Bir sabah işe geliyorsunuz. Dosyalar açılmıyor, ekranda bir not var. Telefonlar çalıyor, kimse ne yapacağını bilmiyor. Bu bir korku senaryosu değil; bir hazırlık sorusu: o sabah ne olur?
Aşağıdaki on adım, KOBİ ve orta ölçekli kurumlar için pratik bir rehberdir. Hiçbiri tek başına sorunu çözmez. Birlikte, saldırganın işini zorlaştırır ve toparlanmanızı kolaylaştırır. Hepsini aynı anda yapmanız gerekmez; sıra ortamınıza göre değişir. Yazı genel bilgi amaçlıdır, hukuki değerlendirme içermez.
1. Envanter ve yama düzeni
Elinizde ne olduğunu bilmiyorsanız neyi koruyacağınızı da bilemezsiniz. Saldırganlar bilinen açıkları arar; unutulmuş bir sunucu ya da yamalanmamış bir cihaz kolay hedeftir. Önce cihaz, sunucu, uygulama ve hesap listesini çıkarın. Basit bir tablo bu iş için yeterlidir. Sonra her kalemin güncelleme durumuna bakın. Başlamak için internete açık sistemleri ayrıca işaretleyin ve yamayı önce onlara uygulayın. Listeyi bir kez çıkarmak yetmez; güncellemeyi düzenli bir iş haline getirin.
2. Çok aşamalı doğrulama ve parola yönetimi
Çalınan bir parola, içeri girmek için bir yoldur. İkinci doğrulama adımı bu yolu daraltır. Önce e-posta, uzak erişim ve yönetici hesaplarında çok aşamalı doğrulamayı (MFA) açın. Sonra aynı parolayı birden fazla yerde kullanmayı bırakın; bir parola yöneticisi bunu kolaylaştırır. Başlamak için yönetici hesaplarının listesini çıkarın. Microsoft 365 kullanıyorsanız 5 kontrol yazımıza bakın. Microsoft 365 yönetimi hizmetimizde MFA, koşullu erişim ve roller de yer alır.
3. Yetki azaltma
Herkes yönetici yetkisiyle çalışıyorsa, tek bir kötü amaçlı dosya da yönetici gücüyle çalışır. Günlük iş için yerel yönetici hakkı gerekmez. Yetkiyi yalnız ihtiyacı olana ve yalnız gerektiği kadar verin. Yönetim işleri için günlük hesaptan ayrı bir hesap kullanın. Başlamak için yönetici grubundaki üyelerin listesini alın ve her biri için “bu yetki neden var?” diye sorun. Görevinden ayrılan ya da görev değiştiren kişilerin yetkilerini hemen güncelleyin.
4. E-posta ve ek filtreleme, kullanıcı farkındalığı
E-posta, kötü amaçlı yazılımın kuruma girdiği yollardan biridir. Filtreler şüpheli ek ve bağlantıları karantinaya alabilir; çalıştırılabilir dosyaları ve makro içeren ekleri engellemek iyi bir başlangıçtır. Hiçbir filtre her şeyi yakalamaz. Bu yüzden çalışanlarınız son savunma hattıdır. Kısa ve düzenli bir eğitim verin. Şüpheli iletiyi nereye bildireceklerini herkes bilsin. Başlamak için bugün kullanılan filtre ayarlarına bakın. Farkındalık eğitimini proje olarak sunarız.
5. Uç nokta koruması ve güncel imza
Her bilgisayar ve sunucu bir giriş noktasıdır. Uç nokta koruması, kötü amaçlı yazılımı çalışmadan durdurmaya ve şüpheli davranışı görünür kılmaya çalışır. Koruma yazılımı ve tanım dosyaları güncel olmalı. Kapalı ya da güncellenmeyen bir koruma, hiç yok gibidir. Sunucuları da unutmayın. Başlamak için hangi cihazlarda koruma olduğunu, hangilerinin son güncellemeyi aldığını listeleyin. Eksikleri kapatın. Uç nokta güvenliği (EDR) ve uzaktan izleme, siber güvenlik hizmetimizin parçasıdır.
6. Ağ ayrımı ve uzak erişimin kapatılması
Ağınız tek parçaysa, bir cihazdaki sorun hızla yayılabilir. Sunucuları, kullanıcıları, misafirleri ve yönetim cihazlarını ayrı bölümlere koyun. Aralarındaki geçişi güvenlik duvarı kurallarıyla sınırlayın. Uzak masaüstü gibi uzak erişim hizmetlerini doğrudan internete açık bırakmayın. Onları VPN arkasına alın ve MFA isteyin. Başlamak için güvenlik duvarınızda internete açık portların listesini çıkarın. Her birinin gerekçesini yazın; gerekçesi olmayanı kapatın. Güvenlik duvarı ile Site-to-Site ve SSL VPN yönetimini sunarız.
7. Yedek: 3-2-1-1-0 ve silinemez kopya
Bir saldırıda yedekler de hedef olabilir. 3-2-1 kuralı (ABD CISA’nın yedekleme rehberi) üç kopya, iki farklı ortam ve başka bir yerde bir kopya ister. Sektörde yaygınlaşan 3-2-1-1-0 uzantısı buna iki basamak ekler: biri değiştirilemez ya da çevrimdışı kopya, diğeri geri yükleme testlerinde sıfır hata. Değiştirilemez kopya, uyumluluk (compliance) kipinde ayarlandığında saklama süresi boyunca yönetici hesabıyla bile silinemez. Yedek sistemini günlük kullanıcı hesaplarından ayırın. Değiştirilemez kopya için yaygın yöntemler nesne depolamada kilit (Object Lock), sertleştirilmiş bir depo sunucusu ve WORM saklama süresidir. Geliştirdiğimiz yedekleme yazılımı TakeBackup üçünü de sunar; VMware ve Hyper-V sanal makinelerini yedekler ve yedekten yeni VM olarak geri yükler. Yedek işlerinizi yedekleme ve felaket kurtarma hizmetimizde yönetir ve izleriz.
8. Geri yükleme testi ve kurtarma planı
Test edilmemiş yedek, umut edilen bir yedektir. Yedeğin alındığını görmek ile geri dönebildiğinizi görmek farklı şeylerdir. Seçtiğiniz bir sistemi düzenli olarak başka bir yere geri yükleyin; açılıyor mu, veri tam mı bakın. Bir de yazılı kurtarma planı hazırlayın: kim karar verir, kim ağı ayırır, kim yedeği geri yükler, kim çalışanlara haber verir? Planın bir kopyasını sistemlerinizden bağımsız tutun; o gün e-postaya ulaşamayabilirsiniz. TakeBackup, VMware sanal makineleri için yalıtılmış açılış testi yapar: yedeği ağa bağlı olmadan açar, çalıştığını doğrular ve sonucu bildirir; haftalık otomatik bütünlük taraması da çalışır. Açılış testi makinenin başladığını gösterir, uygulamanın tutarlılığını göstermez. Geri yükleme testini yedekleme hizmetimize isteğe bağlı ekleriz; sıklığı ve raporu teklifte yazarız.
9. Kayıt ve izleme
Saldırı tek anda değil, adım adım ilerleyebilir. Olağandışı bir oturum açma, toplu dosya değişikliği ya da kapatılmış bir koruma yazılımı birer işaret olabilir. Bunları görmek için kayıt tutmanız, uyarıların da bir yere gitmesi gerekir. Uyarı, tek kişinin dolu posta kutusunda kaybolmasın; sorumlu kişiye ya da ekibe ulaşsın. Başlamak için sunucularınız, güvenlik duvarınız, uç nokta korumanız ve Microsoft 365 ortamınız için hangi kayıtların tutulduğuna ve ne kadar saklandığına bakın. Microsoft 365 tarafında güvenlik olayı izleme ve raporlama hizmetimizin içindedir.
10. Sızma testi ve düzenli denetim
Savunmanızın çalıştığını saldırganın değil, sizin öğrenmeniz gerekir. Sızma testi, yetkilendirilmiş bir ekibin sisteminizi saldırgan gözüyle denemesidir. Sonuçta elinizde bulgular ve düzeltme önerileri olur. Güvenlik denetimi ise ayarları ve süreçleri gözden geçirir. İkisi de bir kez yapılıp rafa kalkmaz; ortam değiştikçe yeniden bakmak gerekir. Başlamak için kapsamı belirleyin: hangi sistemler, hangi dönem, kimin haberi var? Sızma testini ayrı bir proje olarak iş ortaklarımızla yürütürüz.
Hazırlık adımları: ilk 30 günde 5 iş
Hepsini birden yapmanız gerekmez. Şu beş işle başlayın:
- Cihaz, sunucu ve hesap envanterini çıkarın; internete açık sistemleri işaretleyin.
- Yönetici hesaplarında ve e-postada MFA’yı açın.
- Yedeğin bir kopyasını değiştirilemez ya da çevrimdışı hale getirin; bir sistemi geri yükleyerek deneyin.
- Bir sayfalık kurtarma planı yazın: kim, ne yapar, hangi sırayla? Basılı bir kopyasını saklayın.
- Uzak erişimi gözden geçirin; doğrudan internete açık olanı VPN arkasına alın.
Sık sorulan sorular
Fidye ödenmeli mi? Bu hukuki ve kurumsal bir karardır; biz öneri vermiyoruz. Böyle bir durumda kolluk kuvvetlerine ve hukuk danışmanınıza başvurun.
Yedeğim varsa yeterli mi? Tek başına yetmez. Yedeğin değiştirilemez bir kopyası olmalı ve geri dönüşü test edilmiş olmalı. Ayrıca yedek, verinin geri gelmesine yardımcı olur; verinizin dışarı çıkmış olması ayrı bir sorundur.
Antivirüs yetmez mi? Uç nokta koruması önemli bir katmandır, ama tek katman değildir. Yama, yetki, yedek ve izleme birlikte düşünülmelidir.
Nereden başlamalıyım? Önce envanter, sonra yönetici hesapları ve yedek. Doğru sıra ortamınıza bağlıdır; bunu birlikte konuşabiliriz.
Kaynakça
Daha fazla bilgi için resmî kaynaklar:
- ABD CISA, #StopRansomware rehber sayfası: https://www.cisa.gov/stopransomware
- NIST, Cybersecurity Framework sayfası: https://www.nist.gov/cyberframework
- USOM (Ulusal Siber Olaylara Müdahale Merkezi) resmî sitesi: https://www.usom.gov.tr
Ücretsiz ön değerlendirme görüşmesi isteyin
Mevcut önlemlerinizi on adımın karşısına birlikte koyalım, eksik kalanları görelim.
