Varnostne kopije, ki prežijejo izsiljevalsko programje

Modul 6: Varnostne kopije · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste znali vzpostaviti varnostno kopijo, ki je napadalec ne more šifrirati ali izbrisati, tako da izberete kopijo brez povezave, nespremenljivo (immutable) shrambo, različice z ustreznim rokom hrambe in ločeno prijavo za varnostno kopijo.
Ključni pojmi: varnostna kopija brez povezave, zračna vrzel (air gap), nespremenljivo (immutable), object lock, upravljanje različic, ločena prijava za varnostno kopijo, rok hrambe

Zakaj navadna varnostna kopija pogosto ne zadošča

V lekciji 1.3 ste videli, kako deluje izsiljevalsko programje: nekdo pridobi dostop, si ogleda okolje in nato naenkrat šifrira vse, kar lahko doseže. "Vse, kar lahko doseže" je bistvo problema. Če je Vaša varnostna kopija na omrežnem disku, ki je vedno povezan z Vašim računalnikom kot črka pogona, je ta varnostna kopija za izsiljevalsko programje preprosto mapa z datotekami. Šifrirana bo enako temeljito kot izvirnik.

Ameriška agencija za kibernetsko varnost CISA v svojem vodniku o izsiljevalskem programju navaja, da veliko vrst izsiljevalskega programja aktivno išče dosegljive varnostne kopije, da bi jih izbrisalo ali šifriralo. Napadalec, ki pridobi Vaš skrbniški račun, se lahko poleg tega prijavi v Vaš program za varnostno kopiranje ali v oblačno storitev in tam izbriše varnostne kopije. Zato varnostna kopija, odporna na izsiljevalsko programje, zahteva več kot zgolj "obstaja kopija". Biti mora zunaj dosega nekoga, ki je prevzel nadzor nad Vašim računalnikom ali Vašim računom.

Za to obstajajo tri načini, ki jih je najbolje kombinirati:

1. varnostna kopija ni povezana (brez povezave);
2. varnostne kopije ni mogoče spremeniti ali izbrisati, tudi skrbnik tega ne more (nespremenljiva);
3. varnostna kopija je zaščitena z drugo prijavo kot Vaše vsakodnevno delo.

Brez povezave: disk v predalu

Varnostna kopija brez povezave je kopija, ki jo po izdelavi odklopite. Zunanji disk, ki ga po izdelavi varnostne kopije izvlečete iz prenosnika in shranite v predal ali sef, je najpreprostejši primer. Izsiljevalsko programje lahko šifrira samo tisto, kar je dosegljivo, disk v predalu pa ni dosegljiv. Angleški izraz za to je air gap (zračna vrzel): med varnostno kopijo in Vašim omrežjem je dobesedno zrak.

Nizozemski NCSC svetuje enako: varnostne kopije ne hranite povezane z računalnikom, saj jo izsiljevalsko programje sicer lahko šifrira skupaj z ostalim.

Pasti pri varnostnih kopijah brez povezave:

• Pozaba. Varnostna kopija, ki jo izdelate ročno, se po nekaj napornih tednih preprosto izpusti. V koledar vnesite stalen dan za izdelavo kopije in izmenjujte dva diska, tako da je vedno eden izven prostorov podjetja.
• Stalna povezanost. Disk, ki ostane priklopljen "zaradi udobja", ni več varnostna kopija brez povezave.
• Nešifrirano. Prenosni disk s celotnim Vašim poslovanjem predstavlja kršitev varstva podatkov, če je ukraden. Vklopite šifriranje (glejte lekcijo 5.2) in ključ hranite na drugem mestu kot disk.

Nespremenljivo: immutable in object lock

Nespremenljiva varnostna kopija (angleško: immutable) je med določenim obdobjem zaščitena pred spreminjanjem ali brisanjem s strani kogar koli. Tudi s strani nekoga, ki ima Vaše geslo. Tudi s strani skrbnika.

Pri oblačnem shranjevanju se ta tehnika pogosto imenuje object lock. Dokumentacija enega od velikih ponudnikov jo opisuje kot write once, read many: datoteko zapišete samo enkrat, nato jo lahko do izteka roka hrambe samo berete. Običajno obstajata dva načina:

Veliko programov in storitev za varnostno kopiranje ponuja nespremenljivo shrambo pod imeni, kot so "immutable back-up", "zaklenjena varnostna kopija" ali "WORM". Pri izbiri bodite pozorni na tri stvari:

• Kako dolgo traja zaklep? Zaklep za 7 dni Vas ne zaščiti, če napad odkrijete šele po treh tednih.
• Kdo lahko odpravi zaklep? Če to lahko storite z istim računom, s katerim se vsak dan prijavljate, lahko to stori tudi napadalec.
• Koliko to stane? Nespremenljivost pomeni tudi, da podatkov ne morete pospraviti. CISA opozarja, da lahko napačna nastavitev povzroči visoke stroške. Začnite majhno in testirajte.

Različice in rok hrambe: kako daleč nazaj lahko greste?

Varnostna kopija iz včerajšnjega dne pomaga samo, če je bilo včeraj še vse v redu. Izsiljevalsko programje včasih čaka nekaj časa, preden udari, napako (izbrisano mapo, prepisan cenik) pa včasih opazite šele čez tedne. Zato potrebujete različice: več trenutkov varnostnega kopiranja hkrati. Rok hrambe (imenovan tudi retencija) določa, kako daleč nazaj lahko greste. Nizozemski NCSC to opisuje takole: retencija pove, kako daleč nazaj lahko greste v zgodovino varnostne kopije.

Pogosto uporabljen vzorec je postopno redčenje: vsak dan varnostna kopija, ki jo hranite nekaj tednov, vsak teden ena, ki jo hranite nekaj mesecev, in vsak mesec ena, ki jo hranite dlje. Tako lahko gresta daleč nazaj, ne da bi hranili na stotine celotnih kopij.

Vprašanja za izbiro roka hrambe:

• Kako hitro običajno opazite, da je nekaj narobe? Poglejte pretekle napake.
• Ali obstajajo zakonske obveznosti glede hrambe, na primer za Vaše poslovanje? Varnostna kopija je nekaj drugega kot arhiv: arhiv hranite leta na stalnem mestu, varnostna kopija pa se izmenjuje (rotira).
• Koliko prostora to zahteva? Daljša hramba stane več.

Ločena prijava za varnostno kopijo

Tretji ukrep je najcenejši in se najpogosteje pozabi. Če Vaša storitev za varnostno kopiranje, oblačna shramba in e-pošta vse delujejo z istim računom, in ta račun je prevzet (lekcija 1.4), ima napadalec vse naenkrat.

• Za storitev ali program za varnostno kopiranje uporabite lasten račun z lastnim, edinstvenim geslom iz Vašega upravitelja gesel, in vklopite dvostopenjsko preverjanje.
• Tega računa ne uporabljajte za vsakodnevno delo in se z njim ne prijavljajte v računalnik, s katerega pošiljate e-pošto in brskate po spletu.
• Programu za varnostno kopiranje po možnosti omogočite samo pisanje na mesto za varnostno kopiranje, ne pa tudi brisanja.
• Določite, kdo ima dostop, tako fizično (kdo ima ključ omare z diskom) kot v programski opremi. Tudi nizozemski NCSC to izrecno poudarja.

V praksi: tako je videti

Pri vzorčnem ponudniku WebOké so nočne varnostne kopije gostiteljskega paketa shranjene na ločenih strežnikih za shranjevanje v drugem podatkovnem centru, ločeno od strežnika, na katerem teče spletna stran. Po navedbah baze znanja teh nočnih varnostnih kopij ne morete sami izbrisati: ostanejo shranjene, tako da je vedno na voljo točka za obnovitev, in po 30 dneh samodejno izginejo. Izbrišete lahko samo dodatno varnostno kopijo, ki ste jo izdelali sami, za kar nadzorna plošča zahteva Vaše geslo.

Kar sami dodate, da dosežete pravilo 3-2-1 in kopijo brez povezave: občasno prenesite varnostno kopijo (na voljo je 48 ur) in jo shranite na disk, ki ga nato odklopite. Posnetek stanja (snapshot) VPS-ja po isti bazi znanja izrecno NI varnostna kopija, saj se nahaja na istem shranjevalnem prostoru kot VPS sam.

Pri drugih ponudnikih je lahko to podobno ali precej drugačno. Svojega ponudnika konkretno vprašajte: ali so varnostne kopije ločene od mojega računa, ali jih lahko izbrišem jaz ali nekdo z mojim geslom, in kako daleč nazaj segajo?

Povzetek

• Izsiljevalsko programje šifrira vse, kar doseže, tudi povezane varnostne kopije, napadalci pa jih aktivno iščejo.
• Brez povezave: odklopite disk z varnostno kopijo in izmenjujte diske, s šifriranjem.
• Nespremenljivo (immutable, object lock): nihče ne more izbrisati kopije do izteka roka.
• Različice in ustrezen rok hrambe določajo, kako daleč nazaj lahko greste; izberite ju glede na to, kdaj ponavadi odkrijete težave.
• Za varnostno kopijo uporabite ločeno, dobro zaščiteno prijavo, ločeno od Vašega vsakodnevnega računa.

Kviz

Naloga

Naloga D6.2: Naredite eno varnostno kopijo, odporno na izsiljevalsko programje. Izberite svoje najpomembnejše podatke (na primer poslovanje ali spletno stran) in vzpostavite eno kopijo, ki je zunaj dosega: zunanji disk, ki ga po izdelavi varnostne kopije odklopite in shranite drugje, ali storitev za varnostno kopiranje z nespremenljivo shrambo. Varnostni kopiji dodelite lastno prijavo z dvostopenjskim preverjanjem, preverite, kako daleč nazaj lahko greste, in zabeležite, kdo ima dostop. Na koncu odgovorite na vprašanja za razmislek.

Za nadaljnje branje

Koraki v člankih baze znanja WebOké veljajo za okolje WebOké; pri drugih ponudnikih je lahko postopek podoben ali drugačen. Vprašajte svojega ponudnika.

• Priročnik DirectAdmin 16.2: Varnostno kopiranje in obnovitev: izdelava lastne varnostne kopije v DirectAdmin
• Priročnik za Nextcloud 6.2: Obnovitev starejše različice in poimenovanje različic
• Priročnik za Nextcloud 6.3: Kako dolgo Nextcloud hrani različice in izbrisane datoteke?
• Posnetki stanja in varnostne kopije VPS
• Varnostne kopije WebOké: ogled, obnovitev ali prenos varnostne kopije
• Nizozemski NCSC, Ransomware uitgelegd (razlaga izsiljevalskega programja): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Nizozemski NCSC, Een back-up strategie opstellen (priprava strategije varnostnega kopiranja): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (v angleščini): https://www.cisa.gov/stopransomware/ransomware-guide