Bir sabah ofise geldiğinizde dosyaların açılmadığını, uzantılarının değiştiğini ve ekranda bir ödeme talimatı durduğunu düşünün. Muhasebe programı veritabanına ulaşamıyor, ortak klasördeki teklifler okunmuyor, e-ticaret sitenizin yönetim paneli hata veriyor. O andan sonra işinizin ne kadar sürede ve ne kadar kayıpla ayağa kalkacağını belirleyen şey, saldırıdan önce yaptığınız hazırlıktır.
Çoğu işletme “yedek alıyoruz” diyerek bu soruyu kapanmış sayar. Oysa fidye yazılımı vakalarında en sık görülen tablo, yedeğin var olduğu ama işe yaramadığı durumdur: Yedek de şifrelenmiştir, ya eksiktir, ya da geri yüklemesi kimsenin bilmediği bir yöntemle yapılmaktadır. Bu yazıda yedeği gerçekten kullanılabilir kılan kararları ve kriz anında elinizde olması gereken kurtarma planını adım adım anlatıyoruz.
Fidye yazılımı neden önce yedeği arar?
Fidye yazılımının iş modeli basittir: Verinizi kullanılamaz hâle getirir ve geri vermek için ödeme ister. Yedeğiniz sağlamsa bu modelin gücü azalır. Bu yüzden saldırganlar sisteme girdikten sonra çoğu zaman hemen harekete geçmez; önce ağı tanır, yedeklerin nerede durduğunu bulur, erişebildiklerini siler ya da şifreler, sonra asıl saldırıyı başlatır.
Bunun pratik sonucu şudur: Aynı ağda, aynı kullanıcı adı ve parolayla erişilebilen bir yedek, saldırgan açısından sıradan bir klasörden farksızdır. Ofisteki sunucuya takılı harici disk, ortak klasörde duran yedek dosyaları ya da yönetici hesabıyla her yerden açılan bir yedekleme paneli, saldırının ilk hedefleri arasındadır. Hazırlığın merkezinde yedeğin sizden ve sisteminizden ayrı durması yatar.
Önce neyi, ne kadar sürede geri getireceğinize karar verin
Yedekleme teknik bir ayar gibi görünse de önce cevaplanması gereken sorular iş sorularıdır. Her önemli sistem için iki şeyi açıkça yazın:
- Ne kadar veri kaybını göze alabilirsiniz? Son yedekten sonra girilen siparişlerin, faturaların ya da kayıtların kaybolması sizin için ne anlama gelir? Bu cevap yedeğin ne sıklıkla alınacağını belirler.
- Ne kadar kesintiyi göze alabilirsiniz? Sistem durduğunda işin hangi noktada gerçekten aksadığını düşünün. Bu cevap da geri yüklemenin ne kadar hızlı yapılabilmesi gerektiğini, yani yedeğin nerede ve hangi biçimde tutulacağını belirler.
Bu iki soru her sistem için farklı cevaplanır. Online mağazanın sipariş veritabanı ile arşivdeki eski proje dosyaları aynı özeni gerektirmez. Sistemleri önceliğe göre sıralamak, sınırlı bütçeyi doğru yere harcamanızı ve kriz anında neyin önce ayağa kalkacağını baştan bilmenizi sağlar.
Yedeğin kapsamı: Yalnız dosyalar değil
“Yedek” denince akla çoğunlukla belgeler gelir. Oysa bir işi yeniden çalışır hâle getirmek için dosyalardan fazlası gerekir. Kapsamı belirlerken şu başlıkları tek tek gözden geçirin:
- Muhasebe, ERP ve CRM gibi uygulamaların veritabanları
- Web sitesi ve e-ticaret mağazasının dosyaları, veritabanı ve yüklenen görseller
- Uygulamaların yapılandırma dosyaları, lisans bilgileri ve kurulum notları
- E-posta kutuları ve bulut tabanlı ofis uygulamalarındaki belgeler
- Sunucuların ve önemli bilgisayarların sistem kurulumu ya da yeniden kurulum talimatı
Bulut hizmetleri ayrıca dikkat ister. Bir hizmetin verinizi kendi altyapısında güvenle saklaması, yanlışlıkla silinen ya da şifrelenmiş bir dosyanın sizin için geri getirileceği anlamına gelmez. Kullandığınız hizmetin hangi durumda neyi geri getirdiğini sözleşmesinden ve ayarlarından kontrol edin; gerekiyorsa bu veriyi de kendi yedeğinize dahil edin.
Yedeğin yeri: En az bir kopya ulaşılamaz olmalı
Güvenlik dünyasında sık anılan bir ilke vardır: Verinin birden fazla kopyası olmalı, bu kopyalar farklı ortamlarda durmalı ve en az biri ana sistemden fiziksel ya da mantıksal olarak ayrılmış olmalıdır. Fidye yazılımı açısından en kritik parça bu son kopyadır. Bağlantısı kesilmiş bir disk, belirli bir süre boyunca silinemeyecek ve değiştirilemeyecek biçimde ayarlanmış bir bulut depolama alanı ya da yalnız ayrı bir hesapla erişilen uzak bir sistem bu rolü üstlenebilir.
| Yedeğin yeri | Güçlü yanı | Zayıf yanı |
|---|---|---|
| Aynı sunucuda | Hızlı geri yükleme | Saldırıda ilk giden |
| Ağdaki ayrı disk | Kolay erişim | Aynı ağdan şifrelenebilir |
| Ayrı hesaplı bulut | Uzakta, büyüyebilir | Hesap korunmalı |
| Değiştirilemez ya da bağlantısız kopya | Saldırgan silemez | Geri yükleme daha yavaş |
Tek bir doğru yer yoktur; doğru kurgu bunların birkaçını birlikte kullanır. Hızlı geri dönüş için yakındaki kopya, saldırıya dayanmak için ulaşılamayan kopya.
Ne kadar geriye gidebilmelisiniz?
Fidye yazılımı her zaman sisteme girdiği gün fark edilmez. Saldırgan bir süre içeride kalmışsa, en son yedekte de zararlı yazılım ya da açık bırakılmış bir arka kapı bulunabilir. Bu yüzden yalnız en güncel yedeği tutmak yetmez; geriye doğru birden fazla sürümü saklamak gerekir. Böylece temiz olduğundan emin olduğunuz bir noktaya dönebilirsiniz.
Saklama süresi belirlenirken iki ihtiyaç dengelenir: saldırının geç fark edilme ihtimaline karşı yeterince geriye gidebilmek ve depolama maliyetini makul tutmak. Sık değişen veriler için kısa aralıklı ama çok sürümlü, nadiren değişen arşivler için seyrek ama uzun saklanan bir düzen çoğu işletmeye uyar. Kişisel veri içeren yedeklerde ise verinin gereğinden uzun tutulmaması da ayrı bir yükümlülük olabilir; bunu hukuk danışmanınızla değerlendirin.
Yedeğe erişimi ayrıca koruyun
Yedek ne kadar ayrı tutulursa tutulsun, onu yöneten hesap ele geçirilirse koruma çöker. Yedekleme sisteminin yönetici hesabı günlük işlerde kullanılan hesaplardan ayrı olmalı, iki adımlı doğrulamayla korunmalı ve yalnız gerçekten ihtiyacı olan kişilerde bulunmalıdır. Yedeklerin şifrelenmesi de önemlidir; yedek dosyası çalınırsa içindeki müşteri ve finans verisi okunamamalıdır. Şifreleme anahtarının nerede saklandığı ise planın parçasıdır: Anahtar yalnız şifrelenen sistemin içinde duruyorsa, saldırıdan sonra yedeği açamayabilirsiniz.
Geri yükleme denemesi nasıl yapılır?
Hiç denenmemiş bir yedek, kâğıt üzerinde bir umuttur. Deneme yapılmadan yedeğin eksik olduğu, bozulduğu ya da geri yükleme adımlarının bilinmediği ancak kriz anında anlaşılır. Düzenli bir deneme şöyle kurgulanabilir:
- Denenecek sistemi seçin; zamanla tüm önemli sistemler sırayla denenmiş olsun.
- Geri yüklemeyi canlı sistemi etkilemeyecek ayrı bir ortamda yapın.
- Uygulamanın gerçekten açıldığını, son kayıtların yerinde olduğunu ve kullanıcıların giriş yapabildiğini kontrol edin.
- Geri yüklemenin ne kadar sürdüğünü ve hangi adımlarda takıldığınızı not edin.
- Sonucu kayda geçirin, eksikleri düzeltin ve kurtarma planını buna göre güncelleyin.
Bu denemenin yan faydası da büyüktür: Geri yüklemeyi bir kez yapmış bir ekip, gerçek bir olayda panik yerine bilinen adımları izler.
Kurtarma planında neler yazmalı?
Kurtarma planı, kriz anında açılacak kısa ve uygulanabilir bir belgedir. Uzun bir politika metni değil, adım adım bir yol haritasıdır. İçinde en azından şunlar bulunmalıdır: sistemlerin geri getirilme sırası, her sistemin yedeğinin nerede durduğu ve nasıl geri yükleneceği, kimin hangi kararı vereceği, ulaşılacak kişilerin ve tedarikçilerin iletişim bilgileri, müşterilere ve çalışanlara ne söyleneceği.
Plan nerede durmalı?
Planın kendisi de saldırıdan etkilenmeyecek bir yerde olmalıdır. Yalnız şirket sunucusunda duran bir kurtarma planı, o sunucu şifrelendiğinde okunamaz. Basılı bir kopya ve sistemlerden ayrı tutulan güvenli bir çevrim içi kopya bu sorunu çözer. Planın güncel olduğunu düzenli olarak kontrol etmek de unutulmamalıdır; ayrılan bir çalışanın adı ya da değişmiş bir telefon numarası kriz anında zaman kaybettirir.
Saldırı anında ilk adımlar
Bir fidye yazılımı belirtisi gördüğünüzde ilk amaç zararın yayılmasını durdurmaktır. Etkilenen bilgisayarları ve sunucuları ağdan ayırın, ancak kanıtı korumak için gelişigüzel silme ve yeniden kurma işlemine girişmeyin. Hangi sistemlerin etkilendiğini, saldırının nereden girdiğini ve yedeklerin temiz olup olmadığını anlamadan geri yükleme yapmak, aynı açığın yeniden kullanılmasına yol açabilir.
Kişisel veri etkilendiyse 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğünüz doğabilir. Bildirimin kapsamını ve süresini güncel mevzuattan ve hukuk danışmanınızdan doğrulayın. Fidye ödeme konusu ise hem hukuki hem de pratik riskler taşır; ödeme yapılması verinin geri geleceği ya da yeniden kullanılmayacağı anlamına gelmez. Bu yüzden asıl yatırım, ödeme seçeneğini düşünmek zorunda kalmayacağınız bir hazırlıktır.
Bunny Soft yedekleme ve kurtarma çalışmasını nasıl yürütüyor?
Önce hangi site, sunucu, uygulama ve verinin korunması gerektiğini sizinle birlikte listeliyoruz. Ardından sistemlerinizi inceleyip açıkları ve yanlış yapılandırmaları önem sırasıyla raporluyor, öncelikli olanları kapatıyoruz. Bir sorun olduğunda verinizi geri getirecek, sistemlerinizden ayrı tutulan yedekleri kuruyoruz. Yedeklerin yalnız alınmasını değil, geri yüklemenin düzenli olarak denenmesini de planlıyor ve sonucunu kayıt altına alıyoruz.
Yedeğe ve sistemlere kimin erişebildiğini düzenleyen yetki ve parola politikalarını işinize özel kuruyor, güvenlik duvarı ve izleme gibi ihtiyaçlarda yurt içi ve yurt dışı çözüm ortaklarımızın ürünlerini sisteminize uygun yapılandırıyoruz. Bir güvenlik olayı yaşanıyorsa önceliğimiz zararı sınırlamaktır: Etkilenen sistemleri ayırıyor, yetkisiz erişimi kesiyor ve kanıtları koruyoruz; ardından açığı kapatıp tekrarını önleyecek önlemleri raporla birlikte uyguluyoruz. Bilgi güvenliği, kişisel veri ve iş sürekliliği yönetim sistemlerimiz uluslararası standartlara göre belgelendirilmiştir.
Yedeklerinizi denenmiş ve saldırıya dayanıklı hâle getirmek için siber güvenlik sayfamızda kapsamı ve süreci bulabilirsiniz.
