Fidye yazılımına dayanıklı yedek

Açılış

Perşembe öğleden sonra Gülay Hanım, Kaan'ı küçük toplantı odasına çağırdı. Masada bir kâğıt vardı ve üstünde tek bir cümle yazıyordu: "Saldırgan, şirketin etki alanı yöneticisi hesabını ele geçirdi. Saat gece ikiyi on geçiyor."

"Bu bir masa başı tatbikatı," dedi Gülay Hanım. "Gerçek değil. Ama sorular gerçek. İlk soru: bu hesapla yedeklerimizden hangilerini silebilir?"

Kaan rahat cevap verdi. Yedekler ayrı bir sunucudaydı, her gece alınıyordu, otuz gün geriye gidiyordu ve bir kopyası da bulutta duruyordu. Üç kopya, iki ortam, biri dışarıda. "Hiçbirini," dedi.

Gülay Hanım dizüstüsünü çevirdi ve yedekleme yazılımının yönetim ekranının oturum açma sayfasını gösterdi. Sayfa, şirketteki herkesin her sabah kullandığı aynı kimlik doğrulama sistemine bağlıydı. Yöneticiler grubundaki herkes yedekleme yönetimine de giriyordu. Bulut kopyasını yöneten hesabın parolası ise aynı yazılımın ayarlarında kayıtlıydı.

Kaan bir süre ekrana baktı. Kopyalar üç yerdeydi, ama hepsine aynı anahtarla giriliyordu. Gülay Hanım kâğıdın altına ikinci soruyu yazdı: "Peki şimdi?"

Tek fikir

Fidye yazılımı, onu çalıştıran hesabın ulaşabildiği her şeyi şifreleyebilir ve silebilir. Dayanıklı bir yedek ya o hesabın ulaşamayacağı yerde durur ya da ulaşılsa bile değiştirilemez; ve ondan geri dönülebildiği düzenli olarak denenir.

Nasıl çalışır

Modülün ilk dersinde fidye yazılımının yalnız veriyi değil, kurtarma özelliklerini ve yedekleri de hedef aldığını gördük. Bunun nasıl mümkün olduğunu anlamak için tek bir şeyi hatırlamak yeterli: fidye yazılımı bir programdır ve bir programın yapabildiği her şey, onu çalıştıran hesabın yetkileriyle sınırlıdır. Bilgisayara takılı bir disk, eşlenmiş bir ağ klasörü, eşitlenen bir bulut klasörü, yönetici parolasıyla girilen bir yedekleme sunucusu; bu hesabın yazabildiği her yer, şifrelenebilecek ya da silinebilecek bir yerdir.

Savunma bu yüzden üç soruya cevap arar. Saldırgan yedeğe ulaşabiliyor mu? Ulaşırsa onu değiştirebiliyor mu? Değiştirdiyse, değişiklikten önceki bir ana dönülebiliyor mu?

Birinci soru ulaşılabilirliktir.

Bağlantısız bir yedeği fidye yazılımı şifreleyemez, çünkü o an bağlı değildir. Ama bağlantısızlığın bir bedeli vardır: yedek ancak birinin onu takıp yeniden ayırdığı kadar günceldir. Haftada bir takılan bir disk, en kötü durumda bir haftalık işi kaybettirir.

Ulaşılabilirliğin ikinci yüzü kablo değil, hesaptır. Kaan'ın tatbikatındaki yedekler fiziksel olarak ayrı yerlerdeydi, ama aynı hesapla yönetiliyordu.

İkinci soru değiştirilebilirliktir.

Değiştirilemez bir yedeğe saldırgan ulaşsa bile onu yok edemez. NCSC bunun daha hafif biçimlerini de sayar: silinen yedeğin bir süre ayrı bir alanda saklanması ve silme isteklerinin hemen değil, belirlenmiş bir gecikmeyle ve bir uyarıyla birlikte uygulanması. Bu ikisi ancak biri uyarıları okuyorsa işe yarar; saldırgan bütün yedekleri silmiş ve kimse saklama süresi bitene kadar fark etmemişse, ayrı alandaki kopyalar da gider.

Üçüncü soru zamandır.

Burada NCSC'nin dikkat çektiği ince bir tehdit var. Saldırgan yedekleri silmek yerine, yedek alanını bozuk ya da şifrelenmiş sürümlerle doldurabilir. Yedekleme sistemi "son otuz yedeği tut" diye ayarlanmışsa, kısa sürede alınan otuz bozuk yedek sağlam olanların hepsini sırayla dışarı iter. "Son otuz günü tut" diye ayarlanmışsa, bu yapılamaz; sağlam yedekler gün dolana kadar orada kalır. Saklamanın sayıya göre değil süreye göre kurulması, bu yüzden bir ayrıntı değil bir savunmadır.

Ve hepsinin üstünde, geri yükleme. NCSC de yedeğin durumunun düzenli olarak izlenmesini ve denenmesini ister. Fidye yazılımı olayında soru yedeğin var olup olmadığı değil, temiz olup olmadığı ve geri getirmenin ne kadar sürdüğüdür.

Sahada

Savunma

Fidye yazılımına karşı yedek savunmasında önleme, yedeği saldırganın eline geçebilecek hesaplardan ayırmakla başlar. Yedekleme hizmetini ya da yazılımını yöneten hesap, günlük iş için kullanılan hesaplarla aynı olmamalıdır; bu hesap çok faktörlü doğrulama ile korunmalı ve yedekleme yazılımının ayarlarında başka bir hizmetin parolası açıkta durmamalıdır. Ev kullanıcısı için bunun karşılığı, bulut yedek hesabını güçlü ve benzersiz bir parola ile çok faktörlü doğrulamayla korumaktır.

İkinci önleme, en az bir kopyayı bağlantısız ya da değiştirilemez tutmaktır. 3-2-1 kuralının üç kopyasından birinin bu özelliği taşıması yeterlidir: yedek bittikten sonra çıkarılan bir disk, ya da silinen verileri ve eski sürümleri belirlenmiş bir süre koruyan bir bulut yedeği. Yedekleme cihazı ve yazılımı da güncellemelerin dışında kalmamalıdır; NCSC yedek çözümünün kurumun yama düzenine dahil edilmesini ayrı bir ilke olarak yazar.

Tespitte asıl araç uyarıdır. Toplu silme istekleri, yedeklerin durması, saklama süresinin kısaltılması ya da yedekleme yöneticisinin değiştirilmesi; bunların her biri, saldırının yaklaştığının bir işareti olabilir. Uyarının kurum dışındaki bir kanala da gitmesi gerekir, çünkü saldırı sırasında iç e-posta okunamıyor olabilir. Kaan'ın merkezinde bu tür bir uyarı, bir analistin hemen bakacağı bir kayıt olmalıdır.

Müdahalede ilk soru, geri dönülecek temiz noktanın neresi olduğudur. Fidye yazılımı çoğu zaman şifrelemeden önce bir süre sistemde durur; bu yüzden en son yedek değil, enfeksiyondan önceki son yedek aranır. Ve geri yükleme, ancak daha önce denenmişse bir planın parçasıdır. Bora'nın dokuz saati ve kayıp parolası, deneme sırasında ortaya çıktı; gerçek bir olay gecesinde değil.

Uygulama

Kendi yedeklerin için üç soruyu soracak ve gerçek bir geri yükleme tatbikatı yapacaksın. Bu bir atölye: adımları sırayla, kendi cihazında ve kendi hesaplarında yürüteceksin.

Tatbikatın amacı yedeğin çalıştığını kanıtlamak kadar, çalışmadığı yeri felaket gününden önce bulmaktır.

Defter: Geri yükleme tatbikatının tarihi, seçilen klasör, süre ve bulunan eksik. Bağlantısız kopyanın takılıp çıkarılma günü. Bulut yedeğin silinen dosya ve sürüm saklama süreleri. Üç ayda bir tekrarlanacak tatbikat için bir hatırlatma.

Hata köşesi

Etik ve sınırlar

Bir yedeğin fidye yazılımına dayanıklı olup olmadığını öğrenmenin yolu, gerçek bir fidye yazılımını ya da dosyaları gerçekten şifreleyen bir programı çalıştırmak değildir; bu, kendi bilgisayarında bile, kontrol edemeyeceğin bir yayılma başlatabilir. Dayanıklılık, ayarlara bakarak ve geri yüklemeyi deneyerek sınanır. Kurumda bir geri yükleme tatbikatı, gerçek sistemlere dokunmadan, ayrı bir ortamda ve sistemin sahibinin onayıyla yapılır; Bora test kopyasını ayrı bir sunucuya getirdi. Başka bir kurumun yedekleme yönetimine erişim, yedek ayarlarına bakmak için bile olsa, ancak o kurumun yazılı izni ve tanımlanmış bir görev kapsamında mümkündür. Yedeklerin parolaları ve şifreleme anahtarları ise yalnız yetki verilmiş kişilerin bildiği, ama bir kişinin yokluğunda da ulaşılabilen bir yerde saklanmalıdır.

Kapanış

1. Fidye yazılımı, onu çalıştıran hesabın ulaşabildiği her şeyi şifreleyebilir ve silebilir; dayanıklı bir yedek o hesabın ulaşamayacağı yerde, ayrı bir hesapla ve çok faktörlü doğrulamayla korunur.
2. Bağlantısız yedek ulaşılamaz olduğu için, değiştirilemez yedek ulaşılsa bile silinemediği için dayanıklıdır; saklama süresinin sayıya göre değil güne göre kurulması, bozuk yedeklerin sağlam olanları itmesini engeller.
3. Bir yedeğin değeri ancak geri yüklendiğinde bilinir; tatbikat geri gelen verinin sağlam olduğunu, işlemin ne kadar sürdüğünü ve eksik parçaları felaket gününden önce gösterir.

Üç soru

1. Kaan'ın tatbikatında yedekler üç ayrı yerde olduğu hâlde neden hepsi tehlikedeydi?
2. Yedekleme sistemi "son otuz yedeği tut" diye ayarlandığında saldırgan sağlam yedekleri silmeden nasıl işe yaramaz hâle getirebilir?
3. Bora'nın geri yükleme denemesi neyi ortaya çıkardı ve bu neden gerçek bir olay gecesinden önce bilinmeliydi?

Yanıtlar

1. Kopyalar fiziksel olarak ayrıydı ama hepsine aynı hesapla ulaşılıyordu: yedekleme yönetimi şirketin ortak kimlik doğrulama sistemine bağlıydı ve bulut kopyasının parolası aynı yazılımda kayıtlıydı. Etki alanı yöneticisi hesabını ele geçiren saldırgan, bütün kopyalara bu tek anahtarla girebilirdi. Ayrı bir yönetim hesabı ve çok faktörlü doğrulama bu bağı koparır.
2. Kısa sürede art arda bozuk ya da şifrelenmiş otuz yedek aldırarak. Sistem yalnız son otuz yedeği tuttuğu için, her yeni bozuk yedek en eski sağlam yedeği dışarı iter ve sonunda geriye yalnız bozuk yedekler kalır. Saklama süreye göre kurulduğunda, sağlam yedekler belirlenen gün sayısı dolana kadar silinmez.
3. Veri eksiksiz geldi ama işlem dokuz saat sürdü ve bir bileşenin parolası hiçbir yerde yazılı değildi. Bir fidye yazılımı gecesinde bu iki bilgi, sistemlerin ne zaman açılacağını ve açılıp açılamayacağını belirler. Denemede ortaya çıktıkları için, Bora sırayı ve süreleri yazıp parolayı güvenli bir kasaya koyabildi.

Sonraki derse köprü

Bu üç ders senin elinde duran veriyi korudu: dosyaların, fotoğrafların, yedeklerin. Ama hakkındaki verinin bir kısmı senin elinde değil, herkese açık bir yerde durur. Dijital ayak izi dersi buna bakıyor: bir arama motorunda kendi adını aratınca ne çıktığını görmek ve herkesin görebildiği veriyi azaltmak.