Fidye yazılımı saldırısı yaşayan bir işletmenin ilk sorusu genellikle aynıdır: “Yedeklerimiz sağlam mı?” Cevap çoğu zaman yedeklerin nerede ve nasıl durduğuna bağlıdır. Ağa bağlı, yönetici hesabıyla erişilebilen bir yedek, saldırgan için canlı sistemden farksızdır. Değiştirilemez (immutable) yedek, bu sorunu çözmek için geliştirilmiş bir yöntemdir: yedek yazıldıktan sonra belirlenen süre boyunca silinemez, üzerine yazılamaz ve değiştirilemez. Bu yazıda değiştirilemez yedeğin nasıl çalıştığını, hangi yöntemlerle kurulduğunu ve sınırlarını anlatıyoruz. Saldırıya karşı alınacak diğer önlemler için fidye yazılımından korunma yazımıza da göz atabilirsiniz.
Fidye yazılımı neden önce yedeklere gider?
Saldırganın amacı fidyeyi ödetmektir. Temiz bir yedekten geri dönebilen bir işletme fidye ödemez. Bu yüzden birçok fidye yazılımı, verileri şifrelemeden önce ağda erişebildiği yedekleri arar ve bunları siler ya da şifreler. ABD siber güvenlik ajansı CISA’nın fidye yazılımı rehberi de bu davranışa dikkat çeker ve kritik verilerin çevrim dışı, şifreli yedeklerinin tutulmasını, bu yedeklerin düzenli olarak test edilmesini önerir.
Tipik bir senaryo şöyledir: Saldırgan bir kimlik avı e-postasıyla bir bilgisayara girer, oradan etki alanı yöneticisi yetkisi elde eder. Bu yetkiyle yedekleme sunucusuna bağlanır, yedek dosyalarını siler ya da saklama sürelerini sıfırlar. Ardından sunucuları şifreler. Yedekleme yazılımı ne kadar iyi olursa olsun, yedeklerin durduğu depolama bu yetkiye açıksa sonuç değişmez.
Değiştirilemez yedek nedir?
Değiştirilemez yedek, bir kez yazıldıktan sonra belirli bir saklama süresi boyunca yalnızca okunabilen yedektir. Bu yaklaşımın teknik adı WORM’dur (write once, read many: bir kez yaz, çok kez oku). Saklama süresi dolana kadar yedek dosyası silinemez, üzerine yazılamaz ve saklama süresi kısaltılamaz.
Buradaki kritik nokta şudur: Koruma, yedekleme yazılımının bir ayarı olarak değil, depolamanın kendisinde uygulanır. Yedekleme konsoluna giren bir saldırgan “yedeği sil” komutu verse bile depolama bu komutu reddeder. Doğru kurulduğunda, yetkili bir yönetici hesabı da süre dolmadan bu yedeği silemez.
Nasıl kurulur?
Nesne depolamada nesne kilidi
S3 uyumlu nesne depolama sistemlerinin birçoğu nesne kilidi (Object Lock) özelliği sunar. Amazon S3’te bu özelliğin iki modu vardır. Yönetim (governance) modunda özel yetkiye sahip kullanıcılar kilidi kaldırabilir. Uyumluluk (compliance) modunda ise kilitli bir nesne, saklama süresi boyunca hesabın en yetkili kullanıcısı dahil hiç kimse tarafından silinemez, saklama süresi de kısaltılamaz. Veeam, nesne depolamadaki değiştirilemez yedeklerde uyumluluk modunu kullanır.
Güçlendirilmiş Linux deposu
Yerel yedekler için Veeam’in güçlendirilmiş depo (Hardened Repository) yaklaşımı, sıradan bir Linux sunucusunu değiştirilemez bir yedek hedefine dönüştürür. Depo eklenirken yedeklerin ne kadar süre değiştirilemez kalacağı belirlenir; bu süre boyunca yedek dosyaları taşınamaz, değiştirilemez ve silinemez. Depo, yalnızca kurulum sırasında bir kez kullanılan ve yedekleme altyapısında saklanmayan kimlik bilgileriyle eklenir. Böylece yedekleme sunucusu ele geçirilse bile saldırgan bu kimlik bilgileriyle depoya bağlanamaz.
Çevrim dışı kopyalar
En eski yöntem hâlâ geçerlidir: ağdan fiziksel olarak ayrılmış bir kopya. Teyp kartuşları ya da yedek alındıktan sonra sökülen diskler bu gruba girer. Ağa bağlı olmayan bir kopyaya uzaktan ulaşılamaz. Dezavantajı, düzenli insan müdahalesi gerektirmesi ve geri dönüşün daha yavaş olmasıdır.
| Yöntem | Nerede kullanılır? | Dikkat edilecek nokta |
|---|---|---|
| Nesne kilidi | Bulut ya da şirket içi nesne depolama | Mod ve saklama süresi doğru seçilmeli |
| Güçlendirilmiş Linux deposu | Yerel yedekleme hedefi | Sunucuya erişim ve zaman ayarı sıkı korunmalı |
| Çevrim dışı kopya | Teyp, sökülebilir disk | Düzenli ve disiplinli operasyon gerekir |
Bu yöntemler birbirinin alternatifi değildir, birlikte kullanılabilir. Sık görülen bir yapıda, hızlı geri dönüş için yerel yedekler güçlendirilmiş bir depoda değiştirilemez olarak tutulur; bu yedeklerin bir kopyası da nesne kilidi açık bir uzak depoya gönderilir. Böylece hem binanın kaybedildiği hem de ağın ele geçirildiği senaryolar için ayrı birer güvence olur. Hangi kopyanın ne kadar süre değiştirilemez kalacağı, depolama kapasitesi ve saklama politikasıyla birlikte planlanır.
Değiştirilemez yedek neyi korumaz?
Değiştirilemez yedek güçlü bir önlemdir, ama tek başına yeterli değildir. Sınırlarını bilmek, yanlış bir güven duygusunu önler.
- Veri sızdırmayı önlemez. Bugün birçok saldırgan veriyi şifrelemeden önce dışarı çıkarır ve yayınlamakla tehdit eder. Yedek, verinizi geri getirir; sızan veriyi geri almaz.
- Yedeğin içindekini temizlemez. Saldırgan haftalardır ağınızdaysa, yedeklerde de onun bıraktığı zararlı yazılım olabilir. Geri yüklemeden önce yedeğin temiz olduğundan emin olmak gerekir.
- Kısa saklama süresi yetmez. Saldırı fark edildiğinde değiştirilemez kopyaların hepsi saldırı sonrasına aitse, temiz bir noktaya dönemezsiniz. Saklama süresi, bir saldırının fark edilmeden kalabileceği süre düşünülerek belirlenmelidir.
- Depolamanın kendi güvenliğine bağlıdır. Depolama cihazının yönetim arayüzü ya da zaman ayarı saldırgana açıksa koruma zayıflar. Bu sistemler ayrı ve sıkı yetkilendirilmelidir.
- Geri dönüş planının yerini tutmaz. Sağlam bir yedeğiniz olsa bile, saldırı sonrasında hangi sistemin hangi sırayla, hangi temiz ağda geri yükleneceği önceden yazılı olmalıdır. Bu sorulara kriz anında cevap aramak, geri dönüşü uzatır.
- Maliyeti vardır. Saklama süresi boyunca yedekler silinemediği için depolama kapasitesi buna göre planlanmalıdır.
Kısa kontrol listesi
- Yedeklerinizin en az bir kopyası değiştirilemez ya da çevrim dışı mı?
- Yedekleme sistemi etki alanından ayrı kimlik bilgileriyle mi yönetiliyor, çok faktörlü kimlik doğrulama açık mı?
- Saklama süresi, bir saldırının fark edilmeden geçebileceği süreyi kapsıyor mu?
- Değiştirilemez kopyadan en son ne zaman gerçek bir geri yükleme testi yaptınız?
- Bir kopya binanın dışında mı?
Bu maddeler, 3-2-1-1-0 yedekleme kuralının son iki rakamına karşılık gelir: bir çevrim dışı ya da değiştirilemez kopya ve sıfır hata.
Unna ile değiştirilemez yedek
Değiştirilemez yedek bir ürün satın alarak değil, doğru kurgulanmış bir mimariyle elde edilir. Kurduğumuz yapılarda şu adımları izliyoruz:
- Önce dinleriz. Mevcut yedeklerinizin nerede durduğunu, kimlerin bunlara erişebildiğini ve bir saldırıda hangilerinin etkilenebileceğini birlikte çıkarırız.
- Birlikte planlarız. Hangi kopyanın değiştirilemez olacağını, saklama sürelerini ve depolama kapasitesini belirleriz.
- Kurar ve test ederiz. Veeam ile yerel güçlendirilmiş depo ya da nesne kilitli uzak depo kurar, yedekleme sistemine ayrı yetkilendirme uygular, ardından gerçek bir geri yükleme testi yaparız.
- Yanınızda kalırız. Yedek görevlerini, kapasiteyi ve saklama sürelerini izler, periyodik geri yükleme testleriyle yedeğin gerçekten işe yaradığını düzenli olarak doğrularız.
Değiştirilemez yedek, katmanlı korumanın son halkasıdır. Güvenlik duvarı ve uç nokta güvenliği saldırıyı önlemeye çalışır; yedek, önlenemeyen durumda geri dönüşü sağlar. Tüm seçenekleri yedekleme sayfamızda bulabilirsiniz.
