Екипите за възстановяване на данни са изправени пред по-трудно изпитание, според компанията за защита на данни Index Engines. Компанията твърди, че новият ransomware често поврежда файлове, без да ги криптира напълно. Това звучи като малка техническа разлика, но променя начина, по който работи възстановяването. За всеки, който разчита на резервни копия, ransomware data corruption backups вече е комбинация, която си струва да бъде разбрана.

Оригиналният доклад е кратък, затова тази статия се придържа към това, което каза Index Engines, и добавя общ контекст за това как работят увреждането на файлове и практиките за резервни копия. Когато обясняваме механизми, ние описваме общи технически съображения, а не твърдения от доклада.

Защо ransomware поврежда файлове, вместо да ги криптира

Докладът посочва тенденцията, но в обобщението, с което разполагаме, не се задълбочава в мотивите зад нея. Някои общи точки помагат да се обясни защо нападателите може да предпочитат повредата пред пълното криптиране.

Пълното криптиране на всеки файл отнема време и изчислителни ресурси. Увреждането само на части от файл или презаписването на данни по начин, който ги прави неизползваеми, може да бъде по-бързо. Може също да бъде по-трудно за забелязване. Много защити са настроени да търсят познатия модел на масово криптиране, като например файлове, които биват преименувани, или появата на бележка за откуп. Повреда, която изглежда по-скоро като обикновена файлова грешка, може първоначално да привлече по-малко внимание.

Има и практическа последица за жертвите. Ако файловете са криптирани, ключ за декриптиране понякога може да ги възстанови. Ако файловете са повредени, може да няма какво да се декриптира. Единственият надежден път обратно е чисто копие.

Какво означава частичната повреда за възстановяването на данни

Index Engines твърди, че в резултат на това екипите за възстановяване са изправени пред по-трудна задача. Причината е ясна: обичайните предположения за възстановяване се разпадат.

  • Файловете може да изглеждат налични, но да са неизползваеми. Документът може да съществува, да показва нормален размер и все пак да не се отваря.
  • Повредата може да се разпространи в резервните копия. Ако софтуерът за резервни копия копира повредени файлове по график, добрите версии могат да бъдат презаписани от лоши с течение на времето.
  • Обхватът е по-труден за измерване. При пълно криптиране е ясно какво е засегнато. При частична повреда екипите може да не знаят кои файлове са повредени и кои са непокътнати, без да проверят всеки един.

Последната точка е най-важна. Едно резервно копие е полезно само ако знаете коя точка за възстановяване е чиста. Без това знание възстановяването може да се превърне в бавни проби и грешки.

Как да защитите резервните копия от атаки с повреда

Целта е да поддържате поне едно чисто, недокоснато копие на вашите данни, до което нападателят не може да достигне или да го промени. Няколко навика помагат на отделни лица и малки организации да стигнат дотам.

Поддържайте версионирани резервни копия. Версионирането съхранява множество исторически копия на даден файл, а не само последното. Ако днешната версия е повредена, вчерашната или от миналата седмица може все още да е наред. Задайте период на съхранение, достатъчно дълъг, така че бавната, тиха повреда да не изключи добрите ви копия, преди да я забележите.

Поддържайте офлайн или изключено копие. Твърд диск за резервни копия, който е включен през цялото време, може да бъде достигнат от всичко, което достигне до компютъра ви. Редовното сменяне на диск, който е изключен след всяко резервно копие, ограничава тази експозиция.

Използвайте неизменяемо хранилище, където е възможно. Неизменяемите резервни копия не могат да бъдат променяни или изтривани за определен период, дори от администраторски акаунт. Това ги прави устойчиви както на криптиране, така и на повреда. Нашето обяснение за неизменяемите резервни копия като последна линия на защита срещу ransomware обхваща как работи това и защо нападателите сега насочват директно към системите за възстановяване.

Разделете своите идентификационни данни. Системите за резервни копия не трябва да споделят същия вход като ежедневните акаунти. Ако нападател поеме контрол над акаунт за ежедневна употреба, той не трябва автоматично да получава достъп до резервните ви копия.

Тествайте възстановяването, не само резервните копия. Задача за резервно копие, която отчита успех, ви казва само че данните са копирани. Периодично възстановявайте извадка от файлове и ги отваряйте. Това е най-простият начин да хванете тиха повреда, преди да се нуждаете от данните.

Ранни предупредителни знаци за неочаквано увреждане на файлове

Тъй като повредата може да бъде по-тиха от криптирането, ранното откриване е от значение. Следете за признаци като:

  • Файлове, които изведнъж не се отварят или показват грешки, особено няколко наведнъж
  • Документи, снимки или бази данни, които се отварят, но съдържат объркано или липсващо съдържание
  • Необясними промени в размерите на файловете или датите на модификация в много файлове
  • Задачи за резервно копие, които отнемат забележимо повече или по-малко време от обичайното, или които започват да отчитат предупреждения
  • Необичайна активност на диска или забавяния, когато никой не използва системата интензивно

Организациите могат да добавят мониторинг, който сигнализира при голям брой файлове, променящи се за кратко време. Отделните лица могат да получат голяма част от ползата, като проверяват на случаен принцип важни папки и четат известията на софтуера за резервни копия, вместо да ги пренебрегват.

Ако подозирате повреда, изключете засегнатото устройство от мрежата и спрете задачите за резервно копие, преди те да презапишат добрите версии с лоши. След това идентифицирайте последната известна чиста точка за възстановяване.

Какво означава това за вас

Докладът на Index Engines е напомняне, че планирането на възстановяване не може да предполага, че ransomware винаги ще се обяви с бележка за откуп и заключени файлове. Ако повредата е частична и тиха, качеството на резервните ви копия определя колко можете да възстановите.

За домашните потребители това означава да имат повече от едно копие на това, което е важно, като поне едно се съхранява офлайн. За малките организации това означава версионирани и неизменяеми копия, отделни идентификационни данни за системите за резервни копия и редовни тестове за възстановяване. Нищо от това не изисква голям бюджет, но изисква внимание, преди нещо да се обърка.

Изводи: прегледайте настройката си за резервни копия тази седмица

  • Потвърдете, че резервните ви копия пазят множество версии, а не само последното копие.
  • Добавете офлайн или изключено копие на най-важните си данни.
  • Обмислете неизменяемо хранилище за критичните резервни копия.
  • Възстановете няколко файла от резервно копие и потвърдете, че се отварят правилно.
  • Обръщайте внимание на предупрежденията за резервни копия и неочакваните файлови грешки.

Ransomware data corruption backups е проблем, за който можете да се подготвите с няколко целенасочени стъпки. Отделете време тази седмица, за да проверите настройката си, и прочетете нашето ръководство за неизменяеми резервни копия за по-задълбочен поглед върху защитата на системите, на които разчитате, за да се възстановите.