Son güncelleme: · Karelsan
Fidye yazılımına karşı yedekleme, verinin saldırganın ulaşamayacağı en az bir kopyasını tutmak ve bu kopyadan gerçekten geri dönebildiğinizi düzenli olarak sınamaktır. Bunun için 3-2-1-1-0 kuralı uygulanır: üç kopya, iki farklı ortam, biri başka yerde, biri çevrim dışı ya da değiştirilemez ve doğrulamada sıfır hata.
Fidye yazılımı yedekleri de şifreler mi?
Evet, ulaşabildiği yedeği şifreler ya da siler. Birçok saldırıda saldırgan ağa girer girmez dosyaları şifrelemez. Önce yedek sunucusunu, NAS'ı (ağa bağlı depolama cihazı) ve yedek paylaşımlarını arar. Yedek ortadan kalkarsa fidye ödemekten başka yolunuz kalmayacağını hesaplar.
Yedek, sunucuyla aynı yönetici hesabıyla açılabiliyorsa, bir bilgisayarda sürücü harfi olarak bağlıysa ya da etki alanına (domain) üye bir NAS'ta duruyorsa saldırgan için ayrı bir engel değildir. Bu senaryoyu adım adım fidye yazılımı yedekleri hedef alırsa yazımızda anlattık.
OneDrive, Dropbox gibi eşitleme (senkronizasyon) hizmetleri tek başına yedek sayılmaz. Bilgisayardaki dosya şifrelenince şifreli hâli de buluta eşitlenir. Sürüm geçmişi işe yarayabilir, ama süresi ve kapsamı hizmete ve pakete göre sınırlıdır.
3-2-1 ve 3-2-1-1-0 yedekleme kuralı nedir?
3-2-1 kuralı, verinin üç kopyasını iki farklı ortamda ve bir kopyasını başka bir yerde tutmaktır. 3-2-1-1-0 ise fidye yazılımı için iki madde ekler: bir kopya çevrim dışı ya da değiştirilemez olmalı, doğrulamada ve geri yükleme testinde hata kalmamalı.
| Rakam | Anlamı | Pratikte örnek |
|---|---|---|
| 3 | Verinin en az üç kopyası (canlı veri dahil) | Canlı sunucu, yerel yedek, ikinci yedek |
| 2 | En az iki farklı depolama ortamı | Sunucu diski ve ayrı bir NAS ya da harici disk |
| 1 | Bir kopya başka bir yerde (off-site) | Başka binada duran disk, ikinci şube, uzak depo |
| 1 | Bir kopya çevrim dışı (offline) ya da değiştirilemez (immutable) | Takılıp çıkarılan ve kilitli dolapta duran disk, silinmeye kilitli depo |
| 0 | Doğrulamada ve geri yükleme testinde sıfır hata | Düzenli bütünlük kontrolü ve tarihli test geri yüklemesi |
Küçük ve orta ölçekli işletmelerde sık eksik kalan madde, çevrim dışı ya da değiştirilemez kopyadır. Yerel yedek ve NAS çoğu yerde vardır, ama ikisi de aynı ağda ve aynı hesaplarla açık durur.
Küçük bir ofis için örnek düzen
Örnek düzen: tek bir Hyper-V sunucusu olan bir ofis varsayalım. Sunucunun üzerine kurulu K-SYNC, her gece sanal makineleri bir NAS paylaşımına yedekler. Bu paylaşıma yalnızca yedek için açılmış ayrı bir hesap yazabilir. Canlı sunucu ve NAS, ilk iki kopyayı ve iki farklı ortamı verir. Haftada bir, yedek çalışmadığı bir saatte, yedek dosyaları K-SYNC dışında ayrı bir yöntemle (elle ya da zamanlanmış bir kopyalama göreviyle) harici bir diske aktarılır. Disk çıkarılır ve başka binada saklanır. İki disk dönüşümlü kullanılırsa her an biri ağdan uzakta kalır. Ayın sonunda bir makine test için geri yüklenir.
Değiştirilemez (immutable) yedek nedir, NAS yeterli mi?
Değiştirilemez yedek, belirlenen süre dolmadan yönetici hesabıyla bile silinemeyen ya da üzerine yazılamayan yedektir. Bu kilit depolama katmanında durmalıdır. WORM (bir kez yaz, çok oku) özellikli depolar ya da nesne kilidi destekleyen bulut depoları buna örnektir.
NAS'taki yedekler, NAS ağdan ve aynı hesaplarla erişilebiliyorsa korunmuş sayılmaz. NAS'ın kendi anlık görüntü (snapshot) özelliği ayrı bir yönetici parolasıyla korunuyorsa iş görür. Yine de NAS yönetim ekranı ele geçirilirse bu kopyalar da silinebilir.
Çevrim dışı (offline ya da air gap) kopya, ağ bağlantısı fiziksel olarak kesilmiş kopyadır. En basit biçimi, haftada bir takılıp yedek aktarıldıktan sonra çıkarılan ve başka bir yerde saklanan harici disktir. Ucuzdur, ama birinin bu işi aksatmadan yapması gerekir.
Dürüst not: K-SYNC'te S3 ya da başka bir bulut deposu yoktur. Yedekler yerel diske ya da SMB ağ paylaşımına yazılır ve K-SYNC sanal makine yedeklerini başka bir yere kendiliğinden kopyalamaz. 3-2-1-1-0'daki başka yerde duran ve çevrim dışı kopya için ayrı bir yöntem kurmanız gerekir: dönüşümlü harici disk, ayrı binadaki depo ya da değiştirilemez depolama gibi. Değiştirilemez kopya sunan ürünleri yedekleme yazılımı karşılaştırması sayfasında yan yana koyduk.
Yedek deposuna erişim nasıl ayrılır?
Yedek deposu, günlük kullanılan hiçbir hesapla açılamamalıdır. Saldırgan bir kullanıcının ya da etki alanı yöneticisinin parolasını ele geçirdiğinde yedeklere aynı anahtarla ulaşamamalıdır.
- Hizmet hesabı açın
Yedek için ayrı bir hizmet hesabı açın. Bu hesap etki alanı yöneticisi olmasın, başka hiçbir yerde kullanılmasın.
- Paylaşım iznini daraltın
SMB paylaşımında (Windows ağ paylaşımı) yazma iznini yalnızca bu hesaba verin. Kullanıcılar ve diğer yöneticiler paylaşımı görmesin.
- Sürücü harfi vermeyin
Yedek paylaşımını hiçbir bilgisayarda sürücü harfi olarak bağlamayın. Bağlı sürücü, şifreleyen yazılım için açık bir hedeftir.
- Depoyu etki alanı dışında tutun
Mümkünse yedek deposunu etki alanına üye yapmayın ve yönetim ekranını ayrı bir parolayla koruyun.
- Konsol erişimini sınırlayın
Yedek yazılımının konsoluna erişimi sınırlayın; kim girdi, ne sildi izlenebilsin.
K-SYNC'te depo yerel disk ya da SMB paylaşımı olabilir. SMB için girilen kullanıcı adı ve parola, Windows'un DPAPI korumasıyla (Windows'un makineye bağlı şifreleme özelliği) saklanır. Ayrı hesabı ve paylaşım izinlerini kurmak ise sizin elinizdedir. Şunu da unutmayın: yedek alan sunucu ele geçirilirse bu hesap da kullanılabilir; çevrim dışı kopya bu yüzden gereklidir. Bu düzenin kurulmasına yedekleme ve felaket kurtarma hizmetimiz kapsamında destek veriyoruz.
Yedek şifreleme anahtarı nerede durmalı?
Şifreleme anahtarı, yalnızca yedeğin durduğu yerde ya da tek bir sunucuda durmamalıdır. Sunucu yanarsa ya da saldırıda silinirse anahtar da gider ve şifreli yedek açılamaz. Anahtarın kâğıtta ya da kasada duran bir kopyası olmalıdır.
Şifreleme, yedeğin çalınıp okunmasını engeller. Silinmesini ya da üzerine yeniden şifrelenmesini engellemez. Bu yüzden şifreleme, erişim ayrımının ve çevrim dışı kopyanın yerini tutmaz, onları tamamlar.
K-SYNC Yedekleme, sanal makine yedeklerini her zaman AES-256-GCM (güçlü bir şifreleme yöntemi) ile şifreler; şifresiz sanal makine yedeği seçeneği yoktur. Hyper-V yedeklerinde her yedeğin anahtarı iki ayrı yolla korunur: makineye bağlı anahtar (DPAPI) ve kurulumda üretilen kurtarma anahtarı. Kurtarma anahtarı 52 karakterlik bir metindir. Lisans çevrim içi etkinleştirilirken bu anahtar Karelsan lisans paneline de kendiliğinden gönderilir. Bu gönderimin başarılı olduğu garanti edilmez; Güvenlik ekranından elle yeniden gönderebilirsiniz. Çevrim dışı etkinleştirmede bu adım olmaz.
- Başka sunucuda açma
Hyper-V yedekleri, sunucu kaybolsa bile kurtarma anahtarıyla başka bir Hyper-V sunucusunda açılabilir.
- Proxmox anahtarının yeri
Proxmox yedeklerinin depo anahtarı K-SYNC'in yerel veritabanında durur. O sunucu kaybolursa bu yedekler yalnızca kurtarma anahtarı ve yedek dosyalarıyla açılamaz; K-SYNC sunucusunu da ayrıca korumanız gerekir.
- Dosya yedeği şifreleme
Dosya yedeklerinde şifreleme isteğe bağlıdır ve varsayılan olarak kapalıdır. Kişisel veri içeren klasörler için açmanızı öneririz.
Yedeklerin temiz ve sağlam olduğu nasıl anlaşılır?
Bunu anlamanın iki yolu vardır: yedeğin bozulmadığını otomatik doğrulamak ve yedekten gerçekten geri yükleme yapmak. Saldırgan bazen ağda bir süre sessizce bekler. Bu yüzden son yedek değil, saldırıdan önceki temiz nokta önemlidir; saklama süresini buna göre seçin.
K-SYNC, Hyper-V yedeklerini arka planda kurtarma anahtarıyla açıp blok blok doğrular. Her 1 MiB blok, BLAKE3 özetiyle (verinin parmak izi) kontrol edilir. Bu kontrol sırayla yürür: yaklaşık 30 dakikada bir, son 7 günde doğrulanmamış bir yedek ele alınır ve bir sanal makine yedeği çalışırken beklenir. Proxmox yedeklerinde yalnızca parçaların yerinde olduğu kontrol edilir. Doğrulama hata verirse e-posta gelir; aynı makine için bu uyarı 24 saatte en fazla bir kez gönderilir.
Dosya yedeklerinde ayrıca bir fidye yazılımı uyarısı vardır. Şifrelenmiş gibi görünen dosyalar, bilinen fidye yazılımı uzantıları ya da değişen veri miktarında ani sıçrama fark edilirse yedek uyarı olarak işaretlenir ve eski yedeklerin silinmesi 7 gün durdurulur. Bu uyarı sanal makine yedeklerinde yoktur.
Seçtiğiniz yedekleri belirli bir gün sayısı boyunca uygulama içinden silinemez hâle de getirebilirsiniz. Bu kilit gerçek WORM değildir: dosyalara salt okunur özniteliği verilir, ama dosya sistemine erişen bir yönetici ya da zararlı yazılım yine de silebilir.
Geri yükleme testi nasıl yapılır?
Geri yükleme testi, bir yedeği canlı sistemden ayrı bir yere açıp çalıştığını kendi gözünüzle görmektir. Test edilmemiş yedek, saldırı günü sürpriz çıkarabilir.
- Makine ve klasör seçin
Her ay ya da her çeyrek bir sanal makine ve bir klasör seçin.
- Ayrı klasöre geri yükleyin
Yedeği yeni bir adla ve ayrı bir klasöre geri yükleyin. Açmadan önce makinenin ağ bağlantısını kesin; canlı makineyle ağda çakışmasın.
- Makineyi açıp bakın
Makineyi açın; uygulamanın çalıştığını ve verinin yedek tarihine uyduğunu kontrol edin.
- Süreyi not edin
Geri yüklemenin ne kadar sürdüğünü not edin. Bu, gerçek bir saldırıda ne kadar kapalı kalacağınızın tahminidir.
- Test makinesini silin
Test makinesini silin ve sonucu tarihli olarak kaydedin.
K-SYNC'te Hyper-V makinesi yeni bir adla ve başka bir klasöre geri yüklenebilir; böylece test canlı makineye dokunmadan yapılır. Proxmox yedekleri ise yeni bir makine numarasıyla (VMID) geri yüklenebilir. Windows dosya sistemi (NTFS, ReFS, FAT) kullanan makinelerin Hyper-V yedeğinden tek dosya da çıkarılabilir; dosya yedeklerinden de seçtiğiniz dosya ve klasörler geri yüklenir. Ayrıntılı kontrol listesi için yedekten geri dönüş testi yazımıza bakabilirsiniz.
Fidye yazılımı saldırısından sonra yedekten nasıl dönülür?
Önce saldırıyı durdurur, sonra temiz bir noktadan ayrı bir ortama geri yüklersiniz. Acele edip temizlenmemiş ağa yedek bağlamak, son sağlam kopyanın da şifrelenmesine yol açabilir.
- Makineleri ağdan ayırın
Etkilenen makineleri ağdan ayırın; kapatmadan önce olay müdahale ekibine danışın.
- Depoyu ağdan uzak tutun
Yedek deposunu saldırı temizlenene kadar ağa bağlamayın.
- Temiz noktayı seçin
Saldırganın girdiği tarihi tahmin edin ve ondan önceki bir yedek noktasını seçin.
- Yalıtılmış ağda geri yükleyin
Geri yüklemeyi önce yalıtılmış bir ağda yapın, sonra tüm yönetici ve hizmet hesabı parolalarını değiştirin.
Fidye ödemek, verinin geri geleceğini ya da sızdırılmayacağını garanti etmez. Sağlam bir yedek bu kararı sizin elinize verir. Saldırı anında destek için fidye yazılımı koruması ve olay müdahale hizmetimiz vardır.
Fidye yazılımı saldırısı KVKK'ya bildirilmeli mi?
Kişisel veriler etkilendiyse bildirim gerekebilir; karar olayın niteliğine bağlıdır. KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri almasını ister. Kurum'un Kişisel Veri Güvenliği Rehberi, yedeklemeyi teknik tedbirler arasında sayar. Kanunda yedeklemeyi tek başına ve açıkça zorunlu kılan ayrı bir hüküm yoktur; tedbirin yeterliliği verinin niteliğine göre değerlendirilir.
Fidye saldırısında kişisel veriler şifrelendiyse ya da dışarı çıkarıldıysa bu durum veri ihlali olarak değerlendirilebilir. Kurul'un 2019/10 sayılı kararına göre ihlal, öğrenildikten sonra gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirilmelidir. Şifreli yedek, erişim kayıtları ve test raporları, bu süreçte hangi tedbirlerin alındığını göstermeye yardım eder.
Bildirim gerekip gerekmediği olaya göre değişir; bu kararı hukuk danışmanınızla birlikte verin. Teknik tedbirlerin belgelenmesinde KVKK uyum danışmanlığı hizmetimiz yardımcı olur. Ürünün yapabildikleri ve sınırları K-SYNC ürün sayfasında yazılıdır.
Kaynaklar
Diğer ürünlerle ilgili bilgiler üreticilerin kendi belgelerinden alındı ve 9 Kasım 2026 tarihinde kontrol edildi. Sürümler değiştikçe ayrıntılar değişebilir.
