Yedekleme verilerinin şifrelenmesi standartları: Aktarımda (In-Transit) ve depolamada (At-Rest) AES-256 şifreleme, KMS anahtar yönetimi ve uyum rehberi.
Hızlı Özet (TL;DR)
Birçok kurum şirket içi veritabanlarını, ERP sistemlerini ve dosya sunucularını sıkı erişim kontrolleriyle korurken; bu sistemlerin yedek dosyalarını (.bak, .vbk, .vbm, .tar.gz, .zip) şifrelemeden ağ paylaşımlarında (SMB/NFS), NAS ünitelerinde veya harici disklerde saklama hatasına düşer. Oysa bir siber korsan, fidye yazılımı operatörü veya şirket içi kötü niyetli çalışan için şifresiz bir yedek dosyası, canlı veritabanının tüm güvenlik duvarlarından ve aktif denetim mekanizmalarından arındırılmış birebir kopyasıdır. 6698 sayılı KVKK, ISO/IEC 27001 ve GDPR uyarınca; yedekleme verilerinin hem ağ üzerinden iletim anında (In-Transit / In-Flight) hem de disk, teyp veya bulut üzerinde depolandığı yerde (At-Rest) AES-256 standardıyla kriptografik olarak şifrelenmesi teknik ve yasal bir zorunluluktur.
Şifresiz Yedeklerin Oluşturduğu Kritik Güvenlik Açıkları
Canlı üretim ortamındaki bir SQL veritabanına veya ortak dosya sunucusu ve yedekleme dizinlerine erişmek isteyen bir saldırgan; Active Directory yetki kontrolleri, EDR ajanları, veritabanı denetim günlükleri (Audit Logs) ve güvenlik duvarı kuralları gibi çok sayıda savunma katmanını aşmak zorundadır. Ancak aynı veritabanının gece alınan .bak uzantılı yedeği şifrelenmemiş bir NAS paylaşımında duruyorsa, saldırgan canlı sunucuya hiç dokunmadan bu yedek dosyasını kendi ortamına indirip dakikalar içinde başka bir SQL sunucusuna geri yükleyebilir (Restore).
Çifte şantaj (Double Extortion) uygulayan modern fidye yazılımı grupları, kurumsal ağa sızdıklarında ilk olarak yedekleme sunucularını ve NAS hedeflerini ararlar. Yedekleme havuzundaki veriler şifresiz olduğunda saldırganlar yüzlerce gigabaytlık finansal tabloyu, AR-GE çizimlerini ve personel özlük dosyalarını tek bir arşiv paketi halinde dışarı sızdırır. Üstelik fiziksel hırsızlık, arızalı disklerin garanti değişimi için üreticiye gönderilmesi veya taşınabilir harici disklerin kaybolması gibi senaryolarda, depolama katmanında şifreleme yoksa şirketin tüm ticari sırları üçüncü şahısların eline geçmiş olur.
Uçtan Uca Yedekleme Şifreleme Katmanları ve Mimari Karşılaştırma
Kurumsal yedekleme mimarisinde kriptografik koruma tek bir noktada değil, verinin kaynağından çıkıp felaket kurtarma merkezine ulaşmasına kadar geçen tüm yaşam döngüsü boyunca uygulanmalıdır. Aşağıdaki tablo, uçtan uca yedekleme şifreleme katmanlarını, korudukları tehdit vektörlerini ve donanım/performans etkilerini karşılaştırmaktadır:
| Güvenlik Katmanı | Tehdit Senaryosu | Koruma Teknolojisi ve Protokol | Performans ve Tekilleştirme (Deduplication) Etkisi |
|---|---|---|---|
| Kaynakta Şifreleme (Source-Side) | Kaynak sunucu ile yedekleme sunucusu arasındaki yerel ağın dinlenmesi | Yedekleme ajanı üzerinde AES-256-GCM blok şifreleme | Kaynak CPU’da %3-%5 yük oluşturur (AES-NI ile); donanımsal hedef tekilleştirmeyi zorlaştırabilir |
| Aktarımda Şifreleme (In-Transit / In-Flight) | WAN veya VLAN’lar arası Man-in-the-Middle (MitM) ve paket yakalama (Sniffing) | TLS 1.3, IPsec VPN veya SSHv2 tünelleme ile kriptolu veri akışı | Ağ arayüzlerinde minimal gecikme; hedef depolamada tekilleştirme sorunsuz çalışır |
| Yazılımsal Depolama Şifrelemesi (Software At-Rest) | Yedekleme havuzuna (Repository) yetkisiz erişim veya bulut sızıntısı | Veeam / Proxmox PBS yerleşik AES-256 havuz şifrelemesi | Tekilleştirme ve sıkıştırma işleminden sonra şifrelendiği için kapasite kaybı yaşanmaz |
| Donanımsal Disk Şifrelemesi (Hardware At-Rest) | Fiziksel sunucu, NAS ünitesi, LTO teyp kartuşu veya disk hırsızlığı | Donanımsal SED (Self-Encrypting Drives), LUKS, BitLocker, LTO-8/9 donanım şifreleme | Sıfır CPU yükü; işletim sistemi açıkken mantıksal erişime karşı tek başına koruma sağlamaz |
| Anahtar Yönetimi (KMS / HSM) | Şifreleme parolasının çalınması, unutulması veya yönetici suistimali | KMIP uyumlu merkezi KMS sunucusu veya FIPS 140-3 onaylı donanımsal HSM | Performans etkisi yoktur; anahtar yaşam döngüsünü ve rotasyonunu otomatikleştirir |
Kaynakta ve Aktarımda Şifreleme (In-Transit) Nasıl Çalışır?
Yedekleme trafiği genellikle büyük veri bloklarından oluştuğu için ayrı bir Yedekleme VLAN’ı (Backup VLAN) üzerinden taşınır. Ancak ağ segmentasyonu tek başına yeterli değildir. Kaynak sunucudaki yedekleme ajanı (Agent) veya sanallaştırma hipervizörü (VMware ESXi / Proxmox VE) üzerinden okunan disk blokları, ağ kartından çıkmadan önce oturum anahtarıyla şifrelenmelidir. Özellikle şubeler arası veya bulut felaket kurtarma merkezine (DR Site) yapılan yedek kopyalama (Backup Copy) işlemlerinde tüm trafik TLS 1.3 veya donanımsal güvenlik duvarı çözümleri üzerinde sonlandırılan IPsec Site-to-Site VPN tünelleri içinden geçirilmelidir.
Depolamada Şifreleme (At-Rest) ve Tekilleştirme (Deduplication) Dengesi
Sistem mühendisliğinde en sık yapılan mimari hatalardan biri, şifreleme işlemini tekilleştirme (Deduplication) ve sıkıştırma (Compression) katmanından önce yanlış sırada uygulamaktır. Şifrelenmiş veri, kriptografinin doğası gereği yüksek entropiye (rastgeleliğe) sahiptir; yani birbirinin aynısı olan iki veri bloğu farklı başlatma vektörleriyle (IV - Initialization Vector) şifrelendiğinde tamamen farklı dizilimler üretir.
Eğer yedekleme yazılımı veriyi sıkıştırmadan ve tekilleştirmeden önce şifrelerse, hedef depolama ünitesi tekrar eden blokları tanıyamaz ve 10 TB’lık yedek alanı 1 hafta içinde %100 doluluğa ulaşır. Doğru kurumsal mimaride işlem sırası her zaman şu şekildedir:
- Veri Bloklarının Okunması (CBT): Değişen bloklar kaynaktan çekilir.
- Tekilleştirme (Deduplication): Tekrar eden sıfır blokları ve ortak işletim sistemi dosyaları elenir.
- Sıkıştırma (Compression): Veri boyutu LZ4 veya Zstd algoritmalarıyla küçültülür.
- AES-256 Şifreleme: Küçültülmüş veri paketi 256-bit simetrik anahtarla şifrelenerek diske yazılır.
Modern işlemcilerde bulunan Intel AES-NI ve AMD Crypto donanım hızlandırma komut setleri sayesinde, AES-256 şifreleme işlemi sunucu işlemcilerinde darboğaz yaratmadan saniyede gigabaytlarca veriyi şifreleyebilmektedir.
Kriptografik Anahtar Yönetimi (KMS) ve 3 Altın Kural
Şifreleme algoritması ne kadar güçlü olursa olsun, güvenlik seviyeniz şifreleme anahtarını (Key / Passphrase) nasıl sakladığınızla sınırlıdır. Kurumsal yedekleme altyapılarında anahtar yönetimi için şu üç temel kural tavizsiz uygulanmalıdır:
- Parolayı Yedekleme Sunucusunda Açık Metin Olarak Tutmayın: Otomatik çalışan yedekleme betiklerinin (
.ps1,.sh) içine veya görev zamanlayıcı parametrelerine şifreleme parolasını açık metin (Plain-text) olarak yazmak, sunucuya sızan saldırgana anahtarı altın tepside sunmaktır. Kimlik bilgileri Windows DPAPI, Linux Keyring veya merkezi bir KMIP (Key Management Interoperability Protocol) sunucusu üzerinden çağrılmalıdır. - Acil Durum Kurtarma Anahtarı (Emergency Recovery Key): Yedekleme yöneticisinin işten ayrılması veya parolanın unutulması durumunda tüm şirket arşivinin kalıcı olarak kilitlenmesini önlemek için asimetrik kurtarma anahtarı (Public/Private Key çifti) oluşturulmalı; özel anahtarın fiziksel çıktısı ve donanımsal token kopyası şirket yönetim kurulunun erişebileceği yangına dayanıklı fiziksel kasada mühürlü olarak saklanmalıdır.
- Ayrı Parola ve Periyodik Anahtar Rotasyonu Politikası: Yerel NAS üzerindeki birincil yedekler, taşınabilir LTO teyp kartuşları ve buluta gönderilen felaket kurtarma kopyaları için birbirinden tamamen bağımsız şifreleme anahtarları kullanılmalıdır. Ayrıca her 90 veya 180 günde bir anahtar rotasyonu (Key Rotation) yapılarak eski ve yeni yedek zincirlerinin kriptografik izolasyonu sağlanmalıdır.
KVKK, 5651 ve Savunma Sanayii Denetimlerinde Şifreli Yedekleme
Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) kapsamında, kişisel veri içeren yedekleme kümelerinin şifrelenmesi ve erişim loglarının tutulması doğrudan denetlenen bir kriterdir. Olası bir veri ihlali veya donanım çalınması vakasında, çalınan yedek disklerinin AES-256 ile şifrelendiğinin ve anahtarların güvenli tutulduğunun kanıtlanması, kurumun ağır idari para cezalarından korunmasında belirleyici rol oynar.
Benzer şekilde savunma sanayii imalat ağ ve siber güvenlik projelerinde yer alan alt yüklenici fabrikalar için TR-TEST ve EYDEP denetimlerinde; teknik resimlerin, CAD/CAM projelerinin ve üretim reçetelerinin bulunduğu yedekleme ünitelerinde FIPS 140-2/140-3 uyumlu kriptografik modüllerin kullanılması zorunlu tutulmaktadır. Yasal standartlara uygun şifreli yedekleme ve izlenebilirlik altyapısı için KVKK Uyumlu Yedekleme sayfamızı inceleyebilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
AES-256 şifreleme yedekleme süresini uzatır mı ve sunucuyu yavaşlatır mı?
Modern kurumsal sunucu işlemcilerinde (Intel Xeon Scalable ve AMD EPYC serileri) donanımsal şifreleme hızlandırıcı komut setleri (AES-NI) standart olarak bulunur. Bu donanım desteği sayesinde AES-256 şifreleme işlemi işlemci üzerinde yalnızca %2 ila %5 arasında ihmal edilebilir bir ek yük oluşturur ve yedekleme penceresi (Backup Window) süresini anlamlı ölçüde uzatmaz.
Yedekleme şifreleme parolasını unutursak verileri geri kurtarmak mümkün müdür?
Hayır, doğru uygulanmış bir AES-256 şifrelemesinde “arka kapı” (Backdoor) bulunmaz; parola veya kurtarma anahtarı olmadan yedek dosyalarının çözülmesi mevcut bilgi işlem teknolojileriyle imkansızdır. Bu riski ortadan kaldırmak için kurulum aşamasında mutlaka Kurumsal Anahtar Yönetim Sistemi (KMS) entegrasyonu yapılmalı ve acil durum kurtarma anahtarı (Recovery Key) fiziksel kasada yedeklenmelidir.
NAS cihazında disk şifreleme açıkken yedekleme yazılımında da şifreleme açmalı mıyız?
Evet, kesinlikle açmalısınız. NAS cihazındaki donanımsal disk şifrelemesi (SED veya Volume Encryption) yalnızca cihaz fiziksel olarak çalındığında veya diskler söküldüğünde koruma sağlar; NAS cihazı çalışır durumdayken ağ üzerinden sızan bir saldırgana veya fidye yazılımına karşı veriyi korumaz. Yedekleme yazılımı düzeyinde (Uygulama Katmanı) yapılan şifreleme ise, NAS cihazı ele geçirilse dahi yedek dosyalarının okunmasını tamamen engeller.