Kurumsal veriler için off-site ve bulut nesne depolama (S3, Wasabi, MinIO): 3-2-1 yedekleme kuralı, bant genişliği optimizasyonu ve güvenlik rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Bir işletmenin tüm yedeklerini yalnızca aynı sistem odasındaki ikinci bir diskte veya yan odadaki bir NAS cihazında tutması; yangın, su baskını, deprem, elektrik trafosu patlaması veya fiziksel hırsızlık gibi felaketlerde tüm kurumsal hafızanın aynı anda yok olması riskini doğurur. Ayrıca gelişmiş fidye yazılımları (Ransomware) yerel ağdaki tüm paylaşımları ve yedekleme ünitelerini tespit ederek şifreleyecek şekilde tasarlanmıştır. Bu riskleri bertaraf eden 3-2-1 Yedekleme Kuralı, verinin en az 1 kopyasının coğrafi olarak farklı bir lokasyonda (Off-site) veya değiştirilemez (Immutable) bir Bulut Nesne Depolama (S3 Compatible Object Storage) ortamında saklanmasını şart koşar.
3-2-1 Kuralından 3-2-1-1-0 Mimarisine Evrim
Geleneksel bilgi güvenliği standartlarında uzun yıllar boyunca uygulanan 3-2-1 prensibi, modern siber tehdit ortamında 3-2-1-1-0 standardına evrilmiştir. Kurumsal bir veri koruma mimarisinin her katmanı farklı bir felaket senaryosunu karşılamak üzere kurgulanır:
3 Kopya Veri Bulundurma Zorunluluğu
İşletmenin ERP veritabanları, CAD/CAM mühendislik çizimleri ve kurumsal dosya paylaşımlarının her zaman en az üç kopyası bulunmalıdır: Canlı çalışan üretim verisi (birincil kopya) ve birbirinden bağımsız iki ayrı yedekleme kopyası. İstatistiksel olarak üç bağımsız veri kaynağının aynı zaman diliminde bozulma olasılığı sıfıra yakındır.
2 Farklı Depolama Medyası ve Teknolojisi
Yedeklerin aynı depolama kontrolcüsü veya aynı dosya sistemi üzerinde tutulması, donanım yazılımı (firmware) hatası ya da RAID kartı arızasında tüm kopyaların kaybedilmesine yol açar. Bu nedenle birinci kopya yüksek hızlı kurumsal NVMe disk havuzunda çalışırken, ikinci kopya ZFS tabanlı bağımsız bir depolama sunucusunda veya LTO teyp/nesne depolama ortamında barındırılmalıdır.
1 Lokasyon Dışı (Off-site) ve 1 Değiştirilemez (Immutable) Kopya
Yedeklerden en az biri fabrikanın veya merkez ofisin fiziksel sınırları dışında yer almalıdır. Bu kopya şirketin farklı bir şehirdeki şubesinde konumlandırılan MinIO tabanlı özel bir nesne depolama sunucusu olabileceği gibi; AWS S3, Wasabi veya Backblaze B2 gibi S3 protokolüyle çalışan küresel bir bulut altyapısı da olabilir. Buradaki 1 Değiştirilemez (Immutable / Air-Gapped) katman, verinin WORM (Write Once, Read Many) kilidiyle korunmasını; son 0 ise yedek doğrulama testlerinin sıfır hatayla tamamlanmasını ifade eder.
S3 Uyumlu Nesne Depolama (Object Storage) Mimarisi Neden Üstündür?
Klasik blok depolama (SAN) veya hiyerarşik dosya sistemleri (SMB/NFS), milyonlarca dosya ve onlarca terabaytlık arşiv verisi söz konusu olduğunda meta veri darboğazına girer. Ayrıca SMB ve NFS paylaşımları işletim sistemine doğrudan bir sürücü harfi veya dizin olarak bağlandığı için zararlı yazılımların doğrudan erişimine açıktır.
S3 (Simple Storage Service) protokolü ise dosyaları klasör ağaçlarında değil, benzersiz kimliklere (Object ID) ve zengin meta verilere sahip düz bir havuzda (Bucket) saklar. İletişim yalnızca HTTPS üzerinden RESTful API çağrılarıyla ve kriptografik imzalarla (Signature v4) gerçekleşir. İşletim sistemine bir ağ sürücüsü olarak bağlanmadığı için istemci bilgisayarlara bulaşan bir fidye yazılımı S3 havuzuna doğrudan erişemez.
| Karşılaştırma Kriteri | Yerel NAS / SMB Paylaşımı | Şubeler Arası RSYNC / FTP | S3 Uyumlu Nesne Depolama (Object Lock) |
|---|---|---|---|
| Fiziksel Felaket Koruması | Yok (Aynı bina içinde) | Var (Farklı lokasyon) | Tam Koruma (Coğrafi yedekli veri merkezi) |
| Ransomware ve Silme Direnci | Düşük (Ağ üzerinden şifrelenebilir) | Orta (SSH/Root ele geçirilirse silinir) | Çok Yüksek (Compliance WORM ile silinemez) |
| Bant Genişliği Kullanımı | Yüksek (Yerel LAN trafiği) | Orta (Değişen dosyaları aktarır) | Çok Düşük (Blok bazlı tekilleştirme ve sıkıştırma) |
| Kapasite Ölçeklenebilirliği | Donanım disk yuvası ile sınırlı | İkincil sunucu disk kapasitesiyle sınırlı | Sınırsız (Kullandıkça öde veya dağıtık küme) |
| Şifreleme Mimarisi | Disk bazlı (Sunucu açıkken erişilebilir) | Aktarım sırasında (TLS/SSH) | İstemci taraflı uçtan uca AES-256-GCM |
Object Lock (Değiştirilemezlik) ve WORM Kilidi Nasıl Çalışır?
S3 uyumlu bulut depolamanın en kritik güvenlik fonksiyonu Object Lock (Nesne Kilidi) mekanizmasıdır. Yedekleme yazılımı (Veeam, Proxmox Backup Server, Restic vb.) yedek paketini S3 havuzuna yüklediği anda o nesne üzerine zaman damgalı bir kilit koyar:
- Governance (Yönetişim) Modu: Özel yetkili üst düzey yöneticiler belirli güvenlik prosedürlerini aşarak saklama süresini değiştirebilir veya veriyi silebilir; standart sistem yöneticisi anahtarları ise veriyi silemez.
- Compliance (Uyumluluk) Modu: Belirlenen saklama süresi (örneğin 30 gün veya 1 yıl) dolana kadar hiçbir kullanıcı, hatta bulut hesabının en üst düzey kök (Root) yöneticisi veya bulut servis sağlayıcısının kendisi bile yedek dosyasını silemez, üzerine yazamaz ve şifreleyemez. Saldırgan şirketin tüm şifrelerini ele geçirse dahi buluttaki yedekleri imha etmesi matematiksel ve yazılımsal olarak imkansızdır.
Bant Genişliği Optimizasyonu ve İstemci Taraflı Şifreleme
Sanayi tesislerinde ve orta ölçekli işletmelerde yöneticilerin bulut yedeklemeye karşı en büyük çekincesi; “Her gün terabaytlarca veriyi internet hattımızdan nasıl yükleyeceğiz?” ve “Verilerimiz bulutta güvende mi?” sorularıdır. Modern yedekleme mühendisliği bu iki sorunu şu tekniklerle çözer:
İstemci Taraflı Şifreleme (Zero-Knowledge Encryption)
Veriler fabrikanın yerel sunucusundan dışarı adım atmadan önce, donanım hızlandırmalı AES-256-GCM algoritmasıyla yerel olarak şifrelenir. Şifreleme anahtarı (Private Key) asla buluta gönderilmez; yalnızca şirket bünyesindeki güvenli kasada tutulur. Bulut sunucularına yalnızca anlamsız ve rastgele görünen şifreli veri parçaları (Chunk) ulaşır. Bu sayede DLP ve Veri Sızıntısı Önleme standartları gereği ticari sırlar ve kişisel veriler üçüncü parti bulut sağlayıcılarına karşı bile tam gizlilikle korunur.
Kaynakta Tekilleştirme (Source-Side Deduplication) ve Trafik Şekillendirme
Yedekleme motoru 2 TB büyüklüğündeki bir sanal makineyi her gece baştan sona buluta yüklemez. Veriyi 4 MB’lık sabit veya değişken uzunluklu bloklara böler ve her bloğun SHA-256 özetini (Hash) çıkarır. Yalnızca o gün içinde gerçekten değişen benzersiz bloklar LZ4 veya Zstd algoritmasıyla sıkıştırılarak S3 havuzuna gönderilir. Ayrıca Güvenlik Duvarı Hizmetleri kapsamında yapılandırılan QoS (Quality of Service) kurallarıyla, mesai saatleri içinde yedekleme trafiğine bant genişliği sınırı uygulanır; gece saatlerinde ise tüm hat kapasitesi yedeklemeye tahsis edilir.
Tesis dışı yedekleme, kendi özel S3 (MinIO) kümenizi kurma ve felaket kurtarma senaryoları için Ortak Dosya Sunucusu ve Yedekleme sayfamızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Bulut nesne depolama kullanırken KVKK yurt dışı veri aktarımı kısıtlamalarına nasıl uyum sağlanır?
6698 sayılı KVKK kapsamında kişisel verilerin yurt dışındaki bulut sunucularına aktarılması sıkı hukuki şartlara bağlıdır. Bu kısıtlamaya yüzde yüz uyum sağlamak için iki farklı mühendislik yaklaşımı uygulanır: Birincisi, Türkiye sınırları içerisindeki TIER III/IV sertifikalı veri merkezlerinde barındırılan yerli S3 uyumlu nesne depolama servislerini veya şirketin kendi ikincil lokasyonuna kurulan MinIO sunucularını kullanmaktır. İkincisi ise verileri yerel sunucudan çıkmadan önce istemci taraflı AES-256 ile şifreleyerek anahtar yönetimini tamamen kurum içinde tutmaktır.
İnternet hızımız düşükse ilk tam yedeği (Initial Seed) buluta veya uzak şubeye nasıl aktarabiliriz?
Onlarca terabaytlık ilk tam yedeğin (Base Backup) mevcut WAN hattı üzerinden aktarılması günler veya haftalar sürebilir. Şubeler arası özel MinIO veya uzak ZFS kurulumlarında “Local Seeding” yöntemi uygulanır: İkincil sunucu önce merkez fabrikadaki yerel ağa (10 GbE LAN) bağlanarak ilk tam yedek dakikalar içinde aktarılır, ardından sunucu fiziksel olarak uzak şubeye taşınır ve sonraki günlerde yalnızca değişen küçük fark blokları internet üzerinden gönderilir.
AWS S3, Wasabi ve şirket içi MinIO çözümlerinden hangisi tercih edilmelidir?
Eğer işletmenin ikinci bir fiziksel şubesi veya grup şirketi lokasyonu varsa, oraya konumlandırılacak bir sunucu üzerinde açık kaynaklı MinIO çalıştırmak aylık abonelik maliyetini sıfırlar ve donanım kontrolünü tamamen şirkette tutar. İkinci bir fiziksel lokasyon yoksa, veri indirme ücreti (Egress Fee) ve API istek ücreti almayan Wasabi gibi S3 uyumlu bulut sağlayıcıları, geleneksel hiper ölçekli bulutlara kıyasla çok daha öngörülebilir ve ekonomik bir maliyet yapısı sunar.