Ransomware Müdahale & Kurtarma — Saatler İçinde Müdahale
Ransomware'in ilk birkaç saati kritiktir: yanlış adım şifrelenmiş veriyi kalıcı kaybedebilir, saldırganın sistemdeki varlığını gizleyebilir ya da sigorta ve hukuki süreci riske atabilir. Sistemi izole ederiz, saldırı vektörünü tespit eder ve yasal kanıt zincirini bozmayla temizler, yedeklerden güvenli kurtarma yapar ve aynı saldırının tekrarını önleyecek sertleştirmeyi uygularız.
Bu hizmet hangi sorunu çözer?
Ransomware saldırılarının büyük çoğunluğu tek bir sistemde başlamaz; saldırgan genellikle haftalarca veya aylarca ağ içinde sessizce hareket eder (lateral movement), yedeklere ulaşır ve fidye yazılımını tetiklemeden önce hazırlığını tamamlar. Bu nedenle "sadece şifreyi çözdük ve devam ettik" yaklaşımı tehlikelidir: kalıcı erişim yolu (backdoor) ağda kalmış olabilir ve birkaç hafta sonra saldırgan tekrar geri döner. Doğru müdahale; temizliği değil önce tüm güvenlik ihlalinin kapsamını ortaya çıkarmayı gerektirir.
- Acele temizlik sonrası saldırganın kalıcı erişim yolu ağda bırakılmış olabilir
- Sigorta şirketi adli kanıt olmaksızın talebi reddedebilir
- KVKK 72 saatlik bildirim yükümlülüğü gecikirse idari ceza riski
- Kritik üretim verisinin geri dönüşü olmaksızın kaybı
- Hasarlı sistemin yeniden üretim ortamına alınması — ikinci saldırı riski
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Faz 1 — Acil Müdahale (0-4 saat)
- İlk temas ve teknik durumu anlama
- Etkilenen sistemlerin izolasyonu (ağ kesilmeden önce tehdidi kontrol altına alma)
- Mevcut yedeklerin güvenliğini teyit etme
- Durumun aile üyelerine (hukuk, üst yönetim, sigorta) bildirilmesi için rehberlik
Faz 2 — Kapsam ve Vektör Analizi (ilk 24-72 saat)
- Hangi sistemlerin etkilendiğinin tam tespiti
- Saldırı giriş vektörü analizi (phishing, RDP, VPN, güncellenmemiş sistem vb.)
- Lateral movement ve persistence mekanizmalarının tespiti
- Veri sızıntısı (exfiltration) kanıt araştırması
- Saldırgan ne kadar süredir içeride — zaman çizelgesi
Faz 3 — Temizleme ve Kurtarma
- Saldırgan araç ve arka kapıların temizlenmesi
- Ele geçirilen hesap kimlik bilgilerinin sıfırlanması
- Yedeklerden doğrulanmış güvenli kurtarma
- Sistemi üretime almadan önce güvenlik doğrulaması
Faz 4 — Sertleştirme ve Kapanış
- Saldırı vektörünün kalıcı olarak kapatılması
- Kritik açıkların acil yamalanması
- Çok faktörlü doğrulama zorunluluğu
- Gelişmiş izleme ve uyarı kurulumu
- Adli rapor ve KVKK/sigorta için teknik özet
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
RDP (Uzak Masaüstü) kaba kuvvet ile ilk erişim — 3 hafta önce
Güçlü olmayan RDP şifresi kaba kuvvetle kırılmış; saldırgan 3 haftadır ağda sessizce hareket etmiş, yedeklere ulaşmış ve fidyeyi tetiklemeden önce veriyi sızdırmış.
ÖneriRDP erişimini VPN arkasına alın, MFA zorunluluğu ekleyin, güçlü şifre politikası uygulayın ve anormal oturum uyarıları kurun.
Yedekler de şifreli — NAS erişimi ele geçirilmiş
Ağa bağlı yedek sunucusu aynı kimlik bilgisiyle erişilebilir olduğundan ransomware yedekleri de şifrelemiş; kurtarma için çok sınırlı seçenek kaldı.
ÖneriYedekleri ağ erişiminden izole edin; 3-2-1 kuralı (3 kopya, 2 farklı medya, 1 çevrimdışı).
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- Olay zaman çizelgesi ve kapsam raporu
- Saldırı vektörü ve lateral movement analizi
- Temizleme ve kurtarma kanıt belgesi
- IOC listesi (güvenlik ekibi ve SIEM entegrasyonu için)
- Adli teknik rapor (sigorta ve hukuki süreç için)
- KVKK ihlal bildirim raporu taslağı
- Tekrar önleme sertleştirme önerileri listesi
Kimler için?
- Aktif fidye yazılımı saldırısı yaşayan her büyüklükteki şirket
- Saldırıdan kurtulmuş ama temiz olduğundan emin olmak isteyen işletmeler
- Sigorta talebi veya KVKK bildirimi için adli rapor gereken şirketler
Bu hizmeti ne zaman düşünmelisiniz?
- Sistemlerde beklenmedik şifreleme veya fidye notu görüldüğünde — hemen
- Şüpheli hesap aktivitesi veya anormal network trafiği tespit edildiğinde
- Saldırı sonrası sistemi temizlediğinizi düşünüyorsanız ama emin değilseniz
Acil Müdahale mi, Retainer Paketi mi?
| Acil Müdahale (Olay Anında) | Olay Müdahale Retainer (Proaktif) | |
|---|---|---|
| Hazırlık | Olay sonrası — tepkisel | Olay öncesi — proaktif |
| Müdahale süresi | Kapasiteye göre değişir | SLA'lı garantili süre (ör. 4 saat) |
| Maliyet | Proje fiyatlandırması (yüksek kriz ek ücreti) | Aylık sabit + öncelikli erişim |
| Hazırlık planı | Yok | Önceden hazırlanmış müdahale planı |
Sıkça Sorulan Sorular
Saldırı anında hemen ne yapmalıyım?
Fidyeyi ödeyelim mi?
Yedek yok, veriler şifreli — kurtarma mümkün mü?
KVKK bildirimi ne zaman zorunlu?
Sigorta şirketim adli rapor istiyor, hazırlayabilir misiniz?
İlgili hizmetler, araçlar ve rehberler
Ransomware Müdahale & Kurtarma için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.