Fidye Yazılımına Karşı İşletme Ağı İçin 12 Maddelik Kontrol Listesi

Fidye yazılımı (ransomware), işletmenin dosyalarını ve veritabanlarını şifreleyip açmak için para isteyen zararlı yazılımdır. Son yıllarda saldırganlar şifrelemeden önce veriyi dışarı çıkarıp "ödemezseniz yayınlarız" tehdidini de ekliyor. Büyük şirketlerle sınırlı bir tehdit değil; muhasebe sunucusu, kamera kayıt cihazı ve birkaç bilgisayardan oluşan küçük bir ofis de hedef. Aşağıdaki fidye yazılımına karşı kontrol listesi, bir işletme ağında öncelikli olarak bakılması gereken 12 maddeyi içeriyor.

12 maddelik kontrol listesi

1. Yedeklerin en az biri çevrimdışı veya değiştirilemez olsun. Sunucuya sürekli bağlı NAS veya ağ paylaşımındaki yedek klasörü, şifrelenen ilk yerlerden biridir. 3-2-1 kuralını uygulayın (3 kopya, 2 farklı ortam, 1 kopya kurum dışında) ve kopyalardan birini ağdan fiziksel olarak ayrılan bir diske ya da değiştirilemez (immutable) depolamaya alın. Veritabanı yedeklerinin şifrelenmiş halde farklı lokasyonlara gönderilmesi, hem fidye hem veri sızıntısı riskine karşı koruma sağlar.
2. Geri dönüşü düzenli test edin. Yedek almak ile geri dönebilmek aynı şey değildir. Ayda en az bir kez kritik bir sunucu veya veritabanını test ortamına geri yükleyin ve ne kadar sürdüğünü ölçün.
3. İşletim sistemi ve yazılım yamalarını geciktirmeyin. Saldırıların önemli bir kısmı yaması aylar önce yayımlanmış açıklardan gelir. Windows, sunucu yazılımları, tarayıcılar, VPN cihazı ve firewall yazılımı için düzenli bir güncelleme takvimi oluşturun; desteği bitmiş işletim sistemlerini ağdan ayırın veya değiştirin.
4. Uzak masaüstünü (RDP) internete açmayın. Modemde port yönlendirmeyle internete açılmış 3389 portu, otomatik parola deneme saldırılarının birinci hedefidir. Uzaktan erişim yalnızca VPN üzerinden olmalı; port numarasını değiştirmek koruma sağlamaz.
5. Çok faktörlü doğrulamayı (MFA) zorunlu kılın. VPN, e-posta, bulut hizmetleri ve yönetim panellerinde MFA, çalınan bir parolanın tek başına yeterli olmasını engeller.
6. Yetkileri ayırın. Kullanıcılar günlük işlerini yönetici hakkı olmayan hesaplarla yapmalı. Domain yönetici hesabı yalnızca yönetim işi için kullanılmalı, ortak "admin" parolası paylaşılmamalı; servis hesaplarının yetkileri en aza indirilmelidir.
7. E-posta filtrelemesini güçlendirin. Kimlik avı e-postaları ve makrolu ekler hâlâ en yaygın giriş yollarındandır. Spam/zararlı filtreleme, şüpheli ek türlerinin engellenmesi, SPF/DKIM/DMARC kayıtlarının doğru yapılandırılması ve dış kaynaklı e-postaların işaretlenmesi riski azaltır.
8. Uç noktalarda EDR veya güncel antivirüs kullanın. Sunucu ve bilgisayarlarda merkezi yönetilen, imzaları güncel ve davranış analizi yapabilen bir uç nokta koruması bulunmalı. Uyarıların biri tarafından gerçekten takip edildiğinden emin olun.
9. Ağı bölümlendirin. Misafir Wi-Fi, kamera/NVR ağı, kullanıcı bilgisayarları ve sunucular aynı düz ağda olmamalı. VLAN ve firewall kurallarıyla bölümler arası trafiği yalnızca gerekenle sınırlamak, bir cihazdaki enfeksiyonun tüm ağa yayılmasını yavaşlatır veya durdurur.
10. Kullanıcıları eğitin. Sahte fatura, kargo bildirimi veya "parolanızın süresi doluyor" e-postalarını tanımak, şüpheli durumu kime bildireceğini bilmek teknik önlemler kadar önemlidir. Kısa ve düzenli farkındalık eğitimleri tek seferlik uzun sunumlardan daha etkilidir.
11. Loglama ve izleme yapın. Firewall, sunucu ve kimlik doğrulama logları merkezi bir yerde tutulmalı. Gece yarısı yönetici hesabıyla açılan oturumlar veya yüzlerce başarısız giriş denemesi gibi işaretler erken fark edilirse saldırı şifreleme aşamasına gelmeden durdurulabilir.
12. Yazılı bir olay müdahale planı hazırlayın. Saldırı anında kimin aranacağı, hangi cihazların ağdan ayrılacağı, yedeklerin nasıl korunacağı, hangi sırayla geri dönüleceği ve kişisel veri ihlali söz konusuysa bildirim süreçlerinin nasıl işleyeceği önceden belli olmalı. Planın basılı bir kopyası da bulunmalı; çünkü saldırı anında dosya sunucusuna erişemeyebilirsiniz.

Saldırganlar içeri nasıl giriyor?

Kontrol listesinin mantığını anlamak için tipik bir saldırının aşamalarına bakmak faydalı olur. Çoğu fidye yazılımı vakası birkaç saat veya gün süren bir süreçtir:

• İlk erişim: İnternete açık RDP, yaması yapılmamış VPN cihazı, kimlik avı e-postasındaki ek veya çalınmış bir parola.
• Yerleşme ve keşif: Saldırgan ağdaki sunucuları, paylaşımları, yedekleme sistemini ve yönetici hesaplarını araştırır.
• Yetki yükseltme: Zayıf veya ortak yönetici parolalarıyla domain yöneticisi yetkisine ulaşmaya çalışır.
• Yedeklerin hedef alınması: Erişebildiği yedek klasörlerini ve gölge kopyaları siler veya şifreler.
• Veri sızdırma ve şifreleme: Önemli dosyalar dışarı aktarılır, ardından genellikle gece veya hafta sonu tüm sistemler aynı anda şifrelenir.

Listedeki her madde bu zincirin bir halkasını kırmaya yöneliktir. Zincirin erken bir halkasında fark edilen saldırı, şifreleme aşamasına gelmeden durdurulabilir.

Önceliklendirme: Nereden başlamalı?

On iki maddenin hepsini aynı anda hayata geçirmek her işletme için mümkün olmayabilir. Kısıtlı kaynakla en büyük etkiyi sağlayan sıralama genellikle şöyledir:

Küçük ofisler için sık atlanan noktalar

• Kamera kayıt cihazı ve NAS: Varsayılan parolayla internete açık NVR ve NAS cihazları hem giriş noktası hem hedef olabilir; firmware'leri güncel tutulmalı ve yalnızca VPN üzerinden erişilmelidir.
• Muhasebe bürosu ve dış destek erişimi: Uzaktan destek araçlarının kalıcı ve parolasız açık bırakılmaması, kullanılmadığında kapatılması gerekir.
• Ortak kullanılan bilgisayarlar: Herkesin aynı hesabı kullandığı bilgisayarlarda kimin ne yaptığını izlemek mümkün olmaz; kişisel hesaplar açılmalıdır.
• Eski sunucular: "Bir köşede çalışıyor" denilen, desteği bitmiş işletim sistemli makineler ağdaki en zayıf halkadır.

Saldırı anında ilk adımlar

• Etkilenen cihazların ağ bağlantısını hemen kesin; kapatmak yerine ağdan ayırmak, inceleme için iz bırakır.
• Yedekleme sunucusu ve harici diskleri ağdan ayırarak koruma altına alın.
• Parolaları, özellikle yönetici hesaplarını, temiz bir cihazdan değiştirin.
• Hangi sistemlerin etkilendiğini kayıt altına alın, olay müdahale planındaki kişilere haber verin.
• Geri dönüşü, temizlendiği doğrulanan sistemlere ve enfeksiyon tarihinden önceki yedeklerden yapın.

Bir sonraki adım

Bu listeyi ağınızda madde madde kontrol ettiğinizde eksikler genellikle hızla ortaya çıkar. Firewall, VPN, IPS, web filtreleme, ağ geçidi antivirüs ve güvenlik politikası çalışmaları için network güvenliği sayfamızı; veritabanlarının her gün şifrelenerek üç farklı lokasyona yedeklenmesi için Veritabanı Yedekleme Yazılımı'nı inceleyebilirsiniz. Antivirüs kurulumu, veri kurtarma ve yerinde destek ihtiyaçlarınızda teknik destek hizmetlerimiz yanınızda.