Atsarginės kopijos, kurios atlaiko išpirkos reikalaujančias programas

6 modulis: Atsarginės kopijos · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite sutvarkyti atsarginę kopiją, kurios užpuolikas negalės nei užšifruoti, nei ištrinti, pasirinkdami neprijungtą kopiją, nekeičiamą (immutable) saugyklą, versijas su tinkama saugojimo trukme ir atskirą prisijungimą atsarginei kopijai.
Pagrindinės sąvokos: neprijungta atsarginė kopija, air gap, nekeičiama (immutable), object lock, versijų valdymas, atskiras prisijungimas atsarginei kopijai, saugojimo trukmė

Kodėl paprastos atsarginės kopijos dažnai nepakanka

1.3 pamokoje matėte, kaip veikia išpirkos reikalaujančios programos (ransomware): kažkas prasiskverbia, apsidairo ir tada iškart užšifruoja viską, ką gali pasiekti. „Viskas, ką gali pasiekti" yra pagrindinė problema. Jei Jūsų atsarginė kopija laikoma tinklo diske, kuris visada prijungtas prie Jūsų kompiuterio kaip disko raidė, tai tokia atsarginė kopija išpirkos reikalaujančiai programai yra tiesiog aplankas su failais. Ji bus užšifruota lygiai taip pat, kaip ir originalas.

Nyderlandų NCSC (Nacionalinis kibernetinio saugumo centras) savo gaire apie išpirkos reikalaujančias programas rašo, kad daugelis tokių programų aktyviai ieško pasiekiamų atsarginių kopijų, kad jas pašalintų arba užšifruotų. Be to, užpuolikas, turintis Jūsų administratoriaus paskyrą, gali prisijungti prie Jūsų atsarginių kopijų programos ar debesijos paslaugos ir ten pašalinti atsargines kopijas. Todėl atsarginė kopija, atspari išpirkos reikalaujančioms programoms, reikalauja daugiau nei vien „yra kopija". Ji turi būti nepasiekiama tam, kas perėmė Jūsų kompiuterį ar paskyrą.

Tam yra trys būdai, kuriuos geriausia derinti:

1. atsarginė kopija neprijungta (offline);
2. atsarginės kopijos negalima pakeisti ar ištrinti, net ir administratoriui (nekeičiama);
3. atsarginė kopija saugoma už kito prisijungimo, nei naudojamas kasdieniame darbe.

Neprijungta: diskas stalčiuje

Neprijungta atsarginė kopija yra kopija, kuri po sukūrimo atjungiama. Paprasčiausias pavyzdys: išorinis diskas, kurį po atsarginės kopijos padarymo ištraukiate iš nešiojamo kompiuterio ir padedate į stalčių ar seifą. Išpirkos reikalaujanti programa gali užšifruoti tik tai, kas pasiekiama, o stalčiuje gulintis diskas nepasiekiamas. Angliškas terminas tam yra air gap: tarp atsarginės kopijos ir Jūsų tinklo tiesiogine prasme yra oro tarpas.

Nyderlandų NCSC pataria tą patį: nelaikykite atsarginės kopijos prijungtos prie kompiuterio, nes kitaip išpirkos reikalaujanti programa gali ją kartu užšifruoti.

Spąstai, susiję su neprijungtomis atsarginėmis kopijomis:

• Pamiršimas. Atsarginė kopija, kurią darote rankiniu būdu, po kelių įtemptų savaičių bus praleista. Pasižymėkite fiksuotą dieną kalendoriuje ir keiskite du diskus pakaitomis, kad vienas visada būtų ne biure.
• Nuolatinis palikimas prijungto. Diskas, kuris „patogumo dėlei" lieka prijungtas, nebėra neprijungta atsarginė kopija.
• Nešifruotas diskas. Atskiras diskas su visa Jūsų apskaita, jei jis pavagiamas, yra duomenų saugumo pažeidimas. Įjunkite šifravimą (žr. 5.2 pamoką) ir laikykite raktą kitoje vietoje nei pats diskas.

Nekeičiama: immutable ir object lock

Nekeičiamos atsarginės kopijos (angl. immutable) niekas negali pakeisti ar ištrinti per nustatytą laikotarpį. Net ir tas, kas turi Jūsų slaptažodį. Net ir administratorius.

Debesijos saugykloje ši technologija dažnai vadinama object lock. Vieno didelio paslaugų teikėjo dokumentacija tai apibūdina kaip write once, read many: failą įrašote vieną kartą, po to galite jį tik skaityti, kol nesibaigs saugojimo terminas. Paprastai yra du režimai:

Daugelis atsarginių kopijų programų ir paslaugų siūlo nekeičiamą saugyklą, vadinamą „immutable back-up", „užrakinta atsarginė kopija" arba „WORM". Renkantis atkreipkite dėmesį į tris dalykus:

• Kiek ilgai trunka užraktas? 7 dienų užraktas Jūsų neapsaugos, jei ataką pastebėsite tik po trijų savaičių.
• Kas gali panaikinti užraktą? Jei tai galite padaryti ta pačia paskyra, kuria prisijungiate kasdien, tą patį gali padaryti ir užpuolikas.
• Kiek tai kainuoja? Nekeičiamumas taip pat reiškia, kad negalite jos sutvarkyti (ištrinti). Nyderlandų NCSC įspėja, kad neteisingas nustatymas gali sukelti dideles išlaidas. Pradėkite nuo mažo masto ir testuokite.

Versijos ir saugojimo trukmė: kiek toli galite grįžti?

Vakarykštė atsarginė kopija padės tik tuo atveju, jei vakar dar viskas buvo gerai. Išpirkos reikalaujanti programa kartais luktelia, kol pulti, o klaidą (ištrintą aplanką, perrašytą kainoraštį) kartais pastebite tik po kelių savaičių. Todėl reikalingos versijos: keli atsarginių kopijų momentai greta vienas kito. Saugojimo trukmė (taip pat vadinama retencija) nurodo, kiek toli galite grįžti. Nyderlandų NCSC tai apibūdina taip: retencija parodo, kiek toli galite grįžti atsarginės kopijos istorijoje.

Dažnai naudojamas modelis yra retėjimas: kasdienė atsarginė kopija saugoma kelias savaites, kassavaitinė, saugoma kelis mėnesius, ir kasmėnesinė, saugoma ilgiau. Taip galite grįžti toli atgal be šimtų pilnų kopijų.

Klausimai, padėsiantys pasirinkti saugojimo trukmę:

• Kaip greitai paprastai pastebite, kad kažkas negerai? Pažvelkite į praeities klaidas.
• Ar yra teisinių saugojimo pareigų, pavyzdžiui, Jūsų apskaitai? Atsarginė kopija skiriasi nuo archyvo: archyvą saugote fiksuotoje vietoje daugelį metų, o atsarginė kopija rotuojama.
• Kiek tai kainuoja saugyklos atžvilgiu? Ilgesnis saugojimas kainuoja daugiau.

Atskiras prisijungimas atsarginei kopijai

Trečioji priemonė yra pigiausia ir dažniausiai pamirštama. Jei Jūsų atsarginių kopijų paslauga, debesijos saugykla ir el. paštas naudoja tą pačią paskyrą, ir ta paskyra perimama (žr. 1.4 pamoką), užpuolikas iškart gauna viską.

• Atsarginių kopijų paslaugai ar programai naudokite atskirą paskyrą su savo unikaliu slaptažodžiu iš slaptažodžių tvarkyklės, ir įjunkite dviejų veiksnių autentifikavimą.
• Tos paskyros nenaudokite kasdieniam darbui ir nesijunkite ja prie kompiuterio, kuriuo rašote el. laiškus ir naršote internete.
• Jei įmanoma, leiskite atsarginių kopijų programai tik rašyti į atsarginių kopijų vietą, bet ne ištrinti.
• Nustatykite, kas turi prieigą, tiek fiziškai (kas turi rakto nuo spintos su disku), tiek programinėje įrangoje. Nyderlandų NCSC tai taip pat aiškiai paminėjo.

Praktikoje: kaip tai atrodo

Pavyzdinio paslaugų teikėjo WebOké pavyzdyje naktinės talpinimo paslaugos paketo atsarginės kopijos saugomos atskiruose saugyklos serveriuose kitame duomenų centre, atskirai nuo serverio, kuriame veikia svetainė. Pagal žinių bazę, šių naktinių atsarginių kopijų patys negalite ištrinti: jos lieka, kad visada būtų atkūrimo taškas, ir po 30 dienų išnyksta automatiškai. Ištrinti galite tik papildomą atsarginę kopiją, kurią susikūrėte patys, ir tam valdymo skydelis paprašys Jūsų slaptažodžio.

Ką prie to patys galite pridėti, kad pasiektumėte 3-2-1 schemą ir turėtumėte neprijungtą kopiją: retkarčiais atsisiųsti atsarginę kopiją (ji lieka pasiekiama 48 valandas) ir saugoti diske, kurį po to atjungiate. VPS momentinė kopija (snapshot), pagal tą pačią žinių bazę, aiškiai NĖRA atsarginė kopija, nes ji saugoma toje pačioje saugykloje, kaip ir pats VPS.

Pas kitus paslaugų teikėjus gali būti panašiai arba visai kitaip. Paklauskite savo paslaugų teikėjo konkrečiai: ar atsarginės kopijos saugomos atskirai nuo mano paskyros, ar aš ar kas nors, turintis mano slaptažodį, galiu jas ištrinti, ir kiek toli jos siekia atgal?

Santrauka

• Išpirkos reikalaujanti programa užšifruoja viską, ką pasiekia, taip pat ir prijungtas atsargines kopijas, o užpuolikai aktyviai jų ieško.
• Neprijungta: atjunkite atsarginės kopijos diską ir keiskite diskus pakaitomis, naudodami šifravimą.
• Nekeičiama (immutable, object lock): niekas negali ištrinti kopijos, kol nesibaigė terminas.
• Versijos ir tinkama saugojimo trukmė nustato, kiek toli galite grįžti; rinkitės ją pagal tai, kada paprastai pastebite problemas.
• Naudokite atskirą, gerai apsaugotą prisijungimą savo atsarginei kopijai, atskirą nuo kasdienės paskyros.

Testas (quiz)

Užduotis

Užduotis D6.2: Padarykite vieną atsarginę kopiją atsparią išpirkos reikalaujančioms programoms. Pasirinkite svarbiausius duomenis (pavyzdžiui, savo apskaitą ar svetainę) ir sutvarkykite vieną kopiją, kuri būtų nepasiekiama: išorinį diską, kurį po atsarginės kopijos atjungiate ir laikote kitur, arba atsarginių kopijų paslaugą su nekeičiama saugykla. Suteikite atsarginei kopijai atskirą prisijungimą su dviejų veiksnių autentifikavimu, patikrinkite, kiek toli galite grįžti, ir užsirašykite, kas turi prieigą. Galiausiai atsakykite į refleksijos klausimus.

Skaitykite daugiau

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; pas kitus paslaugų teikėjus tai gali veikti panašiai arba kitaip. Pasiteiraukite savo paslaugų teikėjo.

• DirectAdmin vadovas 16.2: Atsarginės kopijos ir atstatymas: atsarginės kopijos kūrimas DirectAdmin savarankiškai
• Nextcloud vadovas 6.2: Senesnės versijos atkūrimas ir versijų pavadinimas
• Nextcloud vadovas 6.3: Kiek ilgai Nextcloud saugo versijas ir ištrintus failus?
• VPS momentinės ir atsarginės kopijos
• WebOké atsarginės kopijos: kaip peržiūrėti, atkurti arba atsisiųsti atsarginę kopiją
• Nyderlandų NCSC, Ransomware paaiškinta: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Nyderlandų NCSC, Atsarginių kopijų strategijos sudarymas: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (anglų k.): https://www.cisa.gov/stopransomware/ransomware-guide