Şirket ağınıza fidye yazılımı sızdığında ilk 24 saat kriz yönetimi: Sistem izolasyonu, adli bilişim delil toplama ve güvenli geri yükleme adımları burada.
Hızlı Özet (TL;DR)
Şirket bilgisayarlarında veya üretim sunucularında fidye notu (Ransom Note) görüldüğünde yapılan panik hamleleri —bilgisayarları alelacele kapatmak, fişten çekmek veya işletim sistemlerine format atmak— hem adli bilişim delillerini hem de ücretsiz kurtarma şansını tamamen yok eder. Olay Müdahale (Incident Response - IR); siber saldırının tespit edildiği ilk saniyeden itibaren devreye alınan disiplinli, soğukkanlı ve mühendislik temelli kriz yönetimidir. İlk altın kural; şifrelenen veya şüpheli davranış sergileyen cihazların gücünü kesmek yerine yalnızca ağ kablosunu çekerek (veya switch portunu kapatarak) izole etmek, geçici RAM belleğindeki şifre çözme anahtarlarını ve aktif süreç izlerini korumak, saldırganın ilk sızma noktasını (Patient Zero) tespit etmek ve değiştirilemez (Immutable) felaket kurtarma yedeklerini temiz bir ağ katmanında devreye almaktır.
Siber Kriz Anında Panik Tepkilerinin Yarattığı Yıkım
Bir sabah fabrikaya veya merkez ofise gelindiğinde ERP ekranlarının açılmaması, dosya sunucusundaki tüm uzantıların .locked veya .encrypted olarak değişmesi ve masaüstünde kripto para talep eden bir metin belgesinin belirmesi, her kurum için en üst düzey kriz senaryosudur. Bu ilk şok anında bilgi işlem personelinin veya şirket yöneticilerinin refleks olarak verdiği yanlış kararlar, çoğu zaman siber saldırının kendisinden daha büyük veri kaybına yol açar.
Saldırganlar genellikle hedef ağa sızdıktan hemen sonra şifreleme başlatmazlar. Modern fidye yazılımı grupları (Ransomware-as-a-Service - RaaS), ortalama 14 ila 45 gün boyunca (Dwell Time) ağ içinde sessizce keşif yapar. Bu süreçte Active Directory yetkilerini yükseltir, ağa bağlı NAS ve yedekleme sunucularını tespit eder, gölge kopyaları (vssadmin delete shadows /all) siler ve en kritik iş saatinde veya hafta sonu nöbet değişiminde şifreleme yükünü (Payload) tüm uç noktalara aynı anda dağıtır. Dolayısıyla ekranda fidye notunu gördüğünüz an, saldırının başlangıcı değil, son perdesidir.
Bu aşamada sunucuları yeniden başlatmak (Reboot), yarım kalmış şifreleme süreçlerinin yeniden tetiklenmesine veya işletim sistemi önyükleme sektörünün (MBR/GPT) tamamen bozulmasına sebep olabilir. Daha da kötüsü, saldırganın arka kapısını (Backdoor) temizlemeden yedek diskleri doğrudan mevcut ağa takmak, eldeki son sağlam yedeklerin de dakikalar içinde şifrelenmesiyle sonuçlanır. Kriz yönetimi, rastgele deneme-yanılma adımlarıyla değil, uluslararası NIST ve SANS standartlarına dayanan katı bir olay müdahale protokolüyle yürütülmelidir.
Fidye Yazılımı Saldırısında İlk 24 Saat Eylem Planı
Siber saldırı tespit edildiğinde bilgi güvenliği ve sistem mühendisliği ekiplerinin izlemesi gereken kronolojik müdahale sırası aşağıdaki gibidir:
| Zaman Dilimi | Öncelikli Müdahale Eylemi | Teknik Uygulama Detayı | Kaçınılması Gereken Kritik Hata |
|---|---|---|---|
| 0 – 30. Dakika | Fiziksel ve mantıksal ağ izolasyonu (Containment) | Tüm sunucu ve istemcilerin Ethernet kablolarını çekme, yönetilebilir switch’lerde VLAN portlarını shutdown durumuna alma | Cihazları fişten çekip veya kapatıp RAM’deki geçici kriptografik anahtarları ve aktif soket izlerini silmek |
| 30 – 120. Dakika | Dış dünya ve şube bağlantılarının kesilmesi | Güvenlik duvarından (Firewall) tüm WAN çıkışlarını, SSL/IPsec VPN tünellerini ve RDP/SSH erişimlerini bloklama | Saldırganlarla panik halinde iletişime geçip zafiyetin boyutunu ve çaresizliği açık etmek |
| 2 – 6. Saat | Adli bilişim delil toplama ve Patient Zero tespiti | Canlı RAM dökümü (Memory Dump) alma, güvenlik duvarı ve EDR loglarından ilk sızma zamanını (Initial Access) belirleme | Logları incelemeden sunuculara format atmak, saldırganın bıraktığı kalıcılık (Persistence) ajanlarını gözden kaçırmak |
| 6 – 12. Saat | Yedek bütünlüğü ve temizlik doğrulaması | Değiştirilemez (Immutable) ZFS snapshot havuzlarını ve çevrimdışı (Air-Gapped) yedekleri izole bir kum havuzunda (Sandbox) tarama | Yedeklerin içindeki olası uyuyan zararlıları (Trojan/Webshell) kontrol etmeden canlı ortama geri yüklemek |
| 12 – 24. Saat | Aşamalı ve güvenli sistem kurtarma (Recovery) | Sıfırdan kurulan temiz işletim sistemleri üzerine yalnızca doğrulanmış veritabanı ve uygulama verilerini aktarma, tüm parolaları sıfırlama | Tüm ağı ve kullanıcı bilgisayarlarını kontrolsüzce aynı anda tekrar üretime ve internete açmak |
Neden Cihazları Kapatmamalı, Yalnızca Ağı Kesmelisiniz?
Fidye yazılımları, sunucu üzerindeki terabaytlarca veriyi hızlı şifreleyebilmek için simetrik şifreleme algoritmaları (genellikle AES-256 veya ChaCha20) kullanır ve ardından bu simetrik anahtarı saldırganın açık anahtarıyla (RSA-2048/4096 veya ECC) şifreler. Ancak şifreleme işlemi devam ederken veya henüz tamamlanmışken, kullanılan ham simetrik anahtarlar, aktif komut satırı parametreleri, saldırganın komuta kontrol (C2) sunucusuyla kurduğu IP adresleri ve enjekte edilen zararlı DLL modülleri bilgisayarın geçici belleğinde (RAM) açık halde bulunur.
Eğer enfekte olmuş bir sanal makineyi veya fiziksel sunucuyu güç düğmesinden kapatırsanız, uçucu bellek (Volatile Memory) saniyeler içinde sıfırlanır. Bunun yerine uygulanması gereken mühendislik prosedürü şudur:
- Ağ Bağlantısının Koparılması: Fiziksel sunucunun arkasındaki RJ45 Ethernet ve fiber patch kabloları çekilir. Sanal makinelerde (VMware ESXi, Proxmox, Hyper-V) sanal ağ kartının (vNIC) “Connected” işareti kaldırılır.
- Sanal Makine Duraklatma (Pause/Suspend): Sanal sunucular kapatılmak yerine “Suspend” moduna alınır. Bu işlem, o anki RAM içeriğini
.vmemveya eşdeğeri bir dosya olarak doğrudan diske yazar ve dondurur. - Canlı Bellek Dökümü (Live Memory Acquisition): Fiziksel sunucularda LiME (Linux Memory Extractor) veya WinPmem gibi adli bilişim araçlarıyla harici ve yazma korumalı bir diske tam RAM imajı alınır.
- Süreç ve Ağ Tablosu Kaydı: Cihaz üzerinde çalışan süreçler (
netstat -ano,tasklist /svc,ps aux) ve açık ağ oturumları kayıt altına alınır.
Adli bilişim uzmanları, alınan bu bellek dökümlerini Volatility gibi çerçevelerle analiz ederek bazı fidye yazılımı ailelerinde şifreleme anahtarlarını doğrudan bellekten çıkarabilmekte ve tek kuruş fidye ödemeden dosyaları kurtarabilmektedir.
İlk Sızma Noktasının (Patient Zero) ve Kalıcılık Mekanizmalarının Tespiti
Bir siber saldırı sonrasında “hangi kapıdan girdiler?” sorusuna yanıt bulmadan yapılan her geri yükleme, aynı saldırganın ertesi gün sistemi tekrar şifrelemesine davetiye çıkarır. Kök neden analizi (Root Cause Analysis) aşamasında üç kritik veri kaynağı çapraz sorgulanır:
1. Güvenlik Duvarı, VPN ve 5651 Loglarının İncelenmesi
Saldırıların büyük çoğunluğu dış dünyaya açık unutulmuş bir RDP portu, zafiyetli bir VPN cihazı veya kimlik bilgisi çalınmış (Credential Stuffing) bir kullanıcı hesabı üzerinden başlar. Güvenlik duvarı üzerindeki trafik kayıtları incelenerek, normal mesai saatleri dışında (örneğin gece 03:00’te) yapılan başarılı VPN girişleri, yurt dışı IP adreslerinden gelen bağlantı istekleri ve iç ağdan dışarıya yapılan olağandışı veri çıkışları (Data Exfiltration) tespit edilir. Kurumsal ağ sınırlarının sıkılaştırılması için Güvenlik Duvarı Firewall mimarisinin doğru yapılandırılması bu aşamada en önemli savunma ve tespit katmanıdır.
2. Active Directory ve Yetki Yükseltme İzleri
Saldırgan içerideki sıradan bir bilgisayara sızdıktan sonra Kerberoasting, Pass-the-Hash veya Mimikatz gibi tekniklerle Domain Admin yetkisini ele geçirir. Windows Olay Günlükleri (Event Logs) içinde özellikle Event ID 4624 (Başarılı Oturum Açma - Logon Type 3 ve 10), Event ID 4720 (Yeni Kullanıcı Oluşturulması), Event ID 4688 (Yeni Süreç Başlatılması) ve Event ID 7045 (Yeni Servis Kurulması) kayıtları taranır. Saldırganın kendisi için oluşturduğu gizli yönetici hesapları veya zamanlanmış görevler (schtasks) tek tek temizlenir.
3. Arka Kapı (Backdoor) ve Uzaktan Erişim Araçlarının Temizliği
Modern saldırganlar sadece kendi yazdıkları virüsleri kullanmaz; AnyDesk, TeamViewer, ScreenConnect, Cobalt Strike veya Rclone gibi meşru görünen sistem yönetim araçlarını (Living off the Land Binaries - LotL) sunuculara kurarak kendilerine kalıcı erişim sağlarlar. Tüm uç noktalarda bu yazılımların izleri, kayıt defteri (Registry Run anahtarları) ve WMI Event Subscription kayıtları taranarak imha edilir. Bu tür derinlemesine zafiyetlerin saldırganlardan önce keşfedilmesi için periyodik Sızma Testi ve Pentest çalışmaları hayati önem taşır.
Temiz Geri Yükleme (Clean Room Recovery) Protokolü
Saldırganın sistemde haftalarca beklemiş olma ihtimali (Dwell Time), dün veya geçen hafta alınan tam sanal makine imajlarının da (VM Image Backup) arka kapı barındırabileceği anlamına gelir. Doğrudan bir hafta önceki sanal sunucuyu ayağa kaldırmak, saldırganın yerleştirdiği Truva atını da tekrar çalıştırmak demektir.
Bu riski sıfırlamak için “Temiz Oda Kurtarma” (Clean Room Recovery) protokolü uygulanır:
- İzole Kurtarma VLAN’ı: Mevcut enfekte ağdan tamamen bağımsız, internet çıkışı kısıtlı ve yalnızca beyaz listedeki (Whitelist) portlara izin veren yeni bir kurtarma VLAN’ı oluşturulur. Endüstriyel tesislerde ve kritik altyapılarda bu süreç Savunma Sanayii ve İmalat Siber Güvenlik standartlarına uygun sıfır güven (Zero Trust) prensibiyle yürütülür.
- Sıfırdan İşletim Sistemi Kurulumu: Kritik uygulama ve veritabanı sunucuları için eski sanal makine imajı kullanılmaz; orijinal ISO medyasından temiz işletim sistemi kurulur ve en güncel güvenlik yamaları uygulanır.
- Yalnızca Veri Katmanının Aktarılması: Değiştirilemez yedekleme ünitesinden (örneğin TrueNAS ZFS Snapshot havuzundan) işletim sistemi dosyaları (
*.exe,*.dll,*.sys) değil, yalnızca ham veritabanı dosyaları (.mdf,.ldf,.bakveya PostgreSQL dump) ve doküman klasörleri çekilerek temiz sunucuya bağlanır. Fidye yazılımlarına karşı tam korumalı yedekleme altyapıları hakkında detaylı bilgi için Ortak Dosya Sunucusu ve Yedekleme sayfamızı inceleyebilirsiniz. - Kriptografik Parola Sıfırlama (krbtgt Double Reset): Active Directory ortamında
krbtgthesabının parolası iki kez üst üste sıfırlanarak saldırganın elindeki olası Golden Ticket anahtarları geçersiz kılınır. Tüm kullanıcı, servis ve veritabanı bağlantı parolaları karmaşık yeni anahtarlarla değiştirilir.
Hukuki Süreçler, KVKK Bildirimi ve İletişim Yönetimi
Siber saldırı yalnızca teknik bir arıza değil, aynı zamanda hukuki sorumluluklar doğuran bir krizdir. Modern fidye yazılımı grupları “Çift Katmanlı Şantaj” (Double Extortion) yöntemi uygular: Verileri şifrelemeden önce müşteri listelerini, personel özlük dosyalarını, finansal tabloları ve AR-GE çizimlerini kendi sunucularına sızdırırlar.
Eğer saldırı sonucunda kişisel verilerin (müşteri, çalışan veya tedarikçi bilgileri) dışarı sızdığına dair bulgu varsa, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri sorumlusunun bu ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirmesi yasal zorunluluktur. Bu bildirimde saldırının ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, kaç kişinin verisinin sızdığı ve alınan teknik tedbirler şeffafça raporlanmalıdır. Adli makamlarla ve KVKK ile yapılacak yazışmalarda en güçlü kanıt, zaman damgalı log kayıtlarıdır.
Sıkça Sorulan Sorular
Fidye yazılımı saldırganlarına kripto para ile fidye ödemek verileri kurtarır mı?
Fidye ödemek verilerin kurtarılacağını kesinlikle garanti etmez ve siber güvenlik otoriteleri tarafından kesinlikle önerilmez. İstatistikler, fidye ödeyen kurumların önemli bir kısmının ya hiç şifre çözme aracı alamadığını ya da aldıkları hatalı şifre çözücülerin (Decryptor) büyük veritabanı dosyalarını bozarak kullanılamaz hale getirdiğini göstermektedir. Ayrıca fidye ödeyen şirketler siber suç ağlarında “ödeme yapan kolay hedef” olarak işaretlenir ve ortalama 6 ay içinde ikinci bir saldırıya maruz kalır.
Saldırı sonrasında tüm sistemleri geri yüklemek ve üretimi başlatmak ne kadar sürer?
Kurtarma süresi (RTO), kurumun saldırı öncesinde sahip olduğu yedekleme mimarisine doğrudan bağlıdır. Geleneksel teyp veya harici disk yedeklerinden terabaytlarca veriyi kopyalamak 2 ila 5 gün sürebilirken; ZFS tabanlı değiştirilemez (Immutable) anlık görüntü ve replikasyon altyapısına sahip işletmelerde veritabanları ve dosya sunucuları izole kurtarma ağında 15 ila 60 dakika içinde tekrar ayağa kaldırılabilmektedir.
Siber saldırı sonrasında siber suçlarla mücadele birimine ve KVKK’ya başvuru için hangi deliller korunmalıdır?
Adli bilişim incelemesi ve resmi başvurular için güvenlik duvarı (Firewall) bağlantı logları, 5651 zaman damgalı iç ağ kayıtları, ilk enfekte olan sunucuların disk imajları (Bit-stream Image), RAM bellek dökümleri, saldırganın bıraktığı fidye notu dosyası ve şifrelenmiş birkaç örnek dosya orijinal haliyle (hash değerleri alınarak) saklanmalıdır. Cihazlara hemen format atılması bu delilleri karartacağı için şirketi hukuki süreçlerde savunmasız bırakır.