Bir fidye yazılımı olayının ilk günü, ne kadar kayıp yaşayacağınızı, toparlanmanın ne kadar süreceğini ve daha sonra ne olduğunu açıklayıp açıklayamayacağınızı belirler. İlk içgüdü her şeyi kapatıp geri yüklemeye başlamaktır. Saldırıyı, ihtiyaç duyacağınız kanıtları yok etmeden sınırlayabilecek kadar yavaşlayın.
0–1. saat: kanıtları yok etmeden sınırlayın
Etkilenen sistemlerin ağ bağlantısını kesin: kabloyu çıkarın, Wi-Fi’ı kapatın, switch portunu kapatın ya da uç nokta güvenlik aracınızın yalıtma özelliğini kullanın. Birkaç sistem ya da bütün alt ağlar etkilenmiş görünüyorsa makineleri tek tek değil, switch düzeyinde yalıtın.
Ağdan ayıramadığınız durumlar dışında makineleri kapatmayın. CISA’nın #StopRansomware Guide belgesi, kapatmayı yalnızca ağdan ayrılamayan cihazlar için bir son çare olarak görür, çünkü kapatmak bellekteki kanıtları yok eder. Henüz hiçbir şeyi silmeyin, yeniden kurmayın ve temizleme araçları da çalıştırmayın.
Fidye notunu ve şifrelenmiş dosyaları olduğu yerde bırakın. Notu gösteren ekranların fotoğrafını çekin.
İletişimi ayrı bir kanala taşıyın
Saldırganın e-postalarınızı ve sohbet yazışmalarınızı okuyabildiğini varsayın. CISA, müdahaleyi saldırgana sezdirmeden koordine etmek için telefon görüşmesi gibi bant dışı yöntemler önerir. Etkilenen ortamın parçası olmayan cihazlarda bir telefon konferansı ya da mesajlaşma grubu kurun.
Bir olay sorumlusu belirleyin. Her karar ve işlemi saatiyle kaydeden yazılı bir günlük tutmaya başlayın. Bu günlüğe denetim makamları, sigortacılar ve olay sonrası kendi değerlendirmeniz için ihtiyacınız olacak.
Kanıtları koruyun
Herhangi bir şey yeniden kurulmadan önce incelemede gerekecekleri toplayın:
- CISA’nın önerdiği gibi, etkilenen makinelerden bir örneklemin disk imajı ve bellek dökümü
- güvenlik duvarı, VPN, uç nokta koruması, etki alanı denetleyicileri, e-posta ve bulut servislerinin kayıtları
- fidye notu, birkaç şifrelenmiş dosya ve zararlı yazılımın eklediği dosya uzantısı
Etkilenen sistemlerdeki kayıtlar değiştirilmiş ya da silinmiş olabilir. Avrupa Veri Koruma Kurulu (EDPB), eksik bir kayıt satırının verinin dışarı sızdırılmadığını kanıtlamadığı konusunda uyarır ve kayıtların merkezî bir sunucuya aktarılmasını önerir. Elinizdekileri, saklama ayarları üzerine yazmadan önce dışa aktarın.
Kapsamı belirleyin
Şifrelenmiş dosyalar saldırının nerede bittiğini gösterir, nerede başladığını değil. CISA, daha önceki aşamalara ait zararlı yazılımların ve veri hırsızlığı belirtilerinin aranmasını önerir. Dört soruya cevap bulmaya çalışın:
- Hangi sistemler ve veriler şifrelendi ya da etkilendi?
- Saldırgan hangi hesapları kullandı? Yeni hesapları, yetkileri yeni yükseltilmiş hesapları ve yöneticilerin olağandışı hareketlerini arayın.
- İçeri nasıl girdiler? Örneğin çok faktörlü kimlik doğrulaması (MFA) olmayan uzaktan erişimi, internete açık ve güncellenmemiş sistemleri ve son oltalama e-postalarını kontrol edin.
- Veri dışarı kopyalandı mı? Büyük giden aktarımlar için güvenlik duvarı ve proxy kayıtlarını kontrol edin.
Son soru hukuki durumunuzu büyük ölçüde belirler; bu yüzden aksini kanıtlayana kadar her belirsizliği “muhtemelen evet” olarak değerlendirin.
Parolaları doğru sırayla sıfırlayın
Etkilenen bir sistemde kullanılan ya da saklanan her kimlik bilgisinin saldırgan tarafından bilindiğini varsayın. Sıfırlamayı etkilenen ağdaki bir makineden değil, her zaman temiz bir cihazdan yapın.
Saldırgan hâlâ içerideyken yapılan sıfırlama, yeni parolaları doğrudan ona teslim edebilir. CISA’nın kontrol listesi, tam sıfırlamayı ortam temizlenip yeniden kurulduktan sonraya koyar. Yine de erişimi kesmek için en yetkili hesapları daha erken, acil olarak sıfırlamanız gerekebilir. Sırayı müdahale ekibinizle birlikte belirleyin. Makul bir sıra şöyledir:
- Etki alanı ve bulut kimlik yöneticileri ile acil durum (break-glass) hesapları
- Yedekleme, sanallaştırma (hypervisor) ve depolama yöneticileri
- Uzaktan erişim, VPN ve güvenlik duvarı yöneticileri
- Servis hesapları, özellikle geniş yetkili olanlar
- Active Directory’de
krbtgthesabı, iki kez. Microsoft’un orman kurtarma kılavuzu, neden iki sıfırlama gerektiğini ve ikisi arasında ne kadar beklenmesi gerektiğini açıklar. - Mevcut oturumları ve token’ları iptal edilerek kalan tüm kullanıcılar
Yedeklerinize güvenmeden önce kontrol edin
CISA, birçok fidye yazılımı türünün erişilebilir yedekleri aradığını ve bunları sildiğini ya da şifrelediğini belirtir. Toparlanmayı planlamadan önce hangi yedek kopyaların sağlam olduğunu, son temiz yedeğin ne zaman alındığını ve bu yedekten geri yükleme yapıp yapamayacağınızı doğrulayın.
Geri yüklemeyi önce yalıtılmış bir ortamda yapın. CISA, yedeklerden yeniden kurulumdan önce dropper türü zararlı yazılımların ve benzeri önceki aşama araçlarının bulunması gerektiği konusunda uyarır. Aksi hâlde verilerle birlikte sorunu da geri yükleyebilirsiniz.
Yasal süreler
Olayı öğrendiğiniz anda birden fazla süre işlemeye başlayabilir. Bu süreler birbirine paralel işler.
| Kural | Ne zaman geçerli | Süre | Kime bildirilir |
|---|---|---|---|
| GDPR Madde 33 | Kişisel veriler etkilendiğinde (ihlalin kişiler açısından risk doğurma olasılığı yoksa hariç) | Gereksiz gecikme olmaksızın ve mümkünse 72 saat içinde | Veri koruma denetim makamı |
| NIS2 Madde 23 | Temel ya da önemli bir kuruluşsanız ve olay ciddiyse | 24 saat içinde erken uyarı, 72 saat içinde bildirim, bir ay içinde nihai rapor | Ulusal CSIRT ya da yetkili makam |
| KVKK (Türkiye) | Türk hukukuna göre işlenen kişisel veriler etkilendiğinde | Gecikmeksizin, en geç 72 saat içinde | Kişisel Verileri Koruma Kurulu |
Fidye yazılımı genellikle bir erişilebilirlik ihlalidir ve çoğu zaman bir gizlilik ihlalidir de. EDPB’nin örnek vakalarında, sağlam bir yedeği olan ve veri sızdırılmayan bir saldırının bildirilmesi gerekmeyebilir, ancak Madde 33(5) uyarınca yine de kurum içinde belgelenmelidir. Kullanılabilir yedeği olmayan ya da verilerin çalındığı bir saldırı ise genellikle bildirilmelidir. Kişiler, örneğin kimlik belgelerinin çalınması gibi yüksek bir riskle karşı karşıyaysa onlara da haber verilmelidir.
Bu sürelere uymak için bütün cevaplara sahip olmanız gerekmez. NIS2 bildirimleri zaten aşamalı olacak şekilde tasarlanmıştır; GDPR Madde 33(4) uyarınca da bilgiler, ayrıca gereksiz gecikmeye yol açmadan aşama aşama verilebilir. Kendi bildirim şartlarını içerebilecek siber sigorta poliçenizi de kontrol edin ve suçu polise bildirin.
Ödemeli mi, ödememeli mi
Birleşik Krallık’ın NCSC’si ve kolluk kuvvetleri fidye ödemeyi teşvik etmez ve onaylamaz. Ödeme yapmak verilerinizi geri alacağınızı garanti etmez. Sistemleriniz yine de enfekte kalır ve yeniden hedef olabilirsiniz. Europol ve Hollanda polisinin desteklediği No More Ransom projesi bazı fidye yazılımı aileleri için ücretsiz şifre çözme araçları yayımlar; önce oraya bakın.
Ödeme yasa dışı da olabilir. ABD Hazine Bakanlığı’na bağlı Yabancı Varlıkları Kontrol Ofisi (OFAC), yaptırım listesindeki kişilere yapılan fidye ödemelerinin ABD yaptırım kurallarını ihlal edebileceği konusunda uyarmıştır. Hukuki para cezaları kusursuz sorumluluk esasına göre uygulanabilir. AB’nin siber saldırılara ilişkin 2019/796 sayılı Tüzüğü, listelediği kişilere fon sağlanmasını yasaklar. Ödeme kararı gecenin bir yarısında BT ekibine değil, yönetime, hukuk danışmanlarına ve kolluk kuvvetlerine aittir.
Neler yapılmamalı
- Yalıtamadığınız durumlar dışında makineleri kapatmayın.
- Saldırganın nasıl girdiğini öğrenmeden sistemleri yeniden bağlamayın ya da geri yüklemeyin.
- Uzman ve hukuki destek almadan saldırganla pazarlık etmeyin, ona yanıt vermeyin.
- Olayı izleniyor olabilecek şirket e-postası ya da sohbet uygulaması üzerinden konuşmayın.
- Fidye notu dahil hiçbir şeyi silmeyin.
Olay yaşanmadan nereden başlamalı
- Olay müdahale planınızı ve iletişim listenizi yazdırın, kopyalarını ağ dışında saklayın.
- Sistemleri devre dışı bırakma yetkisinin kimde olduğunu önceden belirleyin.
- Yönetici hesaplarıyla silinemeyen en az bir yedek kopya tutun ve geri yüklemeyi test edin.
- GDPR, NIS2 ve KVKK bildirimleri için başvuracağınız iletişim noktalarını şimdiden yazın.
- Olay müdahale desteğini ihtiyaç duymadan önce ayarlayın.
Şu anda bir olayla uğraşıyorsanız olay müdahale ekibimiz olayı sınırlamanıza ve bu adımları uygulamanıza yardım edebilir.
