Fidye Yazılımı Dayanıklılık Testi: Kurum Ne Kadar Hazır?

Fidye yazılımına karşı hazırlık, alınan önlemlerin sayısıyla değil, bir saldırı anında hangilerinin gerçekten çalıştığıyla ölçülür. Fidye yazılımı hazırlık testi, yedekleme, erişim güvenliği, tespit ve müdahale başlıklarındaki 11 kontrolü ağırlıklandırarak 0 ile 100 arasında bir dayanıklılık puanı üretir ve eksikleri önem sırasına koyar. Bu ransomware testi, CISA’nın #StopRansomware rehberindeki önerilere ve NIST Siber Güvenlik Çerçevesi’nin işlevlerine dayanır.

Her soru Evet, Kısmen veya Hayır olarak cevaplanır. Cevaplar tarayıcıda kalır, hiçbir sunucuya gönderilmez.

Puan nasıl hesaplanır?

Her cevap bir katsayıya çevrilir: Evet 1, Kısmen 0,5, Hayır 0. Katsayı ilgili kontrolün ağırlığıyla çarpılır, toplam 25 olan ağırlığa bölünür ve 100 üzerinden puana dönüştürülür.

Ağırlıklar, kontrolün saldırı sonrasında kurtarmayı ne kadar belirlediğine göre verilmiştir. Kontroller CISA’nın #StopRansomware rehberinden derlenmiştir:

Kontrol	Ağırlık
En az bir yedek kopyası değiştirilemez (immutable) veya çevrimdışı	3
Geri yükleme düzenli olarak test ediliyor	3
Uzak erişim, e-posta ve yönetici hesaplarında MFA	3
RDP ve yönetim arayüzleri internete doğrudan açık değil	3
Güvenlik güncellemeleri, özellikle internete açık sistemlerde, düzenli	2
Davranış tabanlı uç nokta koruması (EDR/XDR)	2
Ağ segmentasyonu ve ayrı yedekleme ağı	2
Ayrı yönetici hesapları, yedekleme sisteminde ayrı kimlik bilgileri	2
Güvenlik olaylarının 7/24 izlenmesi	2
Yazılı ve tatbikatı yapılmış olay müdahale planı	2
E-posta filtreleme ve farkındalık eğitimi	1

Sonuç ekranı eksikleri ağırlığa göre sıralar; her eksiğin yanında kısa bir öneri ve ilgili hizmet bağlantısı yer alır.

Puan bantları ne anlama gelir?

50’nin altı düşük, 50 ile 79 arası orta, 80 ve üzeri yüksek dayanıklılık olarak gösterilir. Bant, bir saldırının olup olmayacağını değil, saldırı sonrası işlerin ne kadar hızlı ve kayıpsız toparlanabileceğini yorumlar.

Örnek bir senaryoda yalnızca değiştirilemez yedek ve MFA soruları Evet, geri yükleme testi Kısmen, diğerleri Hayır olarak cevaplanmış olsun. Hesap (3 + 3 + 1,5) / 25 = 0,30 olur ve puan 30 ile düşük banda düşer. İki güçlü kontrol tek başına yeterli sayılmaz, çünkü saldırganın ilk girişini ve ağ içinde yayılmasını sınırlayan katmanlar eksiktir.

Yüksek bant, kontrollerin kâğıt üzerinde var olduğunu gösterir. Kontrollerin gerçekten çalıştığını kanıtlamak için aşağıdaki doğrulama adımları gerekir.

Her kontrol neyi kanıtlar, nasıl doğrulanır?

Bir kontrole Evet demek için ortada görülebilir bir kanıt olmalıdır. Kanıt yoksa veya yalnızca bazı sistemleri kapsıyorsa doğru cevap Kısmen’dir.

Kurtarma: yedek ve geri yükleme

Değiştirilemez veya çevrimdışı yedek, saldırganın yönetici yetkisi ele geçirse bile son temiz kopyayı silemeyeceğini kanıtlar. Doğrulama için yedekleme yazılımında kilit (retention lock) süresinin tanımlı olduğu ve bir yöneticinin bu süre dolmadan kopyayı silemediği gösterilmelidir. Kavramın ayrıntısı immutable backup hizmet sayfasında anlatılıyor.

Geri yükleme testi, yedeğin gerçekten açıldığını ve ne kadar sürede açıldığını kanıtlar. Kanıt olarak tarihli test kaydı, geri yüklenen sistemin adı ve ölçülen süre aranır. Yalnızca dosya düzeyinde yapılan testler, tüm sunucunun geri yüklenmesi denenmediyse Kısmen sayılır.

Erişim: MFA, RDP ve yetkiler

MFA kontrolü, çalınan bir parolanın tek başına içeri girmeye yetmediğini kanıtlar. Kimlik sağlayıcıdaki raporda MFA kaydı olmayan hesap kalmamalı, istisnalar yazılı gerekçeye bağlanmalıdır. VPN, e-posta ve yönetici hesaplarından biri bile dışarıda kalıyorsa cevap Kısmen’dir.

RDP ve yönetim arayüzlerinin internete kapalı olduğu, dışarıdan yapılan bir port taramasıyla doğrulanır; güvenlik duvarı kuralı tek başına kanıt değildir. Yetki kontrolünde ise günlük işlerin yönetici hesabıyla yapılmadığı ve yedekleme sistemine etki alanı (domain) hesabıyla girilemediği gösterilmelidir.

Önleme ve tespit: yama, EDR, segmentasyon, izleme

Güncelleme kontrolünde kanıt, internete açık sistemlerin yama düzeyini gösteren güncel envanterdir. EDR kontrolünde yönetim konsolundaki ajan sayısı, sunucu ve bilgisayar envanteriyle karşılaştırılır; aradaki fark korunmayan cihazları gösterir.

Segmentasyon, kullanıcı ağındaki bir bilgisayardan yedekleme sunucusuna erişilememesiyle doğrulanır. 7/24 izleme kontrolünde ise mesai dışında üretilen bir uyarının kim tarafından, ne kadar sürede ele alındığı kayıtlarda görülmelidir. Uyarıların yalnızca e-posta kutusunda biriktiği bir yapı izleme sayılmaz.

Hazırlık: müdahale planı ve e-posta

Olay müdahale planının kanıtı, rollerin ve iletişim bilgilerinin güncel olduğu yazılı belge ile son tatbikatın tarihidir. E-posta kontrolünde filtreleme kurallarının etkin olduğu ve eğitimin son bir yıl içinde tekrarlandığı gösterilmelidir.

Eksikler hangi sırayla kapatılmalı?

Önce kurtarmayı mümkün kılan kontroller, sonra saldırganın giriş yollarını kapatan kontroller ele alınmalıdır. Sonuç ekranındaki ağırlık sırası bu mantığı izler.

Değiştirilemez yedek ve geri yükleme testi eksikse, diğer tüm önlemler aşılsa bile verinin geri alınabilmesi şansa kalır. Bu iki madde, saldırı sırasında fidye ödemeden işe dönmenin ön koşuludur. MFA ve RDP’nin internete kapatılması ise en sık kullanılan giriş yollarını hızlı ve düşük maliyetle daraltır.

Ağırlığı eşit maddeler arasında seçim yapılırken uygulama süresi dikkate alınabilir. Yönetici hesaplarının ayrılması birkaç günde tamamlanabilirken ağ segmentasyonu planlama gerektirir. Kısa sürede kapanan bir eksik, puanı hemen yükseltir ve uzun soluklu işlere zaman kazandırır.

Fidye yazılımına karşı önlemler kontrol listesinin her maddesinin ayrıntılı anlatımı, genel koruma yöntemleri ve saldırı türleri fidye yazılımından korunma rehberinde yer alıyor. Bu sayfa, önlemlerin mevcut durumunu ölçmeye odaklanır.

“Kısmen” cevabı ne zaman verilmeli?

Kontrol vardır ama tüm kapsamı karşılamıyorsa veya kanıtı eksikse cevap Kısmen’dir. Belirsizlik durumunda Evet yerine Kısmen seçmek, puanın gerçek durumu abartmasını önler.

Tipik örnekler şunlardır: MFA yalnızca e-postada açık, VPN’de kapalı; yedekler değiştirilemez ama bazı sunucular yedek kapsamı dışında; olay müdahale planı yazılı ama hiç tatbik edilmemiş. Bu durumların her biri, saldırganın kullanabileceği bir boşluk bırakır.

Test sonucu tatbikatla nasıl doğrulanır?

Öz değerlendirme puanı, iki tür tatbikatla doğrulanmalıdır: masa başı senaryo çalışması ve gerçek geri yükleme denemesi. CISA rehberi de olay müdahale planının düzenli tatbik edilmesini önerir.

Masa başı tatbikatta ilgili ekipler bir fidye yazılımı senaryosu üzerinden adım adım ilerler: kim karar verir, hangi sistemler ağdan ayrılır, yönetime ve müşterilere ne zaman bilgi verilir. Tatbikatın sonunda çıkan eksikler plana işlenir.

Geri yükleme tatbikatında kritik bir sistem, izole bir ortamda yedekten ayağa kaldırılır ve süre ölçülür. Ölçülen süre, iş birimlerinin kabul edebileceği kesinti süresiyle karşılaştırılır. Aradaki fark, ransomware hazırlık seviyesinin en somut göstergesidir.

Testin kapsamı ve sınırları

Bu araç bir öz değerlendirmedir; sızma testi, zafiyet taraması veya denetimin yerini tutmaz. Cevapların doğruluğu, cevaplayan kişinin altyapı hakkındaki bilgisine bağlıdır.

Kontroller NIST Siber Güvenlik Çerçevesi’nin tanımlama, koruma, tespit, müdahale ve kurtarma işlevlerine yayılacak şekilde seçilmiştir (NIST Cybersecurity Framework). Testin altı ayda bir veya büyük bir altyapı değişikliğinden sonra tekrarlanması, puanın zaman içindeki değişimini izlemeyi sağlar.

MAV Cloud’da yedekleme, izleme ve müdahale

MAV Cloud’un yedekleme hizmeti Veeam tabanlıdır ve yedekleme depolaması Türkiye’de bulunur. Değiştirilemez yedek kontrolündeki eksik, bu yapı üzerinde ele alınabilir. Güvenlik olaylarının izlenmesi ise SOC hizmeti kapsamında değerlendirilir.

Bir olay anında ilk müdahalenin ne kadar sürede başlayacağı önceden bilinmelidir. MAV Cloud’un hizmet seviyesi sözleşmesi yedekleme hizmetleri için aylık %99,9 erişilebilirlik hedefi tanımlar; ilk müdahale hedefleri kritik öncelikte 15 dakika, yüksek öncelikte 1 saat, orta öncelikte 4 saat, düşük öncelikte 1 iş günüdür.

Bilgi güvenliği ve iş sürekliliği yönetimi de dayanıklılığın parçasıdır. MAV Cloud; ISO/IEC 27001, ISO/IEC 27701, ISO 22301, ISO/IEC 20000 ve ISO 9001 belgelidir (sertifikalarımız).

Sıkça Sorulan Sorular

Fidye yazılımı hazırlık testi kaç dakika sürer?

11 soru vardır ve altyapıyı bilen biri için birkaç dakika yeterlidir. Doğrulama adımları için kanıt toplamak ise daha uzun sürer.

80 üzeri puan saldırıya karşı tam koruma anlamına gelir mi?

Hayır. Yüksek puan, temel kontrollerin yerinde olduğunu ve saldırı sonrası toparlanma şansının yüksek olduğunu gösterir. Hiçbir kontrol seti riski sıfıra indirmez.

Neden yedekleme soruları en yüksek ağırlığa sahip?

Diğer tüm önlemler aşıldığında veriyi geri getiren tek katman yedektir. Değiştirilemez bir kopya ve test edilmiş geri yükleme süreci, fidye ödemeden işe dönmenin ön koşuludur.

Test ne sıklıkla tekrarlanmalı?

Altı ayda bir veya yeni bir uzak erişim yöntemi, yeni şube ya da büyük bir sistem geçişi gibi değişikliklerden sonra tekrarlanması önerilir.

Kısmen ve Hayır cevapları arasındaki fark nedir?

Kısmen, kontrolün var olduğunu ancak tüm kapsamı karşılamadığını veya kanıtının eksik olduğunu gösterir ve yarım puan alır. Hayır, kontrolün hiç uygulanmadığı anlamına gelir.

Girilen cevaplar bir yere kaydediliyor mu?

Hayır. Hesaplama tarayıcıda yapılır, cevaplar sunucuya gönderilmez.

Puan düşük çıktıysa en yüksek ağırlıklı iki eksikle başlamak, kısa sürede en büyük farkı yaratır. Puan yüksekse sıradaki adım, sonucu bir geri yükleme tatbikatıyla doğrulamaktır.