Muhasebe Sunucusu Fidye Yazılımına Nasıl Yakalanır? Korunmanın Temel Adımları
Oktay Alver · Kurucu, ADEA SistemKısaca. Muhasebe sunucusu bir şirketin en değerli verisini taşır ve çoğu zaman internete açık bir uzak masaüstü portuyla çalışır. Şirketlere yönelik saldırılarda uzak masaüstü en sık kötüye kullanılan araçların başında geliyor. Korunmanın üç temel adımı var. Portu internete açmamak, girişi ikinci bir onaya bağlamak ve yedeği sunucudan ayrı tutmak.
Neden muhasebe sunucusu?
Faturalar, cari hesaplar, stok ve bordro kayıtları genellikle tek bir veritabanında durur. Bu veritabanı şifrelendiğinde şirket fatura kesemez, ödeme alamaz, sevkiyat yapamaz. Saldırgan için bu, fidye talebinin karşılık bulma ihtimalini yükseltir.
Üstelik pek çok şirkette muhasebe sunucusu ofisteki bir makinede çalışır ve dışarıdan erişim için uzak masaüstü portu doğrudan internete açılır. Şube, ev veya bayi bağlantısı için kolay bir çözümdür, ama aynı kapı saldırgana da açıktır.
Uzak masaüstü saldırılarda ne kadar rol oynuyor?
Sophos'un olay müdahale ekibinin 2023 yılında ele aldığı vakalarda saldırganlar uzak masaüstünü vakaların yüzde 90'ında kötüye kullanmış. Saldırganların ağa ilk girişi ise vakaların yüzde 65'inde uzak masaüstü gibi dışarıya açık uzak erişim servislerinden olmuş. Bu, raporun yayımlanmaya başladığı 2020'den beri en yüksek oran.
Kaynak: Sophos, Active Adversary Report basın bülteni, Nisan 2024.
Kendi sensör ağımız da internete açık her servisin sürekli denendiğini gösteriyor. 25 Eylül ile 25 Ekim 2026 arasında sensörlerimiz 148.192 saldırı denemesi kaydetti, günde ortalama 4.940. En çok denenen kullanıcı adları root ve admin oldu. Yani saldırganlar önce varsayılan ve tahmin edilmesi kolay hesapları deniyor. Ayrıntılar Türkiye sunucu saldırı raporumuzda.
Tipik bir saldırı nasıl ilerler?
- Bulma. Otomatik taramalar internete açık uzak masaüstü portlarını listeler.
- Giriş. Zayıf, tekrar kullanılan ya da daha önce sızdırılmış bir parolayla oturum açılır.
- Yayılma. Saldırgan ağdaki diğer sunuculara ve yedeklere ulaşmaya çalışır.
- Şifreleme. Veritabanı ve erişebildiği yedekler şifrelenir, ardından fidye notu bırakılır.
Bu zincirin her halkası kırılabilir. En ucuz ve en etkili olanı ilk iki adımı engellemektir.
Korunmanın temel adımları
- Uzak masaüstü portunu internete açmayın. Kullanıcılar önce VPN ile bağlansın, uzak masaüstü yalnızca bu tünelin içinden çalışsın. Ayrıntılar RDP portunu açmak neden tehlikeli yazımızda.
- Girişi ikinci bir onaya bağlayın. Parola tek başına yetmemeli. Çok faktörlü doğrulama ya da yönetici onayı, çalınmış bir parolayı tek başına işe yaramaz hale getirir.
- Yedeği sunucudan ayırın. Yedek, sunucuyla aynı kullanıcı bilgileriyle erişilebilen bir yerde durmamalı. Yedeklerin geri dönüş denemesiyle düzenli olarak doğrulanması gerekir.
- Desteği biten sistemleri güncelleyin. Güvenlik güncellemesi almayan işletim sistemi ve veritabanı, saldırganın işini kolaylaştırır. Bkz. Windows Server 2016 ve SQL Server 2016 destek sonu yazılarımız.
- Varsayılan hesapları kapatın. Administrator, admin ve test gibi tahmin edilebilir hesaplar ya kapatılmalı ya da yeniden adlandırılmalı.
Bizim altyapımızda
Muhasebe sunucularını bu adımlar baştan uygulanmış şekilde teslim ediyoruz. Her sunucu FortiGate Firewall arkasında çalışır ve uzak masaüstü portu internete açılmaz. Kullanıcılar pakete dahil VPN ile bağlanır. İsterseniz AdeGate ile her uzak masaüstü oturumu yöneticinizin onayına bağlanır. 7 restore point dahildir ve yedekler düzenli olarak doğrulanır. Ayrıntılar için muhasebe programı sunucusu sayfamıza bakabilirsiniz.