Neler kuracaksınız
Bir ağa sızan saldırganlar genellikle sunucuları şifrelemeden önce yedekleri silmeye ya da şifrelemeye çalışır. Bu nedenle çalınmış bir yönetici hesabının silebileceği bir yedek yeterli değildir. Bu rehber BackupZit ile katmanlı bir koruma kurar: yerel depolamada birincil yedek, başka bir yerde bir kopya ve depolama kimlik bilgileriyle bile belirlenen süre dolmadan yedeklerin yok edilemediği bir depolama. BackupZit ücretsiz ve açık kaynaklıdır (AGPLv3); burada anlatılan her şey ücretsiz ürünün parçasıdır.
3-2-1 kuralı ve 3-2-1-1-0
3-2-1 kuralı: verilerinizin 3 kopyası, 2 farklı ortamda, bunlardan 1'i şirket dışında. 3-2-1-1-0 uzantısı, değiştirilemez ya da çevrimdışı 1 kopya ve yedekler doğrulanırken 0 hata ekler. BackupZit'te:
| Bölüm | BackupZit'te |
|---|
| 3 kopya | Üretim verileri, bir yedekleme işi ve bir yedek kopyalama işi. |
| 2 ortam | İki depolama hedefi, ör. SMB veya SFTP üzerinden bir NAS ve bir S3 bucket. |
| 1 şirket dışı | Kopya buluta (S3, Azure Blob Storage) ya da başka bir binadaki güçlendirilmiş depoya gider. |
| 1 değiştirilemez veya çevrimdışı | Object Lock'lu S3, güçlendirilmiş depo veya dönüşümlü USB diskler. |
| 0 hata | Otomatik geri yükleme testleri ve depolanan tüm verilerin denetimi; biri başarısız olursa uyarı. |
Korunan makinelerde aracıları olan bir BackupZit konsoluna ihtiyacınız var; Proxmox VE, Hyper-V ve Windows disk görüntüleri rehberleri bu ilk adımları gösterir.
Adım 1 — Hızlı geri yükleme için birincil depolama
Konsolda Depolama → Depolama hedefi ekle'yi açın. İlk kopya için yerel ağdaki bir depolamayı seçin; böylece yedekleme ve geri yükleme tam hızda çalışır: bir dosya sunucusunda veya NAS'ta SMB paylaşımı ya da SFTP üzerinden bir Linux sunucusu veya NAS (ana bilgisayar anahtarı sabitlenir). Hedefe yalnızca yedek klasörüne yazabilen ayrı bir hesap verin ve yedek depolamayı Windows etki alanına katmayın.
Kaydettiğinizde konsol hedefi hemen test eder — yanlış parola, ana bilgisayar anahtarı veya paylaşım ilk yedekte değil şimdi ortaya çıkar. Depolama listesindeki Bağlantıyı test et testi tekrarlar.
Adım 2 — Değiştirilemez depolama ekleyin
BackupZit'te yedeklerin süresi dolmadan silinemediği veya üzerine yazılamadığı iki tür depolama vardır. İdeal olarak bu depolama şirket dışında da olur; böylece tek hedef ikisini birden karşılar.
Seçenek A: Object Lock'lu S3
- Bucket'ı Object Lock etkin olarak oluşturun — AWS, Wasabi ve Backblaze B2'de bucket oluşturulurken bir seçenektir, MinIO'da
mc mb --with-lock.
- Güncel olmayan sürümleri bir gün sonra silen bir yaşam döngüsü kuralı ekleyin (MinIO:
mc ilm rule add --noncurrent-expire-days 1 --expire-delete-marker). Kilitli bir yedeği silmek yalnızca bir silme işaretçisi ekler; kural, kilitler bitince alanı boşaltır.
- Konsolda S3 uyumlu (AWS, Wasabi, Backblaze B2, MinIO, …) türünde bir hedef ekleyin; uç nokta, bucket ve o bucket için bir erişim anahtarıyla.
- Değiştirilemez yedekler (S3 Object Lock, uyumluluk modu) süresi: … gün seçeneğini işaretleyin (varsayılan 30) ve korumak istediğiniz saklama süresi kadar uzun bir süre seçin.
Aracıların yazdığı her dosya bu süre artı bir gün boyunca uyumluluk modunda kilitlenir: anahtarlara sahip bir saldırgan da bucket sahibi de dahil hiç kimse onu daha önce silemez veya üzerine yazamaz. Yeni bir yedeğin eski yedeklerden yeniden kullandığı verilerin kilidi uzatılır; böylece her geri yükleme noktası sürenin tamamı boyunca korunur. Değiştirilemez depolamada bağlantı testi yalnızca oturum açar ve listeler, ayrıca bucket'ta gerçekten Object Lock olup olmadığını denetler.
Azure ve Google Cloud: Azure Blob Storage için Azure'da kapsayıcıda zamana bağlı saklama ilkesiyle sürüm düzeyinde değiştirilemezliği etkinleştirin. Google Cloud Storage bir S3 hedefi olarak çalışır, ancak Object Lock seçeneği yoktur; bunun yerine Google Cloud'da bir bucket saklama ilkesi ayarlayın (ve kilitleyin).
Seçenek B: kendi Linux sunucunuzda güçlendirilmiş depo
Ayrı bir Linux sunucusunda backupzit-repo çalışır (deb ve rpm paketleri her GitHub sürümüne eklidir):
apt install ./backupzit-repo_*.deb # veya: dnf install ./backupzit-repo-*.rpm
vi /etc/backupzit-repo/repo.env # BACKUPZIT_REPO_LOCK_DAYS=30
systemctl start backupzit-repo
backupzit-repo add-key office-console # erişim anahtarını bir kez gösterir
backupzit-repo fingerprint # sertifika parmak izi
Konsolda Güçlendirilmiş depo (Linux'ta backupzit-repo, değiştirilemez) türünde bir hedef ekleyin; sunucu adresi (varsayılan port 8500), erişim anahtarı ve parmak iziyle.
- Aracılar ve konsol yalnızca dosya ekleyebilir; mevcut dosyaların üzerine asla yazılmaz.
- Her dosya, o sunucuda ayarlanan süre artı bir gün boyunca değiştirilemez özniteliğini (
chattr +i) alır. Root bile önce özniteliği kaldırmadan onu silemez.
- İstemcilerden gelen silmeler — saklama ya da erişim anahtarına sahip bir saldırgan — dosyaları yalnızca süreleri dolana kadar gizler.
- Süre yalnızca depo sunucusunda ayarlanır; konsol ve aracılar onu değiştiremez.
Kurulumdan sonra bu sunucuda SSH'yi ve diğer uzaktan erişimleri kapatın, yerel konsolunu, iDRAC/iLO'sunu veya hipervizör erişimini koruyun: koruma, root hesabı kadar güçlüdür.
Adım 3 — Şifreleme ve kurtarma anahtarı
Yedekleri şifrele (AES-256) açık kalsın (varsayılan). Dosya içerikleri, adlar, klasör yapısı ve anlık görüntü listeleri aracıdan çıkmadan önce AES-256-GCM ile şifrelenir ve verilerdeki her değişiklik tespit edilir. Değiştirilemezlik silmeyi, şifreleme okumayı engeller — ikisine de ihtiyacınız var.
Konsol her şifreli hedef için bir Kurtarma anahtarı gösterir ve bir kurtarma sayfası sunar. Onu çevrimdışı ve yedeklerden ayrı saklayın: anahtar, depolama konumu ve kimlik bilgileriyle konsol olmadan da geri yükleyebilirsiniz; anahtar olmadan yedekleri hiç kimse okuyamaz — BackupZit desteği de dahil.
Adım 4 — Yedekleme işi ve saklama
İşi Yedekleme işleri altında, 1. adımdaki birincil depolamayla oluşturun. Yedekleri sakla altında en yeni N yedeği ve günlük, haftalık ve aylık geri yükleme noktalarını ayarlayın — örneğin 3 son, 7 günlük, 4 haftalık ve 6 aylık, yaklaşık 20 geri yükleme noktasıyla yarım yıllık geçmiş tutar. Tekilleştirme değişmeyen verileri yalnızca bir kez depolar.
Kurtarma noktası hedefi (RPO), saat en yeni başarılı yedeğin ne kadar eski olabileceğini belirtir, ör. günlük bir iş için 26. Bunu kaçıran iş panoda görünür ve bildirilir; bu, günlerdir çevrimdışı olan bir aracıyı ya da yanlışlıkla kaldırılmış bir zamanlamayı da yakalar.
Adım 5 — Yedek kopyalama işiyle şirket dışı kopya
İkinci bir iş oluşturun ve Yedek kopyası'nı seçin. Şu işin yedeklerini kopyala: altında 4. adımdaki işi, Depolama hedefi olarak da 2. adımdaki değiştirilemez veya şirket dışı hedefi seçin.
- Kaynak işin aracısı mevcut yedekleri kopyalar; korunan makine yeniden okunmaz.
- Yalnızca hedefte henüz olmayan veriler, hedefin anahtarıyla yeniden şifrelenerek gönderilir.
- Kaynak işin her yedeğinden sonra (varsayılan) kopyayı güncel tutar; normal bir zamanlama da olur, ör. yavaş bir hat için gecede bir kez.
- Kopyanın kendi saklama ayarı vardır, ör. NAS'ta 7 günlük ve bulutta 12 aylık. Her geri yükleme noktası oluşturulduğu andan itibaren N gün kilitlidir; 30 günlük kilitte daha eski aylık noktalar artık korunmaz. Daha uzun bir kilit daha fazlasını korur, ama daha fazla veri de tutar.
Dosya ve VM yedekleri (Proxmox VE, Hyper-V, VMware) kopyadan da orijinalden olduğu gibi geri yüklenir; disk görüntüsü kopyaları komut satırı aracısıyla. Şimdi kopyala kopyalamayı hemen başlatır.
Küçük ofisler için çevrimdışı kopya: Dönüşümlü USB / çıkarılabilir diskler (çevrimdışı kopyalar) hedef türü diskleri birim etiketinden (BZBACKUP1, BZBACKUP2 …) bulur. Bir kopyalama işini ona yönlendirin, diskleri ör. haftalık değiştirin ve çıkarılan diski güvenli bir yerde saklayın. Hiç disk bağlı değilse çalıştırma bir uyarıyla başarısız olur.
Adım 6 — Geri yükleme testleri ve veri denetimi
Bir yedek ancak geri yüklendiğinde kanıtlanmış olur. Ayarlar → Geri yükleme testleri altında:
- Her işin en yeni yedeğini otomatik test et (varsayılan olarak haftalık): en yeni yedekten rastgele bir dosya örneği geçici bir klasöre geri yüklenir, depolanan sağlama toplamlarıyla bayt bayt doğrulanır ve silinir; disk görüntülerinde rastgele bloklar doğrulanır. Böylece depolama erişimi, kimlik bilgileri, anahtar ve veriler sınanır.
- Depolanan verileri denetle (varsayılan olarak aylık): her depodaki her veri parçası okunur ve doğrulanır; bu, NAS'ta arızalanan bir diski veya sessiz veri bozulmasını erkenden ortaya çıkarır. S3 ve Azure'da yalnızca Bulut depolamada da (S3, Azure) açıkken çalışır — her şeyi indirir, indirme maliyetlerine dikkat edin.
- Proxmox VM işleri, her VM'i ağı bağlı olmadan yedekten başlatan bir önyükleme testi ekleyebilir.
Bir işin sayfasındaki Geri yüklemeyi test et ve Verileri denetle bunları hemen başlatır. Sonuçlar Etkinlik ve Raporlar'da görünür; başarısız bir test her hata gibi uyarı gönderir.
Adım 7 — Uyarılar ve fidye yazılımı tespiti
Haftalardır başarısız olan bir şirket dışı kopya, kopya değildir. Ayarlar → E-posta bildirimleri'ni ayarlayın (Test e-postası gönder ile denetleyin) ve Hatalar'ı açık bırakın: başarısız her çalıştırma için nedeniyle birlikte bir e-posta — yedekler, kopyalar, geri yüklemeler ve geri yükleme testleri — ve isterseniz günlük rapor. Ayarlar → Sohbet ve webhook'lar aynısını Slack'e, Microsoft Teams'e veya herhangi bir HTTP uç noktasına gönderir. Panodaki İlgi gerekiyor başarısız işleri, kaçırılan zamanlamaları ve RPO'ları, çevrimdışı aracıları ve %90 dolu ya da 30 gün içinde dolacak depolamayı listeler.
Her yedek ayrıca işinin yakın geçmişiyle karşılaştırılır. Normalden çok daha fazla dosya değiştiğinde, yeni veriler artık sıkıştırılamadığında (şifreli dosyalar rastgele görünür), dosya sayısı üçte bir veya daha fazla düştüğünde ya da yeni veri miktarı aniden arttığında şüpheli olarak işaretlenir. BackupZit bunun üzerine bir uyarı gönderir, yedeği incelenecek şüpheli yedek altında gösterir ve işin saklamasını duraklatır (Saklama duraklatıldı); böylece hasarlı yedekler gelmeye devam etse bile son temiz yedekler silinmez. Makineyi denetledikten sonra İncelendi — saklamayı sürdür'e tıklayın.
Adım 8 — Konsolu korumak
Değiştirilemez depolama yedekleri korur; neyin yedeklenip saklanacağına ise hâlâ konsol karar verir. Ayarlar → Oturum açma ve güvenlik altında yöneticiler için iki adımlı doğrulamayı zorunlu kılın ve Dört göz onayı'nı açın: işleri veya depolama hedeflerini silmek, saklamayı kısaltmak, şüpheli bir yedekten sonra saklamayı sürdürmek ve onayı kapatmak artık ikinci bir kullanıcı gerektirir. Konsolu iç ağda tutun, 8443 numaralı portu internete açmayın ve uzaktan yönetim için VPN kullanın. Ayarlar → Konsol yedeği ile konsol her gün kendisini de bir ağ depolama hedefine yedekler.
Bir saldırıdan sonra
Yedekler silindiyse veya üzerine yazıldıysa, depolamayı saldırıdan önceki haliyle okuyun — salt okunur, Object Lock'lu S3'te ve güçlendirilmiş depoda:
backupzit-agent snapshots --repo <depo> --as-of 2026-10-01T14:30
backupzit-agent restore --repo <depo> --as-of 2026-10-01T14:30 --target D:\Restore latest
Güçlendirilmiş bir depoda yönetici gizlenmiş dosyaları geri de getirebilir, böylece yedekler normal şekilde devam eder:
backupzit-repo status
backupzit-repo undelete --since 2026-10-01T14:00
Bilinmesi gereken sınırlar
- Değiştirilemezlik yalnızca kilit süresi boyunca geçerlidir. Silinmiş bir yedek süresi dolunca gerçekten kaldırılır; bu yüzden süreyi bir saldırının ne kadar fark edilmeden kalabileceğini düşünerek seçin.
- Güçlendirilmiş bir depo, root hesabı ve konsoluna, iDRAC/iLO'suna veya hipervizörüne erişim kadar güvenlidir.
- SMB, SFTP ve yerel disklerin kendi değiştirilemezliği yoktur; bunları değiştirilemez veya çevrimdışı bir kopyayla birleştirin.
- Kilitli veriler, silinseler bile kilitleri bitene kadar yer kaplar; yaşam döngüsü kuralı olmadan S3 alanı boşalmaz.
- Değiştirilemezlik verileri temizlemez: yedeklemeden önce şifrelenmiş dosyalar şifreli olarak yedeklenir. Saldırıdan önceki bir noktayı geri yükleyin — tespit, saklamayı duraklatarak bu noktaları korur.
- Kurtarma anahtarı olmadan şifreli yedekleri hiç kimse okuyamaz.
- Dört göz onayı konsolu kapsar; Active Directory veya Entra ID'deki yönetici grupları orada korunmalıdır.
