Zálohy, ktoré prežijú ransomvér

Modul 6: Zálohy · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete nastaviť zálohu, ktorú útočník nedokáže zašifrovať ani vymazať, vďaka voľbe offline kópie, nemenného úložiska, verzií s vhodnou dobou uchovávania a samostatného prihlásenia pre zálohu.
Kľúčové pojmy: offline záloha, air gap, nemenná (immutable), object lock, verziovanie, samostatné prihlásenie pre zálohu, doba uchovávania

Prečo obyčajná záloha často nestačí

V lekcii 1.3 ste videli, ako funguje ransomvér: niekto sa dostane dovnútra, poobzerá sa a potom naraz zašifruje všetko, k čomu sa dostane. "Všetko, k čomu sa dostane" je jadro problému. Ak je vaša záloha na sieťovom disku, ktorý je k vášmu počítaču stále pripojený ako jednotka, je táto záloha pre ransomvér jednoducho ďalší priečinok so súbormi. Zašifruje sa rovnako ako originál.

Americká kybernetická agentúra CISA vo svojom sprievodcovi ransomvérom uvádza, že mnohé druhy ransomvéru aktívne vyhľadávajú dostupné zálohy, aby ich odstránili alebo zašifrovali. Útočník, ktorý získal váš administrátorský účet, sa navyše môže prihlásiť do vášho zálohovacieho programu alebo cloudovej služby a zálohy tam zmazať. Preto si ransomvér odolná záloha vyžaduje viac než len "niekde existuje kópia". Musí byť mimo dosahu toho, kto ovládol váš počítač alebo váš účet.

Existujú na to tri spôsoby a najlepšie je skombinovať ich:

1. záloha nie je pripojená (offline);
2. záloha sa nedá zmeniť ani vymazať, ani administrátorom (nemenná);
3. záloha je zabezpečená iným prihlásením ako vaša každodenná práca.

Offline: disk v zásuvke

Takzvaná offline záloha je kópia, ktorá sa po vytvorení odpojí. Najjednoduchším príkladom je externý disk, ktorý po zálohovaní vytiahnete z notebooku a uložíte do zásuvky alebo trezoru. Ransomvér dokáže zašifrovať iba to, k čomu sa dostane, a disk v zásuvke je nedostupný. Anglický výraz je air gap: medzi zálohou a vašou sieťou je doslova vzduchová medzera.

Holandské NBÚ pre kybernetickú bezpečnosť (NCSC) radí to isté: zálohu nenechávajte pripojenú k počítaču, inak ju ransomvér môže zašifrovať spolu so všetkým ostatným.

Nástrahy pri offline zálohách:

• Zabudnutie. Záloha, ktorú robíte ručne, sa po pár uponáhľaných týždňoch vynechá. Vyhraďte si pevný deň v kalendári a striedajte dva disky, aby bol jeden vždy mimo priestorov.
• Trvalé ponechanie pripojené. Disk, ktorý zostane pripojený "pre pohodlie", už nie je offline záloha.
• Nezašifrovaný disk. Samostatný disk s celou vašou agendou predstavuje únik údajov, ak sa stratí alebo ukradne. Zapnite šifrovanie (pozri lekciu 5.2) a kľúč uložte inde ako samotný disk.

Nemenná záloha: immutable a object lock

Takzvaná nemenná záloha (anglicky: immutable) sa počas nastaveného obdobia nedá nikým zmeniť ani odstrániť. Ani niekým, kto pozná vaše heslo. Ani administrátorom.

Pri cloudovom úložisku sa táto technika často nazýva object lock. Dokumentácia jedného veľkého poskytovateľa ju opisuje ako write once, read many: súbor zapíšete raz a potom ho môžete už len čítať, až kým neuplynie doba uchovávania. Zvyčajne existujú dva režimy:

Mnohé zálohovacie programy a služby ponúkajú nemenné úložisko pod názvami ako "immutable back-up", "uzamknutá záloha" alebo "WORM". Pri výbere si všimnite tri veci:

• Ako dlho trvá uzamknutie? Uzamknutie na 7 dní vás neochráni, ak útok odhalíte až po troch týždňoch.
• Kto môže uzamknutie zrušiť? Ak to dokážete urobiť rovnakým účtom, ktorým sa bežne prihlasujete, dokáže to aj útočník.
• Koľko to stojí? Nemennosť tiež znamená, že dáta nemôžete upratať. CISA upozorňuje, že nesprávne nastavenie môže spôsobiť vysoké náklady. Začnite v malom a otestujte to.

Verzie a doba uchovávania: ako ďaleko sa dá vrátiť?

Včerajšia záloha pomôže iba vtedy, ak bolo včera ešte všetko v poriadku. Ransomvér niekedy istý čas čaká, kým udrie, a chybu (zmazaný priečinok, prepísaný cenník) si niekedy všimnete až o týždne neskôr. Preto potrebujete verzie: viacero momentov zálohovania vedľa seba. Doba uchovávania (tiež retencia) určuje, ako ďaleko sa môžete vrátiť späť. Holandské NCSC to opisuje takto: retencia udáva, ako ďaleko sa dá vrátiť do histórie zálohy.

Bežným vzorom je preriedenie: denne záloha, ktorú uchovávate niekoľko týždňov, týždenne jedna, ktorú uchovávate niekoľko mesiacov, a mesačne jedna, ktorú uchovávate dlhšie. Takto sa dá vrátiť ďaleko dozadu bez toho, aby ste museli uchovávať stovky úplných kópií.

Otázky na výber doby uchovávania:

• Ako rýchlo zvyčajne zistíte, že niečo nie je v poriadku? Pozrite sa na chyby z minulosti.
• Existujú zákonné povinnosti uchovávania, napríklad pre vašu agendu? Záloha je niečo iné ako archív: archív uchovávate roky na pevnom mieste, záloha sa obmieňa.
• Koľko stojí úložný priestor? Dlhšie uchovávanie stojí viac.

Samostatné prihlásenie pre zálohu

Tretie opatrenie je najlacnejšie a najčastejšie sa naň zabúda. Ak vaša zálohovacia služba, cloudové úložisko aj e-mail fungujú pod rovnakým účtom a tento účet sa dostane pod kontrolu útočníka (lekcia 1.4), získa útočník všetko naraz.

• Pre zálohovaciu službu alebo program používajte vlastný účet s vlastným, jedinečným heslom zo svojho správcu hesiel, a zapnite dvojfaktorové overenie (2FA).
• Tento účet nepoužívajte na bežnú prácu a neprihlasujte sa ním do počítača, z ktorého si čítate poštu a surfujete.
• Ak je to možné, nechajte zálohovací program iba zapisovať na miesto zálohy, nie mazať.
• Určte, kto má prístup, fyzicky (kto má kľúč od skrinky s diskom) aj v softvéri. Holandské NCSC to tiež výslovne spomína.

V praxi: ako to vyzerá

U vzorového poskytovateľa WebOké sa nočné zálohy hostingového balíka ukladajú na samostatné úložné servery v inom dátovom centre, oddelene od servera, na ktorom beží webová stránka. Podľa znalostnej databázy tieto nočné zálohy sami nemôžete vymazať: zostávajú zachované, aby vždy existoval bod obnovy, a po 30 dňoch automaticky zaniknú. Vymazať môžete iba doplnkovú zálohu, ktorú ste vytvorili sami, a na to si panel vyžiada vaše heslo.

Čo si k tomu sami pridáte, aby ste dosiahli pravidlo 3-2-1 a offline kópiu: občas si stiahnite zálohu (zostáva k dispozícii 48 hodín) a uložte ju na disk, ktorý potom odpojíte. Snímka (snapshot) VPS podľa tej istej znalostnej databázy výslovne NIE JE záloha, pretože sa nachádza na rovnakom úložisku ako samotný VPS.

U iných poskytovateľov to môže byť podobné alebo úplne iné. Konkrétne sa opýtajte svojho poskytovateľa: sú zálohy oddelené od môjho účtu, môžem ich ja alebo niekto s mojím heslom vymazať, a ako ďaleko do minulosti siahajú?

Zhrnutie

• Ransomvér zašifruje všetko, k čomu sa dostane, vrátane pripojených záloh, a útočníci zálohy aktívne vyhľadávajú.
• Offline: odpojte zálohovací disk a striedajte disky, so zapnutým šifrovaním.
• Nemenná (immutable, object lock): kópiu nikto nedokáže vymazať, kým neuplynie lehota.
• Verzie a vhodná doba uchovávania určujú, ako ďaleko sa dá vrátiť; zvoľte ju podľa toho, ako rýchlo zvyčajne odhalíte problémy.
• Pre zálohu používajte samostatné, dobre zabezpečené prihlásenie, oddelené od bežného účtu.

Kvíz

Úloha

Úloha D6.2: Vytvorte jednu zálohu odolnú voči ransomvéru. Vyberte si svoje najdôležitejšie údaje (napríklad agendu alebo webovú stránku) a nastavte jednu kópiu mimo dosahu: externý disk, ktorý po zálohovaní odpojíte a uložíte inde, alebo zálohovaciu službu s nemenným úložiskom. Priraďte zálohe vlastné prihlásenie s dvojfaktorovým overením, skontrolujte, ako ďaleko do minulosti sa môžete vrátiť, a poznačte si, kto k nej má prístup. Na záver odpovedzte na reflexné otázky.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to môže fungovať podobne alebo inak. Opýtajte sa svojho poskytovateľa.

• Návod na DirectAdmin 16.2: Zálohovanie a obnovenie: vytvorenie vlastnej zálohy v DirectAdmin
• Návod na Nextcloud 6.2: Obnovenie staršej verzie a pomenovanie verzií
• Návod na Nextcloud 6.3: Ako dlho uchováva Nextcloud verzie a zmazané súbory?
• Snapshoty a zálohy VPS
• WebOké Backups: zobrazenie, obnovenie alebo stiahnutie zálohy
• Holandské NCSC, Ransomvér vysvetlený: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Holandské NCSC, Ako zostaviť stratégiu zálohovania: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (po anglicky): https://www.cisa.gov/stopransomware/ransomware-guide