Fidye Yazılımı (Ransomware) Kriz Yönetimi, Yanal Hareket Engelleme ve Kurtarma
Aktif bir fidye yazılımı saldırısı sırasında ilk 60 dakikada yapılacak acil müdahaleler, Active Directory izolasyonu ve güvenli yedekten geri dönme mimarisi.
- #ransomware
- #incident-response
- #backup
- #active-directory
- #soc
1. Fidye Yazılımı Saldırısının Anatomisi
Modern “Çift Şantaj” (Double Extortion) fidye yazılımı operasyonları (ör. LockBit, Akira), sistemleri şifrelemeden günler veya haftalar önce ağa sızar, veri sızdırır ve gölge kopyaları (VSS) siler.
2. İlk 60 Dakika Acil Eylem Protokolü
- Ağ İzolasyonu (Fiziksel / Mantıksal):
- Şifrelenmeye başlayan veya şüpheli davranan tüm VLAN’ların yönlendirmesini (inter-VLAN routing) kesinlikle kesin.
- Core switch düzeyinde istemci segmentlerini sunucu segmentlerinden ayırın.
- Domain Controller Koruması:
- DC’ler henüz şifrelenmediyse, etki alanı üzerindeki tüm VPN ve uzak yönetim oturumlarını sonlandırın.
- Domain Admin hesaplarının parolalarını sıfırlayın.
- Yedeklerin Korunması (Air-Gapped Backups):
- Çevrimdışı (offline) ve Write-Once-Read-Many (WORM) depolama alanlarının ağ erişimini derhal kesin.
3. Yanal Hareketin (Lateral Movement) Engellenmesi
- SMB Port 445 ve RPC İletişimini Kısıtlama: İstemciler arası (Workstation-to-Workstation) doğrudan trafiği switch port koruması (Private VLAN) ile engelleyin.
- PsExec ve WMI Denetimi: Ağ genelinde beklenmeyen
psexesvc.exehizmetlerini ve WMI ile uzaktan süreç oluşturmayı (Win32_Process.Create) EDR ile izleyin; Microsoft Defender ASR’deki “Block process creations originating from PSExec and WMI commands” kuralını değerlendirin.
4. Kurtarma ve Güvenli Temizlik
- Asla Şifrelenmiş Makinayı Doğrudan İnternete Açmayın: Saldırganın bıraktığı ikincil arka kapılar (Persistence) temizlenmeden sistemleri yayına almayın.
- Temiz Bare-Metal Kurulum: Enfekte olmuş işletim sistemlerini biçimlendirip (format) altın imaj (Golden Image) üzerinden sıfırdan kurun.