SNMP güvenliği rehberi

Bu rehberde ne yapacağız?

Bu rehberde Linux sunucunuzdaki SNMP servisini (net-snmp snmpd) güvenli hale getirecek, eski community dizeleri yerine SNMPv3 kimlik doğrulama ve şifrelemeyi kuracaksınız. İzleme sistemleriyle çalışan hosting ve sunucu yöneticileri için hazırlanmıştır; yaklaşık 30-40 dakika sürer.

SNMP, cihazların izlenmesi için yaygın kullanılan bir protokoldür. SNMPv1 ve v2c sürümleri kimlik doğrulamayı düz metin bir community dizesiyle yapar; ağ üzerinde dinlenebilir ve varsayılan değerleri (public, private gibi) tahmin edilebilir. SNMPv3 ise kullanıcı bazlı kimlik doğrulama ve şifreleme sunar.

Gereksinimler

• Debian/Ubuntu veya AlmaLinux/Rocky Linux sunucu ve sudo yetkisi
• İzleme sunucunuzun SNMPv3 desteği ve IP adresi
• Güvenlik duvarını düzenleme yetkisi; yanlış kural uzaktan erişimi kesebilir, bu yüzden ikinci oturum açık kalsın
• Mevcut snmpd.conf dosyasının yedeği

Adım adım SNMP güvenliği

1. Paketleri kurun

Debian/Ubuntu için:

sudo apt update
sudo apt install snmpd snmp

AlmaLinux/Rocky için:

sudo dnf install net-snmp net-snmp-utils

2. Yapılandırmayı yedekleyin

sudo cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.yedek

3. Dinleme adresini sınırlayın ve eski community'leri kaldırın

Varsayılan yapılandırmada rocommunity, rwcommunity ve com2sec satırlarını yorum satırı yapın veya silin. Hiçbir koşulda yazma (rw) erişimi vermeyin. Dinleme adresini yalnızca gerekli arayüzle sınırlayın; yerel izleme için 127.0.0.1, merkezi izleme için özel yönetim adresiniz olabilir.

agentAddress udp:127.0.0.1:161

Merkezi izleme sunucusu uzaktan erişecekse adresi yönetim ağı arayüzünüzün IP'si ile değiştirin (örneğin udp:10.10.10.5:161). Genel internet arayüzünde dinletmeyin.

4. SNMPv3 kullanıcısını tanımlayın

Salt okunur bir SNMPv3 kullanıcısı tanımlayın. Parolalar en az 8 karakter olmalıdır; aşağıdaki değerleri güçlü ve benzersiz parolalarla değiştirin. net-snmp belgesi, createUser satırının servis durdurulmuşken kalıcı depolama dosyasına yazılmasını önerir: Debian/Ubuntu'da /var/lib/snmp/snmpd.conf, AlmaLinux/Rocky'de /var/lib/net-snmp/snmpd.conf. Servis başladığında satır okunur, anahtara dönüştürülür ve açık metin parola dosyadan kaldırılır.

sudo systemctl stop snmpd
sudo nano /var/lib/snmp/snmpd.conf

createUser izlemeKullanici SHA GucluKimlikParolasi1 AES GucluSifrelemeParolasi2

Yetki ve tanım satırlarını ise ana yapılandırmaya, /etc/snmp/snmpd.conf dosyasına ekleyin:

rouser izlemeKullanici priv
sysLocation Veri merkezi
sysContact sistem@example.com

priv ifadesi, bu kullanıcı için hem kimlik doğrulama hem şifrelemeyi zorunlu kılar. Servisi başlattıktan sonra kalıcı dosyada createUser satırının yerini usmUser satırının aldığını kontrol edin. Sürümünüzde bulunuyorsa net-snmp-create-v3-user aracı da aynı işlemi yapar.

5. Servisi yeniden başlatın

Debian/Ubuntu için:

sudo systemctl restart snmpd
sudo systemctl enable snmpd

AlmaLinux/Rocky için de servis adı snmpd'dir; aynı komutlar geçerlidir.

6. Güvenlik duvarında erişimi kısıtlayın

SNMP UDP 161 portunu kullanır. Yalnızca izleme sunucusu adresinden erişime izin verin. Aşağıdaki nftables örneğinde mevcut input zincirinizin adı olan girdi'yi ve filtre tablosunu kendi yapınıza göre uyarlayın.

sudo nft add rule inet filtre girdi ip saddr 10.10.10.20 udp dport 161 accept

Başka kural yoksa 161 portu varsayılan drop politikası ile zaten kapalı kalır. Bu kuralı kalıcı yapmak için kural dosyanıza da ekleyin.

Doğrulama

İzleme sunucusundan veya yerelde snmpwalk ile SNMPv3 sorgusu yapın.

snmpwalk -v3 -l authPriv -u izlemeKullanici -a SHA -A 'GucluKimlikParolasi1' -x AES -X 'GucluSifrelemeParolasi2' 127.0.0.1 system

Sistem adı, açıklaması ve çalışma süresi gibi bilgiler dönmelidir. Komut satırına yazılan parolalar süreç listesinde ve kabuk geçmişinde görünür; düzenli kullanım için bunları yalnızca sizin okuyabildiğiniz ~/.snmp/snmp.conf dosyasına defSecurityName, defAuthPassphrase, defPrivPassphrase gibi anahtarlarla yazın. Eski community ile sorgunun reddedildiğini de deneyin.

snmpwalk -v2c -c public 127.0.0.1 system

Bu komut zaman aşımı veya yetkilendirme hatası vermelidir. Dinleme adresini sudo ss -ulpn | grep 161 ile kontrol edin.

Sık karşılaşılan sorunlar

• Timeout alıyorum: güvenlik duvarı UDP 161'i engelliyor olabilir ya da agentAddress satırı yanlış arayüzü gösteriyordur.
• Authentication failure: kullanıcı adı, algoritma (SHA/AES) veya parolalar iki tarafta farklıdır. Parola uzunluğunu da kontrol edin.
• Kullanıcı oluşmuyor veya sonradan kayboluyor: createUser satırı servis çalışırken eklenmiştir; snmpd kapanırken kalıcı dosyayı yeniden yazar. Servisi durdurup satırı yeniden ekleyin ve servisi başlatın.
• İzleme sistemi v3 desteklemiyor: sürümünü güncelleyin; mümkün değilse v2c'yi yalnızca yönetim ağına, salt okunur ve kısıtlı kaynak adresiyle sınırlayın.

Güvenlik ve bakım notları

• public ve private gibi varsayılan community dizelerini hiçbir cihazda bırakmayın.
• Yazma erişimi (rw) gerçekten gerekmedikçe vermeyin.
• SNMP erişimini yönetim ağı ve izleme sunucusu adresiyle sınırlayın; internete açmayın.
• Kimlik doğrulama ve şifreleme parolalarını farklı ve güçlü seçin, düzenli değiştirin.
• SNMP'nin yansıtma/amplifikasyon saldırılarında kötüye kullanılabildiğini unutmayın; dışarıya açık UDP 161 bırakmayın.
• Ağ cihazlarında da aynı ilkeleri uygulayın; komutlar için üreticinin belgesine bakın.