Belirtiler: saldırı altında mısınız?
Fidye yazılımı genelde şu şekilde fark edilir:
- Dosya adlarının sonuna tanımadığınız bir uzantı eklenmiş
- Klasörlerde okunmasını isteyen bir metin dosyası belirmiş
- Ofis dosyaları açılmıyor, "bozuk" uyarısı veriyor
- Sunucu beklenmedik şekilde yavaşlamış, diskler sürekli çalışıyor
- Yedekleme işi gece hata vermiş
Son madde önemli. Saldırganların çoğu önce yedekleri hedef alır; yedekleme hatası bazen ilk sinyaldir.
İlk saat: yayılımı durdurun
Sırayla ve panik yapmadan:
- Ağ bağlantısını kesin. Etkilenen makineleri kablosundan ayırın, kablosuz bağlantıyı kapatın
- Sunucuyu kapatmayın, ağdan izole edin. Kapatma bazı durumlarda bellekteki kanıtı ve kurtarma şansını yok eder
- Yedek ünitesini ağdan ayırın. NAS ya da harici diski hemen sökün, hâlâ temizse en değerli varlığınız odur
- Şifre değiştirmeyin (henüz). Önce sistemin temiz olduğundan emin olun, aksi halde yeni şifreler de kaydedilir
- Bilen birini arayın. Denemeler kurtarılabilir veriyi bozabilir
Kesinlikle yapmayın: dosyaları tek tek silmeye ya da antivirüsle temizlemeye çalışmak, şifreli dosyaların üzerine yazmak, sunucuyu formatlamak. Bunların hepsi kurtarma şansını azaltır.
Fidye ödenir mi?
Kısa cevap: ödememek esastır. Ödeme yapılan vakaların önemli bir kısmında ya anahtar hiç gelmiyor ya da gelen anahtar verinin bir kısmını açıyor. Ayrıca ödeme yapan işletme, bir kez ödeyebileceğini kanıtladığı için tekrar hedef oluyor.
Bu bir hukuki tavsiye değil; kararınızı hukuk danışmanınızla değerlendirin. Bizim teknik önerimiz, ödeme seçeneğini konuşmadan önce yedekten dönüş ihtimalini sonuna kadar zorlamaktır.
İkinci aşama: temiz yedekten dönüş
Yedekten dönmeden önce iki soruyu cevaplamak gerekir: yedek ne zaman alındı ve o tarihte sistem temiz miydi? Fidye yazılımları çoğu zaman şifrelemeden haftalar önce sisteme giriyor.
- Değiştirilemez kopyanız varsa ilk tercih odur, saldırgan ona dokunamamıştır
- Dönüşü temizlenmiş ya da yeniden kurulmuş bir sisteme yapın, eski sunucunun üzerine değil
- Önce tek bir sunucuyu ayağa kaldırıp doğrulayın, hepsini birden açmayın
- Dönüş sonrası tüm hesap parolalarını değiştirin, yönetici hesaplarını gözden geçirin
Yasal tarafı: KVKK bildirim yükümlülüğü
Kişisel veri içeren sistemler etkilendiyse, KVKK kapsamında veri ihlali bildirimi yükümlülüğünüz doğabilir. Bildirim süresi kısadır, bu yüzden teknik müdahaleyle eş zamanlı olarak hukuk tarafını da başlatmak gerekir.
Bu konuda avukatınızla ya da KVKK danışmanınızla çalışın; teknik ekip olarak bizim yaptığımız şey, hangi sistemlerin ve hangi veri türlerinin etkilendiğine dair teknik raporu hazırlamaktır.
Üçüncü aşama: aynı kapı tekrar açılmasın
Toparlanma bittikten sonraki iki hafta, kalıcı önlemleri almak için en verimli dönemdir. Saldırının nasıl girdiğini bulmadan kapatılan vaka, birkaç ay içinde tekrarlanır.
Giriş yollarının büyük çoğunluğu üç tanedir
- İnternete açık uzak masaüstü (RDP) portu
- Zayıf ya da tekrar kullanılan yönetici parolası
- E-posta ekiyle gelen zararlı dosya
Kalıcı önlemler
- Uzak erişimi yalnızca VPN üzerinden ve çok adımlı doğrulamayla açın
- Yönetici hesabını günlük kullanımdan ayırın, kimse gün içinde admin yetkisiyle dolaşmasın
- Ağı VLAN'larla bölün, yayılımı sınırlayın
- Değiştirilemez bulut yedeği kurun
- Güncellemeleri planlı biçimde uygulayın, özellikle sunucu ve güvenlik duvarı yazılımını
Saldırı öncesinde yapılacak tek şey
Bu yazıyı saldırı altında değilken okuyorsanız şanslısınız. Yapılacak tek şey var: yedekten dönüş tatbikatı.
Bir öğleden sonra ayırın, test ortamında yedekten gerçekten dönün ve süreyi ölçün. Bu tatbikatı yapmış bir işletmeyle yapmamış bir işletme arasındaki fark, saldırı gününde saatlerle değil günlerle ölçülür.
Kayseri'de ücretsiz yerinde keşif
Sistem odanıza gelelim, mevcut yapınızı inceleyelim. Envanter, risk raporu ve üç seçenekli maliyet karşılaştırması sizde kalır.
Sık sorulan sorular
Şifrelenmiş dosyalar kurtarılabilir mi?
Bazı eski zararlı türleri için ücretsiz çözücü araçlar mevcut. Güncel türlerde ise anahtarsız çözüm pratikte mümkün değil. Bu yüzden odak, yedekten dönüşte olmalı.
Sigorta bu zararı karşılar mı?
Siber sigorta poliçeniz varsa karşılayabilir, ancak çoğu poliçe yedekleme ve temel güvenlik önlemlerinin alınmış olmasını şart koşuyor. Poliçenizi bugünden okumanızı öneririz.
Saldırı sırasında bize ne kadar sürede ulaşabiliriz?
Uzaktan müdahale telefon görüşmesinin hemen ardından başlar. Kayseri içinde gerekiyorsa aynı gün sahadayız.