Sabah ofise geldiğinizde dosyaların uzantıları değişmiş, masaüstlerinde bir "fidye notu" beliriyor ve sunuculara erişilemiyor. Bu noktada atılan ilk adımlar, olayın birkaç günde mi yoksa haftalarca mı atlatılacağını belirler. Aşağıdaki adımları, olay yaşanmadan önce okuyup kendi kurumunuza uyarlamanızı öneririz.
Şu anda bir saldırı yaşıyorsanız: Etkilenen cihazları ağdan ayırın, hiçbir şeyi silmeyin ve saldırganlarla iletişime geçmeyin. Ardından bu yazıdaki adımlara devam edin veya bir olay müdahale ekibinden destek alın.
İlk saat: yayılmayı durdurun
Ağdan ayırın, kapatmayın
Etkilenen bilgisayar ve sunucuların ağ kablosunu çıkarın veya Wi-Fi bağlantısını kesin. Mümkünse cihazları kapatmayın: bellekte (RAM) bulunan bilgiler, saldırının nasıl gerçekleştiğini anlamak ve bazen şifre çözme anahtarlarına ulaşmak için değerli olabilir. Ancak şifreleme hâlâ devam ediyorsa ve cihazı ağdan ayıramıyorsanız, kapatmak daha az kötü seçenek olabilir.
Yayılma yollarını kapatın
- Güvenlik duvarında lokasyonlar arası ve VPN bağlantılarını geçici olarak kesin.
- Sanallaştırma ortamında etkilenen sanal makinelerin ağ kartlarını devre dışı bırakın.
- Yedekleme sunucusunu ve yedek depolarını derhal üretim ağından ayırın. Saldırganların öncelikli hedefi yedeklerdir.
Yetkili hesapları koruma altına alın
Fidye yazılımı saldırılarının büyük çoğunluğunda saldırgan önce yönetici yetkisi elde eder. Etki alanı yönetici hesaplarının parolalarını, temiz olduğundan emin olduğunuz bir cihazdan değiştirin. Saldırganın oluşturmuş olabileceği yeni yönetici hesaplarını kontrol edin.
İlk birkaç saat: durumu anlayın
Olay müdahale ekibini toplayın
Kararları kimin vereceğini netleştirin: BT, üst yönetim, hukuk, iletişim ve varsa siber sigorta sorumlusu. Konuşmaları ele geçirilmiş olabilecek kurumsal e-posta yerine ayrı bir kanaldan yürütün.
Kanıtları koruyun
- Fidye notunun, şifrelenmiş dosya uzantısının ve ekranda görünen mesajların fotoğrafını çekin.
- Güvenlik duvarı, VPN, EDR ve sunucu loglarını dışa aktarıp güvenli bir yere kopyalayın. Bazı cihazlar logları kısa süre tutar.
- Etkilenen sistemleri yeniden kurmadan önce, mümkünse disk ve bellek imajı alın.
Kapsamı belirleyin
Hangi sistemler şifrelendi? Hangileri sağlam görünüyor? Veri dışarı çıkarılmış olabilir mi? Günümüzdeki saldırıların önemli bir kısmında saldırganlar şifrelemeden önce veriyi kopyalar ve "çift şantaj" yapar. Güvenlik duvarı loglarındaki olağan dışı yüksek dış trafik bunun işareti olabilir.
İlk gün: bildirimler
- KVKK ihlal bildirimi: Kişisel veriler etkilendiyse, Kişisel Verileri Koruma Kurulu'na ihlalin öğrenilmesinden itibaren en geç 72 saat içinde bildirim yapılması beklenir. Süre hızla dolar; hukuk danışmanınızı ilk saatlerde dahil edin.
- USOM: Ulusal Siber Olaylara Müdahale Merkezi'ne (usom.gov.tr) olay bildirimi yapabilirsiniz. Sektörünüze göre bağlı olduğunuz bir sektörel SOME veya düzenleyici kurum varsa ona da bildirim yükümlülüğünüz olabilir.
- Emniyet: Siber suçlarla mücadele birimlerine veya savcılığa suç duyurusunda bulunabilirsiniz.
- Sigorta: Siber sigortanız varsa poliçe genellikle hızlı bildirim ve belirli müdahale firmalarıyla çalışma şartı içerir.
Fidye ödenmeli mi?
Bu, iş, hukuk ve etik boyutları olan bir yönetim kararıdır. Ancak şunları bilerek karar verin:
- Ödeme, şifre çözücünün çalışacağını veya verilerin yayımlanmayacağını garanti etmez.
- Şifre çözme işlemi büyük ortamlarda günler sürebilir ve bazı dosyalar bozulabilir.
- Ödeme yapan kurumların tekrar hedef alınma olasılığı yüksektir.
- Bazı fidye yazılımı aileleri için ücretsiz şifre çözücüler mevcuttur. Kolluk kuvvetleri ve güvenlik firmalarının ortak girişimi No More Ransom projesinde fidye notunuzu ve örnek bir dosyayı kontrol edebilirsiniz.
Geri dönüş: aceleyle değil, temiz olarak
- Yedekleri doğrulayın: Yedeklerin şifrelenmediğini ve saldırgan tarafından değiştirilmediğini kontrol edin. Saldırganın ağda ne zamandan beri bulunduğunu belirlemeden en son yedeğe güvenmeyin.
- Giriş noktasını bulun ve kapatın: Yamanmamış bir VPN, dışarıya açık bir uzak masaüstü (RDP) veya çalınmış bir parola olabilir. Bu kapatılmadan geri dönmek, saldırıyı tekrar yaşamak demektir.
- Temiz ortamda kurun: Etkilenen sunucuları temizlemeye çalışmak yerine yeniden kurup verileri doğrulanmış yedeklerden geri yükleyin.
- Önceliklendirin: Önce kimlik altyapısı (Active Directory), ardından işin devamı için kritik sistemler.
- Tüm parolaları sıfırlayın: Kullanıcı, servis ve yönetici hesapları dahil.
- Yakından izleyin: Geri dönüşten sonraki haftalarda olağan dışı etkinlikleri dikkatle takip edin.
Olay yaşanmadan önce yapabilecekleriniz
Bu yazıyı olay anında değil, önceden okuyorsanız şanslısınız. Şu hazırlıklar, olası bir saldırının etkisini dramatik biçimde azaltır:
- En az bir kopyası değiştirilemez veya çevrimdışı olan, düzenli olarak geri yükleme testi yapılan yedekler
- E-posta, VPN ve yönetici hesaplarında çok faktörlü doğrulama
- İnternete açık sistemlerde (VPN, güvenlik duvarı, e-posta sunucusu) güncellemelerin hızla uygulanması
- Uç noktalarda EDR ve 7/24 izlenen alarmlar
- Yazılı, iletişim bilgileri güncel ve tatbikatı yapılmış bir olay müdahale planı
- Planın ve kritik iletişim bilgilerinin kâğıt çıktısı: sistemler kapalıyken dijital kopyaya ulaşamayabilirsiniz