Fidye yazılımına dayanıklı yedekler oluşturma

Fidye yazılımı yedekleri neden güvenlik ağı değil, doğrudan hedef haline getiriyor

Yıllar boyunca yedekleme, fidye yazılımını atlatılabilir kılan istisnaydı: üretim ortamı şifrelenir, yedekten geri yüklenir, yola devam edilirdi. Ancak saldırganlar bu açığı kapattı. Veeam'in saldırıya uğramış 1.300 kuruluşu kapsayan 2025 Ransomware Trends araştırmasına göre, %89'unun yedekleme depoları saldırının bir parçası olarak hedef alındı — bu, saldırı zincirinin (kill chain) sonradan akla gelen bir adımı değil, birinci sınıf bir hedefiydi. Üretim ortamını şifrelemeden önce yedeği yok etmek veya bozmak artık standart bir uygulama, çünkü fidye notu gelmeden önce kurbanın elindeki pazarlık gücünü ortadan kaldırıyor.

Bu durum kurtarma rakamlarına da yansıyor. Sophos'un State of Ransomware 2025 raporuna göre, bir saldırının ardından kuruluşların yalnızca %54'ü veriyi geri yüklemek için yedekleri kullanabildi — bu oran, anketin altı yıllık geçmişindeki en düşük seviye. Saldırganın ilk talep ettiğinden daha fazlasını ödemek zorunda kalan kuruluşlar arasında %38'i başarısız veya arızalı yedekleri başka bir seçeneği olmamasının nedeni olarak gösterdi. Kağıt üzerinde var olan bir yedek, baskı altında sorunsuz şekilde geri yüklenebilen bir yedekle aynı şey değildir.

"Yedeklerimiz var" ile "fidye yazılımına dayanıklı yedeklerimiz var" arasındaki bu fark, üç temel unsura dayanır: değişmezlik, izolasyon ve test edilmiş kurtarma. Bunlar birbirinden bağımsız, istediğiniz gibi harmanlayabileceğiniz kontroller değildir. Bunlardan birini kaçırdığınızda diğer ikisi telafi etmez; saldırganın erişemediği değişmez bir yedek, ancak gerçekten geri yüklenebiliyorsa işe yarar ve iyi test edilmiş bir kurtarma planı, dayandığı yedek tatbikat başlamadan önce silinmişse hiçbir değer taşımaz.

Üç temel unsur, ayrıntılarıyla

1. Değişmezlik: Saldırganın dokunamayacağı yedekler

Değişmezlik, bir yedeğin saklama süresi (retention window) boyunca değiştirilememesi veya silinememesi anlamına gelir — ne yanlış yapılandırılmış bir saklama betiği tarafından, ne ele geçirilmiş bir yönetici hesabı tarafından, ne de zaten domain admin kimlik bilgilerini ele geçirmiş bir saldırgan tarafından. Uygulamada bu, bulut veya nesne depolamada object lock, Write Once Read Many (WORM) donanımı veya saklama kilitlerinin, yedekleme uygulamasının kendi erişim kontrollerinden bağımsız olarak depolama katmanında zorunlu kılındığı sertleştirilmiş (hardened) bir Linux deposu aracılığıyla sağlanır.

Bu ayrım önemlidir, çünkü modern fidye yazılımı operatörleri, üretim kimlik bilgileriyle erişilebilen yedekleme depolarını aktif olarak arar ve birincil veriye dokunmadan önce bunları siler veya şifreler. Yedekleme yazılımınızı yöneten aynı yönetici hesabı geçen ayın geri yükleme noktalarını da silebiliyorsa, değişmezlik aslında sağlanmış değildir — bu, yeterli yetkiye sahip bir saldırganın dakikalar içinde kapatabileceği bir ayardan ibarettir.

CISA'nın fidye yazılımı rehberliği bu konuda nettir: çevrimdışı, şifrelenmiş, değişmez yedekler tutun, bunları düzenli olarak doğrulayın ve bunları saldırganın alt etmesi gereken ilk şey değil, son savunma hattı olarak ele alın.

2. İzolasyon: Ayrı bir kimlik düzlemi ve saldırganların hiçbir şekilde erişemeyeceği bir kopya

Değişmezlik, bir yedeği değiştirilmekten korur. İzolasyon ise onu her şeyden önce erişilebilir olmaktan korur. Bu ikisi birbirinin yerine geçmez, birbirini tamamlar; yalnızca birini uygulayan kurumlar bu açığı genellikle bir tasarım incelemesi sırasında değil, gerçek bir olay sırasında keşfeder.

İzolasyonun iki bileşeni vardır. Birincisi ayrı bir kimlik düzlemidir — yedekleme altyapısı, üretimle aynı Active Directory alan adına (domain), aynı yönetici kimlik bilgilerine veya aynı düz (flat) ağ segmentine güvenmemelidir. Ele geçirilmiş bir domain controller, otomatik olarak ele geçirilmiş bir yedekleme ortamı anlamına gelmemelidir; eğer geliyorsa, saldırganın yalnızca tek bir şeyi ele geçirmesi yeterli olmuş demektir, iki şeyi değil. İkincisi ise gerçek anlamda çevrimdışı veya air-gapped bir kopyadır — en azından kritik verinin, üretimden hiçbir kalıcı ağ yolu bulunmayan bir kopyası; bu, çevrimdışı bant (tape) rotasyonu, veri almak için yalnızca kısa süreliğine çevrimiçi olan bağlantısı kesik bir replikasyon hedefi veya üretim ortamından erişilebilecek hiçbir yerde kalıcı kimlik bilgisi önbelleğe alınmamış bir bulut katmanı ile sağlanabilir.

Veeam'in araştırması, bu tür katmanlı, izole bir dayanıklılığa öncelik veren kuruluşların fidye yazılımı saldırılarından, bunu yapmayanlara kıyasla 7 kata kadar daha hızlı kurtulduğunu ve bu süreçte veri kaybının belirgin şekilde daha düşük olduğunu ortaya koydu. Bu farkı yaratan şey izolasyondur: kurtarma noktanıza ulaşmak için gerçek anlamda ek çaba harcaması gereken bir saldırganla, az önce ele geçirdiği sistemlerle aynı kimlik düzlemini paylaştığı için o noktaya zaten açık bir oturumu olan bir saldırgan arasındaki fark budur.

3. Test edilmiş kurtarma: İhtiyaç duymadan önce geri yüklenebilirliği kanıtlamak

Üç temel unsurun en az göz alıcı olanı, aynı zamanda kuruluşların en sık atladığı unsurdur — ve bu durum sonuçlara da yansır. 2025 yılında yapılan bir sektör araştırmasına göre, kuruluşların %62'si düzenli yedekleme ve geri yükleme testi tatbikatları gerçekleştirmediğini bildirdi ve %37'si, yedekler eksik olduğu veya hiç doğrulanmadığı için gereken kurtarma süresi hedefine (RTO) ulaşamadığını belirtti. Güven ve gerçeklik burada ciddi biçimde ayrışıyor: kuruluşların %60'ından fazlası kesinti sonrasında saatler içinde kurtulabileceğine inanıyor, ancak test edildiğinde bunu gerçekten başaranların oranı sadece yaklaşık üçte bir.

Test edilmemiş geri yüklemeler, en çok önem taşıdıkları ana kadar görünmez kalan şekillerde başarısız olur: bozuk yedekleme zincirleri, eksik uygulama tutarlılığı (application-consistency) bağımlılıkları, aylar önce süresi dolmuş servis hesabı kimlik bilgileri veya artık var olmayan bir altyapı topolojisi için yazılmış çalışma kılavuzları (runbook). Doğrulamayı atlamak, basit bir kesintiden daha keskin bir risk de taşır — tahmini olarak kuruluşların %63'ü, zaman baskısı altında bütünlük ve kötü amaçlı yazılım taramasını atladıkları için geri yükleme sırasında enfeksiyonu yeniden bulaştırma riskiyle karşı karşıya kalıyor; bu da aslında kesintiye neden olan aynı zararlı yükü (payload) geri getirmek anlamına geliyor.

Gerçek bir test edilmiş kurtarma programı; sadece "yedekleme işi başarılı" bildirimleri değil, izole bir kurtarma ortamına yönelik, planlanmış ve tam kapsamlı geri yükleme tatbiklerini, işletmenin gerçekten ihtiyaç duyduğu RTO'lara — bir sunumda güven verici görünmekten öte anlam taşıyan rakamlara — göre doğrulanmış şekilde içerir.

Üç temel unsur sağlandığında ortaya çıkan tablo

Sophos'un 2025 verileri, manşet istatistiklere karşı yararlı bir karşı örnek sunuyor: verisi bir saldırgan tarafından şifrelenen kuruluşlar arasında %97'si veriyi yine de kurtarabildi. Bu grup ile kurtaramayan küçük azınlık arasındaki fark, neredeyse her zaman üç temel unsurdan birinin uygulamada kağıt üzerinde göründüğünden daha zayıf olmasına dayanıyor — yanlış bir rolün geçersiz kılabileceği bir saklama kilidi, hâlâ aynı domain'e güvenen "ayrı" bir yedekleme ağı veya hiç uçtan uca prova edilmemiş bir geri yükleme.

Bunu yanlış yapmanın bedeli

Bu üç temel unsur soyut bir en iyi uygulamalar kontrol listesi değildir — bir fidye yazılımı olayının maliyetine ve süresine doğrudan yansır. Ödenen fidye hariç, bir fidye yazılımı saldırısından kurtulmanın ortalama maliyeti yaklaşık 1,53 milyon dolara ulaşıyor. Kurbanların yalnızca %53'ü bir hafta içinde tamamen kurtulabildi; geri kalanı yedi günden fazla süre boyunca bir tür aksaklık içinde kaldı ve bu süre boyunca kesinti, üretkenlik kaybı ve olay müdahalesi (incident response) iş gücü maliyeti her gün katlanarak arttı.

Yedekleme duruşu (backup posture), bu denklemde bir kuruluşun tamamen kontrol edebildiği az sayıdaki değişkenden biridir. Bir saldırganın yedekleme deponuza yönelik ilk hamlesinin başarılı olup olmayacağı, olayın kendisi sırasında değil, aylar önce alınan kararlarla tamamen belirlenir. Bir tehdit aktörü domain admin kimlik bilgilerine sahip olup yedekleme platformunuzu araştırmaya başladığında, değişmezlik, izolasyon ve test edilmiş kurtarma ya zaten yerindedir ya da değildir; bunları baskı altında sonradan eklemenin bir yolu yoktur.

Üçünü de sessizce baltalayan yaygın hatalar

Olay sonrası incelemelerde tekrar tekrar ortaya çıkan birkaç kalıp var:

• Snapshot'ları yedekle karıştırmak. Bir VMware snapshot'ı, korumaya çalıştığı VM ile aynı datastore üzerinde tutulan, belirli bir andaki farkları (delta) içeren bir kayıttır — bağımsız bir kopya değildir. Sınırsız büyür, performansı düşürür ve datastore kaybolduğu anda o da kaybolur. Snapshot'lar kısa ömürlü geri alma (rollback) için kullanışlı bir özelliktir, bir kurtarma stratejisi değil.
• "Değişmez" ifadesini doğrulanmış bir özellik yerine işaretlenecek bir kutu olarak görmek. Object lock ve saklama politikaları, sadece bir yapılandırma kılavuzunda belgelenmekle kalmamalı, yedekleme platformunu yöneten yönetici rolüne karşı fiilen test edilmelidir.
• Aynı kimlik alanındaki (identity domain) ikinci bir kopyayı "izole" olarak nitelendirmek. Üretimde ele geçirilen aynı kimlik bilgileri yedekleme deposunda da kimlik doğrulaması yapabiliyorsa, coğrafi veya platform ayrımı gerçek bir izolasyon sağlamaz.
• Başarıyı geri yükleme doğrulamasıyla değil, yedeklemenin tamamlanmasıyla ölçmek. Dün geceki işin yanındaki yeşil onay işareti, verinin bir yere yazıldığını söyler. Ancak bu verinin geri alınabilir, uygulama açısından tutarlı ve geri yüklemeyi gerektiren zararlı yazılımdan arınmış olduğunu göstermez.

BackupSec Devreye Girdiğinde

BackupSec olarak, kurumsal ekiplerin yedekleme ortamlarını tam olarak bu üç temel unsura göre işletmelerine yardımcı oluyoruz — bunu yedekleme platformlarını değiştirerek değil, yedekleme güvenliğini gözlemlenebilir, danışılabilir ve kanıtlanabilir hale getirerek yapıyoruz.

Yaklaşımımız üç katmanı bir araya getirir:

• ZeroMON, tüm yedekleme envanteri üzerinde sürekli gözlemlenebilirlik sağlar — gerçek zamanlı iş takibi, otomatik güvenlik kontrolleri, yapılandırma sapmaları için adli (forensic) denetim izleri ve tek tıkla uyumluluk raporlarıyla Veeam'e hazır izleme sunar. "Değişmezlik yapılandırıldı" ifadesini bir varsayımdan kanıta dönüştüren katman budur.
• ZeroTAM, yedekleme mimarisi, izolasyon tasarımı ve fidye yazılımı kurtarma planlaması için özel uzman danışmanlık sunar — çoğu kurumun, yedekleme ortamının kendilerine gerçekte ne söylediğini yorumlamak ve gerçek bir olayla karşılaştığında dayanacak bir izolasyon tasarlamak için ihtiyaç duyduğu insan katmanıdır.
• ZeroPEN, yedekleme altyapınızı gerçek bir saldırganın yapacağı gibi test eder (pentest) — yönetim düzlemlerini, erişim kontrollerini ve değişmezlik ayarlarını hedef alarak — ve ardından yalnızca yedekleme işinin başarılı raporlandığını değil, temiz, eksiksiz ve belirtilen RTO süresi içinde gerçekten kurtarabildiğinizi doğrulamak için gerçek geri yükleme senaryoları çalıştırır.

BackupSec, şirket içinde (on-premise) devreye alınır, yedekleme uygulamalarınıza yalnızca okuma erişimli (read-only) API üzerinden bağlanır ve yedekleme verinizi asla ortamınızın dışına taşımaz.

Yedekleme güvenliği duruşunuz hakkında BackupSec ile görüşün →

Kendi yedeklerinizin baskı altında dayanıp dayanmayacağını öğrenmeye hazır mısınız? Ücretsiz Backup Security Assessment ile ortamınızı puanlayın.