Fidye yazılımı saldırılarının hedefinde artık yalnızca büyük kurumlar yok. Saldırganlar için küçük ve orta ölçekli işletmeler çoğu zaman daha cazip: savunmaları zayıf, yedekleri eksik ve operasyonun durması onlar için hayati.
İyi haber şu: bu saldırıların büyük çoğunluğu sofistike tekniklerle değil, ihmal edilmiş temel önlemler yüzünden başarılı oluyor. Aşağıdaki sekiz adım, küçük bir ekiple bile uygulanabilir.
Saldırı Aslında Nasıl İşliyor?
Filmlerdeki gibi ani bir olay değildir. Tipik bir fidye yazılımı vakası şu aşamalardan geçer:
- Giriş: Genellikle bir oltalama e-postasındaki ek dosya, internete açık bırakılmış bir uzak masaüstü (RDP) bağlantısı veya güncellenmemiş bir sistemdeki açık.
- Yerleşme: Saldırgan sisteme kalıcı erişim sağlar ve fark edilmemek için sessiz kalır.
- Keşif ve yayılma: Ağdaki diğer makineler, sunucular ve en önemlisi yedekler bulunur.
- Veri sızdırma: Şifrelemeden önce veriler kopyalanır. Böylece kurban yedekten dönse bile "verilerinizi yayınlarız" baskısı kurulabilir.
- Şifreleme: Genellikle mesai dışında, hafta sonu veya tatilde tetiklenir. Yedekler de şifrelenir veya silinir.
Giriş ile şifreleme arasında çoğu zaman günler, hatta haftalar vardır. Bu süre, saldırıyı fark etme şansınız demektir.
1. Yedekleme: Tek Gerçek Kurtarıcınız
Diğer tüm önlemler başarısız olsa bile sağlam bir yedeğiniz varsa saldırı bir krize değil, bir aksaklığa dönüşür. Yaygın kabul gören yaklaşım 3-2-1 kuralıdır: verinin en az 3 kopyası, 2 farklı ortamda, 1 tanesi tesis dışında.
Buna bir madde daha eklemek gerekir: en az bir kopya çevrimdışı veya değiştirilemez olmalıdır. Ağa sürekli bağlı bir yedek diski, saldırgan da şifreleyeceği için yedek sayılmaz.
En kritik nokta: Yedeğin geri yüklenebildiğini düzenli olarak test edin. Sahada gördüğümüz en acı tablo, aylardır sadık şekilde yedek alan ama geri yükleme denemesi hiç yapmamış, kriz anında yedeklerin bozuk olduğunu fark eden işletmelerdir.
2. RDP'yi İnternete Açık Bırakmayın
Uzak masaüstünün doğrudan internete açılması, fidye yazılımı vakalarının en yaygın giriş kapılarından biridir. Uzaktan erişim gerekiyorsa VPN üzerinden verin, çok faktörlü doğrulama zorunlu kılın ve erişimi yalnızca ihtiyacı olan kullanıcılarla sınırlayın.
3. Çok Faktörlü Doğrulama (MFA)
Çalınan veya tahmin edilen bir şifre, MFA varsa tek başına işe yaramaz. Öncelikli olarak şurada aktif edin: e-posta hesapları, VPN, yönetici hesapları, bulut hizmetleri ve muhasebe yazılımları.
Uygulanması en kolay, etkisi en yüksek önlemlerden biridir.
4. Yetkileri Sınırlayın
Kullanıcılar günlük işlerini yönetici yetkisiyle yapmamalıdır. Fidye yazılımı, çalıştığı hesabın yetkisi kadar zarar verebilir. Standart bir kullanıcı hesabında çalışan zararlı yazılımın etkisi çok daha sınırlı kalır.
Aynı şekilde ağ paylaşımlarında da herkesin her klasöre yazma yetkisi olmamalıdır. Departman bazlı ayrım, yayılmayı ciddi ölçüde yavaşlatır.
5. Güncellemeleri Erteleme
Saldırganların kullandığı açıkların önemli kısmı için üretici çoktan yama yayınlamıştır. İşletim sistemleri, sunucular, VPN cihazları ve özellikle internete açık her servis güncel tutulmalıdır.
Kritik güvenlik yamalarını 72 saat içinde uygulamayı hedefleyin. Güncellenemeyen eski sistemler varsa, onları ağdan izole edin.
6. E-posta Savunması ve Personel Farkındalığı
Girişlerin büyük bölümü e-postayla başlar. Teknik tarafta spam filtresi, ek dosya taraması ve SPF/DKIM/DMARC kayıtlarını yapılandırın. İnsan tarafında ise düzenli farkındalık eğitimi verin.
Eğitimden daha önemli olan şey ise kültürdür: şüpheli bir bağlantıya tıkladığını fark eden bir çalışan, ceza almaktan korkmadan bunu hemen bildirebilmelidir. Saklanan bir hata, saatler sonra çok daha büyük bir krize dönüşür.
7. Ağ Segmentasyonu
Düz bir ağda tek bir makinenin ele geçirilmesi, tüm kuruma erişim demektir. Sunucuları, kullanıcı bilgisayarlarını, misafir ağını ve üretim/IoT cihazlarını ayrı bölümlere ayırın.
Segmentasyon saldırıyı engellemez ama etkisini bir bölümle sınırlar. Yangın kapısı mantığıdır.
8. Olay Müdahale Planı
Krizin ortasında plan yapılmaz. Şu soruların cevabı önceden yazılı olmalıdır:
- Şüpheli durumu ilk fark eden kime haber verecek?
- Etkilenen makineler nasıl izole edilecek? (Fişi çekmek mi, ağdan ayırmak mı?)
- Sistemler kapalıyken operasyon nasıl yürüyecek?
- Müşterilere ve iş ortaklarına ne zaman, ne söylenecek?
- Hangi teknik destek firması aranacak, iletişim bilgileri nerede? (Şifreli sistemin içinde olmasın!)
Planın bir kopyasını basılı olarak da saklayın. Tüm sistemler şifrelenmişse dijital kopyaya erişemezsiniz.
Saldırı Anında Ne Yapılmalı?
Şüpheli bir durumda ilk dakikalar belirleyicidir:
- Etkilenen sistemleri ağdan ayırın, ancak kapatmayın — bellekteki adli kanıtlar kaybolabilir.
- Yedeklerin bulunduğu sistemleri derhal ağdan izole edin.
- Şifreleri değiştirin, öncelik yönetici hesaplarında olsun.
- Olayı kayıt altına alın: ne zaman fark edildi, hangi sistemler etkilendi.
- Uzman desteği alın ve hukuki yükümlülükleriniz için danışmanınıza başvurun.
Fidye Ödenmeli mi?
Kolay bir cevabı yok, ancak bilinmesi gerekenler net: ödeme yapmak verilerin geri geleceğini garanti etmez, çözücü araçlar sıklıkla hatalı çalışır, ödeme yapan kurumlar tekrar hedef alınabilir ve ödemenin hukuki sonuçları olabilir. Karar, teknik ve hukuki danışmanlıkla birlikte verilmelidir.
Bu Hafta Yapabilecekleriniz
Hepsini birden yapmak zorunda değilsiniz. Etki/çaba oranı en yüksek üç adımla başlayın:
- Bir yedeğinizi geri yüklemeyi bugün deneyin. Çalışıyor mu?
- E-posta ve VPN hesaplarında MFA'yı açın.
- İnternete açık RDP var mı kontrol edin; varsa kapatın.
Sonuç
Fidye yazılımına karşı tek bir sihirli çözüm yok; birbirini destekleyen katmanlar var. Kurumunuzun mevcut durumunu değerlendirmemizi ve size özel bir yol haritası çıkarmamızı isterseniz, ön değerlendirme ücretsizdir.
