Vodič · Sigurnost
Provjera sigurnosnih kopija na viruse: vratite čisto, ne ponovno zaraženo
Ukratko: zlonamjerni softver često se otkrije tek tjednima nakon zaraze – a tada je već odavno u sigurnosnim kopijama. Tko redovito provjerava kopije s ažurnim potpisima, zna od kada se nalaz nalazi u kopijama i koja je kopija posljednja čista. Tako se pri vraćanju ne vraća i zlonamjerni softver.
Zašto antivirusni program na poslužitelju nije dovoljan
Antivirusna zaštita na poslužiteljima i radnim mjestima provjerava s današnjim potpisima. Ono što je u trenutku kopiranja prije tri tjedna još bilo nepoznato, danas se može otkriti – ali u sigurnosnoj kopiji ostaje neprimijećeno. Najkasnije pri vraćanju nakon napada to postaje problem: ako se vrati zaražena verzija, napadač je odmah ponovno u mreži.
Provjera sigurnosnih kopija ne zamjenjuje antivirusnu zaštitu na sustavima. Dopunjuje je pogledom unatrag.
Gdje i kako provjeravati
- Ne na produkcijskom sustavu. Provjera velikih količina podataka troši procesorsko vrijeme i pristupe disku. Pripada backup poslužitelju, koji kopiju ionako ima.
- Samo čitanje. Provjera ne smije mijenjati sigurnosnu kopiju – ni „čišćenjem” ni premještanjem u karantenu. Sigurnosna kopija je dokaz.
- S ažurnim potpisima. I backup poslužitelju bez pristupa internetu trebaju svježi potpisi, inače provjerava s jučerašnjim znanjem.
- Redovito, a ne jednom. Ponovna provjera isplati se prije svega kada su dostupni novi potpisi. Nepromijenjene datoteke ne treba svaki put ponovno čitati, ali s vremena na vrijeme da.
Što znači nalaz
| Pitanje | Zašto je važno |
|---|---|
| Koja datoteka, koji potpis? | Pokazuje radi li se o jednom sumnjivom dokumentu ili o zlonamjernom softveru u sustavu |
| Od koje kopije je nalaz prisutan? | Sužava trenutak zaraze – važno za obradu incidenta i za obveze prijave |
| Koja je posljednja kopija bez njega? | To je verzija iz koje se vraća u hitnom slučaju |
| Je li riječ o lažnoj uzbuni? | Lažne uzbune se događaju. Jednom provjerene i označene, ne bi se trebale pojavljivati pri svakoj provjeri |
Nalaz u sigurnosnoj kopiji gotovo uvijek znači da se nalaz još nalazi i na kopiranom sustavu. Ondje se ispituje i uklanja uobičajenom antivirusnom zaštitom; kopija ostaje kakva jest.
Provjera na viruse i tragovi ransomwarea
Potpisi pronalaze poznati zlonamjerni softver. Ransomware se često odaje drugačije: datotekama čiji sadržaj ne odgovara nastavku ili djeluje nasumično, tipičnim nastavcima i porukama s ucjenom. Oboje zajedno, u sklopu redovitog testa vraćanja, daje potpuniju sliku.
Kako AegisGrid provjerava kopije na viruse
Backup poslužitelj AegisGrid provjerava sigurnosne kopije u kontrolnom restoreu pomoću ClamAV-a, samo čitanjem i bez opterećenja kopiranog sustava. Pri nalazu navodi zahvaćenu datoteku i potpis, prvu kopiju s nalazom i posljednju bez njega; nalaz se pojavljuje u izvješću o provjeri, šalje se obavijest, a kod kopija datoteka i pogona i planer zadataka kopiranog računala prikazuje napomenu. Lažne uzbune mogu se označiti. Naknadne provjere mogu se ograničiti na promijenjene datoteke i u stalnim razmacima provjeriti sve. Backup poslužitelji bez pristupa internetu dobivaju potpise putem poslužitelja lokacije ili uvozom. Osim toga, kontrolni restore traži tragove ransomwarea.
Česta pitanja o provjeri kopija na viruse
Briše li se ili čisti zaražena kopija?
Ne. Provjera samo čita. Kopija ostaje nepromijenjena i može se i dalje koristiti, primjerice da se iz nje izvuku pojedinačne čiste datoteke ili da se rekonstruira zaraza.
Usporava li provjera moje poslužitelje?
Ne. Provjerava se na backup poslužitelju, a ne na kopiranom sustavu. Ondje se procesorsko vrijeme, memorija i pristupi disku za zadatak provjere mogu ograničiti.
Zamjenjuje li provjera kopija antivirusnu zaštitu?
Ne. Dopunjuje je: antivirusna zaštita štiti sustave u radu, a provjera kopija pokazuje nalazi li se kasnije otkriveni nalaz već u starijim verzijama i koja je verzija čista.
Sigurnosne kopije kojima možete vjerovati
U pilot-projektu s vama postavljamo kontrolni restore i provjeru na viruse na vašem backup poslužitelju.