Fidye yazılımı (ransomware), kurumun verilerini şifreleyip erişimi fidye karşılığında geri vermeyi vaat eden zararlı yazılımdır. Bugünkü saldırılar çoğunlukla “çift şantaj” modeliyle çalışır: Veri önce kurum dışına sızdırılır, ardından sistemler şifrelenir ve fidye ödenmezse verinin yayımlanacağı söylenir. Bu yüzden korunma tek bir ürünle değil, saldırının her aşamasında bir savunma katmanıyla mümkündür.
Saldırı nasıl ilerler?
- İlk erişim: Oltalama e-postası, ele geçirilmiş VPN şifresi, internete açık uzak masaüstü (RDP) veya güncellenmemiş bir sistem açığı.
- Yerleşme: Saldırgan ağda kalıcı bir dayanak kurar, yönetici yetkisi elde etmeye çalışır.
- Yayılma: Düz (segmentlenmemiş) ağda sunuculara, dosya paylaşımlarına ve yedekleme sistemlerine ulaşır.
- Veri sızdırma: Değerli veriler kurum dışına taşınır.
- Yedeklerin imhası: Yedekler silinir veya şifrelenir.
- Şifreleme: Saldırının görünür kısmı genellikle en son ve çoğu zaman gece ya da tatil gününde gerçekleşir.
Bu zincirin herhangi bir halkasını kırmak saldırıyı durdurabilir veya etkisini sınırlayabilir.
1. İlk erişimi zorlaştırın
- Çok faktörlü kimlik doğrulama (MFA): VPN, e-posta, bulut uygulamaları ve yönetim panellerinde zorunlu olmalıdır. Ele geçirilmiş şifreler en yaygın giriş yoludur.
- İnternete açık servisleri kapatın: RDP ve yönetim arayüzleri asla doğrudan internete açılmamalı; erişim VPN ve MFA arkasından verilmelidir.
- E-posta güvenliği: Ek ve bağlantı analizi yapan, sahte gönderici ve sahte fatura saldırılarını yakalayan e-posta güvenlik ağ geçidi (örneğin FortiMail) ve düzenli kullanıcı farkındalık eğitimi.
- Yama yönetimi: Özellikle VPN cihazları, firewall’lar ve internete açık sunucular için kritik güncellemeler gecikmeden uygulanmalıdır.
2. Yayılmayı durdurun: segmentasyon
Düz bir ağda tek bir kullanıcı bilgisayarından tüm sunuculara ulaşılabilir. Segmentasyon, saldırının etki alanını sınırlayan en etkili mimari önlemdir:
- Kullanıcılar, sunucular, yedekleme sistemleri, yönetim ağı, IoT/OT ve misafir ağı ayrı segmentlerde olmalı,
- Segmentler arası trafik firewall üzerinden yalnızca gereken servislerle sınırlandırılmalı ve saldırı önleme ile denetlenmeli,
- Yönetim arayüzlerine yalnızca belirli yönetim istasyonlarından erişilmeli,
- Ağa bağlanan cihazlar NAC ile doğrulanmalıdır.
3. Tespit edin: uç nokta ve ağ görünürlüğü
Saldırganlar genellikle şifrelemeden günler hatta haftalar önce ağdadır. Bu süreyi kısaltmak için:
- Davranış tabanlı uç nokta koruması (EDR/XDR, örneğin FortiEDR) şüpheli süreçleri ve yatay hareketi durdurur,
- Firewall, sunucu ve kimlik doğrulama kayıtları merkezi bir log sisteminde (FortiAnalyzer veya SIEM) toplanır ve alarmlara bağlanır,
- Olağandışı saatlerde yönetici girişleri, toplu dosya değişiklikleri ve dışarıya büyük veri aktarımları izlenir.
4. Yedekleri saldırıya karşı koruyun
Fidye yazılımına karşı son ve en önemli savunma, saldırganın erişemediği yedeklerdir. Önerilen yaklaşım 3-2-1-1-0 kuralıdır:
| Kural | Anlamı |
|---|---|
| 3 | Verinin en az üç kopyası olsun |
| 2 | İki farklı depolama ortamında tutulsun |
| 1 | Bir kopya farklı bir lokasyonda (örneğin bulutta veya DR merkezinde) olsun |
| 1 | Bir kopya değiştirilemez (immutable) veya ağdan ayrık olsun |
| 0 | Geri dönüş testlerinde sıfır hata olsun |
Yedekleme sistemleri ayrı bir segmentte, etki alanından (domain) bağımsız hesaplarla ve MFA ile yönetilmelidir. Yedekleme ve felaket kurtarma planının ayrıntıları için yedekleme ve DR rehberimize bakabilirsiniz.
5. Olay müdahale planı hazır olsun
Saldırı anında ne yapılacağı önceden yazılı olmalıdır:
- Kimin karar vereceği ve kime haber verileceği (yönetim, hukuk, üretici destekleri, gerekirse kolluk),
- Etkilenen sistemlerin nasıl izole edileceği,
- Hangi sistemlerin hangi sırayla geri yükleneceği,
- Kişisel veri etkilendiyse KVKK kapsamındaki bildirim yükümlülükleri (Kişisel Verileri Koruma Kurulu, ihlali öğrenme tarihinden itibaren en geç 72 saat içinde bildirim yapılmasını beklemektedir).
Plan yılda en az bir kez masa başı tatbikatla denenmelidir.
Kısa kontrol listesi
- VPN ve e-postada MFA zorunlu mu?
- İnternete açık RDP veya yönetim arayüzü var mı?
- Kullanıcı, sunucu ve yedekleme ağları birbirinden ayrı mı?
- Uç noktalarda davranış tabanlı koruma var mı?
- Yedeklerin değiştirilemez bir kopyası var mı ve son geri dönüş testi ne zaman yapıldı?
- Olay müdahale planı yazılı mı ve tatbikatı yapıldı mı?
F2 yaklaşımı: Fidye yazılımı riskini tek ürünle değil; firewall ve segmentasyon, e-posta ve uç nokta güvenliği, merkezi log yönetimi ve fidye yazılımına dayanıklı yedekleme katmanlarını birlikte tasarlayarak azaltıyoruz. Fortinet güvenlik çözümleri ile Veeam ve ExaGrid tabanlı yedekleme ve F2 Cloud felaket kurtarma hizmetlerini aynı mimaride birleştiriyoruz.
