Kendi sunucumda yedekleri fidye yazılımına karşı nasıl değiştirilemez yaparım?

Değiştirilemezlik bir yedekleme için ne anlama gelir?

Bir sunucuyu ele geçiren fidye yazılımı, genellikle sunucuda saklanan yedekleme kimlik bilgilerini de ele geçirir. Bu kimlik bilgileri eski yedekleri silebiliyorsa, saldırgan herhangi bir şeyi şifrelemeden önce onları siler.

Değiştirilemez bir yedek bu kapıyı kapatır. Yedeklenen makine yeni veri ekleyebilir, ancak elinde tuttuğu hiçbir şey eski sürümleri kaldıramaz veya yeniden yazamaz. Bazı yöntemler bunu erişim haklarıyla, diğerleri ise son kullanma tarihi olan bir kilitle uygular.

Koruduğunuz makine kendi yedeklerini silebiliyorsa, o makineyi ele geçiren de silebilir.

restic ve Borg ekleme modunda nasıl çalışır?

restic'in rest-server'ında bir --append-only bayrağı vardır. README dosyası, bu modun yeni yedeklere izin verdiğini ancak mevcut yedeklerin silinmesini ve değiştirilmesini engellediğini belirtir. Budamayı (prune) bayrak olmadan ikinci bir örnek üzerinden bir yönetici makinesinden veya doğrudan sunucunun kendisinde yapın.

Borg bu modu authorized_keys içinde zorunlu bir komutla veya depo yapılandırmasında append_only = 1 ile uygular. Belgeleri sınırları açıkça sıralar:

• borg delete ve borg prune yine çalışır; yalnızca veriyi silinmiş olarak işaretler.
• Normal moddaki bir sonraki yazma işlemi bu veriyi kalıcı olarak kaldırır, dolayısıyla otomatik budama bu modu anlamsız kılar.
• Ekleme modundaki bir depoyu budamadan önce borg check çalıştırın.
• rm dosyalar üzerinde hâlâ çalışır, bu yüzden istemciler depoya yalnızca borg serve üzerinden erişmelidir.

Her iki araç saha dışı yedeklemeler için restic veya Borg sayfasında karşılaştırılıyor.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Proxmox Backup Server ve Veeam yedekleri nasıl kilitler?

Proxmox Backup Server rollerle çalışır. DatastoreBackup yetkisine sahip bir kullanıcı kendi yedeklerini alıp geri yükleyebilir, ancak budama için DatastorePowerUser gerekir. Çöp toplama da parçaları kaldırmadan önce 24 saat 5 dakika bekler. Bunu, saha dışı sunucunun çektiği bir eşitleme işiyle eşleştirin, böylece ev ortamında saha dışı oturum açma bilgisi bulunmaz. Kurulumun tamamı kiralık bir sunucuda saha dışı Proxmox Backup Server sayfasında.

Veeam'in sağlamlaştırılmış deposu zamana göre çalışır. Dosyalar 7 ile 9999 gün arasında değiştirilemez kalır ve Veeam hizmetlerini kuran kimlik bilgileri hiçbir zaman saklanmamıştır. Kiralık bir makine için adımlar kiralık bir Linux sunucusunda Veeam sağlamlaştırılmış deposu sayfasında.

Kendi sunucumda S3 Object Lock kullanabilir miyim?

Yalnızca S3 sunucunuz bunu uyguluyorsa, ve en bilinen iki açık kaynak seçeneği farklılık gösteriyor.

• MinIO sürümlenmiş bucket'larda nesne kilitlemeyi GOVERNANCE veya COMPLIANCE modunda belgeliyor. COMPLIANCE modunda, root kullanıcı dahil hiçbir kullanıcı kilitli bir sürümü değiştiremez. Ancak MinIO topluluk deposu 25 Nisan 2026'da arşivlendi, artık bakımı yapılmıyor ve yalnızca kaynak kod olarak sunuluyor.
• Garage S3 uyumluluk sayfasında Object Lock ve bucket sürümlemeyi eksik olarak listeliyor.

İstemci tarafında Kopia Object Lock'u destekliyor: bucket'ın oluşturulurken etkinleştirilmesi gerekir ve Kopia compliance modunu öneriyor. Diğer tavsiyesi her yerde geçerlidir: silme izinleri olmayan bir erişim anahtarı. Diğer S3 sunucuları kendi barındırılan S3 için MinIO'ya en iyi alternatifler sayfasında karşılaştırılıyor.

ZFS anlık görüntüleri bir yedeği kendi istemcisinden nasıl korur?

İstemcinin sıradan bir hesap olarak SFTP veya rsync üzerinden yazmasına izin verin, anlık görüntüleri de root alsın. OpenZFS bir anlık görüntüyü bir dosya sisteminin salt okunur kopyası olarak tanımlar. İstemcinin hesabı zfs allow aracılığıyla destroy hakkı alamaz, dolayısıyla onları kaldıramaz.

Bir kilit (hold) ikinci bir kilit ekler. Bir anlık görüntüde kilit varken, biri kilidi kaldırana kadar üzerindeki zfs destroy EBUSY ile başarısız olur.

Root tarafından, istemcinin yazdığı bir veri kümesi üzerinde alınan anlık görüntüler, herhangi bir rsync veya SFTP hedefini sürümlenmiş ve ekleme modunda bir hedefe dönüştürür.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Kiralık bir sunucuda değiştirilemez yedekleri hâlâ ne siler?

İki şey, ve her ikisi de yedekleme yazılımının dışında yer alır.

• Yedekleme sunucusundaki root. Yukarıdaki her yöntem sonunda root'a boyun eğer. Root'u, yedeklediğiniz makinelerde hiç bulunmayan bir anahtarda tutun ve SSH'i yönetici adresinizle sınırlayın.
• Kiralama işleminin kendisi. Her sunucu, ödeme sırasında seçtiğiniz 30 gün, 3 ay, 6 ay veya 12 aylık süre için kripto bakiyenizden peşin olarak ödenir. Otomatik yenileme, dashboard'da bir sonraki yenileme için farklı bir süre belirlemediğiniz sürece, başlangıçtaki fiyattan aynı süreyi yeniden tahsil eder; bakiye yetersiz kaldığında sunucu süresi sonunda durur, diskleri 7 gün boyunca korunur ve ardından silinir. Yeniden başlatma, yeniden kurulum ve iptal talepleri dashboard'da yapılır ve ekip tarafından işlenir; yeniden kurulum, veri diskleri dahil tüm diskleri siler. Ödenen süreden daha uzun bir kilit hiçbir şeyi korumaz.

Bir depolama sunucusu kendi başına bir yedek değildir: verilerinizin bir kopyasını başka hiçbir yerde tutmuyoruz, bu nedenle başka bir yerde ikinci bir kopya bulundurmak sizin sorumluluğunuzda kalır. Kilitli sürümler ayrıca erken budanamaz, bu yüzden havuz tutulan her sürüm kadar büyür. Basalthold'nın 2 November 2026 üzerine yaptığı ankette, KYC olmadan kripto kabul eden hosting sağlayıcılarında 72 TB veya daha büyük depolama sunucularının ayda TB başına medyan $4.86 maliyetinde olduğu bulundu. Hold 100 ham olarak $3.77/TB maliyetindedir. 12 aya kadar süreler kilit fiyat listesi sayfasında.