Services Güvenliği: Ağınızın Kayıt Altyapısını Korumak

Bir IRC ağında en değerli ve en hassas bileşen services'tir. Bütün nick kayıtları, parola özetleri, e-posta adresleri, kanal erişim listeleri ve yasak kayıtları orada saklanır. Dahası services, U-line yetkisiyle çalıştığı için ağda neredeyse sınırsız işlem yapabilir: Herhangi bir kullanıcının nickini değiştirebilir, herhangi bir kanalın modlarını ayarlayabilir, ağ genelinde yasak koyabilir. Bu nedenle services'in ele geçirilmesi, ağın tamamının ele geçirilmesi anlamına gelir. Services güvenliği, bu riski yönetmek için alınması gereken önlemlerin bütünüdür.

1. Sunucu Katmanı

Ayrı ve yetkisiz kullanıcı: Services'i asla root ile çalıştırmayın. Yalnızca services için oluşturulmuş bir sistem kullanıcısı kullanın.

Minimal sunucu: Services'in çalıştığı sunucuda gereksiz hizmetler bulunmasın. Her ek hizmet yeni bir saldırı yüzeyidir.

Güncel sistem: İşletim sistemi paketlerini, özellikle OpenSSL gibi kütüphaneleri düzenli güncelleyin.

Güvenlik duvarı: Services'in dinlediği portları yalnızca gerekli adreslere açın. Services ile IRC sunucusu aynı makinedeyse bağlantı yerel adres üzerinden kurulabilir ve dışarıya hiçbir port açılması gerekmez.

SSH güvenliği: Sunucuya anahtar tabanlı kimlik doğrulamayla bağlanın, parola girişini kapatın.

2. Dosya Katmanı

Services dosyaları, ağın en hassas verilerini içerir:

chmod 700 ~/services
chmod 600 ~/services/conf/*.conf
chmod 600 ~/services/data/*

Yapılandırma dosyaları, IRC sunucusuna bağlantı parolasını ve varsa veritabanı parolalarını içerir. Veri dosyaları ise bütün kullanıcı kayıtlarını barındırır. Bu dosyaların yedeklerini de aynı özenle koruyun; şifrelenmemiş bir yedeğin sızması, orijinal dosyaların sızmasıyla aynı sonucu doğurur. Bkz. services veritabanı yedekleme.

3. Parola Katmanı

Güçlü özetleme: Kullanıcı parolalarının veritabanında nasıl saklandığı, services güvenliğinin en kritik kararıdır. Güncel ve güçlü bir özetleme algoritması kullanan modülü birincil yöntem olarak seçin. Eski ve zayıf algoritmaları yalnızca geçiş döneminde, kullanıcılar giriş yaptıkça parolaları yeni yönteme aktarmak için tutun ve geçiş tamamlandığında kaldırın. Modül seçimi için Anope modül yapılandırması yazımıza bakın.

Bağlantı parolası: Services ile IRC sunucusu arasındaki link parolası uzun ve rastgele olsun, başka hiçbir yerde kullanılmasın.

Yönetici parolaları: Services yöneticilerinin hesaplarında güçlü parolalar, SASL ve mümkünse sertifikalı giriş zorunlu olsun. Bkz. NickServ hesap güvenliği.

4. Bağlantı Katmanı

Services bağlantısını şifreleyin: Services ve IRC sunucusu farklı makinelerdeyse bağlantıyı TLS ile şifrelemek zorunludur. Aynı makinedeyseler yerel adres üzerinden bağlantı yeterlidir.

Adresi sınırlayın: IRC sunucusundaki link bloğunda incoming mask'ı services'in tam adresiyle sınırlayın. Bkz. Anope ve UnrealIRCd bağlantısı.

U-line listesini kısa tutun: ulines bloğuna yalnızca services sunucusunu ekleyin. Bkz. UnrealIRCd ulines ve services.

SASL'ı etkinleştirin: Kullanıcıların parolalarını kanal girişinden önce, şifreli kanal üzerinden göndermesini sağlayın. Bkz. services SASL.

5. Yetki Katmanı

En az yetki ilkesi: Her yöneticiye yalnızca görevine yetecek yetkiyi verin.

Services root sayısını sınırlayın: Bir veya iki kişi yeterlidir.

Ayrılanları hemen çıkarın: Görevinden ayrılan yöneticinin yetkisini aynı gün kaldırın.

Düzenli denetim: Oper listesini altı ayda bir gözden geçirin.

Yetki tanımları için services oper yetkileri yazımıza bakın.

6. Modül Katmanı

Her yüklü modül, services'in içinde çalışan ve bütün verilere erişebilen bir koddur. Bu yüzden:

• Yalnızca gerçekten ihtiyaç duyduğunuz modülleri yükleyin.
• Üçüncü parti modülleri yalnızca güvenilir kaynaklardan alın ve kodunu inceleyin.
• Web arayüzü veya API modülleri kullanıyorsanız bunları yalnızca TLS üzerinden erişilebilir yapın ve erişimi sınırlayın.
• Services'i yükselttiğinizde üçüncü parti modüllerin uyumluluğunu kontrol edin.

7. İzleme Katmanı

Logları yapılandırın: Yönetici işlemleri, yetki aşımları ve önemli olaylar loglanmalıdır.

Log kanalı kurun: Yöneticilerin olayları canlı izlemesi, anormallikleri erken fark etmeyi sağlar.

Hassas kategorileri kapatın: Ham protokol trafiğini kalıcı olarak loglamayın.

Ayrıntılar services log izleme yazımızda.

8. Güncelleme Katmanı

Services yazılımının yeni sürümleri güvenlik düzeltmeleri içerebilir. Projenin duyurularını takip edin ve güvenlik güncellemelerini zaman geçirmeden uygulayın. Yükseltmeden önce mutlaka tam bir yedek alın ve mümkünse değişiklikleri önce bir test ortamında deneyin.

Olay Müdahalesi

Services'in ele geçirildiğinden şüpheleniyorsanız hızlı ve planlı davranmak gerekir:

1. Services'i kapatın. Daha fazla zarar verilmesini önleyin.
2. Sunucuyu izole edin. Ağ erişimini kesin ve incelemeye alın.
3. Link parolasını değiştirin. IRC sunucusundaki link bloğunu ve services yapılandırmasını güncelleyin.
4. Temiz bir yedekten geri yükleyin. İhlal öncesine ait bir veritabanı kullanın.
5. Yönetici hesaplarını denetleyin. Yetki listesinde eklenmiş yeni kayıtlar olup olmadığına bakın.
6. Kullanıcıları bilgilendirin. Parolaların değiştirilmesi gerektiğini duyurun; bu, şeffaflığın gereğidir.
7. Nedeni bulun. Aynı yoldan tekrar girilmesini önlemek için ihlalin nasıl gerçekleştiğini araştırın.

Kullanıcılara Düşen Pay

Ağ güvenliği yalnızca yöneticilerin işi değildir. Kullanıcıları güçlü ve benzersiz parolalar kullanmaya, SASL ile bağlanmaya ve parolalarını kimseyle paylaşmamaya teşvik edin. Ağınızın web sitesinde kısa bir güvenlik rehberi yayımlamak, hem kullanıcıları korur hem de yardım kanalına gelen hesap kurtarma taleplerini azaltır.

Güvenlik Rutini

Güvenlik bir kerelik bir kurulum işi değil, süreklilik isteyen bir alışkanlıktır. Haftada bir log kanalını ve hata kayıtlarını gözden geçirin. Ayda bir yedeklerin alındığını ve açılabildiğini doğrulayın. Üç ayda bir sistem paketlerini ve services sürümünü kontrol edin. Altı ayda bir yönetici listesini ve yetkileri denetleyin. Bu rutin yazılı hâle getirildiğinde ve ekip içinde paylaşıldığında, bir kişinin yokluğunda da işlemeye devam eder.

Küçük bir ağ için bu rutin ayda toplam bir saatten az zaman alır ve karşılığında ağın en değerli verilerini koruma altına alır.

Sonuç

Services güvenliği; sunucudan dosya izinlerine, parola özetlemeden yetki dağıtımına, modül seçiminden loglamaya uzanan katmanlı bir yaklaşımla sağlanır. Services'i yetkisiz bir kullanıcıyla çalıştırın, dosya izinlerini sıkı tutun, güçlü özetleme kullanın, bağlantıları şifreleyin, yetkileri sınırlayın, yedekleri koruyun ve yazılımı güncel tutun. İki popüler services yazılımını karşılaştırmak için sıradaki rehberimiz Anope ve Atheme karşılaştırması.