Fidye yazılımlarına karşı air-gapped yedekleme stratejisi: Ağı fiziksel ve mantıksal olarak yalıtılmış çevrimdışı depolama kurulum adımlarını öğrenin.
Hızlı Özet (TL;DR)
Air-Gap (Hava Boşluğu), yedekleme depolama biriminin internet dahil olmak üzere kurumsal ağdaki hiçbir sunucu veya bilgisayarla sürekli bir fiziksel ya da mantıksal ağ bağlantısının bulunmaması durumudur. Ağ kablosu takılı olmayan, kablosuz arayüzü bulunmayan ve aktif bir IP rotası üzerinden erişilemeyen bir depolama ünitesine dünyadaki hiçbir siber saldırgan, sıfırıncı gün (Zero-Day) açığı veya fidye yazılımı uzaktan sızamaz. Kurumsal 3-2-1-1-0 Yedekleme Standardı gereğince en az 1 yedek kopyasının çevrimdışı (Air-Gapped) veya değiştirilemez (Immutable) olması şarttır. Fiziksel LTO teyp kartuşları, rotasyonlu şifreli disk kasaları ve ZFS tabanlı tek yönlü “Pull-Only” (Sadece Çekme) zamanlanmış izolasyon mimarileri en güvenilir hava boşluğu yöntemleridir.
Neden Standart Ağa Bağlı (Online) Yedekler Artık Yeterli Değil?
Birçok işletme, sunucu odasına bir NAS cihazı koyup her gece ERP veritabanını ve ortak klasörleri bu cihaza kopyaladığında kendini güvende hisseder. Oysa modern fidye yazılımı saldırıları (LockBit, Akira, BlackBasta, RansomHub) artık otomatize edilmiş botlar tarafından değil, hedef ağın topolojisini günlerce inceleyen “İnsan Güdümlü” (Human-Operated Ransomware) siber suç grupları tarafından gerçekleştirilir.
Saldırganlar şirket ağına sızıp Active Directory Domain Admin veya sanallaştırma sunucusu (VMware ESXi / Hyper-V) kök yetkilerini ele geçirdiklerinde, üretim sunucularını şifrelemeden önce ilk olarak yedekleme sistemlerini hedef alırlar:
- Ağ üzerindeki tüm SMB/NFS yedek paylaşımlarını tarar ve içindeki
.bak,.vhdx,.zipdosyalarını şifreler veya silerler. - Yedekleme yazılımının yönetim konsoluna sızarak mevcut tüm yedek görevlerini ve geçmiş geri dönüş noktalarını imha ederler.
- Hatta NAS cihazının yönetim arayüzüne kayıtlı parolalarla girip tüm RAID dizisini sıfırlayabilirler (Factory Reset).
Eğer yedekleme üniteniz 7/24 ağa bağlıysa ve ana sunucularınızla aynı kimlik doğrulama etki alanını (Domain) paylaşıyorsa, o sistem gerçek bir felaket kurtarma yedeği değil, saldırgan için sadece şifrelenecek bir sonraki klasördür. İşte Air-Gapped (Hava Boşluklu) Yedekleme, saldırgan ağdaki tüm şifreleri ve en üst düzey yetkileri ele geçirse dahi yedeklere fiziksel ve mantıksal olarak ulaşamamasını garanti eden son savunma kalesidir.
Fiziksel ve Mantıksal Air-Gap Mimarilerinin Karşılaştırması
İşletmenin veri büyüklüğüne, kurtarma süresi hedefine (RTO) ve operasyonel disiplinine göre uygulanan iki temel hava boşluğu mimarisinin mühendislik karşılaştırması:
| Değerlendirme Kriteri | Fiziksel Air-Gap (Geleneksel Çevrimdışı Medya) | Mantıksal / Otomatik Air-Gap (Modern Pull-Vault) |
|---|---|---|
| İzolasyon Mekanizması | Ağ ve güç kablosu fiziksel olarak sökülmüş, kasaya kaldırılmış donanım | Güvenlik duvarı, zamanlı PoE/Port kesici ve tek yönlü (Pull) kriptografik tünel |
| Kullanılan Teknolojiler | LTO-8 / LTO-9 Manyetik Teyp, RDX Kartuş, Rotasyonlu SAS/SATA Disk | TrueNAS ZFS Pull-Replikasyon, S3 Object Lock (Compliance Mode), İzole Kasa VLAN’ı |
| İnsan Müdahalesi ve Operasyon | Operatörün her gün/hafta kartuşu çıkarıp yangın kasasına taşıması gerekir | %100 Otomatik (Zero-Touch); insan unutkanlığına veya ihmaline yer bırakmaz |
| Kurtarma Hızı (RTO) | Yavaş (Kasadan medyanın getirilmesi ve sıralı okunması saatler sürer) | Çok Hızlı (ZFS Klonlama veya anlık VLAN aktivasyonu ile dakikalar içinde açılır) |
| Yedek Güncelliği (RPO) | Genellikle haftalık veya günlük (Fiziksel taşıma sıklığıyla sınırlı) | Saatlik veya günde birkaç kez (Yalnızca değişen delta bloklar çekilir) |
| Siber Saldırı Direnci | Mutlak %100 uzaktan erişim imkânsızlığı (Fiziksel hava boşluğu) | Çok Yüksek (Üretim ağından kasa sunucusuna doğru tüm gelen portlar kapalıdır) |
Üç Farklı Endüstriyel Air-Gap Uygulama Mimarisi
Bir üretim tesisinde veya kurumsal veri merkezinde Air-Gap stratejisi kurgulanırken aşağıdaki üç mühendislik modelinden biri veya hibrit birleşimi uygulanır:
1. Fiziksel Medya Rotasyonu (LTO Teyp ve RDX Kasası)
Özellikle on yıllarca saklanması gereken arşiv verileri ve büyük hacimli soğuk yedekler için LTO (Linear Tape-Open) manyetik teyp kartuşları veya darbeye dayanıklı RDX disk üniteleri kullanılır. “Büyükbaba-Baba-Oğul” (Grandfather-Father-Son - GFS) rotasyon kuralına göre en az 3 veya 4 set medya kullanılır:
- 1. Set (Aktif): O hafta yedekleme cihazının içinde takılı olan medyadır.
- 2. Set (Çevrimdışı Kasa): Geçen haftanın yedeğini barındıran, cihazdan fiziksel olarak çıkarılmış ve fabrika dışındaki bir lokasyonda veya yangına/manyetik alana dayanıklı çelik kasada kilitli tutulan medyadır.
- 3. Set (Aylık Arşiv): Ay sonu tam yedeğini içeren ve tamamen farklı bir şehirdeki kasada muhafaza edilen kopyadır.
Cihazdan çıkarılıp kasaya konan bir teyp kartuşunun içinde işletim sistemi yoktur, IP adresi yoktur ve elektrik bağlantısı yoktur; dolayısıyla ağdaki bir fidye yazılımının o kartuşa ulaşması fizik kuralları gereği imkânsızdır.
2. “İtiş Değil Çekiş” (Pull-Only) Mantıksal Air-Gap Mimarisi
Fiziksel disk takıp çıkarmanın unutulması riskini ortadan kaldırmak için en sık kurduğumuz modern mimari Pull-Only (Yalnızca Çekme) Kasası yöntemidir.
Geleneksel (hatalı) mimaride ana sunucu yedekleme sunucusuna bağlanıp veriyi iter (Push). Bu durumda ana sunucuyu ele geçiren saldırgan, kayıtlı kimlik bilgileriyle yedekleme sunucusuna da geçebilir. Pull-Only Air-Gap mimarisinde ise kurallar tamamen tersine çevrilir:
- Sıfır Gelen Port (Zero Inbound): Air-Gap yedekleme sunucusu (Vault), ayrı ve kilitli bir sistem odasında ve izole bir VLAN’da konumlandırılır. Güvenlik Duvarı Firewall üzerinde üretim ağından bu sunucuya doğru gelen tüm portlar (
SSH,SMB,NFS,HTTPS,ICMP/Pingdahil) tamamen bloklanır. Üretim ağındaki hiçbir bilgisayar bu sunucunun varlığını bile göremez. - Zamanlanmış Tek Yönlü Çekim: Yalnızca gece saat
02:00’de Air-Gap sunucusu uyanır, kendi içinden üretim sunucusuna doğru tek yönlü bir SSH tüneli açar, ZFS Snapshot delta bloklarını kendi içine çeker (Pull), kendi üzerinde değiştirilemez (Immutable) olarak mühürler ve bağlantıyı kapatır. - Fiziksel Port Kesici (Time-Controlled Relay / PoE Switch): İstenirse yedekleme penceresi (örneğin
02:00 – 03:00arası) bittiği anda, yönetilebilir switch üzerindeki ilgili Ethernet portu otomatik zamanlayıcıyla elektriksel olarak kapatılır (port shutdown). Böylece günün 23 saati kablo fiziksel olarak çekilmiş gibi tam hava boşluğu sağlanır.
3. Donanımsal WORM (Bir Kez Yaz, Çok Kez Oku) ve S3 Object Lock
Yedekleme sunucusunun işletim sistemi düzeyinde zaman saati (NTP) manipülasyonlarına karşı korunması ve alınan snapshot veya nesne yedeklerinin belirlenen saklama süresi (Retention Period - örneğin 30 gün) dolmadan root kullanıcısı tarafından dahi silinememesi sağlanır. Bu mimari, Savunma Sanayii ve İmalat Siber Güvenlik denetimlerinde aranan en kritik iş sürekliliği kriterlerini karşılar.
Air-Gap Altyapısında Kritik Güvenlik ve Test Kuralları
Çevrimdışı bir yedekleme sistemi kurarken gözden kaçırılmaması gereken üç mühendislik disiplini vardır:
- Donanımsal Şifreleme (AES-256 Encryption at Rest): Fiziksel olarak taşınan harici diskler veya teyp kartuşları çalınma ya da kaybolma riskine açıktır. Bu nedenle tüm çevrimdışı medyalar mutlaka AES-256 standardında şifrelenmeli, şifreleme anahtarları (Passphrase / Keyfile) medyadan ayrı bir parola kasasında saklanmalıdır.
- Bozuk Yedeği Üzerine Yazmama (Retention Depth): Eğer saldırgan 5 gün önce ağa sızıp bazı dosyaları sessizce bozduysa ve siz tek bir harici diskin üzerine her gün yedek yazıyorsanız, temiz yedeğinizi bozuk verilerle ezmiş olursunuz. Bu yüzden Air-Gap yedeklerinde mutlaka geriye dönük çoklu versiyon (en az 30-90 gün) korunmalıdır.
- Periyodik Geri Yükleme Tatbikatı (Restore Drill): Test edilmemiş yedek, yedek değildir. Ayda en az bir kez çevrimdışı yedekler izole bir test ortamına bağlanarak veritabanlarının ve sanal makinelerin sorunsuz açıldığı doğrulanmalıdır.
Fidye yazılımlarına karşı sızması imkânsız kurumsal depolama, TrueNAS ZFS replikasyon ve Air-Gap yedekleme mimarileri için Ortak Dosya Sunucusu ve Yedekleme uzmanlarımızdan projelendirme desteği alabilir, mevcut yedekleme altyapınızın saldırı direncini ölçmek için Sızma Testi ve Pentest hizmetimizden yararlanabilirsiniz.
Sıkça Sorulan Sorular
USB harici diski sunucuya takıp yedek aldıktan sonra çekmek kurumsal bir Air-Gap çözümü sayılır mı?
Küçük ölçekli ofislerde temel bir önlem olsa da kurumsal ve endüstriyel yapılarda manuel USB disk takıp çıkarmak sürdürülebilir değildir. Personelin diski çıkarmayı unuttuğu bir hafta sonunda saldırı gerçekleşirse hem sunucu hem de takılı unutulan USB disk aynı anda şifrelenir. Ayrıca standart tüketici tipi USB diskler sessiz veri bozulmasına (Bit Rot) karşı korumasızdır. Kurumsal yapılarda insan faktörünü devre dışı bırakan otomatik “Pull-Only” ZFS kasaları veya kurumsal teyp kütüphaneleri kullanılmalıdır.
Bulut yedekleme (Cloud Backup) tek başına Air-Gap yerine geçer mi?
Standart bulut senkronizasyon servisleri (Google Drive, OneDrive, Dropbox vb.) kesinlikle Air-Gap değildir; çünkü bilgisayardaki dosya şifrelendiği saniyede buluttaki kopyası da otomatik olarak şifreli haliyle güncellenir. Bulut yedeklemenin mantıksal Air-Gap sayılabilmesi için erişim anahtarlarının ana sunucuda tutulmaması ve bulut depolama kovasında S3 Object Lock (Compliance Mode / Değiştirilemezlik) özelliğinin aktif olması gerekir.
Büyük veritabanlarında her gün terabaytlarca veriyi Air-Gap sunucusuna aktarmak ne kadar sürer?
ZFS blok seviyesi artımlı (Incremental) replikasyon teknolojisi sayesinde her gece tüm veritabanı baştan kopyalanmaz. Örneğin 5 TB büyüklüğündeki bir ERP ve dosya sunucusunda o gün içinde yalnızca 40 GB’lık blok değiştiyse, gece açılan güvenli Air-Gap penceresinde yalnızca bu 40 GB’lık fark verisi sıkıştırılarak aktarılır ve işlem yerel 10GbE ağda birkaç dakika içinde tamamlanarak hat tekrar kapatılır.