Evrimleşen Fidye Yazılımları ve Yedeklerin Hedef Alınması
Modern siber saldırı ekosisteminde fidye yazılımları (ransomware), ilk ortaya çıktıkları dönemdeki ilkel şifreleme yöntemlerinin çok ötesine geçmiştir. Günümüzde sofistike tehdit aktörleri, bir sunucuya veya kurumsal ağa sızdıklarında ilk olarak üretim veritabanlarını şifrelemek yerine, haftalarca sessiz kalarak sistemin yedekleme topolojisini haritalandırmaktadır.
Saldırganların birincil hedefi; yerel yedekleri silmek, uzak yedekleme sunucularının kimlik bilgilerini ele geçirerek arşivleri yok etmek ve depolama snapshot’larını zehirlemektir. Yedekleri tamamen yok edilen bir kurum, fidyeyi ödemek dışında bir seçenek bulamaz hale getirilmektedir. Tam da bu nedenle, geleneksel 3-2-1 yedekleme stratejileri tek başına yetersiz kalmakta; yerini değiştirilemez (immutable) yedekleme mimarilerine bırakmaktadır.
Modern siber saldırı ekosisteminde fidye yazılımları (ransomware), ilk ortaya çıktıkları dönemdeki ilkel şifreleme yöntemlerinin çok ötesine geçmiştir. Günümüzde sofistike tehdit aktörleri, bir sunucuya veya kurumsal ağa sızdıklarında ilk olarak üretim veritabanlarını şifrelemek yerine, haftalarca sessiz kalarak sistemin yedekleme topolojisini haritalandırmaktadır.
Değiştirilemez yedekleme; yazılan bir veri bloğunun, önceden belirlenen bir saklama süresi (retention period) boyunca hiçbir kullanıcı, sistem yöneticisi (root yetkisi dahil) veya kötü amaçlı yazılım tarafından silinememesini, üzerine yazılamamasını veya şifrelenememesini garanti eden ‘Bir Kez Yaz, Çok Oku’ (WORM – Write Once, Read Many) prensibine dayanır.
Değiştirilemez Yedekleme (Immutable Backup) Mantığı
Değiştirilemez yedekleme; yazılan bir veri bloğunun, önceden belirlenen bir saklama süresi (retention period) boyunca hiçbir kullanıcı, sistem yöneticisi (root yetkisi dahil) veya kötü amaçlı yazılım tarafından silinememesini, üzerine yazılamamasını veya şifrelenememesini garanti eden ‘Bir Kez Yaz, Çok Oku’ (WORM – Write Once, Read Many) prensibine dayanır.
- WORM Depolama Standartları: Veri yazıldığı anda depolama denetleyicisi seviyesinde salt-okunur (read-only) bayrağıyla işaretlenir ve süre dolana dek API çağrılarına kapalı tutulur.
- Kriptografik Zaman Kilidi: Yedek nesneleri, merkezi bir güvenilir zaman sunucusuna (NTP) bağlı kriptografik zaman damgalarıyla korunur; sistem saatinin manipüle edilmesi kilitleri açamaz.
- Yönetici Yetkisi İzolasyonu: Yedekleme yazılımının kimlik bilgileri sadece yeni nesne yazma (PutObject) yetkisine sahipken, nesne silme (DeleteObject) yetkisi tamamen devre dışı bırakılır.
Linux ve S3 Object Lock ile Uçtan Uca Kurulum Stratejisi
Kurumsal Linux sunucularda (Ubuntu, Debian, RHEL) immutable yedekleme altyapısı inşa edilirken iki temel katman kullanılır: yerel dosya sistemi sertleştirmesi ve bulut nesne depolama (Object Storage) kilitleri. Yerel katmanda, kritik yedek dizinleri oluşturulduktan sonra Linux genişletilmiş dosya özniteliklerinden olan ‘chattr +i’ (immutable) komutu uygulanarak dosyalar çekirdek (kernel) seviyesinde korumaya alınabilir.
Ancak gelişmiş bir saldırganın kernel modüllerine erişebileceği senaryolarda en güvenli yöntem, yedeklerin yerel ortamdan bağımsız bir S3 uyumlu depolama alanına aktarılmasıdır.
Bağımsız sağlayıcılar üzerinde oluşturulan bucket’larda ‘Object Lock’ özelliği Compliance Mode (Uyumluluk Modu) ile aktif edilmelidir. Uyumluluk modunda, hesap sahibi dahi saklama süresi dolmadan nesneleri silemez. Restic, BorgBackup veya Kopia gibi modern açık kaynaklı yedekleme araçları, şifrelenmiş veri bloklarını bu kilitli bucket’lara gönderir. Böylece üretim sunucunuz tamamen ele geçirilse ve diskleri formatlansa bile, dakikalar içinde bozulmamış, değiştirilemez yedek noktalarından sistem ayağa kaldırılabilir.
Siber güvenliğin en temel kuralı, saldırıya uğramama ihtimaline değil, uğranıldığında ne kadar sürede geri dönülebileceğine odaklanmaktır. Değiştirilemez yedekleme mimarisi, fidye yazılımı tehditlerine karşı kurumların elindeki en güçlü sigorta poliçesidir. Altyapı yöneticilerinin acilen mevcut yedekleme protokollerini denetlemesi ve en az bir adet değiştirilemez yedek kopyasını üretim ağından tamamen izole şekilde muhafaza etmesi gerekmektedir.
