The latest articles on DEV Community by my-ceng (@my-ceng2). https://dev.to/my-ceng2 https://media2.dev.to/dynamic/image/width=90,height=90,fit=cover,gravity=auto,format=auto/https:%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Fuser%2Fprofile_image%2F4192448%2F64865f06-dc7a-4182-9d8c-97248b5ba7ca.png https://dev.to/my-ceng2 en my-ceng Mon, 19 Oct 2026 22:22:04 +0000 https://dev.to/my-ceng2/fidye-yazilimlari-ransomware-sirketlerin-korkulu-ruyasi-665 https://dev.to/my-ceng2/fidye-yazilimlari-ransomware-sirketlerin-korkulu-ruyasi-665 <h2> Giriş </h2> <p>Zararlı yazılımların <a href="https://en.wikipedia.org/wiki/Computer_virus#History" rel="noopener noreferrer">tarihi</a> neredeyse bilgisayar biliminin tarihi kadar eskidir.<br> İlk modern bilgisayarların inşaa edildiği dönemler, ünlü matematikçi John von Neumann<br> kendini kopyalayabilen ve sistem içerisinde yayılan programlar konsepti üzerinde çalışmalar yürütüyordu.<br> Bu çalışma Neumann'in vefatindan sonra ilerletilip 1966 yılında 'Theory of Self-Reproducing Automata' (Kendini Çoğaltabilen Otomatalar Kuramı) adı ile yayınladı.<br> O tarihten yaklaşık 5 yıl sonra, <a href="https://tr.wikipedia.org/wiki/ARPANET" rel="noopener noreferrer"><strong>ARPANET</strong></a> (günümüz internetinin öncesinde geliştirilen bir ağ) bilgisayarları üzerinde çalışması hedeflenen<br> <strong>'Creeper Worm'</strong> isimli zararlı yazılım geliştirildi. Yıllar boyunca zararlı yazılımlar çoğaldı, bazıları dünyayı kasıp kavurdu,<br> milyarlarca dolarlık zarara, işlerin aksamasına ve veri kaybına sebebiyet oldu.</p> <p>Sizlere burada en kötü şanlı zararlı yazılım türlerinden olan fidye yazılımları anlatacağım.</p> <h2> Fidye Yazılım Nedir? </h2> <p>Zararlı yazılımların fazlaca türü vardır. Bunlar arasında en çok fark gördüğümüz özellik yazılımın amacı ve yöntemidir.<br> Bir zararlı yazılım tek bir türün özelliklerini taşımak zorunda değildir, diğer türlerden de özellik barındırabilir. </p> <p>Sizlere basitçe birkaç türü ve amaçlarını listeledim:</p> <ul> <li> <strong>Worm</strong> (Çoğalır ve farklı bilgisayarlara/ağlara yayılır)</li> <li> <strong>Virus</strong> (Çoğalır ve Sistemde çalışan diğer programlara/dosyalara bulaşır)</li> <li> <strong>Trojan</strong> (Gerçek yazılımları taklit eder)</li> <li> <strong>Spyware</strong> (Kullanıcı aktivitelerini kaydeder)</li> <li> <strong>Rootkit</strong> (Bilgisayarda normalde erişilemeyen sistemlere erişim sağlamak için yol açar)</li> </ul> <p>Peki fidye yazılımlar <em>nedir?</em> Aslında amaçlarını adından az çok anlayabiliriz. Bulaştığı sistemlerde kullanıcıdan fidye isteyen yazılımlar.<br> Tamam, peki bu yazılımlar tam olarak neyi alıkoyuyor ki hedeflerinden fidye talep edebiliyorlar? Cevap verecek olursak, <strong><em>verilerini</em></strong>.</p> <p>Bunun için kullanıcının dosyalarına olan erişimini kesiyorlar veya dosyaları dışarı sızdırarak halka yayma ile tehdit ediyorlar.<br> Erişim engellemek için fidye yazılımı dosyaları kriptografi kullanarak şifreliyor. <br> Ödeme yöntemleri olarak genllikle belirli bir ücreti kripto para veya nakit kart olarak talep ediyorlar.<br> Saldırı gidişatına daha detaylı olarak değineceğiz.</p> <p>Bu saldırı yönteminin hedefleri özellikle şirketler, devletler ve çalışması kritik önem arz eden operasyonlar oluyor.<br> Sistemlerin çalışmayı durdurması ne kadar hasar veriyor ise sistemler saldırı için o kadar iyi bir hedef haline geliyor.<br> Bu sayede hedeflerden yüklü miktarda fidye isteyebiliyorlar.</p> <h2> Fidye Yazılımların Tarihi </h2> <p>İlk saldırı 1989 yılında bir mail listesinde postalanan floppy diskler aracılığıyla yayılan <strong>'AIDS Trojan'</strong> isimli bir yazılım olmuştu.<br> Aslında bu yazılım o kadar kötüydü ki ödeme olmadan da dosyalara kolaylık ile erişilebiliyordu. Yazılım yalnızca isimleri şifreliyip dosyaları ise<br> şifrelemeden gizliyordu. İsimleri şifrelemek için kullanılan anahtar aslında programın içinde bulunuyordu. Ödeme yöntemi ise Panama'da bulunan bir<br> posta kutusuna para göndermekti.</p> <p>1996 yılında ise <em>açık anahtar kriptografisi</em> kullanarak veri rehin alma kavramı ortaya atıldı. <br> Bunun sayesinde anahtarı programın içine gömmeye gerek kalmadı.</p> <p>2005-2013 yılları arasında daha güçlü şifreleme ve kullanıcıyı kısıtlama teknikleri (ekranı kilitlemek vb.) kullanan yazılımlar ortaya çıktı.<br> 2013-2016 yıllarında ise kripto paranın daha kullanıma uygun bir ödeme yöntemi olduğu görüşü yayıldı ve <strong>'CryptoLocker'</strong> isminde ünlü bir yazılım ile<br> fidye yazılımların popülerliği gittikçe arttı. CryptoLocker bulaştığı sistemlerden yaklaşık 27 milyon dolarlık Bitcoin aldı.</p> <p>12 Mayıs 2017'da küresel çaplı bir siber saldırı gerçekleşti. <strong>'WannaCry'</strong> isimli bir fidye yazılımı Windows kullanan bilgisayarlar arasında hızla ilerliyordu.<br> Saldırı 07.15 UTC saatinde başladı. Marcus Hutchins'in yazılıma konulmuş durdurma yöntemini keşfetmesi ile saldırı 15.03'te aksaklığa uğradı. <br> Sadece 8 saat geçmesine rağmen 150 ülke arasında 200 bin bilgisayara bulaştı ve verdiği hasarın <em>yüzlerce milyon dolar ile milyarlarca dolar</em> arasında olduğu tahmin ediliyor.<br> Bu kadar hızlı yayılmasının arkasındaki sebep NSA tarafından geliştirilen ve saldırıdan bir ay önce çalınan <strong>EternalBlue</strong> isimli bir zaafiyetin kullanılmasıydı.<br> EternalBlue ile bir ağda Windows çalıştırılan her cihaza erişim sağlanabiliyordu. <br> Durdurma yöntemi keşfedilmeseydi veya saldırı kritik altyapıyı hedef alsaydı sonuçlar çok daha kötü olabilirdi.</p> <p><a href="https://media2.dev.to/dynamic/image/width=800%2Cheight=%2Cfit=scale-down%2Cgravity=auto%2Cformat=auto/https%3A%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Farticles%2F4kzohrah4qazosgj30am.png" class="article-body-image-wrapper"><img src="https://media2.dev.to/dynamic/image/width=800%2Cheight=%2Cfit=scale-down%2Cgravity=auto%2Cformat=auto/https%3A%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Farticles%2F4kzohrah4qazosgj30am.png" alt="WannaCry Yazılımının Ünlü Ekranı" width="800" height="450"></a></p> <p>2018 yılının başından yarısına kadar 181.5 milyon fidye yazılım siber saldırısı gerçekleştirildiği söyleniyor. 2017 ye kıyasla iki katından fazla.</p> <p>2020 yılında ise <strong>'Thanos'</strong> isimli bir yazılım geliştiriliyor. Bu yazılım <strong>RaaS</strong> (Ransomware as a Service) örneklerinden biri. <br> Amaç, yazılımı insanlara hizmet olarak satmak. Hizmeti kullananlar fidye yazılım oluşturup kullanabiliyorlar. RaaS'ın ilk örneği 2012 civarı ortaya çıkıyor.<br> Günümüzde RaaS yazılımları oldukça popüler.</p> <h2> Saldırılar Nasıl Gerçekleşiyor? </h2> <p>Aslında fidye yazılımı saldırılarının çoğu aşaması herhangi bir zararlı yazılım için geçerli olabilir. <br> Ben sizlere saldırganların uyguladığı işlemleri ve kullandıkları yöntemleri genelgeçer olarak sunacağım. <br> Bu başlık ve savunmaya dair başlık altında anlattıklarım hedeflerin bireylerden ziyade organizsyonlar, şirketler, kurum ve kuruluşlar gibi tüzel kişiler olduğu durumlar için.</p> <p>Buraya dahil ettiğim aşamalar hakkında her saldırı bunları kesinlik ile yapıyor veya belirli bir sıraya göre yapıyor demek mümkün değil.<br> Saldırılar arasında fark eden bir başka değişken de süre. Bazı saldırılar çok hızlı gerçekleşebiliyorken<br> bazı saldırılar ilk erişimden sonra aylar sürebiliyor. <br> Bu süreyi değiştiren en önemli etmenlerden biri saldırganların hedefleri.<br> Saldırganların hedef sistemlerin işleyişini fark edilebilir bir şekilde aksatmadan önce ne kadar yayılacağı, ne kadar tarama yapacağı, ne kadar bilgi çalacağı hedeflere örnek gösterilebilir.</p> <p>Saldırıyı şu aşamalara bölebiliriz:</p> <ul> <li>İlk Erişim</li> <li>Yerleşme ve Kalıcılık</li> <li>Yetki Yükseltme ve Tarama</li> <li>Yatay Yayılım ve Kimlik Bilgileri Erişimi</li> <li>Değerli Bilgileri Çıkarma</li> <li>Savunma Atlatma ve Tamir Zorlaştırma</li> <li>Şifreleme ve Veri Çıkarma</li> </ul> <h3> 00 - İlk Erişim </h3> <p>Saldırgan; <a href="https://tr.wikipedia.org/wiki/Yemleme" rel="noopener noreferrer">phishing</a> saldırısı, sosyal mühendislik, zaafiyet kullanımı, internete açık hizmetler gibi farklı yollardan ortama erişim sağlıyor.<br> Buraya eklediğim yöntemler, daha içerideki sistemlere veya farklı sistemlere erişmek için birlikte de kullanılabilmekte. </p> <h3> 01 - Yerleşme ve Kalıcılık </h3> <p>Burada amaç hedef sistemde zararlı yazılım yerleştirmenin yanı sıra sistemde bulunan zararsız yazılımları zararlı biçimde kullanmak, geçerli kimlik bilgilerini kullanmak gibi yöntemlerle <br> yeniden başlatma, kimlik değişimi, kullanıcı çıkışı gibi işlemlerden etkilenmeyecek bir erişim elde etmek.</p> <h3> 02 - Yetki Yükseltme ve Tarama </h3> <p>Bu aşamada saldırganlar daha aktif ve gürültülü bir şekilde hedef ortamı anlar ve tarar. <br> Kritik sistemler, önemli dosyalar ve veritabanları, yönetici yetkili kimlikler, güvenlik ve yedek sistemler hakkında bilgi edinilir.<br> Bunun yanı sıra sistemlerde (örn. işletim sistemi) veya kaynaklarda (örn. veritabanı, web server admin paneli) daha yüksek yetkiye sahip kimlik bilgileri elde edilir.</p> <h3> 03 - Yatay Yayılım ve Kimlik Bilgileri Erişimi </h3> <p>Tek bir sistemin tehlikeye atılması bu aşamada bir organizasyonun tehlikeye atılmasına dönüşür.<br> Hedef ortamda tespit edilen diğer sistemlere erişim sağlanır. Bulunan kimlik bilgileri yeniden denenir, sistemler ve hizmetler arasındaki güven bağları kötüye kullanılır.</p> <h3> 04 - Değerli Bilgileri Çıkarma </h3> <p>Üç alt adıma ayırabiliriz. Ortamda değerli bilgiler aranır, erişilir ve toplanır. <br> Ardından, toplanan bilgiler transfer için hazırlanır. Bu aşamada bilgiler organize edilebilr, arşivleme veya sıkıştırma kullanılabilir.<br> Son adım olarak, bilgi, hedefin erişiminin dışına transfer edilir. Burada komuta ve kontrol kanalları, farklı protokoller kullanmak gibi yollar kullanılır.</p> <h3> 05 - Savunma Atlatma ve Tamir Zorlaştırma </h3> <p>Hedef organizasyonun işleyişini görülebilir bir şekilde aksatmadan önce saldırganlar mümkün olduğu kadar ortamdaki savunma sistemlerini zayıflatmak isteyebilir.<br> Bu kapsamda saldırganlar organizasyonun hareket görme, tespit etme ve durdurma kapabilitelerini azaltmayı amaçlayan yöntemler kullanır.<br> Bunlara örnek olarak endpoint güvenlik ayarlarını değiştirmek, kayıt tutmayı engellemek ve kayıtları temizlemek, gözlem araçlarının ayarlarını değiştirmek verilebilir.</p> <p>Tamir zorlaştırmada ise, organizasyonun saldırıdan sonra işleyiş durmuna geri dönme çabalarını zorlaştırmaya yönelik adımlar atılır. <br> Bunun için yedeklerin modifiye edimesi veya silinmesi, yedekleme ayarlarını değiştirme gibi yöntemler örnek verilebilir.</p> <h3> 06 - Şifreleme ve Veri Çıkarma </h3> <p>Bu aşamada artık organizasyon saldırının farkında oluyor. <br> Fidye yazılımı ile saldırganların erişimi olan sistemler etkisiz hale getiriliyor, veriler şifreleniyor ve dışarı transfer ediliyor. <br> Burada saldırganlar iki şekilde fidye isteyebiliyor. İlki şifrelenmiş verilerin anahtarı için ücret talebi, <br> diğeri ise dışa aktarılan verinin yayılması tehditi ile ücret talep etme. </p> <p>Sizlere bu sürecin detaylarından da bahsetmek isterim. Fidye yazılımlarının uyguladığı teknikler arasında:</p> <ul> <li>Erişilebilen dosyaları ve depolama birimlerini tarama</li> <li>Şifreleme süreci için kriptografik materyal üretimi veya temini</li> <li>Dosyaları okuma ve şifreleme</li> <li>Dosya adlarını değiştirme ve fidye notu bırakma</li> </ul> <p>Şifrelemede genellik ile <a href="https://tr.wikipedia.org/wiki/Hibrit_%C5%9Fifreleme" rel="noopener noreferrer">hibrit şifreleme</a> kullanılıyor. <br> Anahtar yönetimi konusunda tam olarak uygulanan işlemler fidye yazılım ailelerine göre değişiklik gösterebilir.<br> Hibrit şifreleme için konuşacak olursak bir asimetrik anahtar çifti üretiliyor (gizli ve açık) ve açık anahtar (yalnızca şifrelemek için, şifre çözemez) yazılıma yerleştiriliyor.<br> Çalışma esnasında bir simetrik anahtar üretiliyor ve açık anahtar ile şifreleniyor. Bunun sayesinde simetrik anahtar korunmuş oluyor ve saldırganların kullanımı için dışarı aktarılabiliyor.<br> Veri simetrik anahtar ile şifreleniyor ve aynı zamanda dışarı aktarılıyor. <br> Saldırganlar asimetrik şifrelenmiş simetrik anahtarı kendilerinde sakladıkları gizli anahtar ile çözüp şifrelenmiş dosyaları da simetrik anahtarla çözebiliyor.</p> <p>Bunun için gerçek hayattan bir örnek verecek olursak WannaCry yazılımı burada geçen anahtar yönetimi modelinin üstüne bir kat daha eklenmiş halini kullanıyor.<br> Simetrik anahtarı şifrelemek için kullanılan anahtar çifti hedefe özel olarak üretiliyor ve<br> üretilen çiftin gizli anahtarı saldırganların oluşturduğu ayrı bir asimetrik anahtar çiftinin açık anahtarı ile şifreleniyor.</p> <p>Hibrit şifreleme sayesinde hem simetrik şifreleme sayesinde gelen hız (asimetrik şifreleme daha yavaş) hem de asimetrik şifrelemenin koruması geliyor.<br> Asimetrik şifreleme sadece simetrik anahtarın güvenliği için kullanılıyor, simetrik şifreleme asıl ağır yük için kullanılıyor.</p> <p><a href="https://media2.dev.to/dynamic/image/width=800%2Cheight=%2Cfit=scale-down%2Cgravity=auto%2Cformat=auto/https%3A%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Farticles%2Fdb635cmas9rv5lvaaz40.png" class="article-body-image-wrapper"><img src="https://media2.dev.to/dynamic/image/width=800%2Cheight=%2Cfit=scale-down%2Cgravity=auto%2Cformat=auto/https%3A%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Farticles%2Fdb635cmas9rv5lvaaz40.png" alt="Hibrit Şifreleme Çalışma Mantığı" width="800" height="519"></a></p> <h2> Fidye Yazılımdan Korunmak </h2> <p>İşin savunma kısmında, saldırının aşamalarının her biri için nasıl bir yaklaşım sergilenmesi gerektiğini incelememiz gerekiyor.<br> Şirket, güvenlik politikalarını ve saldırı esnasında uygulanacak olan protokolleri oluştururken saldırıların esnekliğini göz önünde bulundurmaları gerekiyor.<br> Önceki başlıkta saldırganların ne kadar çeşitli yöntem kullandıklarını gördük, ideal olarak bu yöntemlerin hepsinin engellenmesi, tespit edilebilmesi ve sonradan incelenebilmesi lazım. <br> Aynı zamanda bu saldırı adımlarının fidye yazılım kullanan saldırılara özgü olmadığından bahsetmiştik. Son adıma kadar bu doğru. Savunma için de aynı durumdan bahsedebiliriz.</p> <p>Öyleyse, uygulanabilecek savunma yöntemlerine bakalım:</p> <h3> 00 - İlk Erişim </h3> <h4> Önlemler </h4> <p><em>Çok faktörlü doğrulama (<a href="https://tr.wikipedia.org/wiki/%C3%87ok_a%C5%9Famal%C4%B1_kimlik_do%C4%9Frulama" rel="noopener noreferrer">MFA</a>)</em> kullanımının zorunlu kılınması ve yetkili kullanıcılar için phishing engelleyici yöntemler kullanılması önemlidir.<br> İnternetten erişilebilen servislerin risk seviyesini göze alarak güvenliğinin sağlanması gerekir.<br> Sistemde bulunan fakat kullanılmayan uzaktan erişim yöntemlerinin kullanımdan çıkarılması, yönetici yetkilerini kullanmak için kontrollü erişim yolları kullanılmalı.<br> E-posta güvenliğine dikkat edilmeli, ekler taranmalı ve filtreler uygulanmalı.<br> <a href="https://tr.wikipedia.org/wiki/Hibrit_%C5%9Fifreleme" rel="noopener noreferrer">https://tr.wikipedia.org/wiki/Hibrit_%C5%9Fifreleme</a></p> <h4> Tespit </h4> <p>Kimlik sign-in kayıtlarının takibi, E-posta güvenlik uyarılarının kullanılması, web server kayıtlarının takibi gerekir.<br> Kullanıcılara farklı coğrafi konumlardan veya cihazlardan giriş yapılması ve şüpheli yetkilendirme paternleri önemli işaretlerdir, bunun tespit edilmesi gerekir.</p> <h4> Yanıt </h4> <p>Tehlikeye atılmış kimliklerin ve oturumların yetkisiz bırakılması veya kullanıma kapatılması önemlidir. <br> Bu kimliklerin kullanıldığı başka yerler var ise onlar da incelenmelidir.<br> Etkilenmiş uç noktaların izole edilmesi önemlidir.</p> <h3> 01 - Yerleşme ve Kalıcılık </h3> <h4> Önlemler </h4> <p>İş istasyonlarına ve sunuculara uç nokta tespit ve yanıt (EDR) sistemlerinin kurulması gerekir. <br> Kullanıcılara mümkün olduğunca az yetki verilmelidir, onaylanmamış araç ve yazılım kullanımı tespit edilmelidir.<br> Doğru konfigürasyon çok önemlidir, aynı zamanda uygulamaların çalıştırma poliçeleri de doğru ayarlanmalıdır.</p> <h4> Tespit </h4> <p>Genel olarak, antivirüs uygulamalarının da yaptığı şekilde, sunucuda veya iş istasyonunda uygulamaların, hizmetlerin vb. çalışma esnasında dinamik olarak analizi yapılmalıdır. <br> Örneğin, eğer bir ofis programı şüpheli bir alt işlem oluşturduysa bunun tespit edilmesi gerekir, <br> geçici klasörde çalışan imzalanmamış uygulamaların tespit edilmesi gerekir, <br> yeni hizmetlerin oluşturulmasının takip edilmesi gerekir. </p> <p>Bu saydıklarımız aslında kesinlikle zararlı yazılım çalıştığını belirtmeyebilir fakat önemli ipuçlarıdır.</p> <h4> Yanıt </h4> <p>Cihazların <em>izolasyonu</em> sağlanmalıdır. Olayın kapsamı, kaç cihazın etkilendiği ölçülmeli ve adli inceleme için kanıtlar toplanmalıdır.</p> <h3> 02 - Yetki Yükseltme ve Tarama </h3> <h4> Önlemler </h4> <p>Standart kullanıcı hesapların ve yetkili hesapların ayrımının doğru yapılması gerekir.<br> Yerel yönetici hesabının yetkilerinin doğru şekilde kısıtlanması gerekiyor.<br> Kimlik sağlayıcı servislerin, alan adı kontrolcülerinin ve bulut kontrol düzlemlerinin erişimini daha zorlaştırmak önemli.<br> Hizmet için oluşturulan hesapların incelenmesi, verilen yetkilerin kontrolü ve kullanılmayan kimliklerin etkisiz hale getirilmesi de lazım.</p> <h4> Tespit </h4> <p>Amacımız, saldırganların ortamda şüpheli erişimlerini ve yetkiye dair yaptıkları değişiklikleri tespit edebilmektir.<br> Bu konuda yetkili gruplara veya rollere beklenmeyen eklentilerin ve yeni servis hesapları açılması/yetkilendirlmesini işlemlerinin tespiti gerekir.<br> Ayrıca, kimlik poliçelerinin ve güvenlik ayarlarının değiştirlmesi de takip edilmelidir.</p> <h4> Yanıt </h4> <p>Tehlikeye atılmış kimliklerin, kullanıcıların ve servislerin askıya alınması veya kısıtlandırılması kritiktir. <br> Oturum ve tokenlerin yetkisiz bırakılması çok önemlidir. <br> Etkilenen kimliklerin değiştirilmesi gerekir.</p> <h3> 03 - Yatay Yayılım ve Kimlik Bilgileri Erişimi </h3> <p>Hatırlatma olarak, saldırganlar bu adımda keşfettiği diğer cihazlara veya sistemlere buldukları kimlikler ile erişim sağlar. </p> <h4> Önlemler </h4> <p>İş istasyonlarının, prodüksiyon sunucularının, kimlik altyapısının ve yedekleme sistemlerinin doğru bir şekilde ayrılması, <em>segmentasyonu</em> gerekir.<br> Sadece doğrulanmış kişilerin uzaktan erişim kullanabilmesi sağlanmalıdır.<br> Yetkilendirilmiş girişler sadece gerektiği yerlere kısıtlanmalıdır.</p> <h4> Tespit </h4> <p>Farklı sunucular veya cihazlar arasında beklenmedik yetkilendirme trafiğini görebilmek çok önemli. <br> Örnek verecek olursak, normalde tek bir iş istasyonuna erişim sağlayan bir kimlik aynı anda birçok alakasız sisteme erişmeye çalışır ise bu büyük bir ipucudur.</p> <h4> Yanıt </h4> <p>Şüpheli hesapların yetkileri alınabilir, aynı kimliğin erişmeye çalıştığı sistemleri tespit etmek gerekir.<br> Etkilenen sistemler olabildiği kadar izole edilmelidir. </p> <h3> 04 - Değerli Bilgileri Çıkarma </h3> <h4> Önlemler </h4> <p>Hassas bilgi içeren veri kaynaklarına ve bulut depolamaya erişim kısıtlanmalıdır.</p> <h4> Tespit </h4> <p>Dosya erişimleri ve kimlik hareketliliği arasında bağ kurarak saldırganları takip etmek mümkündür. <br> Örneğin, eğer hassas bilgiye erişimin ardından dış yöne yüksek hacimli trafik oluşuyor ise bu bizim için bir ipucu niteliği taşır.</p> <h4> Yanıt </h4> <p>Burada tekrarlayan bir temadan bahsetmek istiyorum. <br> Şu ana kadar bahsettiğimiz hemen hemen tüm adımlara yanıt olarak bir çeşit yetki kısıtlaması, cihaz izolasyonu veya askıya alım kullanıldığını gördük.<br> Bu durum, yöntemin önemini açıkça ortaya seriyor. Saldırganların hamlelerini kısıtlamak ve onları bir çıkmaza sokmak çok önemli.<br> Bu adımda da bu yöntemler kullanılmalıdır.</p> <p>Ortamdan hangi verilerin ne kadar çıkarıldığının analizi ve takibi yapılmalıdır.</p> <p>Ayrıca, bilgilere erişime dair kanıt toplamak, yasal sorunlar ve gizlilik sorunlarını çözmeye yönelik çalışmalar yürütmek gerekir. <br> Konu özellikle müşterilerin verisi veya gizli tutulması gereken veri olunca olayın ciddiyeti çok büyüktür.</p> <h3> 05 - Savunma Atlatma ve Tamir Zorlaştırma </h3> <h4> Önlemler </h4> <p>EDR sistemlerinin, antivirüs yazılımlanın, kayıt defterlerinin ve yedekleme sistemlerinin konfigürasyonuna erişim kısıtlanmalıdır.<br> Önemli kayıtlar, erişimin zor olduğu ayrı bir sisteme yönlendirilmelidir.<br> Değiştirilemez veya offline (erişime kapalı) yedekleme sistemleri kullanılmalıdır.<br> Denetim ayarlarına, yedek izinlerine, güvenlik poliçelerine yapılan değişikliklerde uyarı sistemi kullanılmalıdır.</p> <h4> Tespit </h4> <p>Uyarı sistemlerinin kullanımı çok önem arz etmektedir. <br> Genel olarak tüm aşamalar için bir uyarı veya bildirim sistem kullanımı, yanıt hızını ciddi bir şekilde arttırabilmektedir.<br> Bu aşama için de, bahsettiğimiz gibi, konfigürasyonlara, poliçelere vb. yapılan değişikliklerin takibinde kullanılması çok faydalıdır.<br> Başka dikkate alınması gereken nokta ise yedeklerin değiştirilmesi, silinmesi veya yedekleme ayarlarının değiştirilmesidir.</p> <h4> Yanıt </h4> <p>Bahsi geçen ayarlarda bir değişiklik tespit edildiğinde hızlıca harekete geçilmelidir. <br> Tabii ki tekrardan mümkün oldukça yetki kısıtlama yöntemi uygulanmalıdır.<br> Yedekler kontrol edilmeli ve koruma altına alınmalıdır.</p> <h3> 06 - Şifreleme ve Veri Çıkarma </h3> <p>Bu aşamada saldırıyı tamamen önleyemedik demektir. Buna rağmen hızlı davranarak verilen hasarı azaltabiliriz.</p> <h4> Önlemler </h4> <p>Kritik veriye ve ortak dizinlereki yazma işlemlerini limitlemek iyi bir seçenek olabilir.<br> Tabii ki EDR yazlımlarının kullanımı yardımcıdır.<br> Tekrardan değinecek olursak kritik sistemlerin segmentasyonu verilen hasarı azaltabilir. ve <br> Defalarca bahsi geçen yedekler tam burada işe yarar.</p> <h4> Tespit </h4> <p>Artık bu aşamada sinyaller fazlasıyla bariz.<br> Kısa sürede fazla sayıda dosyanın kullanılamaz olması da elbette çok kritik bir sinyal.</p> <p>Dosya modifikasyonlarında ve ad değiştirmede ani artış önemli bir sinyal. Burada ufak bir not geçmek istiyorum. <br> Bu sinyal geçerli sebepler tarafından da oluşabilir. <br> Toplu işleme, zararsız şifreleme yazılımları, migrasyon işlemleri istatistikler üzerinde zararlı süreçlerle benzer izler bırakabilir.<br> Sinyal alındıktan sonra incelemesi yapılmalıdır.</p> <p>Uyarı sisteminden ard arda gelen bildirimlerde büyük bir olayın habercisidir. </p> <h4> Yanıt </h4> <p>Artık olay müdahale işlemlerine hızla başlanmalıdır.<br> Acilen etkilenen cihazlar izole edilmelidir. Ağ paylaşımlarına erişim kısıtlanmalıdır.<br> Fidye notları, kayıtlar gibi kanıtlar toplanmalıdır.</p> <h3> 07 - Tamir Süreci </h3> <p>Burada saldırganların sistemlere erişiminin tamamen kapatıldığından emin olunmalıdır. <br> Erkenden tamire başlamak saldırganlara yine bir fırsat tanımak olabilir.</p> <p>Ardından, saldırıdan etkilenen sistemleri güvenilir kaynaklardan gelen medya veya doğruluğu bilinen imajlar kullanarak tamir etmek gerekir.<br> Yedekleme ortamının güvenliğinden emin olduktan sonra bulunan yedekler ile sürece devam edilir.<br> Tehlikeye atılmış kimliklerin değiştirilmesi, tokenlerin veya oturumların geçersiz kılınması önemlidir.<br> Sistemlerde zaafiyet var ise yamalanmalıdır.<br> Kimlik altyapısının, güvenlik kontrol sistemlerinin ve kritik sistemlerin sağlığı kontrol edilmelidir.</p> <p>Bundan sonra testler yürüterek sistemlerin, uygulamaların, gözlem ve bildirim mekanizmalarının çalıştığının kontrolü yapılmalıdır. Saldırganların kullandıkları zaafiyetlerin<br> düzeltildiğinden emin olunmalıdır.</p> <h2> Fidye Yazılımların Bireyler ve Tüzel Kişiler Üzerinde Etkisi </h2> <p>Artık anlayacağınız üzere, fidye yazılımların etkileri çok büyük olabiliyor. Şimdi saldırıların bireyler ve organizasyonlar üzerindeki etkisini ayrı ayrı ele alalım. </p> <p>Bireyler kapsamında eğer şahıs yedekleme yapmıyorsa önemli dosyalarını, parolalarını kaybedebilir. <br> Yedekleme yapıyorsa da yedeğin yeniliğine göre kaybı az veya fazla olabilir. Kayıpların bir de finansal boyutu var. Fidye ücreti, ödenmedi ise kurtarma çalışmaları için ücretler ortaya çıkabilir. <br> Finansal kimlik bilgileri çalındı ise ileride farklı sorunlara sebebiyet verebilir. <br> Eğer saldırganlar ele geçirdikleri verileri tekrardan kötüye kullanmak isterlerse bireyler kimlik hırsızlığı, şantaj gibi olaylara maruz kalabilirler. <br> Ayrıca elbette bireylerin işleri aksaklığa uğrar, tekrardan düzene oturması zaman alır.<br> İşin ayrıca psikolojik tarafı da bulunuyor. Kişilerin duygusal anlam taşıyan fotoğrafları vb. dosyalar da saldırıdan etkileniyor. <br> Genel olarak fidye yazılımdan etkilenmenin insanlar için stresli bir durum olma olasılığı çok yüksek.</p> <p>Tüzel kişilere bakarsak etkilerin birazından yazının önceki başlıklarında bahsettim. Elbette ki etkiler bunlarla sınırlı değil. <br> Saldırının büyüklüğü, hedef organizasyonun yaptığı iş gibi farklılıklar etkiyi değiştirebilmekte.</p> <p>Öncelikle, organizasyonun işleri aksar. Verilen hizmetler yerine getirilemeyebilir. <br> Bu, maddi kayıpları gittikçe arttırır çünkü gelir kaynağına zarar gelmiştir. <br> Gider listesine ayrıca adli bilişim, tamir gibi ücretli hizmetler de eklenebilir.<br> Bunun yanı sıra veri kaybından bir çok farklı boyutta sonuçlar karşımıza çıkar. <br> Yasal sorunlar, fikri mülkiyetin çalınması, itibar zedelenmesi, kritik sistemlerde güvenlik problemleri gibi durumların oluşması oldukça mümkündür.<br> Müşteri bilgilerinin çalınması onları da tehlike altına sokabilir.<br> Kritik sistemler örnek vereceksek hastanelere yönelik bir saldırı insanların hayatını riske atabilir. Enerji sistemlerine yönelik bir saldırı <strong>çok büyük çaplı bir krize</strong> sebebiyet verebilir.</p> <p>Sonuç olarak, fidye yazılım saldırıları sadece finansal zarar veya veri kaybı ile sonuçlanmaz. Verilen hasarın hem kişiler hem de organizasyonlar için fazlaca boyutu vardır.</p> <h2> Kapanış </h2> <p>Birlikte fidye yazılımı kısa bir yazıda olabildiği kadar gördük. Tanımı, tarihi, saldırılarda kullanımı, nasıl savunulduğunu ve etkisini işledik. Umarım sizlere faydalı bilgi aktarabilmişimdir.<br> Yazımı okumaya ayırdığınız zaman için teşekkür ederim.</p> ransomware malware cybersecurity