Kopie zapasowe odporne na ransomware

Moduł 6: Kopie zapasowe · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili przygotować kopię zapasową, której atakujący nie zdoła zaszyfrować ani usunąć, wybierając kopię offline, niezmienny (immutable) nośnik, wersje z odpowiednim okresem przechowywania oraz osobne logowanie do kopii zapasowej.
Kluczowe pojęcia: kopia zapasowa offline, air gap, niezmienność (immutable), object lock, wersjonowanie, osobne logowanie do kopii zapasowej, okres przechowywania

Dlaczego zwykła kopia zapasowa często nie wystarcza

W lekcji 1.3 omówiono, jak działa ransomware: ktoś uzyskuje dostęp, rozpoznaje otoczenie, a następnie jednym ruchem szyfruje wszystko, do czego może dotrzeć. "Wszystko, do czego może dotrzeć" to sedno problemu. Jeśli kopia zapasowa znajduje się na dysku sieciowym, który jest stale podłączony do komputera jako litera dysku, to dla ransomware jest to po prostu kolejny folder z plikami. Zostanie zaszyfrowany tak samo jak oryginał.

Amerykańska agencja cyberbezpieczeństwa CISA pisze w swoim przewodniku na temat ransomware, że wiele rodzajów ransomware aktywnie poszukuje dostępnych kopii zapasowych, aby je usunąć lub zaszyfrować. Atakujący, który przejął konto administratora, może ponadto zalogować się do programu do tworzenia kopii zapasowych lub usługi w chmurze i tam je skasować. Dlatego kopia zapasowa odporna na ransomware wymaga czegoś więcej niż samego "istnienia kopii". Musi być poza zasięgiem osoby, która przejęła komputer lub konto.

Są na to trzy sposoby, które najlepiej ze sobą łączyć:

1. kopia zapasowa jest niepodłączona (offline);
2. kopii zapasowej nie można zmienić ani usunąć, nawet przez administratora (niezmienność);
3. kopia zapasowa znajduje się za innym logowaniem niż to używane do codziennej pracy.

Offline: dysk w szufladzie

Kopia zapasowa offline to kopia, która po wykonaniu zostaje odłączona od systemu. Dysk zewnętrzny, który po wykonaniu kopii odłącza się od laptopa i chowa do szuflady lub sejfu, to najprostszy przykład. Ransomware może zaszyfrować tylko to, do czego ma dostęp, a dysk w szufladzie jest niedostępny. Angielski termin to air gap: między kopią zapasową a siecią jest dosłownie przerwa fizyczna.

Niderlandzkie NCSC udziela tej samej rady: kopii zapasowej nie należy trzymać stale podłączonej do komputera, ponieważ w przeciwnym razie ransomware może zaszyfrować również ją.

Pułapki związane z kopiami zapasowymi offline:

• Zapominanie. Kopia zapasowa wykonywana ręcznie po kilku pracowitych tygodniach po prostu przestaje być wykonywana. Warto wyznaczyć stały dzień w kalendarzu i na zmianę używać dwóch dysków, tak aby jeden zawsze znajdował się poza siedzibą firmy.
• Trzymanie dysku stale podłączonego. Dysk, który "dla wygody" pozostaje podłączony, przestaje być kopią zapasową offline.
• Brak szyfrowania. Luźny dysk z całą dokumentacją firmy w razie kradzieży staje się naruszeniem ochrony danych. Należy włączyć szyfrowanie (patrz lekcja 5.2) i przechowywać klucz w innym miejscu niż sam dysk.

Niezmienność: immutable i object lock

Kopia zapasowa niezmienna (ang. immutable) przez ustalony okres nie może zostać zmieniona ani usunięta przez nikogo. Nawet przez osobę, która zna hasło. Nawet przez administratora.

W przypadku przechowywania w chmurze technika ta nazywana jest często object lock. Dokumentacja jednego z dużych dostawców opisuje ją jako write once, read many: plik zapisuje się raz, a następnie można go już tylko odczytywać, aż do upłynięcia okresu przechowywania. Zwykle dostępne są dwa tryby:

Wiele programów i usług do tworzenia kopii zapasowych oferuje przechowywanie niezmienne, pod nazwami takimi jak "immutable back-up", "zablokowana kopia zapasowa" lub "WORM". Przy wyborze warto zwrócić uwagę na trzy rzeczy:

• Jak długo trwa blokada? Blokada na 7 dni nie chroni, jeśli atak zostanie wykryty dopiero po trzech tygodniach.
• Kto może znieść blokadę? Jeśli można to zrobić tym samym kontem, którego używa się do codziennego logowania, to samo może zrobić atakujący.
• Ile to kosztuje? Niezmienność oznacza też, że danych nie można uporządkować. CISA ostrzega, że błędna konfiguracja może prowadzić do wysokich kosztów. Warto zacząć od małej skali i przetestować rozwiązanie.

Wersje i okres przechowywania: jak daleko można się cofnąć?

Kopia zapasowa z wczoraj pomoże tylko wtedy, gdy wczoraj wszystko było jeszcze w porządku. Ransomware czasem czeka pewien czas przed uderzeniem, a pomyłkę (usunięty folder, nadpisany cennik) zauważa się czasem dopiero po kilku tygodniach. Dlatego potrzebne są wersje: kilka punktów kopii zapasowej obok siebie. Okres przechowywania (zwany też retencją) określa, jak daleko wstecz można się cofnąć. Niderlandzkie NCSC ujmuje to tak: retencja wskazuje, jak daleko wstecz można sięgnąć w historii kopii zapasowej.

Powszechnie stosowanym wzorcem jest przerzedzanie: codzienna kopia zapasowa przechowywana przez kilka tygodni, cotygodniowa przechowywana przez kilka miesięcy oraz comiesięczna przechowywana dłużej. Dzięki temu można cofnąć się daleko w czasie bez przechowywania setek pełnych kopii.

Pytania pomocne przy ustalaniu okresu przechowywania:

• Jak szybko zwykle zauważa się, że coś jest nie tak? Warto przeanalizować wcześniejsze pomyłki.
• Czy istnieją ustawowe obowiązki przechowywania danych, na przykład dotyczące dokumentacji księgowej? Kopia zapasowa to coś innego niż archiwum: archiwum przechowuje się latami w stałym miejscu, kopia zapasowa podlega rotacji.
• Ile kosztuje przechowywanie? Dłuższe przechowywanie kosztuje więcej.

Osobne logowanie do kopii zapasowej

Trzeci środek jest najtańszy i najczęściej pomijany. Jeśli usługa kopii zapasowych, przechowywanie w chmurze i poczta działają na tym samym koncie, a konto to zostanie przejęte (lekcja 1.4), atakujący zyskuje wszystko naraz.

• Do usługi lub programu do tworzenia kopii zapasowych należy używać osobnego konta z własnym, unikalnym hasłem z menedżera haseł oraz włączyć uwierzytelnianie dwuskładnikowe.
• Konta tego nie należy używać do codziennej pracy ani logować się nim na komputerze, z którego korzysta się do poczty i przeglądania internetu.
• Tam, gdzie to możliwe, program do tworzenia kopii zapasowych powinien mieć prawo wyłącznie do zapisu w miejscu przechowywania kopii, a nie do usuwania.
• Należy określić, kto ma do niej dostęp, zarówno fizycznie (kto ma klucz do szafki z dyskiem), jak i w oprogramowaniu. Niderlandzkie NCSC wskazuje na to wprost.

W praktyce: jak to wygląda

U przykładowego dostawcy WebOké nocne kopie zapasowe pakietu hostingowego znajdują się na osobnych serwerach przechowywania w innym centrum danych, niezależnie od serwera, na którym działa strona internetowa. Zgodnie z bazą wiedzy tych nocnych kopii zapasowych nie można samodzielnie usunąć: pozostają one dostępne, aby zawsze istniał punkt przywracania, i znikają automatycznie po 30 dniach. Usunąć można jedynie dodatkową kopię zapasową wykonaną samodzielnie, a panel wymaga wtedy podania hasła.

Aby spełnić zasadę 3-2-1 i uzyskać kopię offline, można dodatkowo: od czasu do czasu pobrać kopię zapasową (dostępną do pobrania przez 48 godzin) i przechowywać ją na dysku, który następnie się odłącza. Migawka (snapshot) VPS zgodnie z tą samą bazą wiedzy wyraźnie nie jest kopią zapasową, ponieważ znajduje się na tym samym nośniku co sam VPS.

U innych dostawców może to wyglądać podobnie lub zupełnie inaczej. Warto zapytać dostawcę wprost: czy kopie zapasowe są niezależne od mojego konta, czy ja lub ktoś znający moje hasło może je usunąć oraz jak daleko wstecz sięgają?

Podsumowanie

• Ransomware szyfruje wszystko, do czego ma dostęp, w tym podłączone kopie zapasowe, a atakujący aktywnie ich poszukują.
• Offline: należy odłączać dysk z kopią zapasową i stosować na zmianę dwa dyski, z włączonym szyfrowaniem.
• Niezmienność (immutable, object lock): nikt nie może usunąć kopii do czasu upływu ustalonego terminu.
• Wersje i odpowiedni okres przechowywania określają, jak daleko wstecz można się cofnąć; warto dobrać je na podstawie tego, jak szybko zwykle wykrywane są problemy.
• Do kopii zapasowej należy używać osobnego, dobrze zabezpieczonego logowania, niezależnego od konta używanego na co dzień.

Quiz

Zadanie

Zadanie D6.2: Uczyń jedną kopię zapasową odporną na ransomware. Proszę wybrać najważniejsze dane (na przykład dokumentację firmy lub stronę internetową) i przygotować jedną kopię znajdującą się poza zasięgiem: dysk zewnętrzny odłączany po wykonaniu kopii i przechowywany w innym miejscu, albo usługę kopii zapasowych z niezmiennym nośnikiem. Proszę nadać kopii zapasowej osobne logowanie z uwierzytelnianiem dwuskładnikowym, sprawdzić, jak daleko wstecz można się cofnąć, oraz zapisać, kto ma do niej dostęp. Na koniec proszę odpowiedzieć na pytania do refleksji.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców proces może być podobny lub inny. Warto zapytać swojego dostawcę.

• Instrukcja DirectAdmin 16.2: Kopia zapasowa i przywracanie: samodzielne tworzenie kopii zapasowej w DirectAdmin
• Podręcznik Nextcloud 6.2: Przywracanie starszej wersji i nadawanie nazw wersjom
• Podręcznik Nextcloud 6.3: Jak długo Nextcloud przechowuje wersje i usunięte pliki?
• Snapshoty i kopie zapasowe VPS
• Kopie zapasowe WebOké: przeglądanie, przywracanie lub pobieranie kopii zapasowej
• Niderlandzkie NCSC, Ransomware wyjaśnione: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Niderlandzkie NCSC, Opracowanie strategii tworzenia kopii zapasowych: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (w języku angielskim): https://www.cisa.gov/stopransomware/ransomware-guide