Fidye Yazılımına Karşı Immutable Backup: Yedeğiniz Şifrelenemesin

Kısa cevap: modern fidye yazılımının ilk hedefi verileriniz değil, yedeklerinizdir. Ağa sızan saldırgan önce yedekleme sunucusunu bulup şifreler veya siler, sonra üretimi kilitler; böylece “yedekten döneriz” savunmanızı elinizden alır. Buna karşı tek gerçek savunma, saldırganın yönetici hakkıyla bile dokunamayacağı değiştirilemez (immutable) bir kopyadır. Bu yazıda katmanlı savunmayı kuruyoruz.

Neden klasik yedek yetmiyor?

Fidye saldırısı bir anda olmaz. Tipik akış:

1. Sızma (oltalama, açık servis, çalınmış kimlik bilgisi)
2. Günler süren sessiz keşif: ağ haritalama, yetki yükseltme
3. Yedek avı: yedekleme sunucusu, NAS, bağlı depolar bulunur ve önce onlar şifrelenir/silinir
4. Üretim verisinin şifrelenmesi ve fidye notu

Adım 3 kritiktir: ağdan erişilebilen ve yazılabilen her yedek, bu aşamada saldırganın hakkına tabidir. Yönetici hesabınız ele geçirilmişse, o hesabın silebildiği yedek de gitmiştir. Bu yüzden fidye çağında yedek stratejisi, veri kaybı stratejisinden farklı düşünülmelidir. Sızmayı en baştan zorlaştırmak için ise ağınızın saldırıya açıklığını bilmek gerekir.

3-2-1’den 3-2-1-1-0’a

Klasik kural veri kaybına karşı iyidir ama fidyeye karşı eksiktir:

Rakam	Anlamı	Fidyeye katkısı
3	En az 3 kopya	Tek nokta arızasını eler
2	2 farklı ortam/teknoloji	Ortam arızasını eler
1	1 dış konum (offsite)	Yerel felaketi (yangın, hırsızlık) eler
+1	1 kopya çevrimdışı veya değiştirilemez	Fidyeyi eler (dokunulamaz kale)
+0	0 doğrulama hatası	Yedeğin gerçekten çalışacağını kanıtlar

Fidye savunmasının kalbi son iki rakamdır: bir kopya saldırganın ulaşamayacağı yerde durmalı ve o kopyanın açıldığı test edilmiş olmalıdır.

Immutability ve air gap: iki dokunulmazlık

Immutable (değiştirilemez) yedek: belirli bir saklama süresi boyunca hiç kimsenin, yönetici dahil, değiştiremeyeceği/silemeyeceği kopya. Sağlama yolları:

• Nesne depolamada object lock (S3-uyumlu WORM): yedek yazıldıktan sonra kilitlenir, süre dolana dek değişmez.
• Hardened repository: yedekleme yazılımının, silme komutlarını işletim sistemi seviyesinde reddeden özel deposu.
• Bant (tape): yazıldıktan sonra fiziksel yazma korumasıyla rafta bekleyen kopya.

Air gap (hava boşluğu): yedeğin ağdan fiziksel/mantıksal olarak kopuk olması. Erişilemeyen şey şifrelenemez. Bant kütüphanesinin rafa kaldırılması, çevrimdışı disk rotasyonu veya yalnız yedek penceresinde açılan bağlantı bunun örnekleridir.

İkisi birbirini tamamlar. En güçlü kurulum hem çevrimiçi bir immutable repository hem de çevrimdışı bir air-gapped kopya barındırır: biri hızlı kurtarma, öteki son kale.

Pratik katmanlı kurulum (KOBİ ölçeği)

Abartıya kaçmadan gerçekçi bir desen:

1. Yerel yedek: hızlı geri dönüş için üretim yanında (disk/NAS). Günlük.
2. Immutable offsite: S3-uyumlu object lock’lu bir depoya veya hardened repository’ye kopya. Bu, fidye saldırısında hayatta kalan kopyadır.
3. Periyodik air-gapped kopya: haftalık/aylık çevrimdışı disk veya bant; en kritik veri için son kale.
4. Erişim ayrımı: yedekleme sistemi kimlik bilgileri üretim yöneticisinden ayrı olmalı; üretim ele geçse bile yedek düzlemi ayrı kalsın.

Bu, yedekleme hizmetimizin fidye-dayanıklı kurulumlarında uyguladığımız iskelettir; ölçek büyüdükçe (sanal makine sayısı, RPO/RTO hedefleri) katmanlar detaylanır ama ilke sabittir.

En sık atlanan adım: geri dönüş tatbikatı

3-2-1-1-0’daki 0, en çok göz ardı edilen ama en belirleyici rakamdır. Yedeğinizin işe yarayıp yaramadığını yalnızca onu geri yükleyerek bilirsiniz:

• Periyodik olarak yedeği izole bir ortama geri yükleyin (üretime değil).
• Açıldığını, verinin tutarlı olduğunu, uygulamanın çalıştığını kanıtlayın.
• Kurtarma süresini ölçün; RTO hedefinizle karşılaştırın.

Hiç test edilmemiş yedek, kriz gününe saklanmış bir sürprizdir. Immutability sizi şifrelenmekten korur; tatbikat, o yedeğin gerçekten açılacağını garanti eder.

Bütünü birleştirmek

Fidye savunması tek katman değildir: ağ segmentasyonu ve firewall sızmayı zorlaştırır, izleme erken uyarı verir, immutable + air-gapped yedek en kötü senaryoda ayakta kalmanızı sağlar. Kurumunuz için bu katmanları birlikte kurgulamak, fidye-dayanıklı yedek mimarisi tasarlamak veya mevcut yedeğinizin gerçekten fidyeye dayanıklı olup olmadığını denetlemek isterseniz SiberKale yedekleme ve siber güvenlik hizmetlerimizden ulaşabilirsiniz.