Fidye Yazılımından Korunma: Sunucu ve Site Sahipleri İçin
Fidye yazılımı çoğunlukla açık bırakılmış bir uzak masaüstü portundan, güncellenmemiş bir eklentiden ya da çalınmış bir paroladan girer ve önce yedekleri hedefler. Giriş yollarını kapatma, 3-2-1-1 yedekleme, ağ bölümlendirme, saldırı anında ilk adımlar ve geri yükleme tatbikatı.
Fidye yazılımından korunma, saldırganın sisteminize girmesini zorlaştırmak, girdiğinde yayılmasını sınırlamak ve verilerinizi fidye ödemeden geri getirebilecek yedekleri saldırganın erişemeyeceği bir yerde tutmak demektir. Fidye yazılımı (ransomware), dosyaları şifreleyip çözme anahtarı karşılığında ödeme isteyen zararlı yazılımdır ve günümüzde çoğu saldırıda veriler şifrelenmeden önce kopyalanıp “yayımlarız” tehdidiyle ikinci bir şantaj yapılır.
Hedef yalnızca büyük kurumlar değildir: otomatik tarama araçları internete açık her zayıf sunucuyu bulur. Bir web hosting hesabı, Windows tabanlı bir RDP sunucu ya da kendi yönettiğiniz bir VPS için riskler ve önlemler farklılaşsa da temel ilke aynıdır: kapıyı kapatın, içeride yayılmayı engelleyin ve temiz bir kopyayı erişilemez yerde tutun.
Kısa cevap
Fidye yazılımından korunma dört katmanda yapılır: internete açık RDP ve SSH girişlerini VPN ya da anahtar kimlik doğrulamasıyla kapatmak, işletim sistemi ve uygulamaları düzenli yamalamak, tüm yönetim hesaplarında iki adımlı doğrulama ve en az yetki ilkesini uygulamak, yedekleri 3-2-1-1 kuralıyla en az bir kopyası çevrimdışı ya da değiştirilemez olacak şekilde saklamak. Bunlara ağ bölümlendirme, yazılı bir müdahale planı ve düzenli geri yükleme tatbikatı eklenmelidir.
Fidye yazılımı sunuculara ve sitelere nasıl bulaşır?
Fidye yazılımı sunuculara çoğunlukla zayıf korunan uzak erişim kapılarından, yamasız yazılımlardan ve çalınmış kimlik bilgilerinden girer; sofistike sıfırıncı gün açıkları istisnadır.
- İnternete açık RDP ve SSH: Varsayılan portta bekleyen, parolası zayıf ya da sızmış bir uzak masaüstü hesabı en yaygın giriş noktalarındandır. Port değiştirmek taramaları azaltır ama tek başına koruma değildir; ayrıntılar RDP port değiştirme rehberinde.
- Güncellenmemiş yazılım: CMS eklentileri, kontrol paneli bileşenleri, VPN cihazları ve dosya paylaşım uygulamalarındaki bilinen açıklar, yama yayımlandıktan sonra da uzun süre istismar edilir.
- Çalınmış parolalar: Oltalama e-postası ya da bilgi çalan zararlı yazılımla elde edilen yönetici bilgileri, saldırganın “meşru kullanıcı” gibi girmesini sağlar.
- Yönetici bilgisayarı: Ele geçirilen bir ofis bilgisayarından, kayıtlı FTP, SSH ya da panel oturumları üzerinden sunucuya geçilebilir.
Saldırganlar içeri girdikten sonra çoğu zaman hemen şifrelemez; önce yetki yükseltir, ağı keşfeder, yedekleri bulup siler ve verileri dışarı kopyalar. Bu süre, iyi bir izleme düzeninin saldırıyı yakalayabileceği penceredir.
Fidye yazılımından korunma için temel önlemler nelerdir?
Temel önlemler, yukarıdaki giriş yollarını tek tek kapatmaktır. Uygulama sırasıyla:
- Uzak erişimi daraltın: RDP’yi internete doğrudan açmayın; VPN arkasına alın ya da güvenlik duvarında yalnızca sabit IP adreslerinize izin verin. Linux’ta SSH için parola girişini kapatıp anahtar kullanın.
- Yama takvimi koyun: İşletim sistemi güncellemelerini otomatikleştirin; CMS çekirdeği, eklenti ve temaları haftalık kontrol edin, kullanılmayanları silin.
- İki adımlı doğrulamayı zorunlu kılın: Hosting paneli, müşteri paneli, e-posta ve uzak erişim VPN’i dahil tüm yönetim hesaplarında.
- En az yetki ilkesini uygulayın: Günlük işler için yönetici olmayan hesaplar kullanın; her uygulamaya yalnızca kendi veritabanında yetkili bir kullanıcı verin.
- Kaba kuvveti engelleyin: Başarısız girişleri sınırlayan Fail2ban ya da Windows hesap kilitleme ilkesi kurun.
- Uç nokta koruması ve kayıt izleme: Sunucularda güncel antivirüs ya da EDR (Endpoint Detection and Response) çalıştırın; giriş kayıtlarını merkezi bir yerde tutup olağandışı saatleri izleyin.
Bu adımların birçoğu sunucu güvenliğinin genel kontrol listesiyle örtüşür; eksiksiz liste sunucu güvenliği kontrol listesinde bulunur.
Yedekler fidye yazılımına karşı nasıl korunur?
Yedekler, saldırganın erişemeyeceği ve değiştiremeyeceği en az bir kopya olacak şekilde saklanarak korunur; çünkü fidye yazılımı operatörleri şifrelemeden önce ilk iş olarak yedekleri arar. Windows’ta gölge kopyalar silinir, sunucuya bağlı ağ sürücüsündeki ya da aynı parolayla erişilen yedek alanındaki dosyalar da şifrelenir.
Klasik 3-2-1 yedekleme kuralı bu yüzden bir adım genişletilir: 3-2-1-1.
| Kural | Anlamı | Fidye yazılımına karşı katkısı |
|---|---|---|
| 3 kopya | Canlı veri ve iki yedek | Tek kopyanın bozulması felaket olmaz |
| 2 farklı ortam | Örneğin yerel disk ve nesne depolama | Tek bir sistemin ele geçirilmesi tüm kopyaları etkilemez |
| 1 kopya başka konumda | Farklı veri merkezi ya da bulut hesabı | Aynı ağdaki yayılma oraya ulaşmaz |
| 1 kopya çevrimdışı ya da değiştirilemez | Bağlantısı kesilmiş ortam ya da nesne kilidiyle (object lock) korunan depolama | Yönetici parolası çalınsa bile saklama süresi dolmadan silinemez |
Yedek sunucusunun kaynak sunucuya bağlanıp veriyi çektiği (pull) düzen, kaynaktaki saldırganın yedeklere ulaşmasını zorlaştırır. Yedek hesabının parolası ve iki adımlı doğrulaması üretim hesaplarından ayrı olmalıdır. Sunucu anlık görüntüleri hızlı dönüş için değerlidir ama aynı paneldeki tek kopyadır; yaklaşım farkları VPS yedekleme ve snapshot rehberinde.
Ağ bölümlendirme yayılmayı nasıl sınırlar?
Ağ bölümlendirme (segmentasyon), sistemleri birbirinden ayırıp yalnızca gerekli bağlantılara izin vererek tek bir ele geçirilmiş makinenin bütün altyapıya yayılmasını önler.
- Veritabanını dışarıya kapatın: MySQL ya da MSSQL portu yalnızca uygulama sunucusundan erişilebilir olsun.
- Yönetim erişimini ayırın: SSH, RDP ve panel erişimini VPN üzerinden ya da belirli IP’lerle sınırlayın; kurulum için WireGuard VPN kurulumu yazısına bakabilirsiniz.
- Yedek ağını ayrı tutun: Yedek sunucusu üretim ağından doğrudan yazılabilir bir paylaşım olarak görünmesin.
- Ofis ile sunucuları ayırın: Personel bilgisayarlarının bulunduğu ağdan sunuculara yalnızca gereken portlar açık olsun.
Altyapı katmanında LIONFIN veri merkezimizdeki ağ kenarında çalışan RouteFence Firewall ile 7/24 NOC ve SOC izlemesi ilk süzgeci oluşturur. Ancak sunucunuzun içindeki parolalar, yamalar, açık portlar ve kullanıcı yetkileri sizin sorumluluğunuzdadır; paylaşılan sorumluluk modelinde bu katmanı başkası sizin yerinize kapatamaz.
Fidye yazılımı saldırısında ilk ne yapılmalı?
İlk iş, etkilenen sistemleri ağdan ayırarak yayılmayı durdurmak, ardından kanıtları koruyup uzman desteği almaktır. Paniğe kapılıp sistemleri biçimlendirmek hem kanıtı hem de olası kurtarma yollarını yok eder.
- İzole edin: Etkilenen sunucunun ağ bağlantısını kesin; mümkünse kapatmayın, çünkü bellekteki izler incelemede gerekebilir.
- Kapsamı belirleyin: Hangi sistemlerin, hangi verilerin etkilendiğini ve yedeklerin sağlam olup olmadığını kontrol edin.
- Kanıtı koruyun: Fidye notunu, kayıt dosyalarını ve şüpheli dosyaları silmeden saklayın.
- Kimlik bilgilerini değiştirin: Temiz bir cihazdan tüm yönetici, panel ve e-posta parolalarını yenileyin.
- Bildirin: Kişisel veriler etkilendiyse KVKK kapsamında Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü doğar; Kurul, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde bildirim beklemektedir. Kolluk birimlerine de başvurun.
Fidye ödemesi konusunda resmî kurumlar ödeme yapılmamasını tavsiye eder: ödeme, verilerin geri geleceğini ya da kopyalanan verilerin yayımlanmayacağını garanti etmez ve aynı hedefe yeniden saldırı riskini artırabilir. Karar vermeden önce hukuk ve olay müdahalesi uzmanlarına danışın; No More Ransom projesinin yayımladığı ücretsiz şifre çözücüler arasında sizin türünüz için bir araç olup olmadığını da kontrol edin. Web siteniz ayrıca ele geçirildiyse web sitesi hacklendi ne yapmalı yazısındaki zaman çizelgesini izleyin.
Geri yükleme tatbikatı nasıl yapılır?
Geri yükleme tatbikatı, yedeğin gerçekten kullanılabilir olup olmadığını görmek için ayrı bir ortama geri yükleyip uygulamanın çalıştığını doğrulamaktır; test edilmemiş yedek, kriz anında sürprize dönüşebilir.
- Hedefleri yazın: Kabul edilebilir veri kaybını (RPO) ve hizmetin ne kadar sürede dönmesi gerektiğini (RTO) belirleyin; yedek sıklığını buna göre ayarlayın.
- Yalıtılmış ortam kullanın: Geri yüklemeyi üretimle bağlantısı olmayan bir sunucuda yapın.
- Uçtan uca doğrulayın: Dosyaların açıldığını, veritabanının içe aktarıldığını ve sitenin giriş yapılabilir şekilde çalıştığını kontrol edin.
- Süreyi ölçün: Gerçekte ne kadar sürdüğünü kaydedin; RTO hedefinin üzerindeyse süreci iyileştirin.
- Düzenli tekrarlayın: Üç ayda bir ya da altyapıda büyük bir değişiklikten sonra tatbikatı yineleyin.
Gerçek bir olayda geri yüklemeyi yeni ve temiz bir sunucuya yapın, yedekten dönen sistemi yamalayıp taradıktan sonra trafiğe açın.
Sık Sorulan Sorular
Fidye ödemek verileri geri getirir mi?
Garantisi yoktur. Ödeme yapan kurumların bir kısmı çalışmayan ya da eksik çözücü aldığını, bazıları ise aynı gruptan yeniden saldırı gördüğünü bildirmiştir. Veriler önceden kopyalandıysa ödeme yayımlanmayacaklarını da garanti etmez. Resmî kurumlar ödeme yapılmamasını tavsiye eder; karar öncesinde hukuk ve olay müdahalesi uzmanlarına danışmak gerekir.
Hosting firmasının yedeği fidye yazılımına karşı yeterli mi?
Tek başına yeterli değildir. Sağlayıcı yedekleri genellikle sınırlı süre tutulur ve aynı panel hesabıyla erişilebildiği için hesabınız ele geçirilirse risk altında olabilir. Sağlayıcı yedeğini birinci katman sayın; ek olarak farklı bir konumda, ayrı kimlik bilgileriyle korunan ve mümkünse değiştirilemez ya da çevrimdışı bir kopya tutun.
Linux sunuculara fidye yazılımı bulaşır mı?
Evet. Linux ve sanallaştırma sunucularını hedefleyen fidye yazılımı türleri yaygındır ve çoğunlukla zayıf SSH parolaları, yamasız web uygulamaları ya da çalınmış yönetici bilgileriyle girer. Parola yerine SSH anahtarı, düzenli güncelleme, Fail2ban gibi kaba kuvvet engelleri ve değiştirilemez yedekler Linux’ta da temel önlemlerdir.
Antivirüs fidye yazılımını durdurur mu?
Bilinen türleri ve bazı şüpheli davranışları durdurabilir, ancak tek başına yeterli değildir. Saldırganlar çoğu zaman meşru yönetim araçlarını kullanır ve güvenlik yazılımını devre dışı bırakmaya çalışır. Antivirüs ya da EDR, uzak erişimin kısıtlanması, yama yönetimi, iki adımlı doğrulama ve erişilemez yedeklerle birlikte kullanıldığında anlamlı koruma sağlar.
Fidye yazılımı saldırısı KVKK bildirimi gerektirir mi?
Saldırıda kişisel verilere yetkisiz erişim ya da veri kaybı olduysa bu bir veri ihlalidir ve veri sorumlusunun Kişisel Verileri Koruma Kurulu’na bildirim yapması gerekir. Kurul, bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmasını beklemektedir; etkilenen kişilerin de bilgilendirilmesi gerekebilir. Hukuk danışmanınızla birlikte değerlendirin.
