Sunucu Yedekleme: 3-2-1 Kuralı ve Fidye Yazılımına Karşı Korunma

🔍 Giriş

Yedekleme, herkesin gerekli olduğunu bildiği ama çok az işletmenin gerçekten doğru yaptığı konudur. Sorun genelde yedek almamak değil; alınan yedeğin işe yaramadığını felaket anında öğrenmektir.

Bu yazıda önce en çok karıştırılan konuyu netleştireceğiz — yedek kimin sorumluluğunda? — sonra 3-2-1 kuralını, snapshot ile yedeğin farkını ve neredeyse hiç yapılmayan o kritik adımı ele alacağız.

👤 Önce Netleştirelim: Yedek Kimin Sorumluluğunda?

Bu, aramızdaki en sık yaşanan yanlış anlamadır ve hizmet türüne göre değişir:

Bu ayrım önemlidir. VDS veya fiziksel sunucu kiraladığınızda sunucunun tam kontrolü sizde olur — yedekleme de bu kontrolün parçasıdır. Sunucu paketlerimizde otomatik yedekleme bir kalem olarak yer almaz; bu yüzden ürün sayfalarımızda da düzenli yedek almanızı ve önemli güncellemelerden önce snapshot oluşturmanızı öneriyoruz.

"Sunucum sizde, yedeği de siz alıyorsunuz herhalde" varsayımı, veri kaybının en yaygın sebeplerinden biridir. Emin değilseniz sorun.

📐 3-2-1 Kuralı

Yedeklemenin yerleşik temel kuralı şudur:

• 3 kopya — asıl veri ve en az iki yedek

• 2 farklı ortam — hepsi aynı diskte, aynı sunucuda olmasın

• 1 farklı lokasyon — en az bir kopya fiziksel olarak başka yerde dursun

Mantığı basit: aynı anda bozulabilecek şeyler aynı sepette olmamalı. Sunucunun diski arızalanırsa aynı diskteki yedek de gider. Veri merkezinde bir sorun olursa aynı rafta duran kopya da etkilenir.

Bu kuralın günümüzde yaygın kullanılan bir uzantısı da var — 3-2-1-1-0:

• +1: kopyalardan biri çevrimdışı veya değiştirilemez (immutable) olsun

• +0: yedeklerin doğrulamasında sıfır hata olsun — yani test edilmiş olsun

Bu iki eklemenin sebebi doğrudan fidye yazılımıdır.

🔓 Fidye Yazılımı Önce Yedekleri Arar

Fidye yazılımının mantığını anlamak, yedekleme kurgunuzu değiştirir. Saldırgan verinizi şifrelemekle yetinmez; geri dönebileceğiniz her yolu kapatmaya çalışır.

Bu yüzden ilk hedeflerden biri erişilebilir durumdaki yedeklerdir. Sunucuya bağlı bir yedek diski, sürekli bağlı (mount edilmiş) bir ağ paylaşımı veya aynı kimlik bilgileriyle erişilen bir yedek alanı varsa, bunlar da şifrelenir.

Pratik sonuç: her zaman bağlı olan bir yedek, tam anlamıyla yedek değildir. En az bir kopyanın şu özelliklerden birine sahip olması gerekir:

• Çevrimdışı — işlem bittiğinde bağlantısı kesilen bir ortam

• Değiştirilemez (immutable) — belirlenen süre boyunca silinemeyen veya üzerine yazılamayan bir depolama

• Ayrı kimlik bilgileriyle erişilen — sunucu ele geçirildiğinde aynı şifrelerle yedeğe ulaşılamayan bir yapı

📸 Snapshot Yedek Değildir

Bu ayrım çok sık atlanır. Snapshot, sunucunun belirli bir andaki durumunu dondurur ve hızlı geri almaya yarar — özellikle güncelleme veya yapılandırma değişikliği öncesinde çok değerlidir.

Ancak snapshot aynı altyapı üzerinde durur. Donanım arızası, veri merkezi kaynaklı bir sorun veya hesabınıza yetkisiz erişim durumunda snapshot da etkilenir. Yani snapshot 3-2-1 kuralındaki "farklı ortam" ve "farklı lokasyon" şartlarını karşılamaz.

Doğru kullanım şöyledir: snapshot kısa vadeli geri alma aracı, yedek ise felaket kurtarma aracıdır. İkisi birbirinin yerine geçmez; ikisi birlikte kullanılır.

✅ Kimsenin Yapmadığı Adım: Geri Yükleme Testi

Bir yedeğin çalıştığını, yalnızca geri yüklemeyi deneyerek bilebilirsiniz. Test edilmemiş yedek, bir varsayımdır.

Sahada en sık rastladığımız durumlar:

• Yedek alınıyor ama veritabanı yedeğe dahil edilmemiş

• Dosyalar var, veritabanı var; ancak yapılandırma dosyaları veya SSL sertifikaları yok

• Yedek dosyası bozuk ve bu aylardır fark edilmemiş

• Yedek var ama geri yükleme adımlarını kimse bilmiyor; kriz anında deneme yanılma yapılıyor

Bu yüzden şunları düzenli olarak yapın:

1. Yedeği farklı bir ortama geri yükleyin — canlı sistemin üzerine değil, ayrı bir test alanına.

2. Geri yükleme süresini ölçün. "Ne kadar sürede ayağa kalkarım?" sorusunun cevabını felaket anında değil, öncesinde bilin.

3. Adımları yazılı hâle getirin. İşlemi yapan kişi izinde olabilir.

⏱️ Ne Sıklıkla Yedek Almalısınız?

Doğru soru "günde bir mi, haftada bir mi" değil, şudur: kaç saatlik veriyi kaybetmeyi kabul edebilirsiniz?

E-ticarette kritik nokta şudur: bir günlük veri kaybı, bir günlük siparişin kaybı anlamına gelir. Bu tür sistemlerde veritabanını dosyalardan daha sık yedeklemek mantıklıdır.

🌍 Yedeğinizin Lokasyonu Da Önemli

3-2-1 kuralı "bir kopya farklı lokasyonda" diyor. Burada dikkat edilmesi gereken bir ayrıntı var: o farklı lokasyon yurt dışıysa, kişisel veri içeren yedekler için bu bir yurt dışına aktarım sayılır.

Sunucunuz Türkiye'de olup yedekleriniz yurt dışındaki bir depolamaya gidiyorsa, mevzuat açısından durum değişir. Bu konuyu Verileriniz nerede duruyor? KVKK açısından sunucu lokasyonu yazımızda ayrıntılı ele aldık.

📋 Kontrol Listesi

1. Hizmet türünüze göre yedeğin kimde olduğunu netleştirin — hosting mi, VDS mi?

2. En az 3 kopya, 2 farklı ortam, 1 farklı lokasyon kuralını sağlayın.

3. Kopyalardan birini çevrimdışı veya değiştirilemez tutun.

4. Veritabanını ayrıca yedeklediğinizden emin olun.

5. Geri yükleme testi yapın ve süresini ölçün.

6. Geri yükleme adımlarını yazılı tutun.

7. Yedek lokasyonunu ve saklama süresini bilin.

8. Yedeklerin başarılı tamamlandığını bildiren bir uyarı kurun — sessiz başarısızlık en tehlikelisidir.

🙋‍♂️ Sık Sorulan Sorular (SSS)

❓ Hosting paketimde yedekleme var mı?
Evet. Web hosting, WordPress hosting ve reseller paketlerimizde günlük otomatik yedekleme dahildir; dosya ve veritabanlarınız düzenli olarak yedeklenir. Buna rağmen kritik verileriniz için kendi kopyanızı da almanızı öneririz.

❓ VDS veya fiziksel sunucumda yedek alıyor musunuz?
Sunucu paketlerinde otomatik yedekleme bir kalem olarak yer almaz; tam root erişimi sizde olduğu için yedekleme düzenini siz kurarsınız. İhtiyacınıza uygun bir yapı planlamak isterseniz destek ekibimiz yardımcı olur.

❓ Snapshot almam yeterli değil mi?
Değil. Snapshot aynı altyapıda durur ve kısa vadeli geri alma içindir. Donanım arızası veya hesabınıza yetkisiz erişim durumunda snapshot da etkilenebilir. Snapshot'ı yedeğin yerine değil, yanında kullanın.

❓ Yedeğimin çalıştığını nasıl anlarım?
Tek yolu geri yüklemeyi denemektir. Ayrı bir test ortamına geri yükleyin, siteyi açın, veritabanı bağlantısını kontrol edin ve süreyi ölçün.

❓ Fidye yazılımı yedeklerimi de şifreler mi?
Sunucuya bağlı ve aynı kimlik bilgileriyle erişilebilen yedekleri şifreleyebilir. Bu yüzden en az bir kopyanın çevrimdışı, değiştirilemez veya ayrı kimlik bilgileriyle erişilen bir yerde olması gerekir.

❓ Ne kadar süre yedek saklamalıyım?
Yalnızca son yedeği tutmak risklidir: bir sorun günler sonra fark edilirse son yedek de bozuk veriyi içerebilir. Birkaç farklı tarihe ait kopyayı birlikte saklamak daha güvenlidir.

🟢 Sonuç

Üç şey aklınızda kalsın:

• Yedeğin kimde olduğunu bilin. Hosting paketlerinde günlük yedek bizde; VDS ve fiziksel sunucuda sorumluluk sizde.

• Her zaman bağlı olan bir yedek, yedek değildir. Bir kopya çevrimdışı veya değiştirilemez olmalı.

• Test edilmemiş yedek, bir varsayımdır. Geri yüklemeyi deneyene kadar yedeğiniz olduğunu bilmiyorsunuz.

📌 Günlük otomatik yedeklemenin dahil olduğu paketler için Türkiye Web Hosting sayfamıza, tam kontrolün sizde olduğu sunucu çözümleri için VDS Sunucu sayfamıza göz atabilirsiniz. Yedekleme düzeninizi kurarken yardım isterseniz bize yazın.