Loading…
A set of foundational security controls that must be in place on a Linux server (RHEL/Ubuntu/Debian): identity and PAM, SSH hardening, sudo, filesystem mount options, kernel/network sysctl, service surface, auditd logging, SELinux/AppArmor, and file integrity. The core framework is SANS CIS Critical Security Controls v8; concrete values are drawn from the CIS Benchmark, DISA STIG, and NSA guides. Organizations can compare their own configuration against this list line by line.
Source frameworks
Summary
Linux Server Security Baseline includes 78 granular hardening controls across 9 sections; each control comes with a recommended value, a setting path and an official public source. Controls are mapped to the following compliance frameworks: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. You can compare your own configuration line by line and get a % coverage score, a missing-control list and a CSV export.
auditd; logs should be forwarded to a centralized SIEM.Important implementation notice
This baseline is a general security reference. Before applying controls to a production environment, validate them in a test environment with your organization's requirements and current configuration in mind; implement changes in a controlled, phased manner with a rollback plan. CyberSecLab cannot be held responsible for service disruption, data loss, incompatibility, or other damages arising from the application of these controls.
Yalniz root UID 0; kopya UID yok; sistem hesaplari nologin/false kabuk; bos parolali hesap yok
↳ UID 0 denetimi: awk -F: '($3==0){print $1}' /etc/passwd; ayrica duplicate UID/GID, shadow butunlugu ve home/shell kontrolu
Ikinci bir UID 0 hesabi gizli root yetkisidir; oturum acabilen sistem hesaplari saldiri yuzeyi ve kalicilik saglar.
/etc/passwd 644 root:root; /etc/shadow 000 veya 640 root:(root/shadow); /etc/group 644 root:root; /etc/gshadow 000 root:root
↳ stat -c "%a %U %G" /etc/passwd /etc/shadow /etc/group /etc/gshadow
Asiri genis izinli parola/golge dosyalari hash sizintisi ve yetki yukseltmeye yol acar.
/etc/pam.d/su icinde: auth required pam_wheel.so use_uid group=<grup>. Belirtilen grup sistemde var ve BOS olmali; boylece yetki yukseltme su yerine sudo uzerinden yapilir ve loglanir.
↳ /etc/pam.d/su + ilgili grubun /etc/group icinde bos olmasi
su, sudo dan farkli olarak yalniz calistirildigini kaydeder, hangi komutun kosuldugunu kaydetmez. su yu bos bir gruba kisitlamak yetki yukseltmeyi denetlenebilir tek yola (sudo) zorlar.
yescrypt (destekleniyorsa) veya SHA512. login.defs ve PAM pam_unix.so birlikte dogrulanmali; mevcut hashler parola degisene kadar donusmez.
↳ /etc/login.defs (ENCRYPT_METHOD) + PAM pam_unix.so (system-auth / common-password)
Zayif karma (MD5/DES) ile saklanan parolalar hizla kirilir; SHA512/yescrypt offline cracki yavaslatir.
minlen=14, minclass=4, dictcheck=1
↳ /etc/security/pwquality.conf
Karmasiklik politikasi parola puskurtme ve sozluk saldirilarina direnci artirir.
deny 1-5 arasi (0 KABUL EDILMEZ: deny=0 kilitlemeyi tamamen kapatir), unlock_time >= 900. RHEL/Fedora: /etc/security/faillock.conf + authselect ... with-faillock. Debian/Ubuntu: pam_faillock PAM stack e (common-auth) elle eklenir, aksi halde etkin degildir.
↳ /etc/security/faillock.conf (RHEL/Fedora; authselect ... with-faillock). Debian/Ubuntu: pam_faillock PAM stack e (common-auth) elle eklenir, aksi halde etkin degildir.
Basarisiz oturum esigi online kaba kuvveti yavaslatir.
PAM satirlarindan nullok kaldirilmis
↳ RHEL: /etc/pam.d/system-auth, /etc/pam.d/password-auth. Debian/Ubuntu: /etc/pam.d/common-auth, /etc/pam.d/common-password. Ayrica SSH PermitEmptyPasswords no.
Bos parolali hesaplar dogrudan yetkisiz erisime yol acar.
INACTIVE 1-30 (parola suresi dolduktan SONRA hesabin kilitlenmesine kadar gecen gun). DIKKAT: INACTIVE son oturum tarihine BAKMAZ; yalniz parola bitiminden sonra devreye girer, dolayisiyla PASS_MAX_DAYS ayarlanmamissa hicbir zaman tetiklenmez (bkz. LNX-PWD-07). Gercekten atil hesaplar ayrica son oturum tarihine gore taranip devre disi birakilmalidir.
↳ /etc/default/useradd (INACTIVE) + mevcut hesaplar icin chage -I; atil hesap taramasi: lastlog / lastlog2 veya Search-benzeri son-oturum raporu
useradd(8): INACTIVE, parolanin azami omrunu asmasindan sonra hesabin kilitlenmesine kadar gecen gun sayisidir. Son oturum tarihiyle iliskisi yoktur; bu iki kavramin karistirilmasi kurumun atil hesaplarinin kapandigini sanmasina yol acar.
remember >= 5
↳ /etc/security/pwhistory.conf veya pam_pwhistory satiri
Eski parolanin yeniden kullanimini engelleyerek rotasyonu anlamli kilar.
PASS_MIN_DAYS 1; PASS_WARN_AGE 7. Zorunlu periyodik degisim (PASS_MAX_DAYS) NIST 800-63B de onerilmez - sizinti/suphe halinde degisim tercih; regulasyon gerektiriyorsa kurum politikasina gore. login.defs yalniz yeni hesaplari etkiler; mevcutlar chage ile taranir.
↳ /etc/login.defs + chage
Suresiz gecerli parolalar ele gecirildikten sonra kalici erisim saglar; makul yaslandirma + sizinti kontrolu dengelidir.
PermitRootLogin no
↳ /etc/ssh/sshd_config
Dogrudan root girisi denetim izini kaybettirir ve kaba kuvvet hedefidir; sudo uzerinden yukselme tercih edilir.
PasswordAuthentication no VE KbdInteractiveAuthentication no (eski ad: ChallengeResponseAuthentication). Yalniz PasswordAuthentication no yeterli DEGILDIR: UsePAM yes ile birlikte keyboard-interactive uzerinden PAM parola dogrulamasi calismaya devam eder. Etkin sonuc sshd -T ile dogrulanir (Match bloklari dahil).
↳ /etc/ssh/sshd_config
Anahtar tabanli kimlik dogrulama parola puskurtme ve kaba kuvveti etkisiz birakir.
Once dagitimin guncel crypto-policy / OpenSSH varsayilanlari. Manuel gerekiyorsa yalniz acikca zayif algoritmalar - modifier ile cikarilir (AES-CTR guvenli kabul edilir; AEAD de ayri MAC yok). sshd -T ile etkin sonuc dogrulanir.
↳ /etc/ssh/sshd_config Ciphers/MACs/KexAlgorithms
Zayif sifreleme paketleri trafigin cozulmesine veya MITM saldirisina acik birakir.
MaxAuthTries 4; LoginGraceTime 60
↳ /etc/ssh/sshd_config
Dusuk deneme ve sure limiti kaba kuvvet penceresini daraltir.
ClientAliveInterval 15; ClientAliveCountMax 3 (CIS) veya 1 (DISA STIG). DIKKAT: OpenSSH 8.2+ surumlerinde ClientAliveCountMax 0 baglanti sonlandirmayi TAMAMEN DEVRE DISI birakir; eski rehberlerdeki 0 degeri artik zararlidir. Bu ayarlar yalniz YANITSIZ baglantiyi kapatir; gercek interaktif idle timeout icin ayrica shell TMOUT veya PAM tabanli oturum kisiti gerekir.
↳ /etc/ssh/sshd_config
OpenSSH 8.2 surum notu: ClientAliveCountMax=0 artik baglanti oldurmeyi tamamen devre disi birakir. Red Hat bu nedenle ilgili kurallari RHEL 9 STIG profillerinden gecici olarak kaldirdi. 0 degeri, sagladigini iddia ettigi korumayi sessizce kapatir.
AllowGroups sshusers (yalniz yetkili grup)
↳ /etc/ssh/sshd_config
Erisim allowlisti SSH yuzeyini yalniz gereken kullanicilara indirir.
PermitEmptyPasswords no; PermitUserEnvironment no; X11Forwarding no
↳ /etc/ssh/sshd_config
Bu secenekler kimlik bilgisi sizdirma ve yanal hareket icin kotuye kullanilabilir.
OpenSSH 9.8+ PerSourcePenalties acik ve kapatilmamis (dogrulanir); veya fail2ban. NAT arkasi toplu engelleme riski degerlendirilir.
↳ /etc/fail2ban/jail.local veya sshd_config PerSourcePenalties
IP bazli ceza/yasak, SSH ve servislere yonelik online kaba kuvveti pratikte durdurur.
AllowTcpForwarding no; AllowAgentForwarding no; GatewayPorts no (gereksizse)
↳ /etc/ssh/sshd_config
SSH port/agent yonlendirme yanal hareket, tunelleme ve agent kimlik bilgisi calmayi kolaylastirir; gereksiz oldugunda kapatilmali.
sshd_config 600 root:root; host private keyler 600 root:root; kullanici ~/.ssh 700, authorized_keys 600 (kullanici sahipli); ozel anahtarlar 600
↳ /etc/ssh/sshd_config, /etc/ssh/ssh_host_*_key, ~/.ssh/authorized_keys izin denetimi
Genis izinli anahtar/yapilandirma dosyalari kimlik bilgisi hirsizligi ve kalici yetkisiz erisime yol acar.
Ayricalikli/bastion SSH erisiminde ikinci faktor: FIDO2 destekli anahtar turleri (ed25519-sk / ecdsa-sk) veya sertifika tabanli erisim. SSH anahtarlari icin yasam dongusu tanimli: sahiplik envanteri, parola korumali ozel anahtar, sureli SSH sertifikalari (kisa omurlu, CA imzali) ve ayrilan personelde iptal sureci.
↳ sshd_config PubkeyAcceptedAlgorithms / TrustedUserCAKeys + FIDO2 anahtar dagitimi + anahtar envanteri
Salt anahtar tabanli erisim, calinan veya sahipsiz kalan bir ozel anahtarla suresiz erisim demektir. FIDO2 donanim baglantisi anahtarin kopyalanmasini engeller; kisa omurlu SSH sertifikasi ise authorized_keys birikimini ve iptal sorununu ortadan kaldirir.
Defaults use_pty; Defaults logfile=/var/log/sudo.log
↳ /etc/sudoers
Tum ayricalikli komutlarin denetlenebilmesi icin sudo loglanmali; use_pty oturum kacirmayi zorlastirir.
Yeniden kimlik dogrulama zorunlu (NOPASSWD yok)
↳ /etc/sudoers, /etc/sudoers.d/
Parolasiz sudo, ele gecirilen bir oturumdan aninda root yetkisi verir.
Adminler adli hesap + sudo; paylasilan root yok
↳ Operasyonel + /etc/sudoers
SANS CIS Control 5/6 ayricalikli gorevler icin adanmis hesap ve en az ayricaligi ister.
Gereksiz SUID/SGID bitleri kaldirilmis
↳ Her yerel mount icin: find <mount> -xdev \( -perm -4000 -o -perm -2000 \) -type f. Sonuc onayli envanterle karsilastirilir.
Gereksiz SUID ikili dosyalari yerel yetki yukseltme yoludur.
Defaults env_reset; Defaults secure_path=guvenilir dizinler; Defaults timestamp_timeout <= 15; Defaults !visiblepw; wildcard/shell kacisi iceren kurallar taranmis
↳ /etc/sudoers, /etc/sudoers.d/ (visudo ile)
Zayif sudo varsayilanlari (kirli PATH, uzun timestamp, wildcard komut) yetki yukseltme ve kimlik bilgisi sizmasina yol acar.
setcap ile atanmis dosya yetenekleri envanterlenmis ve onaylanmis; ozellikle cap_setuid, cap_sys_admin, cap_dac_override, cap_sys_ptrace gibi yetenekler gerekcesiz binary lerde yok.
↳ Her yerel mount icin: getcap -r <mount> 2>/dev/null; sonuc onayli envanterle karsilastirilir
Dosya yetenekleri SUID biti OLMADAN da yetki yukseltme saglar (or. cap_setuid+ep). SUID/SGID temizligi (LNX-PRIV-04) yapilmis bir sistemde bile bu yol acik kalabilir; ikisi birlikte denetlenmelidir.
nodev,nosuid,noexec
↳ /etc/fstab (/tmp)
Yazilabilir /tmp uzerinden calistirmayi engellemek yaygin exploit ve dropper davranisini kirar.
nodev,nosuid,noexec
↳ /etc/fstab (/dev/shm)
Bellek tabanli dosya sisteminden calistirma fileless saldirilar icin kullanilir.
Ayri bolumlere tasinmis
↳ /etc/fstab
Bolme, log doldurma ve disk tukenmesi kaynakli DoS ve butunluk sorunlarini izole eder.
cramfs, freevxfs, udf, usb-storage modulleri yuklenmiyor
↳ /etc/modprobe.d/*.conf (install ... /bin/true)
Gereksiz cekirdek modulleri saldiri yuzeyini ve surucu acigi riskini artirir.
Sahipsiz/dunyaca yazilabilir normal dosya yok; dunyaca yazilabilir dizinlerde sticky bit; tum yerel mountlar taranmis
↳ Dosyalar: find <mount> -xdev -type f -perm -0002. Dizinler: find <mount> -xdev -type d -perm -0002 ! -perm -1000 (sticky bit eksik). Her yerel mount icin ayri calistirilir.
Dunyaca yazilabilir dosyalar saldirgana kalicilik ve manipulasyon imkani verir.
umask 027
↳ /etc/login.defs (UMASK), /etc/profile.d
Siki umask yeni dosyalarin asiri genis izinlerle olusmasini engeller.
net.ipv4.ip_forward=0; net.ipv6.conf.all.forwarding=0
↳ /etc/sysctl.d/
Gereksiz IP forwarding sunucuyu yanal hareket icin pivot haline getirir.
all ve default icin IPv4/IPv6: accept_redirects=0, accept_source_route=0, secure_redirects=0; IPv4 send_redirects=0
↳ /etc/sysctl.d/
Bu secenekler trafik yonlendirme ve MITM saldirilarina acik birakir.
net.ipv4.tcp_syncookies=1; rp_filter=1 (strict). Asimetrik routing / multihoming / VPN / container ortamlarinda rp_filter=2 (loose). all ve default kapsami dogrulanir.
↳ /etc/sysctl.d/
Sahte kaynak adresi ve SYN flood saldirilarina karsi temel koruma.
kernel.randomize_va_space=2; kernel.kptr_restrict=2; kernel.dmesg_restrict=1
↳ /etc/sysctl.d/
ASLR ve cekirdek adres/log gizleme, yerel exploit ve yetki yukseltmeyi zorlastirir.
nftables/firewalld/ufw etkin; gelen trafik varsayilan reddet
↳ firewalld / nftables / ufw
SANS CIS Control 4/13 her sistemde host tabanli firewall ve ag izlemeyi ister; gereksiz portlari kapatir.
fs.suid_dumpable=0; hard core 0; ayrica systemd-coredump: Storage=none, ProcessSizeMax=0
↳ /etc/sysctl.d/ + /etc/security/limits.conf + /etc/systemd/coredump.conf.d/*.conf
Core dumplar bellekteki kimlik bilgisi ve hassas veriyi diske sizdirabilir.
nftables/firewalld ile cikis kisitli; yalniz gerekli hedef ve DNS
↳ nftables output chain / firewalld
Ele gecirilen host un C2 ve veri sizdirma kanalini daraltir; varsayilan acik cikis pivot saglar.
kernel.yama.ptrace_scope = 1 (veya daha kisitli)
↳ /etc/sysctl.d/*.conf > kernel.yama.ptrace_scope
Kisitsiz ptrace, bir surecin baska surecin belleginden kimlik bilgisi/anahtar okumasina izin verir; scope=1 bunu ebeveyn-cocuk ile sinirlar.
kernel.unprivileged_bpf_disabled=1; kernel.kexec_load_disabled=1; ayricaliksiz user namespace kisitli: Debian/Ubuntu kernel.unprivileged_userns_clone=0, RHEL user.max_user_namespaces=0. NOT: userns kapatmak rootless container (podman) ve bazi tarayici sandboxlarini bozabilir.
↳ /etc/sysctl.d/*.conf
Ayricaliksiz BPF ve user namespace, yerel cekirdek yetki yukseltme ve container kacisi zafiyetlerinin sik on kosuludur; kexec kilitli olmayan cekirdek yuklemeyi engeller.
fs.protected_symlinks=1; fs.protected_hardlinks=1; fs.protected_fifos=2; fs.protected_regular=2
↳ /etc/sysctl.d/*.conf
Dunyaca yazilabilir dizinlerde symlink/hardlink yaris kosullari (TOCTOU) yerel yetki yukseltmeye yol acar; bu korumalar sinifsal saldiriyi keser.
Yalniz sabit gorevli/appliance sistemlerde, tum moduller onceden yuklenip test edildikten sonra kernel.modules_disabled=1. Genel sunucu baseline inde zorunlu degil (calisma zamaninda geri alinamaz; hotplug/storage/ag/EDR ajani bozabilir).
↳ /etc/modprobe.d/*.conf + /etc/sysctl.d/*.conf
Kotu amacli cekirdek modulu (rootkit) yukleme kalici ve gizli ele gecirme saglar; yukleme kilidi bu yuzeyi kapatir.
net.ipv4.icmp_echo_ignore_broadcasts=1; net.ipv4.icmp_ignore_bogus_error_responses=1; net.ipv4.conf.all/default.log_martians=1; IPv6 kullanilmiyorsa accept_ra=0 ve autoconf=0
↳ /etc/sysctl.d/*.conf
Broadcast ICMP (Smurf), sahte ICMP hatalari ve istenmeyen IPv6 RA (mitm6) yuzeyini kapatir.
kernel.core_pattern bir programa BORU ile yonlendirilmiyor (| ile baslamiyor); sabit bir dosya yoluna yaziliyor veya core dump tamamen kapali. LNX-NET-06 (suid_dumpable/limits/systemd-coredump) ile birlikte uygulanir.
↳ /etc/sysctl.d/*.conf > kernel.core_pattern
core_pattern in |/program bicimi, cekirdegin core dump u ayricalikli baglamda bir programa aktarmasina yol acar; bu, konteyner kacisi ve yerel yetki yukseltme tekniklerinde tekrar tekrar kullanilmis bir yuzeydir (or. apport kaynakli zafiyetler).
telnet, rsh, ftp, tftp, avahi, cups (gereksizse) devre disi
↳ systemctl disable --now ...
Her acik servis bir saldiri yuzeyidir; eski clear-text servisler ozellikle risklidir.
dnf-automatic veya unattended-upgrades etkin; tanimli SLA
↳ /etc/dnf/automatic.conf, /etc/apt/apt.conf.d/
SANS CIS Control 7 surekli zafiyet yonetimini ister; yamasiz servis internetten dakikalar icinde somurulur.
DNF: gpgcheck=1 (mumkunse repo_gpgcheck=1) + guvenilir GPG anahtarlari. APT: imzali InRelease/Release, repo basina Signed-By; apt-key kullanilmaz.
↳ /etc/dnf/dnf.conf + repo dosyalari (RHEL) / /etc/apt/sources.list.d + Signed-By (Debian)
Imza dogrulama tedarik zinciri ve sahte paket saldirilarini engeller.
chrony veya ntp etkin ve dogru kaynaga bagli
↳ chronyd / systemd-timesyncd
Dogru saat, log korelasyonu ve adli analiz icin sarttir.
cron.allow / at.allow allowlist tanimli; cron.deny tek basina birakilmaz
↳ /etc/cron.allow, /etc/at.allow
Zamanlanmis gorev olusturma yuzeyini yalniz yetkili kullanicilara indirir (kalicilik azaltma).
/etc/issue.net ayarlanmis; sshd Banner /etc/issue.net
↳ /etc/issue.net + /etc/ssh/sshd_config
Yetkisiz erisime karsi yasal dayanak saglar.
Sunucularda Wi-Fi, Bluetooth ve kullanilmayan ag arayuzleri devre disi
↳ nmcli radio all off / rfkill + servis devre disi
Kullanilmayan radyo/arayuzler ek saldiri yuzeyi ve gizli yan-kanal erisim yolu olusturur.
USBGuard veya modprobe blacklist ile yetkisiz USB kitle depolama engelli
↳ USBGuard politikasi veya /etc/modprobe.d > usb-storage
Kontrolsuz USB, veri sizdirma (exfil) ve kotu amacli aygit/veri girisine (BadUSB, autorun) kapi acar.
Kritik/ozel servislerde NoNewPrivileges=yes, ProtectSystem=strict, ProtectHome=yes, PrivateTmp=yes, ProtectKernelModules=yes, ProtectKernelLogs=yes, RestrictSUIDSGID=yes
↳ systemd unit [Service] bolumu veya systemctl edit drop-in; systemd-analyze security ile denetim
Servis sandboxlama, ele gecirilen bir servisin cekirdek/dosya sistemi/ayricalik yuzeyindeki etki alanini sinirlar.
NFS export larinda no_root_squash YOK (root_squash varsayilan korunur); export lar IP/subnet ile sinirli, dunyaya acik (*) export yok; mumkunse NFSv4 + Kerberos (sec=krb5p). Samba da: SMBv1 kapali, server signing = mandatory, guest erisim kapali.
↳ /etc/exports (+ exportfs -v) ve /etc/samba/smb.conf
no_root_squash, istemcideki root un sunucuda root olarak dosya yazmasina izin verir ve tek basina tam ele gecirmeye yol acar. Dunyaya acik export lar ve imzasiz SMB ise kimlik dogrulama relay ve veri sizintisinin klasik kaynagidir.
Mumkunse chrony ile NTS (Network Time Security) veya simetrik anahtarli NTP; kaynaklar kurum tarafindan onaylanmis; buyuk saat kaymasi izleniyor ve alarm uretiyor.
↳ /etc/chrony.conf (server ... nts) + chronyc authdata
Kimlik dogrulamasiz NTP sahtelenebilir; saati geriye almak sertifika/Kerberos gecerlilik kontrollerini, bilet omurlerini ve log zaman damgalarinin adli degerini bozar. LNX-SVC-04 yalnizca servisin calistigini gosterir, trafigin guvenilirligini degil.
Dagitim surumu destek altinda (EOL degil); yuklenmis fakat aktif olmayan kernel/kutuphane guncellemeleri icin bekleyen reboot tespit ediliyor ve SLA icinde kapatiliyor; reboot penceresi dar olan sistemlerde canli yama (kpatch / Ubuntu Livepatch) degerlendirilmis.
↳ Surum/EOL envanteri + needs-restarting -r (RHEL) veya /var/run/reboot-required (Debian) + kpatch/livepatch durumu
Yama kurulmus olmasi calisiyor olmasi demek degildir: kernel guncellemesi reboot edilene kadar etkisizdir ve uyum raporu yaniltici sekilde yesil gorunur. EOL bir dagitim ise guvenlik guncellemesi hic gelmez ve bu baseline daki yamaya bagli tum kontroller sessizce gecersizlesir.
auditd enabled; kurallar: kimlik, oturum, sudoers, time-change, MAC politikasi
↳ /etc/audit/rules.d/
SANS CIS Control 8 denetim logu yonetimini ister; auditd, host uzerinde kritik degisiklik telemetrisi saglar.
Uzaktaki SIEM e iletim: rsyslog (TLS) veya systemd-journal-upload/remote. TLS + disk-assisted queue + sunucu sertifika dogrulamasi + iletim kaybi alarmi.
↳ /etc/rsyslog.d/ veya /etc/systemd/journal-upload.conf
Yerel loglar saldirganca silinebilir; merkezi iletim adli kaniti korur.
login/logout, su, sudo, basarisiz kimlik dogrulama olaylari denetleniyor (dagitim bagimsiz: journald/rsyslog/auditd uzerinden)
↳ journalctl / ausearch / /var/log/secure (RHEL) / /var/log/auth.log (Debian)
Kimlik dogrulama ve yetki olaylari saldirgan davranisinin birincil sinyalidir.
Kural seti immutable (-e 2; degisiklik icin reboot gerekir). NOT: -e 2 log DOSYALARINI degistirilemez yapmaz, yalniz kural setini kilitler; log butunlugu icin ayrica merkezi iletim (LNX-LOG-02) ve dosya izinleri gerekir. Saklama auditd tarafindan yonetilir, logrotate ile DONDURULMEZ.
↳ /etc/audit/auditd.conf (max_log_file, num_logs, max_log_file_action, space_left_action, admin_space_left_action) + /etc/audit/rules.d/ (-e 2)
Degistirilemez ve yeterli sureyle saklanan loglar, olay sonrasi inceleme icin gereklidir.
auditd execve kurallari etkin, ANCAK filtrelenmis: gurultuyu ve maliyeti dusurmek icin -F auid>=1000 -F auid!=unset gibi filtreler kullanilir. UYARI: komut argumanlari loglandigi icin parola/token gibi sirlar loga dusebilir; log erisimi kisitlanmali ve SIEM tarafinda maskeleme dusunulmelidir. Yuksek islem hacimli sistemlerde performans etkisi olculmelidir.
↳ /etc/audit/rules.d/ (-a always,exit -F arch=b64 -S execve)
Windows 4688 esdegeri; saldirgan komut zincirini ve LOLBin kullanimini gorunur kilar.
Kalicilik yollari syscall formunda izleniyor: -a always,exit -F arch=b64 -F path=<tam-yol> -F perm=wa -F key=persistence. NOT: auditctl(8) e gore -w watch sozdizimi performans nedeniyle DEPRECATED tir (-p ve watch ile kullanilan -k de oyle); mevcut -w kurallari syscall formuna cevrilmelidir. Izlenecek yollar: /etc/ld.so.preload, /etc/systemd/system, /etc/crontab, /etc/cron.d, /etc/cron.daily, /etc/rc.local. authorized_keys icin -F dir= veya FIM/EDR kullanilir.
↳ /etc/audit/rules.d/*.rules (syscall formu; arch=b32 ve b64 ayri satir) + auditctl -l ile etkin kural dogrulamasi
Saldirganin en sik kullandigi kalicilik yollari (preload, SSH anahtari, systemd unit, cron) yalniz izlenirse gorunur olur.
Cekirdek boot parametresi audit=1; audit_backlog_limit >= 8192; auditd failure mode tanimli; lost=0 izleniyor
↳ GRUB (audit=1 audit_backlog_limit=8192) + /etc/audit/rules.d/ (-b, -f)
Boot oncesi olaylarin kaydi ve yeterli backlog, erken/yogun olaylarin ve saldiri izlerinin kaybini onler.
Merkezi iletim hattinin sagligi izleniyor: kuyruk dolulugu ve iletim hatasi (rsyslog impstats / journal-upload durumu) alarm uretiyor; SIEM tarafinda beklenen hosttan log GELMEMESI (log kesilmesi) ayrica alarmlaniyor; auditd lost sayaci izleniyor.
↳ rsyslog impstats / systemd-journal-upload durumu + SIEM tarafinda kaynak-bazli log kesintisi alarmi
Sessizce duran bir log hatti, saldirganin en cok istedigi durumdur ve hicbir hata mesaji uretmeden aylarca surebilir. Iletimi kurmak (LNX-LOG-02) tek basina yetmez; iletimin devam ettigini olcen bir kontrol gerekir.
SELinux=enforcing (veya AppArmor enforce)
↳ SELinux: /etc/selinux/config + getenforce. AppArmor: /etc/apparmor.d + aa-status. Profillerin enforce durumu olculur.
MAC, bir servis ele gecirildiginde saldirganin etki alanini ciddi sekilde sinirlar.
AIDE kurulu; zamanlanmis check (cron/systemd timer)
↳ aide.conf + cron
SANS CIS Control 3/8 butunluk izlemeyi destekler; yetkisiz binary/konfig degisikligini yakalar.
Linux EDR veya en az imza tabanli tarama (ClamAV) + davranissal izleme
↳ EDR ajani / clamav
SANS CIS Control 10 zararli yazilim savunmasini ister; Linux sunucular da fidye ve madenci hedefidir.
GRUB parolasi ayarlanmis
↳ /boot/grub2/user.cfg veya grub.cfg
Fiziksel/konsol erisiminde tek kullaniciya dusurup root kabuk almayi engeller.
Enforcing/enforce modda olmak yetmez: unconfined veya profilsiz calisan kritik surecler envanterlenmis ve gerekcelendirilmis; SELinux da izin verici (permissive) domain listesi bos veya onayli; AppArmor da complain modda profil birakilmamis.
↳ SELinux: semodule -l, semanage permissive -l, ps -eZ | grep unconfined. AppArmor: aa-status (complain/unconfined bolumleri)
Bir surec unconfined domainde calisiyorsa MAC katmani o surec icin fiilen yoktur. Yalnizca moda bakan bir kontrol, politikanin kapsamsiz oldugu sistemleri uyumlu gosterir; bu, MAC in verdigi guvence hissinin en yaygin yanlis kaynagidir.
RHEL ailesi: crypto-policies DEFAULT temel; FUTURE yalniz uyumluluk testinden sonra (FUTURE 2048-bit RSA ve eski entegrasyonlari bozabilir). Debian/Ubuntu: merkezi arac yok - OpenSSH/OpenSSL/GnuTLS zayif algoritmalari servis bazinda kapatilir.
↳ update-crypto-policies --show / --set (RHEL) veya servis bazli yapilandirma (Debian/Ubuntu)
Zayif sifreleme paketleri merkezi olarak kapatilarak dinleme ve downgrade yuzeyi azalir.
UEFI Secure Boot acik; kernel lockdown = integrity (veya confidentiality)
↳ mokutil --sb-state + kernel parametresi lockdown
Imzasiz cekirdek modulu ve rootkit yuklemeyi engeller; fiziksel/onyukleme kalicilik yuzeyini kapatir.
Hassas veri barindiran diskler/bolumler LUKS ile sifreli; anahtar yonetimi tanimli
↳ LUKS/dm-crypt + anahtar/parola yonetimi
Sifresiz disk, fiziksel hirsizlik veya elden cikarma sonrasi veriyi acikta birakir; LUKS gizliligi korur.
Tek-kullanici ve emergency/rescue mod root parolasi ister (sulogin); GRUB duzenleme parola korumali
↳ /usr/lib/systemd/system/rescue.service + emergency.service + GRUB
Kimlik dogrulamasiz rescue mod, fiziksel/konsol erisimi olan birine aninda root verir.
rkhunter veya chkrootkit kurulu ve zamanlanmis; AIDE ile birlikte periyodik calisir
↳ rkhunter --check (cron/systemd timer)
Rootkit taramasi, gizlenen kalici zararli ve degistirilmis sistem ikililerini erken ortaya cikarir (AIDE butunlugunu tamamlar).
Sabit gorevli ve yuksek riskli sunucularda fapolicyd (RHEL) veya IMA/fs-verity ile yalnizca onaylanmis binary/betiklerin calismasina izin veriliyor; once permissive/audit modda dogrulanmis, sonra enforce.
↳ fapolicyd.conf + kural setleri veya IMA policy / fs-verity
Butunluk izleme (AIDE) degisikligi SONRADAN raporlar; izin listesi ise onaylanmamis kodun calismasini bastan engeller. Bu, LOLBin ve dusurulen (dropped) ikili calistirma zincirini kiran tek onleyici katmandir.
Kritik veri/konfig duzenli yedekli; en az bir offline VEYA immutable kopya; yedek deposu uretim kimliginden AYRI kimlik bilgileriyle korunuyor (yedek, ele gecirilen sunucu hesabiyla silinemiyor); yedekler sifreli; temiz bir ortamda periyodik ve belgelenmis restore testi yapiliyor; RPO/RTO tanimli.
↳ Yedek cozumu + zamanlama + periyodik restore testi (calistirma kitabi)
Fidye, silme veya bozulma sonrasi guvenilir kurtarma yalniz test edilmis ve erisilemez (immutable/offline) kopya ile mumkundur.
Linux Server Security Baseline is a hardening baseline that groups 78 granular security controls into 9 sections. Each control includes its recommended value, the setting path to apply it, and an official public source.
Controls are mapped to: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Each control card shows the relevant framework control IDs as badges.
Click "Enable comparison mode", mark each control as Present / Partial / Absent, and instantly get your % coverage score, your missing-control list and a CSV export. Marks are stored only in your browser.
A total of 78 controls: 0 critical, 15 high, 46 medium, 17 low severity.