Immutable Backup Nedir? Ransomware'e Karşı 3-2-1-1-0 Yedekleme

Yedeğim var diye rahat olan bir işletmenin fidye saldırısında neyi kaybettiğini söyleyeyim: yedeğini. Modern fidye grupları artık dosyaları şifrelemeden önce sessizce ağda dolaşıp yedekleme sunucusunu, NAS paylaşımını ve bulut senkronizasyon klasörünü buluyor. Önce onları siliyor ya da şifreliyor, sonra üretim verisine geçiyor. Pazartesi sabahı “geri yükleriz” dediğiniz arşivin de şifrelendiğini fark ettiğiniz an, pazarlık masasına oturmaktan başka seçenek kalmıyor.

Değişmez yedekleme (immutable backup) tam olarak bu problemi çözmek için var.

Immutable Backup Nedir?

Immutable backup, belirlenen saklama süresi boyunca hiç kimsenin değiştiremeyeceği veya silemeyeceği bir yedek kopyadır. Yöneticinin kendisi bile silemez; ağa sızan saldırgan da, çalınmış bir yönetici şifresi de silemez. Teknik temeli WORM’dur (Write Once, Read Many): veri bir kez yazılır, süre dolana kadar yalnızca okunabilir.

Pratikte bu üç yoldan biriyle uygulanıyor:

• Object Lock — Amazon S3 Object Lock veya Azure Immutable Blob ile bulut depolamada Compliance Mode kilidi
• Hardened Linux repository — Veeam gibi çözümlerde, root erişimi bile silmeyi engelleyen sertleştirilmiş yedek deposu
• WORM teyp / air-gap — fiziksel olarak ağdan kopuk, kapalı tutulan kopya

Object Lock’un Compliance Mode’unda, AWS root hesabı dahi retention süresi dolmadan veriyi silemez. Yani yedeğin güvenliği artık bir parolaya değil, depolamanın kendi kuralına bağlanır.

3-2-1 Kuralı Neden 3-2-1-1-0’a Dönüştü?

Klasik 3-2-1 kuralını çoğu BT sorumlusu bilir: 3 kopya, 2 farklı ortam, 1 kopya tesis dışında. Bu kural disk arızasına ve yangına karşı yıllarca işe yaradı. Ama fidye yazılımı ağdaki her erişilebilir kopyaya aynı anda ulaştığı için, “tesis dışı ama internete bağlı” bir yedek de artık güvenli sayılmıyor.

Veeam’in genişlettiği 3-2-1-1-0 kuralı bu boşluğu kapatıyor:

Rakam	Anlamı	Neyi çözer
3	En az 3 veri kopyası (üretim + 2 yedek)	Tek nokta arızası
2	2 farklı ortam/medya türü	Ortama özgü hatalar
1	1 kopya tesis dışında	Yangın, sel, hırsızlık
1	1 kopya çevrimdışı, air-gapped veya değişmez	Fidye yazılımı, içeriden silme
0	Geri yükleme testinde 0 hata	”Yedek var ama açılmıyor” felaketi

Sondaki 0 çoğu işletmenin atladığı kısım. Yedek almak ile yedekten geri dönebilmek aynı şey değil. Düzenli restore testi yapmayan bir kurumun yedeği, ihtiyaç anına kadar sadece bir varsayımdır.

RTO ve RPO: İki Sayı Tüm Stratejiyi Belirler

Yedekleme planı yapmadan önce iki soruyu netleştirmek gerekir. Bunlar size hangi teknolojiye, ne sıklıkta yedek aldığınıza ve ne kadar bütçe ayırmanız gerektiğine kadar her şeyi söyler.

• RPO (Recovery Point Objective): En fazla ne kadarlık veriyi kaybetmeyi göze alabilirsiniz? Günde bir yedek alıyorsanız RPO’nuz 24 saattir — son yedekten bu yana girilen tüm faturalar, e-postalar, kayıtlar gider.
• RTO (Recovery Time Objective): Sistem çöktükten sonra en geç ne kadar sürede ayağa kalkmalı? E-ticaret için bu birkaç saat, bir muhasebe firması için belki bir gün olabilir.

İş yükü	Makul RPO	Makul RTO
ERP / muhasebe veritabanı	1–4 saat	4–8 saat
E-posta (Exchange/M365)	< 1 saat	birkaç saat
Dosya sunucusu	12–24 saat	1 gün
Statik arşiv	24 saat+	esnek

Bu hedefleri yazıya dökmek, “her ihtimale karşı her şeyi saatlik yedekleyelim” gibi pahalı ve gereksiz kararların önüne geçer. Kritik olana yatırım yaparsınız, gerisini makul tutarsınız.

KOBİ İçin Pratik Yol Haritası

Türkiye’de fidye saldırılarının ağırlıklı hedefi büyük holdingler değil; 100 ve altı çalışanlı orta ölçekli işletmeler. Trend Micro ve BTK raporlarında Türkiye, dünyada en çok fidye yazılımı saldırısı alan ülkeler arasında düzenli olarak anılıyor. Küçük bir işletme için tek bir başarılı saldırı, çoğu zaman tamamen kapanma anlamına geliyor.

Sahada işe yarayan sıralama şu:

1. Kritik verileri sınıflandırın — neyi kaybederseniz iş durur?
2. Bu veriler için RTO/RPO hedeflerini yazılı belirleyin
3. 3-2-1-1-0’ı kurun: en az bir kopya değişmez olsun
4. Yedekleri şifreleyin (transit ve durağan)
5. Geri yükleme testini takvime bağlayın — en az çeyrekte bir
6. Yetkileri ayırın: yedek yöneticisi ile ağ yöneticisi aynı hesap olmasın

İlk üç adım bile, fidye saldırısında “ödeyelim mi” sorusunu masadan kaldırmaya yeter.

Sık Sorulan Sorular

Bulut yedekleme tek başına fidyeye karşı yeter mi? Hayır. Standart bir bulut senkronizasyonu (örneğin OneDrive, Drive klasörü) şifrelenen dosyaları buluta da kopyalar. Object Lock veya sürümleme (versioning) açık değilse, bulut da etkilenir. Değişmezlik özelliği açıkça etkinleştirilmelidir.

Microsoft 365 verisini ayrıca yedeklemeli miyim? Evet. Microsoft paylaşılan sorumluluk modeline göre altyapıyı korur; verinin yedeği size aittir. Silinen bir Exchange Online posta kutusu genellikle belirli bir süre sonra kalıcı olarak kaybolur. Bu konuyu ayrı bir rehberde ele aldık: Microsoft 365 yedekleme rehberi.

Acronis mi Veeam mi? İkisi de değişmez yedeklemeyi destekliyor. Veeam, sanallaştırma ağırlıklı ve hardened repository isteyen ortamlarda güçlü; Acronis, uç nokta + anti-malware bütünleşmesi arayan KOBİ’ler için pratik. Doğru seçim ortamınıza bağlı — kör bir “en iyisi” yok.

Yedekleme mimarinizi fidye senaryosuna göre gözden geçirmek isterseniz, mevcut altyapınızı inceleyip 3-2-1-1-0’a uygun bir plan çıkaralım. Bizimle iletişime geçin; hangi kopyanızın gerçekten kurtarıcı, hangisinin sadece teselli olduğunu netleştirelim.