Backup против рансомвера: стално повезана копија није довољна

За опоравак после рансомвер напада малој фирми није довољна фасцикла која се стално синхронизује, нити диск трајно прикључен на мрежу. Смернице британског NCSC упозоравају да синхронизација може пренети шифроване датотеке и да нападачи циљају доступне копије. План зато треба да сачува ранију употребљиву верзију на одвојеном месту.

За мали тим то значи да власник фирме одреди који посао мора први да настави, а администратор обезбеди копију до које компромитовани радни налог не може да допре. Посебно се планирају приступ копији, време потребно за враћање и проба у којој се стварно покреће обновљени систем.

Одредите шта мора да се врати и колико брзо

Попис почните од пословних процеса, па за сваки наведите апликацију, податке и међузависности. Фактуре, база купаца, пошта и дељене датотеке могу имати различит приоритет: власник процеса одређује последицу прекида, а администратор утврђује шта треба сачувати да би апликација поново радила. У попис улазе и подешавања, приступни подаци и кључеви за дешифровање, смештени тако да су доступни овлашћеној особи и када главна мрежа не ради.

NIST-ов водич за планирање копија разликује циљно време опоравка, RTO, од највеће прихватљиве старости враћених података, RPO. Та два циља запишите за сваки критичан систем пре избора распореда копирања. Ако, као условни пример, фирма може поново да унесе фактуре настале током једног дана, дневна копија може задовољити тај RPO. Ако продаја мора да проради истог радног дана, у RTO урачунајте преузимање копије, подешавање апликације и проверу да ли запослени могу да наставе рад.

Распоредите копије на различита места

Копија која је брзо доступна корисна је за случајно брисање, али за опоравак после напада сачувајте и верзију одвојену од радне мреже. За мали тим то може бити преносиви диск који се прикључује ради копирања, затим искључује и чува на другом месту. Друга могућност је складиште које не дозвољава измену или брисање сачуване верзије током унапред подешеног периода. Избор зависи од потребне свежине копије и брзине којом фирма може да је врати.

Принципи NCSC за локалне копије предвиђају изолацију система за копирање, физички одвојене медије и могућност враћања старије верзије ако су новије оштећене. Код преносивих дискова ротирајте медије: док се на један уписује, други остаје искључен и на одвојеном месту. Забележите ко сме да преузме тај диск и где се налази. За верзије одредите период чувања, јер једна копија која се непрестано преписује може нестати пре него што се примети да су радни подаци шифровани.

Сачувајте приступ ако су главни налози изгубљени

Администрација копија треба да има налоге одвојене од оних којима се чита пошта и одржавају радни рачунари. Ограничите ко може да мења период чувања, заустави копирање или брише верзије; за такве радње укључите вишефакторску потврду. Приступ за опоравак и кључ за дешифровање чувајте одвојено од уобичајених пословних налога, уз јасно одређену замену за особу која их користи.

Ако је копија у облаку, проверите конкретна овлашћења и начин враћања. Принципи NCSC за копије у облаку обухватају заштиту од измене и брисања, историју верзија и засебан приступ када уобичајени налози нису доступни. Администратор треба да покаже коју старију верзију може да врати, до када се она чува и како јој приступа без главног пословног налога. Подесите обавештења о заустављеном копирању, масовном брисању и промени периода чувања, па одредите ко реагује на свако обавештење.

Претворите план у недељни распоред

Следећи распоред је предлог за малу фирму, а учесталост копирања прилагодите RPO сваког система. За сваки задатак упишите одговорну особу и замену. Порука да је копирање завршено потврђује само извршен посао; употребљивост копије утврђује се враћањем.

1. Сваког радног дана администратор проверава да ли су настале копије критичних система, колико су старе и да ли је неки посао пријавио грешку. Неуспех бележи, истражује узрок и поново покреће копирање када је то безбедно.
2. Једном недељно прави се или проверава одвојена копија. Код преносивог диска администратор проверава завршетак уписа, безбедно га искључује и бележи место чувања. Код заштићеног складишта проверава период чувања и да ли свакодневни налог може да мења раније верзије.
3. На крају недеље власник процеса и администратор прегледају прескочене системе, недостајуће верзије и упозорења о приступу. За сваки изузетак уписују одговорну особу, рок исправке и привремену меру ако је копија критичног система престара.

Распоред мора да остави довољно старих верзија за избор копије настале пре откривања напада. Проверите и расположив простор: ако се складиште напуни, нове копије могу престати да настају баш док извештаји о старим успешним пословима и даље делују умирујуће. Недељни преглед зато обухвата и капацитет и најстарију доступну употребљиву верзију.

Једном у кварталу испробајте враћање целог посла

Квартална проба је предложени ритам за овај план, а не универзалан пропис. Упутство NCSC о провери копија тражи пробно враћање, проверу свежине одвојене копије и обухват важних подешавања и приступних података. Проба треба да покаже да ли тим може да настави рад и када су главна мрежа и њени администраторски налози недоступни.

1. Изаберите критичан систем и верзију насталу пре условно замишљеног шифровања. Забележите време почетка и ко одобрава враћање.
2. У издвојеном, чистом окружењу прибавите копију и потребне кључеве. Пре враћања проверите копију на злонамеран софтвер, затим обновите апликацију, подешавања и податке.
3. Нека власник процеса отвори и употреби враћене податке. Упоредите њихову стварну старост са RPO, а време до употребљивог рада са RTO.

У записник унесите изабрану верзију, место са којег је преузета, учеснике, трајање сваког корака, резултат провере и препреке. Ако циљ није испуњен, наведите шта се мења у распореду, приступу или поступку враћања, ко је задужен и до када. Тако следећа проба има јасан задатак: да покаже да је уочена препрека отклоњена.

Прочитајте и:

• Bitwarden или Proton Pass: бесплатни план није једина разлика