Fidye Yazılımı Kriz Yönetimi

1. Saldırı Vektörleri ve Ağ Keşif Süreçleri

Fidye yazılımı operasyonları genellikle üç aşamadan oluşur: ilk erişim, iç ağda yayılma ve şifreleme. İlk erişim vektörleri arasında en yaygın olanları güvenlik açığı bulunan uzak masaüstü protokolü (RDP) sunucuları, güncellenmemiş VPN cihazları ve oltalama e-postalarıdır. Tehdit aktörleri bu giriş noktalarını keşfetmek için sürekli tarama yapar. Shodan gibi arama motorlarıyla internete açık endüstriyel kontrol sistemlerini bile tespit edebilirler.

Ağ keşfi sırasında saldırganlar Nmap gibi araçlarla açık portları, çalışan servisleri ve işletim sistemi sürümlerini belirler. TCP el sıkışma sürecindeki parmak izi yöntemleriyle hedefin ağ topolojisini çıkarırlar. Özellikle 445 (SMB), 3389 (RDP) ve 22 (SSH) portlarını sıkça hedeflerler. Bu aşamada güvenlik duvarlarını ve izinsiz giriş tespit sistemlerini atlatmak için paket parçalama ve yavaş tarama tekniklerini kullanırlar.

İç ağda yatay hareket için saldırganlar genellikle elde ettikleri kimlik bilgilerini kullanır. Pass the Hash saldırılarıyla Windows işletim sistemlerinde NTLM hash değerleriyle yetki yükseltirler. Active Directory ortamlarında ise Kerberos saldırı teknikleriyle altın bilet (golden ticket) oluşturabilirler. Bu noktada hedef genellikle yedekleme sunucuları ve etki alanı denetleyicileridir.

Güncel bir vaka analizi olarak 2023’te Avrupa merkezli bir lojistik firmasına yapılan saldırıda saldırganların önce üçüncü taraf bir yazılım güncelleme sunucusunu ele geçirdiği, ardından buradan dağıttıkları zararlı yazılımla iki hafta boyunca ağda keşif yaptıkları görüldü. Bu sürede tüm yedekler ve sanal makineler analiz edildikten sonra şifreleme işlemini başlattılar.

2. Endüstriyel Sistemlerde OT ve SCADA Riskleri

Operasyonel teknoloji (OT) ağları, fiziksel süreçleri kontrol eden sistemlerdir. Üretim bantları, enerji dağıtımı, su arıtma tesisleri gibi kritik altyapıları SCADA sistemleriyle yönetiriz. Bu sistemlerde kullanılan protokoller çoğunlukla güvenlik gözetilmeden tasarlanmıştır. Modbus TCP, DNP3, Profinet, IEC 60870-5-104 gibi protokollerde şifreleme veya kimlik doğrulama bulunmaz.

Modbus TCP protokolü, istemci-sunucu mimarisinde çalışır. Bir saldırgan ağa eriştiğinde sahte okuma/yazma komutları göndererek PLC’lerin (programlanabilir mantıksal denetleyici) çıkışlarını değiştirebilir. Örneğin bir enerji santralinde türbin hızını kontrol eden register değerine müdahale edilmesi fiziksel hasara yol açabilir. DNP3 protokolü ise noktadan noktaya iletişimde güvenlik katmanı olmadığı için saldırganlar tekrar saldırıları (replay attack) ile sistemi kandırabilir.

OT ağlarının en büyük zafiyeti IT ağlarıyla olan bağlantılardır. Konverjans arttıkça saldırı yüzeyi genişler. Bir üretim tesisinde ofis ağına sızan fidye yazılımı, güvenlik duvarı kuralları yeterince katı değilse üretim ağına sıçrayabilir. 2021’de ABD’de bir boru hattı şirketine yapılan Colonial Pipeline saldırısı, IT ağındaki bir zafiyetin OT sistemlerini de durma noktasına getirebileceğini göstermiştir.

Kritik altyapılar için koruma stratejileri arasında ayrıştırma (segmentasyon) ve derin paket inceleme (DPI) yer alır. DPI cihazları endüstriyel protokolleri anlayarak anormal komutları engelleyebilir. Ancak bu cihazların bile sıfır gün açıklarına karşı düzenli olarak TSE A Sınıfı sızma testi ile sınanması gerekir. Nesil Teknoloji OT ortamlarına özel pasif test metodolojileriyle üretimi durdurmadan zafiyet analizi yapmaktadır.

3. Zafiyet Analizi ve Sızma Testi Araçları

Proaktif güvenliğin temeli düzenli zafiyet taraması ve sızma testleridir. Sızma testlerinde kullanılan araçları hem saldırganlar hem de savunmacılar aynı şekilde kullanır. Önemli olan testin kapsamı, metodolojisi ve raporlama kalitesidir. TSE A Sınıfı Sızma Testi yetkisi bu kaliteyi belgeleyen en önemli standarttır.

TSE A Sınıfı test sürecinde yalnızca otomatik araçlar değil, manuel keşif ve istismar teknikleri de kullanırız. Test ekibi, hedef kurumun güvenlik politikalarını, ağ mimarisini ve çalışan farkındalığını değerlendirir. Raporlama aşamasında bulduğumuz zafiyetleri iş etkisine göre sınıflandırır ve düzeltme önerileri sunarız. Bu testler sayesinde fidye yazılımı saldırganlarının kullanacağı yolları daha onlar adım atmadan kapatmış oluruz.

4. Ödeme İkilemi ve Kurtarma İllüzyonu

Saldırı gerçekleştikten sonra yöneticilerin en büyük açmazı fidyeyi ödeyip ödememektir. Siber suçlular genellikle ödeme yapıldığında şifre çözücü anahtar göndereceklerini taahhüt eder. Ancak bağımsız araştırmalar bu taahhütlerin çoğu zaman yerine getirilmediğini gösteriyor. Cybersecurity Ventures verilerine göre fidye ödeyen kurumların yalnızca yüzde 65’i verilerine tam olarak erişebiliyor. Geri kalan yüzde 35’te veriler ya bozuluyor ya da hiç açılmıyor.

Teknik açıdan sorun şifreleme algoritmasının karmaşıklığında değil, şifre çözücü yazılımın kurumun altyapısına uygunluğundadır. Saldırganlar genellikle tek bir ortamda test ettikleri çözücüyü gönderir. Oysa kurumsal ağlarda farklı sürümlerde işletim sistemleri, veritabanları ve uygulamalar bulunur. Çözücü bu heterojen ortamda çalışmayabilir veya yanlış çalışarak veri bütünlüğünü bozabilir.

Bir diğer risk çift yönlü şantaj modelidir. Saldırganlar şifreleme öncesinde hassas verileri sızdırır. Ödeme yapılsa bile bu verilerin kopyalarını ellerinde bulundurdukları için ikinci bir fidye talebi gelebilir veya verileri karanlık ağda satışa çıkarabilirler. 2024’te bir Türk finans kuruluşuna yapılan saldırıda şirket fidyeyi ödedikten üç ay sonra sızdırılan müşteri verilerinin deep web’de dolaşıma girdiği tespit edildi.

Ödeme kararının bir diğer sonucu da itibar kaybıdır. Fidye ödediği basına yansıyan kurumlar hem müşteri güvenini yitirir hem de siber suçlular için hedef haline gelir. Ödeme yapan kurumların yüzde 80’i altı ay içinde ikinci bir saldırıya uğrar. Bu istatistik, ödemenin caydırıcı değil teşvik edici olduğunu açıkça gösterir.

5. KVKK ve Regülatif Yaptırımlar

Türkiye’de kişisel verilerin korunmasını KVKK düzenler. Bir fidye yazılımı saldırısında kişisel verilerin ele geçirilmesi veya erişilemez hale gelmesi veri ihlali olarak kabul edilir. KVKK’nın 12. maddesi veri sorumlularına gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Ayrıca ihlal durumunda en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmak zorundayız.

Fidye ödeyerek ihlali gizleme girişimleri kurumu daha ağır yaptırımlarla karşı karşıya bırakır. Kurul, bildirim yapılmadığı takdirde idari para cezası uygular. 2024 itibarıyla bu cezalar ihlalin ağırlığına göre 1 milyon TL’nin üzerine çıkabilir. Ayrıca veri sorumlusu gerçek kişiler hakkında adli soruşturma da açılabilir.

Uluslararası boyutta ise ABD’nin OFAC yaptırımları dikkate alınmalıdır. OFAC, yaptırım listesindeki kişi veya kuruluşlara ödeme yapılmasını yasaklar. Birçok fidye yazılımı grubu bu listelerde yer alır. Ödeme yapan kurum, farkında olmadan uluslararası yaptırımları ihlal edebilir ve ABD finans sistemiyle ilişkisi tehlikeye girebilir.

Bu nedenle kriz anında hukuk ve uyum ekipleriyle koordinasyon şarttır. Nesil Teknoloji olarak sunduğumuz olay müdahale hizmetlerinde hem teknik ekipler hem de hukuk danışmanlarıyla birlikte hareket ediyor, bildirim süreçlerini mevzuata uygun şekilde yönetiyoruz.

6. Sıfır Güven ve Proaktif Savunma Mimarisi

Fidye yazılımlarına karşı en etkili savunma, saldırı olmadan önce aldığımız önlemlerdir. Geleneksel çevre güvenliği yaklaşımı günümüz tehditlerine karşı yetersiz kalmaktadır. Bu noktada sıfır güven (Zero Trust) mimarisi öne çıkar. Sıfır güvenin temel prensibi hiçbir kullanıcıya veya cihaza varsayılan olarak güvenmemektir. Her erişim talebini kimlik, cihaz sağlığı ve yetki bağlamında doğrularız.

Sıfır güvenin uygulanmasında mikro segmentasyon kritik rol oynar. Ağı mantıksal olarak küçük parçalara böleriz. Bir bölüme sızan saldırgan diğer bölümlere geçemez. Örneğin muhasebe birimindeki bir bilgisayardan üretim bandındaki PLC’ye erişimi engelleriz. Mikro segmentasyonu, yazılım tanımlı ağ (SDN) çözümleriyle dinamik olarak yönetebiliriz.

Yedekleme stratejileri de proaktif savunmanın ayrılmaz parçasıdır. 3-2-1 kuralını güncelleyerek 3-2-1-0 kuralına dönüştürdük: üç kopya, iki farklı medya, bir kopya çevrimdışı ve sıfır hata. Çevrimdışı yedekler (air gap) sayesinde fidye yazılımı bu yedekleri şifreleyemez. Ayrıca yedekleri düzenli olarak test eder, geri dönüş senaryolarının çalıştığından emin oluruz.

Uç nokta tespit ve yanıt (EDR) çözümleri, davranışsal analizle anormallikleri tespit eder. Bir kullanıcının normalde erişmediği dosyaları toplu olarak şifrelemeye çalışmasını EDR algılar ve süreci durdurur. Yapay zeka tabanlı EDR sistemleri, sıfırıncı gün saldırılarında bile imza gerektirmeden koruma sağlayabilir.

Nesil Teknoloji olarak TSE A Sınıfı test yetkimizle kurumların sıfır güven mimarilerini sınamakta, zafiyetleri tespit edip gidermekteyiz. Proaktif yaklaşım sayesinde müşterilerimiz fidye yazılımı saldırılarına karşı hazırlıklı hale gelir ve kriz anında ödeme ikilemi yaşamaz.

Sık Sorulan Sorular