Air Gap Backup Nedir? Ransomware'e Karşı Neden Kritik?

Ransomware saldırılarının en acımasız stratejisi şudur: önce üretim verisini şifreler, sonra ulaşabildiği backup'ları da hedef alır. Backup sunucusu aynı ağda, aynı kimlik bilgileriyle erişilebilirse, saldırgan için backup'ınız ek bir kurtarma garantisi değil, ek bir hedeftir. Air gap, tam olarak bu senaryoyu engellemek için var.

Air Gap Ne Demek?

Air gap (hava boşluğu), bir backup kopyasının üretim ağından fiziksel veya mantıksal olarak tamamen izole edilmesidir. Amaç basit: saldırgan üretim ağına ve hatta backup sunucusuna sızsa bile, air-gapped kopyaya erişemesin veya değiştiremesin.

Fiziksel Air Gap vs Mantıksal Air Gap

| Tip | Nasıl Çalışır | Avantaj | Dezavantaj | |---|---|---|---| | Fiziksel Air Gap | Tape kartuşları kasaya kaldırılır, ağ bağlantısı yoktur | Ağdan erişilemez olduğu için en güçlü izolasyon | Restore süresi (RTO) uzun, manuel müdahale gerekir | | Mantıksal Air Gap | Yazılımsal olarak erişim sürekli kapalı tutulur, sadece belirli pencerede açılır | Otomatikleştirilebilir, restore süresi kısa | Doğru yapılandırılmazsa "sürekli açık" hataya düşebilir |

Klasik tape rotasyonu (kasaya kaldırılan kartuşlar) en eski ve en güvenilir fiziksel air gap yöntemidir — internete hiç bağlı olmadığı için yazılımsal saldırıyla erişilemez. Modern ortamlarda ise "mantıksal air gap" daha yaygın: bağlantı varsayılan olarak kapalı tutulur, sadece veri transferi sırasında kısa süreliğine açılır ve hemen kapatılır.

Air Gap ile Immutable Backup Arasındaki Fark

Bu iki kavram sık karıştırılır ama farklı sorunları çözer:

Air Gap, erişimi tamamen keser — "saldırgan bu kopyaya hiç ulaşamasın" sorusuna cevap verir
Immutable Backup (değiştirilemez yedek), erişim olsa bile veriyi değiştirilemez/silinemez yapar — "saldırgan erişse bile bu veriyi bozamasın" sorusuna cevap verir

İkisi birlikte kullanıldığında çok katmanlı bir savunma oluşur: önce erişim mümkün olduğunca kısıtlanır (air gap), erişim gerçekleşse bile veri korunur (immutability). Bu iki kavramın teknik detaylarını ve WORM/S3 Object Lock karşılaştırmasını Immutable Backup rehberinde ele aldık.

Neden Sadece "Offsite Backup" Yeterli Değil?

Birçok kurum "verimiz başka bir lokasyonda da var, yeterli" diye düşünür. Ancak modern ransomware saldırıları, kurban ağındaki tüm erişilebilir sistemleri (offsite replikasyon hedefleri dahil) keşfedip hedef alacak şekilde tasarlanmıştır. Eğer offsite kopyaya aynı Active Directory kimlik bilgileriyle, sürekli açık bir ağ bağlantısı üzerinden erişiliyorsa, bu coğrafi olarak uzak olsa da air-gapped değildir.

Kurumsal Ortamlarda Air Gap Nasıl Uygulanır?

Tape rotasyonu: Haftalık/aylık kopyaların offsite kasaya fiziksel olarak taşınması — en eski ama hâlâ en güvenilir yöntem
Cloud object storage immutability + erişim penceresi kısıtlama: Veeam Data Cloud Vault gibi çözümlerde bağlantı sadece transfer sırasında açılır (Veeam Data Cloud Vault kurulum rehberi)
Ayrı kimlik doğrulama domaini: Backup altyapısının üretim Active Directory'sinden tamamen bağımsız bir kimlik doğrulama sistemine sahip olması, AD'nin ele geçirilmesi durumunda backup'ın etkilenmemesini sağlar
KVKK ve uyumluluk gereksinimleri: Türkiye'de kurumsal backup altyapısı kurarken air gap ve immutability, KVKK'ya uygun backup altyapısı rehberinde ele alınan teknik kontrol listesinin önemli bir parçasıdır

Özet

Air gap, bir backup kopyasının saldırı yüzeyinin tamamen dışında tutulmasıdır — fiziksel (tape) ya da mantıksal (yazılımsal erişim penceresi) olarak uygulanabilir. Immutable backup ile birlikte kullanıldığında, ransomware saldırısı sonrası "geri dönülebilir, bozulmamış bir nokta" garantisi sağlayan en güçlü savunma katmanlarından biridir.