Sentinel güvenlik raporu nasıl okunur: puan, önem derecesi ve öncelik sırası

Sentinel, cPanel/WHM sunucularını SSH üzerinden denetleyen ve sonucu tek bir puan, önem derecesine göre sıralanmış bir bulgu listesi ve Türkçe PDF rapor olarak veren bir hizmettir. Bu yazı ürünü yeni kullanmaya başlayanlar ve raporu müşterisine ya da yöneticisine anlatması gerekenler için: hesabın nasıl açıldığı, ilk sunucunun nasıl eklendiği, puanın nasıl hesaplandığı ve bulgulara hangi sırayla bakmanız gerektiği.

Başlangıç: siparişten ilk denetime

Hesap açma ve sunucu ekleme birkaç dakika sürer. Adımlar şöyle:

• Sipariş: teknoweb.net üzerinden Essential veya Professional paketini sunucu sayısı kadar satın alırsınız. Ödeme PayTR ile alınır, fatura e-Arşiv olarak düzenlenir.
• Hesap: ödeme tamamlanınca Sentinel hesabınız otomatik açılır. Sipariş e-posta adresinize “Sentinel hesabınız hazır: parolanızı belirleyin” konulu bir e-posta gelir. Bağlantı tek kullanımlıktır ve 72 saat geçerlidir; süresi dolarsa giriş sayfasındaki parola sıfırlama bağlantısını kullanırsınız.
• Güvenlik: parolanızı belirledikten sonra iki adımlı doğrulamayı (TOTP) açmanızı öneririz. Ekip arkadaşlarınızı sahip, yönetici veya izleyici rolüyle davet edebilirsiniz; izleyici raporları görür ama sunucu ekleyemez, düzeltme başlatamaz.
• Sunucu: sunucu adresini ve SSH portunu girersiniz. Ardından erişim bilgisini verirsiniz: root ya da sudo yetkili bir kullanıcı, parola veya özel anahtarla.
• Parmak izi: Sentinel bağlanmadan önce sunucunun SSH host anahtarını okur ve parmak izini gösterir. Siz bunu sunucunuzdaki değerle karşılaştırıp onaylarsınız.
• İlk denetim: “İlk denetimi başlat” düğmesiyle denetim sıraya alınır. İlk denetim yalnızca okur; sunucuda hiçbir şey değiştirmez.

Parmak izini sunucunuzda şu komutla görebilirsiniz:

Parmak izi onayı küçük bir adım gibi görünür ama önemlidir. Sentinel sonraki her bağlantıda aynı anahtarı bekler. Anahtar değişirse kimlik bilgisini göndermeden bağlantıyı keser ve sizi uyarır. Sunucuyu yeniden kurduysanız parmak izini yeniden onaylarsınız; kurmadıysanız araya biri girmiş olabilir. Sunucuya ajan kurulmaz; Sentinel SSH ile bağlanır, kontrolleri çalıştırır ve çıkar.

Erişim bilgileri AES-256-GCM ile, uygulama anahtarından ayrı bir anahtarla ve şirket hesabınıza bağlı olarak şifrelenir. PDF raporlara, e-postalara ve API yanıtlarına girmez. Altyapı Hetzner'in Almanya'daki Falkenstein veri merkezindedir.

Panelde ne görürsünüz?

Gösterge panelinde her sunucunun son puanı ve tüm sunucularınızın ortalaması olan filo puanı yer alır. Bir sunucuya tıkladığınızda üç bölüm görürsünüz: puan ve açık bulgu özeti, bir önceki denetime göre değişenler ve bulgu listesi. Bulgu listesini önem derecesine göre süzebilirsiniz; her bulgunun altında kontrol adı, modül, mesaj ve gerekiyorsa ayrıntı bulunur.

Tamamlanan her denetimin PDF raporu Raporlar sayfasındadır. PDF A4 boyutunda ve Türkçedir: puan ve bandı, önem dağılımı ve açık bulgular. Raporu müşterinizle paylaşabilirsiniz; sunucu erişim bilgileri rapora girmez. Denetim bittiğinde ayrıca bir e-posta gelir: konu satırında puan yer alır, kritik bulgular en üstte listelenir ve bir önceki denetimde olmayanlar (yeni) diye işaretlenir.

Önem ve durum: iki ayrı soru

Her bulgunun iki etiketi vardır ve ikisi farklı soruları yanıtlar. Önem, sorun istismar edilirse ne kadar kötü olacağını söyler. Durum ise kontrolün sonucunu söyler.

Gerçek bulgulardan birkaç örnek: “cPHulkd servisi kapalı — WHM brute-force'a açık” Yüksek / Açık; “PasswordAuthentication = yes (önerilen: no)” Yüksek / Uyarı; “ServerSignature açık — banner yayınlanıyor” Orta / Uyarı; “12 sertifika SÜRESİ DOLMUŞ” Kritik.

Puan nasıl hesaplanır?

Her sunucu 100 puanla başlar. Son tamamlanan denetimdeki her bulgu için önem derecesine göre puan düşülür. Durumu Açık olan bulgu tam ağırlıkla, Uyarı olan bulgu yarım ağırlıkla (aşağı yuvarlanarak) sayılır. Sorun yok, Atlandı ve Kontrol edilemedi durumları puanı etkilemez. Puan sıfırın altına inmez.

Puan bandı: 85 ve üzeri İyi, 60 ile 84 arası Orta, 60'ın altı Zayıf. Filo puanı, denetlenmiş sunucuların puanlarının ortalamasıdır; henüz denetlenmemiş sunucu ortalamaya girmez.

Örnek hesap

Bir sunucunun ilk denetiminde şu bulgular çıkmış olsun:

Toplam düşüş 30 + 15 + 7 + 3 + 3 + 1 = 59, puan 100 - 59 = 41: Zayıf. Sertifikalar yenilenip cPHulk açıldığında 45 puanlık düşüş ortadan kalkar ve puan 86'ya çıkar: İyi. Bu örnek puanın neden en çok iki bulguya duyarlı olduğunu da gösterir: tek bir kritik açık bulgu, dört orta uyarının toplamından fazla puan götürür.

Hangi sırayla ele almalı?

Önerdiğimiz sıra, puanın ağırlıklarıyla da uyumludur:

• Kritik ve Açık: aynı gün bakın. Süresi dolmuş sertifika ziyaretçiyi doğrudan etkiler; yamasız çekirdek veya PHP açığı sunucunun tamamını riske atar.
• Yüksek ve Açık: aynı hafta. cPHulk, güvenlik duvarı, dışa açık veritabanı servisleri, bekleyen güvenlik güncellemeleri bu gruptadır.
• Kritik veya Yüksek Uyarı: kısmi koruma vardır ama asıl çözüm eksiktir; örneğin geçici önlemi alınmış ama paketi güncellenmemiş bir PHP sürümü.
• Orta: bakım penceresinde toplu olarak. Bilgi sızdıran başlıklar, PHP ayarları, Apache sertleştirmesi.
• Düşük: siteleri bozma ihtimali olan sertleştirmeler; müşteriyle konuşarak.
• Yeni çıkanlar: önem derecesi ne olursa olsun bir önceki denetimde olmayan bulgu bir değişikliğin işaretidir; nedenini öğrenin.

Önceki denetimle karşılaştırma

Professional paketinde, en az iki tamamlanmış denetim olduğunda sunucu sayfasında bir önceki denetime göre fark görünür: yeni çıkan bulgular, giderilen bulgular ve hâlâ açık olanlar. Puan aynı kalsa bile bu liste değişmiş olabilir; bir bulgu giderilip başka bir yerde yenisi çıkmışsa toplam aynı görünür. Ayın başındaki denetimde yeni çıkan bir SSH veya güvenlik duvarı bulgusu, genellikle birinin elle yaptığı bir değişikliği gösterir.

Önce göster, sonra Düzelt

Düzeltilebilir bulgular için sunucu sayfasının altında Onayla ve düzelt bölümü vardır. Düzeltme modül modül yapılır ve her seferinde sizin onayınızı ister:

• Önce göster: modülün uygulayacağı komutları sunucuda hiçbir şey değiştirmeden listeler. Bu bir kuru çalıştırmadır.
• Düzelt: iki adımlıdır, onay satırı sayfada çıkar. Onayladığınızda Sentinel değiştireceği her yapılandırma dosyasının dosya.harden-bak-zaman damgası adıyla yedeğini alır ve SHA-256 değerini kaydeder.
• Uygulama: komutlar çalışır, değişiklik sonrası SHA-256 değeri yeniden alınır; sonuçta hangi dosyanın değiştiği görünür.
• Yeniden ölçüm: aynı modül tekrar denetlenir, bulgunun gerçekten kapanıp kapanmadığı gösterilir.

Bazı işler bilerek otomatik yapılmaz. Sunucunun yeniden başlatılması hiçbir zaman otomatik değildir. PHP'de allow_url_fopen ve disable_functions gibi siteleri bozabilecek kısıtlamalar yalnızca öneri olarak raporlanır. Güvenlik duvarı olmayan bir sunucuda firewalld etkinleştirilirken Sentinel önce 300 saniyelik bir geri alma zamanlayıcısı kurar; değişiklikten sonra SSH, WHM 2087 ve HTTP 80/443 yanıt vermezse güvenlik duvarı eski hâline döner.

Sunucuyu tamamen yalnızca bilgilendirme modunda da tutabilirsiniz. Sunucu ayarlarında Düzeltme modu olarak Bilgilendir seçiliyse Sentinel yalnızca denetler ve raporlar; panelden düzeltme başlatılamaz. Onayla modunda bile belirli modülleri düzeltme dışı bırakabilirsiniz. Onaysız tam otomatik düzeltme yoktur.

Denetim takvimi

• Tüm paketlerde her ayın 1'inde saat 03:00 UTC'de (Türkiye saatiyle 06:00) otomatik denetim yapılır.
• Professional paketinde buna ek olarak her pazartesi 03:00 UTC'de denetim yapılır. Ayın 1'i pazartesiye denk gelirse aylık denetim yeterli sayılır, aynı gün iki denetim çalışmaz.
• Panelden istediğiniz zaman elle denetim başlatabilirsiniz; örneğin bir düzeltmeden sonra veya sunucuda büyük bir değişiklik yaptığınızda.

Paket karşılaştırması

5 ve üzeri sunucuda yüzde 10, 10 ve üzeri sunucuda yüzde 20 indirim uygulanır. Yıllık ödemede 12 ay, 10 ay fiyatına gelir. Desteklenen ortam: cPanel/WHM; AlmaLinux, Rocky Linux ve CloudLinux; Apache ve LiteSpeed.

Raporu müşterinize nasıl anlatırsınız?

Hosting firması ya da ajans olarak raporu teknik olmayan birine sunuyorsanız tek sayfalık bir özet çoğu zaman yeterlidir: puan ve bant, kaç kritik ve yüksek açık bulgu olduğu, bunlardan hangilerinin bu ay giderildiği ve bir sonraki denetime kadar neyin planlandığı. Puanın kendisinden çok yönü önemlidir; 41'den 86'ya çıkan bir sunucu, sabit 80'de duran bir sunucudan daha iyi bir hikâye anlatır.

Atlandı ve Kontrol edilemedi satırlarını rapordan çıkarmaya çalışmayın. Atlandı, kontrolün o sunucuya uygulanmadığını söyler ve müşterinin bunu bilmesinde sakınca yoktur. Kontrol edilemedi ise sizin bakmanız gereken bir şeydir: komutun neden çalışmadığını öğrenin; bir sonraki denetimde aynı satırın Sorun yok olarak dönmesi gerekir.

Sentinel bunu nasıl yapar

Özetle: Sentinel her denetimde aynı 17 modülü çalıştırır, sonucu önem ve durumla etiketler, puanı yukarıdaki sabit tabloya göre hesaplar ve bir öncekiyle karşılaştırır. Değişiklik yalnızca sizin onayınızla, önce yedek ve hash alınarak yapılır ve hemen ardından yeniden ölçülür. Bulgulardan birini elle düzeltmek isterseniz blogdaki konu yazıları aynı kontrollerin komut satırındaki karşılıklarını anlatır.