Modulul 6 · 6.2
Copii de siguranță care supraviețuiesc ransomware-ului
Modulul 6: Copii de siguranță · Timp de citire: 10 minute
Obiectiv: După această lecție veți putea configura o copie de siguranță pe care un atacator nu o poate cripta sau șterge, alegând o copie offline, un spațiu de stocare imuabil, versiuni cu o perioadă de păstrare adecvată și o autentificare separată pentru copia de siguranță.
Noțiuni cheie: copie de siguranță offline, air gap, imuabil (immutable), object lock, gestionarea versiunilor, autentificare separată pentru copia de siguranță, perioadă de păstrare
De ce o copie de siguranță obișnuită nu este de obicei suficientă
În lecția 1.3 ați văzut cum funcționează ransomware-ul: cineva pătrunde în sistem, se uită în jur și apoi criptează dintr-o dată tot ce poate accesa. "Tot ce poate accesa" este problema esențială. Dacă copia dumneavoastră de siguranță se află pe un disc de rețea care este mereu conectat ca literă de unitate la computerul dumneavoastră, atunci acea copie de siguranță este pentru ransomware pur și simplu un folder cu fișiere. Va fi criptată la fel de sigur ca și originalul.
Agenția americană de securitate cibernetică CISA scrie în ghidul său despre ransomware că multe tipuri de ransomware caută activ copii de siguranță accesibile pentru a le șterge sau cripta. Un atacator care are contul dumneavoastră de administrator se poate, în plus, autentifica în programul sau serviciul cloud de backup și poate elimina de acolo copiile de siguranță. De aceea, o copie de siguranță rezistentă la ransomware necesită mai mult decât "există o copie". Ea trebuie să fie în afara razei de acțiune a cuiva care v-a preluat computerul sau contul.
Există trei moduri de a realiza acest lucru, iar cel mai bine este să le combinați:
- copia de siguranță nu este conectată (offline);
- copia de siguranță nu poate fi modificată sau ștearsă, nici măcar de un administrator (imuabilă);
- copia de siguranță se află în spatele unei autentificări diferite față de cea folosită în activitatea zilnică.
Offline: discul din sertar
O copie de siguranță offline este o copie care, după ce a fost realizată, este deconectată. Un disc extern pe care îl scoateți din laptop după realizarea copiei de siguranță și îl puneți într-un sertar sau într-un seif este cel mai simplu exemplu. Ransomware-ul poate cripta doar ceea ce este accesibil, iar un disc dintr-un sertar nu este accesibil. Termenul folosit este air gap: există literalmente aer între copia de siguranță și rețeaua dumneavoastră.
NCSC-ul olandez oferă același sfat: nu păstrați copia de siguranță conectată la computer, deoarece altfel ransomware-ul o poate cripta și pe aceasta.
Capcane la copiile de siguranță offline:
- Uitarea. O copie de siguranță pe care o faceți manual este omisă după câteva săptămâni aglomerate. Stabiliți o zi fixă în agendă și alternați două discuri, astfel încât să existe mereu unul în afara biroului.
- Lăsarea permanentă conectată. Un disc care rămâne conectat "pentru comoditate" nu mai este o copie de siguranță offline.
- Lipsa criptării. Un disc separat cu întreaga dumneavoastră evidență contabilă reprezintă o încălcare a securității datelor dacă este furat. Activați criptarea (vezi lecția 5.2) și păstrați cheia într-un loc diferit de disc.
Imuabil: immutable și object lock
O copie de siguranță imuabilă (în engleză: immutable) nu poate fi modificată sau ștearsă de nimeni pe durata unei perioade stabilite. Nici măcar de cineva care vă cunoaște parola. Nici măcar de administrator.
În cazul stocării în cloud, tehnica se numește adesea object lock. Documentația unui mare furnizor o descrie drept write once, read many: scrieți un fișier o singură dată, iar după aceea îl puteți doar citi, până la expirarea perioadei de păstrare. De obicei există două moduri:
| Mod | Ce înseamnă | Când îl alegeți |
|---|---|---|
| Mod strict (la furnizorul respectiv compliance mode) | Nimeni nu poate șterge copia înainte de sfârșitul perioadei sau scurta perioada, nici măcar contul principal | Doriți certitudinea că nici măcar un cont de administrator compromis nu poate șterge nimic |
| Mod flexibil (governance mode) | Doar conturile cu un drept special pot ridica protecția | Pentru testare, sau dacă doriți să păstrați posibilitatea de a curăța ceva |
Multe programe și servicii de backup oferă stocare imuabilă, sub denumiri precum "immutable back-up", "copie de siguranță blocată" sau "WORM". La alegere, aveți grijă la trei aspecte:
- Cât durează blocarea? O blocare de 7 zile nu vă protejează dacă descoperiți atacul abia după trei săptămâni.
- Cine poate ridica blocarea? Dacă puteți face asta cu același cont cu care vă autentificați zilnic, atunci poate și un atacator.
- Cât costă? Imuabil înseamnă și că nu puteți face curățenie. CISA avertizează că o configurare greșită poate genera costuri ridicate. Începeți la scară mică și testați.
Versiuni și perioadă de păstrare: cât de departe puteți reveni?
O copie de siguranță de ieri ajută doar dacă ieri totul era încă în regulă. Ransomware-ul așteaptă uneori o perioadă înainte de a acționa, iar o greșeală (un folder șters, o listă de prețuri suprascrisă) este observată uneori abia după săptămâni. De aceea aveți nevoie de versiuni: mai multe momente de backup păstrate în paralel. Perioada de păstrare (numită și retenție) determină cât de departe puteți reveni. NCSC-ul olandez formulează astfel: retenția indică cât de departe puteți merge înapoi în istoricul unei copii de siguranță.
Un model utilizat frecvent este reducerea treptată: o copie de siguranță zilnică pe care o păstrați câteva săptămâni, una săptămânală pe care o păstrați câteva luni și una lunară pe care o păstrați mai mult timp. Astfel puteți reveni mult în urmă fără a avea sute de copii complete.
Întrebări pentru a alege perioada de păstrare:
- Cât de repede observați, de obicei, că ceva nu este în regulă? Analizați greșelile din trecut.
- Există obligații legale de păstrare, cum ar fi pentru evidența contabilă? O copie de siguranță este totuși diferită de o arhivă: o arhivă se păstrează ani de zile într-un loc fix, o copie de siguranță se rotește.
- Cât costă stocarea? Păstrarea pe termen mai lung costă mai mult.
O autentificare separată pentru copia de siguranță
A treia măsură este cea mai ieftină și este cel mai des uitată. Dacă serviciul dumneavoastră de backup, stocarea în cloud și poșta electronică funcționează toate cu același cont, iar acel cont este preluat de un atacator (lecția 1.4), atunci atacatorul obține totul dintr-o dată.
- Folosiți pentru serviciul sau programul de backup un cont propriu cu o parolă proprie, unică, din managerul dumneavoastră de parole, și activați autentificarea în doi pași.
- Nu folosiți acel cont pentru activitatea zilnică și nu vă autentificați cu el pe computerul de pe care trimiteți e-mailuri și navigați pe internet.
- Lăsați programul de backup, acolo unde este posibil, să poată doar scrie în locația de backup, nu să șteargă.
- Stabiliți cine are acces, atât fizic (cine are cheia dulapului cu discul), cât și în software. NCSC-ul olandez menționează și acest lucru în mod explicit.
În practică: cum arată
La furnizorul exemplu WebOké, copiile de siguranță nocturne ale unui pachet de găzduire (hosting) se află pe servere de stocare separate, într-un alt centru de date, distincte de serverul pe care rulează site-ul web. Conform bazei de cunoștințe, aceste copii de siguranță nocturne nu pot fi șterse chiar de dumneavoastră: ele rămân disponibile pentru a exista mereu un punct de restaurare și dispar automat după 30 de zile. Doar o copie de siguranță suplimentară pe care ați creat-o personal poate fi ștearsă, iar pentru aceasta panoul de control vă solicită parola.
Ce adăugați dumneavoastră la aceasta pentru a ajunge la schema 3-2-1 și la copia offline: descărcați din când în când o copie de siguranță (care rămâne disponibilă 48 de ore) și o păstrați pe un disc pe care îl deconectați ulterior. Un snapshot al unui VPS nu reprezintă, conform aceleiași baze de cunoștințe, în mod explicit o copie de siguranță, deoarece se află pe același spațiu de stocare ca și VPS-ul în sine.
La alți furnizori, situația poate fi asemănătoare sau complet diferită. Întrebați-vă concret furnizorul: copiile de siguranță sunt separate de contul meu, pot eu sau cineva cu parola mea să le șterg, și cât de departe în urmă ajung?
Rezumat
- Ransomware-ul criptează tot ce poate accesa, inclusiv copiile de siguranță conectate, iar atacatorii caută activ copiile de siguranță.
- Offline: deconectați discul de backup și alternați discurile, cu criptare.
- Imuabil (immutable, object lock): nimeni nu poate șterge copia până la expirarea perioadei.
- Versiunile și o perioadă de păstrare adecvată determină cât de departe puteți reveni; alegeți-le în funcție de cât de repede descoperiți de obicei problemele.
- Folosiți o autentificare separată, bine securizată, pentru copia de siguranță, distinctă de contul dumneavoastră zilnic.
Test (quiz)
Exercițiu
Exercițiul D6.2: Faceți o copie de siguranță rezistentă la ransomware. Alegeți datele dumneavoastră cele mai importante (de exemplu evidența contabilă sau site-ul web) și configurați o copie care se află în afara razei de acțiune: un disc extern pe care îl deconectați după realizarea copiei de siguranță și îl păstrați în alt loc, sau un serviciu de backup cu stocare imuabilă. Atribuiți copiei de siguranță o autentificare proprie cu autentificare în doi pași, verificați cât de departe puteți reveni și notați cine are acces. În final, răspundeți la întrebările de reflecție.
Exercițiul D6.2: Faceți o copie de siguranță rezistentă la ransomware
Iată cum procedați: (1) Alegeți datele pe care nu vi le puteți permite cel mai puțin să le pierdeți (de exemplu contabilitatea sau magazinul dumneavoastră online). (2) Alegeți una dintre cele două variante: (3) Dați copiei de siguranță o autentificare proprie: un cont separat cu o parolă unică din managerul dumneavoastră de parole și autentificare în doi pași (2FA), pe care nu îl folosiți pentru e-mail sau pentru activitatea zilnică. (4) Verificați cât de mult în urmă puteți reveni (perioada de păstrare) și notați acest lucru. (5) Notați cine are acces fizic (disc, seif) și cine are acces în software la copia de siguranță. (6) Întrebați-vă furnizorul de găzduire (hosting) sau partenerul IT: copiile de siguranță sunt separate de contul meu, poate cineva cu parola mea să le șteargă și cât de mult în urmă merg? Notați răspunsul.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Pentru aprofundare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționarea poate fi asemănătoare sau diferită. Întrebați-vă furnizorul.
- Manual DirectAdmin 16.2: Backup and Restore: realizați dumneavoastră înșivă o copie de rezervă în DirectAdmin
- Manual Nextcloud 6.2: Restaurarea unei versiuni anterioare și denumirea versiunilor
- Manual Nextcloud 6.3: Cât timp păstrează Nextcloud versiunile și fișierele șterse?
- Snapshoturi și backupuri pentru VPS
- WebOké Backups: vizualizarea, restaurarea sau descărcarea unei copii de rezervă
- NCSC-ul olandez, Ransomware explicat: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- NCSC-ul olandez, Elaborarea unei strategii de backup: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (în engleză): https://www.cisa.gov/stopransomware/ransomware-guide