مهاجمان اکنون پیش از هر چیز به سراغ نسخه‌های پشتیبان می‌روند. چگونه با قاعده‌ی 3-2-1-1-0، ذخیره‌سازی تغییرناپذیر، تفکیک مدیریت هویت و آزمون منظم بازیابی، معماری پشتیبان‌گیری‌ای بسازید که واقعاً در برابر باج‌افزار دوام بیاورد.
الگوی کلاسیک حملات باج‌افزاری تغییر کرده است. مهاجمان پس از نفوذ، دیگر فوراً فایل‌ها را رمزگذاری نمی‌کنند. آن‌ها ابتدا زیرساخت پشتیبان‌گیری را پیدا می‌کنند، نسخه‌های پشتیبان را حذف یا رمزگذاری می‌کنند و تنها پس از آن به سراغ محیط عملیاتی می‌روند. شرکتی که بدون نسخه‌ی پشتیبان بماند، باید میان پرداخت باج و بازسازی‌ای که ممکن است ماه‌ها طول بکشد یکی را انتخاب کند. بنابراین «ما نسخه‌ی پشتیبان داریم» کافی نیست؛ پرسش این است که آیا این نسخه‌ها از دست مهاجم جان سالم به در می‌برند یا نه.
نسخه‌ی پشتیبان تغییرناپذیر چیست؟
نسخه‌ی پشتیبان تغییرناپذیر تا پایان دوره‌ی نگهداری‌اش توسط هیچ‌کس قابل حذف، رمزگذاری یا بازنویسی نیست. «هیچ‌کس» شامل حساب‌های مدیر سیستم نیز می‌شود. حتی اگر مهاجم کنترل پرامتیازترین حساب را به دست بگیرد، نمی‌تواند به این نسخه‌ها دست بزند. این رویکرد با نام WORM (یک بار نوشتن، چند بار خواندن) نیز شناخته می‌شود.
روش‌های دستیابی به تغییرناپذیری
- قفل شیء (S3 Object Lock): در ذخیره‌سازهای سازگار با S3، برای هر شیء یک دوره‌ی نگهداری تعیین می‌شود. در حالت «compliance» هیچ‌کس نمی‌تواند پیش از پایان دوره شیء را حذف کند؛ در حالت «governance» حساب‌هایی با دسترسی ویژه می‌توانند. برای سناریوهای باج‌افزاری، حالت compliance انتخاب درست است.
- مخزن لینوکسی مقاوم‌سازی‌شده: یک سرور مخزن اختصاصی که از قابلیت تغییرناپذیری نرم‌افزار پشتیبان‌گیری استفاده می‌کند، با SSH غیرفعال و اعتبارنامه‌های یک‌بارمصرف (Veeam Hardened Repository نمونه‌ای رایج است).
- نسخه‌ی آفلاین (air gap): نوار یا رسانه‌ای که به‌طور فیزیکی از شبکه جدا شده است. کند است، اما از دسترس مهاجمی که در شبکه حضور دارد خارج است.
- پشتیبان‌گیری مدیریت‌شده‌ی خارج از محل: نسخه‌ای از پشتیبان‌های شما که یک ارائه‌دهنده به‌صورت تغییرناپذیر و مستقل از زیرساخت هویتی خودتان نگه می‌دارد.
قاعده‌ی 3-2-1-1-0
قاعده‌ی کلاسیک 3-2-1 برای دوران باج‌افزار با دو مورد دیگر گسترش یافته است:
- 3 نسخه از داده‌ها (شامل نسخه‌ی عملیاتی)
- 2 رسانه‌ی ذخیره‌سازی متفاوت
- 1 نسخه در مکانی دیگر
- 1 نسخه‌ی تغییرناپذیر یا آفلاین
- 0 خطا: نسخه‌های پشتیبانی که بازیابی‌شان تأیید شده است
تفکیک هویت: نادیده‌گرفته‌شده‌ترین گام
اگر سرور پشتیبان‌گیری عضو Active Directory شرکت باشد، مهاجمی که کنترل یک حساب domain admin را به دست بگیرد وارد کنسول پشتیبان‌گیری نیز می‌شود. بنابراین:
- زیرساخت پشتیبان‌گیری را بیرون از دامنه نگه دارید؛ از حساب‌های محلی جداگانه استفاده کنید.
- احراز هویت چندعاملی را برای دسترسی به کنسول پشتیبان‌گیری و مخزن الزامی کنید.
- شبکه‌ی پشتیبان‌گیری را در یک بخش جداگانه قرار دهید؛ کنسول را از اینترنت غیرقابل دسترس کنید.
- برای اقداماتی مانند حذف نسخه‌های پشتیبان یا کوتاه‌کردن دوره‌ی نگهداری، تأیید دوم (قاعده‌ی چهار چشم) را الزامی کنید.
دوره‌ی نگهداری مناسب را انتخاب کنید
مهاجمان اغلب روزها یا حتی هفته‌ها پیش از رمزگذاری در محیط حضور دارند. اگر دوره‌ی نگهداری تغییرناپذیر شما کوتاه‌تر از این باشد، ممکن است نقطه‌ی بازیابی سالمی پیدا نکنید. یک نقطه‌ی شروع عملی: دست‌کم 30 روز نگهداری تغییرناپذیر برای پشتیبان‌های روزانه، به‌علاوه‌ی نسخه‌های هفتگی و ماهانه. نگهداری طولانی‌تر یعنی هزینه‌ی ذخیره‌سازی بیشتر؛ با تعیین دوره‌های طولانی‌تر برای سامانه‌های حیاتی و دوره‌های کوتاه‌تر برای بقیه، تعادل برقرار کنید.
بدون آزمون بازیابی، پشتیبانی وجود ندارد
- برای سامانه‌های حیاتی دست‌کم هر سه ماه یک بار آزمون بازیابی کامل انجام دهید و مدت آن را اندازه بگیرید.
- پیش از بازیابی، نسخه‌های پشتیبان را از نظر بدافزار اسکن کنید؛ نمی‌خواهید دری پشتی را که پیش از رمزگذاری کار گذاشته شده بازیابی کنید.
- مستند کنید که کدام سامانه به چه ترتیبی بازیابی می‌شود (ابتدا هویت و DNS، سپس پایگاه‌های داده، سپس برنامه‌ها).
اشتباهات رایج
- نگهداری نسخه‌های پشتیبان روی همان سامانه‌ی ذخیره‌سازی یا اشتراک شبکه‌ای محیط عملیاتی
- اسنپ‌شات را نسخه‌ی پشتیبان دانستن
- به‌روزرسانی‌نکردن نرم‌افزار پشتیبان‌گیری و سیستم‌عامل مخزن
- پیگیری‌نشدن هشدارهای ناموفق‌بودن پشتیبان‌گیری توسط هیچ‌کس
- نبود برنامه‌ای روشن درباره‌ی اینکه چه کسی در هنگام حمله چه کاری انجام می‌دهد
پشتیبان‌گیری به‌عنوان سرویس (BaaS) CloudRUX
با BaaS CloudRUX می‌توانید نسخه‌ای از پشتیبان‌های خود را در مراکز داده‌ی واقع در ترکیه و مستقل از محیط و زیرساخت هویتی خودتان نگه دارید. مهندسان ما می‌توانند در طراحی دوره‌ی نگهداری تغییرناپذیر، آزمون‌های بازیابی و برنامه‌ی بازیابی از باج‌افزار به شما کمک کنند. برای ارزیابی با ما از طریق info@cloudrux.com تماس بگیرید.