3-2-1-1-0 kuralı açıklandı | BackupSec Knowledge Base
28 Haziran 2026·7 dk okuma
3-2-1-1-0 kuralı açıklandı
Klasik 3-2-1 kuralına eklenen iki rakamın bir nedeni var. İşte ekstra 1 ve 0'ın size kazandırdıkları.
Yazar: BackupSec Team
3-2-1-1-0 kuralı aslında ne diyor
3-2-1-1-0 kuralı, verinizin kaç kopyasını, hangi tür ortamda tutmanız gerektiğini ve bunların gerçekten çalıştığını nasıl kanıtlayacağınızı belirleyen bir veri koruma formülüdür:
3 veri kopyası — üretim kopyası artı en az iki yedek.
2 farklı ortam veya depolama platformu, böylece tek bir teknoloji arızası veya sağlayıcı kesintisi tüm kopyaları aynı anda yok edemez.
1 kopya, birincil siteden coğrafi olarak ayrılmış şekilde site dışında (offsite) saklanır.
1 ek kopya, değişmez veya air-gapped olmalı — yönetici kimlik bilgilerine sahip bir saldırgan tarafından bile erişilemez veya değiştirilemez olmalı.
0 hata: her yedek doğrulanmalı, her geri yükleme test edilmeli — çalıştığı sadece varsayılmamalı.
Bu, doğal bir ilerleme gibi okunuyor; ancak fazladan eklenen iki rakam — ikinci "1" ve "0" — orijinal formülün parçası değildi. Bunlar, fidye yazılımının özellikle yedekleri hedef almayı öğrenmesine doğrudan bir yanıt olarak yıllar sonra eklendi. Neden eklendiklerini anlamak, kontrol listesinin kendisinden daha fazlasını modern yedekleme stratejisi hakkında ortaya koyuyor.
Kural nereden geldi
İsmin "3-2-1" kısmı fidye yazılımından çok daha eskiye dayanır. Fotoğrafçı Peter Krogh, bu ifadeyi 2006 tarihli The DAM Book: Digital Asset Management for Photographers adlı kitabında ortaya attı; BT profesyonelleri arasında gözlemlediği bir dizi uygulamayı, birden bire yeri doldurulamaz dijital arşivlerden sorumlu hale gelmiş ama sistem yöneticisi olmayan çalışan fotoğrafçıların gerçekten uygulayabileceği kadar basit bir formüle indirgedi. Krogh, yedekli ve site dışı kopyalar fikrinin temelini icat etmedi; ona akılda kalıcı bir isim verdi. Kural, daha sonra 2012 yılında veri yedekleme seçenekleri üzerine bir US-CERT yayınında resmi olarak Krogh'a atfedildi; bu noktada kural zaten kurumsal BT genelinde varsayılan öneri haline gelmişti ve bugün hâlâ hem CISA hem de NIST tarafından desteklenen bir temel ilke olmaya devam ediyor.
Orijinal 3-2-1 kuralı, kendi döneminin tehditlerine göre tasarlanmıştı: disk arızası, yangın, sel, hırsızlık ve kazara silme. Temel varsayımı, tek bir fiziksel olayın, iki farklı ortam türüne ve iki farklı konuma yayılmış üç veri kopyasını makul biçimde yok edemeyeceğiydi. Yaklaşık on yıl boyunca bu varsayım geçerliliğini korudu.
Neden tek başına 3-2-1 yeterli olmaktan çıktı
Bu varsayım, fidye yazılımı operatörlerinin yedekleme altyapısını, etrafından dolaşılacak bir engel değil, birincil hedef olarak görmeye başlamasıyla çöktü. İki farklı ortam türünde, biri site dışında olan üç kopya, üçü de aynı ele geçirilmiş üretim kimlik bilgileriyle erişilebilir olsa dahi 3-2-1 kuralını tam olarak karşılar — modern fidye yazılımı gruplarının tam olarak aradığı senaryo da budur.
Bu değişimin boyutu çarpıcı. Veeam'in 2025 Ransomware Trends raporu, ankete katılan 1.300 kuruluş arasında, fidye yazılımı mağdurlarının %89'unun yedekleme depolarının saldırı sırasında doğrudan hedef alındığını ortaya koydu. Sophos'un 2025 State of Ransomware raporu, anketin altı yıllık geçmişindeki en düşük yedekten kurtarma oranını kaydetti: kuruluşların yalnızca %54'ü verilerini geri yüklemek için yedekleri kullanabildi ve saldırganın ilk fidye talebinden daha fazlasını ödemek zorunda kalanlar arasında %38'i başarısız veya arızalı yedekleri doğrudan neden olarak gösterdi.
Coğrafi olarak ayrılmış üç kopya, üçünü de silecek kimlik bilgilerine zaten sahip bir saldırganı durdurmak için hiçbir işe yaramaz. Fazladan eklenen iki rakam, tam olarak bu açığı kapatmak için tasarlandı.
Fazladan "1": Saldırganların gerçek anlamda erişemeyeceği bir kopya
Ek "1", genellikle bulut depolamada object lock, Write Once Read Many (WORM) donanımı veya saklama süresinin depolama katmanında zorunlu kılındığı sertleştirilmiş bir depo aracılığıyla, tanımlı bir saklama süresi boyunca değiştirilmeye veya silinmeye karşı korunan — yani değişmez — ya da üretimden hiçbir kalıcı ağ yolu bulunmayan, yani air-gapped en az bir kopyayı gerektirir.
Bu, ilk bakışta göründüğünden daha katı bir gerekliliktir. Aynı sağlayıcıya ait, ikisi de aynı yönetici hesabıyla erişilebilen iki bulut bölgesi bu şartı karşılamaz — kimlik bilgisi ayrımı olmadan coğrafi ayrım, zaten domain admin yetkisine sahip bir saldırgana karşı gerçek bir koruma sağlamaz. Gerçek uygulamalar genellikle hızlı kurtarma için bulut tabanlı değişmez depolamayı, değişmez katmanın yönetim düzleminin bile ele geçirildiği en kötü senaryo için daha derin bir çevrimdışı veya air-gapped kopyayla birleştirir.
CISA'nın fidye yazılımı rehberliği, çevrimdışı ve şifrelenmiş yedeklerin, ele geçirilmiş bir kimliğin erişebileceği etki alanının (blast radius) tamamen dışında kaldıkları için son savunma hattı olarak ele alınması gerektiğini açıkça belirtir.
"0": Yedeğin gerçekten çalıştığını kanıtlamak
"0", kuralın operasyonel yarısıdır ve kuruluşların en sık atladığı kısımdır. Sıfır doğrulanmamış yedek talep eder — her yedeğin bütünlük açısından kontrol edilmesini, sadece yeşil bir "iş başarılı" bildirimiyle izlenmek yerine her geri yükleme yolunun periyodik olarak uçtan uca test edilmesini gerektirir.
Başarılı raporlanan yedekleme işleri ile gerçekten çalışan geri yüklemeler arasındaki fark büyük ve iyi belgelenmiş durumda. 2025 yılında yapılan bir sektör araştırması, kuruluşların %62'sinin düzenli yedekleme ve geri yükleme testi tatbikatları gerçekleştirmediğini, %37'sinin ise yedekler eksik olduğu veya hiç doğrulanmadığı için gereken kurtarma süresi hedefine ulaşamadığını ortaya koydu. Uygun bütünlük ve kötü amaçlı yazılım taraması yapılmadan geri yükleme denendiğinde, tahmini olarak kuruluşların %63'ü kesintiye neden olan aynı enfeksiyonu yeniden bulaştırma riskiyle karşı karşıya kalıyor — bu da bir kurtarma girişimini ikinci bir olaya dönüştürüyor.
"0" rakamı var, çünkü hiç geri yüklenmemiş bir yedek bir kontrol değildir — bir varsayımdır. Belirli bir takvime göre yapılan ve gerçekçi kurtarma süresi hedeflerine göre ölçülen doğrulama, bu varsayımı gerçek bir olay sırasında güvenebileceğiniz bir gerçeğe dönüştüren şeydir.
3-2-1-1-0'ı uygularken yapılan yaygın hatalar
İki bulut bölgesini "iki ortam" olarak saymak. Ortam türü çeşitliliği, aynı nesne deposunun iki örneği değil, gerçek anlamda farklı depolama teknolojileri veya platformları anlamına gelir.
Fazladan "1"in herhangi bir site dışı kopyayla karşılandığını varsaymak. Site dışı olma, coğrafyayla ilgilenir; değişmez veya air-gapped olma ise kimlik bilgisi ele geçirilmesiyle ilgilenir. Üretimle aynı kimlik düzlemini paylaşan, kurala uygun bir site dışı kopya, bu rakamın eklenmesine yol açan açığı kapatmaz.
Yedekleme işleri yeşil raporladığı için "0"ı atlamak. Başarılı bir yedekleme işi, verinin yazıldığını doğrular. Ancak verinin geri yüklenebilir, uygulama açısından tutarlı veya geri yüklemeyi gerektirecek zararlı yazılımdan arınmış olduğunu doğrulamaz.
Kuralı, verinin kritikliğine bakılmaksızın tek tip uygulamak. Birinci öncelikli (tier-one) sistemler genellikle arşiv verilerine kıyasla daha sık doğrulama ve daha kısa RTO gerektirir; tüm envanterde tek bir saklama ve test politikası uygulamak, çoğunlukla en önemli sistemleri yetersiz korurken önemsiz olanlara gereğinden fazla kaynak harcanmasına yol açar.
3-2-1-1-0, 2026'da hâlâ yeterli mi?
Çoğu kuruluş için, 3-2-1-1-0'ı doğru şekilde uygulamak — fazladan "1" ve "0"ı sadece işaretlemek değil, gerçek anlamda zorunlu kılmak — fidye yazılımının başta yedekleri hedef almasına yol açan açığın büyük bölümünü kapatır. Bu kural, sağlam bir operasyonel temel olmaya devam ediyor ve hem CISA hem de NIST bunu bu şekilde desteklemeyi sürdürüyor.
Yetersiz kaldığı nokta ise mimaridir: 3-2-1-1-0, "kaç kopya, nerede ve hangi durumda" sorusuna yanıt verir, ancak bu kopyaların bir saldırı altında bu durumlarını koruyup korumayacağını belirleyen erişim yönetişimi, ağ segmentasyonu ve sürekli izleme hakkında hiçbir şey söylemez. BackupSec'in kendi Fibonacci Rule of Backup Security'sinin (5-3-2-1-1-0) kapatmak için tasarlandığı açık tam olarak budur; bu kural, aynı kopya sayısı formülünün altına beş temel güvenlik ilkesi ekler. Ancak 3-2-1-1-0'ı henüz eksiksiz ve doğrulanabilir şekilde hayata geçirmeye çalışan bir kuruluş için bu, bir ön koşul değil, sonraki bir adımdır.
BackupSec Devreye Girdiğinde
BackupSec olarak, kurumsal ekiplerin 3-2-1-1-0 uygulamalarının sadece belgelenmiş değil, gerçek olduğunu doğrulamalarına, yedekleme güvenliğini gözlemlenebilir, danışılabilir ve kanıtlanabilir hale getirerek yardımcı oluyoruz.
Yaklaşımımız üç katmanı bir araya getirir:
ZeroMON, tüm yedekleme envanteri üzerinde sürekli gözlemlenebilirlik sağlar — gerçek zamanlı iş takibi, otomatik güvenlik kontrolleri, yapılandırma sapmaları için adli denetim izleri ve tek tıkla uyumluluk raporlarıyla Veeam'e hazır izleme sunar. Kuralın "0 hata" gerekliliğini bir umuttan kanıta dönüştüren katman budur.
ZeroTAM, yedekleme mimarisi, değişmezlik yapılandırması ve fidye yazılımı kurtarma planlaması için özel uzman danışmanlık sunar — çoğu kurumun, fazladan "1"inin sadece coğrafi olarak uzak değil, gerçek anlamda izole olduğunu doğrulamak için ihtiyaç duyduğu insan katmanıdır.
ZeroPEN, yedekleme altyapınızı gerçek bir saldırganın yapacağı gibi test eder — yönetim düzlemlerini, erişim kontrollerini ve değişmezlik ayarlarını hedef alarak — ve ardından temiz, eksiksiz ve belirtilen RTO süresi içinde gerçekten kurtarabildiğinizi kanıtlamak için gerçek geri yükleme senaryoları çalıştırır.
BackupSec, şirket içinde (on-premise) devreye alınır, yedekleme uygulamalarınıza yalnızca okuma erişimli (read-only) API üzerinden bağlanır ve yedekleme verinizi asla ortamınızın dışına taşımaz.
Kendi ortamınızın nasıl bir performans sergilediğini görmek ister misiniz? Ücretsiz Backup Security Assessment ile puanlayın.
Sık sorulan sorular
3-2-1-1-0 yedekleme kuralı nedir?
3-2-1-1-0 kuralı şu anlama gelir: verinizin 3 kopyası, 2 farklı ortamda, 1 kopya site dışında, değişmez veya air-gapped 1 ek kopya ve düzenli yedekten kurtarma testleriyle doğrulanan 0 hata. Bu kural, özellikle fidye yazılımına ve sessiz yedek bozulmalarına karşı savunma sağlamak için klasik 3-2-1 kuralını genişletir.
3-2-1 neden 3-2-1-1-0 oldu?
Çünkü fidye yazılımı, yedekleme depolarını doğrudan hedef almaya başladı — Veeam'in 2025 araştırması, fidye yazılımı mağdurlarının %89'unun yedeklerinin hedef alındığını ortaya koydu. Fazladan eklenen "1", üretim kimlik bilgilerine sahip bir saldırganın dokunamayacağı değişmez veya air-gapped bir kopya ekler; "0" ise kurtarma doğrulamasını zorunlu bir adım haline getirerek, bir yedeğin kurtarılamaz olduğunu bir felaket sırasında değil, felaketten önce öğrenmenizi sağlar.
3-2-1 yedekleme kuralını kim oluşturdu?
Fotoğrafçı Peter Krogh, "3-2-1" ifadesini 2006 tarihli The DAM Book: Digital Asset Management for Photographers adlı kitabında ortaya attı; BT profesyonelleri arasında gözlemlediği yedekli yedekleme uygulamalarını basit bir formüle indirgedi. Kural, daha sonra 2012 yılındaki bir US-CERT yayınında resmi olarak kendisine atfedildi ve CISA ile NIST tarafından desteklenen bir temel ilke olmaya devam ediyor.
Site dışı bir kopya, değişmez bir kopyayla aynı mıdır?
Hayır. Site dışı olma, coğrafyayla ilgilenir — yangın, sel veya site düzeyinde bir kesintiye karşı korur. Değişmez olma ise kimlik bilgisi ele geçirilmesiyle ilgilenir — zaten geçerli bir yönetici erişimine sahip bir saldırgana karşı korur. Bir kopya site dışında olabilir ve yine de ele geçirilmiş bir yönetici hesabı tarafından tamamen erişilebilir ve silinebilir olabilir; 3-2-1-1-0'ın değişmezliği, coğrafya tarafından otomatik olarak karşılanmış saymak yerine ayrı, ek bir gereklilik olarak eklemesinin nedeni tam olarak budur.
3-2-1-1-0 kuralı 2026'da hâlâ yeterli mi?
Kopya sayısı, ortam çeşitliliği ve doğrulama açısından operasyonel bir temel olarak, evet — hem CISA hem de NIST bunu desteklemeye devam ediyor. Kapsamadığı şey ise çevresindeki mimaridir: bu kopyaların aktif bir saldırı altında korunmuş kalıp kalmayacağını belirleyen erişim yönetişimi, ağ segmentasyonu ve sürekli izleme. BackupSec'in Fibonacci Rule of Backup Security gibi çerçeveler, tam olarak bu açığı kapatmak için tasarlanmıştır.
