Fidye yazılımı

Açılış

Meslek odasının bir sonraki toplantısında Sevgi Hanım, Defne Hanım'ın yanına oturdu. Geçen bahar fidye yazılımına yakalanan meslektaşlarının bürosunu artık daha iyi tanıyordu; hikâyenin geri kalanını o meslektaştan dinlemişti.

Büronun yedekleri vardı. Her gece alınıyordu ve büro sahibi bundan emindi. Ama yedek cihazı, öteki bilgisayarlarla aynı ağdaydı ve aynı yönetici hesabıyla yönetiliyordu. Saldırganlar dosyaları şifrelemeden önce yedek cihazını bulmuş ve onu da şifrelemişti. Bir hafta süren kapanış buradan geliyordu.

Ama Sevgi Hanım'ı asıl ürperten, hikâyenin ikinci yarısıydı. Büro, dosyalarını eski bir kopyadan kısmen geri getirdikten sonra saldırganlardan ikinci bir mesaj gelmişti: müşterilerin vergi ve bordro dosyaları ellerindeydi ve ödeme yapılmazsa bunları bir internet sitesinde yayımlayacaklardı. Birkaç gün sonra büronun adı, böyle bir sitenin listesinde belirmişti.

"Yedek, dosyaları geri getirdi," dedi Sevgi Hanım. "Ama müşterilerinin dosyalarının başkalarının elinde olduğunu değiştirmedi."

Defne Hanım o akşam kendi bürosunun yedek düzenini yeniden düşündü. Yedekler artık ayrıydı, bunu biliyordu. Ama bir şeyi hiç sınamamıştı: her şey şifrelense, büro gerçekte kaç günde ayağa kalkardı?

Tek fikir

Bugünkü fidye yazılımı önce veriyi çalar, sonra hem şifre çözme hem yayımlamama için para ister; çoğu zaman kiralanan bir hizmettir. Savunmanın iki ayağı vardır: bağlantısız, sınanmış yedekler ve veri dışarı çıkmadan önce tespit.

Nasıl çalışır

Önceki derste kötü amaçlı yazılımı yayılma biçimine göre ayırdık. Fidye yazılımı bir yayılma biçimi değil, bir amaçtır: Modül 15'te gördüğümüz zincirin son halkasında, etki aşamasında kullanılan bir araçtır. Fidye yazılımını Modül 15'te tanımladık; bu ders onun bugün nasıl işlediğine bakıyor.

Fidye yazılımının nasıl değiştiğini ve ona karşı ne yapılması gerektiğini, ABD'nin siber güvenlik ajansının ortaklarıyla hazırladığı rehber anlatır.

Rehberin tarifi iki terimi gerektirir.

Fidye yazılımının bir başka değişimi, onu kimin yaptığıyla ilgilidir. Bugün bir saldırının arkasında çoğu zaman tek bir grup değil, bir iş bölümü vardır.

Bu iş bölümünün savunmacı için anlamı önemlidir. Fidye yazılımının kendisi çoğu zaman saldırının son adımıdır; ondan önce birileri ilk erişimi elde etmiş, ağda dolaşmış, yedekleri aramış ve veriyi dışarı çıkarmıştır. Fidye notu ekranda belirdiğinde, saldırının büyük kısmı çoktan olmuştur. Bu yüzden fidye yazılımına karşı savunmanın çoğu, fidye yazılımının kendisine değil, ondan önceki halkalara yöneliktir.

Sahada

Savunma

Fidye yazılımına karşı savunma, Modül 15'teki zincirin bütün halkalarına yayılır; ama iki noktada özel bir önem kazanır.

Birinci nokta, geri dönüştür. Yedekler bağlantısız, şifreli ve sınanmış olmalıdır. Bağlantısız, çünkü CISA'nın yazdığı gibi birçok fidye yazılımı erişebildiği yedekleri arar. Sınanmış, çünkü Defne Hanım'ın tatbikatının gösterdiği gibi bir yedeğin içinde ne eksik olduğu ancak geri yüklenince ortaya çıkar. Temiz sistem şablonları, Bora'nın istasyonlarında olduğu gibi, yeniden kurma süresini kısaltır.

İkinci nokta, çalınmayı önlemek ve erken görmektir. Çifte şantaja karşı yedek yetmez; veri dışarı çıkmadan önce saldırganı fark etmek gerekir. Önceki modülde gördüğümüz dışarı çıkış izlemesi, veri kaybı önleme kuralları ve kalıcılık ile yanal hareket izleri burada belirleyicidir.

Fidye yazılımından önceki halkalar da kapatılır: ilk erişim kapıları, ortak yönetici hesapları, düz ağlar. Fidye yazılımı çoğu zaman bu kapılardan biri açık kaldığı için içeri girer.

Bir de olay anı için plan gerekir: kim karar verecek, kimlere haber verilecek, yetkili makamlara ve etkilenen kişilere nasıl bildirim yapılacak? Bu kararlar, ekranda fidye notu belirdiği gün değil, ondan önce verilir. Kişisel veri ihlallerinde Kurul'a ve ilgili kişilere bildirim yükümlülüğü, çifte şantajda verinin çalındığı ihtimalini de kapsar.

Tespit tarafında fidye yazılımının kendisi gürültülüdür: kısa sürede çok sayıda dosyanın değişmesi, yedeklerin silinmeye çalışılması. Ama asıl tespit fırsatları ondan önce, saldırganın günlerce içeride dolaştığı aşamalardadır.

Uygulama

Kendi önemli verilerin için bir fidye yazılımı tatbikatı yapacaksın: her şey kilitlense, ne kadar sürede geri dönersin, ve ne çalınabilirdi?

Bitirdiğinde, geri dönüş süreni ve çalınabilecek veri listesinin uzunluğunu yan yana yaz.

Defter: Senaryoda sağlam kalacak yedek ve kalmayacak olanlar, ölçülen geri yükleme süresi, geri yükleme bilgilerinin saklandığı yer, yayımlansa zarar verecek veriler ve onlar için alınan önlem, ilk bir saatin tek sayfalık planı ve nerede saklandığı.

Hata köşesi

Etik ve sınırlar

Fidye ödenip ödenmeyeceği bir teknik ekip kararı değildir; kurumun yönetimi, hukuk danışmanları ve yetkili makamlarla birlikte verilir ve bu ders bu konuda bir tavsiye vermez. Ödeme, verinin geri geleceğini ya da yayımlanmayacağını garanti etmez ve aynı ekonomiyi besler; ödememek de bazı kurumlar için ağır sonuçlar doğurabilir. Bu yüzden asıl etik yükümlülük, o güne hazırlıklı olmaktır. Veri sızıntı sitelerinde yayımlanan bilgileri merakla aramak, indirmek ya da paylaşmak, mağdurların kişisel verilerini yeniden yaymaktır; bu yüzden hiç yapılmaz. Bir kurum fidye yazılımına yakalandığında, verisi etkilenen müşterilere ve çalışanlara durumu dürüstçe bildirmek, bir bildirim yükümlülüğü olduğu kadar onlara karşı bir sorumluluktur. Fidye yazılımı ekonomisini anlamak için onun forumlarına ya da altyapısına girmeye çalışmak, araştırma sayılmaz; bu, yetkili kurumların işidir.

Kapanış

1. Bugünkü fidye yazılımı çifte şantaj yapar: dosyaları şifreler ve önceden çaldığı verileri yayımlamakla tehdit eder; bazen şifreleme olmadan yalnız şantaj gelir.
2. Fidye yazılımı çoğu zaman hizmet olarak kiralanır ve saldırının son adımıdır; savunmanın büyük kısmı ondan önceki halkalara, ilk erişime, yanal harekete ve veri çıkarmaya yöneliktir.
3. Geri dönüş için yedekler bağlantısız, şifreli ve sınanmış olmalı; temiz sistem şablonları yeniden kurmayı hızlandırır; olay anının planı ve bildirim kararları önceden verilir.

Üç soru

1. Sevgi Hanım'ın meslektaşının yedekleri neden işe yaramadı ve yedekler sağlam olsaydı bile hangi sorun kalırdı?
2. Defne Hanım'ın kurtarma tatbikatı hangi iki sorunu ortaya çıkardı?
3. Selin'in şirketi şantaj e-postasına neden hemen ödeme ya da panikle karşılık vermedi?

Yanıtlar

1. Yedek cihazı öteki bilgisayarlarla aynı ağdaydı ve aynı yönetici hesabıyla yönetiliyordu; saldırganlar onu bulup şifreledi. CISA'nın rehberi birçok fidye yazılımının erişebildiği yedekleri aradığını yazar. Yedekler sağlam olsaydı bile çifte şantajın ikinci yarısı kalırdı: müşterilerin vergi ve bordro dosyaları çalınmıştı ve yedek, bunların yayımlanmasını engellemezdi.
2. Muhasebe programının lisans dosyası yedekte değildi, bu yüzden program açılmadı; ve geri yüklenen klasörlerin izinleri bozulmuştu, her çalışan her müşterinin dosyasını görebiliyordu. İki sorun da yalnız gerçek bir geri yüklemeyle ortaya çıkabilirdi; düzeltmeden sonra ikinci deneme dört saatte bitti.
3. Şantaj şifreleme olmadan da gelebilir ve iddia doğru olmayabilir. Selin önce kanıta baktı: dışarı çıkış trafiğinde ve veritabanı erişim kayıtlarında olağandışı bir şey yoktu, "örnek veri" herkese açık sayfalardan alınmıştı. Şirket olayı kayda geçirip yetkili makamlara bildirdi; karar panikle değil kanıtla verildi.

Sonraki derse köprü

Fidye yazılımı veriyi kilitleyerek para ister. Bilgi çalan yazılım dersi, sessiz kalmayı tercih eden türlere bakıyor: casus yazılımlara, tuş kaydedicilere ve tarayıcıdaki parolaları ve oturumları toplayan yazılımlara.