Saldırganlar artık önce yedekleri hedef alıyor. 3-2-1-1-0 kuralı, değiştirilemez depolama, ayrık kimlik yönetimi ve düzenli geri dönüş testleriyle fidye yazılımına karşı gerçekten işe yarayan bir yedekleme mimarisi nasıl kurulur?
Fidye yazılımı saldırılarında artık klasik senaryo değişti. Saldırganlar sisteme girdikten sonra hemen dosyaları şifrelemiyor; önce yedekleme altyapısını buluyor, yedekleri siliyor ya da şifreliyor, ardından üretim ortamına geçiyor. Yedeği olmayan şirket ise fidyeyi ödemekle aylar sürecek bir yeniden kurulum arasında kalıyor. Bu yüzden "yedeğimiz var" demek yetmiyor; soru, yedeğin saldırgana rağmen ayakta kalıp kalmayacağı.
Değiştirilemez Yedek Ne Demek?
Değiştirilemez (immutable) yedek, belirlenen saklama süresi dolmadan hiç kimse tarafından silinemeyen, şifrelenemeyen veya üzerine yazılamayan yedektir. "Hiç kimse" ifadesine yönetici hesapları da dahildir. Saldırgan en yetkili hesabı ele geçirse bile bu yedeklere dokunamaz. Bu yaklaşıma WORM (Write Once, Read Many — bir kez yaz, çok oku) da denir.
Değiştirilemezliği Sağlamanın Yolları
- Nesne kilidi (S3 Object Lock): S3 uyumlu depolamada her nesneye saklama süresi atanır. "Compliance" modunda süre dolmadan nesne kimse tarafından silinemez; "governance" modunda özel yetkili hesaplar silebilir. Fidye senaryosu için compliance modu tercih edilmelidir.
- Sertleştirilmiş Linux deposu: Yedekleme yazılımının değiştirilemezlik özelliğini kullanan, SSH erişimi kapalı, tek kullanımlık kimlik bilgileriyle kurulmuş özel bir depo sunucusu (Veeam Hardened Repository bunun yaygın bir örneğidir).
- Çevrim dışı kopya (air-gap): Teyp veya ağdan fiziksel olarak ayrılan medya. Yavaş ama saldırganın ağ üzerinden erişemeyeceği bir kopyadır.
- Lokasyon dışı yönetilen yedek: Yedeğin bir kopyasının, kendi kimlik altyapınızdan bağımsız bir sağlayıcıda değiştirilemez olarak tutulması.
3-2-1-1-0 Kuralı
Klasik 3-2-1 kuralı fidye yazılımı çağında iki maddeyle genişletildi:
- 3 kopya veri (üretim dahil)
- 2 farklı depolama ortamı
- 1 kopya farklı bir lokasyonda
- 1 kopya değiştirilemez veya çevrim dışı
- 0 hata: geri dönüşü doğrulanmış yedek
Kimlik Ayrımı: En Çok Atlanan Adım
Yedekleme sunucusu şirketin Active Directory'sine bağlıysa, etki alanı yönetici hesabını ele geçiren saldırgan yedekleme konsoluna da girer. Bu yüzden:
- Yedekleme altyapısını etki alanından ayırın; ayrı, yerel hesaplar kullanın.
- Yedekleme konsolu ve depo erişimi için çok faktörlü kimlik doğrulamayı zorunlu tutun.
- Yedek ağını ayrı bir segmentte tutun; konsolu internetten erişilemez yapın.
- Yedek silme ve saklama süresi kısaltma gibi işlemler için ikinci bir onay (dört göz) kuralı uygulayın.
Saklama Süresini Doğru Seçin
Saldırganlar çoğu zaman şifrelemeden önce ortamda günler, hatta haftalar geçirir. Değiştirilemez saklama süresi bu süreden kısaysa, temiz bir geri dönüş noktası bulamayabilirsiniz. Pratik bir başlangıç: günlük yedekler için en az 30 gün değiştirilemez saklama, bunun üzerine haftalık ve aylık kopyalar. Süreyi uzattıkça depolama maliyeti artar; kritik sistemler için daha uzun, diğerleri için daha kısa süreler belirleyerek dengeyi kurun.
Geri Dönüş Testi Olmadan Yedek Yoktur
- Kritik sistemler için en az üç ayda bir tam geri yükleme testi yapın ve süreyi ölçün.
- Geri yüklemeden önce yedeği zararlı yazılım taramasından geçirin; şifrelemeden önce sisteme yerleşmiş bir arka kapıyı geri yüklemek istemezsiniz.
- Hangi sistemin hangi sırayla geri yükleneceğini (önce kimlik ve DNS, sonra veritabanı, sonra uygulamalar) yazılı hale getirin.
Sık Yapılan Hatalar
- Yedeği üretimle aynı depolama sisteminde veya aynı ağ paylaşımında tutmak
- Anlık görüntüleri (snapshot) yedek yerine saymak
- Yedekleme yazılımını ve depo işletim sistemini güncellememek
- Başarısız yedek uyarılarını kimsenin takip etmemesi
- Saldırı anında kimin ne yapacağının belirsiz olması
CloudRUX Yedekleme Hizmeti (BaaS)
CloudRUX BaaS ile yedeklerinizin bir kopyasını kendi ortamınızdan ve kimlik altyapınızdan bağımsız olarak, Türkiye'deki veri merkezlerinde tutabilirsiniz. Değiştirilemez saklama süresini, geri dönüş testlerini ve fidye senaryosuna yönelik kurtarma planınızı mühendislerimizle birlikte tasarlayabilirsiniz. Değerlendirme için info@cloudrux.com adresinden bize ulaşın.