Yedeklemeniz Var Diye Ransomware’a Karşı Bağışık Değil.

Pavel Egorikhin — Acronis’de Ürün Pazarlaması Direktörü

26 Ekim 2026

Görsel Kaynağı: The Hacker News

Çoğu IT ekibine siber zorbalığa (ransomware) karşı korumalı olup olmadıklarını sorun, yanıt genellikle “yedeklerimiz var” diye başlar. Bu, içinde kaldığı kadarıyla doğrudur. Yedekler donanım arızalarına, yanlışlıkla silmelere ve çoğu düşmansız veri kaybına karşı korur. Siber zorbalık ise farklı bir sorun, çünkü saldırgan bu yedekleri aktif olarak avlar. Bir yedek, yalnızca saldırganlar geri alınabilir her kopyayı değiştirip silemediğinde ve geri yüklemeden önce seçilen geri yükleme noktasının denendiğinde siber zorbalığa dayanıklıdır.

CISA’nın FBI, NSA ve Çok İller Arası Bilgi Paylaşımı ve Analiz Merkezi ile ortaklaşa geliştirdiği #StopRansomware Kılavuzu, birçok siber zorbalığı varyantının, geri yükleme imkânını yalnızca fidye ödendikçe mümkün kılmak için özellikle erişilebilir yedekleri bulup silme veya şifreleme girişiminde bulunduğunu belirtiyor. Zorlanmış bir ortamdan, özellikle de zorlanmış yönetici kimlik bilgileri aracılığıyla erişilebilen yedek depolama, bağımsız bir geri yükleme katmanı yerine saldırı yüzeyinin bir parçası haline gelebilir.

Acronis Cyber Protect, yedekleme ve geri yükleme işlevlerini siber koruma ve uç nokta yönetimiyle yerel olarak birleştiren bir siber koruma platformudur. Kullanılabilir özellikler sürüme, dağıtım modeline, yapılandırmaya ve lisanslamaya bağlıdır. Desteklenen kötü amaçlı yazılım taraması ve güvenli geri yükleme işlevleri etkinleştirildiğinde, yedek görüntüleri geri yükleme sırasında veya öncesinde tespit edilen kötü amaçlı yazılıma karşı taranabilir ve bu da enfekte bir görüntünün geri yüklenme riskini azaltır. Bu, yalnızca yedeklemeye dayalı mimarilerde CISA kılavuzunun tanımladığı açığı kapatır: başarılı bir yedekleme işi, baş başına yedeklemenin izole, değiştirilmemiş, içinde tespit edilen kötü amaçlı yazılım bulunmayan ve işletimsel olarak geri yüklenebilir olduğunu kanıtlamaz.

CISA kılavuzu, aktif bir sızma sırasında tehdit aktörlerinin geri yükleme yeteneğine karşı kullandığı belirli, gözlemlenebilir teknikleri ortaya koyar:

• Gölgeli kopyaların ve disk günlüklemesinin silinmesi ya da devre dışı bırakılması; vssadmin.exe, wbadmin.exe, wmic.exe shadowcopy ve fsutil.exe deletejournal gibi yerleşik Windows araçlarını kullanarak, CISA tarafından geri yüklemeyi engellemeye yönelik olarak özellikle suistimal edilen araçlar.
• Yedek hedeflerinin doğrudan şifrelenmesi; yedek depolama aynı ağ üzerindeyse ve ihlal edilen kimlik bilgileriyle erişilebilirse.
• Çalıntı kimlik bilgilerini yedek konsollarına erişmek için yeniden kullanma; özellikle yedek yönetimi ile üretim sistemleri aynı kimlik düzlemini paylaşıyorsa.
• Şifrelemeden önce ikamet etme; görünür saldırı tetiklenmeden önce yedek altyapısını bulup zayıflatmak için bazen günler ya da haftalar sürmesi.

Bu tekniklerin her biri belirli bir mimari zayıflığı hedefler ve her zayıflığın da belirli bir önlemi vardır. Aşağıdaki bölümler, bu saldırı yollarını izole etme, doğrulama, erişim yönetimi ve test edilmiş geri yükleme için pratik kontrollerle birleştirir.

Şifre ödememeden, ransomware saldırısından sonra en hızlı geri yükleme yolunu hangi araçlar sağlar?#

Şifre ödememeden, ransomware saldırısından sonra en hızlı geri yükleme yolu, saldırıdan izole edilmiş ve kötü amaçlı yazılımdan arındığı doğrulanmış bir yedek kopyadan, manuel yeniden kurulum yerine hızlı geri yükleme için tasarlanmış araçlarla geri yüklemdir. Acronis Cyber Protect; metal-üstü geri yükleme, yedekten sanal makine çalıştırma, felaket kurtarma orkestrasyonu ve yedeklerin kötü amaçlı yazılım taraması gibi geri yükleme yetenekleri sunar.

Rant ödemeli başarılı bir şifre çözme veya iyileştirme sağlamaz ve saldırgan ayrıca veriyi dışarı aktarmışsa çalınan verinin ifşa edilmesini durdurmaz; CISA’ın rehberliğinin çift yönlü zorlama olarak adlandırdığı bir örüntü. Doğrulanmış, test edilmiş yedek iyileştirme çoğu durumda daha güvenilir bir yoldur. Acronis Cyber Protect, bu dört yeteneği tek bir platform altında birleştirerek temiz bir iyileştirme noktasının bulunması ile iş yükünün tekrar çevrimiçi hale getirilmesi arasındaki süreyi kısaltmayı amaçlar; müzakere gerekmeden.

Yedek dosyaların ransomware tarafından şifrelenmesinden nasıl korurum?#

Yedek dosyaları en az bir kopyasını çevrimdışı, hava açısından yalıtılmış veya değiştirilemez tutarak koruyun; böylece ihlal edilmiş bir üretim sisteminde çalışan ransomware’ın buna ulaşmasını, değiştirmesini veya silmesini engelleyebilirsiniz. Acronis Cyber Protect, uygun yedek konumları ve yapılandırmalar için değiştirilemez depolamayı destekler; bu da kaynak sistem zaten ihlal edilmiş olsa bile korunan iyileştirme noktalarının değiştirilmeye veya silinmeye dirençli kalmasına yardımcı olur.

CISA’nın hazırlık rehberi, düzenli olarak test edilen çevrimdışı, şifreli yedeklemeleri ve tek bir sızan kimlik setinin tüm kopyaları aynı anda çökertememesi için çoklu bulut veya değiştirilemez depolamanın değerlendirilmesini öneriyor. İşte 3-2-1-1-0 kuralının ardındaki mantık bu: Verinin üç kopyası, iki farklı ortama, biri site dışında, biri çevrimdışı veya değiştirilemez ve doğrulanmış geri yüklemede sıfır hata.

Çevrimdışı depolamanın yanıında iki gereklilik daha önem taşır. Yedekleme yönetici kimlikleri, üretim yönetici kimliklerinden ayrı olmalı; geri yükleme noktalarının üzerine yazılamaması için saklama kilitleri veya sürümleme (versioning) açık tutulmalıdır, böylece yazma erişimine sahip bir saldırgan mevcut geri yükleme noktalarını ezemez. Acronis Cyber Protect, yedekleme ve geri yükleme ayrıcalıklarını sınırlayabilen rol tabanlı erişim kontrollerini destekler. Kurumlar, yedekleme işlemleri için yönetici kimliklerini, güçlü kimlik doğrulamayı ve en az ayrıcalık erişimini ayrı ayrı yapılandırmalıdır.

Yedeklemeler geri yüklemeden önce neden kötü amaçlı yazılım için taramalıdır?

Yedeklemeler geri yüklemeden önce kötü amaçlı yazılım için taramalıdır çünkü ransomware operatörleri, görünür şifrelemeden önceki sessiz dönemde yedekleme altyapısını ele geçirir; bu da bir geri yükleme noktasının saldırganın araçlarını üretime geri taşımasına yol açar. Entegre bir siber güvenlik ve yedekleme platformu, güvenlik durumunu ve geri yükleme yeteneğini tek bir politika düzeyinde tutarak bunu önler. Acronis Cyber Protect, yedekleme, kötü amaçlı yazılımdan koruma ve uç nokta yönetimini tek bir korlama politikası altında tek bir ajan üzerinden çalıştırarak bunu sağlar; böylece desteklenen yedekleme görüntüleri geri yükleme iş akışının bir parçası olarak taranabilir ve mümkünse düzeltilebilir.

Bu sessiz dönem genellikle «kalma süresi» olarak tanımlanır: ilk zafiyetten saldırının görünür etkisine kadar geçen süre. Saldırganlar bu süreyi, her şey sağlıkmış gibi görünürken yedekleri bulup ele geçirmek için kullanır. Acronis Cyber Protect, yedekleme ve kötü amaçlı yazılımdan koruma yeteneklerini yönetimi birleştiren bir deneyimle birleştirerek, geri yükleme sırasında ayrı yedekleme ve güvenlik ürünlerini koordine etme ihtiyacını azaltır; böylece ekip tek bir soruya tek bir cevap alır: Bu geri yükleme noktası hem tamamlanmış hem de temiz mi? Bu, ayrı yedekleme ve güvenlik konsolları arasındaki manuel uyumlama adımını ortadan kaldırır; ki bu da tam da aktif bir olay sırasında maliyetli olan türden bir adımdır.

Kurumumun mevcut ransomware (fidye yazılımına karşı) hazırlığını nasıl değerlendiririm?

Ransomware hazırlık değerlendirmesi, yalnızca yedeklerin var olup olmadığını değil, dört belirli koşulu sınar.

CISA, siber güvenlik değerlendirme aracının sunduğu, kuruluşları bu aynı kategorilere göre kademeli bir öz-değerlendirmeden geçiren ücretsiz Ransomware Hazırlık Değerlendirmesini sunuyor. Yukarıdaki dört satırın her birini kanıtlarla, varsayımlarla değil yanıtlayamayan bir kuruluş, hazırlık açığını tespit etmiş demektir. Her satırı, yukarıda gösterildiği gibi bir platform yeteneğiyle kapatmak, değerlendirmeyi kağıt üzerinde bir egzersizden, karşılığında bir düzeltme bulunan bir kontrol listesine dönüştürür.

Gerçek bir olay sırasında felaket kurtarma planlarının başarısız olmasının en yaygın nedenleri nelerdir?#

Gerçek bir olay sırasında felaket kurtarma planlarının başarısız olmasının en yaygın nedeni, planın eksik olması değil, hiç test edilmemesidir. Beş başarısızlık modu hasarın büyük kısmını oluşturur.

1. Sadece çalışacağı varsayılan, aslında hiç gerçekleştirilmemiş geri yüklemeler. Acronis Cyber Protect, geri yükleme doğrulama yetenekleri sunar; desteklenen felaket kurtarma yapılandırmaları ayrıca test edilebilir.
2. Üretimle aynı sızdırılmış ağ segmentinden erişilebilir yedeklemeler, bunlara sahip olmanın amacını ortadan kaldırır. Değiştirilemez, izole edilmiş yedekleme depolama bu bağımlılığı ortadan kaldırır.
3. Artık güncel sistemleri, bağımlılıkları veya personeli yansıtmayan güncel olmayan veya eksik çalışma kitapçıkları. Çalışma kitapçığı orkestrasyonu, düzenli bir kurtarma sırasını standartlaştırabilir; ancak ekipler yükler, bağımlılıklar, ağlar veya sorumluluklar değiştiğinde çalışma kitapçıklarını yine de gözden geçirmeli ve test etmelidir.
4. Bir uygulamanın geri yüklenmesinin, kendisine bağımlı bir sistemin önce geri yüklenmemesinden ya da hiç geri yüklenmemesinden dolayı başarısız olması gibi bağımlılık açıkları. Bağımlı yükler üzerinde orkestrasyonla, düzenli kurtarma bunu doğrudan giderir.
5. Zamanlı bir testle hiç doğrulanmayan, kağıt üzerinde gerçek olay sırasında yaşananlarla hiçbir ilgisi olmayan bir sayı bırakmayan gerçekçi olmayan kurtarma zamanı hedefleri. Düzenli, zamanlı kurtarma alıştırmaları, belirtilen kurtarma hedeflerinin ulaşılabilir olup olmadığına dair kanıt sağlar.

Her satır, planlama açığından çok bir test açısına dayanır. Kağıt üzerinde mevcut olup hiç tekrarlanmamış bir plan, kurtarma konusunda kanıtlanmış bir yetenekten ziyade bir varsayımdır.

Ransomware kurtarması üretim süreçlerini bozmadan nasıl test edilir?

Ransomware kurtarmasını test etmek, üretim sistemlerine canlı bir saldırı simüle etmeyi gerektirmez. İzolasyon, doğrulama ve kurtarma süresini içeren kontrollü bir test altı adımla gerçekleştirilir.

1. Bir senaryo ve bir sistem seçin. Tek bir kritik olmayan sunucu için kurtarma alıştırması pratik bir başlangıç noktasıdır.
2. Kurtarma işlemini yalnızca izole edilmiş bir ortamda gerçekleştirin, asla üretim üzerinde değil.
3. Sistemi temiz olarak kabul etmeden önce kurtarılan görüntüde kötü amaçlı yazılım taraması yapın. Acronis Cyber Protect’in yedekleme kötü amaçlı yazılım taraması bu adımı kurtarma sürecinin bir parçası olarak otomatik olarak yerine getirir.
4. İşlevselliği doğrulayın, görünüşü değil. Uygulamanın başladığını, verinin tamam olduğunu ve bağımlı sistemlerin yeniden bağlandığını onaylayın.
5. Gerçek geçen süreyi, belirtilen kurtarma zamanı hedefiyle karşılaştırın. Acronis Cyber Protect’in felaket kurtarma runbook’ları bu sırayı standartlaştırır ve kurtarma ile işlevsel doğrulama arasındaki boşluğu kısaltır.
6. Bir programa göre tekrarlayın. Ortamlar değişir ve önceki bir plan artık güncel ortamı yansıtmayabilir.

NIST’in Devamlılık Planlama Kılavuzu (SP 800-34), test ve alıştırmaları devamlılık planlamanın zorunlu bir aşaması olarak öngörür. Alıştırılmamış bir plan bir varsayım olup bir yetenek değildir. “Yedeklerimiz var” ile “ransomware saldırısı sırasında temiz veriyi kurtarabiliriz” farklı iddialardır ve saldıranlar bu boşluktan yararlanır. Bu boşluğu kapatmak değiştirilemez depolama, ayrı erişim, kötü amaçlı yazılımdan taranmış kurtarma noktaları ve test edilmiş kurtarma gerektirir.

Acronis Cyber Protect, değiştirilemez depolamadan test edilmiş kurtarmaya kadar tüm dört özelliği tek bir platformda sunar. Altı adımlı testi bu platforma uygulayın; çalışan bir kurtarma, herhangi bir özellik listesinden daha fazlasını söyler. Yetenekler sürüme, dağıtım modeline ve lisanslamaya göre değişir.

Pavel Egorikhin —

Acronis’te Ürün Pazarlaması Direktörü

Felaka Karşı Kurtarma

Uç Nokta Güvenliği