Fidye yazılımına dayanıklı yedekler ── 3-2-1 kuralı, üzerine yazılamayan depolama ve geri yükleyebildiğinizi doğrulama

Fidye yazılımı saldırılarında, bir kuruluşun yedeği olduğu hâlde yine de geri yükleyemediği pek çok vaka vardır. En yaygın neden, yedeklerin diğer her şeyle birlikte şifrelenmiş olmasıdır. Bu makale, küçük ve orta ölçekli işletmelerin Windows bilgisayarları ve dosya sunucuları için saldırılara dayanan yedeklerin nasıl oluşturulacağını ele alıyor.

Üç ana nokta var: virüs bulaşmış bir bilgisayarın üzerine yazamayacağı bir kopya tutun, yedeklerin yerine “Önceki sürümler”i kullanmayın ve gerçekten geri yükleyebildiğinizi doğrulayın. 3-2-1 kuralı kaç kopya tutacağınızı ve nerede tutacağınızı belirler, ancak tek başına fidye yazılımına karşı bir savunma olarak boşluklar bırakır.

Bu makaledeki komutlar yalnızca Windows’ta çalışır ve çıktıları Windows Server 2022’de yönetici komut isteminde kontrol edilmiştir. Ürünlerin ayar ekranları ve fiyatları değişebilir, bu nedenle bunları kullanmaya başlarken her üreticinin en güncel belgelerini kontrol edin.

Birçok kuruluşun yedeği vardı ama geri yükleyemedi

Japonya Ulusal Polis Ajansı, fidye yazılımından etkilenen kuruluşlara yedeklerinin durumunu sorar. 2025’in ilk yarısına ilişkin raporunda, yanıt veren 53 kuruluştan 51’i yedek almıştı. Ancak yedekten saldırıdan hemen önceki düzeye geri yükleyip yükleyemediği sorulan 48 kuruluştan yalnızca 7’si bunu başarabildi, 41’i başaramadı¹.

Geri yükleyememe nedenini belirten 35 kuruluştan 23’ü “yedekler de şifrelendi”, 8’i “işletim hataları”, 4’ü ise “diğer” yanıtını verdi¹. Aynı rapor, fidye yazılımı gruplarının izlerini silmek ve kurtarmayı engellemek için kurbanların günlüklerini ve yedeklerini sildiğini yazar. Ardından kuruluşlardan yedekleri çevrim dışı bir ortamda saklamalarını ister².

flowchart TB
        accTitle: Yedeğiniz olduğu hâlde nasıl geri yükleyemeyebilirsiniz
        accDescr: Yedek alsanız bile, virüs bulaşmış bilgisayar yedeklere erişebiliyorsa diğer her şeyle birlikte şifrelendiklerini ve geri yükleme prosedürü kontrol edilmediyse işletim hataları nedeniyle geri yüklemenin yapılamadığını gösteren diyagram.
        A["Yedek alınıyor"] --> B{"Virüs bulaşmış bilgisayar erişebiliyor mu?"}
        B -->|"Erişebiliyor"| C["Onlar da şifrelenir veya silinir"]
        B -->|"Erişemiyor"| D{"Geri yükleme prosedürü kontrol edildi mi?"}
        D -->|"Kontrol edilmedi"| E["İşletim hataları nedeniyle geri yüklenemez"]
        D -->|"Kontrol edildi"| F["Geri yüklenebilir"]

Şekil 1: Yedekler, virüs bulaşmış bilgisayar onlara erişemediğinde ve geri yükleme prosedürü kontrol edildiğinde kullanılabilir.

Geri yüklemenin başarılı olduğu vakalar da var. IPA’nın “KOBİ’ler için Bilgi Güvenliği Yönergeleri”nin 4. baskısı, bir VPN cihazı üzerinden yapılan saldırının ardından dosya sunucuları ve diğer sistemleri şifrelenen bir inşaat şirketinin vakasına yer verir. Kısmen şirketin yılda iki kez geri yükleme tatbikatı yapması sayesinde, saldırıyı fark ettikten beş gün sonra temel sistemlerini yedeklerden yeniden çalıştırdı. Buna rağmen her bir iç sistemi yeniden başlatmak 41 gün, uzaktan erişimi yeniden başlatmak dört ay sürdü ve şirket iç dosyalarının yüzde 20’sinden fazlasını kaybetti³. Yedeklerden geri yükleyebilmek, zararı ortadan kaldırmaz.

Diyagramda düz çizgi her zaman geçerli olan bir ilişkiyi, kesikli çizgi ise koşullu bir ilişkiyi gösterir (koşullar, ayrıntı sayfasında her ilişki için verilmiştir). İlişkilerin tam listesi (toplam 13, kanıt ve kesinlik derecesiyle birlikte) ve ana kavramların tanımları bilgi haritası ayrıntı sayfasında (Japonca) toplanmıştır. Veri: JSON-LD / Turtle

Saldırganlar erişebildikleri yedekleri siler

CISA ve diğer ABD kurumlarının yayımladığı #StopRansomware Guide, birçok fidye yazılımının, kurban fidyeyi ödemeden kurtaramasın diye erişilebilir yedekleri bulup silmeye veya şifrelemeye çalıştığını yazar. Bu nedenle yedeklerin çevrim dışı tutulmasının önemli olduğunu belirtir⁴.

Microsoft da saldırganların yedekleme yazılımlarını ve birim gölge kopyaları gibi işletim sistemi özelliklerini devre dışı bırakmaya odaklandığını yazar⁵. Virüs bulaşmış bir bilgisayarın erişebileceği yedekler arasında şunlar bulunur.

• Bilgisayara her zaman bağlı olan harici sürücüler
• Bir sürücü harfine eşlenmiş NAS veya dosya sunucusu paylaşımları
• Günlük kullanılan hesabın yazabildiği bulut eşitleme klasörleri
• Aynı birimdeki gölge kopyalar (Önceki sürümler)

İşletim sistemine yerleşik komutlar bile gölge kopyaları ve yedekleme kataloglarını silebilir. MITRE ATT&CK bu tekniği “Inhibit System Recovery” (T1490) olarak sınıflandırır. Örnek olarak tüm gölge kopyaların vssadmin.exe delete shadows /all /quiet ile silinmesini ve Windows yedekleme kataloğunun wbadmin.exe delete catalog -quiet ile silinmesini verir⁶. CISA’nın kılavuzu da kuruluşlardan vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) ve benzeri araçların şüpheli kullanımını izlemelerini ister⁴.

flowchart TB
        accTitle: Virüs bulaşmış bir bilgisayarın erişebildiği ve erişemediği yedekler
        accDescr: Virüs bulaşmış bir bilgisayarın her zaman bağlı harici sürücülere, eşlenmiş paylaşımlara, eşitleme klasörlerine ve gölge kopyalara yazabildiğini, ancak bağlantısı kesilmiş ortamlara veya üzerine yazılamayan depolamaya yazamadığını gösteren diyagram.
        P["Virüs bulaşmış bilgisayar"] --> R["Yazabildiği yerler"]
        P -.-x N["Bağlantısı kesilmiş ortam, üzerine yazılamayan depolama"]
        R --> A["Her zaman bağlı harici sürücü"]
        R --> B["Eşlenmiş paylaşılan klasör"]
        R --> C["Bulut eşitleme klasörü"]
        R --> D["Gölge kopyalar"]

Şekil 2: Virüs bulaşmış bir bilgisayarın yazabildiği yerlerde tutulan yedekler saldırının hedefi olur.

Zaman alan saldırılara da dikkat etmeniz gerekir. Microsoft, fidye yazılımlarının bazen anahtarı sistemde bırakarak şifrelemeyi yavaş yavaş ilerlettiğini yazar. Kullanıcılar bu süre boyunca verileri her zamanki gibi kullanabilir, bu yüzden kimse fark etmeden şifrelenmiş verilerin yedekleri birikmeye devam eder. Her şey şifrelendikten sonra anahtar silinirse, en son yedekler bile okunamaz hâle gelir⁵. Yalnızca en son nesli tutuyorsanız, bu durumda geri dönebileceğiniz bir yer kalmaz.

“Önceki sürümler” yedeklerin yerini tutmaz

Windows’un “Önceki sürümler” özelliği ve paylaşılan klasörlerin gölge kopyaları, Birim Gölge Kopyası Hizmeti’ni (VSS) kullanır. Windows ile birlikte gelen VSS sistem sağlayıcısı, bir bloğun üzerine yazılmadan önce bloğun içeriğini bir fark alanına kaydeden yazarken kopyalama (copy-on-write) yöntemini kullanır ve böylece birimi belirli bir andaki hâliyle yeniden oluşturur⁷.

Microsoft, VSS belgelerinde gölge kopyalar ile yedekler arasındaki farkı şöyle açıklar. Veriler bir gölge kopyadan bant gibi çıkarılabilir bir ortama kopyalandığında, o ortamın içeriği yedek olur. Kopyalamadan sonra gölge kopyanın kendisi silinebilir⁷. Belgeler ayrıca fark alanı yetmediğinde önce eski gölge kopyaların silindiğini de yazar⁷.

flowchart TB
        accTitle: Gölge kopyalar ile yedekler arasındaki fark
        accDescr: Gölge kopyanın özgün birime göre farklardan oluştuğunu ve yer yetmediğinde veya bir saldırgan tarafından silindiğini, ayrı bir ortama kopyalanan yedeğin ise özgün birim kaybolsa bile kaldığını gösteren diyagram.
        V["Özgün birim"] --> S["Gölge kopya (farklar)"]
        S --> L["Yer yetmediğinde en eskisi önce silinir"]
        S --> K["Saldırgan vssadmin ile siler"]
        S -->|"Ayrı ortama kopyala"| B["Yedek"]
        B --> R["Özgün birim kaybolsa bile kalır"]

Şekil 3: Gölge kopyalar özgün birimin verilerine bağlıdır; ayrı bir ortama kopyaladığınız şey yedek olur.

Gölge kopyalar, kullanıcıların yanlışlıkla üzerine yazdıkları dosyaları kendi başlarına geri yüklemeleri için kullanışlıdır. Ancak önceki bölümde anlatıldığı gibi saldırganlar bazen onları siler. Mekanizma ve işletim, “Volume Shadow Copy (VSS): The Mechanism and the Practice” makalesinde ayrıntılı olarak açıklanır.

Hangi gölge kopyaların kaldığını listelemek için yönetici komut isteminde vssadmin list shadows komutunu çalıştırın. Bu alt komut hem istemcilerde hem de sunucularda kullanılabilir⁸.

vssadmin list shadows

OneDrive ve SharePoint’teki sürüm geçmişi ve geri dönüşüm kutusu da kullanıcıların dosyalarını geri almasının yollarıdır. Microsoft, kullanıcılara OneDrive’larının tamamını daha önceki bir zamana nasıl geri yükleyeceklerini öğretmenizi önerir. Ayrıca kullanıcıların ancak saldırganın uzaklaştırıldığından emin olduğunuzda geri yükleme yapmasını ve kullanıcıların kötü amaçlı yazılımı da geri yüklediği duruma karşı hazırlıklı olmanızı söyler⁵.

3-2-1 kuralı kaç kopya tutulacağını ve nerede tutulacağını belirler

3-2-1 kuralı, yedek kopyaların nasıl tutulacağına ilişkin bir pratik kuraldır. 2012’de US-CERT için yazılan “Data Backup Options” kuralı şöyle açıklar⁹.

• 3: Önemli dosyaların özgünü ve iki yedeği olmak üzere üç kopyasını tutun.
• 2: Farklı türdeki felaketlere karşı korunmak için onları iki farklı türde ortamda saklayın.
• 1: Bir kopyayı evin veya işyerinin dışında tutun.

Belge, kaynak olarak fotoğrafçı Peter Krogh’un dijital fotoğrafların yönetimine dair kitabı “The DAM Book”u gösterir⁹. Microsoft da fidye yazılımına karşı koruma amaçlı yedeklere ilişkin belgelerinde bu kurala atıfta bulunur ve “1”i “tesis dışı veya soğuk kopya” olarak tanımlar⁵.

3-2-1 kuralının istediği, bir kopyanın tesis dışında tutulmasıdır. Tesis dışındaki kopyanın çevrim dışı veya değiştirilemez olmasını şart koşmaz. Dolayısıyla tesis dışındaki kopya, virüs bulaşmış bir bilgisayarın her zaman yazabildiği bir buluttaysa yerel kopyalarla birlikte şifrelenebilir. CISA’nın kılavuzu ve Microsoft’un belgeleri, fidye yazılımına karşı bir savunma olarak çevrim dışı depolamayı sayar. Microsoft ayrıca üzerine yazılamayan depolamayı da sayar⁴⁵.

flowchart TB
        accTitle: 3-2-1 kuralı ve fidye yazılımına karşı koruma
        accDescr: Üç kopya, iki tür ortam ve bir tesis dışı kopyadan oluşan 3-2-1 kuralına bir çevrim dışı veya değiştirilemez kopya eklenmesini ve ardından geri yükleyebildiğinizin doğrulanmasını gösteren diyagram.
        A["Üç kopya"] --> B["İki tür ortam"]
        B --> C["Biri tesis dışında"]
        C --> D["Biri çevrim dışı veya değiştirilemez"]
        D --> E["Geri yükleyebildiğinizi doğrulayın"]

Şekil 4: 3-2-1 kuralına, virüs bulaşmış bir bilgisayarın üzerine yazamayacağı bir kopya ve geri yükleyebildiğinizin kontrolünü ekleyin.

Yedekleme üreticisi Veeam bunu “3-2-1-1-0 kuralı” olarak tanıtır. Veeam’in belgelerinde ek “1”, çevrim dışı, hava boşluklu (air-gapped) veya değiştirilemez bir kopya tutmak, “0” ise düzenli geri yükleme doğrulamasında sıfır hata anlamına gelir¹⁰. Bu, resmî bir standart değil, bir üreticinin belgelerindeki bir adlandırmadır. Yine de ek iki madde, CISA ve IPA’nın istedikleriyle örtüşür.

Virüs bulaşmış bir bilgisayarın üzerine yazamayacağı bir kopya tutun

Üzerine yazılamayan bir kopya oluşturmanın iki temel yolu vardır: ortamın bilgisayarla bağlantısını kesip saklamak ya da verilerin belirli bir süre boyunca üzerine yazılamadığı veya silinemediği bir bulut depolama kullanmak. Hangisini seçerseniz seçin, yedekleri yönetme izinlerini günlük işlerden ayırın.

Ortamın bilgisayarla bağlantısını kesin ve saklayın

IPA’nın yönergeleri, öz değerlendirmesindeki örnek önlemlerden biri olarak yedekleme için kullanılan cihazların ve ortamların bilgisayara yalnızca yedek alınırken bağlanmasını söyler. Ayrıca yedeklerin nasıl alınacağına karar vermeyi, onları güvenli bir yerde saklamayı ve geri yüklenebildiklerini düzenli olarak doğrulamayı da sayar¹¹.

Bir adım daha ileri gitmek isteyen kuruluşlar için yönergeler “fiziksel ayırma”yı sayar. Bu, yedeklerin özgün sistemden fiziksel olarak ayrı bir yerde tutulması, harici depolama birimlerinin veya yedekleme bantlarının mümkün olduğunca uzakta saklanması anlamına gelir. Saklama yerlerine örnek olarak bir bankadaki kiralık kasa ya da güvenilir bir iş ortağı veya bağlı şirket verilir¹².

Üretim sistemlerinden bu şekilde bağlantısı kesilerek saklanan yedeğe çevrim dışı yedek denir. Virüs bulaşmış bir bilgisayar, bağlantısı kesilmiş ortamlara yazamaz. Öte yandan ortamları yeniden bağlamak ve taşımak insanlara kalır, bu yüzden yedekler atlanır veya ortam tesis dışına götürülmez. Ortamı kimin bağlayacağına, kimin bağlantısını keseceğine ve kimin saklama yerine götüreceğine ve bunların ne zaman yapılacağına karar verin.

Üzerine yazılamayan bulut depolama kullanın

Bulut depolamada, verilerin belirli bir süre boyunca üzerine yazılmasını veya silinmesini engelleyen özellikler vardır. Bunlar verileri WORM (Write Once, Read Many) adı verilen bir durumda saklar.

Azure Blob Storage’ın değiştirilemez depolamasında, zamana dayalı bir saklama ilkesi ayarladığınızda veriler bu süre boyunca oluşturulabilir ve okunabilir ancak değiştirilemez veya silinemez¹³. Bir ilke önce kilitlenmemiş durumda oluşturulur ve test ettikten sonra onu kilitlersiniz. Kilitlenmiş bir ilke silinemez ve saklama süresi uzatılabilir ancak kısaltılamaz¹³. Microsoft, hesap yöneticisi izinlerine sahip kullanıcıların bile verileri değiştiremeyeceğini veya silemeyeceğini açıklar¹³.

Amazon S3 Object Lock’un iki modu vardır. Uyumluluk modunda (compliance mode), AWS hesabının kök kullanıcısı da dahil olmak üzere hiç kimse saklama süresi boyunca bir nesne sürümünün üzerine yazamaz veya onu silemez. Yönetişim modunda (governance mode), yalnızca özel izinlere sahip kullanıcılar saklama ayarlarını değiştirebilir veya kaldırabilir¹⁴. Object Lock yalnızca S3 sürüm oluşturmanın etkinleştirildiği bucket’larda kullanılabilir¹⁴.

flowchart TB
        accTitle: Üzerine yazılamayan depolamaya iki örnek
        accDescr: Azure Blob Storage'ın değiştirilemez depolamasında kilitlenmiş bir ilkenin silinemediğini ve saklama süresinin kısaltılamadığını, S3 Object Lock'ta ise uyumluluk modunda kök kullanıcının bile silemediğini, yönetişim modunda ise özel izinlerle değişiklik yapılabildiğini gösteren diyagram.
        W["Üzerine yazılamayan depolama"] --> AZ["Azure Blob Storage'ın değiştirilemez depolaması"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Kilitlendikten sonra saklama süresi kısaltılamaz"]
        S3 --> C["Uyumluluk modu"]
        S3 --> G["Yönetişim modu"]
        C --> C1["Kök kullanıcı bile silemez"]
        G --> G1["Özel izinlerle değiştirilebilir"]

Şekil 5: Her iki depolama türü de belirli bir süre boyunca üzerine yazmayı ve silmeyi reddeder; ne kadar katı olduğu ayarlara bağlıdır.

Azure’da, bir ilkeyi kilitledikten sonra bir yapılandırma hatası fark etseniz bile saklama süresini kısaltamazsınız¹³. CISA’nın kılavuzu, bazı bulut sağlayıcılarının üzerine yazılamayan depolama sunduğunu belirtir ve yanlış yapılandırmanın önemli maliyetlere yol açabileceği konusunda uyarır. Ayrıca bu tür depolamanın bazı düzenlemelerin gereksinimlerini karşılamayabileceğinden de söz eder⁴. Uzun bir saklama süresi ayarlayıp kilitlerseniz bu süre boyunca verileri silemezsiniz ve depolama ücretleri işlemeye devam eder. Kilitlenmemiş bir durumla veya kısa bir süreyle başlayın, geri yükleyebildiğinizi doğrulayın ve ardından üretim ayarlarını uygulayın.

Yedekleri yönetme izinlerini ayırın

Üzerine yazılamayan bir depolama kullansanız bile, yedekleme ayarları ve ilkeleri günlük kullanılan yönetici hesabıyla değiştirilebiliyorsa bir saldırgan da onları değiştirebilir. Microsoft, çevrim içi yedekler değiştirilmeden veya silinmeden önce çok faktörlü kimlik doğrulama ya da güvenlik PIN’i gibi ek bir adım istenmesini önerir. Ayrıca yedekleme ve geri yükleme işlemlerini belirlenmiş rollerdeki kullanıcılarla sınırlamayı ve birçok kullanıcının yazıp silebildiği dosya paylaşımlarının sayısını azaltmayı da sayar⁵.

Bilgisayarları ve yedekleri aynı kişi yönetiyor olsa bile, yedekleme hedefini yönetmek için kullanılan hesabı günlük bilgisayar oturum açma işlemlerinde kullanmayın ve onu çok faktörlü kimlik doğrulamayla koruyun.

Birden çok nesil tutun

IPA’nın yönergeleri, birden çok zaman noktasından yedek tutmak anlamına gelen “nesil yönetimi”ni sayar. Bu, veriler bozulduğunda veya kaybolduğunda belirli bir zaman noktasına geri dönmenizi sağlar¹². Önceki bir bölümde anlatıldığı gibi, şifrelemenin fark edilmesi zaman alırsa en son yedekler zaten şifrelenmiş veriler içerir. Kaç nesil tutacağınıza, şifrelemenin fark edilmesinin ne kadar sürebileceğine ve depolamanın maliyetine göre karar verin.

flowchart TB
        accTitle: Üzerine yazılamayan bir kopya tutmak için üç önlem
        accDescr: Bağlantısı kesilmiş ortamın saklanmasını veya üzerine yazılamayan depolama kullanılmasını, yedekleri yönetme izinlerinin günlük hesaplardan ayrılmasını ve birden çok nesil tutulmasını gösteren diyagram.
        A["Üzerine yazılamayan bir kopya"] --> B["Bağlantısı kesilmiş ortamı saklayın"]
        A --> C["Üzerine yazılamayan depolama"]
        B --> D["Yönetim izinlerini ayırın"]
        C --> D
        D --> E["Birden çok nesil tutun"]

Şekil 6: Nerede tutacağınıza karar verdikten sonra yönetim izinlerini ayırın ve geç fark etseniz bile geri dönebilmek için nesiller tutun.

Geri yükleyebildiğinizi doğrulayın

Polis Ajansı’nın raporunda, geri yükleyememenin en yaygın ikinci nedeni “işletim hataları”ydı¹. Bir yedeğin gerçekten geri yüklenip yüklenemeyeceğini denemeden bilemezsiniz. Bunu doğrulamak için yedekten gerçekten geri yükleme yapma işine geri yükleme testi denir.

IPA’nın yönergeleri yedekleme işletimini üç bölüme ayırır: alma, saklama ve geri yükleme. Geri yükleme için bir kurtarma planı hazırlamanızı ve doğru şekilde geri yükleyebildiğinizi doğrulamanızı ister³. İş açısından kritik sistemler için yedeklerin alınma biçimini ve prosedürleri kurtarma süresi hedefine (RTO) ve kurtarma noktası hedefine (RPO) uygun şekilde düzenlemenizi ve etkinliği tatbikatlarla doğrulamanızı ister. RTO, hedef düzeye geri yüklemenin aldığı süredir; RPO ise geri yüklediğiniz zaman noktası, yani en son yedeğin zamanıdır¹⁵. CISA’nın kılavuzu da felaket kurtarmayı göz önünde bulundurarak kuruluşlardan yedeklerin kullanılabilir ve sağlam olduğunu düzenli olarak kontrol etmelerini ister⁴.

flowchart TB
        accTitle: Geri yükleme testi nasıl yapılır
        accDescr: Geri yükleme sırasına karar verme, ayrı bir ortama geri yükleme, geçen süreyi ve geri yüklenen noktayı RTO ve RPO ile karşılaştırma ve çalışma kılavuzunu düzeltme akışını gösteren diyagram.
        A["Geri yükleme sırasına karar verin"] --> B["Ayrı bir ortama geri yükleyin"]
        B --> C["Geçen süreyi RTO ile karşılaştırın"]
        B --> D["Geri yüklenen noktayı RPO ile karşılaştırın"]
        C --> E["Çalışma kılavuzunu düzeltin"]
        D --> E
        E -.->|"Sonraki kontrol"| A

Şekil 7: Geri yüklemeyi deneyin, sürenin ve noktanın hedefleri karşılayıp karşılamadığını kontrol edin ve sonuçları çalışma kılavuzuna yansıtın.

Neler kontrol edilmeli

IPA ve Microsoft belgelerine dayanarak kontrol edilmesi gerekenler şöyle düzenlenebilir.

Microsoft, önce iş için kritik olan sistemleri belirlemenizi ve onları düzenli olarak yedeklemenizi önerir. Ortaya çıkan önceliklendirilmiş yedek listesi doğrudan geri yükleme sırası olur. Yüksek öncelik olarak ilk sırada, diğer tüm sistemlere girmek için gereken Active Directory gibi kimlik doğrulama sistemlerini sayar⁵. Ayrıca tüm sistemlerin kapalı olduğu bir durumdan işi yeniden ayağa kaldırmaya yönelik düzenli tatbikatlar yapılmasını önerir. Bu tatbikatlarda e-postanın ve sohbetin de kullanılamadığını varsayın⁵.

Microsoft, saldırganların geri yükleme çalışma kılavuzlarını ve ağ diyagramlarını kasıtlı olarak hedef aldığını yazar. Bunları korumanızı veya basılı kopyalarını el altında tutmanızı önerir⁵. Çalışma kılavuzu yalnızca dosya sunucusunda bulunuyorsa, o dosya sunucusu şifrelendiğinde onu okuyamazsınız.

Bir saldırıdan sonra geri yüklerken dikkat edilmesi gerekenler

Gerçek bir saldırıdan sonra, geri yüklemeden önce fidye yazılımının kendisini ortamdan kaldırın⁵. Microsoft, virüs bulaşmadığı bilinen bir zaman noktasından bir yedek seçmeyi ve geri yüklemeden önce yedeği kötü amaçlı yazılımlara karşı taramayı sayar⁵. Polis Ajansı’nın raporu, fidye yazılımı gruplarının giriş noktası kapatıldıktan sonra bile yeniden girebilmek için bazen uzaktan denetlenebilen yazılımları arka kapı olarak kurduğunu yazar². Geri yüklemeden önce saldırının izlediği yolu ve saldırganların geride bıraktığı her şeyi incelemeniz gerekir.

flowchart TB
        accTitle: Bir saldırıdan sonra yedekten geri yükleme sırası
        accDescr: Fidye yazılımının kendisinin ve saldırı yolunun kaldırılmasını, virüs bulaşmamış bir zaman noktasından yedek seçilmesini, yedeğin kötü amaçlı yazılımlara karşı taranmasını ve ardından en yüksek öncelikli sistemlerin önce geri yüklenmesini gösteren diyagram.
        A["Fidye yazılımının kendisini kaldırın"] --> B["Saldırı yolunu ve geride bırakılanları inceleyin"]
        B --> C["Virüs bulaşmamış bir zaman noktası seçin"]
        C --> D["Yedeği tarayın"]
        D --> E["En yüksek önceliklileri önce geri yükleyin"]

Şekil 8: Bir saldırıdan sonra, geri yüklemeden önce saldırganların geride bıraktıklarını kaldırın ve virüs bulaşmamış bir zaman noktasını doğrulayın.

Ne sıklıkla kontrol edilmeli

Hem IPA’nın yönergeleri hem de CISA’nın kılavuzu, geri yükleyebildiğinizi “düzenli olarak” doğrulamanızı ister, ancak bir sayı vermez¹¹⁴. Daha önce anlatılan IPA vakasındaki şirket, yılda iki kez geri yükleme tatbikatı yapıyordu³. İşinizin ne kadar süre durabileceğine ve geri yüklenen noktanın ne kadar eski olabileceğine karar verin ve bunları karşıladığınızı doğrulamanızı sağlayacak bir sıklıkta kontrol edin.

İlk karar verilmesi gerekenler

Buraya kadar anlatılanlar, bir KOBİ’nin ilk karar vermesi gerekenler olarak özetlenebilir.

flowchart TB
        accTitle: Fidye yazılımına dayanıklı yedeklere karar verme sırası
        accDescr: Kapsama karar verme, kopyaların nerede tutulacağına ve üzerine yazılamayan kopyaya karar verme, izinlere ve nesillere karar verme, RTO ve RPO'ya karar verme ve geri yükleyebildiğinizi doğrulama sırasını gösteren diyagram.
        A["Kapsama karar verin"] --> B["Kopyaların nerede tutulacağına karar verin"]
        B --> C["Üzerine yazılamayan kopyaya karar verin"]
        C --> D["İzinlere ve nesillere karar verin"]
        D --> E["RTO ve RPO'ya karar verin"]
        E --> F["Geri yükleyebildiğinizi doğrulayın"]

Şekil 9: Kapsamdan geri yükleyebildiğinizin son kontrolüne kadar her şeye tek bir sıra içinde karar verin.

IPA’nın yönergelerinin 4. baskısında, kuruluşların işe başladığı “5 Bilgi Güvenliği Kuralı”na “Yedek alın!” eklendi ve kurallar 6’ya çıktı¹⁶. Yönergelerin bütün olarak nasıl uygulanacağı “Where Should SMEs Start on Security?” makalesinde özetlenir. Sunucuları değiştirmeyi planlıyorsanız “Preparing for Windows Server 2016 End of Support” makalesine de bakın.

İlgili makaleler

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Kaynaklar

İlgili Makaleler

Aynı etiketleri paylaşan en yeni makaleler. Birbirine yakın konularla bilginizi derinleştirebilirsiniz.

İlgili Konular

Bu konuya yakın konu sayfaları. Makaleden yola çıkarak ilgili hizmetlere ve diğer makalelere geçebilirsiniz.

Bu Konunun Bağlantılı Olduğu Hizmetler

Bu makale aşağıdaki hizmet sayfalarıyla ilişkilidir. Size en yakın başlangıç noktasından göz atabilirsiniz.

Sık Sorulan Sorular

Bu makalenin konusuyla ilgili olarak danışmanlık sırasında sık sorulan soruları derledik.

Yedek alıyorsam, fidye yazılımı bulaştıktan sonra her şeyi geri yükleyebilir miyim?

Çoğu zaman yalnızca yedek almak geri yüklemeye yetmez. Japonya Ulusal Polis Ajansı'nın 2025'in ilk yarısı için derlediği zararlarda, yedek alan ve yanıt veren 48 kuruluştan 41'i saldırıdan hemen önceki düzeye geri dönemedi. En yaygın neden yedeklerin de şifrelenmiş olmasıydı. Virüs bulaşmış bir bilgisayarın üzerine yazamayacağı bir kopyaya ihtiyacınız var ve o kopyadan geri yükleyebildiğinizi doğrulamanız gerekir.

Windows'ta Önceki sürümler varsa yine de yedeğe ihtiyacım var mı?

Evet. Önceki sürümler, birim gölge kopyalarıdır; yani özgün birimde tutulan farklardır. Microsoft, bir gölge kopyadan bant gibi bir ortama kopyalanan veriyi yedek olarak kabul eder. Fidye yazılımları bazen vssadmin gibi araçlarla gölge kopyaları siler, bu nedenle bunları ayrı ortamlardaki yedeklerle birlikte kullanın.

3-2-1 kuralına uymak fidye yazılımına karşı korunmak için yeterli mi?

Her zaman değil. 3-2-1 kuralı üç kopya, iki tür ortam ve bir kopyanın tesis dışında tutulmasını ister, ancak tesis dışındaki kopyanın çevrim dışı veya değiştirilemez olmasını şart koşmaz. Virüs bulaşmış bir bilgisayarın her zaman yazabildiği bir bulut kopyası da aynı şekilde şifrelenebilir. Çevrim dışı bir ortamda veya üzerine yazılamayan bir depolamada bir kopya ekleyin.

Yedeklerden geri yükleyebildiğimi ne sıklıkla kontrol etmeliyim?

Hem IPA'nın yönergeleri hem de CISA'nın kılavuzu “düzenli olarak” der ve bir sayı vermez. IPA'nın yönergelerinde, yılda iki kez geri yükleme tatbikatı yapan bir şirketin saldırıyı fark ettikten beş gün sonra temel sistemlerini yeniden çalıştırdığı bir vaka yer alır. İşinizin ne kadar süre durabileceğine ve geri yüklenen noktanın ne kadar eski olabileceğine karar verin ve bunları karşılayabildiğinizi doğrulamanızı sağlayacak bir sıklıkta kontrol edin.

Yazar Profili

Makale yazarının profil sayfası.

Go Komura

KomuraSoft LLC Temsilcisi

Windows yazılım geliştirme, teknik danışmanlık ve hata araştırması odaklı çalışır; mevcut varlıkların korunduğu projelerde ve nedeni kolay anlaşılamayan arızaların araştırılmasında güçlüdür.