekleme mekanizmaları kullanın.

3. Entegrasyon Karmaşıklığı:

Zorluk: Mevcut kimlik sağlayıcıları (LDAP, Active Directory), SIEM sistemleri ve diğer güvenlik araçlarıyla entegrasyon, teknik olarak karmaşık olabilir ve uyumsuzluk sorunlarına yol açabilir.

Çözüm Önerisi:

Açık Standartlara Odaklanın: SAML, OIDC, SCIM gibi açık standartları destekleyen çözümleri tercih edin. Bu, entegrasyonu kolaylaştırır.
Modüler Tasarım: Orion Belt’i modüler bir yapıda tasarlayın, böylece her bileşen ayrı ayrı geliştirilebilir ve entegre edilebilir.
API’lerden Faydalanın: Entegre etmek istediğiniz sistemlerin API’lerini kullanarak otomasyonu ve veri alışverişini sağlayın.
Adım Adım Entegrasyon: Tüm entegrasyonları aynı anda yapmaya çalışmayın. Öncelikle en kritik olanlardan başlayın ve aşamalı olarak ilerleyin.

4. Güvenlik ve Uyumluluk Riskleri:

Zorluk: Orion Belt’in kendisi merkezi bir kontrol noktası olduğu için, sistemin güvenliği son derece kritik hale gelir. Sistemin yanlış yapılandırılması veya zafiyetleri, tüm altyapıya erişim riski yaratabilir. Ayrıca, denetim ve raporlama gereksinimlerini tam olarak karşılamak zor olabilir.

Çözüm Önerisi:

Sıkı Güvenlik Sertleşmesi (Hardening): Orion Belt sunucularını en yüksek güvenlik standartlarına göre yapılandırın (firewall, SELinux/AppArmor, düzenli güvenlik yamaları, minimum servis çalıştırma).
Düzenli Denetim ve Penetrasyon Testleri: Sisteminizi periyodik olarak güvenlik denetimlerinden geçirin ve sızma testleri (penetration tests) yaptırın.
Rol Tabanlı Erişim Kontrolü (RBAC): Orion Belt’in kendi yönetim arayüzüne erişimi de RBAC ile sıkı bir şekilde kontrol edin.
Kapsamlı Loglama ve İzleme: Tüm Orion Belt bileşenlerinden gelen logları merkezi bir SIEM sistemine aktarın ve anormallikler için uyarılar yapılandırın.
Uyum Uzmanlarıyla Çalışma: KVKK, GDPR veya ISO 27001 gibi uyum gereksinimlerini karşıladığınızdan emin olmak için uyum uzmanlarından destek alın.

5. Bakım ve Yönetim Yükü:

Zorluk: Kendi kendine barındırılan bir çözüm, sürekli bakım, güncelleme ve sorun giderme gerektirir. Bu, IT ekibi üzerinde ek bir yük oluşturabilir.

Çözüm Önerisi:

Otomasyon: Kurulum, yapılandırma, güncelleme ve izleme gibi görevleri otomatize etmek için Ansible, Chef veya Puppet gibi araçlardan yararlanın.
İyi Belgelendirme: Tüm sistem mimarisini, yapılandırma detaylarını ve sorun giderme adımlarını içeren kapsamlı bir iç dokümantasyon oluşturun.
Ekip Yetkinliği: Ekibinizin Orion Belt teknolojileri konusunda yetkin olduğundan emin olun. Gerekirse eğitimler sağlayın.
Güncel Kalma: Kullanılan açık kaynaklı bileşenlerin güvenlik yamalarını ve güncellemelerini düzenli olarak takip edin ve uygulayın.

Bu zorlukların üstesinden gelmek, Orion Belt projesinin uzun vadeli başarısı için anahtardır. Planlı bir yaklaşımla ve proaktif çözümlerle, kendi kendine barındırılan SSH PAM sisteminizden en yüksek değeri elde edebilirsiniz.

Sonuç: Orion Belt’in Geleceği ve Sıkça Sorulan Sorular

Alpha Bastion’dan başlayarak, Orion Belt adını verdiğimiz kendi kendine barındırılan, stabil bir SSH Privileged Access Management (PAM) sistemi inşa etme yolculuğumuzu tamamladık. Bu süreçte, SSH erişim yönetiminin neden kritik olduğunu, geleneksel yöntemlerin sınırlılıklarını, SSH PAM’in temel prensiplerini ve Orion Belt’i nasıl tasarlayıp kuracağımızı adım adım inceledik. Merkezi CA ile sertifika tabanlı kimlik doğrulama, atlama sunucusu üzerinden oturum kaydı ve politika tabanlı erişim kontrolü gibi özelliklerle, sistemimizin güvenliğini ve denetlenebilirliğini önemli ölçüde artırdık.

Orion Belt, organizasyonlara sadece güvenli bir SSH erişim çözümü sunmakla kalmaz, aynı zamanda operasyonel verimliliği artırır, uyum gereksinimlerini karşılamaya yardımcı olur ve siber güvenlik duruşunu güçlendirir. Kullanıcıların anahtar yönetimi yükünü ortadan kaldırarak, yöneticilere merkezi bir kontrol noktası sağlayarak ve tüm ayrıcalıklı oturumları izlenebilir hale getirerek, IT altyapınız üzerinde tam bir görünürlük ve kontrol elde edersiniz. Gelecekte, Orion Belt’i çok faktörlü kimlik doğrulama (MFA), Just-in-Time (JIT) erişim, gelişmiş oturum izleme ve SIEM entegrasyonu gibi ileri düzey özelliklerle daha da zenginleştirebiliriz. Bu sürekli bir evrim sürecidir ve güvenlik tehditleri geliştikçe, Orion Belt’in de bu tehditlere karşı adapte olması gerekecektir.

Unutmayın ki her organizasyonun kendine özgü ihtiyaçları ve mevcut altyapısı vardır. Bu makaledeki örnekler ve yaklaşımlar bir başlangıç noktasıdır. Orion Belt’i kendi ortamınıza en uygun şekilde uyarlamak için detaylı bir planlama, test ve sürekli iyileştirme yapmanız önemlidir. Kendi kendine barındırılan bir çözümün getirdiği esneklik, bu uyarlamaları yapmanıza olanak tanırken, aynı zamanda sistemin kontrolünü tamamen elinizde tutmanızı sağlar.

Sıkça Sorulan Sorular

Orion Belt projesi için neden kendi kendine barındırılan (self-hosted) bir çözüm tercih etmeliyim?
Kendi kendine barındırılan bir çözüm, verileriniz ve erişim kontrolünüz üzerinde tam denetim sağlar. Üçüncü taraf bir sağlayıcıya bağımlılığı azaltır, maliyetleri uzun vadede düşürebilir ve organizasyonunuzun özel güvenlik ve uyum gereksinimlerine göre özelleştirme esnekliği sunar. Özellikle hassas verilerle çalışan veya katı regülasyonlara tabi şirketler için bu kontrol çok değerlidir.
SSH sertifikaları kullanmak, geleneksel SSH anahtarlarından daha mı güvenli?
Evet, genellikle daha güvenlidir. SSH sertifikaları, anahtar yönetimini merkezileştirir ve basitleştirir. Kullanıcıların uzun ömürlü anahtarları doğrudan sunucularda bulundurması yerine, CA tarafından kısa ömürlü sertifikalar imzalanır. Bu sertifikaların belirli bir geçerlilik süresi vardır ve süresi dolduğunda otomatik olarak geçersiz olurlar. Bu, sızan bir anahtarın riskini ve etki süresini önemli ölçüde azaltır.
Orion Belt’i kurmak için hangi teknik bilgi ve becerilere ihtiyacım var?
Linux sistem yönetimi, SSH protokolü bilgisi, temel ağ bilgisi (firewall, routing), betik yazma (Bash veya Python) ve tercihen bir kimlik sağlayıcı (LDAP/Active Directory) ile çalışma deneyimi gereklidir. Açık kaynaklı araçlarla çalışmaya yatkın olmak da faydalıdır.
Oturum kaydı yasal olarak ne anlama geliyor ve hangi verileri kaydetmeliyim?
Oturum kaydı, kullanıcıların SSH oturumları sırasında gerçekleştirdiği tüm etkileşimleri (klavye girdileri, ekran çıktıları) kaydetmeyi ifade eder. Bu, güvenlik denetimi, adli analiz ve uyum gereksinimleri (KVKK, GDPR gibi) için kritik öneme sahiptir. Kaydedilecek veriler, kullanıcının adı, IP adresi, bağlantı zamanı, hedef sunucu, çalıştırılan komutlar ve tüm terminal çıktısı gibi bilgileri içermelidir. Ancak, kişisel verilerin korunması kanunlarına uygun hareket etmek ve kullanıcıları kayıt hakkında bilgilendirmek önemlidir.
Orion Belt’in bakımını ve güncellemelerini nasıl yönetmeliyim?
Orion Belt bileşenlerini (proxy sunucuları, CA sunucusu, loglama sistemi) düzenli olarak yamalamak ve güncellemek çok önemlidir. Güvenlik açıklarını kapatmak ve yeni özelliklerden faydalanmak için kullanılan açık kaynaklı araçların (OpenSSH, Linux dağıtımı) güncellemelerini takip edin. Otomasyon araçları (Ansible gibi) kullanarak bu süreci basitleştirebilir ve tutarlılığı sağlayabilirsiniz. Düzenli yedeklemeler de sistemin sürekliliği için hayati öneme sahiptir.

#Teknoloji #SiberGüvenlik #SSHPAM #ErişimYönetimi #AltyapıGüvenliği

Orion Belt v1.0: Alpha Bastion’dan Stabil Bir Kendi Kendine Barındırılan SSH PAM Sistemine Geçiş