خط الدفاع الأخير ضد برامج الفدية: النسخ الاحتياطية غير القابلة للتعديل

تغيّر الأسلوب التقليدي لهجمات الفدية. فبعد الاختراق، لم يعد المهاجمون يشفّرون الملفات فورًا، بل يبحثون أولًا عن بنية النسخ الاحتياطي، فيحذفون النسخ أو يشفّرونها، ثم ينتقلون بعد ذلك إلى بيئة الإنتاج. والشركة التي تُترك بلا نسخ احتياطية تجد نفسها بين خيارين: دفع الفدية أو إعادة بناء قد تستغرق أشهرًا. لذا فإن عبارة «لدينا نسخ احتياطية» لا تكفي؛ السؤال الحقيقي هو: هل ستصمد هذه النسخ أمام المهاجم؟

ما النسخة الاحتياطية غير القابلة للتعديل؟

النسخة الاحتياطية غير القابلة للتعديل لا يمكن حذفها أو تشفيرها أو الكتابة فوقها من قِبل أي أحد حتى تنتهي مدة الاحتفاظ بها. و«أي أحد» يشمل حسابات المسؤولين. فحتى لو استولى المهاجم على الحساب الأعلى صلاحية، لن يتمكن من المساس بهذه النسخ. ويُعرف هذا النهج أيضًا باسم WORM (الكتابة مرة واحدة والقراءة مرات عديدة).

طرق تحقيق عدم القابلية للتعديل

• قفل الكائنات (S3 Object Lock): في التخزين المتوافق مع S3، تُحدَّد لكل كائن مدة احتفاظ. في وضع «compliance» لا يستطيع أحد حذف الكائن قبل انتهاء المدة، أما في وضع «governance» فيمكن ذلك لحسابات ذات صلاحيات خاصة. ولسيناريوهات برامج الفدية، يُعدّ وضع compliance الخيار الصحيح.
• مستودع Linux مُحصَّن: خادم مستودع مخصص يستخدم ميزة عدم القابلية للتعديل في برنامج النسخ الاحتياطي، مع تعطيل SSH واستخدام بيانات اعتماد لمرة واحدة (ومن الأمثلة الشائعة Veeam Hardened Repository).
• نسخة غير متصلة (air gap): أشرطة أو وسائط مفصولة فعليًا عن الشبكة. بطيئة، لكنها بعيدة عن متناول أي مهاجم داخل الشبكة.
• نسخ احتياطي مُدار خارج الموقع: نسخة من نسخك الاحتياطية يحتفظ بها مزوّد بشكل غير قابل للتعديل، بمعزل عن بنية الهويات لديك.

قاعدة 3-2-1-1-0

جرى توسيع قاعدة 3-2-1 التقليدية بعنصرين إضافيين لتواكب عصر برامج الفدية:

• 3 نسخ من البيانات (بما فيها بيئة الإنتاج)
• 2 وسيطا تخزين مختلفان
• 1 نسخة في موقع مختلف
• 1 نسخة غير قابلة للتعديل أو غير متصلة
• 0 أخطاء: نسخ احتياطية جرى التحقق من استعادتها

فصل الهويات: الخطوة الأكثر إغفالًا

إذا كان خادم النسخ الاحتياطي منضمًا إلى Active Directory الخاص بالشركة، فإن المهاجم الذي يستولي على حساب مسؤول النطاق يدخل إلى وحدة تحكم النسخ الاحتياطي أيضًا. لذلك:

• أبقِ بنية النسخ الاحتياطي خارج النطاق، واستخدم حسابات محلية منفصلة.
• افرض المصادقة متعددة العوامل للوصول إلى وحدة تحكم النسخ الاحتياطي والمستودع.
• ضع شبكة النسخ الاحتياطي في مقطع منفصل، واجعل وحدة التحكم غير قابلة للوصول من الإنترنت.
• اشترط موافقة ثانية (قاعدة العينين الأربع) لإجراءات مثل حذف النسخ الاحتياطية أو تقصير مدة الاحتفاظ.

اختر مدة الاحتفاظ المناسبة

كثيرًا ما يمكث المهاجمون في البيئة أيامًا بل أسابيع قبل التشفير. فإذا كانت مدة الاحتفاظ غير القابل للتعديل أقصر من ذلك، فقد لا تجد نقطة استعادة نظيفة. ونقطة انطلاق عملية: 30 يومًا على الأقل من الاحتفاظ غير القابل للتعديل للنسخ اليومية، إضافة إلى نسخ أسبوعية وشهرية. وكلما طالت مدة الاحتفاظ ارتفعت تكلفة التخزين؛ فحقّق التوازن بتحديد مدد أطول للأنظمة الحرجة وأقصر لبقية الأنظمة.

لا نسخ احتياطي بلا اختبار استعادة

• أجرِ اختبار استعادة كاملًا للأنظمة الحرجة مرة كل ربع سنة على الأقل، وقِس الوقت الذي يستغرقه.
• افحص النسخ الاحتياطية بحثًا عن البرمجيات الخبيثة قبل الاستعادة؛ فلا تريد أن تستعيد بابًا خلفيًا زُرع قبل التشفير.
• وثّق ترتيب استعادة الأنظمة (الهويات وDNS أولًا، ثم قواعد البيانات، ثم التطبيقات).

أخطاء شائعة

• الاحتفاظ بالنسخ الاحتياطية على نظام التخزين نفسه أو مجلد الشبكة المشترك نفسه الذي تستخدمه بيئة الإنتاج
• اعتبار اللقطات (snapshots) نسخًا احتياطية
• عدم تحديث برنامج النسخ الاحتياطي ونظام تشغيل المستودع
• عدم متابعة أحد لتنبيهات فشل النسخ الاحتياطي
• غياب خطة واضحة تحدد من يفعل ماذا أثناء الهجوم

خدمة النسخ الاحتياطي كخدمة (BaaS) من CloudRUX

مع CloudRUX BaaS يمكنك الاحتفاظ بنسخة من نسخك الاحتياطية في مراكز بيانات داخل تركيا، بمعزل عن بيئتك وبنية الهويات لديك. ويمكن لمهندسينا مساعدتك في تصميم مدة الاحتفاظ غير القابل للتعديل واختبارات الاستعادة وخطة التعافي من برامج الفدية. تواصل معنا على info@cloudrux.com للحصول على تقييم.