Z toho důvodu se většinou docela dobře osvědčili online cloudové služby.
Bacha, cloudová úložiště jako OneDrive, Gdrive, apod. NEJSOU zálohování. Je to synchronizace, a je potřeba se k tomu podle toho chovat. Takže když ti ransomware napadne počítač, jehož složky si synchronizuješ do cloudu, sesynchronizují se ti ty zašifrované soubory, a pokud máš vypnuté verzování (shadow copies), tak máš smolíka pacholíka úplně stejně. A i u těch shadow copies jsi chráněn jen za předpokladu, že ten ransomware je nesmaže (což každý ransomware hodný toho označení udělá).
Před ransomwarem tě ochrání jen snapshoty souborového systému úložiště, ke kterým uživatel a jeho počítač nemá zápisová práva, tzn provádí je účet tzv backup operátora nebo operační systém NASu, do kterého zálohy z počítače neprovádí uživatel se správcovskými právy k NASu.
Z tohoto pohledu je správný způsob takový, jaký používá např ActiveBackup for Business od Synology:
- na počítači máš uživatele, který je backup operator. Pod ním s právy zvýšenými pomocí UAC (protože k instalaci potřebuješ elevated rights) nainstaluješ agenta a ten se bude při startu spouštět v jeho kontextu. Skupina BackupOperators znamená, že má na počítači právo vytvářet stínové kopie a číst všechny soubory.
- na NASu máš uživatele, který má zápis do databáze záloh ActiveBackup (dejme mu login třeba ComputerBackup). Ten má právo zapisovat zálohy, ale už nemá právo je mazat; na to potřebuješ dalšího uživatele, např BackupAdmin.
- na NASu dále zřídíš uživatele s loginem např. Restore, který bude mít právo zálohy číst (nebo toto právo klidně můžeš dát uživateli ComputerBackup)
- na počítači uživatele ComputerBackup zadáš do nastavení připojení k NASu.
- na NASu nastavíš zálohovací úlohy a spustíš pro kontrolu prvotní zálohy, a později příležitostně zkontroluješ, že se zálohy provádějí, a nejlépe jejich obnovením do virtuálního stroje budeš příležitostně kontrolovat jejich validitu.
Pak, až tě napadne ransomware, dojde sice k tomu, že zálohy provedené po útoku už asi taky budou obsahovat zašifrované soubory, ale jelikož uživatel ComputerBackup nemá práva staré zálohy smazat, pořád je budeš mít, a máš jak obnovit stav před napadením. K tomu použiješ ideálně nový disk v počítači, recovery ISO, které si stáhneš na čistém stroji, a login Restore, eventuálně ComputerBackup, pokud jsi mu dal právo zálohy číst.
Jakmile ověříš, že máš zálohu správně obnovenou, nejlépe tu nejčerstvější před napadením, můžeš kompromitované zálohy se soubory útokem zničenými smazat, eventuálně je postupně od nejnovější zkusit ve VM izolovaném od sítě nebo na k tomu určeném počítači, jestli tam není některý soubor který potřebuješ v kopii novější, než je ta v poslední bezpečné záloze. Akorát to chce se ujistit, že si jeho přenesením obnovený stroj znova nenakazíš.
46 Odpovědí
19547 Zhlédnutí