Fidye yazılımından korunma: işletmeler için katmanlı savunma

Pazartesi sabahı muhasebe sunucusundaki dosyaların uzantısı değişmiş, her klasörde bir “okuyun” dosyası duruyor. ERP açılmıyor, üretim planı yazdırılamıyor. Fidye yazılımı (ransomware) saldırısı çoğu işletmede böyle fark edilir; oysa saldırgan çoğu zaman günler önce içeridedir. Fidye yazılımı, dosyaları şifreleyerek erişilemez hâle getiren ve çözmek için ödeme isteyen zararlı yazılımdır. Son yıllarda saldırganlar veriyi şifrelemeden önce kopyalayıp “ödemezseniz yayımlarız” diye ikinci bir tehdit de ekliyor. Bu yazıda saldırıların nasıl başladığını ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) #StopRansomware rehberindeki önerileri temel alarak katmanlı bir savunmanın nasıl kurulacağını anlatıyoruz.

Fidye yazılımı içeri nasıl girer?

CISA’nın rehberi, ilk erişimin genellikle birkaç tanıdık yoldan gerçekleştiğini vurgular:

• İnternete açık güvenlik açıkları: Güncellenmemiş bir VPN cihazı, e-posta sunucusu ya da web uygulaması.
• Ele geçirilmiş kimlik bilgileri: Sızdırılmış ya da tahmin edilen parolalar, özellikle ikinci doğrulama adımı olmayan hesaplarda.
• Kimlik avı: Zararlı ek ya da bağlantı içeren e-postalar.
• Uzak masaüstü (RDP): İnternete doğrudan açılmış uzak masaüstü bağlantıları.
• Üçüncü taraflar: Ağınıza erişimi olan hizmet sağlayıcılar ve tedarikçiler.

İçeri giren saldırgan önce yetkisini yükseltir, ağı tanır, yedekleri bulur ve mümkünse siler, veriyi dışarı kopyalar. Şifreleme bu zincirin son halkasıdır. Savunma da bu yüzden tek bir noktada değil, zincirin her halkasında kurulmalıdır.

1. Katman: Kapıları kapatın

Güncelleme ve yama

İnternete açık sistemlerdeki açıklar önceliklidir. Güvenlik duvarı, VPN, e-posta sunucusu ve dışarıdan erişilen uygulamaların güncellemeleri ertelenmemelidir. Düzenli açık taraması, neyin güncel olmadığını görmenin en kolay yoludur.

Çok faktörlü kimlik doğrulama

E-posta, VPN ve yönetici hesaplarında şifrenin yanına ikinci bir doğrulama adımı eklemek, çalınan bir parolanın tek başına işe yaramamasını sağlar. CISA, mümkün olduğunda kimlik avına dayanıklı yöntemleri önerir.

Uzak erişimi sınırlayın

Uzak masaüstünü doğrudan internete açmayın. Uzaktan erişim, çok faktörlü doğrulama ile korunan bir VPN üzerinden ve yalnızca ihtiyacı olan kişilere verilmelidir. Dış firmaların erişimi de süreli ve kayıt altında olmalıdır.

2. Katman: Ağda ve cihazda durdurun

Kapıdan bir şey sızarsa, ikinci katman onu yayılmadan yakalamalıdır.

• Güvenlik duvarı: Saldırı önleme, web filtreleme ve bilinen zararlı adreslere erişimin engellenmesi, zararlının dışarıdaki komuta sunucusuyla iletişimini de keser. Ayrıntılar için ağ güvenliği sayfamıza bakabilirsiniz.
• Ağ bölümlendirme: Misafir ağı, üretim ağı, sunucular ve kullanıcı bilgisayarları ayrı bölümlerde olmalıdır. Düz bir ağda bir bilgisayara bulaşan zararlı her yere ulaşır.
• Uç nokta güvenliği: Davranış tabanlı koruma, toplu şifreleme girişimini dosyalar kaybolmadan durdurabilir. EDR ise saldırının nereden başladığını ve hangi cihazlara yayıldığını gösterir. Bkz. uç nokta güvenliği.
• E-posta filtreleme: Zararlı ekleri ve bağlantıları kullanıcıya ulaşmadan ayıklar. E-postayla gelen Office dosyalarındaki makroların kapatılması da CISA’nın önerileri arasındadır.

3. Katman: Yetkiyi daraltın

Fidye yazılımı, onu çalıştıran hesabın erişebildiği her şeyi şifreler. Herkesin her klasöre yazabildiği bir dosya sunucusu, saldırganın işini kolaylaştırır.

• Kullanıcılar günlük işlerini yönetici yetkisi olmayan hesaplarla yapmalı.
• Alan yöneticisi hesapları az sayıda, ayrı ve yalnızca yönetim işleri için kullanılmalı.
• Ayrılan çalışanların ve kullanılmayan servis hesaplarının erişimi kapatılmalı.
• Paylaşılan klasörlerde yalnızca ihtiyacı olanın yazma yetkisi olmalı.

Bu işlerin düzenli yürütülmesi için kimlik ve erişim yönetimi sayfamıza göz atabilirsiniz.

4. Katman: Geri dönebileceğiniz yedek

Diğer katmanlar saldırının olasılığını azaltır; yedek ise saldırı başarılı olduğunda işin devam edip etmeyeceğini belirler. Saldırganlar bunu bildiği için önce yedekleri hedef alır. Aynı ağda, aynı yönetici hesabıyla erişilen bir yedek, asıl sistemle birlikte şifrelenebilir.

CISA, kritik verilerin çevrimdışı ve şifreli yedeklerinin tutulmasını ve bu yedeklerin düzenli olarak test edilmesini önerir. Pratikte bu şu anlama gelir:

• Verinin birden fazla kopyası olmalı ve en az biri farklı bir lokasyonda durmalı.
• En az bir kopya çevrimdışı ya da değiştirilemez olmalı; saldırgan yönetici yetkisini ele geçirse bile silinememeli.
• Yedekleme sisteminin yönetim hesabı etki alanından ayrı tutulmalı ve çok faktörlü doğrulamayla korunmalı.
• Geri yükleme düzenli olarak denenmeli; yedeğin çalıştığı varsayılmamalı.

Bu yaklaşımın adı 3-2-1-1-0 yedekleme kuralıdır. Değiştirilemez yedeğin nasıl çalıştığını değiştirilemez yedek nedir yazımızda anlattık. Çözümler için yedekleme sayfamıza bakabilirsiniz.

Saldırı anında ne yapılmalı?

Hazırlığın son parçası, saldırı olduğunda kimin ne yapacağının önceden yazılmış olmasıdır. CISA’nın müdahale listesindeki ilk adımlar şöyle özetlenebilir:

1. Etkilenen cihazları hemen ağdan ayırın. Ağdan ayırmak mümkün değilse kapatmak son çaredir; kapatmanın bellekteki delilleri yok edebileceğini unutmayın.
2. Kapsamı belirleyin. Hangi sistemler etkilendi, hangileri sağlam? Önce kritik sistemlerin geri dönüş sırasını belirleyin.
3. Yedekleri koruyun. Yedek sistemlerini saldırganın erişimine karşı yalıtın; temizlik tamamlanmadan geri yüklemeye başlamayın.
4. Giriş noktasını bulun ve kapatın. Aksi hâlde geri yüklenen sistem yeniden şifrelenebilir.
5. Bildirim yükümlülüklerini değerlendirin. Kişisel veriler etkilendiyse KVKK kapsamındaki bildirim süreci başlar; hukuk danışmanınızı erkenden sürece dahil edin.

CISA fidye ödenmesini önermez: Ödeme yapılsa bile verinin geri geleceği ya da yayımlanmayacağı kesin değildir; ödeme, saldırganları yeni saldırılara da teşvik eder.

Unna ile fidye yazılımına karşı savunma

Fidye yazılımına karşı tek bir ürün yoktur; ağdan yedeğe uzanan, birbirini tamamlayan katmanlar vardır. Unna olarak bu katmanları birlikte ele alırız.

1. Önce dinleriz. Kritik sistemlerinizi, uzak erişim düzeninizi, yetki yapınızı ve yedeklerinizin nerede durduğunu birlikte gözden geçiririz.
2. Birlikte planlarız. En büyük açıklardan başlayarak güvenlik duvarı, uç nokta güvenliği, yetki düzeni ve yedekleme için önceliklendirilmiş bir yol haritası çıkarırız.
3. Kurar ve test ederiz. Çözümleri devreye alır, bir geri yükleme testiyle gerçekten geri dönebildiğinizi birlikte görürüz.
4. Yanınızda kalırız. Güncellemeleri, uyarıları ve yedek raporlarını düzenli olarak takip ederiz.

Mevcut durumunuzu birlikte değerlendirmek için bize yazın.