3-2-1-1-0 kuralı açıklandı | BackupSec Knowledge Base
2 Ağustos 2026·7 dk okuma
3-2-1-1-0 kuralı açıklandı
Klasik 3-2-1 kuralına eklenen iki rakamın bir nedeni var. İşte ekstra 1 ve 0'ın size kazandırdıkları.
Yazar: BackupSec Team
3-2-1-1-0 kuralı aslında ne diyor
3-2-1-1-0 kuralı, verinizin kaç kopyasını, hangi tür ortamda tutmanız gerektiğini ve bunların gerçekten çalıştığını nasıl kanıtlayacağınızı belirleyen bir veri koruma formülüdür:
3 veri kopyası — üretim kopyası artı en az iki yedek.
2 farklı ortam veya depolama platformu, böylece tek bir teknoloji arızası veya sağlayıcı kesintisi tüm kopyaları aynı anda yok edemez.
1 kopya, birincil siteden coğrafi olarak ayrılmış şekilde site dışında (offsite) saklanır.
1 ek kopya, değişmez veya air-gapped olmalı — yönetici kimlik bilgilerine sahip bir saldırgan tarafından bile erişilemez veya değiştirilemez olmalı.
0 hata: her yedek doğrulanmalı, her geri yükleme test edilmeli — çalıştığı sadece varsayılmamalı.
Bu, doğal bir ilerleme gibi okunuyor; ancak fazladan eklenen iki rakam — ikinci "1" ve "0" — orijinal formülün parçası değildi. Bunlar, fidye yazılımının özellikle yedekleri hedef almayı öğrenmesine doğrudan bir yanıt olarak yıllar sonra eklendi. Neden eklendiklerini anlamak, kontrol listesinin kendisinden daha fazlasını modern yedekleme stratejisi hakkında ortaya koyuyor.
Kural nereden geldi
İsmin "3-2-1" kısmı fidye yazılımından çok daha eskiye dayanır. Fotoğrafçı Peter Krogh, bu ifadeyi 2006 tarihli The DAM Book: Digital Asset Management for Photographers adlı kitabında ortaya attı; BT profesyonelleri arasında gözlemlediği bir dizi uygulamayı, birden bire yeri doldurulamaz dijital arşivlerden sorumlu hale gelmiş ama sistem yöneticisi olmayan çalışan fotoğrafçıların gerçekten uygulayabileceği kadar basit bir formüle indirgedi. Krogh, yedekli ve site dışı kopyalar fikrinin temelini icat etmedi; ona akılda kalıcı bir isim verdi. Kural, daha sonra 2012 yılında veri yedekleme seçenekleri üzerine bir US-CERT yayınında resmi olarak Krogh'a atfedildi; bu noktada kural zaten kurumsal BT genelinde varsayılan öneri haline gelmişti ve kuralın içerdiği uygulamalar — birden fazla kopya, medya çeşitliliği ve tesis dışı bir kopya — bugün hâlâ CISA ve NIST'in yedekleme rehberliğinde karşılığını buluyor.
Orijinal 3-2-1 kuralı, kendi döneminin tehditlerine göre tasarlanmıştı: disk arızası, yangın, sel, hırsızlık ve kazara silme. Temel varsayımı, tek bir fiziksel olayın, iki farklı ortam türüne ve iki farklı konuma yayılmış üç veri kopyasını makul biçimde yok edemeyeceğiydi. Yaklaşık on yıl boyunca bu varsayım geçerliliğini korudu.
Neden tek başına 3-2-1 yeterli olmaktan çıktı
Bu varsayım, fidye yazılımı operatörlerinin yedekleme altyapısını, etrafından dolaşılacak bir engel değil, birincil hedef olarak görmeye başlamasıyla çöktü. İki farklı ortam türünde, biri site dışında olan üç kopya, üçü de aynı ele geçirilmiş üretim kimlik bilgileriyle erişilebilir olsa dahi 3-2-1 kuralını tam olarak karşılar — modern fidye yazılımı gruplarının tam olarak aradığı senaryo da budur.
Bu değişimin boyutu çarpıcı. Veeam'in 2025 Ransomware Trends raporu, ankete katılan 1.300 kuruluş arasında, fidye yazılımı mağdurlarının %89'unun yedekleme depolarının saldırı sırasında doğrudan hedef alındığını ortaya koydu. Sophos'un 2025 State of Ransomware raporu, anketin altı yıllık geçmişindeki en düşük yedekten kurtarma oranını kaydetti: kuruluşların yalnızca %54'ü verilerini geri yüklemek için yedekleri kullanabildi ve saldırganın ilk fidye talebinden daha fazlasını ödemek zorunda kalanlar arasında %38'i başarısız veya arızalı yedekleri doğrudan neden olarak gösterdi.
Coğrafi olarak ayrılmış üç kopya, üçünü de silecek kimlik bilgilerine zaten sahip bir saldırganı durdurmak için hiçbir işe yaramaz. Fazladan eklenen iki rakam, tam olarak bu açığı kapatmak için tasarlandı.
Fazladan "1": Saldırganların gerçek anlamda erişemeyeceği bir kopya
Ek "1", genellikle bulut depolamada object lock, Write Once Read Many (WORM) donanımı veya saklama süresinin depolama katmanında zorunlu kılındığı sertleştirilmiş bir depo aracılığıyla, tanımlı bir saklama süresi boyunca değiştirilmeye veya silinmeye karşı korunan — yani değişmez — ya da üretimden hiçbir kalıcı ağ yolu bulunmayan, yani air-gapped en az bir kopyayı gerektirir.
Bu, ilk bakışta göründüğünden daha katı bir gerekliliktir. Aynı sağlayıcıya ait, ikisi de aynı yönetici hesabıyla erişilebilen iki bulut bölgesi bu şartı karşılamaz — kimlik bilgisi ayrımı olmadan coğrafi ayrım, zaten domain admin yetkisine sahip bir saldırgana karşı gerçek bir koruma sağlamaz. Gerçek uygulamalar genellikle hızlı kurtarma için bulut tabanlı değişmez depolamayı, değişmez katmanın yönetim düzleminin bile ele geçirildiği en kötü senaryo için daha derin bir çevrimdışı veya air-gapped kopyayla birleştirir.
CISA'nın fidye yazılımı rehberliği, çevrimdışı ve şifrelenmiş yedeklerin, ele geçirilmiş bir kimliğin erişebileceği etki alanının (blast radius) tamamen dışında kaldıkları için son savunma hattı olarak ele alınması gerektiğini açıkça belirtir.
"0": Yedeğin gerçekten çalıştığını kanıtlamak
"0", kuralın operasyonel yarısıdır ve kuruluşların en sık atladığı kısımdır. Sıfır doğrulanmamış yedek talep eder — her yedeğin bütünlük açısından kontrol edilmesini, sadece yeşil bir "iş başarılı" bildirimiyle izlenmek yerine her geri yükleme yolunun periyodik olarak uçtan uca test edilmesini gerektirir.
Başarılı raporlanan yedekleme işleri ile gerçekten çalışan geri yüklemeler arasındaki fark büyük ve iyi belgelenmiş durumda. 2025 yılında yapılan bir sektör araştırması, kuruluşların %62'sinin düzenli yedekleme ve geri yükleme testi tatbikatları gerçekleştirmediğini, %37'sinin ise yedekler eksik olduğu veya hiç doğrulanmadığı için gereken kurtarma süresi hedefine ulaşamadığını ortaya koydu. Uygun bütünlük ve kötü amaçlı yazılım taraması yapılmadan geri yükleme denendiğinde, tahmini olarak kuruluşların %63'ü kesintiye neden olan aynı enfeksiyonu yeniden bulaştırma riskiyle karşı karşıya kalıyor — bu da bir kurtarma girişimini ikinci bir olaya dönüştürüyor.
"0" rakamı var, çünkü hiç geri yüklenmemiş bir yedek bir kontrol değildir — bir varsayımdır. Belirli bir takvime göre yapılan ve gerçekçi kurtarma süresi hedeflerine göre ölçülen doğrulama, bu varsayımı gerçek bir olay sırasında güvenebileceğiniz bir gerçeğe dönüştüren şeydir.
3-2-1-1-0'ı uygularken yapılan yaygın hatalar
İki bulut bölgesini "iki ortam" olarak saymak. Ortam türü çeşitliliği, aynı nesne deposunun iki örneği değil, gerçek anlamda farklı depolama teknolojileri veya platformları anlamına gelir.
Fazladan "1"in herhangi bir site dışı kopyayla karşılandığını varsaymak. Site dışı olma, coğrafyayla ilgilenir; değişmez veya air-gapped olma ise kimlik bilgisi ele geçirilmesiyle ilgilenir. Üretimle aynı kimlik düzlemini paylaşan, kurala uygun bir site dışı kopya, bu rakamın eklenmesine yol açan açığı kapatmaz.
Yedekleme işleri yeşil raporladığı için "0"ı atlamak. Başarılı bir yedekleme işi, verinin yazıldığını doğrular. Ancak verinin geri yüklenebilir, uygulama açısından tutarlı veya geri yüklemeyi gerektirecek zararlı yazılımdan arınmış olduğunu doğrulamaz.
Kuralı, verinin kritikliğine bakılmaksızın tek tip uygulamak. Birinci öncelikli (tier-one) sistemler genellikle arşiv verilerine kıyasla daha sık doğrulama ve daha kısa RTO gerektirir; tüm envanterde tek bir saklama ve test politikası uygulamak, çoğunlukla en önemli sistemleri yetersiz korurken önemsiz olanlara gereğinden fazla kaynak harcanmasına yol açar.
3-2-1-1-0, 2026'da hâlâ yeterli mi?
Çoğu kuruluş için, 3-2-1-1-0'ı doğru şekilde uygulamak — ek değiştirilemez veya izole kopyayı ve kurtarma doğrulamasını yalnızca işaretlemek değil, gerçek anlamda zorunlu kılmak — fidye yazılımının yedek altyapısını bir hedefe dönüştürmesine izin veren açığın önemli bir bölümünü kapatır.
Bu kural, sağlam bir operasyonel temel olmaya devam ediyor. Veeam, 3-2-1-1-0 modelini açıkça savunuyor; CISA ve NIST rehberliği ise modelin altındaki kontrolleri destekliyor: birden fazla kopya, çevrimdışı veya izole yedekler, uygun olduğu yerde değiştirilemezlik ve düzenli kurtarma testleri.
Kuralın yetersiz kaldığı nokta yedeklilik değil, onu çevreleyen güvenlik mimarisidir. Kaç kopya tutulacağını, bu kopyaların nerede bulunması ve hangi durumda olması gerektiğini söyler. Ancak aktif bir ihlal sırasında bu kopyaları korunmuş tutmak için gereken erişim yönetişimini, yönetimsel güven sınırlarını, ağ segmentasyonunu, izlemeyi ve kurtarma mimarisini tam olarak tanımlamaz.
BackupSec'in Fibonacci Rule of Backup Security'sinin (5-3-2-1-1-0) ele almak üzere tasarlandığı açık tam olarak budur. Bu kural 3-2-1-1-0'ın yerini almaz; onu beş temel güvenlik ilkesiyle genişletir.
3-2-1-1-0 stratejisini henüz eksiksiz biçimde hayata geçirmeye ve düzenli olarak doğrulamaya çalışan kuruluşlar için önce bu temel gelir. Fibonacci Kuralı ise bunun üzerine inşa edilen mimari katmandır.
BackupSec Devreye Girdiğinde
BackupSec olarak, kurumsal ekiplerin 3-2-1-1-0 uygulamalarının sadece belgelenmiş değil, gerçek olduğunu doğrulamalarına, yedekleme güvenliğini gözlemlenebilir, danışılabilir ve kanıtlanabilir hale getirerek yardımcı oluyoruz.
Yaklaşımımız üç katmanı bir araya getirir:
ZeroMON, tüm yedekleme envanteri üzerinde sürekli gözlemlenebilirlik sağlar — gerçek zamanlı iş takibi, otomatik güvenlik kontrolleri, yapılandırma sapmaları için adli denetim izleri ve tek tıkla uyumluluk raporlarıyla Veeam'e hazır izleme sunar. Kuralın "0 hata" gerekliliğini bir umuttan kanıta dönüştüren katman budur.
ZeroTAM, yedekleme mimarisi, değişmezlik yapılandırması ve fidye yazılımı kurtarma planlaması için özel uzman danışmanlık sunar — çoğu kurumun, fazladan "1"inin sadece coğrafi olarak uzak değil, gerçek anlamda izole olduğunu doğrulamak için ihtiyaç duyduğu insan katmanıdır.
ZeroPEN, yedekleme altyapınızı gerçek bir saldırganın yapacağı gibi test eder — yönetim düzlemlerini, erişim kontrollerini ve değişmezlik ayarlarını hedef alarak — ve ardından temiz, eksiksiz ve belirtilen RTO süresi içinde gerçekten kurtarabildiğinizi kanıtlamak için gerçek geri yükleme senaryoları çalıştırır.
BackupSec, şirket içinde (on-premise) devreye alınır, yedekleme uygulamalarınıza yalnızca okuma erişimli (read-only) API üzerinden bağlanır ve yedekleme verinizi asla ortamınızın dışına taşımaz.
Kendi ortamınızın nasıl bir performans sergilediğini görmek ister misiniz? Ücretsiz Backup Security Assessment ile puanlayın.
Sık sorulan sorular
3-2-1-1-0 yedekleme kuralı nedir?
3-2-1-1-0 kuralı şu anlama gelir: verinizin 3 kopyası, 2 farklı ortamda, 1 kopya site dışında, değişmez veya air-gapped 1 ek kopya ve düzenli yedekten kurtarma testleriyle doğrulanan 0 hata. Bu kural, özellikle fidye yazılımına ve sessiz yedek bozulmalarına karşı savunma sağlamak için klasik 3-2-1 kuralını genişletir.
3-2-1 neden 3-2-1-1-0 oldu?
Çünkü fidye yazılımı, yedekleme depolarını doğrudan hedef almaya başladı — Veeam'in 2025 araştırması, fidye yazılımı mağdurlarının %89'unun yedeklerinin hedef alındığını ortaya koydu. Fazladan eklenen "1", üretim kimlik bilgilerine sahip bir saldırganın dokunamayacağı değişmez veya air-gapped bir kopya ekler; "0" ise kurtarma doğrulamasını zorunlu bir adım haline getirerek, bir yedeğin kurtarılamaz olduğunu bir felaket sırasında değil, felaketten önce öğrenmenizi sağlar.
3-2-1 yedekleme kuralını kim oluşturdu?
Fotoğrafçı Peter Krogh, "3-2-1" ifadesini 2006 tarihli The DAM Book: Digital Asset Management for Photographers adlı kitabında ortaya attı; BT profesyonelleri arasında gözlemlediği yedekli yedekleme uygulamalarını basit bir formüle indirgedi. Kural, daha sonra 2012 yılındaki bir US-CERT yayınında resmi olarak kendisine atfedildi ve kuralın içerdiği uygulamalar, CISA ile NIST'in yedekleme rehberliğinde bugün de karşılığını buluyor.
Site dışı bir kopya, değişmez bir kopyayla aynı mıdır?
Hayır. Site dışı olma, coğrafyayla ilgilenir — yangın, sel veya site düzeyinde bir kesintiye karşı korur. Değişmez olma ise kimlik bilgisi ele geçirilmesiyle ilgilenir — zaten geçerli bir yönetici erişimine sahip bir saldırgana karşı korur. Bir kopya site dışında olabilir ve yine de ele geçirilmiş bir yönetici hesabı tarafından tamamen erişilebilir ve silinebilir olabilir; 3-2-1-1-0'ın değişmezliği, coğrafya tarafından otomatik olarak karşılanmış saymak yerine ayrı, ek bir gereklilik olarak eklemesinin nedeni tam olarak budur.
3-2-1-1-0 kuralı 2026'da hâlâ yeterli mi?
Yedek yedekliliği, medya çeşitliliği, izolasyon ve kurtarma doğrulaması açısından operasyonel bir temel olarak 3-2-1-1-0 son derece güncelliğini koruyor. Veeam modeli açıkça savunuyor; CISA ve NIST rehberliği ise modelin arkasındaki kontrollerin çoğunu — çevrimdışı veya izole yedekler, değiştirilemezlik ve düzenli kurtarma testleri dâhil — destekliyor. 3-2-1-1-0'ın tam olarak tanımlamadığı şey, onu çevreleyen güvenlik mimarisidir: kimlik ve erişim yönetişimi, yönetimsel ayrım, ağ segmentasyonu, sürekli izleme ve etki alanının sınırlanması. BackupSec'in Fibonacci Rule of Backup Security'si, operasyonel modeli tam olarak bu mimari alanlara doğru genişletmek üzere tasarlanmıştır.
