Sigurnosne kopije koje nadžive ransomware

Modul 6: Sigurnosne kopije · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete postaviti sigurnosnu kopiju koju napadač ne može šifrirati ili izbrisati, odabirom offline kopije, nepromjenjive pohrane, verzija s odgovarajućim rokom čuvanja i posebne prijave za sigurnosnu kopiju.
Ključni pojmovi: offline sigurnosna kopija, air gap, nepromjenjivo (immutable), object lock, upravljanje verzijama, poseban pristup za sigurnosnu kopiju, rok čuvanja

Zašto obična sigurnosna kopija često nije dovoljna

U lekciji 1.3 vidjeli ste kako ransomware djeluje: netko se ubaci, razgleda okolinu, a zatim odjednom šifrira sve čemu može pristupiti. "Sve čemu može pristupiti" je srž problema. Ako se Vaša sigurnosna kopija nalazi na mrežnom disku koji je uvijek povezan s Vašim računalom kao zasebno slovo diska, za ransomware je ta sigurnosna kopija samo još jedna mapa s datotekama. Bit će šifrirana jednako temeljito kao i izvornik.

Nizozemski NCSC u svom vodiču o ransomwareu navodi da mnoge vrste ransomwarea aktivno traže dostupne sigurnosne kopije kako bi ih izbrisale ili šifrirale. Napadač koji ima pristup Vašem administratorskom računu može se, uz to, prijaviti u Vaš program ili uslugu za sigurnosne kopije i tamo ih obrisati. Zato ransomwareom otporna sigurnosna kopija zahtijeva više od toga da "postoji kopija". Mora biti nedostupna osobi koja je preuzela kontrolu nad Vašim računalom ili računom.

Za to postoje tri načina, a najbolje ih je kombinirati:

1. sigurnosna kopija nije povezana (offline);
2. sigurnosna kopija ne može se mijenjati ni brisati, čak ni od strane administratora (nepromjenjiva);
3. sigurnosna kopija ima drugu prijavu od one koju koristite za svakodnevni rad.

Offline: disk u ladici

Offline sigurnosna kopija je kopija koja se nakon izrade odspaja. Vanjski disk koji nakon izrade sigurnosne kopije izvadite iz prijenosnog računala i stavite u ladicu ili sef najjednostavniji je primjer. Ransomware može šifrirati samo ono čemu može pristupiti, a disk u ladici nije dostupan. Engleski naziv za to je air gap: između sigurnosne kopije i Vaše mreže doslovno postoji "zračni jaz".

Nizozemski NCSC savjetuje isto: ne držite sigurnosnu kopiju povezanu s računalom, jer ju ransomware u protivnom može šifrirati zajedno s ostalim podacima.

Zamke kod offline sigurnosnih kopija:

• Zaboravljanje. Sigurnosna kopija koju izrađujete ručno nakon nekoliko napornih tjedana počinje se preskakati. Odredite fiksni dan u kalendaru i izmjenjujte dva diska, tako da uvijek jedan bude izvan prostorija.
• Stalno ostavljanje priključenim. Disk koji ostaje priključen "radi praktičnosti" više nije offline sigurnosna kopija.
• Nešifrirano. Odvojeni disk s cjelokupnom Vašom administracijom predstavlja povredu osobnih podataka ako bude ukraden. Uključite šifriranje (vidi lekciju 5.2) i čuvajte ključ na drugom mjestu, odvojeno od diska.

Nepromjenjivo: immutable i object lock

Nepromjenjiva sigurnosna kopija (engleski: immutable) tijekom postavljenog razdoblja ne može je nitko izmijeniti ili izbrisati. Čak ni osoba koja ima Vašu lozinku. Čak ni administrator.

Kod cloud pohrane ta se tehnika često naziva object lock. Dokumentacija jednog velikog pružatelja usluga opisuje to kao write once, read many: datoteku zapišete jednom, a nakon toga je možete samo čitati sve dok rok čuvanja ne istekne. Obično postoje dva načina rada:

Mnogi programi i usluge za sigurnosne kopije nude nepromjenjivu pohranu, pod nazivima poput "immutable back-up", "zaključana sigurnosna kopija" ili "WORM". Pri odabiru obratite pozornost na tri stvari:

• Koliko dugo traje zaključavanje? Zaključavanje od 7 dana ne štiti Vas ako napad otkrijete tek nakon tri tjedna.
• Tko može ukinuti zaključavanje? Ako to možete učiniti istim računom kojim se svakodnevno prijavljujete, to može i napadač.
• Koliko to košta? Nepromjenjivo znači i da to ne možete očistiti. Nizozemski NCSC upozorava da pogrešna postavka može dovesti do visokih troškova. Počnite s malim opsegom i testirajte.

Verzije i rok čuvanja: koliko daleko možete natrag?

Sigurnosna kopija od jučer pomaže samo ako je jučer sve još bilo u redu. Ransomware ponekad čeka neko vrijeme prije napada, a pogrešku (izbrisanu mapu, prepisan cjenik) primijetite tek nekoliko tjedana kasnije. Zato su Vam potrebne verzije: više trenutaka izrade sigurnosnih kopija jedan pored drugog. Rok čuvanja (naziva se i retencija) određuje koliko daleko možete natrag. Nizozemski NCSC to opisuje ovako: retencija pokazuje koliko daleko možete ići natrag u povijest sigurnosne kopije.

Čest obrazac je postupno rjeđe čuvanje: svaki dan sigurnosna kopija koju čuvate nekoliko tjedana, svaki tjedan jedna koju čuvate nekoliko mjeseci, i svaki mjesec jedna koju čuvate dulje. Tako možete ići daleko unatrag bez stotina potpunih kopija.

Pitanja za odabir roka čuvanja:

• Koliko brzo obično primijetite da nešto nije u redu? Pogledajte prošle pogreške.
• Postoje li zakonske obveze čuvanja, primjerice za Vašu poslovnu dokumentaciju? Sigurnosna kopija nije isto što i arhiva: arhivu čuvate godinama na fiksnom mjestu, sigurnosna kopija se rotira.
• Koliko košta pohrana? Dulje čuvanje košta više.

Poseban pristup za sigurnosnu kopiju

Treća mjera je najjeftinija, a najčešće se zaboravlja. Ako Vaša usluga za sigurnosne kopije, cloud pohrana i e-pošta rade pod istim računom, a taj račun bude preuzet (lekcija 1.4), napadač dobiva sve odjednom.

• Za uslugu ili program za sigurnosne kopije koristite poseban račun s vlastitom, jedinstvenom lozinkom iz Vašeg upravitelja lozinki i uključite dvofaktorsku autentifikaciju.
• Taj račun nemojte koristiti za svakodnevni rad i nemojte se njime prijavljivati na računalo s kojeg šaljete e-poštu i pregledavate internet.
• Omogućite programu za sigurnosne kopije, gdje god je moguće, samo pisanje na lokaciju sigurnosne kopije, a ne brisanje.
• Odredite tko ima pristup, i fizički (tko ima ključ ormara s diskom) i u softveru. Nizozemski NCSC to izričito navodi.

U praksi: ovako to izgleda

Kod primjerenog pružatelja usluge WebOké noćne sigurnosne kopije hosting paketa nalaze se na zasebnim poslužiteljima za pohranu u drugom podatkovnom centru, odvojeno od poslužitelja na kojem je pokrenuta web stranica. Prema bazi znanja, te noćne sigurnosne kopije ne možete sami izbrisati: ostaju sačuvane kako bi uvijek postojala točka za vraćanje i nestaju same nakon 30 dana. Jedino dodatnu sigurnosnu kopiju koju ste sami izradili možete izbrisati, a za to Vam sučelje traži lozinku.

Što Vi sami dodajete da biste postigli 3-2-1 shemu i offline kopiju: povremeno preuzeti sigurnosnu kopiju (ona ostaje dostupna za preuzimanje 48 sati) i pohraniti je na disk koji nakon toga odspojite. Snapshot VPS-a, prema istoj bazi znanja, izričito NIJE sigurnosna kopija, jer se nalazi na istoj pohrani kao i sam VPS.

Kod drugih pružatelja usluga to može biti slično ili sasvim drugačije. Konkretno pitajte svog pružatelja usluge: nalaze li se sigurnosne kopije odvojeno od mog računa, mogu li ih ja ili netko tko ima moju lozinku izbrisati, i koliko daleko unatrag sežu?

Sažetak

• Ransomware šifrira sve čemu može pristupiti, uključujući povezane sigurnosne kopije, a napadači aktivno traže sigurnosne kopije.
• Offline: odspojite disk sa sigurnosnom kopijom i izmjenjujte diskove, uz šifriranje.
• Nepromjenjivo (immutable, object lock): nitko ne može izbrisati kopiju dok rok ne istekne.
• Verzije i odgovarajući rok čuvanja određuju koliko daleko možete natrag; odaberite ih na temelju toga kada obično otkrivate probleme.
• Koristite poseban, dobro zaštićen pristup za sigurnosnu kopiju, odvojen od svakodnevnog računa.

Kviz

Zadatak

Zadatak D6.2: Učinite jednu sigurnosnu kopiju otpornom na ransomware. Odaberite svoje najvažnije podatke (na primjer poslovnu dokumentaciju ili web stranicu) i postavite jednu kopiju koja je izvan dohvata: vanjski disk koji nakon izrade sigurnosne kopije odspojite i čuvate na drugom mjestu, ili uslugu sigurnosnih kopija s nepromjenjivom pohranom. Dodijelite sigurnosnoj kopiji poseban pristup s dvofaktorskom autentifikacijom, provjerite koliko daleko unatrag možete ići i zabilježite tko joj može pristupiti. Na kraju odgovorite na pitanja za razmišljanje.

Dodatno štivo

Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak može biti sličan ili drugačiji. Pitajte svog pružatelja usluge.

• DirectAdmin priručnik 16.2: Backup and Restore: samostalno izrađivanje sigurnosne kopije u DirectAdminu
• Nextcloud priručnik 6.2: Vraćanje starije verzije i imenovanje verzija
• Nextcloud priručnik 6.3: Koliko dugo Nextcloud čuva inačice i izbrisane datoteke?
• Snapshoti i sigurnosne kopije VPS-a
• WebOké sigurnosne kopije: pregled, vraćanje ili preuzimanje sigurnosne kopije
• Nizozemski NCSC, Objašnjenje ransomwarea: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Nizozemski NCSC, Izrada strategije sigurnosnih kopija: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (na engleskom): https://www.cisa.gov/stopransomware/ransomware-guide