Fidye yazılımı nedir?
Fidye yazılımı (ransomware), bilgisayarınızdaki ya da sunucunuzdaki dosyaları şifreleyerek erişilemez hale getiren ve bu şifreyi çözmek için ödeme talep eden kötü amaçlı yazılımdır. Ekranda genellikle bir "fidye notu" belirir; dosyalarınız artık açılmaz, uzantıları değişmiş olur.
Küçük ve orta ölçekli işletmeler için tehlike büyüktür: Saldırganlar çoğu zaman belirli bir firmayı değil, açık bırakılmış kapıları hedefler. Güncellenmemiş bir sunucu, internete açık bir uzak masaüstü (RDP) bağlantısı ya da dikkatsizce açılmış bir e-posta eki yeterlidir.
Fidye ödemek verilerinizin geri geleceğini garanti etmez; saldırganları da cesaretlendirir. Güvenilir ve erişilebilir bir yedek, ödeme baskısını ortadan kaldıran tek çözümdür.
Saldırı nasıl ilerler?
Fidye yazılımı saldırıları genellikle tek bir "tık" ile değil, adım adım gerçekleşir. Saldırgan önce içeri girer, ağda ilerler, yedekleri arar ve ancak en sonunda dosyaları şifreler:
(oltalama / açık RDP)
(oltalama / açık RDP)
Her iki işletme de aynı saldırıya uğrar; fark, yedeğin saldırganın erişemeyeceği bir yerde olmasıdır.
Neden yedekler de hedef olur?
Saldırganlar yedeklerin işletmeler için son çare olduğunu bilir. Bu yüzden şifrelemeye başlamadan önce yedekleri aramak ve bozmak, olayın standart bir parçasıdır. Sık görülen zayıflıklar:
- Yedek klasörü, kullanıcıların ve sunucuların aynı hesapla eriştiği bir ağ paylaşımıdır.
- Yedekleme hesabı, tüm sunucularda yönetici yetkisine sahiptir.
- Harici disk sunucuya sürekli takılıdır; şifreleme onu da kapsar.
- Yalnızca tek bir kopya vardır ve eski sürümler saklanmaz; bozulmuş dosya, temiz yedeğin üzerine yazılır.
Savunma katmanları
Yedekleme tek başına yeterli değildir; ama saldırı gerçekleştiğinde son savunma hattıdır. Güçlü bir yapı iki bölümden oluşur:
| Katman | Ne yapar? | Örnekler |
|---|---|---|
| Önleme | Saldırganın içeri girmesini zorlaştırır | Güncel sistem ve yazılımlar, çok adımlı doğrulama (MFA), internete açık RDP'den kaçınma, e-posta filtreleme, çalışan farkındalığı |
| Sınırlama | İçeri giren saldırganın yayılmasını sınırlar | En az yetki prensibi, ağ ayrımı, yönetici hesaplarının ayrılması |
| Yedekleme | Zarar verilse bile geri dönüşü sağlar | Uzak ve şifreli kopya, geçmiş sürümler, ayrı yedekleme hesabı |
| Hazırlık | Saldırıdan sonra hızlı toparlanmayı sağlar | Test edilmiş geri yükleme, olay müdahale planı, iletişim listesi |
Yedeğinizi dokunulmaz kılmanın yolları
- Uzak kopya tutun. En az bir yedek, ana ağınızdan ayrı bir konumda (örneğin uzak bir SFTP sunucusu) durmalı. Bkz. 3-2-1 kuralı.
- Yedeğe ayrı bir hesapla gidin. Yedekleme hesabı, gündelik kullanıcı hesaplarından ve yönetici hesaplarından ayrı olsun; bu hesap saldırganın eline geçmesin.
- Yedek hedefinde silme yetkisini kısıtlayın. Mümkünse yedekleme hesabı yalnızca yazabilsin, mevcut yedekleri silip değiştiremesin.
- Geçmiş sürümleri saklayın. Saldırı birkaç gün geç fark edilebilir; önceki temiz sürüme dönebilmeniz gerekir.
- Çevrimdışı ya da değiştirilemez bir kopya bulundurun. Ağdan ayrılmış bir disk ya da değiştirilemezlik özelliği olan bir depolama bu amaçla kullanılır.
- Yedekleri şifreleyin. Yedek çalınsa bile okunamasın. Bkz. AES-256 şifreleme.
- Yedek bildirimlerini izleyin. Aniden başarısız olan ya da beklenmedik biçimde büyüyen yedekler saldırının işareti olabilir.
- Geri yüklemeyi test edin. Bkz. yedek geri yükleme testi.
Saldırı olursa: ilk adımlar
Panik anında doğru sırayı bilmek zaman kazandırır. Aşağıdaki adımlar genel bir çerçevedir; ciddi bir olayda mutlaka bilgi güvenliği uzmanından destek alın.
- Etkilenen cihazları ağdan ayırın. Ağ kablosunu çekin ya da Wi-Fi'ı kapatın; yayılmayı durdurun. Cihazları hemen kapatmak yerine, mümkünse uzmanın karar vermesini bekleyin.
- Kapsamı belirleyin. Hangi sunucular, paylaşımlar ve veritabanları etkilendi? Yedekler sağlam mı?
- Yedeklere erişimi koruyun. Yedek sunucusunu ve hesaplarını izole edin; saldırgan hâlâ ağdaysa yedeklere de dokunabilir.
- Temiz bir geri dönüş noktası seçin. Saldırıdan önceki, etkilenmemiş sürümü bulun. Bulaşmanın ne zaman başladığını anlamak için geçmiş sürümlerden yararlanın.
- Sistemleri temiz ortamda yeniden kurun. Önce kaynağı temizleyin, ardından verileri geri yükleyin; aksi halde yeniden şifrelenme riski vardır.
- Tüm parolaları ve anahtarları değiştirin. Saldırganın ele geçirmiş olabileceği hesapları sıfırlayın.
- Hukuki bildirimleri değerlendirin. Kişisel veriler etkilendiyse KVKK kapsamında veri ihlali bildirimi yükümlülükleri doğabilir; hukuk danışmanınıza gecikmeden başvurun.
Önemli: Bu liste bir olay müdahale planının yerini tutmaz. Planı saldırı gelmeden hazırlayın: Kim neye karar verir, yedeklere kim erişir, kimler aranır?
DenizBackup bu tabloda nerede durur?
DenizBackup bir güvenlik duvarı ya da antivirüs değildir; yedekleme katmanınızı güçlendiren bir araçtır. Yedeklerinizi AES-256 ile şifreler, FTP/SFTP ile ana ağınızdan ayrı bir sunucuya aktarır, geçmiş sürümleri saklar ve başarısız ya da olağan dışı işlemlerde e-posta bildirimi gönderir. Erişim bilgileri için Windows Credential Manager desteği sunar. Değiştirilemez kopya gibi ek korumaları ise yedek hedefinizin (sunucu ya da depolama) özellikleriyle birlikte kurgulamanızı öneririz.
Devamı: Hangi protokolle göndermeniz gerektiğini FTP, SFTP ve FTPS farkı yazımızda anlattık.
