Vodič · Sigurnost
Ransomware: sigurnosne kopije koje prežive napad
Ukratko: suvremeni napadači (ransomware) najprije traže i uništavaju sigurnosne kopije, a tek onda šifriraju. Napad preživljava samo kopija koja se ne može izbrisati iz mreže tvrtke (zaključana na odvojenom backup poslužitelju, izvan tvrtke ili offline) i čije je vraćanje prethodno testirano.
Kako teče napad na sigurnosne kopije
- Upad: putem phishing e-pošte, sigurnosnog propusta ili ukradenih pristupnih podataka.
- Širenje: napadači skupljaju administratorska prava, često tjednima neotkriveni.
- Traženje sigurnosnih kopija: traže backup poslužitelje, NAS dijeljenja, snimke i pristupe oblaku.
- Uništavanje sigurnosnih kopija: uz stečena prava one se brišu ili šifriraju zajedno s ostalim.
- Šifriranje i iznuda: tek tada napad postaje vidljiv, obično noću ili vikendom.
Iz toga slijedi: svaku sigurnosnu kopiju koju može izbrisati administrator u mreži tvrtke može izbrisati i napadač s tim pravima.
Pet mjera koje doista pomažu
| Mjera | Što donosi |
|---|---|
| Nepromjenjiva kopija | Sigurnosne kopije zaključane su protiv izmjene i brisanja do određenog datuma, i za zaštićene uređaje i njihove pristupne podatke |
| Odvojeni backup poslužitelj | Vlastiti pristupni podaci, nije član Windows domene, otvoreni su samo potrebni portovi |
| Kopija izvan tvrtke | Druga kopija na drugom mjestu, s drugim pristupnim podacima |
| Offline kopija | Redoviti izvoz na USB disk ili traku, koji se zatim čuva odspojen od mreže |
| Testirano vraćanje | Redoviti kontrolni restorei dokazuju da su sigurnosne kopije ispravne i potpune |
Zaštita samog backup poslužitelja
Zaključavanje zadržavanja vrijedi onoliko koliko i poslužitelj koji ga provodi. Za backup poslužitelj zato vrijedi: zaseban račun operacijskog sustava za administraciju, nije član domene, nema prijave s istim lozinkama kao u ostatku mreže, brza ažuriranja i pristup samo preko potrebnih sučelja. Tko uz to čuva i offline kopiju, ima rezervu i za najgori slučaj.
Nakon napada: uredno vraćanje
- Odabrati pravu verziju: napadači su često tjednima u mreži prije šifriranja. Mnogo sačuvanih verzija omogućuje povratak na trenutak prije upada.
- Najprije provjeriti, zatim vratiti: vraćene sustave najprije pokrenuti izolirano i pregledati ih, kako se zlonamjerni softver ne bi vratio s njima.
- Znati redoslijed: najprije imenička usluga i mreža, zatim poslovne aplikacije – testirano, a ne improvizirano.
Kako AegisGrid štiti od ransomwarea
AegisGrid šifrira podatke na zaštićenom sustavu i u jednom pokretanju ih piše na do osam odredišta. Na WORM spremištu backup poslužitelja svaka je sigurnosna kopija zaključana protiv izmjene i brisanja do isteka svoje zaštite: backup poslužitelj provodi zaključavanje prema svim zaštićenim uređajima i svim sučeljima, a njegovi pristupni ključevi vrijede samo za vlastite direktorije. Na samom poslužitelju obrada podataka radi pod zasebnim računom bez povlastica. Za offline kopiju AegisGrid izvozi odabrane sigurnosne kopije kao arhivu na USB disk ili traku. Kontrolni restorei pokreću vraćene VM-ove u izoliranom okruženju bez veze prema van i čitaju svaku datoteku sigurnosne kopije: ako se umnože datoteke koje izgledaju šifrirano ili poruke s otkupninom, backup poslužitelj to javlja dok još postoje ispravne verzije. Svako brisanje bilježi se u potpisanom zapisniku dokaza.
Česta pitanja o sigurnosnim kopijama i ransomwareu
Jesu li snimci i NAS dovoljni protiv ransomwarea?
U pravilu ne. Ransomware s administratorskim pravima briše snimke za nekoliko sekundi, a NAS dijeljenje u koje se može pisati iz mreže također se šifrira. Potrebna je barem jedna kopija koja se ne može izbrisati s pravima iz mreže tvrtke.
Koliko dugo mora trajati zaključavanje?
Dulje nego što napad može ostati neprimijećen: u praksi barem 14 do 30 dana za dnevnu sigurnosnu kopiju, uz starije mjesečne verzije s duljim zaključavanjem. Bitno je da se čuva više starih verzija.
Prepoznaje li AegisGrid je li ransomware već u sigurnosnoj kopiji?
Kontrolni restore backup poslužitelja čita svaku datoteku vraćene sigurnosne kopije i traži znakove šifriranja: sadržaj koji ne odgovara nastavku ili izgleda nasumično, nastavke tipične za ransomware i poruke s otkupninom. Ako ih je znatno više nego pri posljednjoj provjeri, šalje se upozorenje; tako se napad prepoznaje prije nego što istekne posljednja ispravna sigurnosna kopija. Kod kopija datoteka već agent provjerava svako izvođenje: ako se promijeni neuobičajeno mnogo datoteka ili se pojavi mnogo tipičnih nastavaka, izvođenje se označava, šalje se obavijest, a starije verzije se određeno vrijeme ne čiste. Po želji kontrolni restore dodatno provjerava kopije na viruse ClamAV-om i navodi posljednju kopiju bez nalaza. To ne zamjenjuje antivirusni program na sustavima.
Pomaže li šifriranje sigurnosne kopije protiv ransomwarea?
Štiti povjerljivost: ukradene sigurnosne kopije ništa ne otkrivaju. Ne štiti od brisanja ni ponovnog šifriranja; za to su potrebne nepromjenjiva i offline kopija.
Bi li vaša sigurnosna kopija odoljela napadu?
Zajedno s vama provjeravamo, na engleskom ili njemačkom, bi li vaše sigurnosne kopije preživjele napad.