Veeam Hardened Linux Repository ile Ransomware Korumalı Değiştirilemez (Immutable) Yedek Deposu Kurulumu

Bir sabah şirketinize fidye yazılımı (ransomware) bulaştığında saldırganların ilk yaptığı şey, etki alanı yöneticisi (Domain Admin) yetkisini ele geçirip Veeam Backup sunucusuna girmek ve tüm yedekleri silmektir. Eğer yedekleme deponuz Windows üzerinde ve Active Directory'ye bağlıysa, yedekleriniz dakikalar içinde yok edilir. Bu kabusu imkansız kılan endüstri standardı çözüm: Veeam Hardened Linux Repository (Değiştirilemez Yedekleme) mimarisidir.

1. Mimari İlke: Neden Linux ve Neden Değiştirilemez?

Hardened Repository mimarisinde yedeklerin tutulduğu fiziksel sunucu:

Etki Alanı Dışıdır: Active Directory'ye kesinlikle üye yapılmaz.
SSH Portu Kapalıdır: İlk kurulumdan sonra SSH servisi tamamen durdurulur.
Kök Yetkisi Yoktur: Veeam sunucusu bu depoya bağlanırken root şifresini saklamaz; yalnızca kurulum anında kullanılan tek kullanımlık bir kullanıcı (Single-Use Credentials) ile iletişim kurar.
Linux Dosya Kilidi (Immutable Flag): Yazılan her yedek dosyasına Linux çekirdeği seviyesinde chattr +i bayrağı konur. Bu bayrak aktifken root kullanıcısı dahi o dosyayı silemez, yeniden adlandıramaz veya şifreleyemez!

2. Ubuntu Server ve XFS Dosya Sistemi Hazırlığı

Yedeklerin hızlı yazılması ve disk alanından devasa tasarruf (Fast Clone) sağlanması için depolama diski mutlaka XFS (reflink destekli) formatlanmalıdır:

# 1. Depolama diskini XFS reflink desteği ile formatlama
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/sdb1

# 2. Kalıcı mount tanımlama (/etc/fstab)
UUID=xxxx-xxxx /mnt/veeam-repo xfs defaults,noatime 0 0

# 3. Veeam servis kullanıcısını oluşturma
useradd -m -d /home/veeamuser -s /bin/bash veeamuser
passwd veeamuser

# 4. Dizin yetkilendirmesi (Yalnızca veeamuser erişebilir)
chown -R veeamuser:veeamuser /mnt/veeam-repo
chmod 700 /mnt/veeam-repo

3. Veeam Backup & Replication v12 Üzerinde Depo Tanımlama

Backup Infrastructure -> Backup Repositories -> Add Repository -> Linux seçilir.
Sunucu IP'si girilir ve kimlik bilgisi olarak Single-use credentials for hardened repository seçeneği işaretlenir.
Veeam Linux sunucuya geçici SSH bağlantısı kurarak taşıyıcı ajanı (transport agent) yükler.
Repository Ayarları:
- Yol: /mnt/veeam-repo
- Kritik Ayar: Make recent backups immutable for: 14 days kutucuğu işaretlenir!

Artık son 14 gün içinde alınan hiçbir yedek dosyası, Veeam konsolundan "Delete from disk" deseniz dahi fiziksel olarak silinemez!

# Kurulum tamamlandıktan sonra Linux sunucuda SSH servisini kalıcı kapatın!
sudo systemctl stop ssh
sudo systemctl disable ssh

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

NTP Saat Sapması ile Kilidin Bozulması Tehlikesi: Bir saldırgan Linux sunucunun BIOS saatini 15 gün ileri alarak immutability kilidini erkenden düşürmeye çalışabilir. Veeam v12, zaman manipülasyonunu engellemek için dahili bir doğrulama algoritması kullanır; ancak Linux sunucunun güvenilir yerel bir NTP sunucusuna kilitlenmesi şarttır.
Root Şifresi Güvenliği: Linux sunucusunun root şifresi karmaşık olmalı, şirket parola kasasında saklanmalı ve fiziksel sunucu BIOS/iDRAC şifresi kilitlenmelidir.

Mühendis Notu

Yedekleme sunucunuzu Active Directory'ye üye yapmayın. Veeam Windows sunucusunu etki alanı dışı (Workgroup) bırakın ve asıl depoyu Linux Hardened Repository üzerine kurun. Bu mimari, fidye yazılımı saldırısında şirketinizi kurtaracak yegane hayat sigortasıdır.