Ενότητα 6 · 6.2
Αντίγραφα ασφαλείας που επιβιώνουν από ransomware
Ενότητα 6: Αντίγραφα ασφαλείας · Χρόνος ανάγνωσης: 10 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να οργανώσετε ένα αντίγραφο ασφαλείας που ένας επιτιθέμενος δεν μπορεί να κρυπτογραφήσει ή να διαγράψει, επιλέγοντας ένα offline αντίγραφο, αμετάβλητη αποθήκευση, εκδόσεις με κατάλληλο χρόνο διατήρησης και ξεχωριστή σύνδεση για το αντίγραφο ασφαλείας.
Βασικές έννοιες: offline αντίγραφο ασφαλείας, air gap, αμετάβλητο (immutable), object lock, διαχείριση εκδόσεων, ξεχωριστή σύνδεση για το αντίγραφο ασφαλείας, χρόνος διατήρησης
Γιατί ένα απλό αντίγραφο ασφαλείας συχνά δεν αρκεί
Στο μάθημα 1.3 είδατε πώς λειτουργεί το ransomware: κάποιος εισβάλλει, κοιτάζει τριγύρω και στη συνέχεια κρυπτογραφεί μεμιάς όλα όσα μπορεί να προσεγγίσει. Το «όλα όσα μπορεί να προσεγγίσει» είναι το βασικό πρόβλημα. Αν το αντίγραφο ασφαλείας σας βρίσκεται σε έναν δικτυακό δίσκο που είναι πάντα συνδεδεμένος στον υπολογιστή σας ως γράμμα δίσκου, τότε για το ransomware αυτό το αντίγραφο είναι απλώς ένας φάκελος με αρχεία. Θα κρυπτογραφηθεί εξίσου με το πρωτότυπο.
Η αμερικανική υπηρεσία κυβερνοασφάλειας CISA αναφέρει στον οδηγό της για το ransomware ότι πολλά είδη ransomware αναζητούν ενεργά προσβάσιμα αντίγραφα ασφαλείας για να τα διαγράψουν ή να τα κρυπτογραφήσουν. Ένας επιτιθέμενος που έχει αποκτήσει τον λογαριασμό διαχειριστή σας μπορεί επιπλέον να συνδεθεί στο πρόγραμμα αντιγράφων ασφαλείας ή στην υπηρεσία cloud σας και να διαγράψει εκεί τα αντίγραφα. Γι' αυτό ένα αντίγραφο ασφαλείας ανθεκτικό σε ransomware απαιτεί περισσότερα από «υπάρχει ένα αντίγραφο». Πρέπει να βρίσκεται εκτός εμβέλειας κάποιου που έχει αναλάβει τον έλεγχο του υπολογιστή ή του λογαριασμού σας.
Υπάρχουν τρεις τρόποι για αυτό, και είναι προτιμότερο να τους συνδυάσετε:
- το αντίγραφο ασφαλείας δεν είναι συνδεδεμένο (offline)·
- το αντίγραφο ασφαλείας δεν μπορεί να τροποποιηθεί ή να διαγραφεί, ούτε καν από διαχειριστή (αμετάβλητο)·
- το αντίγραφο ασφαλείας βρίσκεται πίσω από διαφορετική σύνδεση από την καθημερινή σας εργασία.
Offline: ο δίσκος στο συρτάρι
Ένα offline αντίγραφο ασφαλείας είναι ένα αντίγραφο που αποσυνδέεται μετά τη δημιουργία του. Ένας εξωτερικός δίσκος που αφαιρείτε από το laptop μετά το αντίγραφο ασφαλείας και τοποθετείτε σε ένα συρτάρι ή χρηματοκιβώτιο είναι το απλούστερο παράδειγμα. Το ransomware μπορεί να κρυπτογραφήσει μόνο ό,τι είναι προσβάσιμο, και ένας δίσκος σε ένα συρτάρι δεν είναι προσβάσιμος. Ο αγγλικός όρος είναι air gap: υπάρχει κυριολεκτικά «αέρας» ανάμεσα στο αντίγραφο ασφαλείας και στο δίκτυό σας.
Το ολλανδικό NCSC συμβουλεύει το ίδιο: μην κρατάτε το αντίγραφο ασφαλείας συνδεδεμένο με τον υπολογιστή σας, γιατί διαφορετικά το ransomware μπορεί να το κρυπτογραφήσει κι αυτό.
Παγίδες στα offline αντίγραφα ασφαλείας:
- Ξέχασμα. Ένα αντίγραφο ασφαλείας που δημιουργείτε χειροκίνητα παραλείπεται μετά από μερικές φορτωμένες εβδομάδες. Ορίστε μια σταθερή ημέρα στο ημερολόγιό σας και εναλλάσσετε δύο δίσκους, ώστε να υπάρχει πάντα ένας εκτός χώρου.
- Μόνιμη σύνδεση. Ένας δίσκος που παραμένει συνδεδεμένος «για ευκολία» δεν είναι πλέον offline αντίγραφο ασφαλείας.
- Μη κρυπτογραφημένο. Ένας ξεχωριστός δίσκος με ολόκληρο το λογιστικό σας σύστημα αποτελεί παραβίαση δεδομένων αν κλαπεί. Ενεργοποιήστε την κρυπτογράφηση (βλ. μάθημα 5.2) και φυλάξτε το κλειδί σε διαφορετικό μέρος από τον δίσκο.
Αμετάβλητο: immutable και object lock
Ένα αμετάβλητο αντίγραφο ασφαλείας (αγγλικά: immutable) δεν μπορεί να τροποποιηθεί ή να διαγραφεί από κανέναν για μια καθορισμένη περίοδο. Ούτε καν από κάποιον που έχει τον κωδικό πρόσβασής σας. Ούτε καν από τον διαχειριστή.
Στον χώρο αποθήκευσης cloud η τεχνική ονομάζεται συχνά object lock. Η τεκμηρίωση ενός μεγάλου παρόχου την περιγράφει ως write once, read many: γράφετε ένα αρχείο μία φορά, και στη συνέχεια μπορείτε μόνο να το διαβάζετε μέχρι να περάσει ο χρόνος διατήρησης. Υπάρχουν συνήθως δύο λειτουργίες:
| Λειτουργία | Τι σημαίνει | Πότε την επιλέγετε |
|---|---|---|
| Αυστηρή λειτουργία (σε αυτόν τον πάροχο compliance mode) | Κανείς δεν μπορεί να διαγράψει το αντίγραφο πριν από τη λήξη της προθεσμίας ή να μειώσει την προθεσμία, ούτε καν ο κύριος λογαριασμός | Θέλετε βεβαιότητα ότι ακόμη και ένας παραβιασμένος λογαριασμός διαχειριστή δεν μπορεί να διαγράψει τίποτα |
| Ήπια λειτουργία (governance mode) | Μόνο λογαριασμοί με ειδικό δικαίωμα μπορούν να αφαιρέσουν την προστασία | Για δοκιμές, ή αν θέλετε να διατηρήσετε τη δυνατότητα να κάνετε εκκαθάριση κάτι |
Πολλά προγράμματα και υπηρεσίες αντιγράφων ασφαλείας προσφέρουν αμετάβλητη αποθήκευση, με ονόματα όπως «immutable back-up», «κλειδωμένο αντίγραφο ασφαλείας» ή «WORM». Κατά την επιλογή, προσέξτε τρία πράγματα:
- Πόσο διαρκεί το κλείδωμα; Ένα κλείδωμα 7 ημερών δεν σας προστατεύει αν ανακαλύψετε την επίθεση μόλις μετά από τρεις εβδομάδες.
- Ποιος μπορεί να άρει το κλείδωμα; Αν μπορείτε να το κάνετε με τον ίδιο λογαριασμό με τον οποίο συνδέεστε καθημερινά, τότε μπορεί κι ένας επιτιθέμενος.
- Πόσο κοστίζει; Το αμετάβλητο σημαίνει επίσης ότι δεν μπορείτε να κάνετε εκκαθάριση. Η CISA προειδοποιεί ότι μια λανθασμένη ρύθμιση μπορεί να οδηγήσει σε υψηλό κόστος. Ξεκινήστε μικρά και δοκιμάστε.
Εκδόσεις και χρόνος διατήρησης: πόσο πίσω μπορείτε να πάτε;
Ένα αντίγραφο ασφαλείας του χθες βοηθάει μόνο αν χθες όλα ήταν ακόμη εντάξει. Το ransomware μερικές φορές περιμένει για ένα διάστημα πριν χτυπήσει, και ένα λάθος (ένας διαγραμμένος φάκελος, ένας αντικατεστημένος τιμοκατάλογος) μπορεί να το προσέξετε μόνο εβδομάδες αργότερα. Γι' αυτό χρειάζεστε εκδόσεις: πολλές στιγμές αντιγράφων ασφαλείας η μία δίπλα στην άλλη. Ο χρόνος διατήρησης (επίσης γνωστός ως retention) καθορίζει πόσο πίσω μπορείτε να πάτε. Το ολλανδικό NCSC το περιγράφει ως εξής: ο χρόνος διατήρησης δείχνει πόσο πίσω μπορείτε να πάτε στο ιστορικό ενός αντιγράφου ασφαλείας.
Ένα συχνά χρησιμοποιούμενο μοτίβο είναι η σταδιακή αραίωση: κάθε μέρα ένα αντίγραφο ασφαλείας που διατηρείτε για μερικές εβδομάδες, κάθε εβδομάδα ένα που διατηρείτε για μερικούς μήνες, και κάθε μήνα ένα που διατηρείτε περισσότερο καιρό. Έτσι μπορείτε να πάτε πολύ πίσω χωρίς εκατοντάδες πλήρη αντίγραφα.
Ερωτήσεις για να επιλέξετε τον χρόνο διατήρησής σας:
- Πόσο γρήγορα συνήθως αντιλαμβάνεστε ότι κάτι πήγε στραβά; Δείτε παλιότερα λάθη.
- Υπάρχουν νομικές υποχρεώσεις διατήρησης, όπως για το λογιστικό σας σύστημα; Ένα αντίγραφο ασφαλείας είναι κάτι διαφορετικό από ένα αρχείο: ένα αρχείο το διατηρείτε επί χρόνια σε σταθερή θέση, ένα αντίγραφο ασφαλείας εναλλάσσεται.
- Πόσο κοστίζει η αποθήκευση; Η μεγαλύτερη διατήρηση κοστίζει περισσότερο.
Μια ξεχωριστή σύνδεση για το αντίγραφο ασφαλείας
Το τρίτο μέτρο είναι το φθηνότερο και ξεχνιέται πιο συχνά. Αν η υπηρεσία αντιγράφων ασφαλείας, ο χώρος αποθήκευσης cloud και το email σας λειτουργούν όλα με τον ίδιο λογαριασμό, και αυτός ο λογαριασμός παραβιαστεί (μάθημα 1.4), τότε ο επιτιθέμενος αποκτά τα πάντα ταυτόχρονα.
- Χρησιμοποιήστε για την υπηρεσία ή το πρόγραμμα αντιγράφων ασφαλείας έναν ξεχωριστό λογαριασμό με δικό του, μοναδικό κωδικό πρόσβασης από τον διαχειριστή κωδικών πρόσβασής σας, και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων.
- Μην χρησιμοποιείτε αυτόν τον λογαριασμό για την καθημερινή εργασία και μην συνδέεστε με αυτόν στον υπολογιστή με τον οποίο στέλνετε email και περιηγείστε.
- Αφήστε το πρόγραμμα αντιγράφων ασφαλείας, όπου είναι δυνατόν, να μπορεί μόνο να γράφει στον χώρο αντιγράφων ασφαλείας, όχι να διαγράφει.
- Καθορίστε ποιος έχει πρόσβαση, τόσο φυσικά (ποιος έχει το κλειδί του ντουλαπιού με τον δίσκο) όσο και στο λογισμικό. Το ολλανδικό NCSC το αναφέρει επίσης ρητά.
Στην πράξη: έτσι μοιάζει
Στον ενδεικτικό πάροχο WebOké, τα νυχτερινά αντίγραφα ασφαλείας ενός πακέτου φιλοξενίας βρίσκονται σε ξεχωριστούς διακομιστές αποθήκευσης σε διαφορετικό κέντρο δεδομένων, ανεξάρτητα από τον διακομιστή όπου λειτουργεί ο ιστότοπος. Σύμφωνα με τη βάση γνώσεων, δεν μπορείτε να διαγράψετε εσείς οι ίδιοι αυτά τα νυχτερινά αντίγραφα ασφαλείας: παραμένουν ώστε να υπάρχει πάντα ένα σημείο επαναφοράς, και εξαφανίζονται αυτόματα μετά από 30 ημέρες. Μόνο ένα επιπλέον αντίγραφο ασφαλείας που έχετε δημιουργήσει εσείς οι ίδιοι μπορείτε να το διαγράψετε, και γι' αυτό ο πίνακας ελέγχου σάς ζητά τον κωδικό πρόσβασής σας.
Αυτό που εσείς οι ίδιοι προσθέτετε για να πετύχετε το σχήμα 3-2-1 και το offline αντίγραφο: κατεβάζετε κατά καιρούς ένα αντίγραφο ασφαλείας (παραμένει διαθέσιμο για 48 ώρες) και το φυλάτε σε έναν δίσκο που αποσυνδέετε στη συνέχεια. Ένα snapshot ενός VPS, σύμφωνα με την ίδια βάση γνώσεων, ρητά ΔΕΝ αποτελεί αντίγραφο ασφαλείας, επειδή βρίσκεται στον ίδιο χώρο αποθήκευσης με το ίδιο το VPS.
Σε άλλους παρόχους μπορεί να είναι παρόμοιο ή εντελώς διαφορετικό. Ρωτήστε συγκεκριμένα τον πάροχό σας: βρίσκονται τα αντίγραφα ασφαλείας ανεξάρτητα από τον λογαριασμό μου, μπορώ εγώ ή κάποιος με τον κωδικό πρόσβασής μου να τα διαγράψει, και πόσο πίσω φτάνουν;
Σύνοψη
- Το ransomware κρυπτογραφεί ό,τι μπορεί να προσεγγίσει, συμπεριλαμβανομένων των συνδεδεμένων αντιγράφων ασφαλείας, και οι επιτιθέμενοι αναζητούν ενεργά αντίγραφα ασφαλείας.
- Offline: αποσυνδέστε τον δίσκο αντιγράφων ασφαλείας και εναλλάσσετε δίσκους, με κρυπτογράφηση.
- Αμετάβλητο (immutable, object lock): κανείς δεν μπορεί να διαγράψει το αντίγραφο μέχρι να περάσει η προθεσμία.
- Οι εκδόσεις και ένας κατάλληλος χρόνος διατήρησης καθορίζουν πόσο πίσω μπορείτε να πάτε· επιλέξτε τον με βάση το πότε συνήθως ανακαλύπτετε προβλήματα.
- Χρησιμοποιήστε μια ξεχωριστή, καλά προστατευμένη σύνδεση για το αντίγραφο ασφαλείας σας, ανεξάρτητη από τον καθημερινό σας λογαριασμό.
Κουίζ
Άσκηση
Άσκηση D6.2: Κάντε ένα αντίγραφο ασφαλείας ανθεκτικό σε ransomware. Επιλέξτε τα πιο σημαντικά δεδομένα σας (για παράδειγμα το λογιστικό σας σύστημα ή τον ιστότοπό σας) και οργανώστε ένα αντίγραφο που βρίσκεται εκτός εμβέλειας: έναν εξωτερικό δίσκο που αποσυνδέετε μετά το αντίγραφο ασφαλείας και φυλάτε αλλού, ή μια υπηρεσία αντιγράφων ασφαλείας με αμετάβλητη αποθήκευση. Δώστε στο αντίγραφο ασφαλείας μια δική του σύνδεση με έλεγχο ταυτότητας δύο παραγόντων, ελέγξτε πόσο πίσω μπορείτε να πάτε και σημειώστε ποιος έχει πρόσβαση. Τέλος, απαντήστε στις ερωτήσεις αναστοχασμού.
Άσκηση D6.2: Κάντε ένα αντίγραφο ασφαλείας ανθεκτικό σε ransomware
Έτσι το κάνετε: (1) Επιλέξτε τα δεδομένα που δεν αντέχετε να χάσετε (για παράδειγμα τη λογιστική σας ή το ηλεκτρονικό σας κατάστημα). (2) Επιλέξτε μία από τις δύο διαδρομές: (3) Δώστε στο αντίγραφο ασφαλείας δική του σύνδεση: έναν ξεχωριστό λογαριασμό με μοναδικό κωδικό πρόσβασης από τον διαχειριστή κωδικών πρόσβασής σας και έλεγχο ταυτότητας δύο παραγόντων (2FA), τον οποίο δεν χρησιμοποιείτε για email ή καθημερινή εργασία. (4) Ελέγξτε πόσο πίσω μπορείτε να επιστρέψετε (χρόνος διατήρησης) και σημειώστε το. (5) Σημειώστε ποιος έχει πρόσβαση φυσικά (δίσκος, χρηματοκιβώτιο) και στο λογισμικό στο αντίγραφο ασφαλείας. (6) Ρωτήστε τον πάροχο φιλοξενίας (hosting) ή τον συνεργάτη IT σας: τα αντίγραφα ασφαλείας είναι ανεξάρτητα από τον λογαριασμό μου, μπορεί κάποιος με τον κωδικό πρόσβασής μου να τα διαγράψει και πόσο πίσω φτάνουν; Σημειώστε την απάντηση.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Για περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους μπορεί να λειτουργεί παρόμοια ή διαφορετικά. Ρωτήστε τον πάροχό σας.
- Εγχειρίδιο DirectAdmin 16.2: Backup and Restore: δημιουργία δικού σας αντιγράφου ασφαλείας στο DirectAdmin
- Οδηγός Nextcloud 6.2: Επαναφορά παλαιότερης έκδοσης και ονομασία εκδόσεων
- Οδηγός Nextcloud 6.3: Πόσο καιρό διατηρεί το Nextcloud τις εκδόσεις και τα διεγραμμένα αρχεία;
- Snapshots και backups του VPS σας
- WebOké Backups: προβολή, επαναφορά ή λήψη ενός backup
- Το ολλανδικό NCSC, Το ransomware εξηγημένο: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- Το ολλανδικό NCSC, Κατάρτιση στρατηγικής αντιγράφων ασφαλείας: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (στα αγγλικά): https://www.cisa.gov/stopransomware/ransomware-guide