IDS ve IPS Nedir? Saldırı Tespit ve Önleme Sistemleri

Bir sunucuyu internete açtığınız andan itibaren o sunucu, sürekli taranan, denenen ve zorlanan bir hedefe dönüşür. Bir güvenlik duvarı (firewall) hangi portların açık, hangilerinin kapalı olduğunu belirler; ama açık bıraktığınız 443 portundan içeri giren trafiğin niyetinin iyi mi kötü mü olduğunu sorgulamaz. İşte tam bu noktada devreye IDS ve IPS girer. Bu iki sistem, trafiğin ve sistem olaylarının içeriğine bakar: "Bu istek normal bir ziyaretçi mi, yoksa bir SQL injection denemesi mi?" sorusunu sorar.

Yıllardır sunucu yöneten biri olarak size şunu net söyleyebilirim: bir güvenlik duvarı olmadan sunucu çalıştırmak sorumsuzluktur, ama sadece güvenlik duvarına güvenmek de eksik bir savunmadır. IDS (Intrusion Detection System / Saldırı Tespit Sistemi) size "içeride bir sorun var" diye haber verir; IPS (Intrusion Prevention System / Saldırı Önleme Sistemi) ise sorunu daha oluşmadan durdurur. Bu yazıda ikisi arasındaki farkı, hangi tespit yöntemlerini kullandıklarını, Snort/Suricata gibi ağ tabanlı ve OSSEC/Wazuh gibi host tabanlı araçları ve çoğu kullanıcı için yeterli olan hafif alternatif fail2ban'ı somut örneklerle anlatacağım.

IDS ve IPS Arasındaki Temel Fark#

En sade haliyle: IDS izler ve uyarır, IPS izler ve müdahale eder. Bir IDS pasif bir gözlemcidir. Trafiğin bir kopyasını inceler, şüpheli bir şey gördüğünde bir alarm üretir, bu alarmı bir log dosyasına yazar veya size e-posta gönderir. Ancak saldırıyı fiziksel olarak durdurmaz; paket zaten hedefine ulaşmıştır. Bir güvenlik kamerası gibi düşünün: hırsızı görüntüler, kaydeder, ama kapıyı kilitlemez.

IPS ise trafiğin tam ortasında (inline) durur. Her paket, hedefine ulaşmadan önce IPS'in içinden geçer. Kötü niyetli bir paket tespit edilirse, IPS o paketi düşürür (drop), bağlantıyı keser veya kaynak IP'yi engeller. Yani IPS bir güvenlik görevlisidir; hırsızı görür ve kapıyı yüzüne kapatır.

Bu güçlü müdahale yeteneğinin bir bedeli vardır. IPS trafiğin akış yolunda olduğu için, bir performans darboğazına veya hatalı yapılandırıldığında meşru trafiği yanlışlıkla engelleyen (false positive) bir soruna dönüşebilir. Bir IDS ise yanılırsa en fazla gereksiz bir alarm üretir, kimse mağdur olmaz. Bu yüzden pek çok yönetici sisteme önce IDS modunda başlar, kuralların davranışını haftalarca gözlemler, sonra emin olduğunda IPS moduna geçer.

Modern araçların çoğu her iki modda da çalışabilir. Örneğin Suricata'yı ister pasif bir IDS olarak dinleyici modunda, ister trafiği bloklayan bir IPS olarak NFQUEUE ile çalıştırabilirsiniz. Yani "IDS mi IPS mi alayım" sorusu genellikle "hangi araç" değil, "aynı aracı hangi modda çalıştırayım" sorusudur.

Ağ Tabanlı (NIDS/NIPS) ve Host Tabanlı (HIDS/HIPS) Yaklaşım#

Tespit sistemlerini konumlandıkları yere göre iki büyük aileye ayırırız. Ağ tabanlı sistemler (NIDS/NIPS) ağ trafiğini dinler; host tabanlı sistemler (HIDS/HIPS) tek bir sunucunun kendi iç dünyasını izler. İkisi rakip değil, tamamlayıcıdır.

Ağ tabanlı bir sistem, ağdan geçen paketleri inceleyerek bir port taraması, bir exploit denemesi veya bilinen bir zararlının komuta-kontrol trafiğini yakalar. Avantajı, tek bir noktadan birçok sunucuyu birden koruyabilmesidir. Dezavantajı ise şudur: bugün trafiğin neredeyse tamamı TLS ile şifrelidir. Şifreli bir HTTPS isteğinin içindeki SQL injection yükünü, araya girip trafiği çözmeden (TLS inspection) göremez. Bu da hem karmaşık hem de gizlilik açısından tartışmalı bir konudur.

Host tabanlı bir sistem ise sunucunun kendi üzerinde çalışır ve şu tür soruların cevabını arar: "Hangi kritik dosya değişti? Kim sudo ile yetki yükseltti? Auth loglarında art arda başarısız giriş var mı? Yeni bir cron görevi eklendi mi?" HIDS, TLS şifrelemesinden etkilenmez çünkü olayları uygulama işini bitirdikten sonra, düz metin loglar üzerinden görür. Sunucu güvenliğinin temellerine dair daha geniş bir bakış için sunucu güvenliği temelleri rehberimizi de okuyabilirsiniz.

                 İnternet
                    │
             ┌──────▼──────┐
             │  Güvenlik    │  ← firewall: portları açar/kapar
             │  Duvarı      │
             └──────┬──────┘
                    │
         ┌──────────▼──────────┐
         │   NIDS / NIPS        │  ← ağ trafiğini inceler (Suricata/Snort)
         └──────────┬──────────┘
                    │
        ┌───────────▼───────────┐
        │       Sunucu           │
        │  ┌──────────────────┐  │
        │  │  HIDS / HIPS      │  │  ← dosya/log/süreç izler (Wazuh/OSSEC)
        │  └──────────────────┘  │
        └────────────────────────┘

Pratikte sağlıklı bir kurulum katmanlıdır: dışarıda ağ trafiğini süzen bir NIDS, sunucunun içinde de dosya bütünlüğünü ve logları izleyen bir HIDS. Tek başına biri, diğerinin göremediği saldırıyı yakalar.

İmza Tabanlı Tespit Nasıl Çalışır#

Tespit yöntemleri sistemin "kötü"yü nasıl tanıdığını belirler ve iki ana felsefe vardır. Birincisi imza tabanlı tespittir. Mantığı bir antivirüs programına çok benzer: bilinen saldırıların parmak izlerinden oluşan bir imza veritabanı tutulur, gelen trafik bu imzalarla karşılaştırılır ve eşleşme olursa alarm üretilir.

Örneğin Suricata için yazılmış basit bir kural, gelen HTTP isteklerinde ../../etc/passwd gibi bir dizin geçişi (path traversal) denemesi arar:

alert http any any -> $HOME_NET any ( \
    msg:"Path Traversal etc/passwd erisim denemesi"; \
    flow:to_server,established; \
    http.uri; content:"../"; content:"etc/passwd"; nocase; \
    classtype:web-application-attack; \
    sid:1000001; rev:1; )

Bu kural okunabilir bir şekilde şunu söyler: HTTP trafiğinde, istemciden sunucuya giden bir istekte URI içinde hem ../ hem de etc/passwd ifadesi geçiyorsa, bunu bir web uygulaması saldırısı olarak sınıflandır ve alarm üret. Snort'un kural söz dizimi de neredeyse aynıdır; zaten Suricata büyük ölçüde Snort kurallarıyla uyumludur.

İmza tabanlı yaklaşımın en büyük gücü isabetliliğidir. Bilinen bir saldırıyı yakaladığında yanılma payı çok düşüktür ve size tam olarak neyin yakalandığını söyler. Zayıflığı ise adında gizlidir: sadece bilinen saldırıları görür. Daha önce hiç görülmemiş, yeni bir sıfırıncı gün (zero-day) açığı için henüz bir imza yoktur, dolayısıyla o saldırı fark edilmeden geçebilir. Bu yüzden imza veritabanlarını düzenli güncellemek (örneğin Suricata için suricata-update) kritik önemdedir; güncellenmeyen bir IDS, süresi geçmiş bir alarm sistemi gibidir.

Anomali Tabanlı Tespit Nasıl Çalışır#

İkinci felsefe anomali tabanlıdır ve tamamen farklı bir soru sorar. İmza tabanlı sistem "bu, bildiğim bir kötülüğe benziyor mu?" derken, anomali tabanlı sistem "bu, normalden ne kadar sapıyor?" der. Önce sistemin normal davranışının bir profilini (baseline) çıkarır: hangi saatlerde ne kadar trafik akar, bir kullanıcı ortalama kaç istek yapar, hangi portlar normalde konuşur. Sonra bu normalden ciddi bir sapma gördüğünde alarm üretir.

Bunu bir örnekle somutlaştıralım. Diyelim ki bir kullanıcı normalde saatte 50-60 sorgu yapıyor. Bir gece o hesaptan aniden saatte 40.000 sorgu gelmeye başladı. Ortada bilinen bir imza yok, ama davranış tamamen anormal. Anomali tabanlı bir sistem bunu bir veri sızdırma (exfiltration) veya ele geçirilmiş hesap belirtisi olarak işaretler.

-- Son 1 saatteki isteklerini geçmis 7 gunluk saatlik ortalamayla kiyasla
SELECT kullanici_id,
       COUNT(*) AS son_saat,
       ort_saatlik,
       ROUND(COUNT(*) / NULLIF(ort_saatlik, 0), 1) AS sapma_kati
FROM erisim_loglari e
JOIN kullanici_ortalamalari o USING (kullanici_id)
WHERE e.zaman >= NOW() - INTERVAL 1 HOUR
GROUP BY kullanici_id, ort_saatlik
HAVING sapma_kati > 20;   -- normalden 20 kat fazlaysa incele

Anomali tabanlı yaklaşımın büyük avantajı, daha önce hiç görülmemiş saldırıları da yakalayabilmesidir; çünkü imzaya değil, davranışa bakar. Dezavantajı ise yanlış pozitiflere yatkınlığıdır. Bir kampanya nedeniyle gerçekten trafiğin patlaması ya da yeni bir özelliğin devreye alınması, "anormal" görünüp gereksiz alarm üretebilir. Bu yüzden anomali sistemleri bir "öğrenme" dönemine ihtiyaç duyar ve eşiklerin dikkatle ayarlanması gerekir.

Gerçek dünyada en iyi sonuç ikisinin birlikte kullanılmasıyla gelir. İmza tabanlı katman bilineni hızlı ve kesin yakalar, anomali tabanlı katman ise bilinmeyeni davranışından tanır.

Ağ Tarafı Araçlar: Snort ve Suricata#

Ağ trafiğini izleyen dünyada iki isim öne çıkar: Snort ve Suricata. Snort, 1998'den beri var olan, alanın atası sayılan bir araçtır ve endüstri standardı kural formatını o belirlemiştir. Suricata ise daha yeni, çok iş parçacıklı (multi-threaded) mimarisiyle çok çekirdekli sunucularda yüksek trafiği daha verimli işleyebilen bir alternatiftir ve Snort kurallarıyla büyük ölçüde uyumludur. Bu yüzden yeni kurulumların çoğunda Suricata tercih edilir.

Suricata'yı Ubuntu tabanlı bir sunucuya kurmak oldukça kolaydır:

# Suricata kurulumu (Ubuntu/Debian)
sudo apt update
sudo apt install -y suricata

# Ucretsiz kural setini indir ve guncelle (Emerging Threats)
sudo suricata-update

# Izlenecek ag arayuzunu yapilandirmada dogrula
sudo suricata --list-if

Ardından hangi ağın "ev ağı" (korunan taraf) olduğunu tanımlamanız gerekir. Bu ayar /etc/suricata/suricata.yaml içinde yer alır:

vars:
  address-groups:
    HOME_NET: "[10.0.0.0/24]"     # kendi sunucu agin
    EXTERNAL_NET: "!$HOME_NET"    # geri kalan her sey dis dunya

af-packet:
  - interface: eth0
    cluster-id: 99
    cluster-type: cluster_flow

Kurulum sonrası Suricata pasif IDS modunda çalışır ve tüm bulguları /var/log/suricata/eve.json dosyasına yapılandırılmış JSON olarak yazar. Bu logu takip etmek için:

# Suricata servisini baslat ve durumunu kontrol et
sudo systemctl enable --now suricata
sudo systemctl status suricata

# Uretilen alarmlari canli izle
sudo tail -f /var/log/suricata/eve.json | grep '"event_type":"alert"'

IPS moduna geçmek istediğinizde Suricata'yı Linux'un NFQUEUE mekanizmasıyla çalıştırır ve iptables/nftables ile trafiği bu kuyruğa yönlendirirsiniz; artık kötü paketleri sadece raporlamakla kalmaz, düşürür. Önerim, en az birkaç hafta IDS modunda kalıp hangi kuralların gürültü yaptığını görmeden IPS'e geçmemenizdir.

Host Tarafı Araçlar: OSSEC ve Wazuh#

Ağ trafiği hikâyenin sadece yarısıdır. Sunucunun kendi içinde neler olup bittiğini görmek için host tabanlı araçlara ihtiyacınız var. Bu alanda OSSEC uzun yıllardır güvenilir bir açık kaynak çözümdür; Wazuh ise OSSEC'ten türeyip onu genişleten, merkezi bir yönetim paneli, uyarı yönetimi ve uyumluluk (compliance) raporlaması ekleyen daha modern bir platformdur.

Bu araçların yaptığı işi maddeler halinde özetleyelim:

• Dosya bütünlüğü izleme (FIM): /etc, /bin, /usr/bin gibi kritik dizinlerdeki dosyaların değişip değişmediğini kontrol eder. Bir saldırgan bir binary'yi zehirlediğinde anında haber verir.
• Log analizi: SSH, web sunucusu, veritabanı loglarını gerçek zamanlı okur; art arda başarısız girişleri, hata patlamalarını yakalar.
• Rootkit tespiti: Sistemde gizlenmeye çalışan zararlı süreç ve dosyaları arar.
• Politika denetimi: Sunucunun güvenlik yapılandırmasının (örneğin SSH ayarları) sertleştirme standartlarına uyup uymadığını denetler.

Örneğin Wazuh'ta bir dosyanın izlenmesini tanımlamak ossec.conf içinde şöyle görünür:

<syscheck>
  <directories check_all="yes" realtime="yes">/etc</directories>
  <directories check_all="yes" realtime="yes">/var/www/html</directories>
  <alert_new_files>yes</alert_new_files>
</syscheck>

Bu yapılandırma /etc ve web kök dizinini gerçek zamanlı izler; bu dizinlerde bir dosya değişir ya da yeni bir dosya belirirse (örneğin bir saldırganın bıraktığı web shell) alarm üretir. HIDS'in gücü işte buradadır: ağ trafiği şifreli olsa bile, saldırgan sunucuda bir iz bıraktığı anda bunu görürsünüz.

Herkese Gerekmez: Hafif Alternatif fail2ban#

Şimdi dürüst konuşalım. Tek bir web sitesi ya da küçük bir uygulama çalıştıran çoğu kullanıcı için tam teşekküllü bir Suricata + Wazuh kurulumu fazladan gelir; kurmak, ayarlamak ve gürültüyü yönetmek ciddi zaman ister. Bu profildeki kullanıcıların büyük çoğunluğu için en yüksek getiriyi sağlayan araç fail2ban'dır.

fail2ban teknik olarak dar kapsamlı bir HIPS gibi çalışır: log dosyalarını (özellikle SSH ve web sunucusu loglarını) okur, belirli bir sürede belirli sayıda başarısız girişimi olan bir IP'yi otomatik olarak firewall'da geçici süreyle engeller. Yani en yaygın saldırı türü olan kaba kuvvet (brute-force) denemelerini pratik olarak durdurur. Kurulumu birkaç dakikadır:

# fail2ban kurulumu
sudo apt install -y fail2ban

# Yerel yapilandirma dosyasi olustur (jail.local guncellemelerde ezilmez)
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

/etc/fail2ban/jail.local içinde SSH için basit bir kural şöyle görünür:

[sshd]
enabled  = true
port     = ssh
maxretry = 5
findtime = 10m
bantime  = 1h

Bu ayar şunu der: 10 dakika içinde 5 kez başarısız SSH girişi yapan IP'yi 1 saat boyunca engelle. Adım adım kurulum ve gelişmiş kural yazımı için fail2ban kurulum rehberimize göz atabilirsiniz. Benim tavsiyem şudur: eğer bir sistem yöneticisi ekibiniz yoksa, önce fail2ban'ı doğru kurun, SSH'yi anahtar tabanlı girişe geçirin ve düzenli yedekleme alın; Suricata ve Wazuh'a ancak gerçekten çok sayıda sunucuyu ya da hassas veriyi yönettiğinizde geçin.

Uygulama katmanındaki saldırıları (SQL injection, XSS gibi) hedef alan istekleri süzmek isterseniz, bir IDS/IPS yerine ya da ona ek olarak bir web uygulama güvenlik duvarı (WAF) kullanmak çoğu web projesi için daha doğrudan bir çözümdür; hacimli trafik saldırıları içinse DDoS koruma hizmeti devreye girer.

Doğru Katmanı Seçmek: Pratik Bir Yol Haritası#

Tüm bu araçlar arasında kaybolmamak için ihtiyacınıza göre basit bir sıralama önereyim. Bu, yıllar içinde onlarca sunucuda uyguladığım pragmatik bir yaklaşımdır ve "en pahalı çözüm en iyisidir" varsayımına karşı çıkar.

• Tek site / küçük uygulama: Güçlü bir firewall + fail2ban + WAF + düzenli güncelleme ve yedek. Bu dörtlü, saldırıların büyük çoğunluğunu keser.
• Birden fazla sunucu / e-ticaret / hassas veri: Yukarıdakilere ek olarak host tabanlı Wazuh ile dosya bütünlüğü ve log izleme.
• Yüksek trafikli / kurumsal altyapı: Ağ geçidinde Suricata (önce IDS, sonra IPS), merkezi Wazuh yönetimi ve düzenli kural inceleme süreci.

Hangi katmanda olursanız olun değişmeyen üç ilke vardır. Birincisi, izlemediğiniz bir şeyi koruyamazsınız; log toplamıyorsanız hiçbir IDS işe yaramaz. İkincisi, alarm üretip kimsenin bakmadığı bir sistem, hiç olmayan bir sistemden çok da iyi değildir; alarmların bir insana ya da bir bildirim kanalına ulaşması gerekir. Üçüncüsü, güvenlik statik değildir; kurallarınızı, imzalarınızı ve eşiklerinizi düzenli güncellemezseniz sistem yavaşça körelir. İyi yapılandırılmış bir sunucu altyapısı ve sunucu yönetimi hizmeti, bu sürekliliği sizin adınıza üstlenerek en büyük farkı yaratan unsurdur.

Sıkça Sorulan Sorular#

IDS ile IPS arasındaki fark tek cümlede nedir?#

IDS bir saldırıyı tespit edip size uyarı gönderen pasif bir sistemdir, IPS ise aynı tespiti yapıp saldırıyı gerçek zamanlı olarak engelleyen aktif bir sistemdir. Kısaca IDS "haber verir", IPS "durdurur". Çoğu modern araç her iki modda da çalışabildiği için karar genellikle aracın seçimi değil, hangi modda çalıştırılacağıdır.

Güvenlik duvarım varsa IDS/IPS'e ihtiyacım var mı?#

Güvenlik duvarı hangi portların açık olacağına karar verir ama açık porttan geçen trafiğin içeriğine bakmaz. IDS/IPS ise bu trafiğin niyetini inceler; örneğin 443 portundan gelen normal bir isteği bir SQL injection denemesinden ayırt eder. İkisi farklı katmanlarda çalışır ve birbirinin yerini tutmaz; ideal olan ikisini birlikte kullanmaktır.

Snort mı Suricata mı tercih etmeliyim?#

Yeni bir kurulum yapıyorsanız çoğu durumda Suricata daha mantıklı bir seçimdir çünkü çok iş parçacıklı mimarisi sayesinde çok çekirdekli sunucularda yüksek trafiği daha verimli işler ve Snort kurallarıyla büyük ölçüde uyumludur. Snort daha eski ve köklü olsa da, mevcut Snort kural birikiminizi taşımak da dahil olmak üzere Suricata pratikte esneklik sunar. İkisinin de kural söz dizimi neredeyse aynıdır.

Küçük bir web sitesi için IDS/IPS kurmak şart mı?#

Hayır, tek bir site çalıştıran çoğu kullanıcı için tam bir Suricata veya Wazuh kurulumu gereğinden ağırdır. Bu profildeki kullanıcılar için en yüksek getiriyi güncel bir firewall, fail2ban, bir WAF ve düzenli yedekleme sağlar. Sunucu sayınız arttıkça ya da hassas veri işledikçe host ve ağ tabanlı sistemlere kademeli geçiş yapmanız daha doğru olur.

İmza tabanlı tespit zero-day saldırıları yakalar mı?#

Genellikle yakalayamaz, çünkü imza tabanlı yaklaşım yalnızca daha önce tanımlanmış ve veritabanına eklenmiş saldırı desenlerini tanır. Daha önce hiç görülmemiş bir sıfırıncı gün açığı için henüz bir imza bulunmadığından bu saldırı fark edilmeden geçebilir. Bu boşluğu kapatmak için imza tabanlı tespiti, normalden sapmayı ölçen anomali tabanlı bir katmanla birlikte kullanmak gerekir.

IPS'i açtığımda meşru trafiğim engellenir mi?#

Bu risk gerçektir ve IPS'in en dikkat gerektiren yanıdır. Yanlış yapılandırılmış ya da fazla agresif bir kural, gerçek ziyaretçileri veya API isteklerini yanlışlıkla engelleyebilir. Bu yüzden önerilen yol, sistemi önce IDS modunda haftalarca çalıştırıp hangi kuralların yanlış pozitif ürettiğini gözlemlemek, gürültülü kuralları ayıkladıktan sonra IPS moduna geçmektir. Böylece engelleme kararı verirken sistemin davranışına güvenirsiniz.

Kapanış#

IDS ve IPS, bir güvenlik duvarının bıraktığı boşluğu dolduran, trafiğin ve sistem olaylarının içeriğine bakan savunma katmanlarıdır. IDS görür ve uyarır, IPS görür ve durdurur; imza tabanlı yöntem bilineni kesin yakalar, anomali tabanlı yöntem bilinmeyeni davranışından tanır. Snort ve Suricata ağ tarafını, OSSEC ve Wazuh host tarafını izler; çoğu küçük proje içinse fail2ban tek başına devasa bir fark yaratır. Doğru cevap "en ağır aracı kur" değil, ihtiyacınıza uygun katmanı seçmek ve onu güncel tutmaktır.

Bu katmanların güçlü bir zemine ihtiyacı var. Clou.TR olarak sunucularınızı bu savunma mantığını taşıyacak şekilde hazırlıyoruz. Sağlam bir başlangıç için hosting paketlerimizi inceleyebilir, tam kontrol isteyen projeler için sanal ve VDS sunucularımıza göz atabilir, güvenliği bize bırakmak isterseniz sunucu yönetimi ve WAF hizmetlerimizden yararlanabilirsiniz. Güvenlik bir ürün değil, sürekli bir süreçtir; bu süreçte doğru altyapı ortağını seçmek en büyük avantajınız olur.