Yedekleme Stratejileri: 3-2-1 Kuralı ve Değiştirilemez Yedeklemeler

Backup'lar yalnızca BT operasyonlarının konusu değildir — ransomware'den, yanlışlıkla silmeden, donanım arızasından ve içeriden gerçekleştirilen sabotajdan kurtulmayı doğrudan mümkün kılan kritik bir güvenlik denetimidir. Sınanmış ve güvenilir backup'lar olmadan ransomware saldırganları tüm gücü elinde tutar: fidyeyi ödeyin ya da verilerinizi kaybedin. Güçlü ve korumalı backup'lar sayesinde kuruluşlar fidye ödemeden kurtarılabilir. Security+ sınavı, iş sürekliliği ve veri koruma gereksinimlerinin bir parçası olarak backup stratejisini açıkça kapsar.

3-2-1 backup kuralı, backup dayanıklılığı için sektör standardı temel yaklaşımdır. Verilerin 3 kopyası bulunmalıdır (orijinal + 2 backup). 2 farklı storage media türü kullanılmalıdır (örneğin yerel disk ve tape ya da yerel NAS ve Cloud). 1 kopya tesis dışında veya coğrafi olarak ayrı bir Location'da saklanmalıdır. Bu yapılandırma, tek bir arızanın — disk arızası, tesis felaketi veya hırsızlık — verilerin tüm kopyalarını ortadan kaldırmamasını sağlar. 3-2-1 kuralı yirmi yıldır backup alanında altın standarttır.

Ransomware, klasik 3-2-1 yaklaşımındaki zayıflıkları ortaya çıkarmıştır: Üç kopyanın tamamına Network üzerinden erişilebiliyorsa ransomware hepsini şifreler. Geliştirilmiş 3-2-1-1-0 kuralı şunları ekler: bir kopya OFFLINE veya air-gapped olmalıdır (Network bağlantısı kesilmiş ve fiziksel olarak yalıtılmış) ve sıfır backup hatası bulunmalıdır (tüm backup'lar, Restore sınamalarında hiç hata vermeyecek şekilde sınanmalıdır). OFFLINE kopya, ransomware'in — domain admin erişimi olsa bile — tüm backup kopyalarına ulaşmasını ve bunları şifrelemesini engeller.

Değiştirilemez backup'lar, belirli bir Retention süresi boyunca — tam erişime sahip yöneticiler tarafından bile — değiştirilemeyecek veya silinemeyecek şekilde saklanır. Cloud sağlayıcıları değiştirilemezliği object Lock (WORM — Write Once, Read Many) ilkeleriyle uygular. AWS S3 Object Lock, Azure Blob immutable storage ve benzer özellikler, Lock süresi dolmadan önce herhangi bir API çağrısının nesneleri silmesini veya üzerine yazmasını engeller. Domain admin erişimi elde eden ransomware grupları, Cloud kimlik bilgilerinin en yüksek düzeyine sahip olsalar bile değiştirilemez backup'ları silemez.

Üç backup türü, bütünlük ile storage maliyeti ve backup penceresi süresi arasında denge kurar. Full backup, her seferinde tüm verileri kopyalar — en hızlı Restore işlemini sağlar ancak en fazla storage tüketir. Incremental backup, yalnızca önceki türü ne olursa olsun son backup'tan bu yana değişen verileri kopyalar — oluşturulması en hızlı ve storage gereksinimi en düşük türdür; ancak Restore için son Full backup ile tüm Incremental backup'lar gerekir. Differential backup, son Full backup'tan bu yana değişen tüm verileri kopyalar — storage kullanımı orta düzeyde artar; Restore için yalnızca son Full backup ile en yeni Differential backup gerekir.

Backup dosyaları şifrelenmelidir — tesis dışı storage'a gönderilen backup tape'leri veya Cloud backup'ları, hassas verileri ele geçirmek isteyen saldırganlar için hedeftir. Kullanım sırasında olmayan backup verileri için AES-256 şifrelemesi kullanın. Kritik olarak, backup şifreleme anahtarları backup'ların kendisinden ayrı saklanmalıdır: backup'ları aynı Location'da backup'ı alınmış bir anahtarla şifrelemek amacını boşa çıkarır. Şifreleme anahtarlarını, backup sisteminden bağımsız bir Hardware Security Module (HSM) veya anahtar yönetimi hizmetinde saklayın.

Backup sistemleri Production Network'ünden yalıtılmalıdır. Backup sunucuları Production sunucularıyla aynı Active Directory'ye dahil edilmişse domain admin kimlik bilgilerine sahip ransomware backup storage'a ulaşabilir ve onu şifreleyebilir. En iyi uygulamalar şunlardır: Production sunucularının erişemediği ayrı bir Network segmentinde backup sunucuları kullanmak, domain admin hesabı olmayan özel backup kimlik bilgileri kullanmak, yönetici erişimi için backup sunucusunda MFA uygulamak ve Production domain'iyle güven ilişkisi bulunmayan ayrı bir backup domain'i değerlendirmek.

Cloud backup hizmetleri, değiştirilemezlik seçenekleriyle tesis dışı storage sağlar ve 3-2-1 kuralının uygulanmasını kolaylaştırır. AWS Backup, Azure Backup ve Google Cloud Backup and DR, Cloud hizmetleriyle bütünleşir ve merkezi ilke yönetimi sağlar. Veeam, Rubrik ve Cohesity gibi üçüncü taraf hizmetler; değiştirilemez depolar, air-gapped kasa kopyaları ve backup verilerini şifreleme entropisi anormallikleri açısından analiz eden ransomware algılama özellikleriyle Cloud'a özgü backup sunar — tam bir ransomware olayı tamamlanmadan önce uyarı verir.

Birçok kuruluş, ransomware olayı sırasında backup'larının bozulmuş veya geri yüklenemez olduğunu keşfeder — mümkün olan en kötü anda ortaya çıkan yıkıcı bir durum. Backup sınaması planlanmış ve düzenli bir etkinlik olmalıdır. Sınama yaklaşımları şunları içerir: otomatik Restore doğrulaması (her gün örnek dosyaları geri yükleyip sağlama toplamlarını doğrulama), yalıtılmış bir sınama ortamına periyodik Full Restore (üç ayda bir veritabanı Restore'u ve uygulama başlatma sınaması) ve ekibin backup'tan alternatif altyapıda çalışan Production'a kadar DRP'yi izlediği DR tatbikatları. Her sınama sonucunu belgeleyin.

Grandfather-Father-Son (GFS) Retention şeması, farklı zaman aralıklarındaki backup Retention'ını düzenler. Son backup'lar Daily'dir (1 hafta saklanır, ardından üzerine yazılır). Father backup'ları haftalık Full backup'lardır (1 ay saklanır). Grandfather backup'ları Monthly Full backup'lardır (1 yıl veya daha uzun süre saklanır). GFS, storage maliyetiyle kurtarma esnekliği arasında denge kurarak dünden, geçen haftadan veya geçen aydan Restore yapabilme olanağı sağlar. Birçok uyumluluk çerçevesi, denetim izi amacıyla GFS tarzı Retention gerektirir.

Backup arızaları sessiz felaketlerdir — haftalar boyunca sessizce başarısız olan bir backup işi, en çok ihtiyaç duyulduğunda hiçbir koruma bulunmadığı anlamına gelir. Backup izleme şunları takip etmelidir: planlanan her backup işinin successfully tamamlanıp tamamlanmadığını, backup boyutunun beklenen aralıkta olup olmadığını (şüphe uyandıracak kadar küçük bir backup kısmi arızaya işaret edebilir), backup şifreleme anahtarına erişimin başarılı olup olmadığını ve backup'ın gerekli tüm hedeflere aktarılıp aktarılmadığını (yerel + tesis dışı). Her failed işte uyarılar hemen oluşturulmalı, başarısızlıklar tek bir denemeden uzun sürerse yükseltme yapılmalıdır. Failed bir backup'ı Priority 2 olayı olarak ele alın.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: 3-2-1 kuralı, 2 media türünde 3 kopya ve tesis dışında 1 kopya gerektirir; geliştirilmiş 3-2-1-1-0 kuralı, bir OFFLINE/değiştirilemez kopya ekler ve sıfır Restore hatası gerektirir; değiştirilemez/WORM storage, tam yönetici kimlik bilgileriyle bile ransomware'in backup'ları yok etmesini engeller. Sırada, kurtarma planlarının uygulamada çalıştığını doğrulamak için tabletop çalışmalarını ve DR tatbikatlarını kullanarak yük devretme sınamasını inceleyeceğiz.