Backup-uri imutabile: controlul pe care ransomware-ul nu îl poate ocoli
Operatorii de ransomware au învățat de ani buni că este inutil să cripteze datele dacă victima poate pur și simplu să restaureze. Așa că backup-urile sunt atacate primele.
Cum decurge de fapt atacul
Tiparul este constant:
- Acces inițial, de obicei printr-o parolă furată sau un serviciu neactualizat
- Săptămâni de recunoaștere tăcută
- Escaladare până la administrator de domeniu
- Joburi de backup dezactivate, depozite șterse, instantanee eliminate
- Abia apoi, criptarea
Când devine ceva vizibil, calea de recuperare este deja demontată — folosind credențiale valide, motiv pentru care nu a alertat nimic.
Ce înseamnă imutabil
Un backup imutabil nu poate fi modificat sau șters pentru o perioadă de retenție definită, de nimeni, inclusiv de un administrator. Interdicția este impusă de stratul de stocare, nu de permisiuni, așa că niște credențiale furate nu o ridică.
Implementări uzuale:
- Stocare de obiecte cu blocare în mod conformitate
- Echipamente dedicate de backup cu depozite securizate
- Bandă, imutabilă prin simplul fapt că stă într-un sertar
- Servicii de backup în cloud cu un nivel de retenție blocat
Retenția corectă
Retenția trebuie să depășească timpul dumneavoastră de detecție. Atacatorii stau frecvent săptămâni într-o rețea înainte de a declanșa criptarea, iar o blocare de șapte zile nu ajută dacă intruziunea a început acum patru săptămâni.
Treizeci de zile este un minim rezonabil. Nouăzeci este mai bine, dacă volumul permite.
Restul tabloului
Imutabilitatea protejează copia. Nu protejează credențialele:
- Un cont separat pentru backup, nu cel de administrator de domeniu
- Autentificare cu doi factori pe consola de backup
- Alerte când joburile sunt dezactivate sau retenția este schimbată
- Sistemul de backup în afara domeniului, astfel încât compromiterea domeniului să nu îl compromită
Testați intenționat
Încercați să ștergeți un backup blocat. Trebuie să eșueze. Dacă reușește, configurația nu este cea pe care o credeți, iar aflarea acum nu costă nimic.
Proiectele noastre de backup și recuperare pornesc de la ideea că atacatorul va ajunge la sistemul de backup.