Açık Port ve Dinleyen Servis Güvenlik Denetleyicisi

Linux sunucunuzdaki dinleyen ağ soketlerini analiz edin; internete sızan veritabanı, önbellek ve Docker portlarını belirleyip UFW güvenlik kuralları oluşturun.

Sunucunuzdaki Dinleyen Portları Nasıl Görürsünüz?

Linux VDS terminalinizde aşağıdaki komutu çalıştırıp çıkan çıktıyı alt alana yapıştırın:

sudo ss -tulpn

Örnek Senaryo Yükle:

Terminal "ss -tulpn" Çıktısı

Tüm analiz doğrudan tarayıcınızda gerçekleştirilir, hiçbir sunucu verisi dışarıya iletilmez.

Kritik Risk

2

Dışa açık tehlikeli

Dikkat / Uyarı

1

İnceleme gerekli

Güvenli Port

3

Yerel veya korumalı

Tespit Edilen Servisler (6)

80/TCP(HTTP Web Server)

guvenli

Bağlı IP: 0.0.0.0Erişim: Genel (İnternet)

Standart şifresiz web trafiği. HTTPS (443) yönlendirmesi yapılmalıdır.

Çözüm: Nginx/Apache üzerinde 'return 301 https://$host$request_uri;' kuralı uygulayın.

443/TCP(HTTPS Web Server)

guvenli

Bağlı IP: 0.0.0.0Erişim: Genel (İnternet)

Standart şifreli web trafiği. Kamu erişimine açık olması beklenir.

Çözüm: TLS 1.2 ve TLS 1.3 zorunlu tutulmalı, zayıf şifre paketleri kapatılmalıdır.

22/TCP(SSH (Secure Shell))

dikkat

Bağlı IP: 0.0.0.0Erişim: Genel (İnternet)

Varsayılan SSH portu otomatik brute-force ve botnet taramalarının 1 numaralı hedefidir.

Çözüm: Port numarasını 20000+ bir porta taşıyın, 'PermitRootLogin no' ve 'PasswordAuthentication no' uygulayın.

3306/TCP(MySQL / MariaDB)

kritik

Bağlı IP: 0.0.0.0Erişim: Genel (İnternet)

Veritabanı portunun internete (0.0.0.0) açık olması parola kaba kuvvet saldırılarına ve veri sızıntılarına zemin hazırlar.

Çözüm: /etc/mysql/my.cnf içinde 'bind-address = 127.0.0.1' tanımlayın ve sunucuyu yeniden başlatın.

6379/TCP(Redis In-Memory Cache)

kritik

Bağlı IP: 0.0.0.0Erişim: Genel (İnternet)

KRİTİK RİSK: Şifresiz Redis dış ağa açık olduğunda saldırganlar SSH key enjekte ederek sunucuyu ele geçirebilir (RCE).

Çözüm: /etc/redis/redis.conf içinde 'bind 127.0.0.1 -::1' ve 'protected-mode yes' tanımlayın.

9000/TCP(Servis: php-fpm)

guvenli

Bağlı IP: 127.0.0.1Erişim: Yerel (Localhost)

Bu servis sadece yerel makineden erişilebilir (güvenli).

Otomatik Güvenlik ve UFW Sertleştirme Betiği

Bu betik varsayılan olarak gelen tüm trafiği engeller (default-deny), yalnızca SSH ve web portlarına izin verir, açık veritabanı ve önbellek portlarını kapatır.

#!/usr/bin/env bash
# HostBilgim Guvenlik Sertlestirme ve Port Kapatma Betigi
set -euo pipefail

# 1. Temel UFW Varsayilan Reddetme Politikasi
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 2. Zorunlu Genel Servisleri Ac (SSH ve Web)
sudo ufw allow 22/tcp comment 'SSH Yonetim'
sudo ufw allow 80/tcp comment 'HTTP Web'
sudo ufw allow 443/tcp comment 'HTTPS Guvenli Web'

# 3. Tehlikeli Genel Portlari Acil Kapat
sudo ufw deny 3306 comment 'Acil guvenlik engeli'
sudo ufw deny 6379 comment 'Acil guvenlik engeli'

# 5. Guvenlik Duvarini Aktiflestir
sudo ufw --force enable
sudo ufw status verbose

2026 Sunucu Güvenliği: Neden "0.0.0.0" Dinlemesi Tehlikelidir?

Linux üzerinde bir servis (örneğin Redis, MySQL veya Elasticsearch) başlatıldığında, varsayılan olarak tüm ağ arayüzlerini (0.0.0.0 veya IPv6 için ::) dinleyecek şekilde yapılandırılmış olabilir. Bu durum, sunucunuzun kamuya açık IP adresine gelen herkesin bu servisle doğrudan iletişim kurabilmesi anlamına gelir.

En Yaygın Güvenlik Felaketleri

Otomatik botnet tarayıcıları internetteki tüm IPv4 adreslerini tarayarak şifresiz Redis sunucularına SSH anahtarı yazar, yetkilendirmesiz Elasticsearch ve MongoDB veritabanlarını silip fidye notu bırakır ve açık Docker TCP soketleri (2375) üzerinden saniyeler içinde sunucuyu ele geçirir.

Docker ve UFW Güvenlik Duvarı Çatışması

Ubuntu ve Debian sistemlerde UFW kurulduğunda kullanıcılar tüm gelen trafiğin engellendiğini varsayar. Ancak Docker, konteyner portlarını yayınlarken (-p 8080:8080 gibi) doğrudan iptableskurallarını değiştirerek UFW'yi baypas eder. Bu nedenle sunucu yöneticilerinin DOCKER-USER zincirini yapılandırması veya servisleri açıkça 127.0.0.1:8080:8080 şeklinde bağlaması zorunludur.