Fidye Yazılımlarına Karşı Kurumsal Savunma Stratejileri

Fidye yazılımı (ransomware), kurumun verilerini şifreleyip erişimi geri vermek için ödeme isteyen zararlı yazılım türüdür. Günümüzde saldırganların çoğu yalnızca şifrelemekle kalmıyor, verileri önce çalıp sızdırmakla da tehdit ediyor (çifte gasp). Yani yedeğiniz olsa bile iş bitmiyor: verilerin yayımlanması da bir risk olarak kalıyor.

Bu yazıda, kurumların uygulayabileceği savunmayı etki sırasına göre anlatıyoruz. Amaç bir ürün listesi çıkarmak değil; saldırganın işini zorlaştıran, zararı sınırlayan ve toparlanmayı hızlandıran katmanlar kurmak.

Saldırı genellikle nasıl ilerler?

Çoğu fidye yazılımı olayı şu zinciri izler:

1. İlk erişim: Oltalama e-postası, çalınmış ya da zayıf parolayla uzak erişim (VPN, RDP), internete açık ve yamalanmamış bir sistem.
2. Yerleşme ve keşif: Saldırgan ağı tanır, yetkisini yükseltir, yönetici hesaplarını ele geçirir.
3. Yedeklere ve güvenlik araçlarına müdahale: Yedekleri siler, antivirüs/EDR'i devre dışı bırakmaya çalışır.
4. Veri sızdırma.
5. Şifreleme: Genellikle mesai dışı, hafta sonu ya da tatilde.

Bu zincir iyi bir haber de taşıyor: şifreleme en sondadır. Zincirin önceki halkalarından birini kırarsanız saldırı yarım kalır.

1. Yedekleme: En son savunma hattı, en önemlisi

Yedekler, fidye yazılımına karşı en kritik güvencedir; ancak saldırganlar da bunu bilir ve yedeklerinizi hedef alır.

• 3-2-1 kuralını uygulayın: En az 3 kopya, 2 farklı ortamda, 1'i sahada dışında. Bugün birçok kurum buna "değiştirilemez (immutable) veya çevrimdışı kopya" ekliyor.
• Değiştirilemez yedek kullanın. Yedeğe yazma yetkisi olan bir yönetici hesabı ele geçirilse bile kopyanın silinememesi gerekir.
• Yedekleme sistemini alan adı kimlik bilgilerinden ayırın. Active Directory yöneticisinin yedek sunucusunun da yöneticisi olması, saldırgana tek hamlede her şeyi verir.
• Geri yüklemeyi düzenli test edin. Hiç denenmemiş bir yedek, yedek sayılmaz. Hangi sistemin kaç saatte geri geleceğini ölçün.

2. Kimlik ve erişim: İlk kapıyı güçlendirin

• Uzak erişimde (VPN, uzak masaüstü, bulut yönetimi, e-posta) çok faktörlü kimlik doğrulamayı zorunlu kılın. Mümkünse oltalamaya dayanıklı yöntemler (güvenlik anahtarı, passkey).
• RDP'yi doğrudan internete açmayın. Gerekliyse bir erişim geçidi ve MFA arkasına alın.
• En az yetki ilkesi: Kullanıcılar günlük işte yönetici yetkisiyle çalışmamalı. Yönetici hesapları ayrı, yalnızca yönetim için kullanılmalı.
• Ayrıcalıklı hesapları izleyin. Yeni yönetici hesabı oluşturulması ya da olağandışı saatte yönetici girişi güçlü bir erken uyarıdır.
• Kullanılmayan ve eski hesapları kapatın. Eski çalışan ve servis hesapları saldırganlar için sessiz giriş yollarıdır.

3. Yama ve açık yönetimi

Saldırganlar sıklıkla bilinen açıkları kullanır; sıfır gün görece nadirdir. Öncelik şunlar olmalı:

• İnternete bakan sistemler (VPN cihazları, e-posta sunucuları, web uygulamaları, güvenlik duvarları) önce yamalanır.
• Aktif olarak istismar edilen açıklar için beklenmez. CISA'nın KEV kataloğundaki açıklar, bu listenin en üstünde olmalıdır. Nasıl önceliklendireceğinizi CVE, CVSS, EPSS ve KEV rehberimizde anlattık, güncel kayıtlar için aktif istismar edilen CVE listesine bakabilirsiniz.
• Envanteri güncel tutun. Neyin nerede çalıştığını bilmediğiniz bir sistemi yamalayamazsınız.

4. Ağ bölümleme: Yayılmayı sınırlayın

Düz (flat) bir ağda tek bir ele geçirilmiş makine, her şeye ulaşabilir. Bölümleme, saldırının patlama yarıçapını küçültür.

• Üretim, ofis, misafir ve yönetim ağlarını ayırın.
• Kritik sistemlere (alan denetleyicileri, yedekleme, ERP, veritabanları) erişimi kısıtlayın.
• Yatay (doğu-batı) trafiği kontrol edin: Çalışan bilgisayarların birbirine SMB/RDP ile bağlanmasına gerek yoksa engelleyin.

Bu yaklaşımın daha geniş çerçevesi Sıfır Güven mimarisi yazımızda anlatılıyor.

5. Uç nokta koruma ve izleme

• EDR/XDR gibi davranış tabanlı araçlar, imza tabanlı antivirüsün kaçırdığı davranışları (toplu dosya şifreleme, kimlik bilgisi çalma araçları) yakalayabilir.
• Günlük kayıtlarını merkezi toplayın ve en azından kritik olaylar için uyarı kurun: çok sayıda başarısız giriş, yedekleme servislerinin durdurulması, gölge kopyaların silinmesi.
• 7/24 izleme her kurum için mümkün olmayabilir; bu durumda yönetilen tespit ve müdahale (MDR) hizmeti değerlendirilebilir. Fidye yazılımları sık sık mesai dışında çalışır.

6. İnsan unsuru

Teknik önlemler yetersiz kalırsa son hat çalışanlardır. Düzenli farkındalık eğitimi, gerçekçi oltalama simülasyonları ve "şüpheli olanı bildir" kültürü önemlidir. Şüpheli bir mesajı bildirenin cezalandırılmadığı, teşekkür edildiği bir ortam, saldırıyı erken yakalamanın en ucuz yoludur. Detaylar için oltalama rehberimize bakın.

7. Olay müdahale planı

Saldırı gününde plan yapmaya başlamak çok geçtir. Önceden hazır olması gerekenler:

• Kim neye karar verir? Yönetim, BT, hukuk, iletişim ve (gerekirse) dış destek için rol ve iletişim listesi.
• İzolasyon adımları: Etkilenen sistemin ağdan hızla ayrılması (ağ kablosu/anahtar portu, EDR izolasyonu). Sistemleri kapatmak yerine çoğu zaman ağdan ayırmak, bellekteki delilleri korumak açısından daha doğrudur.
• Delil koruma: Günlükleri ve etkilenen sistemlerin imajlarını koruyun; olayın nasıl başladığını anlamadan yeniden kurulum yapmak, saldırganı içeride bırakabilir.
• Çevrimdışı iletişim planı: E-posta ve ortak sistemler devre dışı kalabilir; telefon numaraları ve alternatif iletişim kanalları çıktı olarak da elde olsun.
• Yasal ve düzenleyici bildirimler: Kişisel verilerin etkilendiği durumlarda KVKK kapsamındaki bildirim yükümlülüğü (Kurul'a en geç 72 saat içinde) gibi süreler vardır; sektörünüze özgü ek yükümlülükler de olabilir. Hukuk danışmanıyla önceden netleştirin.
• Tatbikat: Plan, masa başı bir tatbikatla yılda en az bir kez denenmelidir.

Fidye ödenmeli mi?

Kısa cevap: Önermiyoruz ve ödemek bir çözüm garantisi değildir. Ödeme, şifre çözme anahtarının çalışacağını, verilerin silineceğini ya da tekrar saldırı olmayacağını garanti etmez; ayrıca suç ekonomisini finanse eder. Bazı ülke ve yaptırım rejimlerinde ödeme yasal sorunlar da doğurabilir. Karar yönetim, hukuk ve olay müdahale uzmanlarıyla birlikte, mümkünse kolluk kuvvetleri bilgilendirilerek verilmelidir. İyi yedek ve plan, bu kararı baskı altında vermek zorunda kalmamanızı sağlar.

Önceliklendirme: Nereden başlamalı?

Kaynağınız sınırlıysa şu sırayla ilerleyin:

1. Uzak erişim ve yönetici hesaplarında MFA.
2. Değiştirilemez/çevrimdışı yedek ve geri yükleme testi.
3. İnternete bakan sistemlerde yama ve açık yönetimi.
4. EDR ve temel günlük izleme.
5. Ağ bölümleme ve en az yetki.
6. Yazılı, prova edilmiş olay müdahale planı.

Hiçbir önlem riski sıfıra indirmez, ama bu katmanlar bir saldırıyı sizin için atlatılabilir bir olaya dönüştürür.