Hızlı cevap: 3-2-1 yedekleme kuralı, veri kaybına karşı bilinen en sağlam ve en basit stratejidir: verinizin en az 3 kopyasını tutun, bunları 2 farklı ortam türünde saklayın ve 1 kopyayı kurum dışında (offsite) bulundurun. Amaç, tek bir olayın (bir disk arızası, bir yangın, bir fidye yazılımı) tüm kopyalarınızı aynı anda yok etmesini imkânsız hale getirmektir. Modern bir eklemeyle bu kural 3-2-1-1-0 haline gelir: 1 kopya çevrimdışı ya da değiştirilemez (immutable) olmalı ki fidye yazılımı ona ulaşamasın, ve yedekleriniz 0 hata ile geri yüklenebildiği düzenli olarak test edilmelidir. Test edilmemiş bir yedek, yedek sayılmaz; çünkü bir yedeğin gerçekten işe yarayıp yaramadığı, ancak geri yükleme denendiğinde belli olur.

Yedekleme, herkesin gerekli olduğunu bildiği ama çoğu kurumun bir felaket yaşayana kadar ciddiye almadığı bir konudur. Bir disk arızası, yanlışlıkla silinen bir dosya ya da bir fidye yazılımı saldırısı, yıllarca biriken veriyi bir anda yok edebilir. İşte 3-2-1 kuralı, tam bu senaryolara karşı geliştirilmiş, onlarca yıldır geçerliliğini koruyan bir stratejidir. Bu yazı, bu kuralın ne olduğunu, neden işe yaradığını ve modern tehditlere karşı nasıl güncellendiğini anlatıyor.

3-2-1 kuralı nedir

Kural, üç basit sayıyla özetlenir. Üç: verinizin en az üç kopyası olsun (orijinal artı iki yedek). İki: bu kopyaları iki farklı ortam türünde saklayın (örneğin bir yerel disk ve bir bulut). Bir: en az bir kopyayı fiziksel olarak başka bir yerde (offsite) tutun. Bu basit yapı, güçlü bir prensibe dayanır: hiçbir tek olay, tüm kopyalarınızı aynı anda yok edememelidir.

Neden işe yarıyor? Çünkü riskleri dağıtır. Bir disk arızalanırsa diğer kopya vardır. Bir ortam türü (örneğin tüm yerel diskler) çökerse, farklı türdeki kopya kurtarır. Ofisinizde bir yangın ya da hırsızlık olursa, offsite kopya sizi kurtarır.

Modern ekleme: 3-2-1-1-0

Fidye yazılımı çağında klasik kural bir güncelleme aldı. Yeni haliyle 3-2-1-1-0 olur:

Rakam Anlamı
3 En az üç kopya (orijinal + iki yedek)
2 İki farklı ortam türü
1 Bir kopya offsite (kurum dışı)
1 Bir kopya çevrimdışı ya da değiştirilemez (immutable)
0 Sıfır hata: yedekler test edilmiş ve geri yüklenebilir

Buradaki iki yeni rakam kritik. Fidye yazılımı, ağa bağlı yedekleri de şifreler; bu yüzden en az bir kopyanın çevrimdışı (air-gapped) ya da değiştirilemez olması, ona karşı en güçlü savunmadır. Bu konuyu fidye yazılımı ilk 24 saat yazısında ayrıntılandırdık.

Sıfır: test edilmeyen yedek yoktur

Belki de en çok ihmal edilen rakam sıfırdır: yedeklerin sıfır hata ile geri yüklenebildiği düzenli olarak test edilmelidir. Pek çok kurum yıllarca düzenli yedek alır, sonra bir felaket anında yedeklerin bozuk, eksik ya da geri yüklenemez olduğunu keşfeder. Bir yedeğin gerçekten işe yaradığının tek kanıtı, onu geri yüklemeyi denemektir. Düzenli geri yükleme testleri yapmayan bir kurum, aslında bir yedeğe sahip olduğunu sadece varsayar; bunu bilmez.

Kurumsal yedekleme planı

Bir yedekleme stratejisi kurarken birkaç soruyu netleştirin. Ne kadar geriye dönebilmeniz gerekiyor (kurtarma noktası hedefi)? Bir felaketten sonra ne kadar sürede işe dönmeniz gerekiyor (kurtarma süresi hedefi)? Hangi veriler en kritik ve öncelikli? Bu sorular, ne sıklıkla ve nereye yedekleme yapacağınızı belirler. Yedekleme, bir siber olay müdahale planının da temel taşıdır; çünkü bir olaydan kurtarmanın çoğu, sağlam bir yedeğe dayanır. KOBİ'ler için bunun neden ilk üç adımdan biri olduğunu KOBİ 10 adım siber güvenlik yazısında ele aldık.

KAOS ve DSET yaklaşımı

DSET, kurumların veri dayanıklılığını ve yedekleme stratejisini değerlendirir. Bir olay yaşandığında ise adli bilişim ve kurtarma tarafında çalışır. Yerel yapay zekâ motorumuz KAOS, bir kurumun altyapısındaki fidye yazılımı giriş yollarını ve yedeklere yönelik riskleri tespit eder ve her bulguyu çalışan bir kanıtla raporlar. Amaç, bir felaket anında kurumun sağlam ve test edilmiş bir yedeğe dayanabilmesini sağlamaktır.

Sık sorulan sorular

Bulut yedeğim var, bu yeterli mi? Tek başına genelde yeterli değildir. Bulut yedeği önemli bir kopyadır ama 3-2-1 kuralı birden fazla kopya ve farklı ortam türü ister. Ayrıca bulut yedeğiniz sürekli senkronize oluyorsa, bir fidye yazılımı ya da yanlışlıkla silme, bozuk veriyi buluta da yayabilir. Bu yüzden sürüm geçmişi, silme koruması ve tercihen bir çevrimdışı kopya da gereklidir.

Yedeklerimi ne sıklıkla test etmeliyim? Düzenli olarak, ideal olarak en az birkaç ayda bir ve önemli bir değişiklikten sonra. Test, gerçek bir geri yükleme denemesi olmalıdır; sadece yedeğin var olduğunu görmek yetmez. Geri yüklemeyi denemeden, yedeğin bozuk ya da eksik olup olmadığını bilemezsiniz. Test edilmemiş bir yedek, bir felaket anında en kötü sürprizi verir.

Fidye yazılımına karşı yedek nasıl korunur? En az bir kopyanın çevrimdışı (air-gapped) ya da değiştirilemez (immutable) olması gerekir. Fidye yazılımı, ağa bağlı ve yazılabilir yedekleri de şifreler; ama ona hiç ulaşamayan ya da değiştirilemeyen bir kopya, saldırıdan sonra sizi ödeme yapmadan kurtarır. Bu, modern yedekleme stratejisinin en kritik parçasıdır.

Kaynaklar

Kurumunuzun yedekleme stratejisini ve veri dayanıklılığını değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik danışmanlığı sağlıyoruz.