Rezerves kopijas, kas pārdzīvo izspiedējvīrusu uzbrukumu

6. modulis: Rezerves kopijas · Lasīšanas laiks: 10 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izveidot rezerves kopiju, ko uzbrucējs nevar nedz šifrēt, nedz dzēst, izvēloties bezsaistes kopiju, nemaināmu (immutable) glabātuvi, versijas ar piemērotu glabāšanas termiņu un atsevišķu pieteikšanos rezerves kopijai.
Pamatjēdzieni: bezsaistes rezerves kopija, gaisa sprauga (air gap), nemaināms (immutable), objekta bloķēšana (object lock), versiju pārvaldība, atsevišķa pieteikšanās rezerves kopijai, glabāšanas termiņš

Kāpēc parasta rezerves kopija bieži vien nav pietiekama

1.3. nodarbībā Jūs redzējāt, kā darbojas izspiedējvīruss: kāds iekļūst sistēmā, apskatās apkārt un tad vienā reizē šifrē visu, kam vien var piekļūt. "Visu, kam vien var piekļūt" ir galvenā problēma. Ja Jūsu rezerves kopija atrodas tīkla diskā, kas vienmēr ir pievienots Jūsu datoram kā diska burts, tad šī rezerves kopija izspiedējvīrusam ir vienkārši mape ar failiem. To šifrē tikpat rūpīgi kā oriģinālu.

Nīderlandes NCSC savā izspiedējvīrusu ceļvedī raksta, ka daudzi izspiedējvīrusu veidi aktīvi meklē sasniedzamas rezerves kopijas, lai tās dzēstu vai šifrētu. Turklāt uzbrucējs, kuram ir Jūsu administratora konts, var pieteikties arī Jūsu rezerves kopēšanas programmā vai mākoņpakalpojumā un tur izdzēst rezerves kopijas. Tāpēc izspiedējvīrusiem izturīga rezerves kopija prasa vairāk nekā tikai "ir kopija". Tai jāatrodas ārpus sasniedzamības tam, kurš ir pārņēmis Jūsu datoru vai kontu.

Tam ir trīs veidi, un vislabāk tos apvienot:

1. rezerves kopija nav savienota (bezsaistē);
2. rezerves kopiju nevar mainīt vai dzēst, pat ne administrators (nemaināma);
3. rezerves kopijai ir cita pieteikšanās nekā Jūsu ikdienas darbam.

Bezsaistē: disks atvilktnē

Bezsaistes rezerves kopija ir kopija, kas pēc izveides tiek atvienota. Vienkāršākais piemērs ir ārējais disks, ko Jūs pēc rezerves kopijas izveides atvienojat no klēpjdatora un ieliekat atvilktnē vai seifā. Izspiedējvīruss var šifrēt tikai to, kam var piekļūt, un disks atvilktnē nav sasniedzams. Angliski šo sauc par air gap: starp rezerves kopiju un Jūsu tīklu burtiski ir gaisa sprauga.

Nīderlandes NCSC iesaka to pašu: neturiet rezerves kopiju savienotu ar datoru, jo citādi izspiedējvīruss var šifrēt arī to.

Bezsaistes rezerves kopiju riski:

• Aizmiršana. Rezerves kopiju, ko veidojat manuāli, pēc dažām noslogotām nedēļām sāk izlaist. Ierakstiet kalendārā fiksētu dienu un izmantojiet pārmaiņus divus diskus, lai vienmēr viens atrastos ārpus telpām.
• Pastāvīga pievienošana. Disks, kas "ērtības labad" paliek pievienots, vairs nav bezsaistes rezerves kopija.
• Nešifrēts disks. Atsevišķs disks ar visu Jūsu uzņēmuma dokumentāciju ir datu aizsardzības pārkāpums, ja to nozog. Ieslēdziet šifrēšanu (skatiet 5.2. nodarbību) un glabājiet atslēgu citā vietā nekā disku.

Nemaināms: immutable un object lock

Nemaināma rezerves kopija (angliski: immutable) noteiktā laika periodā nav maināma vai dzēšama, un to nevar izdarīt neviens. Pat ne tas, kuram ir Jūsu parole. Pat ne administrators.

Mākoņglabātuvē šo tehnoloģiju bieži sauc par object lock. Viena lielā pakalpojumu sniedzēja dokumentācija to raksturo kā write once, read many: Jūs failu ierakstāt vienu reizi, pēc tam to var tikai lasīt, kamēr nav beidzies glabāšanas termiņš. Parasti ir divi režīmi:

Daudzas rezerves kopēšanas programmas un pakalpojumi piedāvā nemaināmu glabātuvi, ko sauc, piemēram, par "immutable back-up", "aizslēgtu rezerves kopiju" vai "WORM". Izvēloties pievērsiet uzmanību trim lietām:

• Cik ilgs ir bloķējums? 7 dienu bloķējums Jūs neaizsargā, ja uzbrukumu atklājat tikai pēc trim nedēļām.
• Kurš var atcelt bloķējumu? Ja to var izdarīt ar to pašu kontu, ar kuru pieslēdzaties ikdienā, to pašu var izdarīt arī uzbrucējs.
• Cik tas maksā? Nemaināmība nozīmē arī to, ka nevarat to sakārtot. CISA brīdina, ka nepareizi iestatījumi var radīt augstas izmaksas. Sāciet ar nelielu apjomu un pārbaudiet.

Versijas un glabāšanas termiņš: cik tālu Jūs varat atgriezties?

Vakardienas rezerves kopija palīdz tikai tad, ja vakar vēl viss bija kārtībā. Izspiedējvīruss dažkārt kādu laiku gaida, pirms sāk darboties, un kļūdu (izdzēstu mapi, pārrakstītu cenu sarakstu) dažreiz pamanāt tikai pēc dažām nedēļām. Tāpēc Jums ir nepieciešamas versijas: vairāki rezerves kopēšanas brīži blakus. Glabāšanas termiņš (jeb retence) nosaka, cik tālu Jūs varat atgriezties. Nīderlandes NCSC to formulē šādi: retence norāda, cik tālu rezerves kopijas vēsturē Jūs varat atgriezties.

Bieži izmantots modelis ir pakāpeniska retāka glabāšana: ikdienas rezerves kopija, ko glabā dažas nedēļas, iknedēļas rezerves kopija, ko glabā dažus mēnešus, un ikmēneša rezerves kopija, ko glabā ilgāk. Tā Jūs varat tālu atgriezties, neuzkrājot simtiem pilnu kopiju.

Jautājumi, lai izvēlētos glabāšanas termiņu:

• Cik ātri parasti pamanāt, ka kaut kas nav kārtībā? Aplūkojiet pagātnes kļūdas.
• Vai pastāv likumā noteikti glabāšanas pienākumi, piemēram, attiecībā uz Jūsu grāmatvedības dokumentāciju? Rezerves kopija nav tas pats, kas arhīvs: arhīvu Jūs glabājat gadiem ilgi fiksētā vietā, bet rezerves kopijas tiek nomainītas (rotētas).
• Cik daudz izmaksā glabātuve? Ilgāka glabāšana maksā vairāk.

Atsevišķa pieteikšanās rezerves kopijai

Trešais pasākums ir lētākais un tiek visbiežāk aizmirsts. Ja Jūsu rezerves kopēšanas pakalpojums, mākoņglabātuve un e-pasts visi darbojas ar vienu un to pašu kontu, un šis konts tiek pārņemts (skatiet 1.4. nodarbību), uzbrucējam ir piekļuve visam uzreiz.

• Rezerves kopēšanas pakalpojumam vai programmai izmantojiet atsevišķu kontu ar savu, unikālu paroli no Jūsu paroļu pārvaldnieka un ieslēdziet divu faktoru autentifikāciju.
• Neizmantojiet šo kontu ikdienas darbam un nepieslēdzieties ar to datoram, kurā sūtāt e-pastus un pārlūkojat internetu.
• Ļaujiet rezerves kopēšanas programmai, kur vien iespējams, tikai rakstīt rezerves kopijas vietā, nevis dzēst.
• Nosakiet, kam ir piekļuve, gan fiziski (kam ir atslēga no skapja ar disku), gan programmatūrā. Arī Nīderlandes NCSC to īpaši min.

Praksē: kā tas izskatās

Piemēra pakalpojumu sniedzējam WebOké naktī veidotās mitināšanas pakotnes rezerves kopijas atrodas atsevišķos glabātuves serveros citā datu centrā, nošķirti no servera, kurā darbojas tīmekļa vietne. Saskaņā ar zināšanu bāzi Jūs pats šīs nakts rezerves kopijas nevarat izdzēst: tās paliek, lai vienmēr būtu atjaunošanas punkts, un pazūd automātiski pēc 30 dienām. Dzēst var tikai papildu rezerves kopiju, ko esat izveidojis pats, un tam panelis pieprasīs Jūsu paroli.

Lai sasniegtu 3-2-1 shēmu un iegūtu bezsaistes kopiju, Jums pašam ir jāpievieno vēl kaut kas: ik pa laikam lejupielādēt rezerves kopiju (tā ir pieejama 48 stundas) un saglabāt to diskā, ko pēc tam atvienojat. Saskaņā ar to pašu zināšanu bāzi VPS momentuzņēmums (snapshot) nepārprotami nav rezerves kopija, jo tas atrodas tajā pašā glabātuvē, kur pats VPS.

Citiem pakalpojumu sniedzējiem tas var būt līdzīgi vai pavisam citādi. Jautājiet savam pakalpojumu sniedzējam konkrēti: vai rezerves kopijas atrodas nošķirti no mana konta, vai es vai kāds, kam ir mana parole, varu tās izdzēst, un cik tālu tās sniedzas pagātnē?

Kopsavilkums

• Izspiedējvīruss šifrē visu, kam tas var piekļūt, arī savienotas rezerves kopijas, un uzbrucēji aktīvi meklē rezerves kopijas.
• Bezsaistē: atvienojiet rezerves kopijas disku un izmantojiet pārmaiņus diskus, izmantojot šifrēšanu.
• Nemaināms (immutable, object lock): neviens nevar izdzēst kopiju, kamēr nav beidzies termiņš.
• Versijas un piemērots glabāšanas termiņš nosaka, cik tālu Jūs varat atgriezties; izvēlieties to, pamatojoties uz to, cik ātri parasti pamanāt problēmas.
• Izmantojiet atsevišķu, labi aizsargātu pieteikšanos savai rezerves kopijai, nošķirti no ikdienas konta.

Tests

Uzdevums

Uzdevums D6.2: Padariet vienu rezerves kopiju noturīgu pret izspiedējvīrusiem. Izvēlieties savus svarīgākos datus (piemēram, grāmatvedības dokumentāciju vai tīmekļa vietni) un izveidojiet vienu kopiju, kas atrodas ārpus sasniedzamības: ārējo disku, ko atvienojat un glabājat citur pēc rezerves kopijas izveides, vai rezerves kopēšanas pakalpojumu ar nemaināmu glabātuvi. Piešķiriet rezerves kopijai atsevišķu pieteikšanos ar divu faktoru autentifikāciju, pārbaudiet, cik tālu Jūs varat atgriezties, un pierakstiet, kam ir piekļuve. Visbeidzot atbildiet uz pārdomu jautājumiem.

Papildu lasāmviela

WebOké rakstos minētie soļi attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem tas var darboties līdzīgi vai citādi. Jautājiet savam pakalpojumu sniedzējam.

• DirectAdmin rokasgrāmata 16.2: Backup and Restore: pats izveidot rezerves kopiju DirectAdmin
• Nextcloud rokasgrāmata 6.2: Vecākas versijas atjaunošana un versiju nosaukšana
• Nextcloud rokasgrāmata 6.3: Cik ilgi Nextcloud glabā versijas un izdzēstās datnes?
• VPS snapshot kopijas un rezerves kopijas
• WebOké rezerves kopijas: kā apskatīt, atjaunot vai lejupielādēt rezerves kopiju
• Nīderlandes NCSC, Ransomware uitgelegd (izspiedējvīrusa skaidrojums, holandiešu valodā): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Nīderlandes NCSC, Een back-up strategie opstellen (rezerves kopiju stratēģijas izveide, holandiešu valodā): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (angļu valodā): https://www.cisa.gov/stopransomware/ransomware-guide