Ransomware’e Karşı Değiştirilemez Yedek: İş Sürekliliği Mimarisi

Değiştirilemez (immutable) yedek, tanımlı bir saklama süresi boyunca silinemeyen, üzerine yazılamayan ve şifrelenemeyen yedek kopyadır. Ransomware saldırılarında saldırgan önce üretim verisini değil, kurtarma umudunu hedef alır: eriştiği her yedeği şifreler ya da siler, sonra fidye ister. Değiştirilemez yedek bu senaryoyu kırar, çünkü saldırgan yönetici yetkisi ele geçirse bile kilitli kopyayı bozamaz. Layer Sistem’in yedekleme mimarisi bu ilkeyi coğrafi felaket kurtarma ile birleştirir; veri Türkiye’de kalır, geri dönüş kontrolü kurumun elindedir.

Ransomware saldırıları yedekleri neden ilk hedef alır?

Fidye yazılımı çalışan bir yedeği en büyük tehdit sayar, bu yüzden şifreleme başlamadan önce yedekleri arar. Saldırının mantığı basit: sağlam bir yedekten geri dönebilen kurum fidye ödemez. Bu nedenle güncel saldırılar ağa sızdıktan sonra günlerce sessiz kalır, yedekleme sunucularının kimlik bilgilerini toplar, sonra yedek depolarını, snapshot kopyalarını ve replikaları tek tek devre dışı bırakır. Fidye ekranı ancak bu adımdan sonra görünür.

Klasik yedekleme bu oyunda savunmasızdır. Ağdan erişilebilen, silinebilen ya da üzerine yazılabilen bir yedek, saldırgan için üretim verisinden farksızdır. Yedeğin var olması tek başına koruma sağlamaz; yedeğin değiştirilemez olması sağlar.

Güncel saldırılar çoğu zaman iki aşamalıdır: saldırgan veriyi hem şifreler hem de kopyasını dışarı sızdırır, ardından “ödemezsen yayınlarız” baskısı kurar. Bu ikili baskıda bile temiz ve erişilebilir bir geri dönüş noktası, kurumun operasyonu ayağa kaldırıp pazarlık gücünü elinde tutmasını sağlar.

Değiştirilemez yedek nedir, klasik yedekten farkı ne?

Değiştirilemez yedek, yazıldıktan sonra saklama süresi dolana kadar hiçbir hesabın (yönetici dahil) değiştiremediği yedektir. Teknik temeli WORM ilkesidir: bir kez yaz, çok kez oku. Kopya oluşturulduğu anda bir saklama kilidi devreye girer ve bu kilit, silme ile şifreleme komutlarını reddeder.

Fark yetki modelinde ortaya çıkar. Klasik yedekte yönetici yetkisine sahip biri yedeği silebilir, dolayısıyla o yetkiyi ele geçiren saldırgan da silebilir. Değiştirilemez yedekte saklama penceresi boyunca silme yolu kapalıdır. Layer Sistem, Veeam tabanlı yedekleme altyapısında değiştirilemez kopyayı standart bir katman olarak konumlandırır; yedek, saklama süresi dolmadan hiçbir komutla geri alınamaz.

Bu yaklaşım bilinen 3-2-1 yedekleme kuralını genişletir: üç kopya, iki farklı ortam, bir kopya saha dışında. Ransomware çağında bu kurala değiştirilemez bir kopya ve doğrulanmış geri dönüş eklenir.

Coğrafi felaket kurtarma tek merkez yedeğinden neden güçlü?

Coğrafi felaket kurtarma (DR), yedeği üretim sisteminden fiziksel olarak ayrı bir lokasyonda tutarak tek noktadan çöküşü ortadan kaldırır. Tek veri merkezinde tutulan bir yedek; o merkezi etkileyen yangın, sel, elektrik ya da ağ kesintisinde üretim verisiyle birlikte erişilemez olur. Siber saldırı da benzer davranır: aynı ağ segmentindeki yedek, saldırının yayılma alanı içindedir.

Çift veri merkezi mimarisi bu bağı koparır. Layer Sistem, üretim ve yedek katmanını coğrafi olarak ayrık iki veri merkezine dağıtır; bir lokasyon ister felaketle ister saldırıyla düşsün, ikinci lokasyondaki değiştirilemez kopya bağımsız kalır. Fiziksel ayrım ve mantıksal kilit birlikte çalıştığında, kurumun geri dönebileceği temiz bir nokta her zaman bulunur.

Coğrafi ayrımı güçlendiren ikinci ilke mantıksal hava boşluğudur (air-gap). Yedek deposu üretim ağından farklı kimlik ve erişim katmanında tutulduğunda, üretim tarafını ele geçiren saldırgan yedeğe otomatik ulaşamaz. Fiziksel mesafe ile erişim yalıtımı bir araya geldiğinde, saldırının yayılma yüzeyi yedeğe kadar uzanmaz.

İş sürekliliği mimarisi değiştirilemez yedek etrafında nasıl kurulur?

İş sürekliliği mimarisi kurtarmayı üç soruya cevap üzerine kurar: ne kadar veri kaybını göze alabilirsin, ne kadar sürede ayağa kalkman gerekir, geri döndüğün kopyanın temiz olduğundan nasıl emin olursun? İlk soru kurtarma noktası hedefini (RPO), ikincisi kurtarma süresi hedefini (RTO) belirler; üçüncüsü değiştirilemez yedeğin var oluş nedenidir.

Sağlam bir mimari şu katmanları birlikte çalıştırır. Değiştirilemez kopya, saldırganın erişemeyeceği temiz bir geri dönüş noktası verir. Coğrafi DR, o kopyayı fiziksel felaketten korur. Layer Sistem’in yedekleme ve DR hizmeti bu katmanları tek mimaride toplar, geri dönüş sürecini de doğrudan mühendis desteğiyle yürütür, ticket kuyruğuyla değil.

Test edilmemiş yedek neden yedek sayılmaz?

Test edilmemiş yedek, ihtiyaç anına kadar yalnızca bir varsayımdır. Yedeğin var olması ile yedekten gerçekten dönebilmek ayrı şeylerdir. Düzenli geri dönüş testi, kopyanın bütünlüğünü ve kurtarma süresini olay öncesinde doğrular; ayrıca yedeğe sızmış uyuyan bir zararlının temiz sanılan kopyayı kirletmediğini kontrol eder. Değiştirilemezlik kopyanın bozulmasını engeller, test ise o kopyanın işe yaradığını kanıtlar.

Yedeğin ve verinin Türkiye’de kalması kurtarmada neden önemli?

Yedeğin Türkiye’de kalması, kriz anında kurtarmayı yabancı bir sağlayıcının erişim koşullarına ve zaman dilimine bağımlı olmaktan çıkarır. Ransomware olayında saatler değerlidir; muhatabın yerli, verinin yurt içinde ve destek hattının doğrudan Türkçe mühendisle olması kurtarmayı hızlandırır. Sınır ötesinde tutulan veride erişim, egemenlik ve süreç belirsizliği devreye girer.

Layer Sistem bu tercihi altyapı seviyesinde kurar. Veri Türkiye’de saklanır, yedekleme ve felaket kurtarma İstanbul’daki Tier III veri merkezinde barındırılır, KVKK ve 5651 uyumu altyapı katmanında hazırdır, altyapı ISO/IEC 27001

Özet

Ransomware’e karşı gerçek koruma tek bir yedekten değil, bir mimariden gelir. Değiştirilemez kopya saldırganın yedeği bozmasını engeller, coğrafi DR fiziksel felaketi karşılar, düzenli geri dönüş testi kurtarmanın gerçekten mümkün olduğunu kanıtlar. Verinin ve muhatabın Türkiye’de olması bu mimariyi kriz anında işler kılar. Layer Sistem’in LayerBackup hizmeti değiştirilemez yedeği, çift veri merkezli coğrafi DR’ı ve doğrudan mühendis desteğini tek çatı altında sunar.

İletişim: +90 850 500 0 166 | info@layersistem.com | www.layersistem.com