Gjenoppretting etter løsepengevirus-angrep blir vanskeligere, ikke enklere, og ny forskning fra analyseselskapet Omdia peker på en overraskende grunnleggende årsak: de fleste organisasjoner har fortsatt ikke sikkerhetskopieringslagring som virkelig ikke kan endres eller slettes. Dette gapet undergraver en av de siste forsvarslinjene selskaper stoler på når et angrep lykkes, og det er en påminnelse om at uforanderlige sikkerhetskopier og strategier for beskyttelse mot løsepengevirus bare fungerer hvis uforanderligheten er reell.
Hva Omdias forskning faktisk fant
Omdias funn, rapportert av SecurityBrief Asia, er sentrert rundt en enkel, men bekymringsfull observasjon: de fleste organisasjoner mangler sikkerhetskopieringslagring som er virkelig uforanderlig, noe som betyr data som angripere ikke kan endre, kryptere eller slette når de først er skrevet. Uten denne beskyttelsen blir gjenoppretting etter løsepengevirus-angrep betydelig vanskeligere, fordi angripere som kompromitterer et nettverk ofte også kan nå sikkerhetskopisystemene, og korrumpere eller slette nettopp de kopiene et selskap ville trenge for å gjenopprette driften.
Dette betyr noe fordi sikkerhetskopier har blitt standardgjennopprettingsplanen for de fleste løsepengevirus-ofre. Å betale løsepenger er verken garantert å gjenopprette data eller tilrådelig fra et sikkerhets- eller juridisk ståsted, så en ren, uendret sikkerhetskopi er ofte forskjellen mellom en rask gjenoppretting og et langvarig, kostbart avbrudd. Omdias forskning tyder på at altfor mange organisasjoner opererer uten dette sikkerhetsnettet, selv om de tror de har det.
Hvorfor «uforanderlige» sikkerhetskopier ikke alltid er immune mot løsepengevirus
Begrepet «uforanderlig» brukes løst på tvers av sikkerhetskopierings- og lagringsbransjen, og det er en del av problemet. Ikke alle produkter eller konfigurasjoner som markedsføres som uforanderlige, faktisk forhindrer sletting eller manipulering under alle omstendigheter. Feilkonfigurasjoner, utløpte retensjonspolicyer, kompromitterte administrative legitimasjoner og gap mellom sikkerhetskopierings- og produksjonsmiljøer kan alle skape åpninger som angripere utnytter, selv når uforanderlighetsfunksjoner er teknisk til stede.
For en nærmere titt på hvordan disse gapene oppstår i praksis, inkludert de spesifikke angrepsvektorene som lar løsepengevirus-operatører omgå angivelig urørbare sikkerhetskopier, vår dypdykk-analyse om hvorfor uforanderlige sikkerhetskopier fortsatt blir rammet av løsepengevirus bryter ned de tekniske detaljene. Kortversjonen: uforanderlighet er en kontroll, ikke en garanti, og den må kombineres med riktig konfigurasjon, tilgangsstyring og isolasjon for å fungere som tiltenkt.
Gapet mellom sikkerhetskopi-påstander og reell gjenopprettingsevne
En av de viktigste lærdommene fra Omdias forskning er avstanden mellom hva organisasjoner tror om sin sikkerhetskopi-posisjon og hva som faktisk skjer under en reell gjenopprettingshendelse. Mange selskaper antar at de har uforanderlige sikkerhetskopier bare fordi en leverandørs markedsføring sier det, uten å validere at konfigurasjonen faktisk håndheves riktig eller at gjenoppretting faktisk fungerer fra ende til ende.
Dette er et kjent mønster i sikkerhetsbransjen mer generelt. Kryptering, VPN-er, brannmurer og sikkerhetskopisystemer gir alle reell beskyttelse, men bare når de implementeres riktig og testes regelmessig. En sikkerhetskopi som ikke kan gjenopprettes raskt, eller som viser seg å være tilgjengelig for en angriper med forhøyede legitimasjoner, gir lite mer enn falsk trygghet. Omdias advarsel er i hovedsak at denne falske tryggheten er utbredt, og at den forverrer gjenopprettingsresultatene etter løsepengevirus-angrep på tvers av hele bransjen.
Hva dette betyr for deg
Hvis du administrerer IT-infrastruktur for en virksomhet, er denne forskningen en påminnelse om å faktisk verifisere din sikkerhetskopi-uforanderlighet i stedet for å anta den. Det betyr å sjekke retensjonslås-innstillinger, bekrefte at sikkerhetskopi-administratorer ikke har mulighet til å overstyre uforanderlighetsregler, og teste fullstendige gjenopprettingsscenarier i stedet for bare å bekrefte at sikkerhetskopier fullføres vellykket.
For enkeltpersoner og mindre organisasjoner skalerer lærdommen pent ned: en passordbehandler, en VPN eller sterke krypteringsvaner er verdifulle deler av en bredere sikkerhetsstrategi, men ingen av dem erstatter behovet for en virkelig separat, manipulasjonssikker sikkerhetskopi av viktige data. Løsepengevirus retter seg ikke bare mot produksjonssystemer; det jakter aktivt på sikkerhetskopier, så enhver gjenopprettingsplan som antar at sikkerhetskopier bare vil være der når de trengs, er ufullstendig.
Handlingsorienterte tiltak
Organisasjoner som er seriøse med uforanderlige sikkerhetskopier og beskyttelse mot løsepengevirus bør starte med å revidere eksisterende sikkerhetskopiinfrastruktur for å bekrefte at uforanderlighet faktisk håndheves, ikke bare annonseres. Test gjenopprettingsprosesser regelmessig under realistiske forhold, inkludert scenarier der angripere har kompromittert administrative kontoer. Hold minst én sikkerhetskopikopi isolert fra hovednettverket, enten gjennom luftgap, frakoblet lagring eller et separat skymiljø med strenge tilgangskontroller. Til slutt, gjennomgå hvem som har autoritet til å endre retensjonspolicyer eller slette sikkerkskopidata, siden dette tilgangspunktet ofte er det angripere målretter først.
Omdias forskning er et nyttig sjekkpunkt for enhver organisasjon som har behandlet sikkerhetskopier som et løst problem. Teknologien for å gjøre sikkerhetskopier virkelig uforanderlige eksisterer og fungerer, men bare når den konfigureres, overvåkes og testes med samme rigor som brukes på andre kritiske sikkerhetskontroller.
