Entegre Güvenlik Mimarisi: E-Ticaret Sitemizin Siber Güvenlik Altyapısı Üzerine
Dijitalleşmenin hayatın her alanına nüfuz ettiği bu çağda, siber güvenlik; bir tercihten öte, kurumsal varlığın devamlılığı açısından zorunlu hale gelmiştir. Müşteri verilerinin korunması, finansal işlemlerin güvenliği ve operasyonel sürdürülebilirlik adına e-ticaret sitemizde, çok katmanlı, entegre bir güvenlik mimarisi kurguladık. Bu yazımızda sizlerle, sistemimizin yapısını ve hangi güvenlik kontrollerinin hangi noktalarda devrede olduğunu şeffaflıkla paylaşıyoruz.
1. Ağ Güvenliği (Network Security)
Tüm altyapımız, modern Zero Trust güvenlik modeli doğrultusunda, izole edilmiş ve segmentlere ayrılmış sanal ağ üzerinde çalışmaktadır. Bu ağ katmanı, çok katmanlı güvenlik önlemleri ile korunmaktadır:
- Gelişmiş WAF (Web Application Firewall) Kuralları: Uygulama katmanında, IP coğrafi konumu ve ASN filtrelemeleri, kötü amaçlı user-agent tespiti, anormal HTTP versiyon ve metod engellemeleri gibi detaylı kurallar aktif halde çalışır. Bu sayede, SQL Injection, XSS, CSRF gibi kritik uygulama zafiyetlerine karşı yüksek oranda önleyici müdahale sağlanır.
- Cloudflare Tabanlı Anti-DDoS ve Bot Yönetimi: Saniyede yüzbinlerce istek hacmine dayanıklı CDN ağı ile Layer 3/4 ve Layer 7 DDoS saldırıları anlık olarak tespit edilip, kaynak bazlı trafik filtreleme uygulanır. Cloudflare'ın Bot Fight Mode’u ile kötü niyetli otomatik botlar ve scraping trafiği otomatik olarak engellenir. Yapılan load testlerimizde, saniyede yaklaşık 100.000+ eşzamanlı isteği başarıyla ve stabil şekilde karşılayabildiğimiz gözlemlenmiştir.
- Sıkı VPC (Virtual Private Cloud) Segmentasyonu ve IP Kısıtlamaları: Sistem bileşenleri, fonksiyonlarına göre ayrılmış alt ağlarda konuşlandırılmıştır. Kritik yönetim panelleri ve servisler sadece önceden belirlenmiş, güvenilir IP adreslerinden erişime açıktır. Ayrıca, geo-fencing uygulaması ile sadece hedeflediğimiz coğrafi bölgelerden erişime izin verilerek saldırı yüzeyi minimize edilir.
- Rate Limiting ve Trafik İzleme: Sunucuya gelen istekler, IP başına 10 saniyede maksimum 100 istekle sınırlandırılmıştır. Bu, otomatik ve hızlı bot tabanlı saldırıların önüne geçerken, gerçek kullanıcı deneyimini olumsuz etkilememektedir. Gerçek zamanlı trafik analiz sistemleri ile anormal aktiviteler tespit edilip anında müdahale edilir.
2. Uygulama Güvenliği (Application Security)
Kullandığımız yazılım teknolojileri kadar, uygulama güvenliği politikalarımız da sistemin kalbini oluşturur:
- JWT + Refresh Token ile Oturum Yönetimi: Tüm kullanıcı oturumları, zaman damgalı JWT token'larıyla yönetilir. Token ömürleri kısa, erişim izinleri ise roller bazında sınırlandırılmıştır.
- Rate Limiting & Brute Force Engelleme: Giriş denemeleri belirli bir eşiği geçtiğinde geçici blokaj uygulanır, kullanıcı bilgilendirilir.
- Kapsamlı Input Validation: Tüm formlar ve API uçları, beyaz liste mantığıyla filtrelenmiş doğrulama kurallarına sahiptir.
- İki Faktörlü Kimlik Doğrulama (2FA): Kullanıcı ve yönetici girişlerinde SMS veya Authenticator uygulamalarıyla 2FA mecburidir.
- Kullanıcı Rollerine Göre Yetkilendirme (RBAC): Her kullanıcı tipi yalnızca kendi görev alanına erişebilir.
3. Veri Güvenliği (Data Security)
Veri, bizim için sadece bilgi değil; müşteriye duyulan güvenin en somut halidir. Bu nedenle:
- Kullanıcı parolalarınız, adres bilgileriniz vs. günümüzün en güvenli parola hashing algoritmalarından biri olan Argon2 ile saklanmaktadır. Bu sayede, brute-force ve rainbow table saldırılarına karşı maksimum koruma sağlanmaktadır.
- Veri Maskeleme: Panel görüntülemelerinde hassas veriler yalnızca son dört hane veya özet formatında gösterilir.
- Veritabanı Erişim Kontrolü: Veritabanına yalnızca uygulama sunucuları erişebilir, doğrudan dış bağlantılar engellenmiştir.
- Yedekleme & Replikasyon: Verilerimiz günlük olarak coğrafi olarak ayrık sunuculara yedeklenir, anlık replikasyon ile kesintisiz veri sürekliliği sağlanır.
4. Uç Nokta ve Sunucu Güvenliği
Sistemimizin çalıştığı tüm fiziksel ve sanal makineler, sürekli gözetim altındadır:
- Anti-Virüs / Anti-Malware Yazılımları: Sunucular, gerçek zamanlı tehdit algılama yazılımlarıyla korunur.
- Port Yönetimi ve Firewall Kuralları: Yalnızca zorunlu portlar açıktır, her gelen-giden paket sıkı kurallar ile değerlendirilir.
- Dosya Bütünlüğü Takibi (File Integrity Monitoring): Kritik dosyalar hash ile izlenir. Dosya değişiklikleri anında kayıt altına alınır.
5. İzleme, Loglama ve Anomali Tespiti
“Bir sistemi güvenli hale getirmek kadar, onu sürekli gözlemlemek de esastır.”
- Gerçek Zamanlı Log İzleme: Uygulama, ağ ve sistem logları merkezi bir platformda toplanmakta ve anlık olarak kendi geliştirdiğimiz yapay zeka modeli Enytra tarafından analiz edilmektedir. Ayrıca, düzenli periyotlarda uzman ekiplerimiz tarafından manuel incelemeler yapılarak, otomatik analizlerin doğruluğu ve kapsamı artırılmaktadır.
- SIEM Entegrasyonu: Anomaliler, davranış sapmaları ve şüpheli erişimler; yapay zeka destekli SIEM araçlarıyla tespit edilir.
- Kritik Olay Bildirimleri: Yetkili ekipler, kritik olaylara karşı anında SMS ve e-posta ile bilgilendirilir.
6. Sürekli Test ve Güncelleme
Güvenlik dinamik bir süreçtir. Bu nedenle:
- Penetrasyon Testleri: Her ay bağımsız güvenlik araştırmacılarının yaptığı pentest raporları incelenir ve önerilen tüm aksiyonlar uygulanır.
- Yazılım Güncellemeleri: Kernel dahil olmak üzere, tüm sistem bileşenleri CVE takibi yapılarak düzenli olarak güncellenir.
- İç Denetim ve Geri Bildirim Mekanizması: Yazılımcılardan bağımsız iç denetim ekipleri tarafından loglar, işlem akışları ve kullanıcı izleme senaryoları test edilir.
Güveninize Değer Veriyoruz
E-ticaret dünyasında, rekabet yalnızca ürün ve fiyat üzerinden değil, müşteriyle kurulan güven bağı üzerinden yürür. Bu nedenle sistemimizin güvenliğini bir “ekstra özellik” değil, “varlık sebebi” olarak görüyoruz. Kullandığımız tüm teknolojiler, sadece günümüzün değil; gelecek yılların tehditlerine karşı da hazırlıklıdır.
Sitemizde geçirdiğiniz her saniye boyunca; verileriniz, ödemeleriniz ve gizliliğiniz titizlikle korunmaktadır.
Siber güvenliğe değil, dijital güvenliğe inanıyoruz. Çünkü bizim için güvenlik; sadece teknolojinin değil, sorumluluğun da ürünüdür.