Yayın: · Güncelleme: · Oner Business Teknik Ekibi
Ransomware saldırıları tek bir ürünle değil, katmanlı savunmayla engellenir: tüm uzaktan erişimlerde çok faktörlü kimlik doğrulama (MFA), internete açık servislerin kapatılması ve düzenli yama, EDR/XDR uç nokta koruması, e-posta güvenliği, ağ segmentasyonu, en az yetki ilkesi ve değiştirilemez, çevrimdışı yedekler. Bunları test edilmiş bir olay müdahale planı tamamlar.
Ransomware nedir ve nasıl çalışır?
Ransomware (fidye yazılımı), dosyaları, veritabanlarını ve hatta sanal makine disklerini güçlü şifreleme algoritmalarıyla erişilemez hâle getiren ve anahtar karşılığında fidye isteyen zararlı yazılımdır. Bugün bu saldırıların önemli bir kısmı, fidye yazılımını "hizmet olarak" kiralayan (RaaS) organize gruplar tarafından yürütülür. Modern saldırılarda veriler şifrelenmeden önce dışarı kopyalanır; kurum yedekten dönse bile verilerin yayımlanması tehdidiyle ikinci bir şantaj başlar.
Saldırı genellikle tek bir anda gerçekleşmez. Tipik zincir şöyledir: ilk erişim (oltalama, açık servis, çalınmış parola) → yetki yükseltme → ağda yanal hareket → yedeklerin tespit edilip silinmesi → veri sızdırma → toplu şifreleme. Bu aşamalar arasında günler geçebilir; her aşama, doğru kontrollerle saldırıyı durdurmak için bir fırsattır.
Fidye yazılımları şirket ağına nasıl sızar?
- Oltalama e-postaları: Sahte fatura, kargo bildirimi veya belge paylaşımı görünümündeki e-postalar; zararlı ekler ve kimlik bilgisi çalan bağlantılar.
- İnternete açık uzak masaüstü (RDP): Doğrudan internete açılan RDP portlarına yönelik parola deneme saldırıları.
- Yamasız VPN ve ağ cihazları: Güvenlik duvarı, VPN ve uzaktan erişim ürünlerindeki bilinen açıklar.
- Çalınmış kimlik bilgileri: Başka sitelerden sızdırılan ve tekrar kullanılan parolalar.
- Tedarik zinciri ve uzaktan yönetim araçları: Hizmet sağlayıcı veya yazılım güncelleme kanalları üzerinden erişim.
Ransomware saldırılarını engellemenin temel katmanları nelerdir?
1. Kimlik güvenliği ve MFA
E-posta, VPN, uzaktan erişim ve yönetim panellerinin tamamında çok faktörlü kimlik doğrulama zorunlu olmalıdır. Yönetici hesapları günlük kullanıcı hesaplarından ayrılmalı, parola tekrar kullanımı engellenmelidir.
2. Dışa açık servisleri kapatın ve yamalayın
Sektör araştırmalarına göre ransomware sızıntılarının %80'i dışarıya açık bırakılan standart RDP (3389) portlarından, çoğunlukla parola deneme (brute-force) saldırılarıyla gerçekleşiyor. Bu nedenle RDP hiçbir zaman doğrudan internete açılmamalı; uzaktan erişim MFA'lı VPN veya sıfır güven (ZTNA) çözümleriyle sağlanmalıdır. İşletim sistemleri, sunucu yazılımları ve özellikle güvenlik duvarı ve VPN cihazlarının yazılımları kritik yamalar yayımlandığında öncelikli olarak güncellenmelidir.
3. EDR/XDR ile uç nokta koruması
Davranış analizi yapan EDR/XDR çözümleri, toplu dosya şifreleme, gölge kopyaların silinmesi veya şüpheli PowerShell komutları gibi faaliyetleri tespit edip süreci durdurabilir ve cihazı ağdan izole edebilir. Trend Micro uç nokta ve XDR çözümleri bu katmanda kullandığımız platformlar arasındadır. En iyi sonuç, uyarıların sürekli izlendiği yönetilen bir hizmetle alınır.
4. E-posta güvenliği
Gelişmiş e-posta filtreleme, ek ve bağlantıların sanal ortamda (sandbox) incelenmesi ve alan adınız için SPF, DKIM ve DMARC yapılandırması oltalama riskini azaltır. Ayrıntılar için e-posta güvenliği rehberimize göz atabilirsiniz.
5. Ağ segmentasyonu
Kullanıcı bilgisayarları, sunucular, yedekleme sistemleri ve misafir ağı ayrı segmentlerde olmalı ve aralarındaki trafik yeni nesil bir güvenlik duvarıyla (ör. Fortinet FortiGate) denetlenmelidir. Böylece tek bir bilgisayara bulaşan zararlının tüm ağa yayılması zorlaşır.
6. Değiştirilemez ve çevrimdışı yedekler
Yedekleme altyapısı ayrı kimlik bilgileriyle yönetilmeli, en az bir kopya değiştirilemez veya ağdan ayrık olmalı ve geri yükleme düzenli test edilmelidir. Bu yaklaşımı 3-2-1-1-0 yedekleme kuralı yazımızda adım adım anlattık.
7. Farkındalık ve tatbikat
Çalışanlara yönelik düzenli oltalama farkındalık eğitimleri ve kontrollü simülasyonlar, en zayıf halka olarak görülen insan faktörünü güçlendirir. Olay müdahale planının masa başı tatbikatlarla denenmesi, kriz anında kimin ne yapacağını netleştirir.
| Savunma katmanı | Durdurduğu aşama | Örnek teknoloji / uygulama |
|---|---|---|
| MFA ve kimlik güvenliği | İlk erişim, yetki yükseltme | Koşullu erişim, ayrı yönetici hesapları |
| Yama ve dış yüzey yönetimi | İlk erişim | Zafiyet taraması, RDP'nin kapatılması, VPN güncellemeleri |
| E-posta güvenliği | İlk erişim | Sandbox analizi, DMARC, bağlantı denetimi |
| EDR/XDR | Çalıştırma, yanal hareket, şifreleme | Davranış analizi, otomatik izolasyon |
| Ağ segmentasyonu | Yanal hareket, veri sızdırma | VLAN, NGFW, IPS, uygulama kontrolü |
| Değiştirilemez yedek | Etki (kurtarma) | Snapshot, nesne kilitleme, çevrimdışı kopya |
Saldırı anında ilk saatlerde ne yapılmalı?
- İzole edin: Etkilenen cihazları ağdan ayırın; delilleri korumak için mümkünse kapatmayın.
- Yedekleri koruyun: Yedekleme sistemlerinin ağ bağlantısını geçici olarak kesin.
- Haber verin: BT ekibinizi, olay müdahale desteği aldığınız firmayı ve yönetimi bilgilendirin.
- Kayıtları saklayın: Güvenlik duvarı, sunucu ve EDR kayıtlarını silmeyin; fidye notunun fotoğrafını alın.
- Kimlikleri sıfırlayın: Yönetici ve servis hesabı parolalarını temiz bir cihazdan değiştirin.
- Yasal süreçleri değerlendirin: Kişisel veri etkilendiyse KVKK bildirimi, gerekirse adli makamlara başvuru.
- Temiz geri dönüş: Kök neden giderildikten sonra, doğrulanmış temiz yedeklerden kademeli geri yükleme yapın.
Ransomware koruması için firma seçerken nelere dikkat edilmeli?
"Ransomware koruması" satan firmaların çoğu tek bir ürünü öne çıkarır; oysa etkili koruma, önleme, tespit ve kurtarmayı birlikte kurgulayan bir yaklaşım gerektirir. Bir hizmet sağlayıcıyı değerlendirirken şu sorulara yanıt arayın:
- Güvenlik duvarı, uç nokta, e-posta ve yedeklemeyi tek bir mimari olarak ele alıyor mu?
- Uyarılar kim tarafından, hangi saatlerde izleniyor; müdahale süreleri sözleşmede yazılı mı?
- Mevcut durumunuzu ölçmek için zafiyet taraması ve sızma testi yapabiliyor mu?
- Yedeklerin geri yükleme testlerini düzenli yapıp raporluyor mu?
- Kriz anında yerinde destek verebilecek yakınlıkta bir ekibi var mı?
Fidye yazılımı hazırlık kontrol listesi
- Tüm uzaktan erişim ve e-posta hesaplarında MFA etkin.
- İnternete doğrudan açık RDP veya yönetim paneli yok.
- Güvenlik duvarı ve VPN yazılımları güncel.
- Tüm sunucu ve istemcilerde EDR/XDR kurulu ve uyarılar izleniyor.
- Sunucu, kullanıcı, yedek ve misafir ağları ayrı segmentlerde.
- En az bir değiştirilemez veya çevrimdışı yedek var ve test ediliyor.
- Yazılı ve tatbikatı yapılmış bir olay müdahale planı mevcut.
Sık Sorulan Sorular
Ransomware, bilgisayar ve sunuculardaki verileri şifreleyerek erişilemez hâle getiren ve şifre çözme anahtarı karşılığında, genellikle kripto para ile fidye talep eden zararlı yazılımdır. Günümüzdeki saldırıların çoğunda saldırganlar şifrelemeden önce verileri kopyalar ve fidye ödenmezse yayımlamakla tehdit eder. Bu çifte şantaj modeli, yalnızca yedekten geri dönmeyi tek başına yeterli bir savunma olmaktan çıkarır.
En yaygın giriş yolları oltalama e-postaları ve zararlı ekler, internete açık bırakılmış uzak masaüstü (RDP) ve yamasız VPN cihazları, sızdırılmış veya zayıf parolalar ile güvenlik açığı bulunan yazılımlardır. Saldırganlar çoğu zaman içeri girdikten sonra günler veya haftalar boyunca ağda dolaşarak yetki yükseltir ve yedekleri tespit eder. Bu nedenle erken tespit, en az giriş engelleme kadar önemlidir.
Yalnızca imza tabanlı klasik antivirüs, yeni ve özelleştirilmiş fidye yazılımı türlerini kaçırabilir. Davranış analizi yapan, anormal toplu şifreleme faaliyetini fark edip süreci durduran ve olay zincirini görünür kılan EDR veya XDR çözümleri çok daha etkilidir. Ancak en iyi uç nokta koruması bile tek başına yeterli değildir; kimlik güvenliği, yama yönetimi, ağ segmentasyonu ve yedekleme ile birlikte çalışmalıdır.
Hayır. Fidye ödendiğinde şifre çözme aracının çalışacağının, tüm verilerin eksiksiz geri geleceğinin veya çalınan verilerin yayımlanmayacağının hiçbir güvencesi yoktur. Ödeme yapan kurumların yeniden hedef alınması da olasıdır. Güvenlik otoriteleri genel olarak fidye ödenmemesini önerir. Bu nedenle asıl hazırlık, test edilmiş değiştirilemez yedekler ve yazılı bir olay müdahale planıyla ödemeye mecbur kalmamaktır.
Etkilenen cihazları ağ kablosunu çıkararak veya kablosuz bağlantıyı keserek derhal ağdan ayırın; delil kaybını önlemek için mümkünse cihazları kapatmayın. Yedekleme sistemlerini ağdan izole edin, BT ekibinize veya olay müdahale desteği aldığınız firmaya hemen haber verin ve hiçbir dosyayı silmeyin. Parola sıfırlamalarını temiz bir cihazdan yapın; kişisel veri etkilendiyse KVKK bildirim yükümlülüğünü değerlendirin.
Saldırı kişisel verilerin yetkisiz kişilerce ele geçirilmesine yol açtıysa bu bir kişisel veri ihlalidir ve veri sorumlusu durumu Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Kurul kararına göre bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır; etkilenen kişilere de makul sürede bilgi verilmelidir. Olay kayıtlarının ve alınan önlemlerin belgelenmesi bu süreçte önemlidir.
Evet. Fidye yazılımı gruplarının önemli bir kısmı hedef seçmez; internete açık zafiyetli sistemleri ve oltalama e-postalarına tıklayan kullanıcıları otomatik olarak tarar. Küçük ve orta ölçekli işletmelerde güvenlik ekibi ve izleme kapasitesi sınırlı olduğu için saldırganlar daha rahat hareket eder. Bu nedenle KOBİ'ler için MFA, güncel yedekler, uç nokta koruması ve yönetilen güvenlik hizmetleri en yüksek getiri sağlayan önlemlerdir.
Fidye yazılımına karşı hazırlığınızı ölçelim mi?
Oner Business Teknolojileri, 15 yılı aşkın deneyimiyle İzmir Alsancak'tan Fortinet, Trend Micro ve QNAP gibi üretici çözümlerini tek bir savunma mimarisinde birleştirir; Fortinet, QNAP ve Microsoft'un yetkili iş ortağıyız. Şirket altyapınızın fidye yazılımlarına karşı ne kadar güvende olduğunu CEH ve OSCP sertifikalı etik hacker'larımızın yürüttüğü sızma testi ve zafiyet analizi ile ölçer, zayıf halkaları önceliklendirir ve düzeltmelerin ardından ücretsiz doğrulama testi (re-test) yaparız. 7/24 NOC/SOC ekibimiz uyarıları proaktif olarak izler; kurulum sonrası 15 dakikada uzaktan, en geç 2 saatte yerinde müdahale hedefli SLA ile destek veririz. Ayrıntılar için siber güvenlik hizmetlerimizi inceleyebilir ya da iletişim sayfamızdan ön değerlendirme talep edebilirsiniz.