Fidye Yazılımına Karşı Kurtarma Hazırlığı

Fidye yazılımı saldırılarında operatörler genellikle şifrelemeden önce yedekleri bulup silmeye çalışır. Bu nedenle “yedeğimiz var” cümlesi tek başına güvence değildir; asıl soru, saldırgan etki alanı yöneticisi olduğunda yedeklerin hala geri yüklenebilir olup olmadığıdır. Bu rehber, kurtarma hazırlığını beş başlıkta ele alır.

1. Yedekleri saldırganın ulaşamayacağı yere koyun

• Değiştirilemez (immutable) kopya: Belirli bir süre boyunca silinemeyen veya değiştirilemeyen depolama ya da nesne kilidi.
• Çevrim dışı / ayrık kopya: Teyp veya ağdan ayrılmış ortam.
• Farklı lokasyon: Bina veya bölge düzeyinde bir olaydan etkilenmeyecek kopya.

Yaygın kullanılan 3-2-1 kuralı (3 kopya, 2 farklı ortam, 1 farklı lokasyon) fidye yazılımı bağlamında 3-2-1-1-0 olarak genişletilir: bir kopya değiştirilemez veya çevrim dışı, doğrulamada sıfır hata.

2. Yedek altyapısının kimliğini ayırın

Yedek sunucusu ve depolaması, üretim etki alanının yönetici hesaplarıyla yönetiliyorsa ele geçirilen bir yönetici hesabı yedekleri de ele geçirmiş olur. Yedek altyapısı için ayrı hesaplar, MFA ve mümkünse etki alanından ayrı yönetim tercih edilmelidir. Yedek depolamasına yalnızca yedek sunucusu erişebilmelidir.

3. Geri yüklemeyi düzenli test edin

Başarılı yedek işi, başarılı geri yükleme anlamına gelmez. Kritik sistemler için en az üç ayda bir geri yükleme testi yapılmalı, süreler ölçülmeli ve kayıt altına alınmalıdır. Test sonuçları gerçekçi RTO (kurtarma süresi) ve RPO (kabul edilebilir veri kaybı) hedeflerinin belirlenmesini sağlar.

4. Kurtarma sırasını önceden belirleyin

Temiz geri yükleme noktasını belirlemek için yedeklerin zararlı yazılım taramasından geçirilmesi ve saldırının başlangıç zamanının tahmin edilmesi gerekir.

5. Planı yazın ve tatbik edin

Kurtarma planı; kimin karar vereceğini, hangi sistemlerin hangi sırayla döneceğini, iletişim adımlarını ve dış destek iletişim bilgilerini içermelidir. Masa başı tatbikat, planın gerçek bir olayda işe yarayıp yaramayacağını görmenin en hızlı yoludur.

İlk müdahale için kısa liste

1. Etkilenen sistemleri ağdan izole edin; kapatmadan önce kanıtların korunmasını değerlendirin.
2. Yedek altyapısının erişilebilir ve sağlam olduğunu doğrulayın, yedek sistemlerine erişimi kısıtlayın.
3. Yetkili hesapların parolalarını ve oturumlarını kontrollü biçimde yenileyin.
4. Olay müdahale planını başlatın; yasal bildirim yükümlülüklerini hukuk ekibinizle değerlendirin.

Yedek altyapınızın güvenlik değerlendirmesi için Yedekleme Güvenliği ve Fidye Yazılımına Hazırlık, müdahale planı için Siber Olay Müdahale Hazırlığı sayfalarımıza; yedekleme kurulumu ve işletimi için Eretek Sistem Destek hizmetine bakabilirsiniz.