# Sunucuma yetkisiz erişim oldu mu? Kontrol listesi (Linux ve Windows)

https://kervanhosting.com/bilgi-bankasi/makale/sunucuma-yetkisiz-erisim-oldu-mu-kontrol-listesi

Sunucu beklenmedik şekilde yavaşladı, bilmediğiniz bir kullanıcı ya da süreç gördünüz, ya da bir uyarı aldınız. Panik yapmadan sırayla bakın. Önce bir şeyi bilin: internete açık her sunucuya sürekli yetkisiz giriş **denenir** (kendi sunucularımızda da yapılan denemeler günlerde yüzlerceyi bulur); asıl soru, birinin **girip girmediğidir**.

## Önce delil: hiçbir şeyi silmeyin

Şüphe varsa müdahaleden önce panelden bir [anlık görüntü](https://kervanhosting.com/bilgi-bankasi/makale/anlik-goruntu-snapshot-nedir-nasil-alir-ve-geri-yuklerim) alın ve günlükleri kopyalayın. Kontrolleri sunucuya SSH ile ya da **VNC Konsol** ile girip yapın.

## Linux

**1. Başarılı girişler kimlerdi?**

```
last -a | head -20
who
```

Tanımadığınız IP adreslerinden ya da alışılmadık saatte yapılmış girişleri arayın. Sunucuya yalnızca siz giriyorsanız, listedeki her adres sizin olmalı.

**2. Başarısız denemeler (gürültü bunlardır):**

```
sudo lastb | head
sudo journalctl -u ssh --since "2 days ago" | grep -i accepted
```

Başarısız denemeler (`lastb`) botlardır, kaygı verici değildir. **Accepted** satırları ise başarılı girişlerdir ve incelenmelidir. Debian'da `sudo grep Accepted /var/log/auth.log` kullanın.

**3. Yeni kullanıcı ya da yetki var mı?**

```
awk -F: '$3>=1000 && $3<65000 {print $1}' /etc/passwd
getent group sudo
sudo cat /root/.ssh/authorized_keys
```

Tanımadığınız kullanıcılar ve her kullanıcının `~/.ssh/authorized_keys` dosyasında bilmediğiniz anahtarlar saldırganın kalıcılık bırakma yoludur.

**4. Zamanlanmış görev ve servis:**

```
sudo crontab -l; ls /etc/cron.d /etc/cron.daily
systemctl list-units --type=service --state=running
```

**5. Şüpheli süreç ve dinleyen portlar:**

```
ps aux --sort=-%cpu | head
sudo ss -tulpn
```

Sürekli yüksek işlemci kullanan adı tuhaf bir süreç (kripto madencisi) ya da bilmediğiniz bir portta dinleyen program işarettir: [zararlı yazılım temizliği](https://kervanhosting.com/bilgi-bankasi/makale/sunucuma-virus-zararli-yazilim-bulasti-mi-nasil-temizlerim).

## Windows

- **Başarılı ve başarısız girişler:** Olay Görüntüleyici > Windows Günlükleri > Güvenlik. Olay 4624 başarılı giriş, 4625 başarısız girişi gösterir. PowerShell: `Get-WinEvent -FilterHashtable @{LogName='Security';Id=4624} -MaxEvents 20 | Format-List TimeCreated,Message`. Tür 10 uzak masaüstü girişidir.
- **Kullanıcılar:** `net user` ve `net localgroup Administrators` ile tanımadığınız hesap var mı bakın.
- **Zamanlanmış görevler:** `Get-ScheduledTask | Where-Object State -ne 'Disabled'` ile bilmediğiniz görevleri arayın.
- **Açık bağlantılar:** `netstat -ano` çıktısında bilmediğiniz dış adreslere kurulu bağlantılar var mı?

## Bir şey bulduysanız

1. Tüm parolaları değiştirin: sunucu, veritabanı, panel hesabınız. [Parola sıfırlama](https://kervanhosting.com/bilgi-bankasi/makale/sunucu-sifresini-root-administrator-nasil-sifirlarim).
2. Tanımadığınız SSH anahtarlarını, kullanıcıları ve zamanlanmış görevleri kaldırın.
3. Sunucunun ne kadar ele geçirildiğinden emin olamıyorsanız en güvenli yol **temiz yeniden kurulumdur**; verilerinizi (yalnızca verileri, programları değil) alıp [yeniden kurun](https://kervanhosting.com/bilgi-bankasi/makale/isletim-sistemini-yeniden-kurma-formatlama). Temizlendiğinden emin olamadığınız bir sistemi kullanmaya devam etmeyin.
4. Gerekeni önleyin: SSH anahtarı, güvenlik duvarı, güncellemeler: [brute force koruması](https://kervanhosting.com/bilgi-bankasi/makale/bilinmeyen-girisleri-brute-force-nasil-engellerim).

Hiçbir şey bulamadıysanız ve yine de emin değilseniz destek talebi açıp bulduklarınızı yazın. Sunucu paketleri: [VDS Sunucular](https://kervanhosting.com/vds-sunucular).

## Sık sorulanlar

### lastb çok uzun, normal mi?

Evet. İnternete açık SSH sunucuları sürekli parola denemesi alır. Önemli olan başarısız denemelerin sayısı değil, `last` çıktısında tanımadığınız başarılı giriş olup olmadığıdır.

### Saldırgan günlükleri silmiş olabilir mi?

Evet; günlüklerin temiz olması tam güvence değildir. Davranış işaretlerine (yeni kullanıcılar, anahtarlar, açık portlar, yüksek işlemci) de bakın. Şüpheniz sürüyorsa temiz kurulum en sağlam yoldur.

### Hesabıma yetkisiz giriş şüphesi var (sunucu değil, müşteri paneli).

Müşteri panelinde parolanızı değiştirin ve iki adımlı doğrulamayı açın: [iki adımlı doğrulama](https://kervanhosting.com/bilgi-bankasi/makale/iki-adimli-dogrulama-nedir-nasil-acarim).

**İlgili makaleler**

- [Sunucuma saldırı yapılıyor mu? Nasıl anlarım?](https://kervanhosting.com/bilgi-bankasi/makale/sunucuma-saldiri-yapiliyor-mu-nasil-anlarim)
- [Sunucuma virüs/zararlı yazılım bulaştı mı? Nasıl temizlerim?](https://kervanhosting.com/bilgi-bankasi/makale/sunucuma-virus-zararli-yazilim-bulasti-mi-nasil-temizlerim)
- [Bilinmeyen girişleri (brute force) nasıl engellerim?](https://kervanhosting.com/bilgi-bankasi/makale/bilinmeyen-girisleri-brute-force-nasil-engellerim)

*Sorununuz çözülmediyse [destek talebi açın](https://kervanhosting.com/destek-taleplerim). Hangi adımı denediğinizi ve ekranda ne gördüğünüzü yazarsanız çözüm çok daha hızlı olur.*