VPS’iniz hacklendiyse: kurtarma adımları ve tekrarını önleme

Sunucunuzun ele geçirildiğinden şüpheleniyorsanız sakin kalın ve sırayla ilerleyin. Amaç önce zararı durdurmak, sonra güvenli bir temelden yeniden kurmaktır.

Ele geçirilme belirtileri

• Sürekli yüksek CPU/ağ kullanımı (ör. kripto madenciliği), tanımadığınız süreçler.
• Tanımadığınız kullanıcılar, SSH anahtarları ya da zamanlanmış görevler (cron).
• Sitenizde sizin eklemediğiniz içerik, yönlendirmeler ya da spam bağlantıları.
• Sunucunuzdan giden spam ya da saldırı trafiği; bu konuda bir kötüye kullanım bildirimi almak.
• Değişmiş sistem dosyaları, sebepsiz kapanan servisler, tanımadığınız açık portlar.

1. İlk müdahale: yayılmayı durdurun

1. Müşteri panelinden hesabınızın şifresini değiştirin ve açık oturumları sonlandırın.
2. Sunucudan dışarı doğru zararlı trafik varsa panelden sunucuyu kapatmayı düşünün. Böylece spam/saldırı durur.
3. Hemen destek talebi açın; durumu ve ne zaman fark ettiğinizi yazın.

2. Kanıtları ve verileri koruyun

• Sunucuyu silmeden önce snapshot alın; sonradan inceleme için kanıt olur.
• Gerekli ise /var/log günlüklerini, web sitesi dosyalarını ve veritabanı dökümünü sunucu dışına kopyalayın. Kopyaladığınız çalıştırılabilir dosyaları çalıştırmayın; ele geçirilme sonrasında dosyalara güvenilmez.

3. Ne olduğunu anlamaya çalışın

last -a | head -20                 # son girişler
sudo journalctl -u ssh --since "7 days ago" | grep -i accepted
ps aux --sort=-%cpu | head          # en çok CPU kullananlar
sudo ss -tulpn                      # dinleyen portlar
sudo crontab -l; ls /etc/cron.*     # zamanlanmış görevler
cat ~/.ssh/authorized_keys          # yetkili SSH anahtarları

Genellikle nedenler şunlardır: zayıf ya da sızmış parola, güncellenmemiş web uygulaması/eklenti, açıkta bırakılmış yönetim paneli veya veritabanı.

4. Güvenli kurtarma: temiz kurulum

Bir sunucu ele geçirildiyse onu “temizlemeye çalışmak” yerine temiz kurulum yapmak en güvenilir yoldur; rootkit gibi gizli kalıntıları göremezsiniz.

1. Panelden işletim sistemini yeniden kurun (diskteki her şey silinir).
2. Yeni sunucuyu güvenlik kontrol listesine göre baştan sıkılaştırın.
3. Verilerinizi yedekten geri yükleyin. Yedeğin ele geçirilmeden önceki bir tarihten olduğundan emin olun; web uygulamasını güncel sürüme getirin.
4. Tüm parolaları (veritabanı, uygulama yöneticisi, API anahtarları, e-posta) ve SSH anahtarlarını yenileyin.

5. Tekrarını önleyin

• SSH’ta yalnızca anahtar kullanın, Fail2ban ve güvenlik duvarını açın.
• Otomatik güvenlik güncellemelerini etkinleştirin; uygulama ve eklentileri güncel tutun.
• Yönetim panellerini ve veritabanlarını internete açmayın.
• Düzenli, sunucu dışı yedek alın ve yedeği geri yüklemeyi ara sıra deneyin.
• Günlükleri izleyin; olağandışı CPU ya da ağ kullanımında uyarı alın.

Kötüye kullanım bildirimi aldıysanız: Sorunu gidermek ve yanıt vermek, hizmetinizin kesintiye uğramaması için önemlidir (bkz. Kötüye kullanım bildirimi).

Melinhost ile başlayın

Panelden snapshot almak, sunucuyu kapatmak ve temiz kurulum yapmak dakikalar sürer. Destek ekibimiz böyle bir durumda yanınızdadır; Destek Deneyimi sayfasından iletişim kanallarımızı görebilirsiniz.