Zálohy, které přežijí ransomware

Modul 6: Zálohy · Doba čtení: 10 minut

Cíl lekce: Po této lekci dokážete nastavit zálohu, kterou útočník nemůže zašifrovat ani smazat, a to díky offline kopii, neměnnému úložišti, verzím s vhodnou dobou uchování a samostatnému přihlášení pro zálohu.
Klíčové pojmy: offline záloha, air gap, neměnné (immutable), object lock, správa verzí, samostatné přihlášení pro zálohu, doba uchování

Proč běžná záloha často nestačí

V lekci 1.3 jste viděli, jak funguje ransomware: někdo se dostane dovnitř, rozhlédne se a pak najednou zašifruje vše, na co dosáhne. "Vše, na co dosáhne" je ten zásadní problém. Pokud je Vaše záloha na síťovém disku, který je u Vás v počítači trvale připojený jako písmeno disku, je tato záloha pro ransomware obyčejná složka se soubory. Zašifruje se stejně snadno jako originál.

Americká kybernetická agentura CISA ve svém průvodci ransomwarem uvádí, že mnoho druhů ransomwaru aktivně vyhledává dostupné zálohy, aby je odstranilo nebo zašifrovalo. Útočník, který získá Váš administrátorský účet, se navíc může přihlásit do Vašeho zálohovacího programu nebo cloudové služby a zálohy tam zlikvidovat. Proto záloha odolná proti ransomwaru vyžaduje víc než jen "existuje kopie". Musí být mimo dosah toho, kdo ovládl Váš počítač nebo Váš účet.

Existují na to tři způsoby, které je nejlepší kombinovat:

1. záloha není připojena (offline);
2. záloha nelze změnit ani smazat, a to ani administrátorem (neměnná);
3. záloha se nachází za jiným přihlášením než Vaše běžná práce.

Offline: disk v šuplíku

Offline záloha je kopie, která se po vytvoření odpojí. Nejjednodušším příkladem je externí disk, který po zálohování vytáhnete z notebooku a uložíte do šuplíku nebo trezoru. Ransomware dokáže zašifrovat jen to, na co dosáhne, a disk v šuplíku je nedosažitelný. Anglický výraz je air gap: mezi zálohou a Vaší sítí je doslova vzduchová mezera.

Nizozemské NCSC radí totéž: zálohu nemějte trvale připojenou k počítači, protože jinak ji ransomware může zašifrovat spolu se vším ostatním.

Nástrahy u offline záloh:

• Zapomenutí. Záloha, kterou vytváříte ručně, se po pár hektických týdnech přestane dělat. Vyhraďte si pevný den v kalendáři a střídejte dva disky, aby jeden vždy byl mimo prostory firmy.
• Trvalé připojení. Disk, který zůstává zapojený "pro pohodlí", už není offline zálohou.
• Bez šifrování. Samostatný disk s celou Vaší administrativou představuje únik osobních údajů, pokud je ukraden. Zapněte šifrování (viz lekce 5.2) a klíč uchovávejte jinde než disk samotný.

Neměnné: immutable a object lock

Neměnnou zálohu (anglicky: immutable) po nastavenou dobu nemůže nikdo změnit ani odstranit. Ani ten, kdo zná Vaše heslo. Ani administrátor.

U cloudového úložiště se tato technika často nazývá object lock. Dokumentace jednoho velkého poskytovatele ji popisuje jako write once, read many: soubor zapíšete jednou, poté jej lze už jen číst, dokud neuplyne doba uchování. Obvykle existují dva režimy:

Mnoho zálohovacích programů a zálohovacích služeb nabízí neměnné úložiště, pod názvy jako "immutable back-up", "uzamčená záloha" nebo "WORM". Při výběru si všímejte tří věcí:

• Jak dlouhá je doba uzamčení? Zámek na 7 dní Vás neochrání, pokud útok odhalíte až po třech týdnech.
• Kdo může zámek zrušit? Pokud to zvládnete stejným účtem, kterým se denně přihlašujete, zvládne to i útočník.
• Kolik to stojí? Neměnnost také znamená, že data nelze uklidit. CISA upozorňuje, že špatné nastavení může vést k vysokým nákladům. Začněte v malém a otestujte to.

Verze a doba uchování: jak daleko se lze vrátit?

Včerejší záloha pomůže jen tehdy, pokud bylo včera ještě vše v pořádku. Ransomware někdy čeká určitou dobu, než udeří, a chybu (smazanou složku, přepsaný ceník) si někdy všimnete až za pár týdnů. Proto potřebujete verze: více zálohovacích bodů vedle sebe. Doba uchování (také retence) určuje, jak daleko se můžete vrátit. Nizozemské NCSC to popisuje takto: retence udává, jak daleko lze jít zpět v historii zálohy.

Často používaný vzor je postupné prořeďování: každý den záloha uchovávaná pár týdnů, každý týden jedna uchovávaná pár měsíců a každý měsíc jedna uchovávaná déle. Díky tomu se lze vrátit daleko do minulosti bez stovek úplných kopií.

Otázky pro výběr doby uchování:

• Jak rychle obvykle zjistíte, že se něco pokazilo? Podívejte se na chyby z minulosti.
• Existují zákonné povinnosti uchovávání, například pro Vaši administrativu? Záloha je něco jiného než archiv: archiv uchováváte roky na pevném místě, záloha se rotuje.
• Kolik stojí úložiště? Delší uchování stojí víc.

Samostatné přihlášení pro zálohu

Třetí opatření je nejlevnější a nejčastěji se na něj zapomíná. Pokud Vaše zálohovací služba, cloudové úložiště a e-mail fungují pod stejným účtem a tento účet je ovládnut (lekce 1.4), útočník získá vše najednou.

• Pro zálohovací službu nebo zálohovací program použijte vlastní účet s vlastním, unikátním heslem ze správce hesel, a zapněte dvoufázové ověření.
• Tento účet nepoužívejte pro běžnou práci a nepřihlašujte se jím do počítače, kde posíláte e-maily a surfujete po internetu.
• Zálohovacímu programu, kde je to možné, povolte k místu zálohy jen zápis, nikoli mazání.
• Určete, kdo k zálohám má přístup, jak fyzicky (kdo má klíč od skříně s diskem), tak v softwaru. Nizozemské NCSC to také výslovně zmiňuje.

V praxi: jak to vypadá

U vzorového poskytovatele WebOké jsou noční zálohy hostingového balíčku uloženy na samostatných úložných serverech v jiném datacentru, odděleně od serveru, na kterém web běží. Podle znalostní báze tyto noční zálohy sami nemůžete smazat: zůstávají uloženy, aby byl vždy k dispozici bod obnovy, a po 30 dnech automaticky zmizí. Smazat lze jen dodatečnou zálohu, kterou jste vytvořili sami, a k tomu panel vyžaduje Vaše heslo.

Co si k tomu sami přidáte, abyste dosáhli pravidla 3-2-1 a offline kopie: občas si stáhnout zálohu (zůstává připravena 48 hodin) a uložit ji na disk, který poté odpojíte. Snímek (snapshot) VPS podle stejné znalostní báze výslovně NENÍ záloha, protože je uložen na stejném úložišti jako samotný VPS.

U jiných poskytovatelů to může být podobné nebo zcela odlišné. Zeptejte se svého poskytovatele konkrétně: jsou zálohy oddělené od mého účtu, mohu je já nebo kdokoli s mým heslem smazat, a jak daleko do minulosti sahají?

Shrnutí

• Ransomware zašifruje vše, na co dosáhne, včetně připojených záloh, a útočníci zálohy aktivně vyhledávají.
• Offline: zálohovací disk odpojte a střídejte disky, se zapnutým šifrováním.
• Neměnné (immutable, object lock): kopii nikdo nesmaže, dokud neuplyne stanovená lhůta.
• Verze a vhodná doba uchování určují, jak daleko se lze vrátit; volte je podle toho, jak rychle problémy obvykle odhalíte.
• Pro zálohu používejte samostatné, dobře zabezpečené přihlášení, oddělené od běžného účtu.

Kvíz

Úkol

Úkol D6.2: Udělejte jednu zálohu odolnou proti ransomwaru. Vyberte svá nejdůležitější data (například administrativu nebo webové stránky) a nastavte jednu kopii mimo dosah: externí disk, který po zálohování odpojíte a uložíte jinde, nebo zálohovací službu s neměnným úložištěm. Nastavte záloze vlastní přihlášení s dvoufázovým ověřením, ověřte, jak daleko do minulosti se můžete vrátit, a poznamenejte si, kdo k ní má přístup. Nakonec odpovězte na reflexní otázky.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to může fungovat podobně nebo odlišně. Zeptejte se svého poskytovatele.

• Příručka k DirectAdmin 16.2: Záloha a obnova: vytvoření vlastní zálohy v DirectAdmin
• Příručka k Nextcloud 6.2: Obnovení starší verze a pojmenování verzí
• Příručka k Nextcloud 6.3: Jak dlouho uchovává Nextcloud verze a smazané soubory?
• Snapshoty a zálohy VPS
• WebOké Zálohy: zobrazení, obnovení nebo stažení zálohy
• NCSC, Ransomware vysvětleno: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• NCSC, Sestavení strategie zálohování: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (anglicky): https://www.cisa.gov/stopransomware/ransomware-guide