Fidye yazılımı bulaştı: ilk saatlerde yapılacaklar

Fidye yazılımı fark edildiğinde ilk iş, etkilenen cihazları kapatmadan ağdan ayırmak ve yedeklerin bağlantısını kesmektir. ABD siber güvenlik ajansı CISA’nın rehberine göre fidye yazılımları ağdan ulaşabildikleri yedekleri de arar, siler ya da şifreler. Bu yüzden ağa bağlı bir yedek diski de hemen çıkarın. Sonra hangi sistemlerin etkilendiğini belirleyin ve olayı bildirin.

Bu yazıdaki adımlar CISA’nın #StopRansomware rehberine dayanıyor. KVKK ile ilgili bölüm yalnız Kurul’un duyurusunu aktarıyor, hukuki görüş yerine geçmez.

Fidye yazılımı bulaştığını nasıl anlarsınız?

En açık işaret ekrandaki fidye notudur. Not çoğu zaman dosyalarınızın şifrelendiğini ve ödeme yapılması gerektiğini yazar. Not çıkmadan önce de belirtiler olabilir: dosyalar açılmaz, uzantıları değişir, ortak klasördeki dosyalar birden değişmeye başlar. Bunlardan birini görürseniz fidye yazılımı ihtimalini düşünün ve hemen harekete geçin.

Ekrandaki notun fotoğrafını telefonla çekin. Notta yazan adres, kimlik numarası ya da dosya uzantısı, olayı inceleyecek kişinin işine yarar.

İlk saatte ne yapmalısınız?

İlk saatte amaç yayılmayı durdurmaktır. Etkilenen cihazları ağdan ayırın, yedekleri ağdan çıkarın, IT sorumlunuza ya da IT firmanıza haber verin. CISA, çok sayıda sistem etkilendiyse ağın anahtar (switch) düzeyinde tamamen kesilmesini öneriyor. Cihazı kapatmak ise son çaredir.

Sırasıyla:

1. Cihazı ağdan ayırın. Ağ kablosunu çekin, Wi-Fi’ı kapatın. CISA’ya göre cihazı ancak ağdan ayıramıyorsanız kapatın. Kapatılan cihazın belleğindeki izler kaybolur.
2. Yedekleri ayırın. Ağa ya da bilgisayara bağlı yedek diskleri çıkarın. Yedek sunucusu aynı ağdaysa onu da ağdan ayırın.
3. Etkilenen sistemleri listeleyin. Hangi bilgisayarda, hangi sunucuda, hangi ortak klasörde sorun görüldüğünü yazın. Liste, neyin önce geri getirileceğine karar verirken lazım olacak.
4. Haber verin. IT sorumlunuza, yönetime ve olay ekibinize haber verin. Bu yazışmayı saldırganın görebileceği şirket e-postası yerine telefonla ya da ayrı bir kanaldan yapın.
5. Hiçbir şeyi silmeyin. Şifreli dosyaları, fidye notunu ve kayıtları olduğu gibi bırakın. Bunlar olayın nasıl başladığını gösterir.

Yedekler güvende mi, nasıl anlaşılır?

Yedeğin güvende olup olmadığını, saldırı anında ağdan ayrı durup durmadığı belirler. CISA, kritik verinin çevrimdışı ve şifreli yedeğinin tutulmasını ve düzenli olarak denenmesini öneriyor. Ağa sürekli bağlı bir yedek diski şifrelenmiş olabilir. Ağdan ayrı duran ya da değiştirilemez olarak ayarlanmış bir yedek ise büyük ihtimalle sağlamdır.

Yedeği geri yüklemeden önce şu sırayla gidin:

• Saldırının nasıl başladığı anlaşılmadan ve sistemler temizlenmeden yedeği aynı ağa bağlamayın. Aksi hâlde yedek de şifrelenebilir.
• Yedeği önce ayrı bir ortamda açıp dosyaların sağlam olduğunu kontrol edin.
• Geri yüklemeye kritik sistemlerden başlayın. CISA, önceden hazırlanmış kritik sistem listesine göre sıralama yapılmasını öneriyor.

Yedekleme düzeninizi baştan kurmak istiyorsanız 3-2-1 yedekleme kuralını anlattığımız yazıya bakın.

Olayı kime bildirmelisiniz?

Olayı firmanın içinde yönetime, dışarıda ise USOM’a bildirebilirsiniz. Kişisel veriler etkilendiyse KVKK’ya bildirim süresi de başlar. Kişisel Verileri Koruma Kurulu’nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul’a bildirim yapar.

Bildirimle ilgili bilmeniz gerekenler:

• USOM: Siber olayları ulusal düzeyde bildirebileceğiniz kurumdur. Bildirim işleri siberguvenlik.gov.tr adresinden yürüyor.
• KVKK, Kurul’a bildirim: Kurul kararına göre ihlali öğrendiğiniz andan itibaren en geç 72 saat içinde yapılır.
• KVKK, ilgili kişilere bildirim: Aynı karara göre verisi etkilenen kişilere, ihlalden etkilenenler belirlendikten sonra makul olan en kısa sürede yapılır.

Müşteri, çalışan ya da tedarikçi bilgisi tutan neredeyse her sistemde kişisel veri vardır. Bildirimin gerekip gerekmediğine ve içeriğine hukuk danışmanınızla birlikte karar verin.

Sistemler nasıl geri getirilir?

Önce saldırganın girdiği yol kapatılır, sonra sistemler temiz bir kurulumla ya da sağlam bir yedekten geri getirilir. CISA, şifrelerin bu temizlik ve yeniden kurulum bittikten sonra sıfırlanmasını öneriyor. Erken değiştirilen şifreyi, hâlâ ağda olan bir saldırgan da görebilir.

CISA’nın geri dönüş için önerdiği hazırlıklar:

• Kritik sistemler için hazır, güncel kurulum kalıpları (“golden image”) tutmak
• Çevrimdışı ve şifreli yedeklerden, önem sırasına göre geri yükleme yapmak
• Şifre çözücü (decryptor) olup olmadığını yetkili kurumlara danışmak

Bu adımların hepsi, olaydan önce yazılmış bir plan varsa daha hızlı ilerler. Hangi sistemin önce döneceği, yedeğin nerede durduğu ve kimin neyi yapacağı kâğıtta yazılı olmalıdır.

Önceden neler hazırlanmalı?

Fidye yazılımına karşı hazırlık üç işten oluşur: ağdan ayrı ve denenmiş bir yedek, yazılı bir olay planı ve saldırganın girişini zorlaştıran önlemler. Bu üçü olay günü yapılacak işleri kısaltır. Plan yoksa ilk saatler kimin neyi yapacağını konuşmakla geçer.

Olay planını ve yedeğin geri dönüş sırasını felaket kurtarma kapsamında sizinle birlikte yazıyoruz. Saldırganın girişini zorlaştıran önlemleri siber güvenlik hizmetimizde kuruyoruz. Hangi önlemden başlamanız gerektiğini siber saldırılara karşı koruma sayfasında anlattık.