Fidye Yazılımı Saldırılarına Karşı 10 Kritik Önlem

Fidye yazılımı (ransomware), dosyalarınızı şifreleyip erişimi geri vermek için ödeme talep eden kötü amaçlı yazılımdır. Saldırıya uğrayan bir kurum için asıl soru çoğu zaman "saldırıyı nasıl tamamen önleriz?" değil, "saldırı olursa verilerimizi ne kadar hızlı ve eksiksiz geri getirebiliriz?" sorusudur. Bu rehberde kurumsal ortamlarda uygulanabilen 10 temel önlemi, her birinin neden önemli olduğuyla birlikte özetliyoruz.

1. Yedeklerinizi 3-2-1 kuralıyla tutun

3-2-1 kuralı, verinizin en az 3 kopyasının, 2 farklı ortamda ve bunlardan 1'inin sahadan uzakta (offsite) tutulmasını önerir. Fidye yazılımı ağdaki paylaşımlı diskleri ve bağlı yedek depolarını da şifreleyebildiği için, yedeklerin tamamının aynı ağdan erişilebilir olması ciddi bir risktir. Bulut yedekleme, offsite kopyayı sağlamanın pratik yollarından biridir; avantajlarını bulut yedekleme avantajları sayfasında, yerel ve bulutu birlikte kullanan yapıyı ise hibrit bulut yedekleme yazımızda bulabilirsiniz.

2. Değiştirilemez (immutable) ve izole bir yedek kopyası bulundurun

Yönetici yetkisini ele geçiren bir saldırgan yalnızca üretim verisini değil, yedekleri de silmeye çalışır. Belirli bir süre boyunca silinemeyen veya değiştirilemeyen ("immutable") depolama ve yedekleme sistemine ayrı kimlik bilgileriyle erişim, bu senaryoya karşı kritik bir güvencedir. Bazı bulut yedekleme çözümleri bu özelliği sunar; kullandığınız ürünün ve lisans paketinin desteğini mutlaka doğrulayın.

3. Çok faktörlü kimlik doğrulamayı (MFA) her yerde etkinleştirin

Uzak masaüstü (RDP), VPN, e-posta, yönetim panelleri ve yedekleme konsolu gibi erişim noktalarında yalnızca parolaya güvenmeyin. Çalınan veya tahmin edilen parolalar, saldırıların yaygın başlangıç noktalarından biridir. Özellikle yönetici hesapları ve yedekleme konsolu için MFA zorunlu olmalıdır.

4. Yama ve güvenlik güncellemelerini zamanında uygulayın

İşletim sistemleri, VPN/güvenlik duvarı yazılımları, tarayıcılar ve iş uygulamalarındaki bilinen açıklar sık kullanılan giriş yollarıdır. Varlık envanteri tutun, kritik yamalar için hedef süre belirleyin ve üretici desteği sona eren sistemleri ağdan ayırın veya yenileyin.

5. Uç nokta ve e-posta korumasını katmanlayın

Davranış analizi yapan modern uç nokta koruması, e-posta filtreleme ve web filtreleme birlikte çalıştığında saldırının ilk aşamasını zorlaştırır. Yedekleme ile anti-malware korumasını tek platformda birleştiren yaklaşımların geleneksel yöntemden farkını Acronis Cyber Protect ve geleneksel yedekleme yazımızda karşılaştırdık.

6. En az yetki ilkesini uygulayın

Kullanıcıların günlük işleri için yönetici yetkisine ihtiyacı yoktur. Paylaşımlı klasör izinlerini gözden geçirin, yönetici hesaplarını gündelik kullanımdan ayırın ve hizmet hesaplarının yetkilerini sınırlayın. Ele geçirilen bir hesabın erişebildiği alan ne kadar dar olursa hasar da o kadar sınırlı kalır.

7. Ağı segmentlere ayırın

Ağ segmentasyonu, bir cihaz ele geçirilse bile saldırının yayılmasını yavaşlatır. Yedekleme ağını ve yönetim arayüzlerini kullanıcı ağından ayırın, gereksiz SMB/RDP erişimlerini kapatın.

8. Çalışanlarınızı eğitin

Kimlik avı (phishing) e-postaları fidye yazılımı olaylarının en yaygın başlangıç noktalarından biridir. Düzenli farkındalık eğitimleri ve şüpheli e-postaları kolayca bildirebilecekleri bir kanal, riski gözle görülür biçimde azaltır.

9. Yedeklerinizi düzenli olarak geri yükleyerek test edin

"Yedek alıyoruz" ile "geri dönebiliyoruz" aynı şey değildir. Periyodik geri yükleme testleri, yedeğin bozuk olup olmadığını ve geri dönüşün hedef sürenizde tamamlanıp tamamlanmadığını gösterir. Hedeflerinizi belirlemek için RTO ve RPO nedir? yazımıza, raporları doğru yorumlamak için yedekleme raporlarını okuma rehberine göz atın.

• Aylık: Rastgele seçilen dosya ve klasörlerin geri yüklenmesi
• Üç ayda bir: Kritik bir sunucunun veya uygulamanın tam geri yükleme tatbikatı
• Yılda bir: Felaket senaryosu tatbikatı (tüm süreç, tüm ekipler)

10. Yazılı bir olay müdahale ve iş sürekliliği planı hazırlayın

Saldırı anında kimi arayacağınız, sistemleri hangi sırayla ağdan ayıracağınız, hangi sistemin hangi sırayla geri getirileceği ve yasal bildirim yükümlülükleri önceden yazılı olmalıdır. Kişisel veriler etkilenmişse KVKK kapsamındaki yükümlülükleri de plana dahil edin. Planın bir kopyasını sistemler kapalıyken de erişebileceğiniz bir yerde (çevrimdışı veya basılı) saklayın.

Saldırı olursa ilk adımlar

1. Etkilenen cihazları ağdan ayırın (ağ kablosunu çıkarın veya Wi-Fi bağlantısını kesin).
2. Yedekleme sistemlerinin ve yedek depolarının etkilenip etkilenmediğini kontrol edin.
3. BT ekibinizi, yönetimi ve gerekiyorsa dış siber güvenlik desteğini bilgilendirin.
4. Temiz bir yedekten geri dönüşü, ödeme seçeneğinden önce değerlendirin.
5. Yasal bildirim yükümlülüklerinizi (örneğin kişisel veri ihlali) hukuk veya uyum sorumlunuzla birlikte gözden geçirin.

Sık sorulan sorular

Fidye yazılımına karşı antivirüs yeterli mi?

Tek başına yeterli değildir. Antivirüs önleme katmanlarından yalnızca biridir; yedekleme, yama yönetimi, yetki kontrolü, MFA ve eğitimle birlikte düşünülmelidir.

Bulut yedeği fidye yazılımından etkilenir mi?

Yerel ağdan ayrı kimlik bilgileri, sürümleme ve değiştirilemez depolama ile doğru yapılandırılmış bir bulut yedeği, saldırıya karşı sağlam bir güvencedir. Ancak OneDrive veya benzeri senkronizasyon hizmetleri yedek değildir: şifrelenen dosyalar da senkronize olabilir.

Fidyeyi ödemeli miyiz?

Ödeme, dosyalarınızın geri geleceğini garanti etmez ve saldırganları teşvik eder; birçok güvenlik kuruluşu ödemeyi önermez. En sağlıklı yol, saldırıdan önce test edilmiş bir yedek stratejisine sahip olmaktır.