Veeam Hardened Repository ISO Detaylı Inceleme

Giriş

Veeam Hardened Repository ISO (VHRISO), Veeam tarafından sunulan, önceden yapılandırılmış ve güçlendirilmiş bir Rocky Linux dağıtımını içeren, önyüklenebilir bir ISO’dur. Bu çözüm, Veeam Backup & Replication ile entegre çalışan, güvenliği artırılmış bir yedekleme deposu (Hardened Repository) kurulumunu büyük ölçüde kolaylaştırmayı amaçlar.

Geleneksel Hardened Repository yapılandırmalarında, ileri düzey Linux bilgisi ve güvenlik ayarlarının manuel olarak uygulanması gereklidir. Ancak VHRISO, tüm kritik güvenlik önlemlerinin kutudan çıktığı haliyle sunulmasını sağlayarak, yanlış yapılandırmalardan kaynaklanan güvenlik açıklarını en aza indirir.

Bu makalede, VHRISO’nun teknik detaylarını, gereksinimlerini ve yapılandırma adımlarını detaylıca ele alacağız.

1. VHRISO’nun Özellikleri ve Avantajları

• Önceden Sertleştirilmiş İşletim Sistemi: Rocky Linux tabanlı ve DISA STIG (Security Technical Implementation Guides) uyumlu güvenlik önlemleriyle önceden sertleştirilmiştir.
• Güvenlik Açısından En İyi Uygulamalar: Değişmezlik (immutability), erişim kontrolleri ve denetim mekanizmaları ile veri bütünlüğü sağlanır.
• Kolay Kurulum: Gelişmiş Linux bilgisi gerektirmeden, minimal kullanıcı etkileşimi ile güvenli bir repository kurulumu yapılabilir.
• Bakım Maliyetlerini Düşürme: Güncellemeler ve güvenlik yamaları Veeam tarafından sağlandığı için yönetim yükü azalır.
• Resmi Destek: 29 Ekim 2024 itibarıyla deneysel destekten tam destek statüsüne yükseltilmiş olup, üretim ortamlarında kullanılabilir.

2. Sistem Gereksinimleri

VHRISO’nun başarıyla çalışması için aşağıdaki donanım ve yazılım gereksinimleri karşılanmalıdır:

2.1. Yazılım Gereksinimleri

• Veeam Backup & Replication: 12.2 veya daha üstü bir sürüm gereklidir.
• Linux Dağıtımı: Rocky Linux tabanlı ISO ile birlikte aşağıdaki işletim sistemleri desteklenir:
  • CentOS 7.x
  • Debian 10.0 – 11.0
  • Oracle Linux 7 – 9 (UEK ve RHCK)
  • RHEL 7.0 – 9.1
  • SLES 12 SP4 ve sonrası, 15 SP1 ve sonrası
  • Ubuntu 18.04 LTS, 20.04 LTS, 22.04 LTS ve sonrası
• Dosya Sistemi: XFS desteği gereklidir (Veeam Fast Cloning teknolojisinin etkinleştirilmesi için önerilir).
• SSH ve Bash Shell: Kurulum sırasında gereklidir ancak sonrasında devre dışı bırakılması önerilir.

2.2. Donanım Gereksinimleri

• Red Hat Uyumluluk Listesi: Donanımın Red Hat uyumluluk listesinde veya CIQ tarafından sertifikalandırılmış olması gerekir.
• UEFI Güvenli Önyükleme: Etkin olmalıdır.
• RAID Desteği: Yalnızca donanım RAID denetleyicileri desteklenir.
  • Yazılım RAID, Intel VMD VROC ve FakeRAID denetleyicileri desteklenmez.
  • RAID denetleyicilerinde geri yazma önbelleği etkin olmalıdır.
• Depolama Gereksinimleri:
  • İşletim sistemi için minimum 100GB disk alanı gereklidir.
  • Depolama birimlerinden biri en küçük disk olmalıdır (örneğin, 1x 100GB ve 1x 101GB desteklenir, ancak 2x 100GB ve 1x 200TB desteklenmez).
  • Veri için en az bir ek birim gereklidir. Tüm ek veri birimleri, işletim sistemi biriminden daha büyük olmalıdır.
  • Çift eşlikli RAID yapılandırması şiddetle önerilir.
• Ağ Gereksinimleri:
  • Veeam repository.veeam.com adresine doğrudan veya HTTP proxy aracılığıyla 443 numaralı bağlantı noktasından erişim gereklidir.
  • SSH erişimi kurulum sırasında gereklidir ancak güvenlik amacıyla sonrasında kapatılmalıdır.

3. Yeni Özellikler ve İyileştirmeler

3.1. Onarım Modu

• İşletim sistemini yeniden yüklerken veri bölümlerini sağlam tutar.
• Ubuntu veya diğer Linux dağıtımlarından geçiş yaparken kullanılmaz, aksi takdirde sistem önyükleme yapamaz.

3.2. Canlı Önyükleme (Live Boot)

• Sorun giderme için canlı sistem sağlar.
• Fio ve iperf gibi araçlarla performans testleri için kullanılabilir.

3.3. Tam Otomatik Kurulum (Zero-Touch Deployment)

• Kickstart dosyaları kullanılarak toplu dağıtımlar yapılabilir.
• Kernel parametrelerine auto=1 eklenerek gözetimsiz kurulum sağlanır.

4. Hardened Repository Güvenlik Entegrasyonları

4.1. Immutability (Değişmezlik) Konfigürasyonu

• Veeam Backup & Replication, non-root kimlik bilgileri ile repository’ye erişir.
• Proxy ile depolama arasındaki iletişim için yalnızca TCP 6162 kullanılır.
• TCP 2500 – 3300 gerektiğinde kullanılabilir.
• Yedekleme dosyalarının değiştirilmesini önlemek için yalnızca periyodik sentetik veya tam yedeklemeler desteklenir.

4.2. Güvenlik Önlemleri

• SSH servisi devre dışı bırakılmalıdır.
• Uzaktan yönetim çözümleri (iDRAC, iLO, XClarity) devre dışı bırakılmalı veya güvenlik altına alınmalıdır.
• Zaman senkronizasyonu, değişmezlik korumasının sağlanması için güvenilir bir NTP sunucusu ile sağlanmalıdır.

Sonuç

Veeam Hardened Repository ISO, geleneksel Linux hardened repository kurulumlarını büyük ölçüde kolaylaştırarak hem güvenliği hem de yönetilebilirliği artırmaktadır. DISA STIG standartlarına uygun olarak önceden sertleştirilmiş olması, potansiyel saldırı yüzeyini minimuma indirirken, güncellenebilir ve desteklenen bir çözüm sunar.

Özellikle fiziksel sunucularda kullanılması önerilen bu çözüm, gelişmiş Linux bilgisine sahip olmayan kullanıcılar için bile etkili bir Hardened Repository oluşturma imkanı sunmaktadır. Kurulum ve yönetim sırasında yukarıda belirtilen sistem gereksinimleri ve güvenlik önlemlerinin dikkate alınması, veri güvenliğini ve yedekleme sisteminin sürekliliğini sağlamak açısından kritik öneme sahiptir.