Fidye yazılımı saldırganları şifrelemeden önce yedekleri arıyor. Klasik ağ paylaşımı yedekleri neden yetmiyor ve WORM kilitli depolama saldırı sonrası kurtarmayı nasıl korur?
Fidye yazılımı saldırısında ilk hedef her zaman dosyalar değildir. Saldırgan önce kurtarma yolunu keser. Yani yedekleri arar, bozar veya siler. Yedek yoksa fidyeyi ödemekten başka seçenek kalmaz.
Kısa cevap
Yedek, saldırganın yönetici yetkisiyle silemeyeceği bir yerde durmalıdır. WORM kilitli (değiştirilemez) depolama bunu sağlar. Kilit, saklama süresi boyunca kimlik bilgisi çalınsa bile geçerlidir.
Saldırganlar yedekleri gerçekten hedef alıyor mu?
Evet. Sophos’un 2024 raporunda, fidye yazılımından etkilenen kurumların %94’ü saldırganların yedeklerine ulaşmaya çalıştığını söyledi. Bu girişimlerin %57’si başarılı oldu.
Sonuç ağır. Aynı rapora göre yedeği bozulan kurumların fidye ödeme olasılığı yaklaşık iki kat yüksekti. Toparlanma maliyeti de sekiz kat fazlaydı.
Klasik yedekler neden çöker?
- Yedek deposu ağ paylaşımı (NAS/SMB) olarak açıktır. Fidye yazılımı bu paylaşımı da şifreler.
- Yedek yazılımı, alan yöneticisi (Domain Admin) hesabına bağlıdır. Saldırgan bu hesabı ele geçirince yedek yazılımı da onun olur.
- Silme yetkisi olan tek bir hesap vardır. Bu hesap çalınırsa tüm yedekler silinir.
- Yedek katalogu ve depo aynı ağdadır. Saldırgan ikisini birlikte bozar.
WORM kilitli depolama nasıl korur?
WORM, “bir kez yaz, çok kez oku” demektir. Veri yazıldıktan sonra saklama süresi dolana kadar değiştirilemez ve silinemez. Bu kural, depolama katmanında uygulanır. Yönetici hesabı çalınsa bile kilit kalkmaz.
| Özellik | Ağ paylaşımı yedeği | WORM kilitli yedek |
|---|---|---|
| Yönetici hesabıyla silinebilir mi? | Evet | Hayır (saklama süresi boyunca) |
| Fidye yazılımı şifreleyebilir mi? | Evet | Hayır |
| Saldırı sonrası güvenilir kurtarma | Belirsiz | Yüksek |
| Denetimde “değişmedi” kanıtı | Zor | Kolay |
Nelere dikkat etmelisiniz?
- Kilit modu: Yetkili kullanıcının kilidi kaldırabildiği “yönetişim” modu yerine, kimsenin kaldıramadığı “uyumluluk” modunu tercih edin.
- Saklama süresi: Saldırılar geç fark edilebilir. Süreyi, tespit süresinden uzun seçin.
- Ayrı kimlik: Yedek deposunun yönetimini alan yöneticisi hesabından ayırın.
- Geri dönüş testi: Yedekten düzenli olarak geri dönün. Süreyi ölçün.
Moftgate bu resimde nerede durur?
Moftgate, fidye yazılımı direncini iki katmanda ele alır. İlk katman izolasyondur: etkilenen cihaz ağdan ayrılır ve saldırının yayılması sınırlanır. İkinci katman, değiştirilemez WORM kilitli yedekle hızlı kurtarmadır.
Önemli
Hiçbir yedek çözümü tek başına yeterli değildir. Yama yönetimi, yetki ayrımı ve düzenli geri dönüş testi de gerekir.
Uç nokta yönetimi, veri sızıntısı önleme ve fidye yazılımı direnci üzerine çalışan Moftgate mühendislik ekibi.
Uygulayıcılar İçin Uzman Yanıtları
WORM ile çevrimdışı (offline) yedek aynı şey midir?
Hayır. Çevrimdışı yedek ağdan fiziksel olarak ayrıdır. WORM ise depolama katmanında silmeyi engeller. İkisi birlikte de kullanılabilir.
WORM yedek fidye yazılımından tamamen korur mu?
Yedek kopyayı korur. Saldırıyı önlemez. Şifrelenen cihazlar için temiz bir kurtarma noktası sağlar.