Oporavak od ransomwarea postaje sve teži, a ne lakši, a novo istraživanje analitičke tvrtke Omdia ukazuje na iznenađujuće osnovni razlog: većina organizacija i dalje nema pohranu sigurnosnih kopija koja se istinski ne može izmijeniti ili izbrisati. Taj nedostatak potkopava jednu od posljednjih linija obrane na koju se tvrtke oslanjaju kada napad uspije, te podsjeća da strategije zaštite od ransomwarea pomoću nepromjenjivih sigurnosnih kopija djeluju samo ako je nepromjenjivost stvarna.
Što je Omdijino istraživanje zapravo otkrilo
Omdijini nalazi, koje je prenio SecurityBrief Asia, usredotočeni su na jednostavno, ali zabrinjavajuće zapažanje: većina organizacija nema pohranu sigurnosnih kopija koja je istinski nepromjenjiva, što znači podatke koje napadači ne mogu izmijeniti, šifrirati ili izbrisati nakon što su zapisani. Bez te zaštite, oporavak od ransomwarea postaje znatno teži jer napadači koji ugroze mrežu često mogu doprijeti i do sustava sigurnosnih kopija, oštetivši ili brišući upravo one kopije koje bi tvrtka trebala za ponovnu uspostavu rada.
To je važno jer su sigurnosne kopije postale zadani plan oporavka za većinu žrtava ransomwarea. Plaćanje otkupnine niti jamči povrat podataka niti je preporučljivo sa sigurnosnog ili pravnog stajališta, stoga je čista, neizmijenjena sigurnosna kopija često razlika između brzog oporavka i dugotrajnog, skupog prekida rada. Omdijino istraživanje sugerira da previše organizacija djeluje bez te sigurnosne mreže, čak i ako vjeruju da je imaju.
Zašto 'nepromjenjive' sigurnosne kopije nisu uvijek imune na ransomware
Pojam "nepromjenjivo" koristi se olako u industriji sigurnosnih kopija i pohrane, a to je dio problema. Ne sprječava svaki proizvod ili konfiguracija koja se prodaje kao nepromjenjiva zapravo brisanje ili neovlašteno mijenjanje u svim okolnostima. Pogrešne konfiguracije, istekli pravilnici o zadržavanju podataka, kompromitirani administrativni vjerodajni podaci te praznine između okruženja sigurnosnih kopija i proizvodnog okruženja mogu stvoriti otvore koje napadači iskorištavaju, čak i kada su značajke nepromjenjivosti tehnički prisutne.
Za detaljniji pregled kako do tih praznina dolazi u praksi, uključujući specifične vektore napada koji omogućuju operaterima ransomwarea da zaobiđu navodno nedodirljive sigurnosne kopije, naša detaljna analiza o tome zašto nepromjenjive sigurnosne kopije i dalje bivaju pogođene ransomwareom razlaže tehničke pojedinosti. Kratka verzija: nepromjenjivost je kontrola, a ne jamstvo, te ju je potrebno kombinirati s pravilnom konfiguracijom, upravljanjem pristupom i izolacijom kako bi funkcionirala kako je zamišljeno.
Razlika između tvrdnji o sigurnosnim kopijama i stvarne mogućnosti oporavka
Jedan od važnijih zaključaka Omdijinog istraživanja jest razmak između onoga što organizacije vjeruju o svojem stanju sigurnosnih kopija i onoga što se zapravo događa tijekom stvarnog događaja oporavka. Mnoge tvrtke pretpostavljaju da imaju nepromjenjive sigurnosne kopije jednostavno zato što to kaže marketinški materijal dobavljača, bez provjere je li konfiguracija ispravno provedena ili oporavak zapravo funkcionira od početka do kraja.
To je poznati obrazac u sigurnosti općenito. Enkripcija, VPN-ovi, vatrozidi i sustavi sigurnosnih kopija pružaju stvarnu zaštitu, ali samo kada su ispravno implementirani i redovito testirani. Sigurnosna kopija koja se ne može brzo vratiti ili za koju se ispostavi da joj napadač s povišenim vjerodajnicama može pristupiti, nudi malo više od lažnog samopouzdanja. Omdijino upozorenje u biti je da je to lažno samopouzdanje rašireno te da pogoršava ishode oporavka od ransomwarea u cijelosti.
Što to znači za vas
Ako upravljate IT infrastrukturom za tvrtku, ovo istraživanje poticaj je da zapravo provjerite nepromjenjivost svojih sigurnosnih kopija umjesto da to pretpostavljate. To znači provjeru postavki zaključavanja zadržavanja podataka, potvrdu da administratori sigurnosnih kopija nemaju mogućnost zaobilaženja pravila nepromjenjivosti te testiranje cjelovitih scenarija oporavka, a ne samo potvrdu da se sigurnosne kopije uspješno izrađuju.
Za pojedince i manje organizacije, pouka se jednostavno prenosi: upravitelj lozinki, VPN ili snažne navike korištenja enkripcije vrijedni su dijelovi šire sigurnosne strategije, ali nijedan od njih ne zamjenjuje potrebu za istinski odvojenom, otpornom na neovlašteno mijenjanje sigurnosnom kopijom važnih podataka. Ransomware ne cilja samo proizvodne sustave; aktivno lovi sigurnosne kopije, stoga je svaki plan oporavka koji pretpostavlja da će sigurnosne kopije jednostavno biti tu kada zatrebaju nepotpun.
Praktični zaključci
Organizacije koje ozbiljno shvaćaju zaštitu od ransomwarea pomoću nepromjenjivih sigurnosnih kopija trebale bi započeti revizijom postojeće infrastrukture sigurnosnih kopija kako bi potvrdile da je nepromjenjivost stvarno provedena, a ne samo reklamirana. Redovito testirajte procese oporavka u realističnim uvjetima, uključujući scenarije u kojima su napadači kompromitirali administrativne račune. Držite barem jednu kopiju sigurnosnih kopija izoliranu od glavne mreže, bilo putem zračnog jaza, izvanmrežne pohrane ili zasebnog oblaka sa strogim kontrolama pristupa. Na kraju, preispitajte tko ima ovlast mijenjati pravilnike o zadržavanju podataka ili brisati podatke sigurnosnih kopija, jer je ta točka pristupa često ona koju napadači prvo ciljaju.
Omdijino istraživanje korisna je kontrolna točka za svaku organizaciju koja je tretirala sigurnosne kopije kao riješen problem. Tehnologija za istinsku nepromjenjivost sigurnosnih kopija postoji i funkcionira, ali samo kada je konfigurirana, nadzirana i testirana s istom strogošću koja se primjenjuje na druge kritične sigurnosne kontrole.
