IRC Sunucu Güvenliği: UnrealIRCd İçin Eksiksiz Kontrol Listesi

Bir IRC ağı kurmak birkaç saat sürer; onu güvenli tutmak ise sürekli bir iştir. İnternete açık her IRC sunucusu otomatik taramalara, bot saldırılarına, spam dalgalarına ve hesap ele geçirme girişimlerine hedef olur. Bu rehberde IRC sunucu güvenliği için UnrealIRCd odaklı, madde madde bir kontrol listesi sunuyoruz. Her maddeyi kendi ağınız için işaretleyerek eksiklerinizi kolayca görebilirsiniz.

1. İşletim Sistemi Güvenliği

IRC sunucunuz, üzerinde çalıştığı işletim sistemi kadar güvenlidir.

• [ ] İşletim sistemi güncel ve otomatik güvenlik güncellemeleri açık.
• [ ] UnrealIRCd, root olmayan ayrı bir kullanıcıyla çalışıyor.
• [ ] SSH girişleri parola yerine anahtarla yapılıyor ve root girişi kapalı.
• [ ] Güvenlik duvarı yalnızca gerekli portlara izin veriyor.
• [ ] Sunucuda gereksiz servisler çalışmıyor.
• [ ] Kaba kuvvet SSH denemelerine karşı bir koruma aracı kullanılıyor.

Kurulum aşamasındaki adımlar için UnrealIRCd Linux kurulumu yazımıza bakın.

2. UnrealIRCd Sürümü

• [ ] UnrealIRCd'nin güncel kararlı sürümü kullanılıyor.
• [ ] Güvenlik duyuruları takip ediliyor.
• [ ] Kaynak kod yalnızca resmî siteden indirildi.
• [ ] Kurulu üçüncü parti modüller güncel ve güvenilir kaynaklardan geliyor.

Güncelleme süreci için sürüm yükseltme yazımızı okuyun.

3. TLS ve Şifreleme

• [ ] Geçerli bir TLS sertifikası kullanılıyor ve otomatik yenileniyor.
• [ ] İstemciler için TLS portu açık; şifresiz port kapalı veya kısıtlı.
• [ ] Sunucular arası bağlantılar TLS ile yapılıyor.
• [ ] Sunucu bağlantılarında spkifp ile doğrulama kullanılıyor.

Ayrıntılar: Let's Encrypt sertifikası, listen ve TLS portları, link bloğu.

4. Oper Hesapları

Oper hesapları ağınızın anahtarlarıdır. Ele geçirilmeleri, saldırganın bütün ağı kontrol etmesi anlamına gelir.

• [ ] Her oper'ın kendine ait bir hesabı var; ortak hesap yok.
• [ ] Parolalar mkpasswd ile özetlenmiş.
• [ ] Mümkün olan yerlerde sertifika parmak izi ile giriş zorunlu.
• [ ] Her oper'a ihtiyaç duyduğu en düşük yetki verilmiş.
• [ ] Ekipten ayrılan kişilerin hesapları hemen kaldırılıyor.
• [ ] Başarısız oper girişleri izleniyor.

Ayrıntılar: oper bloğu.

5. Gizli Bilgilerin Korunması

• [ ] Yapılandırma dosyalarının izinleri yalnızca ircd kullanıcısının okuyabileceği şekilde ayarlı.
• [ ] Cloak anahtarları, link parolaları ve RPC parolaları hiçbir herkese açık yerde paylaşılmamış.
• [ ] Yapılandırma bir sürüm kontrol sisteminde tutuluyorsa depo özel ve gizli bilgiler ayrı dosyalarda.
• [ ] Yardım isterken paylaşılan yapılandırma parçalarında gizli bilgiler temizleniyor.

6. Kullanıcı Gizliliği

• [ ] Cloaking etkin ve +x modu bağlanan herkese otomatik veriliyor.
• [ ] Güncel bir cloak modülü kullanılıyor ve anahtarlar bütün sunucularda aynı.
• [ ] Log'larda tutulan kişisel veriler için saklama süresi belirlenmiş.
• [ ] Kullanıcılara basit bir gizlilik politikası sunuluyor.

Ayrıntılar: cloaking ile IP gizleme, log ayarları.

7. Bağlantı ve Flood Korumaları

• [ ] allow bloklarında makul bir maxperip değeri kullanılıyor.
• [ ] Connthrottle etkin ve ağın normal trafiğine göre ayarlı.
• [ ] Anti-flood ayarları bilinen ve bilinmeyen kullanıcılar için ayrılmış.
• [ ] Popüler kanallarda +F flood profili kullanılıyor.
• [ ] Spamfilter kuralları güncel ve düzenli gözden geçiriliyor.

Ayrıntılar: class ve allow blokları, connthrottle, flood koruması, spamfilter.

8. Services Güvenliği

• [ ] Services portu yalnızca yerel adreste veya TLS ile dinleniyor.
• [ ] Link parolası uzun, rastgele ve başka yerde kullanılmıyor.
• [ ] ulines bloğunda yalnızca services sunucusu var.
• [ ] Services yönetici hesapları güçlü parolalarla korunuyor.
• [ ] Services veritabanı düzenli yedekleniyor.

Ayrıntılar: ulines ve services, services güvenliği.

9. Yönetim Arayüzleri

• [ ] JSON-RPC portu internete kapalı.
• [ ] Web paneli yalnızca HTTPS üzerinden ve kısıtlı erişimle sunuluyor.
• [ ] Panel kullanıcılarına ihtiyaç duydukları yetkiler verilmiş.

Ayrıntılar: JSON-RPC ve web paneli.

10. DDoS ve Ağ Düzeyindeki Saldırılar

UnrealIRCd, uygulama düzeyindeki saldırılara karşı güçlüdür; ancak sunucunuzun internet bağlantısını hacimsel trafikle dolduran DDoS saldırıları ağ düzeyinde gerçekleşir. Bunlara karşı:

• [ ] Sunucu sağlayıcınızın DDoS koruması sunup sunmadığını biliyorsunuz.
• [ ] Ağınızda birden fazla sunucu varsa bir sunucu saldırı altındayken kullanıcılar diğerlerine yönlendirilebiliyor.
• [ ] Hub sunucunun IP adresi mümkün olduğunca gizli tutuluyor.

Ağ mimarisi önerileri için hub ve leaf yapısı yazımıza bakın.

11. Yedekleme ve Kurtarma

• [ ] Yapılandırma dosyaları, TLS dosyaları ve data dizini düzenli yedekleniyor.
• [ ] Services veritabanı düzenli yedekleniyor.
• [ ] Yedekler farklı bir makinede saklanıyor.
• [ ] Yedekten geri dönüş en az bir kez denendi.

12. Olay Müdahale Planı

Bir güvenlik olayı yaşandığında ne yapacağınızı önceden bilmek, panik içinde yanlış kararlar vermenizi önler:

1. Olayı tespit eden oper ekibi hemen bilgilendirir.
2. Saldırının türü belirlenir: flood, spam, hesap ele geçirme, sunucu ihlali.
3. Geçici önlemler alınır: kanal korumaları, G-Line, connthrottle sınırlarının düşürülmesi.
4. Hesap ele geçirilmesi şüphesinde ilgili oper hesabı devre dışı bırakılır ve parolalar değiştirilir.
5. Sunucu ihlali şüphesinde etkilenen sunucu ağdan ayrılır ve incelenir.
6. Olay sonrası kısa bir değerlendirme yapılarak benzer olayların önlenmesi için ders çıkarılır.

Güvenlik Bir Süreçtir

Bu kontrol listesini bir kez doldurup kenara koymayın. Yeni oper'lar katıldığında, yeni sunucular eklendiğinde, büyük bir sürüm yükseltmesi yapıldığında veya bir saldırı yaşandığında listeyi yeniden gözden geçirin. Ekibinizde bir kişiyi güvenlik konularından sorumlu tutmak, bu sürecin aksamamasını sağlar.

Sonuç

IRC sunucu güvenliği tek bir ayardan değil, birbirini tamamlayan katmanlardan oluşur: güncel bir sistem, şifreli bağlantılar, iyi korunmuş oper hesapları, akıllı bağlantı korumaları, düzenli yedekler ve hazırlıklı bir ekip. Bu kontrol listesindeki maddeleri tek tek tamamlayarak ağınızı saldırılara karşı çok daha dayanıklı hâle getirebilirsiniz. Ağınızın genel mimarisini planlamak için son rehberimiz hub ve leaf yapısı.