3-2-1 yedekleme kuralı ve 3-2-1-1-0: Eklenen 1 ve 0 ne kazandırır?

3-2-1-1-0 kuralı aslında ne diyor

3-2-1-1-0 kuralı, verinizin kaç kopyasını, hangi tür ortamda tutmanız gerektiğini ve bu kopyaların gerçekten işe yaradığını nasıl kanıtlayacağınızı belirleyen bir veri koruma formülü:

• 3 veri kopyası: üretimdeki kopya artı en az iki yedek.
• 2 farklı ortam veya depolama platformu; böylece tek bir teknoloji arızası ya da sağlayıcı kesintisi bütün kopyaları aynı anda yok edemez.
• 1 kopya site dışında (off-site), birincil lokasyondan coğrafi olarak ayrı tutulur.
• 1 ek kopya immutable ya da air-gap'li olmalı; yönetici kimlik bilgilerine sahip bir saldırgan bile bu kopyaya ulaşamamalı veya onu değiştirememeli.
• 0 hata: her yedek doğrulanmalı, restore'lar test edilmeli; çalıştığı varsayılmamalı.

İlk üç rakam klasik 3-2-1 kuralı. İkinci "1" ve "0" sonradan eklendi. Veeam, kuralı 3-2-1-1-0'a kendisinin genişlettiğini söylüyor ve ek kopyanın gerekçesini de açıkça veriyor: fidye yazılımı yedekleri giderek daha fazla hedef alıyor. Bu iki rakamın neden eklendiğini anlamak, modern yedekleme stratejisi hakkında kontrol listesinin kendisinden daha fazlasını anlatıyor.

Kural nereden geldi

İsmin "3-2-1" kısmı, fidye yazılımının yaygın bir tehdit hâline gelmesinden önceye dayanıyor. Kural, fotoğrafçı Peter Krogh'a ve The DAM Book: Digital Asset Management for Photographers adlı kitabına atfediliyor. Krogh yedekli ve site dışı kopya fikrini icat etmedi; ona akılda kalan bir isim verdi.

Genellikle başvurulan kaynak, US-CERT için 2012'de hazırlanan Data Backup Options makalesi. Makale kuralı üç maddeyle veriyor: önemli her dosyanın 3 kopyası (1 birincil, 2 yedek), farklı tehlikelere karşı 2 farklı ortam türü ve site dışında 1 kopya. Kaynak olarak da Krogh'un kitabının 2009 tarihli ikinci baskısını gösteriyor.

Aynı temel ilkeler bugünkü rehberlerde de duruyor. NIST'in Cybersecurity Framework 2.0 belgesi "Backups of data are created, protected, maintained, and tested" (PR.DS-11) sonucunu tanımlıyor. CISA'nın #StopRansomware Guide rehberi ise kritik verilerin çevrimdışı ve şifreli yedeklerini tutmayı, yedeklerin erişilebilirliğini ve bütünlüğünü bir felaket kurtarma senaryosunda düzenli olarak test etmeyi istiyor.

Orijinal 3-2-1 kuralı kendi döneminin tehditlerine göre tasarlanmıştı: disk arızası, yangın, sel, hırsızlık ve yanlışlıkla silme. Temel varsayımı, iki ortam türüne ve iki lokasyona dağılmış üç kopyayı tek bir fiziksel olayın yok edemeyeceğiydi.

Tek başına 3-2-1 neden yetmez oldu

Bu varsayım, fidye yazılımı operatörleri yedekleme altyapısını etrafından dolaşılacak bir engel olarak değil, birincil hedef olarak görmeye başlayınca çöktü. İki ortam türünde, biri site dışında duran üç kopya, üçü de aynı ele geçirilmiş kimlik bilgileriyle erişilebilir olsa bile 3-2-1'i eksiksiz karşılar. Modern fidye yazılımı gruplarının aradığı senaryo tam olarak bu. CISA rehberi bunu açıkça söylüyor: fidye yazılımı aktörlerinin çoğu, fidye ödenmeden geri dönüşü imkânsız kılmak için erişilebilir yedekleri bulup silmeye veya şifrelemeye çalışıyor.

Anket verileri de aynı yönü gösteriyor. 1.300 kuruluşla yapılan ve bunların 900'ünün son 12 ayda fidye yazılımı saldırısına uğradığı ankete dayanan Veeam 2025 Ransomware Trends raporu, saldırıya uğrayan kuruluşların %89'unun backup repository'lerinin saldırgan tarafından hedef alındığını, bu kuruluşların backup repository'lerinin ortalama %34'ünün değiştirildiğini veya silindiğini ortaya koydu. Fidye yazılımından etkilenmiş kuruluşlardaki 3.400 BT ve siber güvenlik yöneticisiyle yapılan Sophos State of Ransomware 2025 anketine göre, verisi şifrelenen kuruluşların yalnızca %54'ü verisini yedekten restore edebildi. Sophos bunu son altı yılın en düşük oranı olarak tanımlıyor. Aynı ankette saldırganın ilk talebinden fazlasını ödeyen 151 kuruluşun %38'i yedeklerinin başarısız olduğunu veya düzgün çalışmadığını söyledi.

Coğrafi olarak ayrılmış üç kopya, üçünü de silebilecek kimlik bilgilerine zaten sahip bir saldırganı durdurmaz. İki ek rakam tam olarak bu açığı kapatmak için eklendi.

Ek "1": Saldırganın gerçekten ulaşamayacağı bir kopya

Ek "1", en az bir kopyanın immutable ya da air-gap'li olmasını şart koşuyor. Immutable, kopyanın tanımlı bir saklama süresi boyunca değiştirilmeye veya silinmeye karşı korunması demek. Bu genellikle bulut object storage'da Object Lock, WORM (Write Once Read Many) donanım ya da saklama süresini depolama katmanında uygulayan bir hardened repository ile sağlanır. Air-gap ise üretimden kopyaya giden kalıcı bir ağ yolunun hiç olmaması demek.

Bu şart ilk bakışta göründüğünden daha katı. Aynı sağlayıcıda, aynı yönetici hesabıyla erişilebilen iki bulut bölgesi bu şartı karşılamaz: kimlik ayrımı olmadan coğrafi ayrım, domain admin yetkisini zaten ele geçirmiş bir saldırgana karşı koruma sağlamaz. CISA da bulut yedekleri için benzer bir noktaya değiniyor ve aynı sağlayıcıdaki bütün hesapların etkilenebileceği ihtimaline karşı çoklu bulut yaklaşımını öneriyor. Daha sağlam kurulumlar, hızlı kurtarma için immutable bulut depolamayı, immutable katmanın yönetim düzleminin bile ele geçirildiği en kötü senaryo için de çevrimdışı ya da air-gap'li bir kopyayla birleştiriyor.

Immutability'nin de bedelleri var. CISA rehberi, bazı bulut sağlayıcılarının ayrı bir ortam gerektirmeden veriyi koruyan immutable depolama sunduğunu belirtip bir uyarı ekliyor: immutable depolama bazı mevzuatların uyum kriterlerini karşılamadığı ve yanlış yapılandırma ciddi maliyet doğurabileceği için dikkatli kullanılmalı.

"0": Yedeğin gerçekten çalıştığını kanıtlamak

"0", kuralın operasyonel yarısı ve atlanması en kolay kısmı. Doğrulanmamış hiçbir yedek bırakmamayı istiyor: her yedeğin bütünlüğü kontrol edilmeli, her restore yolu belirli aralıklarla uçtan uca test edilmeli. Yeşil bir "job succeeded" bildirimini izlemek yetmez. Veeam bu rakamı sıfır kurtarma hatası olarak tanımlıyor; CISA'nın karşılığı ise yedeklerin erişilebilirliğini ve bütünlüğünü düzenli olarak test etmek.

Başarılı bir backup job ile temiz bir restore aynı şey değil. Veeam 2024 Ransomware Trends raporu, ankete katılan ve saldırıya uğramış kuruluşların yalnızca %37'sinin kurtarma sırasında herhangi bir sandbox kullandığını buldu. Restore edilen verinin üretime dönmeden önce tarandığı bir ara ortam yoksa, restore saldırganın zararlı yazılımını da geri getirebilir ve kurtarmayı ikinci bir olaya çevirebilir.

"0" var, çünkü hiç restore edilmemiş bir yedek bir kontrol değil, bir varsayım. Belirli bir takvimle yapılan ve gerçekçi kurtarma süresi hedeflerine göre ölçülen doğrulama, bu varsayımı gerçek bir olay sırasında güvenebileceğiniz bir gerçeğe dönüştürür. Bu hedefin nasıl belirleneceğini ve gerçek bir restore süresiyle nasıl karşılaştırılacağını RTO ve RPO rehberimizde anlatıyoruz.

3-2-1-1-0'ı uygularken yapılan yaygın hatalar

• İki bulut bölgesini "iki ortam" saymak. Ortam çeşitliliği, aynı object storage'ın iki örneği değil, gerçekten farklı depolama teknolojileri veya platformlar demek.
• Ek "1"in herhangi bir site dışı kopyayla karşılandığını varsaymak. Site dışı olmak coğrafyayla ilgili; immutable ya da air-gap'li olmak ise kimlik bilgilerinin ele geçirilmesiyle. Üretimle aynı kimlik düzlemini paylaşan, kurala uygun bir site dışı kopya, bu rakamın eklenmesine yol açan açığı kapatmaz.
• Backup job'lar yeşil göründüğü için "0"ı atlamak. Başarılı bir backup job verinin yazıldığını doğrular. Verinin restore edilebilir, uygulama açısından tutarlı ya da restore'u gerektirecek zararlı yazılımdan temiz olduğunu doğrulamaz.
• Kuralı verinin kritikliğine bakmadan tek tip uygulamak. Birinci öncelikli (tier-one) sistemler genellikle arşiv verisine göre daha sık doğrulama ve daha kısa RTO gerektirir. Bütün ortamda tek bir saklama ve test politikası uygulamak, çoğu zaman en önemli sistemleri yetersiz korurken önemsiz olanlara gereğinden fazla kaynak harcatır.

3-2-1-1-0, 2026'da hâlâ yeterli mi?

Çoğu kuruluş için 3-2-1-1-0'ı doğru uygulamak, fidye yazılımının yedekleme altyapısını bir hedefe çevirmesine izin veren açığın önemli bir kısmını kapatır. Doğru uygulamak, immutable ya da izole kopyanın ve kurtarma doğrulamasının kâğıt üzerinde işaretlenmesi değil, gerçekten uygulanması demek.

Kural sağlam bir operasyonel temel olmaya devam ediyor. Veeam 3-2-1-1-0 modelini açıkça savunuyor. NIST ve CISA da altındaki kontrolleri destekliyor: korunan yedekler, çevrimdışı kopyalar ve düzenli testler. CISA immutable depolamayı da bir seçenek olarak anıyor, ama yukarıdaki çekinceyle birlikte.

Kuralın yetersiz kaldığı yer yedeklilik değil, onu çevreleyen güvenlik mimarisi. Kaç kopya tutulacağını, bu kopyaların nerede ve hangi durumda olması gerektiğini söylüyor. Ancak aktif bir ihlal sırasında bu kopyaları korumak için gereken erişim yönetimini, yönetimsel güven sınırlarını, ağ segmentasyonunu, izlemeyi ve kurtarma mimarisini tam olarak tanımlamıyor. Bu kontrollerin bütünü, backup güvenliği dediğimiz alan.

BackupSec'in Fibonacci Rule of Backup Security'si (5-3-2-1-1-0) tam olarak bu açığı ele almak için tasarlandı. 3-2-1-1-0'ın yerini almıyor; onu beş temel güvenlik ilkesiyle genişletiyor.

3-2-1-1-0 stratejisini henüz eksiksiz uygulamaya ve düzenli olarak doğrulamaya çalışan kuruluşlar için önce bu temel gelir. Fibonacci Kuralı, bunun üzerine kurulan mimari katman.

BackupSec nerede devreye giriyor

BackupSec bu problemin Veeam tarafında çalışıyor. Dört hizmetimiz kurala doğrudan karşılık geliyor:

• ZeroMON, Veeam Backup & Replication için bir izleme platformu. Şirket içinde (on-premises) OVA olarak çalışıyor, read-only bir hesapla bağlanıyor ve BackupSec'e ya da herhangi bir üçüncü tarafa hiçbir veri göndermiyor. Job sağlığını izliyor, yapılandırma değişikliklerini (kim neyi ne zaman değiştirdi) kayda geçiriyor, bir güvenlik kontrol listesi çalıştırıyor ve Veeam'in kendi repository ayarlarından okuduğu immutability durumunu gösteriyor. Uyarılar e-posta ve uygulama içi bildirimle geliyor. ZeroMON Veeam'in yapılandırmasını okuyor; depolama tarafındaki kilitleri doğrulamıyor ve restore testi çalıştırmıyor. "1" ve "0"ın dayandığı koşullar değiştiğinde size haber veriyor; restore testi ayrı bir iş.
• ZeroVault, Object Lock destekli, S3 uyumlu bulut object storage; Veeam yedekleri için site dışı immutable hedef olarak kullanılıyor. ZeroMON'dan farklı olarak yedek verisini tasarım gereği ortamınızın dışında tutuyor, çünkü site dışı kopya zaten bu demek.
• ZeroTAM, mimari, kapasite, fidye yazılımı kurtarma planlaması ve öncelikli kriz desteği için size özel bir yedekleme güvenliği danışmanı sağlıyor. Bu bir yazılım değil, danışmanlık: ek "1"inizin gerçekten izole mi, yoksa sadece uzakta mı olduğunu soracağınız kişi.
• ZeroPEN, Veeam Backup & Replication, Veeam ONE ve Enterprise Manager için tehdit odaklı bir sızma testi. MITRE ATT&CK'e eşlenmiş sekiz aşamada bir fidye yazılımı saldırı zincirini simüle ediyor: initial access'ten repository erişimine ve backup neutralization'a, oradan şifreleme kabiliyetinin kanıtına kadar. Yıkıcı değil: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." Çalışma, restore bütünlüğü ve immutability doğrulamasını da kapsıyor; denetime hazır bir rapor paketiyle bitiyor ve kritik bulgular yeniden test ediliyor.

Yedekleme güvenliği duruşunuz hakkında BackupSec ile görüşün →

Önce hızlı bir öz değerlendirme mi yapmak istersiniz? Ücretsiz Backup Security Assessment, backup stratejisinden erişim kontrolüne ve restore testine kadar yedi alanda 28 soru soruyor.