Fidye yazılımına karşı yedekleme: saldırıdan sağ çıkan yedek nasıl olur?

Fidye yazılımına karşı en güvenilir savunma, saldırganın erişemeyeceği ve geçmiş sürümlerine dönebileceğiniz bir yedektir. Yedeğiniz sağlamsa fidye ödemeden, sistemlerinizi temizleyip verinizi geri yükleyerek işinize dönersiniz.

Fidye yazılımı ne yapar?

Fidye yazılımı (ransomware), bulaştığı bilgisayardaki ve erişebildiği ağ paylaşımlarındaki dosyaları şifreler, ardından şifreyi çözmek için ödeme ister. Güncel saldırılar çoğu zaman şifrelemeden önce ağda günlerce dolaşır, yedekleme sunucusunu ve bağlı diskleri arar ve onları da siler ya da şifreler. Bu yüzden "yedeğim var" demek yetmez; yedeğin saldırıdan sağ çıkması gerekir.

Saldırıya dayanıklı yedeğin dört özelliği

1. Ağınızdan ayrı durur

Sunucuya sürekli bağlı bir USB disk ya da herkesin yazabildiği bir ağ klasörü, saldırganın da yazabildiği yerdir. Yedeğin en az bir kopyası, ağınızdaki bir bilgisayardan doğrudan silinemeyecek bir yerde, örneğin ayrı kimlik bilgileriyle erişilen bulut depolamada durmalıdır.

2. Geçmiş sürümleri saklar

Şifrelenmiş dosya da bir "değişiklik"tir ve yedeğe gider. Versiyonlama varsa şifrelenmiş sürümün öncesindeki temiz sürüme dönersiniz. Yalnızca son hâli tutan bir yedek, bozuk dosyanın yedeği olur.

3. Silinenleri bir süre tutar

Saldırgan dosyaları silerse, silinen öğelerin belirli bir süre geri alınabilir olması gerekir.

4. Geri yüklemesi denenmiştir

Yedeğin gerçekten geri yüklenebildiğini saldırı gününde değil, önceden öğrenmelisiniz. Üç ayda bir, rastgele seçilmiş bir klasörü ve bir veritabanını geri yükleyip açmayı deneyin.

Saldırı anında ne yapmalı?

1. Etkilenen cihazları ağdan ayırın. Kabloyu çekin, Wi-Fi'ı kapatın. Cihazı kapatmayın; adli inceleme gerekebilir.
2. Yedeklerinize dokunmayın. Yedek hedefinin zarar görüp görmediğini, temiz bir cihazdan kontrol edin.
3. Kapsamı belirleyin. Hangi cihazlar, hangi paylaşımlar etkilendi? İlk şifrelenen dosyanın tarihi, hangi yedek sürümüne döneceğinizi gösterir.
4. Sistemi temizleyin. Etkilenen cihazlar yeniden kurulmadan veri geri yüklenmemelidir; aksi hâlde aynı zararlı yeniden çalışır.
5. Saldırı öncesi sürümü geri yükleyin.
6. Bildirim yükümlülüklerini değerlendirin. Kişisel veriler etkilendiyse KVKK kapsamında Kurul'a ve ilgili kişilere bildirim yükümlülüğü doğabilir; hukuk danışmanınıza başvurun.

Erken uyarı neden önemli?

Şifreleme dakikalar içinde binlerce dosyayı değiştirir. Bu olağan dışı hareketin erken fark edilmesi, zararın bir bilgisayarla sınırlı kalması ile bütün ağa yayılması arasındaki farktır. Narbulut Backup Now, fidye yazılımı saldırısı tespit ettiğinde SMS, e-posta ve mobil bildirimle haber verir; sınırsız versiyonlama ve silinen dosyaların 60 gün saklanması sayesinde saldırı öncesindeki sürümlere dönülebilir.

Sunucular için: disk imajı

Dosyaları geri getirmek işin yarısıdır. Sunucunun işletim sistemi de şifrelendiyse, programları ve ayarları yeniden kurmak günler sürebilir. Easy Image Backup ile alınan disk imajı, sunucuyu saldırı öncesindeki hâliyle, gerekirse farklı bir donanıma ya da sanal makineye geri yüklemenizi sağlar.

Kontrol listesi

• Yedeğin en az bir kopyası ağınızın dışında mı?
• Geçmiş sürümlere dönebiliyor musunuz? Kaç gün geriye?
• Yedekleme hesabının şifresi, günlük kullanılan hesaplardan farklı mı ve iki adımlı doğrulama açık mı?
• Son geri yükleme denemesini ne zaman yaptınız?
• Saldırı uyarısı kime, hangi kanaldan gidiyor?

Bu beş sorunun hepsine net cevabınız varsa, bir fidye yazılımı saldırısı işinizi durduran bir felaket değil, birkaç saatlik bir kesinti olur.