Атаките с рансъмуер вече надхвърлят простото криптиране на файлове на отделна машина. Съвременните атакуващи първо се насочват към системите за резервни копия, знаейки, че ако успеят да изтрият или компрометират възстановителните копия на организацията, жертвите нямат голям избор, освен да платят. Точно тук технологията за непроменими резервни копия се превърна в критична и все по-често обсъждана защитна мярка.

Непроменимото резервно копие е копие на данни, записано във формат WORM (Write Once, Read Many – запиши веднъж, чети многократно). След като данните бъдат записани, те не могат да бъдат променяни, криптирани или изтривани в рамките на определен период на съхранение, независимо кой притежава административните идентификационни данни. Дори ако атакуващ компрометира данните за вход на мрежов администратор или вътрешен човек се опита да манипулира записи, самото резервно копие остава незасегнато, докато не изтече прозорецът му на съхранение. Тази разлика – защита, която удържа дори срещу човек с пълн достъп до системата – е именно това, което отличава непроменимите резервни копия от традиционните подходи за архивиране.

Защо традиционните резервни копия вече не са достатъчни

В продължение на години организациите разчитаха на стандартни рутинни процедури за архивиране: планирани моментни снимки, изнесени копия извън обекта и контроли на достъпа, управлявани чрез същите системи за идентификационни данни, използвани за всичко останало. Проблемът е, че групите за рансъмуер се адаптираха специално, за да се насочат към тази слабост. Ако атакуващ получи достъп на ниво администратор, той често може да достигне до хранилищата за резервни копия също толкова лесно, колкото и до продукционните системи, изтривайки или криптирайки точките за възстановяване, преди да разгърне основния полезен товар.

Тази промяна в поведението на атакуващите отразява по-широка тенденция, засегната в скорошен репортаж за рансъмуер с изкуствен интелект атакува Hugging Face, където изследователите откриха, че автоматизирани инструменти и големи езикови модели все по-често се използват за мащабиране и усъвършенстване на атаките, вместо просто да изпълняват статичен зловреден софтуер. Тъй като атакуващите стават все по-изобретателни в откриването и експлоатирането на слаби места, защитите, които разчитат единствено на контрол на достъпа чрез идентификационни данни, стават по-малко надеждни. Непроменимостта затваря тази празнина, като напълно премахва човешкия фактор или фактора на идентификационните данни от уравнението през периода на съхранение.

Какво всъщност защитават непроменимите резервни копия

Практическата стойност на едно непроменимо резервно копие е ясна: то гарантира, че съществува поне едно чисто, непроменено копие на критичните данни, независимо какво се случва с останалата част от мрежата. Това има значение за няколко групи заинтересовани страни, не само за ИТ администраторите.

За бизнеси, обработващи клиентски досиета, финансови данни или здравна информация, непроменимите резервни копия могат да направят разликата между овладян инцидент и катастрофална загуба на данни, която води до регулаторни санкции и уведомления за нарушения. За физическите лица, чиято лична информация се съхранява от тези организации, стратегиите за непроменими резервни копия действат като невидим, но значим слой на защита. Когато една компания може бързо да възстанови чисти данни след атака, това намалява вероятността откраднатата или компрометирана лична информация да остане трайно загубена, изтекла или използвана като лост при опити за изнудване.

Самият период на съхранение е ключово съображение при проектирането. Организациите трябва да зададат прозорец, достатъчно дълъг, за да открият проникване (което понякога може да отнеме седмици), преди непроменимото копие иначе да бъде презаписано от по-нов цикъл на архивиране. Ако това се сбърка, една компания може да открие атаката едва след като чистите ѝ резервни копия вече са излезли от защита.

Последици за поверителността за обикновените потребители

Въпреки че непроменимите резервни копия са предимно тема от корпоративните ИТ среди, ефектът на вълните достига и до обикновените потребители. Когато болница, банка или доставчик на онлайн услуги пострада от атака с рансъмуер, последиците често включват изложени лични данни, продължителни прекъсвания на услугите или трайна загуба на записи. Добре внедрената стратегия за непроменими резервни копия намалява лоста, който атакуващите имат, защото заплахата „платете или изтриваме данните ви завинаги“ губи силата си, когато чисто, недостижимо копие вече съществува на друго място.

Това не означава, че непроменимите резервни копия предотвратяват пробиви в данните или първоначалната кражба на информация. Ако атакуващите извлекат данни преди да криптират каквото и да било, непроменимостта не прави нищо, за да спре тези данни да бъдат изтекли или продадени. Тя защитава само срещу унищожаването или компрометирането на данните от страна на защитаващия се. Потребителите трябва да разбират тази разлика: непроменимите резервни копия са инструмент за устойчивост, а не инструмент за предотвратяване на пробиви в данните.

Какво означава това за вас

Ако сте потребител, вероятно няма да взаимодействате пряко със системи за непроменими резервни копия, но се възползвате от тях непряко всеки път, когато компания, на която сте поверили данните си, се възстанови бързо и чисто от атака, вместо да загуби всичко или да претърпи продължителен престой. Ако управлявате ИТ инфраструктура за бизнес, непроменимите резервни копия трябва да се третират като основно изискване, а не като допълнително надграждане. Атакуващите активно се насочват към инфраструктурата за резервни копия като основна цел, а не като закъсняла мисъл.

Когато оценявате доставчик на резервни копия или вътрешна система, задавайте конкретни въпроси: Какъв период на съхранение се използва за непроменимите копия? Налага ли се непроменимостта на ниво съхранение, независимо от административните идентификационни данни? И колко бързо може да бъде възстановено чисто копие в случай на реален инцидент?

Основни изводи

Защитата срещу рансъмуер се измести от чисто предотвратяване на проникване към осигуряване, че възстановяването винаги е възможно, и непроменимите резервни копия са в центъра на тази промяна. За организациите, внедряването на WORM-базирано хранилище с внимателно обмислен период на съхранение е една от най-ефективните стъпки към истинска устойчивост срещу рансъмуер. За отделните потребители, разбирането, че тези задкулисни защити съществуват, и задаването на въпроса към компаниите, на които имате доверие, дали разполагат с такива, е разумен и все по-важен въпрос. Тъй като тактиките на рансъмуера продължават да се развиват, организациите, които ще оцелеят до голяма степен непокътнати, ще бъдат тези, които са приели, че пробивът е неизбежен, и са изградили плана си за възстановяване около данни, които просто не могат да бъдат унищожени.