Fidye yazılımı saldırılarının yöntemi son yıllarda değişti. Eskiden hedef yalnızca üretim verisiydi; bugün saldırganın ilk işlerinden biri yedekleri bulup silmek veya şifrelemek. Mantıklı da: yedeği duran bir kurbandan fidye alamazsınız.
Bu yüzden "yedeğim var" cümlesi artık tek başına bir güvence değil. Asıl soru, yedeğinizin sizin bile silemeyeceğiniz bir kopyasının olup olmadığı.
Değiştirilemez kopya nedir?
Immutable (değiştirilemez) yedek, belirlenen saklama süresi boyunca hiçbir hesap tarafından silinemeyen, üzerine yazılamayan ve değiştirilemeyen kopyadır. Yönetici hesabı da buna dahildir. Saklama süresi dolmadan o veriyi kimse yok edemez.
Klasik yedekten farkı burada. Klasik kurguda yedekleme sunucusuna yönetici yetkisiyle erişen biri, yedekleri sıradan bir dosya gibi silebilir. Değiştirilemez kopyada silme komutu, yetkiden bağımsız olarak depolama katmanında reddedilir.
Neden yalnızca "erişim yetkisi kısıtlamak" yetmiyor?
Çünkü fidye yazılımı saldırılarının büyük kısmı çalınmış meşru kimlik bilgileriyle yürüyor. Saldırgan sisteme bir açıktan girmiyor; sizin yöneticinizin parolasıyla giriyor. Yetki kısıtlaması, kimlik doğrulamayı geçmiş birine karşı koruma sağlamaz.
Değiştirilemezlik farklı bir varsayımla çalışır: "Saldırgan en yüksek yetkiyi ele geçirdiyse bile bu veriye dokunamamalı." Güvenlik mimarisinde buna en kötü durumu varsaymak denir ve yedekleme katmanında yapılacak en doğru şeydir.
Hangi senaryoda hayat kurtarır?
Tipik akış şöyle işler:
- Saldırgan bir kullanıcı hesabıyla ağa giriyor ve haftalarca sessizce yetki yükseltiyor.
- Yedekleme altyapısını buluyor; saklama sürelerini kısaltıyor veya işleri siliyor.
- Ancak bundan sonra üretim verisini şifreliyor ve fidye notunu bırakıyor.
Değiştirilemez kopya olmayan bir kurumda bu noktada masada tek seçenek kalır: ödemek. Değiştirilemez kopya varsa, ikinci adım başarısız olur — saklama penceresi içindeki kopya yerinde durur ve geri dönüş mümkündür.
Değiştirilemez yedek, saldırıyı engellemez. Saldırının sizi pazarlık masasına oturtmasını engeller.
Kurarken dikkat edilmesi gerekenler
- Saklama süresi, fark etme süresinden uzun olmalı. Saldırıların ortalama fark edilme süresi haftalarla ölçülüyor. Yedeğiniz 7 gün değiştirilemez ama saldırı 30 gün önce başladıysa, elinizdeki tüm değiştirilemez kopyalar zaten ele geçirilmiş sistemin kopyalarıdır.
- Değiştirilemezlik offsite kopyada da olmalı. 3-2-1 kuralındaki tesis dışı kopya, korunması en kritik olanıdır.
- Geri dönüş yine test edilmeli. Silinemeyen ama açılamayan bir yedek işe yaramaz. Değiştirilemezlik, geri dönüş testinin yerine geçmez — o testin neden şart olduğunu ayrı bir yazıda anlattık.
- Şifreleme anahtarı ayrı yerde durmalı. Yedek saklamada AES-256 ile şifreli olmalı, anahtar ise yedeklenen sistemin dışında.
Bizde nasıl çalışıyor?
Yedekleme çözümlerimizde değiştirilemez kopya standart kapsamda. 3-2-1 kuralına göre kurgular, saklamada AES-256 ile şifreler ve aylık geri dönüş testiyle doğrularız — testin sonucunu rapor olarak size iletiriz.
Mevcut yedekleme kurgunuzun fidye yazılımı senaryosunda ayakta kalıp kalmayacağını birlikte değerlendirmek isterseniz backup çözümlerimize bakabilir veya teklif formundan ulaşabilirsiniz.