Fidye yazılımlarına (ransomware) karşı değiştirilemez (immutable) yedekleme nedir? WORM depolama, S3 Object Lock ve Linux yedekleme koruma rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Günümüzün organize fidye yazılımı (Ransomware) grupları (LockBit, Akira, BlackCat vb.), bir şirketin ağına sızdıklarında hemen üretim sunucularını şifreleyerek kendilerini belli etmezler. Saldırganlar önce ağ içinde sessizce ilerleyerek Domain Admin yetkilerini ele geçirir, ardından yedekleme yazılımlarının (Veeam, Acronis, Nakivo vb.) yönetim konsollarına girer, ağa bağlı NAS cihazlarını formatlar ve Windows Volume Shadow Copy (VSS) gölge kopyalarını tamamen siler. Değiştirilemez (Immutable) Yedekleme, yedek dosyalarının diske veya buluta yazıldığı andan itibaren belirlenen kilit süresi (Retention Lock) dolana kadar sistem yöneticisi (root / Domain Admin) veya siber korsan dahil hiç kimse tarafından silinememesini, değiştirilememesini ve üzerine yazılamamasını garanti eden WORM (Write Once, Read Many) depolama mimarisidir.
Geleneksel Yedekleme Sistemleri Neden Çöküyor?
Birçok işletme “Her gece NAS cihazımıza ve harici diskimize otomatik yedek alıyoruz, güvendeyiz” yanılgısıyla hareket etmektedir. Oysa geleneksel yedekleme mimarilerinde üç ölümcül güvenlik açığı bulunur:
- Ağ Paylaşımı (SMB/CIFS) Zaafiyeti: Yedeklerin tutulduğu NAS cihazı ağ üzerinde bir Windows paylaşım klasörü (
\\NAS\Yedekler) olarak tanımlıysa, herhangi bir bilgisayara veya sunucuya bulaşan fidye yazılımı ağ komşularını tarayarak bu klasördeki.vbk,.vib,.bakuzantılı tüm yedek dosyalarını dakikalar içinde şifreler. - Active Directory Bağımlılığı: Yedekleme sunucusu şirketin ana Active Directory (AD) etki alanına dahil edildiğinde, AD yetkisini ele geçiren saldırgan aynı şifreyle yedekleme sunucusuna da tam yetkili olarak girer ve yedekleme görevlerini siler.
- Sanal Depolama ve iSCSI İmhası: Yedeklerin tutulduğu depolama ünitesinin web yönetim arayüzü şirket içi genel ağdan erişilebilir durumdaysa, saldırganlar depolama havuzunu (Storage Pool / LUN) fabrika ayarlarına döndürerek tüm geçmişi saniyeler içinde yok eder.
WORM (Write Once, Read Many) Teknolojisinin Çalışma Prensibi
Değiştirilemez yedekleme, güvenliği yazılım katmanından alıp doğrudan dosya sistemi çekirdeğine (Kernel) veya nesne depolama (Object Storage) protokolüne indirir. Bir yedek bloğu diske yazıldığında, üzerine kriptografik bir zaman kilidi (örneğin 30 gün) vurulur. Bu 30 günlük süre boyunca işletim sistemi çekirdeği o dosyaya yönelik tüm DELETE (silme), MODIFY (değiştirme), TRUNCATE (kısaltma) ve RENAME (yeniden adlandırma) sistem çağrılarını (Syscalls) reddeder. Saldırgan sunucunun en üst yetkili root şifresini ele geçirse dahi, çekirdek düzeyindeki bu kilidi süre dolmadan kaldıramaz.
Değiştirilemez Yedeklemenin 3 Temel Uygulama Modeli
Kurumsal BT altyapılarında bütçe, veri büyüklüğü ve kurtarma hızı (RTO) hedeflerine göre uygulanan üç ana değiştirilemez yedekleme mimarisi şunlardır:
| Mimari Model | Kullanılan Çekirdek Teknoloji | Güvenlik ve İzolasyon Seviyesi | Geri Dönüş (Restore) Hızı | Maliyet ve Operasyonel Yapı |
|---|---|---|---|---|
| Linux Hardened Repository | Ubuntu/RHEL + XFS dosya sistemi + chattr +i bayrağı + Tek kullanımlık kimlik bilgisi | Çok Yüksek: SSH kapalı, root erişimi kısıtlı, AD’den tamamen bağımsız yerel fiziksel sunucu | Çok Hızlı: Yerel 10 Gbps ağ üzerinden dakikalar içinde anında kurtarma (Instant VM Recovery) | Tek seferlik fiziksel disk/sunucu yatırımı (CAPEX), ek lisans ücreti gerektirmez |
| Bulut S3 Object Lock (WORM) | AWS S3, Wasabi, Backblaze veya yerel MinIO Compliance Mode | En Yüksek: Fiziksel olarak fabrika dışında, sanal hava boşluklu (Virtual Air-Gap) bulut kasası | Orta: İnternet indirme (Download) bant genişliğine bağlı kurtarma süresi | Aylık terabayt (TB) başına öngörülebilir bulut depolama kirası (OPEX) |
| ZFS Donanımsal Snapshot Kilidi | TrueNAS Enterprise / FreeBSD ZFS salt okunur (Read-Only) zaman kilitli anlık görüntüler | Yüksek: Dosya paylaşım katmanından izole, blok düzeyinde değiştirilemez ZFS havuzu | Hızlı: Blok düzeyinde geri alma (Rollback) ile saniyeler içinde paylaşım kurtarma | Mevcut kurumsal NAS/SAN depolama donanımı üzerinde yapılandırılır |
Modern 3-2-1-1-0 Yedekleme Kuralı Nedir?
Siber güvenlik dünyasında klasik “3-2-1” kuralı artık fidye yazılımlarına karşı tek başına yeterli görülmemekte; endüstri standardı 3-2-1-1-0 Kuralı olarak güncellenmektedir:
- 3 Kopya: Üretim verinizin kendisi dahil toplamda en az 3 kopyası bulunmalıdır.
- 2 Farklı Medya: Yedekler en az 2 farklı depolama teknolojisinde (örneğin yerel NVMe/SAS disk havuzu ve bulut nesne depolama veya LTO teyp) tutulmalıdır.
- 1 Saha Dışı (Off-Site) Kopya: Yangın, deprem veya hırsızlık riskine karşı en az 1 kopya şirket binası dışında farklı bir coğrafi konumda saklanmalıdır.
- 1 Değiştirilemez (Immutable) veya Çevrimdışı (Air-Gapped) Kopya: Yedeklerden en az 1 tanesi kesinlikle WORM kilidiyle değiştirilemez olmalı veya fiziksel olarak ağ bağlantısı kesilmiş (çevrimdışı) durumda tutulmalıdır.
- 0 Hata (Doğrulanmış Yedek): Alınan yedeklerin bozuk olmadığı, otomatik kurtarma testleriyle (SureBackup / Otomatik Doğrulama) her gün kontrol edilerek 0 hata ile çalıştığı kanıtlanmalıdır.
Şirket Ağında Değiştirilemez Yedekleme Kurarken 5 Altın Kural
- Yedekleme Sunucusunu Active Directory’den İzole Edin: Yedekleme yönetim sunucusu ve depolama havuzları asla şirket domain’ine (AD) dahil edilmemeli; bağımsız çalışma grubunda (Workgroup) benzersiz parolalarla çalıştırılmalıdır.
- Linux Sunucuda SSH ve Root Girişini Kapatın: Hardened Repository kurulumu tamamlandıktan sonra sunucu üzerindeki SSH servisi tamamen devre dışı bırakılmalı ve tek kullanımlık (Single-use credentials) bağlantı anahtarları kullanılmalıdır.
- Zaman Sunucusu (NTP) Güvenliğini Sağlayın: Saldırganların sunucu saatini ileri alarak 30 günlük WORM kilit süresini erken doldurma girişimlerini (Time-spoofing attack) engellemek için donanımsal saat kilidi ve güvenli NTP doğrulaması aktif edilmelidir.
- iDRAC / iLO Yönetim Portlarını Ayırın: Sunucunun anakart yönetim portları (iDRAC, iLO, IPMI) genel sunucu ağından çıkarılarak kurumsal Güvenlik Duvarı (Firewall) arkasındaki tamamen izole bir yönetim VLAN’ına alınmalıdır.
- Yedekleme Mimarisini Sızma Testiyle Denetleyin: Kurulan yedekleme altyapısının gerçekten silinemez olduğunu doğrulamak için düzenli Sızma Testi (Pentest) çalışmalarıyla mimariyi test ettirin.
Fabrikanızın ve şirketinizin ERP veritabanlarını, mühendislik çizimlerini ve finansal kayıtlarını fidye yazılımlarına karşı %100 silinemez zırhla korumak için Ortak Dosya Sunucusu ve Yedekleme sayfamızdan uzman mühendislerimizle iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
Değiştirilemez (Immutable) yedekleri sistem yöneticisi veya şirket sahibi bile silebilir mi?
Hayır. Gerçek bir WORM (Write Once, Read Many) veya S3 Object Lock Compliance Mode mimarisinde, belirlenen saklama süresi (örneğin 30 gün) dolmadan sistem yöneticisi, root kullanıcısı veya bulut sağlayıcısının teknik destek ekibi dahi o yedek dosyalarını silemez ve şifreleyemez.
Değiştirilemez yedekleme yapmak disk alanında çok fazla yer kaplar mı?
Modern yedekleme yazılımları XFS dosya sistemi üzerindeki Fast Clone (Reflink) teknolojisini kullanır. Bu sayede her gün alınan yedekler için sadece değişen veri blokları (Incremental) diske yazılır ve önceki günün değişmeyen bloklarına sanal referans verilir. Dolayısıyla disk kapasitesi şişmeden birden fazla değiştirilemez tam yedek noktası saklanabilir.
Mevcut Veeam veya Acronis altyapımıza ek lisans almadan Immutable özelliği ekleyebilir miyiz?
Evet. Özellikle Veeam Backup & Replication altyapısında, şirket içindeki atıl bir fiziksel sunucuyu Ubuntu Linux ve XFS dosya sistemiyle “Hardened Repository” olarak yapılandırarak, ekstra bir bulut veya yazılım lisansı ödemeden mevcut yedeklerinizi değiştirilemez (Immutable) hale getirmek mümkündür.