Modern siber tehditlere karşı 3-2-1-1-0 yedekleme kuralı: Değiştirilemez depolama, air-gap koruması ve otomatik hata doğrulamasıyla tam veri güvenliği.
Hızlı Özet (TL;DR)
Yıllardır bilgi teknolojileri dünyasında altın standart olarak uygulanan klasik “3-2-1” yedekleme kuralı, modern fidye yazılımlarının (Ransomware) önce ağdaki yedekleme sunucularını bulup silmesi ve sessizce bozulan yedek arşivleri karşısında artık tek başına yeterli olamamaktadır. Veri güvenliği ve iş sürekliliği endüstrisi bu prensibi 3-2-1-1-0 kuralına evriltmiştir: 3 kopya veri, 2 farklı depolama medyası ve 1 coğrafi uzak lokasyon kuralına ek olarak; fidye yazılımlarının ve hatta sistem yöneticisinin bile silemeyeceği +1 Değiştirilemez (Immutable/WORM) veya Air-Gapped kopya ve her yedeğin otomatik geri yükleme testinden geçtiği +0 Sıfır Doğrulama Hatası şart koşulmaktadır.
1. Klasik 3-2-1 Kuralı Neden Modern Fidye Yazılımları Karşısında Çöktü?
2010’lu yıllarda bir sunucu diski bozulduğunda yan kabindeki NAS cihazından yedek dönmek yeterliydi. Ancak günümüzdeki hedefli siber saldırılar (LockBit, Akira, RansomHub vb.) doğrudan dosyaları şifreleyerek başlamaz:
- İlk Hedef Yedekleme Sunucularıdır: Saldırganlar Active Directory veya VPN üzerinden ağa sızdıktan sonra ilk iş olarak Veeam, Acronis, SMB/NFS dosya paylaşımları ve NAS yönetim panellerinin kimlik bilgilerini ele geçirir. Ana ERP sunucusunu şifrelemeden hemen önce tüm yedek havuzlarını biçimlendirir (formatlar) veya
vssadmin delete shadows /allkomutuyla gölge kopyaları imha eder. - Yedekleme Replikasyonunun Zehirlenmesi: Eğer uzak lokasyondaki yedek sunucusu ana sunucuyla anlık senkronize (iki yönlü veya otomatik üzerine yazmalı) çalışıyorsa, ana sunucuda şifrelenen dosyalar dakikalar içinde uzak lokasyondaki temiz yedeklerin üzerine yazılarak onları da bozar.
- Kötü Amaçlı İç Tehdit (Sabotaj): İşten ayrılan veya yetkisi kötüye kullanılan bir sistem yöneticisi, standart bir NAS cihazındaki tüm geçmiş yedekleri 30 saniye içinde silebilir.
2. 3-2-1 ve 3-2-1-1-0 Kuralları Arasındaki Mimari Fark
Kurumsal yedekleme stratejinizin donanım arızalarına, doğal afetlere ve sofistike siber saldırılara karşı dayanıklılık matrisi aşağıda detaylandırılmıştır:
| Kural Basamağı | Mimari Gereksinim | Karşıladığı Felaket ve Risk Türü | Sahadaki Teknik Uygulama Yöntemi |
|---|---|---|---|
| 3 (Üç Kopya Veri) | 1 Canlı üretim verisi + en az 2 bağımsız yedek kopyası | Tek bir sunucu veya disk dizisi arızasında tam veri kaybı | Üretim Sanal Kümesi + Yerel Yedekleme NAS + Uzak Sunucu |
| 2 (İki Farklı Medya) | Verilerin en az 2 farklı depolama teknolojisinde veya kontrolcüde tutulması | Aynı marka/firmware disk serisindeki eşzamanlı arızalar veya RAID çökmesi | Kurumsal NVMe/SAS ZFS Havuzu + Sertleştirilmiş Linux Havuzu / LTO Teyp / Nesne Depolama |
| 1 (Bir Uzak Lokasyon) | En az 1 kopyanın fiziksel olarak farklı bir bina veya şehirde bulunması | Fabrika yangını, su baskını, deprem, trafo patlaması ve fiziksel hırsızlık | Şifreli tünel ile ikinci fabrika sahasına veya Türkiye içi TIER III veri merkezine aktarım |
| 1 (Değiştirilemez / Air-Gap) | Ağdan fiziksel/mantıksal izole veya zaman kilitli (WORM) 1 kopya | Fidye yazılımının veya ele geçirilen root/Admin hesabının yedekleri silmesi | ZFS Read-Only Snapshot, S3 Object Lock (Compliance Mode) veya Çevrimdışı (Air-Gap) medya |
| 0 (Sıfır Hata Doğrulaması) | Alınan her yedeğin otomatik kurtarma ve bütünlük testinden 0 hatayla geçmesi | “Yedek alınıyordu sanıyorduk ama arşiv bozukmuş” felaketi | İzole Sandbox ağında otomatik sanal makine açma (SureBackup) ve ZFS Checksum |
3. İlk “+1” Katmanı: Değiştirilemezlik (Immutability / WORM) ve Air-Gap Nasıl Çalışır?
3-2-1-1-0 mimarisinin en kritik kalkanı, dördüncü basamaktaki Değiştirilemez (Immutable) veya Hava Boşluklu (Air-Gapped) kopyadır. Bu katmanda temel felsefe şudur: “Saldırgan şirketin en üst düzey sistem yöneticisi (Domain Admin veya root) şifresini ele geçirse dahi, belirlenen saklama süresi dolmadan yedek dosyasını silememeli ve değiştirememelidir.”
1. Çekirdek Seviyesinde WORM (Write Once, Read Many) Kilidi
Sertleştirilmiş Linux Yedekleme Havuzları (Hardened Repository) ve Ortak Dosya Sunucusu ve Yedekleme projelerimizde kullandığımız kurumsal ZFS mimarisinde, alınan yedek bloklarına örneğin 14 veya 30 günlük değiştirilemezlik bayrağı (chattr +i / ZFS Hold & Read-Only Snapshot) vurulur. Ayrıca sunucu üzerinde SSH servisi kapatılır, iDRAC/IPMI yönetim portları izole edilir ve zaman sunucusu (NTP) manipülasyonuna karşı donanım saati koruması uygulanır.
2. Çekme (Pull) Tabanlı Tek Yönlü Replikasyon Mimarisi
Klasik sistemlerde ana sunucu yedek sunucusuna veriyi “iter” (Push); bu da ana sunucu ele geçirildiğinde yedek sunucusuna da yazma/silme komutu gönderebilmesi demektir. Kurduğumuz güvenli mimaride ise ana sunucu yedek sunucusunun şifresini hiç bilmez. Yedekleme kasası, güvenlik duvarının arkasından yalnızca kendisinin başlatabildiği tek yönlü bir bağlantıyla ana sunucudan anlık görüntüleri “çeker” (Pull Replication) ve bağlantıyı kapatır. Bu mimari, Savunma Sanayii ve İmalat Siber Güvenlik projelerimizde standart olarak uygulanmaktadır.
4. Son “+0” Katmanı: Sıfır Hata İlkesi ve Otomatik Kurtarma Doğrulaması
Yedek almak kimsenin nihai amacı değildir; asıl amaç kriz anında o yedekten eksiksiz geri dönebilmektir. Birçok işletme yıllarca yedekleme yazılımının “Tamamlandı” mesajına güvenir; ancak disk yüzeyindeki sessiz bit bozulmaları (Bit Rot), eksik kalan veritabanı işlem kütükleri veya bozuk sanal disk tabloları nedeniyle geri yükleme anında %99'da Hata: Arşiv Okunamıyor uyarısıyla yıkılır.
“0 Hata” İçin Üç Aşamalı Otomatik Denetim
- Blok Seviyesinde Kriptografik Sağlama (ZFS End-to-End Checksumming & Scrubbing): Depolama havuzundaki her veri bloğu yazılırken 256-bit kriptografik özeti (Hash) alınır. Her hafta otomatik çalışan
zpool scrubişlemi tüm diskleri okur; eğer bir disk sektöründe manyetik bozulma varsa bunu kimseye hissettirmeden eşlenik (Mirror/RAID-Z2) diskteki sağlam kopyadan onarır. - İzole Sandbox İçinde Otomatik Önyükleme (Automated Boot Verification): Yedekleme sistemi her gece alınan ERP ve dosya sunucusu yedeğini izole bir sanal ağda (Bubble Network) otomatik olarak başlatır (
Boot). - Servis Kalp Atışı (Heartbeat) ve Ekran Görüntüsü Kanıtı: Sanal sunucunun işletim sisteminin açıldığı, içindeki SQL Server/PostgreSQL veritabanı servisinin
Runningdurumuna geçtiği ve TCP portundan sorguya yanıt verdiği otomatik bir betikle test edilir; ardından giriş ekranının görüntüsü çekilerek BT yöneticisine “Gece yedeği 0 hata ile doğrulandı” raporu olarak gönderilir.
Tesisinizde 3-2-1-1-0 standardına tam uyumlu, fidye yazılımlarına karşı bağışık yedekleme ve felaket kurtarma mimarisi kurmak için Ortak Dosya Sunucusu ve Yedekleme, hassas verilerin dışarı sızmasını önlemek için Veri Sızıntısı Önleme (DLP) ve mevcut yedekleme altyapınızın saldırılara dayanıklılığını ölçmek için Sızma Testi ve Pentest sayfalarımızı ziyaret edebilirsiniz.
Sıkça Sorulan Sorular
Değiştirilemez (Immutable) yedekleme kullandığımızda disk alanı iki kat hızlı dolmaz mı?
Hayır. Kullandığımız ZFS Copy-on-Write (Yazma Anında Kopyalama) ve blok seviyesinde tekilleştirme/sıkıştırma (LZ4/ZSTD Compression) teknolojisi sayesinde, her saat başı alınan değiştirilemez anlık görüntüler (Snapshots) tüm sunucuyu baştan kopyalamaz; yalnızca bir önceki saatten bu yana değişen birkaç megabaytlık veri bloklarını kaydeder. Böylece yüzlerce geri dönüş noktası çok düşük bir disk alanı maliyetiyle kilitli olarak saklanır.
Bulut yedekleme (Cloud Backup) tek başına 3-2-1-1-0 kuralının tüm şartlarını karşılar mı?
Bulut yedekleme “1 Uzak Lokasyon” ve (S3 Object Lock açılmışsa) “1 Değiştirilemez Kopya” şartlarını karşılamakta çok başarılıdır; ancak tek başına yeterli değildir. Fabrikanızdaki 12 TB boyutundaki sanal sunucu kümesi çöktüğünde, bu veriyi internet hattınız üzerinden buluttan geri indirmek günler sürer ve üretiminiz o süre boyunca durur. Bu nedenle hızlı geri dönüş (düşük RTO) için mutlaka tesis içinde yüksek hızlı yerel bir ZFS yedekleme sunucusu bulundurulmalı, bulut veya ikinci şube ise afet kopyası olarak konumlandırılmalıdır.
Fidye yazılımı ana sunucuda haftalarca gizlenip (uyku modunda kalıp) yedeklerin içine de sızmışsa nasıl temiz dönüş yapılır?
Hedefli saldırılarda zararlı yazılım (Dropper/Backdoor) şifrelemeyi başlatmadan 15-20 gün önce sisteme yerleşmiş olabilir. Bu senaryoya karşı 3-2-1-1-0 mimarimizde GFS (Grandfather-Father-Son) saklama politikasıyla saatlik, günlük, haftalık ve aylık değiştirilemez yedek zincirleri tutulur; geri yükleme sırasında izole Sandbox ortamında sanal makineler güncel EDR/YARA kurallarıyla taranarak zararlı yazılımın bulaştığı tarihten önceki temiz geri dönüş noktası (Clean Recovery Point) güvenle tespit edilir veya yalnızca saf veritabanı tabloları yeni kurulmuş temiz işletim sistemine aktarılır.