Współczesne warianty tego złośliwego oprogramowania są jednak projektowane tak, aby aktywnie wyszukiwać i szyfrować lub niszczyć lokalne kopie zapasowe, zmuszając firmę do zapłacenia okupu.
Dlatego obecnie skuteczne odzyskiwanie danych wymaga nie tylko regularnego tworzenia backupu, ale przede wszystkim odpowiedniej konfiguracji, która izoluje backup od środowiska produkcyjnego. W tym artykule sprawdzimy, jak ją skutecznie wdrożyć.
Spis treści:
- Zasada 3-2-1-1-0, czyli fundament bezpieczeństwa backupu
- Trzy kopie danych
- Dwie lokalizacje
- Jedna kopia off-site
- Jedna kopia offline
- Zero błędów
-
Jak skonfigurować kopię zapasową, aby chroniła przed ransomware?
Zasada 3-2-1-1-0, czyli fundament bezpieczeństwa backupu
Podstawą skutecznej strategii backupu chroniącej przed ransomware jest rozszerzona zasada 3-2-1, uzupełniona o mechanizmy izolacji i weryfikacji. Z jakich elementów się składa?
Trzy kopie danych
Każda kopia zapasowa powinna być przygotowana w trzech egzemplarzach. W ich skład musi wchodzić jedna kopia produkcyjna (oryginał) oraz dwie dodatkowe kopie zapasowe.
Dwie lokalizacje
Kopie muszą być przechowywane na co najmniej dwóch różnych nośnikach (np. dysk lokalny/NAS oraz chmura) w celu zminimalizowania ryzyka awarii jednego typu sprzętu.
Jedna kopia off-site
Jedna z kopii musi być przechowywana w lokalizacji zdalnej (np. w zewnętrznym data center lub w chmurze), aby chronić dane przed fizycznym uszkodzeniem.
Jedna kopia offline
Jedna kopia musi być fizycznie lub logicznie niedostępna dla sieci produkcyjnej, ponieważ stanowi najważniejszą linię obrony przed wyrafinowanymi technikami ransomware wnikającymi do firmowej sieci.
Zero błędów
Wszystkie kopie zapasowe muszą być regularnie testowane i weryfikowane pod kątem integralności, aby mieć gwarancję, że proces odzyskiwania zakończy się sukcesem.
Jak skonfigurować kopię zapasową, aby chroniła przed ransomware?
Aby kopia zapasowa była skuteczną ostatnią deską ratunku, musi być niedostępna dla ransomware, które wnika w sieć firmy. W tym celu należy przestrzegać czterech ważnych zasad.
Niezmienna kopia zapasowa
Niezmienna kopia zapasowa to zapis danych, którego nie można zmienić, usunąć ani w żaden sposób zmodyfikować przez określony czas, nawet przez administratora lub złośliwe oprogramowanie. Działa to tak, że w przypadku przechowywania danych w chmurze obiektowej lub na nowoczesnych macierzach NAS, system włącza blokadę czasową. Po utworzeniu kopii zapasowej dane są „zamrożone” na ustalony okres (np. 7 lub 30 dni).
Inną cechą niezmiennej kopii zapasowej jest WORM (ang. Write Once, Read Many). Jest to zasada, która pozwala na jednokrotny zapis danych, a następnie wielokrotny odczyt, uniemożliwiając nadpisanie lub usunięcie pliku. Dzięki temu, nawet jeśli ransomware uzyska pełne uprawnienia administratora w sieci, nie będzie w stanie zaszyfrować ani usunąć niezmiennej kopii.
Izolacja sieciowa
Air-Gap, czyli fizyczna lub logiczna luka powietrzna, odseparowuje kopię zapasową od sieci, uniemożliwiając ransomware dotarcie do niej.
Air-Gap występuje w dwóch formach:
- fizyczny Air Gap to najbardziej klasyczna i niezawodna forma, która polega na tworzeniu kopii zapasowej na taśmach magnetycznych lub zewnętrznych dyskach fizycznie odłączanych od serwera i sieci po zakończeniu procesu backupu. Tak przygotowanie kopie są przechowywane w bezpiecznym miejscu bez dostępu do sieci;
- logiczny Air Gap to rozwiązanie stosowane w nowoczesnych systemach. Izolowane repozytorium kopii zapasowych jest dostępne dla sieci produkcyjnej tylko w ściśle określonych oknach czasowych (np. na czas transferu danych). Po zakończeniu transferu repozytorium jest automatycznie odłączane lub ukrywane na poziomie logicznym. Dzięki temu staje się ono niedostępne dla reszty sieci.
Zróżnicowanie uprawnień
Do kopii zapasowej powinny mieć dostęp tylko ściśle określone osoby. Zgodnie z zasadą najmniejszego przywileju, do tworzenia kopii zapasowych powinny mieć uprawnienia wyłącznie do zapisu w repozytorium docelowym. Odczyt, modyfikacje lub usuwanie starych kopii powinny być niedozwolone.
Wszystkie konta zarządzające kopią zapasową powinny mieć ustawione uwierzytelnianie dwuskładnikowe (MFA). MFA zapobiega przejęciu kontroli nad kopiami zapasowymi przez intruza, nawet jeśli pozyskał hasło.
Weryfikacja i testowanie
Wykonanie kopii zapasowej nie jest równoznaczne z możliwością odzyskania danych w razie potrzeby. Aby bezproblemowo przywrócić dane z backupu, system musi automatycznie sprawdzać integralność każdej nowej kopii zapasowej.
Cyklicznie (np. co kwartał) należy przeprowadzać w firmie symulacje pełnego odzyskiwania danych krytycznych (całych systemów lub maszyn wirtualnych) do izolowanego, bezpiecznego środowiska testowego. Testowanie gwarantuje, że kopie są kompletne, nieuszkodzone i w pełni użyteczne po ataku, a pomiar średniego czasu odzyskiwania (MTTR) pozwala oszacować długość potencjalnych opóźnień biznesowych.
Podsumowanie
Skuteczna obrona przed ransomware wymaga przejścia od prostego tworzenia kopii zapasowych do kompleksowej strategii odporności na cyberataki. Oparcie jej na filarach, którymi są: izolacja, niezmienność i weryfikacja, maksymalnie ułatwia wdrożenie planu odzyskiwania.
