G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k IT altyap\u0131lar\u0131nda, sunuculara ve kritik sistemlere g\u00fcvenli eri\u015fim sa\u011flamak, her organizasyon i\u00e7in hayati bir \u00f6neme sahiptir. \u00d6zellikle birden fazla sunucu, farkl\u0131 kullan\u0131c\u0131lar ve de\u011fi\u015fen eri\u015fim ihtiya\u00e7lar\u0131 s\u00f6z konusu oldu\u011funda, geleneksel SSH anahtar y\u00f6netimi y\u00f6ntemleri yetersiz kalabilir. Bu makalede, basit bir “Alpha Bastion” (tekil bir atlama sunucusu) yakla\u015f\u0131m\u0131ndan yola \u00e7\u0131karak, kendi kendine bar\u0131nd\u0131r\u0131lan, sa\u011flam ve denetlenebilir bir SSH Privileged Access Management (PAM) sistemi olan “Orion Belt”i nas\u0131l kuraca\u011f\u0131m\u0131z\u0131 ve y\u00f6netece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.<\/p>\n
Dijital d\u00f6n\u00fc\u015f\u00fcmle birlikte \u015firketler, bulut tabanl\u0131 hizmetlerden on-premise (\u015firket i\u00e7i) sunuculara kadar geni\u015f bir yelpazede altyap\u0131lar kullan\u0131yor. Bu altyap\u0131lara eri\u015fimin temel ta\u015f\u0131 olan SSH (Secure Shell), sistem y\u00f6neticileri, geli\u015ftiriciler ve otomasyon ara\u00e7lar\u0131 i\u00e7in vazge\u00e7ilmez bir protokold\u00fcr. Ancak, bu kolayl\u0131k beraberinde ciddi g\u00fcvenlik risklerini de getirir. Geleneksel SSH y\u00f6netimi genellikle \u015fu sorunlar\u0131 bar\u0131nd\u0131r\u0131r:<\/p>\n
Bu sorunlar, \u015firketlerin siber g\u00fcvenlik duru\u015funu zay\u0131flat\u0131r, operasyonel verimlili\u011fi d\u00fc\u015f\u00fcr\u00fcr ve uyum risklerini art\u0131r\u0131r. \u0130\u015fte tam da bu noktada, Privileged Access Management (PAM) \u00e7\u00f6z\u00fcmleri devreye girerek bu karma\u015f\u0131kl\u0131\u011f\u0131 y\u00f6netilebilir hale getirir. SSH PAM, \u00f6zellikle SSH tabanl\u0131 eri\u015fimler i\u00e7in tasarlanm\u0131\u015f bir PAM alt k\u00fcmesidir ve Orion Belt projemizin temelini olu\u015fturacakt\u0131r. Bu sistem, sadece eri\u015fimi y\u00f6netmekle kalmayacak, ayn\u0131 zamanda oturumlar\u0131 kaydedecek, \u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulamas\u0131 (MFA) entegrasyonu sa\u011flayacak ve kapsaml\u0131 denetim raporlar\u0131 sunarak modern g\u00fcvenlik ihtiya\u00e7lar\u0131na yan\u0131t verecektir.<\/p>\n
Privileged Access Management (PAM) veya T\u00fcrk\u00e7e kar\u015f\u0131l\u0131\u011f\u0131yla Ayr\u0131cal\u0131kl\u0131 Eri\u015fim Y\u00f6netimi, bir organizasyonun IT altyap\u0131s\u0131ndaki en kritik hesaplara ve sistemlere yap\u0131lan eri\u015fimi izlemek, kontrol etmek ve denetlemek i\u00e7in kullan\u0131lan kapsaml\u0131 bir g\u00fcvenlik stratejisi ve teknoloji setidir. SSH PAM ise, bu genel PAM \u015femsiyesi alt\u0131nda, \u00f6zellikle SSH protokol\u00fc \u00fczerinden yap\u0131lan ayr\u0131cal\u0131kl\u0131 eri\u015fimleri hedef al\u0131r. Geleneksel SSH y\u00f6netimi, genellikle kullan\u0131c\u0131lar\u0131n kendi SSH anahtarlar\u0131n\u0131 sunuculara manuel olarak kopyalamas\u0131 veya bir merkezi yetkilendirme sunucusu (\u00f6rne\u011fin LDAP veya FreeIPA) kullanmas\u0131 \u00fczerine kuruludur. Ancak bu yakla\u015f\u0131mlar\u0131n s\u0131n\u0131rl\u0131l\u0131klar\u0131 vard\u0131r.<\/p>\n
Geleneksel SSH y\u00f6netiminde, her kullan\u0131c\u0131n\u0131n bir veya daha fazla sunucuda kendi SSH PAM \u00e7\u00f6z\u00fcmleri ise bu s\u00fcreci merkezile\u015ftirir ve otomatize eder. Temel farkl\u0131l\u0131klar\u0131 \u015funlard\u0131r:<\/p>\n \u00d6zetle, SSH PAM, geleneksel ve manuel SSH y\u00f6netiminin getirdi\u011fi g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 ve operasyonel y\u00fck\u00fc ortadan kald\u0131ran, merkezi, otomatize ve denetlenebilir bir yakla\u015f\u0131m sunar. Orion Belt projemizle, bu geli\u015fmi\u015f \u00f6zelliklerin bir\u00e7o\u011funu kendi altyap\u0131m\u0131zda nas\u0131l kurabilece\u011fimizi ke\u015ffedece\u011fiz.<\/p>\n Her b\u00fcy\u00fck d\u00f6n\u00fc\u015f\u00fcm projesi gibi, “Orion Belt”e ge\u00e7i\u015f de mevcut durumun detayl\u0131 bir analiziyle ba\u015flar. \u00c7o\u011fu organizasyon i\u00e7in “Alpha Bastion”, yani tek bir atlama sunucusu (jump host) veya basit bir SSH anahtar y\u00f6netimi yakla\u015f\u0131m\u0131, ba\u015flang\u0131\u00e7 noktas\u0131d\u0131r. Bu b\u00f6l\u00fcmde, mevcut Alpha Bastion yap\u0131n\u0131z\u0131n g\u00fc\u00e7l\u00fc ve zay\u0131f y\u00f6nlerini nas\u0131l de\u011ferlendirece\u011finizi ve Orion Belt’e ge\u00e7i\u015f i\u00e7in bir yol haritas\u0131 \u00e7\u0131karaca\u011f\u0131n\u0131z\u0131 ele alaca\u011f\u0131z.<\/p>\n \u0130lk ad\u0131m, mevcut t\u00fcm SSH eri\u015fim noktalar\u0131n\u0131, kullan\u0131c\u0131lar\u0131 ve kullan\u0131lan anahtarlar\u0131 listelemektir. Bu, kapsaml\u0131 bir envanter \u00e7al\u0131\u015fmas\u0131 gerektirir:<\/p>\n Envanteri \u00e7\u0131kard\u0131ktan sonra, mevcut Alpha Bastion yakla\u015f\u0131m\u0131n\u0131zdaki potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 ve riskleri belirleyin:<\/p>\n Bu de\u011ferlendirme, Orion Belt projesinin hedeflerini ve \u00f6nceliklerini belirlemenize yard\u0131mc\u0131 olacakt\u0131r. \u00d6rne\u011fin, e\u011fer en b\u00fcy\u00fck risk anahtar s\u0131z\u0131nt\u0131s\u0131 ise, merkezi anahtar y\u00f6netimi ve MFA entegrasyonu projenizin temel ta\u015f\u0131 olmal\u0131d\u0131r. E\u011fer denetim eksikli\u011fi bir sorunsa, oturum kayd\u0131 ve detayl\u0131 loglama \u00f6ncelik kazanacakt\u0131r. Alpha Bastion’dan Orion Belt’e ge\u00e7i\u015f, sadece yeni bir teknoloji kurmak de\u011fil, ayn\u0131 zamanda mevcut g\u00fcvenlik s\u00fcre\u00e7lerinizi olgunla\u015ft\u0131rmak anlam\u0131na gelir.<\/p>\n Kendi kendine bar\u0131nd\u0131r\u0131lan bir SSH PAM sistemi tasarlamak, organizasyonunuza \u00f6zel ihtiya\u00e7lar\u0131 ve g\u00fcvenlik gereksinimlerini kar\u015f\u0131layacak esnek ve maliyet etkin bir \u00e7\u00f6z\u00fcm sunar. Orion Belt’i tasarlarken, mod\u00fcler bir yakla\u015f\u0131m benimseyece\u011fiz. Bu sistemin temel bile\u015fenleri ve bunlar\u0131n nas\u0131l bir araya gelece\u011fi a\u015fa\u011f\u0131da a\u00e7\u0131klanm\u0131\u015ft\u0131r.<\/p>\n Bu, t\u00fcm SSH eri\u015fim isteklerinin ilk u\u011frad\u0131\u011f\u0131 noktad\u0131r. Kullan\u0131c\u0131lar\u0131n kimliklerini do\u011frulayacak ve hangi kaynaklara eri\u015febileceklerini belirleyecek merkezi bir mekanizma sa\u011flar.<\/p>\n Bu katman, kullan\u0131c\u0131lar ile hedef sunucular aras\u0131nda bir arac\u0131 g\u00f6revi g\u00f6r\u00fcr. Do\u011frudan SSH ba\u011flant\u0131lar\u0131n\u0131 engeller ve t\u00fcm trafi\u011fi bu proxy \u00fczerinden y\u00f6nlendirir. Bu, oturum kayd\u0131, politika uygulama ve a\u011f izolasyonu i\u00e7in kritik \u00f6neme sahiptir.<\/p>\n PAM sistemi ile hedef sunucular aras\u0131nda g\u00fcvenli ve otomatik bir entegrasyonun sa\u011flanmas\u0131 gerekir.<\/p>\n Toplanan t\u00fcm eri\u015fim ve oturum verilerinin depolanmas\u0131, analiz edilmesi ve raporlanmas\u0131 i\u00e7in bir mekanizma.<\/p>\n Bu mimariyi in\u015fa ederken, a\u00e7\u0131k kaynakl\u0131 \u00e7\u00f6z\u00fcmlerden faydalanabiliriz. \u00d6rne\u011fin, Teleport, Boundary gibi ara\u00e7lar bu bile\u015fenlerin \u00e7o\u011funu entegre bir \u015fekilde sunar. Daha basit bir yakla\u015f\u0131m i\u00e7in, OpenSSH’in kendi CA \u00f6zelliklerini, Orion Belt’i in\u015fa etme s\u00fcreci, teorik tasar\u0131m\u0131n pratik uygulamaya d\u00f6n\u00fc\u015ft\u00fcr\u00fcld\u00fc\u011f\u00fc a\u015famad\u0131r. Bu rehberde, kendi kendine bar\u0131nd\u0131r\u0131lan bir SSH PAM sisteminin temel bile\u015fenlerini ad\u0131m ad\u0131m nas\u0131l kuraca\u011f\u0131n\u0131z\u0131 ve yap\u0131land\u0131raca\u011f\u0131n\u0131z\u0131 anlataca\u011f\u0131z. Odak noktam\u0131z, a\u00e7\u0131k kaynakl\u0131 ve esnek \u00e7\u00f6z\u00fcmler kullanarak maliyeti d\u00fc\u015f\u00fck tutmak ve mevcut altyap\u0131n\u0131zla entegrasyonu kolayla\u015ft\u0131rmakt\u0131r. Bu \u00f6rnekte, OpenSSH’in CA (Certificate Authority) \u00f6zelli\u011fini kullanarak merkezi anahtar y\u00f6netimini ve bir atlama sunucusu (jump host) \u00fczerinden oturum kayd\u0131n\u0131 nas\u0131l sa\u011flayabilece\u011fimizi g\u00f6sterece\u011fiz.<\/p>\n Orion Belt’in kalbinde, k\u0131sa \u00f6m\u00fcrl\u00fc SSH sertifikalar\u0131 imzalamak i\u00e7in bir CA bulunur. Bu, kullan\u0131c\u0131lar\u0131n uzun \u00f6m\u00fcrl\u00fc anahtarlar\u0131n\u0131 do\u011frudan sunuculara kopyalamak yerine, PAM sistemi taraf\u0131ndan ge\u00e7ici olarak imzalanm\u0131\u015f sertifikalar\u0131 kullanmas\u0131n\u0131 sa\u011flar.<\/p>\n Bu komut, hem \u00f6zel anahtar\u0131 ( Ard\u0131ndan Bu sunucu, t\u00fcm SSH trafi\u011finin ge\u00e7ti\u011fi merkezi noktad\u0131r ve oturum kayd\u0131n\u0131 ger\u00e7ekle\u015ftirecektir.<\/p>\n Bu betik, kullan\u0131c\u0131n\u0131n herkese a\u00e7\u0131k anahtar\u0131n\u0131 ( Bu betik, her SSH oturumunu bir dosyaya kaydeder. Ancak, bu basit bir \u00f6rnektir ve daha sa\u011flam bir \u00e7\u00f6z\u00fcm i\u00e7in \u00f6zel oturum kay\u0131t ara\u00e7lar\u0131 veya ticari\/a\u00e7\u0131k kaynakl\u0131 PAM \u00e7\u00f6z\u00fcmleri \u00f6nerilir.<\/p>\n<\/ol>\n Kullan\u0131c\u0131lar\u0131n Orion Belt sistemini kolayca kullanabilmesi i\u00e7in baz\u0131 kolayl\u0131klar sa\u011flamak \u00f6nemlidir.<\/p>\n Bu yap\u0131land\u0131rma ile kullan\u0131c\u0131lar, Bu ad\u0131mlar, Orion Belt’in temelini olu\u015fturur. Daha geli\u015fmi\u015f \u00f6zellikler (MFA, JIT eri\u015fim, parola kasas\u0131) i\u00e7in Teleport veya Boundary gibi entegre PAM \u00e7\u00f6z\u00fcmlerini de\u011ferlendirebilirsiniz. Ancak bu basit yap\u0131land\u0131rma bile, Alpha Bastion’dan \u00e7ok daha g\u00fcvenli ve y\u00f6netilebilir bir SSH eri\u015fim ortam\u0131 sa\u011flayacakt\u0131r.<\/p>\n Orion Belt’in temel yap\u0131s\u0131n\u0131 kurduktan sonra, sistemin g\u00fcvenli\u011fini, operasyonel verimlili\u011fini ve kullan\u0131c\u0131 deneyimini daha da ileriye ta\u015f\u0131mak i\u00e7in \u00e7e\u015fitli ileri d\u00fczey \u00f6zellikler ve entegrasyonlar ekleyebiliriz. Bu b\u00f6l\u00fcmde, deneyimli IT profesyonelleri i\u00e7in Orion Belt’i daha da g\u00fc\u00e7lendirecek ipu\u00e7lar\u0131 ve p\u00fcf noktalar\u0131 sunulmaktad\u0131r.<\/p>\n Sadece SSH anahtar\u0131 veya parola ile kimlik do\u011frulama, modern tehdit ortam\u0131nda yeterli de\u011fildir. MFA, ek bir g\u00fcvenlik katman\u0131 sa\u011flayarak kimlik av\u0131 (phishing) ve anahtar s\u0131z\u0131nt\u0131s\u0131 risklerini azalt\u0131r.<\/p>\n S\u00fcrekli ayr\u0131cal\u0131kl\u0131 eri\u015fim vermek yerine, kullan\u0131c\u0131lara yaln\u0131zca ihtiya\u00e7 duyduklar\u0131 anda ve belirli bir s\u00fcre i\u00e7in yetki vermek, g\u00fcvenlik riskini \u00f6nemli \u00f6l\u00e7\u00fcde azalt\u0131r. Orion Belt, bu yakla\u015f\u0131m\u0131 desteklemelidir.<\/p>\n Oturum kayd\u0131 \u00f6nemli olsa da, proaktif g\u00fcvenlik i\u00e7in oturumlar\u0131 ger\u00e7ek zamanl\u0131 izlemek ve potansiyel tehlikeli komutlar\u0131 engellemek daha iyidir.<\/p>\n E\u011fer SSH anahtar tabanl\u0131 eri\u015fim her zaman m\u00fcmk\u00fcn de\u011filse (\u00f6rne\u011fin eski sistemler veya a\u011f cihazlar\u0131), ayr\u0131cal\u0131kl\u0131 hesaplar\u0131n parolalar\u0131n\u0131 y\u00f6netmek gerekir.<\/p>\n Orion Belt’in \u00fcretti\u011fi t\u00fcm loglar (kimlik do\u011frulama, eri\u015fim, oturum kay\u0131tlar\u0131, hatalar) merkezi bir log y\u00f6netim sistemine (ELK Stack, Splunk, Graylog) g\u00f6nderilmelidir. Bu, g\u00fcvenlik olaylar\u0131n\u0131 h\u0131zl\u0131ca tespit etmek ve adli analiz yapmak i\u00e7in kritiktir.<\/p>\n Bu ileri d\u00fczey \u00f6zellikler, Orion Belt’inizi sadece bir SSH eri\u015fim y\u00f6neticisinden \u00f6te, kapsaml\u0131 bir ayr\u0131cal\u0131kl\u0131 eri\u015fim g\u00fcvenli\u011fi platformuna d\u00f6n\u00fc\u015ft\u00fcrecektir. Her bir entegrasyon, sisteminizin genel g\u00fcvenlik duru\u015funu g\u00fc\u00e7lendirirken, operasyonel y\u00fck\u00fc azaltmaya ve uyum gereksinimlerini kar\u015f\u0131lamaya yard\u0131mc\u0131 olacakt\u0131r.<\/p>\n Orion Belt gibi kapsaml\u0131 bir SSH PAM sistemi kurmak ve y\u00f6netmek, bir\u00e7ok avantaj sunsa da beraberinde baz\u0131 zorluklar\u0131 da getirebilir. Bu zorluklar\u0131 \u00f6nceden bilmek ve bunlara y\u00f6nelik \u00e7\u00f6z\u00fcm \u00f6nerileri geli\u015ftirmek, projenin ba\u015far\u0131s\u0131 i\u00e7in kritik \u00f6neme sahiptir. \u0130\u015fte kar\u015f\u0131la\u015fabilece\u011finiz yayg\u0131n zorluklar ve bunlar\u0131n \u00fcstesinden gelmek i\u00e7in stratejiler:<\/p>\n Zorluk:<\/strong> Kullan\u0131c\u0131lar, mevcut al\u0131\u015fkanl\u0131klar\u0131ndan (do\u011frudan SSH ba\u011flant\u0131s\u0131, kendi anahtarlar\u0131n\u0131 y\u00f6netme) vazge\u00e7mekte zorlanabilirler. Yeni bir sisteme ge\u00e7i\u015f, ba\u015flang\u0131\u00e7ta diren\u00e7le kar\u015f\u0131la\u015fabilir ve verimlilik d\u00fc\u015f\u00fc\u015f\u00fcne neden olabilir.<\/p>\n \u00c7\u00f6z\u00fcm \u00d6nerisi:<\/strong><\/p>\n Zorluk:<\/strong> Merkezi bir proxy \u00fczerinden ge\u00e7en t\u00fcm SSH trafi\u011fi, \u00f6zellikle yo\u011fun kullan\u0131mda performans darbo\u011fazlar\u0131na yol a\u00e7abilir. \u00c7ok say\u0131da e\u015fzamanl\u0131 oturum, proxy sunucusunun kaynaklar\u0131n\u0131 zorlayabilir.<\/p>\n \u00c7\u00f6z\u00fcm \u00d6nerisi:<\/strong><\/p>\n Zorluk:<\/strong> Mevcut kimlik sa\u011flay\u0131c\u0131lar\u0131 (LDAP, Active Directory), SIEM sistemleri ve di\u011fer g\u00fcvenlik ara\u00e7lar\u0131yla entegrasyon, teknik olarak karma\u015f\u0131k olabilir ve uyumsuzluk sorunlar\u0131na yol a\u00e7abilir.<\/p>\n \u00c7\u00f6z\u00fcm \u00d6nerisi:<\/strong><\/p>\n Zorluk:<\/strong> Orion Belt’in kendisi merkezi bir kontrol noktas\u0131 oldu\u011fu i\u00e7in, sistemin g\u00fcvenli\u011fi son derece kritik hale gelir. Sistemin yanl\u0131\u015f yap\u0131land\u0131r\u0131lmas\u0131 veya zafiyetleri, t\u00fcm altyap\u0131ya eri\u015fim riski yaratabilir. Ayr\u0131ca, denetim ve raporlama gereksinimlerini tam olarak kar\u015f\u0131lamak zor olabilir.<\/p>\n \u00c7\u00f6z\u00fcm \u00d6nerisi:<\/strong><\/p>\n Zorluk:<\/strong> Kendi kendine bar\u0131nd\u0131r\u0131lan bir \u00e7\u00f6z\u00fcm, s\u00fcrekli bak\u0131m, g\u00fcncelleme ve sorun giderme gerektirir. Bu, IT ekibi \u00fczerinde ek bir y\u00fck olu\u015fturabilir.<\/p>\n \u00c7\u00f6z\u00fcm \u00d6nerisi:<\/strong><\/p>\n Bu zorluklar\u0131n \u00fcstesinden gelmek, Orion Belt projesinin uzun vadeli ba\u015far\u0131s\u0131 i\u00e7in anahtard\u0131r. Planl\u0131 bir yakla\u015f\u0131mla ve proaktif \u00e7\u00f6z\u00fcmlerle, kendi kendine bar\u0131nd\u0131r\u0131lan SSH PAM sisteminizden en y\u00fcksek de\u011feri elde edebilirsiniz.<\/p>\n Alpha Bastion’dan ba\u015flayarak, Orion Belt ad\u0131n\u0131 verdi\u011fimiz kendi kendine bar\u0131nd\u0131r\u0131lan, stabil bir SSH Privileged Access Management (PAM) sistemi in\u015fa etme yolculu\u011fumuzu tamamlad\u0131k. Bu s\u00fcre\u00e7te, SSH eri\u015fim y\u00f6netiminin neden kritik oldu\u011funu, geleneksel y\u00f6ntemlerin s\u0131n\u0131rl\u0131l\u0131klar\u0131n\u0131, SSH PAM’in temel prensiplerini ve Orion Belt’i nas\u0131l tasarlay\u0131p kuraca\u011f\u0131m\u0131z\u0131 ad\u0131m ad\u0131m inceledik. Merkezi CA ile sertifika tabanl\u0131 kimlik do\u011frulama, atlama sunucusu \u00fczerinden oturum kayd\u0131 ve politika tabanl\u0131 eri\u015fim kontrol\u00fc gibi \u00f6zelliklerle, sistemimizin g\u00fcvenli\u011fini ve denetlenebilirli\u011fini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131rd\u0131k.<\/p>\n Orion Belt, organizasyonlara sadece g\u00fcvenli bir SSH eri\u015fim \u00e7\u00f6z\u00fcm\u00fc sunmakla kalmaz, ayn\u0131 zamanda operasyonel verimlili\u011fi art\u0131r\u0131r, uyum gereksinimlerini kar\u015f\u0131lamaya yard\u0131mc\u0131 olur ve siber g\u00fcvenlik duru\u015funu g\u00fc\u00e7lendirir. Kullan\u0131c\u0131lar\u0131n anahtar y\u00f6netimi y\u00fck\u00fcn\u00fc ortadan kald\u0131rarak, y\u00f6neticilere merkezi bir kontrol noktas\u0131 sa\u011flayarak ve t\u00fcm ayr\u0131cal\u0131kl\u0131 oturumlar\u0131 izlenebilir hale getirerek, IT altyap\u0131n\u0131z \u00fczerinde tam bir g\u00f6r\u00fcn\u00fcrl\u00fck ve kontrol elde edersiniz. Gelecekte, Orion Belt’i \u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulama (MFA), Just-in-Time (JIT) eri\u015fim, geli\u015fmi\u015f oturum izleme ve SIEM entegrasyonu gibi ileri d\u00fczey \u00f6zelliklerle daha da zenginle\u015ftirebiliriz. Bu s\u00fcrekli bir evrim s\u00fcrecidir ve g\u00fcvenlik tehditleri geli\u015ftik\u00e7e, Orion Belt’in de bu tehditlere kar\u015f\u0131 adapte olmas\u0131 gerekecektir.<\/p>\n Unutmay\u0131n ki her organizasyonun kendine \u00f6zg\u00fc ihtiya\u00e7lar\u0131 ve mevcut altyap\u0131s\u0131 vard\u0131r. Bu makaledeki \u00f6rnekler ve yakla\u015f\u0131mlar bir ba\u015flang\u0131\u00e7 noktas\u0131d\u0131r. Orion Belt’i kendi ortam\u0131n\u0131za en uygun \u015fekilde uyarlamak i\u00e7in detayl\u0131 bir planlama, test ve s\u00fcrekli iyile\u015ftirme yapman\u0131z \u00f6nemlidir. Kendi kendine bar\u0131nd\u0131r\u0131lan bir \u00e7\u00f6z\u00fcm\u00fcn getirdi\u011fi esneklik, bu uyarlamalar\u0131 yapman\u0131za olanak tan\u0131rken, ayn\u0131 zamanda sistemin kontrol\u00fcn\u00fc tamamen elinizde tutman\u0131z\u0131 sa\u011flar.<\/p>\n Kendi kendine bar\u0131nd\u0131r\u0131lan bir \u00e7\u00f6z\u00fcm, verileriniz ve eri\u015fim kontrol\u00fcn\u00fcz \u00fczerinde tam denetim sa\u011flar. \u00dc\u00e7\u00fcnc\u00fc taraf bir sa\u011flay\u0131c\u0131ya ba\u011f\u0131ml\u0131l\u0131\u011f\u0131 azalt\u0131r, maliyetleri uzun vadede d\u00fc\u015f\u00fcrebilir ve organizasyonunuzun \u00f6zel g\u00fcvenlik ve uyum gereksinimlerine g\u00f6re \u00f6zelle\u015ftirme esnekli\u011fi sunar. \u00d6zellikle hassas verilerle \u00e7al\u0131\u015fan veya kat\u0131 reg\u00fclasyonlara tabi \u015firketler i\u00e7in bu kontrol \u00e7ok de\u011ferlidir.<\/p>\n<\/li>\n Evet, genellikle daha g\u00fcvenlidir. SSH sertifikalar\u0131, anahtar y\u00f6netimini merkezile\u015ftirir ve basitle\u015ftirir. Kullan\u0131c\u0131lar\u0131n uzun \u00f6m\u00fcrl\u00fc anahtarlar\u0131 do\u011frudan sunucularda bulundurmas\u0131 yerine, CA taraf\u0131ndan k\u0131sa \u00f6m\u00fcrl\u00fc sertifikalar imzalan\u0131r. Bu sertifikalar\u0131n belirli bir ge\u00e7erlilik s\u00fcresi vard\u0131r ve s\u00fcresi doldu\u011funda otomatik olarak ge\u00e7ersiz olurlar. Bu, s\u0131zan bir anahtar\u0131n riskini ve etki s\u00fcresini \u00f6nemli \u00f6l\u00e7\u00fcde azalt\u0131r.<\/p>\n<\/li>\n Linux sistem y\u00f6netimi, SSH protokol\u00fc bilgisi, temel a\u011f bilgisi (firewall, routing), betik yazma (Bash veya Python) ve tercihen bir kimlik sa\u011flay\u0131c\u0131 (LDAP\/Active Directory) ile \u00e7al\u0131\u015fma deneyimi gereklidir. A\u00e7\u0131k kaynakl\u0131 ara\u00e7larla \u00e7al\u0131\u015fmaya yatk\u0131n olmak da faydal\u0131d\u0131r.<\/p>\n<\/li>\n Oturum kayd\u0131, kullan\u0131c\u0131lar\u0131n SSH oturumlar\u0131 s\u0131ras\u0131nda ger\u00e7ekle\u015ftirdi\u011fi t\u00fcm etkile\u015fimleri (klavye girdileri, ekran \u00e7\u0131kt\u0131lar\u0131) kaydetmeyi ifade eder. Bu, g\u00fcvenlik denetimi, adli analiz ve uyum gereksinimleri (KVKK, GDPR gibi) i\u00e7in kritik \u00f6neme sahiptir. Kaydedilecek veriler, kullan\u0131c\u0131n\u0131n ad\u0131, IP adresi, ba\u011flant\u0131 zaman\u0131, hedef sunucu, \u00e7al\u0131\u015ft\u0131r\u0131lan komutlar ve t\u00fcm terminal \u00e7\u0131kt\u0131s\u0131 gibi bilgileri i\u00e7ermelidir. Ancak, ki\u015fisel verilerin korunmas\u0131 kanunlar\u0131na uygun hareket etmek ve kullan\u0131c\u0131lar\u0131 kay\u0131t hakk\u0131nda bilgilendirmek \u00f6nemlidir.<\/p>\n<\/li>\nauthorized_keys<\/code> dosyas\u0131nda anahtar\u0131 bulunur. Bu, da\u011f\u0131t\u0131k bir yap\u0131 olu\u015fturur ve anahtar iptali, yetki de\u011fi\u015fimi gibi durumlarda her sunucuda manuel m\u00fcdahale gerektirebilir. Ayr\u0131ca, oturumlar\u0131n kaydedilmesi, komutlar\u0131n denetlenmesi veya \u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulama gibi geli\u015fmi\u015f g\u00fcvenlik \u00f6zellikleri genellikle entegre de\u011fildir veya ek ara\u00e7larla karma\u015f\u0131k bir \u015fekilde sa\u011flan\u0131r. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n bir sunucuya ba\u011fland\u0131\u011f\u0131nda hangi komutlar\u0131 \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131 g\u00f6rmek i\u00e7in sunucunun kendi loglar\u0131n\u0131 incelemek gerekir ki bu da her zaman yeterli detay sa\u011flamaz.<\/p>\n\n
Alpha Bastion’dan Orion Belt’e: Mevcut Durumunuzu Analiz Etme<\/h3>\n
Mevcut SSH Altyap\u0131n\u0131z\u0131n Envanteri ve De\u011ferlendirilmesi:<\/h4>\n
\n
~\/.ssh\/authorized_keys<\/code> dosyalar\u0131) tespit edin. Anahtar tiplerini (RSA, Ed25519) ve bit uzunluklar\u0131n\u0131 da not al\u0131n. Eski, zay\u0131f veya kullan\u0131lmayan anahtarlar var m\u0131?<\/li>\nsshd_config<\/code> ayarlar\u0131 s\u0131k\u0131la\u015ft\u0131r\u0131lm\u0131\u015f durumda? Firewall kurallar\u0131, SELinux\/AppArmor gibi zorlay\u0131c\u0131 eri\u015fim kontrol sistemleri kullan\u0131l\u0131yor mu? Mevcut loglama ve denetim mekanizmalar\u0131 nelerdir?<\/li>\n<\/ul>\nRisk De\u011ferlendirmesi ve G\u00fcvenlik A\u00e7\u0131klar\u0131n\u0131n Tespiti:<\/h4>\n
\n
Kendi Kendine Bar\u0131nd\u0131r\u0131lan Bir SSH PAM Sistemi Nas\u0131l Tasarlan\u0131r?<\/h3>\n
1. Merkezi Yetkilendirme ve Kimlik Do\u011frulama Katman\u0131:<\/h4>\n
\n
2. SSH Proxy\/Jump Host Katman\u0131:<\/h4>\n
\n
3. Hedef Sunucu Entegrasyonu:<\/h4>\n
\n
sshd<\/code>) Yap\u0131land\u0131rmas\u0131:<\/strong> Hedef sunuculardaki sshd<\/code> servisleri, sadece PAM proxy’sinden gelen ba\u011flant\u0131lara izin verecek \u015fekilde yap\u0131land\u0131r\u0131lmal\u0131d\u0131r. Ayr\u0131ca, e\u011fer SSH sertifikalar\u0131 kullan\u0131l\u0131yorsa, sshd<\/code>‘nin PAM sisteminin CA’s\u0131n\u0131 g\u00fcvenilir olarak tan\u0131mas\u0131 gerekir (TrustedUserCAKeys<\/code> y\u00f6nergesi).<\/li>\nsudo<\/code> veya di\u011fer ayr\u0131cal\u0131k y\u00fckseltme ara\u00e7lar\u0131n\u0131 kullanma yetkisini y\u00f6netebilir. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n sadece belirli komutlar\u0131 sudo<\/code> ile \u00e7al\u0131\u015ft\u0131rmas\u0131na izin verilebilir.<\/li>\n<\/ul>\n4. Denetim ve Raporlama Katman\u0131:<\/h4>\n
\n
bastion host<\/code> yap\u0131land\u0131rmalar\u0131n\u0131 ve script<\/code> tabanl\u0131 oturum kayd\u0131n\u0131 bir araya getirebiliriz. Orion Belt, bu bile\u015fenlerin uyumlu bir \u015fekilde \u00e7al\u0131\u015farak g\u00fcvenli, y\u00f6netilebilir ve denetlenebilir bir SSH eri\u015fim ortam\u0131 olu\u015fturmas\u0131n\u0131 sa\u011flayacakt\u0131r.<\/p>\nOrion Belt’i \u0130n\u015fa Etmek: Ad\u0131m Ad\u0131m Kurulum ve Yap\u0131land\u0131rma Rehberi<\/h3>\n
Ad\u0131m 1: SSH Sertifika Yetkilisi (CA) Kurulumu<\/h4>\n
\n
\nssh-keygen -t ed25519 -f \/etc\/ssh\/ca_key -C \"Orion Belt SSH CA\"\n <\/code><\/pre>\n<\/p><\/div>\nca_key<\/code>) hem de herkese a\u00e7\u0131k anahtar\u0131 (ca_key.pub<\/code>) olu\u015fturacakt\u0131r.<\/p>\n\/etc\/ssh\/sshd_config<\/code> dosyas\u0131n\u0131 d\u00fczenleyerek CA’n\u0131z\u0131n herkese a\u00e7\u0131k anahtar\u0131n\u0131 g\u00fcvenilir olarak belirtin.<\/li>\n\n# \/etc\/ssh\/sshd_config dosyas\u0131na ekleyin\nTrustedUserCAKeys \/etc\/ssh\/ca_key.pub\n <\/code><\/pre>\n<\/p><\/div>\nsshd<\/code> servisini yeniden ba\u015flat\u0131n: sudo systemctl restart sshd<\/code>. Bu, sunucular\u0131n art\u0131k sadece CA’n\u0131z taraf\u0131ndan imzalanan sertifikalarla kimlik do\u011frulamas\u0131na izin verece\u011fi anlam\u0131na gelir.<\/p>\n<\/ol>\nAd\u0131m 2: Orion Belt Proxy\/Jump Host Kurulumu<\/h4>\n
\n
\n#!\/bin\/bash\nUSER_PUB_KEY=\"$1\"\nUSERNAME=\"$2\"\nTTL=\"+1h\" # Sertifikan\u0131n ge\u00e7erlilik s\u00fcresi (\u00f6rne\u011fin 1 saat)\n\nif [ -z \"$USER_PUB_KEY\" ] || [ -z \"$USERNAME\" ]; then\n echo \"Kullan\u0131m: $0 <kullan\u0131c\u0131_pub_anahtar\u0131_dosyas\u0131> <kullan\u0131c\u0131_ad\u0131>\"\n exit 1\nfi\n\n# Kullan\u0131c\u0131 anahtar\u0131n\u0131 CA ile imzalama\nssh-keygen -s \/etc\/ssh\/ca_key -I \"$USERNAME\" -n \"$USERNAME\" -V \"$TTL\" \"$USER_PUB_KEY\"\n\necho \"Sertifika ba\u015far\u0131yla imzaland\u0131: ${USER_PUB_KEY}-cert.pub\"\n <\/code><\/pre>\n<\/p><\/div>\nUSER_PUB_KEY<\/code>) al\u0131r, CA \u00f6zel anahtar\u0131 (\/etc\/ssh\/ca_key<\/code>) ile imzalar ve belirli bir kullan\u0131c\u0131 ad\u0131 (USERNAME<\/code>) ve ge\u00e7erlilik s\u00fcresi (TTL<\/code>) ile bir sertifika (.pub-cert.pub<\/code>) olu\u015fturur. Kullan\u0131c\u0131 bu sertifikay\u0131 kullanarak hedef sunucuya ba\u011flan\u0131r.<\/p>\nscript<\/code> komutunu kullanarak veya daha geli\u015fmi\u015f bir ara\u00e7la (\u00f6rne\u011fin tlog<\/code>, asciinema<\/code> veya Teleport gibi bir PAM \u00e7\u00f6z\u00fcm\u00fc) t\u00fcm SSH oturumlar\u0131n\u0131 kaydedebilirsiniz. Basit bir script<\/code> tabanl\u0131 kay\u0131t i\u00e7in, kullan\u0131c\u0131lar\u0131n ~\/.ssh\/rc<\/code> dosyas\u0131na veya \/etc\/ssh\/sshd_config<\/code> i\u00e7indeki ForceCommand<\/code> y\u00f6nergesine bir betik ekleyebilirsiniz:<\/li>\n\n# \/etc\/ssh\/sshd_config dosyas\u0131na ekleyin (sadece proxy sunucusunda)\nMatch User *\n ForceCommand \/usr\/local\/bin\/record_session.sh\n <\/code><\/pre>\n<\/p><\/div>\n\/usr\/local\/bin\/record_session.sh<\/code> beti\u011fi \u015f\u00f6yle olabilir:<\/p>\n\n#!\/bin\/bash\nLOG_DIR=\"\/var\/log\/ssh_sessions\"\nmkdir -p \"$LOG_DIR\"\nTIMESTAMP=$(date +%Y%m%d-%H%M%S)\nLOG_FILE=\"$LOG_DIR\/${USER}_${SSH_ORIGINAL_COMMAND}_${TIMESTAMP}.log\"\n\n# Oturum kayd\u0131n\u0131 ba\u015flat\nscript -q -f -c \"$SSH_ORIGINAL_COMMAND\" \"$LOG_FILE\"\n\n# Orijinal komutu \u00e7al\u0131\u015ft\u0131r\nexec \"$SSH_ORIGINAL_COMMAND\"\n <\/code><\/pre>\n<\/p><\/div>\nAd\u0131m 3: Kullan\u0131c\u0131 Deneyimi ve Entegrasyon<\/h4>\n
\n
~\/.ssh\/config<\/code> dosyalar\u0131na, proxy \u00fczerinden ba\u011flant\u0131 kurmalar\u0131n\u0131 sa\u011flayacak ayarlar\u0131 eklemelerini isteyin.<\/li>\n\n# ~\/.ssh\/config dosyas\u0131na ekleyin\nHost *.orionbelt.internal\n ProxyJump user@orionbelt-proxy.example.com\n IdentityFile ~\/.ssh\/id_ed25519-cert.pub # \u0130mzalanm\u0131\u015f sertifika\n IdentitiesOnly yes\n <\/code><\/pre>\n<\/p><\/div>\nssh sunucu.orionbelt.internal<\/code> komutunu kullanarak otomatik olarak proxy \u00fczerinden ba\u011flanacakt\u0131r.<\/p>\nid_ed25519.pub<\/code>) Orion Belt CA’s\u0131na g\u00f6nderebilecekleri ve imzalanm\u0131\u015f sertifikalar\u0131n\u0131 geri alabilecekleri bir web aray\u00fcz\u00fc veya CLI arac\u0131 geli\u015ftirebilirsiniz.<\/li>\n<\/ol>\nG\u00fcvenli\u011fi ve Kullan\u0131labilirli\u011fi Art\u0131rma: \u0130leri D\u00fczey \u00d6zellikler ve Entegrasyonlar<\/h3>\n
1. \u00c7ok Fakt\u00f6rl\u00fc Kimlik Do\u011frulama (MFA) Entegrasyonu:<\/h4>\n
\n
pam_google_authenticator.so<\/code>) veya Duo Security (pam_duo.so<\/code>) gibi mod\u00fcllerle entegrasyon sa\u011flayabilirsiniz. \u00d6rne\u011fin, \/etc\/pam.d\/sshd<\/code> dosyas\u0131n\u0131 d\u00fczenleyerek bir MFA mod\u00fcl\u00fc ekleyebilirsiniz.<\/li>\n2. Just-in-Time (JIT) Eri\u015fim ve Onay \u0130\u015f Ak\u0131\u015flar\u0131:<\/h4>\n
\n
3. Oturum \u0130zleme ve Komut Filtreleme:<\/h4>\n
\n
rm -rf \/<\/code> gibi y\u0131k\u0131c\u0131 komutlar\u0131 engellemek veya sadece g\u00fcvenli y\u00f6netim betiklerinin \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131na izin vermek. Bu, ForceCommand<\/code> y\u00f6nergesi ve \u00f6zel betikler veya daha geli\u015fmi\u015f ara\u00e7larla (\u00f6rne\u011fin sudo<\/code>‘nun geli\u015fmi\u015f \u00f6zellikleri) yap\u0131labilir.<\/li>\n<\/ul>\n4. Parola Kasas\u0131 ve Otomatik Parola D\u00f6ng\u00fcs\u00fc:<\/h4>\n
\n
5. Log Y\u00f6netimi ve SIEM Entegrasyonu:<\/h4>\n
\n
Orion Belt ile Kar\u015f\u0131la\u015f\u0131labilecek Zorluklar ve \u00c7\u00f6z\u00fcm \u00d6nerileri<\/h3>\n
1. Kullan\u0131c\u0131 Adaptasyonu ve E\u011fitim:<\/h4>\n
\n
2. Performans ve \u00d6l\u00e7eklenebilirlik:<\/h4>\n
\n
3. Entegrasyon Karma\u015f\u0131kl\u0131\u011f\u0131:<\/h4>\n
\n
4. G\u00fcvenlik ve Uyumluluk Riskleri:<\/h4>\n
\n
5. Bak\u0131m ve Y\u00f6netim Y\u00fck\u00fc:<\/h4>\n
\n
Sonu\u00e7: Orion Belt’in Gelece\u011fi ve S\u0131k\u00e7a Sorulan Sorular<\/h3>\n
S\u0131k\u00e7a Sorulan Sorular<\/h4>\n
\n