Yedek ve kurtarma testi

Fidye yazılımı çalıştığında iki sorun olur: veri şifrelenir ve sistemler durur. İki sorunun da tek ucuz çözümü temiz yedektir. Fidye ödemek ne veriyi geri getirmeyi garanti eder ne de tekrarını engeller.

Saldırganlar bunu bilir ve yedeği ilk hedef yapar. Bu yüzden yedek konusu iki soruya iner.

Yedek saldırıdan sağ çıkar mı? Sağ çıkarsa gerçekten geri yüklenir mi? İkinci soru çoğu zaman sorulmaz.

Kurumların çoğu yedeğinin çalıştığını ilk kez olay gecesi öğrenir. O gece öğrenilen şey de genelde kötü haberdir. Test edilmemiş yedek, ancak bir umuttur.

Yedekleme için yaygın kural 3-2-1 diye bilinir. Verinin üç kopyası bulunur. Kopyalar iki farklı ortamda durur, örneğin disk ve bant ya da disk ve bulut depolama. En az bir kopya da farklı bir konumda tutulur.

Üçüncü şart özellikle kritiktir, çünkü aynı bina ya da aynı ağdaki iki kopya birlikte yok olabilir. Yangın, sel ya da fidye yazılımı ikisini aynı anda vurur. Başka konumda ve tercihen ağdan kopuk duran kopya bu ortak riski böler. Fidye yazılımı ağa bağlı her şeyi şifreleyebilir, ama kablosu çıkarılmış bir bant kasetine dokunamaz.

CISA, FBI, NSA ve MS-ISAC'in ortak #StopRansomware Rehberi yedek için somut öneriler verir. Kritik verinin çevrim dışı ve şifreli yedeğini tut. Yedeklerin erişilebilirliğini ve bütünlüğünü bir felaket kurtarma senaryosunda düzenli olarak sına.

Kritik sistemler için önceden yapılandırılmış altın imajlar hazırla, böylece sistemi sıfırdan hızla kurarsın. Bulutta değişmez depolama seçeneklerini değerlendir. Rehber burada bir uyarı da ekler.

Değişmez depolama bazı mevzuat şartlarını karşılamayabilir ve yanlış yapılandırma ciddi maliyet doğurabilir. Kurtarma sırasını da önceden yaz. Kimlik altyapısı ve ağ genelde ilk sıradadır, çünkü geri kalan her şey onlara bağlıdır.

Modern fidye operasyonlarında ilk hedef yedek sistemidir. Şifrelemeden önce yedek sunucusuna girilir, arşivler silinir, saklama süresi bir güne indirilir. Windows makinelerde gölge kopyalar silinir ve otomatik onarım kapatılır. Asıl şifreleme ancak bundan sonra başlar.

ATT&CK bu hazırlığı T1490 (sistem kurtarmayı engelleme), şifrelemenin kendisini T1486 (etki için veri şifreleme) olarak izler. Mavi takım için iyi haber şudur: hazırlık adımı şifrelemeden önce gelir ve kayda düşer. Gölge kopya silen, yedek kataloğunu temizleyen ya da onarımı kapatan komut, olağan bir günde neredeyse hiç görülmez. Bu komutları yakalayan kural, olayı şifreleme başlamadan durdurmak için son fırsattır.

Hazırlık yalnız Windows'ta görülmez. ATT&CK aynı teknik altında sanallaştırma sunucularında anlık görüntülerin silinmesini ve bulutta yedek ya da sürümleme ayarının kapatılmasını da sayar. Kuralı bu platformların kayıtlarına da taşı.

title: Kurtarma ozelliklerini silen ya da kapatan komut
status: experimental
logsource:
    product: windows
    category: process_creation
detection:
    golge_kopya:
        Image|endswith:
            - '\vssadmin.exe'
            - '\wmic.exe'
        CommandLine|contains|all:
            - 'delete'
            - 'shadow'
    yedek_katalogu:
        Image|endswith: '\wbadmin.exe'
        CommandLine|contains|all:
            - 'delete'
            - 'catalog'
    onarim_kapatma:
        Image|endswith: '\bcdedit.exe'
        CommandLine|contains: 'recoveryenabled'
    condition: golge_kopya or yedek_katalogu or onarim_kapatma
level: critical

Kuralı satır satır oku. logsource süreç oluşturma olaylarını seçer. Bu veri Sysmon olay 1'den ya da komut satırı açık 4688 olayından gelir. golge_kopya seçimi vssadmin ya da wmic ile gölge kopya silmeyi yakalar.

contains|all iki kelimenin birlikte geçmesini ister, bu yüzden yalnız listeleme yapan vssadmin list shadows komutu eşleşmez. yedek_katalogu seçimi Windows yedek kataloğunun silinmesini yakalar. onarim_kapatma seçimi ise bcdedit ile otomatik onarım ayarına dokunan komutu yakalar.

condition üç seçimden birini yeterli sayar. Seviye kritiktir, çünkü yanlış alarm oranı düşüktür ve gecikmenin bedeli bütün ağdır. Alarm gelince makineyi hemen yalıt.

Yedek altyapısını da sertleştir. Yedekleme hesabını üretim kimliğinden ayır. Aynı alan hesabıyla erişilen yedek, o alan ele geçtiğinde birlikte gider.

Ayrı kimlik, çok adımlı doğrulama ve mümkünse ayrı yönetim düzlemi bu bağı koparır. Yedek sunucusunun yönetim arayüzünü kullanıcı ağından ayır ve ona yalnız atlama sunucusundan eriş.

Silme ve saklama süresini kısaltma işlemlerine değişmez saklama ya da çift onay koy. Böylece tek bir çalınmış yönetici hesabı arşivi silemez. Yedekleme işini de izlemeye bağla. Beklenen işin çalışmaması, sürenin aniden kısalması ya da boyutun düşmesi alarm üretsin.

Bütünlüğü doğrulamanın en basit yolu özet (hash) karşılaştırmasıdır. Yedekleme sırasında dosyanın SHA-256 özeti hesaplanır ve ayrı bir dosyaya yazılır. Geri yüklemeden önce aynı hesaplama tekrarlanır. İki değer eşleşmiyorsa dosya yolda bozulmuş ya da değiştirilmiştir ve o kopyaya güvenilmez.

Özet dosyasını yedekle aynı yerde tutma. Saldırgan arşivi değiştirebiliyorsa yanındaki özeti de değiştirir, bu yüzden özet değişmez depoda ya da ayrı bir sistemde durur. Özet tek başına da yetmez, çünkü boş bir arşivin de geçerli bir özeti vardır. İçeriği ve boyutu da kontrol edersin.

$ sha256sum -c yedek.sha256
yedek-2026-09-28.tar.gz: OK
yedek-2026-09-29.tar.gz: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

$ tar -tzf yedek-2026-09-28.tar.gz | head -4
srv/kargo/
srv/kargo/db/kargo.dump
srv/kargo/config/app.yaml
srv/kargo/config/tls/

$ ls -l /yedek/
-rw-r----- 1 yedekci yedek 4182736512 Sep 28 01:42 yedek-2026-09-28.tar.gz
-rw-r----- 1 yedekci yedek 4190011392 Sep 29 01:44 yedek-2026-09-29.tar.gz
-rw-r----- 1 yedekci yedek         45 Sep 30 01:03 yedek-2026-09-30.tar.gz

Çıktıyı satır satır oku. sha256sum -c, özet dosyasındaki her satırı okur, dosyanın özetini yeniden hesaplar ve sonucu yazar. 28 Eylül yedeği OK verir, yani içerik yazıldığı günden beri değişmemiştir.

29 Eylül yedeği FAILED verir ve son satırda uyarı çıkar. O kopya bozulmuş ya da değiştirilmiştir ve ondan geri yükleme yapılmaz. tar -tzf arşivi açmadan içindekileri listeler.

Veritabanı dökümü ve yapılandırma dizini yerindedir. ls -l satırları ise üçüncü tuzağı gösterir. 30 Eylül yedeği yalnız 45 bayttır, bu da içi boş bir sıkıştırılmış arşivin boyutudur. Yedekleme işi başarılı raporu vermiştir, ama arşivin içinde hiçbir şey yoktur.

Olay gecesinde sıra önemlidir. İlk iş etkilenen sistemleri ağdan ayırmaktır, yoksa şifreleme yayılmaya devam eder. Sonra yedeğin hem bütün hem temiz olduğunu doğrularsın.

Zararlı, en yeni kopya da dahil yedeklere bulaşmış olabilir. Saldırgan çoğu zaman şifrelemeden haftalar önce içeridedir ve o haftaların yedekleri arka kapıyı da taşır. Bu yüzden geri yükleme noktası, saldırganın ilk giriş tarihine göre seçilir.

Geri yükleme temiz ve ayrı bir ortama yapılır. Kök neden kapanmadan ve kimlikler yenilenmeden sistem üretime alınmaz. Aksi hâlde saldırgan aynı yoldan birkaç gün içinde geri döner.

Kurtarma gecesi delil de toplanır. Sistemi yedekten geri yüklemek, üzerindeki saldırgan izlerini siler. Geri yüklemeden önce etkilenen diskin imajını al ve özetini kaydet.

İmaj alınmazsa kök neden analizi için elinde hiçbir şey kalmaz ve saldırganın nereden girdiğini bilemezsin. Şifreleme anahtarlarını da unutma. Yedekler şifreliyse anahtar ayrı ve erişilebilir bir yerde durur.

Anahtarı yedeklenen sunucunun içinde tutan kurum, sunucu şifrelendiğinde kendi yedeğini açamaz. Kapsam listesine yapılandırma dosyalarını da ekle. Veritabanı yedeklenip yapılandırma kalmazsa geri dönüş yarım kalır.

Sıralamanın iki kritik noktası var. Doğrulamadan geri yüklersen zararlıyı da geri yüklersin. Kök nedeni kapatmadan üretime dönersen aynı olayı yeniden açarsın.

İki hata da kurtarma penceresini tüketir ve iş biriminin sabrını bitirir. Bu yüzden kurtarma planı adımları yazılı ve sıralı tutar, her adımı kimin onaylayacağını da belirtir. Plan yazılı değilse ekip kurtarma gecesi tartışarak zaman kaybeder. Planı yılda bir tatbikatla dene ve çıkan boşlukları plana geri yaz.

Kurtarma hedeflerini iki sayıyla konuş. RPO (kurtarma noktası hedefi) kabul edilebilir veri kaybıdır ve yedek sıklığını belirler. RTO (kurtarma süresi hedefi) kabul edilebilir kesinti süresidir ve geri yükleme altyapısını belirler.

İki sayı iş birimiyle birlikte yazılır, teknik ekip tek başına karar veremez. Hesap basittir. Gecelik yedek, en kötü durumda yaklaşık 24 saatlik veri kaybı demektir.

Olay bir sonraki yedekten hemen önce olursa elindeki son kopya bir gün öncesine aittir. İş birimi bir saatlik kayıp kabul ediyorsa gecelik yedek yetmez. Saatlik artımlı yedek ya da veritabanı günlüklerinin sürekli kopyalanması gerekir.

Geri dönüş testi takvime bağlanır ve bir protokolle yürür. Üç ayda bir gerçek bir sistem seçilir. Sistem, üretimden ayrı ve yalıtılmış bir ortamda yedekten geri yüklenir.

Başarı ölçütü önceden yazılır: uygulama açılıyor, kullanıcı girişi çalışıyor, son kayıt beklenen tarihte. Süre, başlangıçtan uygulamanın açıldığı ana kadar ölçülür ve RTO ile karşılaştırılır.

Tatbikatı zorlaştır. Yedek sunucusunun çalışmadığını ya da sorumlu kişinin izinde olduğunu varsay. Kolay senaryoda yapılan test, kötü gecede işe yaramaz. Zorlanan test planın gerçek zayıf noktasını gösterir.

Geri dönüş testi kaydı
Tarih           : 2026-09-24
Sistem          : kargo-db01 (PostgreSQL 16)
Yedek noktası   : 2026-09-23 01:00, sha256 OK
Hedef ortam     : yalıtılmış test dilimi, üretime bağlantı yok
Başarı ölçütü   : uygulama açılıyor, giriş çalışıyor, son sipariş 23 Eyl 00:58
Hedef RTO / RPO : 4 saat / 24 saat
Ölçülen süre    : 3 saat 12 dakika
Sorunlar        : TLS anahtarı yedekte yoktu, kasadan elle alındı
Aksiyon         : anahtar kasasını yedek kapsamına ekle (sahibi d.ozkan, 15 Eki)

Kaydı satır satır oku. Yedek noktası satırı, geri yüklenen kopyanın tarihini ve özet sonucunu verir. Başarı ölçütü belirsiz bırakılmaz. Son siparişin saati, verinin gerçekten o geceye kadar geldiğini gösterir.

Ölçülen süre RTO'nun altında kalmış. Sorunlar satırı ise kaydın en değerli kısmıdır. TLS anahtarı yedekte yoktu ve test sırasında elle bulundu. Gerçek bir olay gecesinde kasa da erişilemez olabilirdi.

Aksiyon satırı bulguyu bir sahibe ve bir tarihe bağlar. Ölçülen süre zamanla kısalır, ölçülmeyen süre hep tahmin kalır. Kayıt denetimde de işe yarar ve bir sonraki testin hazırlığını kısaltır.

Sık hatalar tanıdıktır. İlki iş başarılı raporuna güvenmektir. Bir olayda yedekler her gece alınıyordu ve hiç test edilmemişti.

Fidye gecesi geri yükleme başlatıldı ve arşivlerin son yedi aydır boş yazıldığı ortaya çıktı. Yedekleme işi her gece başarılı raporu vermişti, çünkü kimse raporun neyi ölçtüğüne bakmamıştı.

İkinci hata yedeği üretimdeki alan hesabıyla yönetmektir. Üçüncüsü şifreleme anahtarını yedeklememek, dördüncüsü geri yüklemeden önce disk imajı almamaktır. Dördü de ucuz önlemlerle kapanır: boyut alarmı, ayrı kimlik, anahtar kasası yedeği ve imaj adımı olan bir kurtarma planı.