Odzyskiwanie po ataku ransomware staje się coraz trudniejsze, a nie łatwiejsze, a nowe badania firmy analitycznej Omdia wskazują na zaskakująco podstawowy powód: większość organizacji nadal nie posiada pamięci masowej na kopie zapasowe, której naprawdę nie można zmienić ani usunąć. Ta luka osłabia jedną z ostatnich linii obrony, na której polegają firmy, gdy atak się powiedzie, i przypomina, że strategie ochrony przed ransomware oparte na niezmiennych kopiach zapasowych działają tylko wtedy, gdy niezmienność jest prawdziwa.

Co faktycznie wykazały badania Omdii

Ustalenia Omdii, opisane przez SecurityBrief Asia, koncentrują się na prostym, ale niepokojącym spostrzeżeniu: większość organizacji nie posiada pamięci masowej na kopie zapasowe, która jest prawdziwie niezmienna, co oznacza dane, których atakujący nie mogą modyfikować, szyfrować ani usuwać po ich zapisaniu. Bez tej ochrony odzyskiwanie po ransomware staje się znacznie trudniejsze, ponieważ atakujący, którzy naruszą sieć, często mogą dotrzeć również do systemów kopii zapasowych, uszkadzając lub wymazując dokładnie te kopie, których firma potrzebowałaby do przywrócenia działania.

Ma to znaczenie, ponieważ kopie zapasowe stały się domyślnym planem odzyskiwania dla większości ofiar ransomware. Zapłacenie okupu ani nie gwarantuje przywrócenia danych, ani nie jest zalecane z bezpieczeństwa czy prawnego punktu widzenia, więc czysta, niezmieniona kopia zapasowa jest często różnicą między szybkim odzyskaniem a długotrwałą, kosztowną awarią. Badania Omdii sugerują, że zbyt wiele organizacji działa bez tej siatki bezpieczeństwa, nawet jeśli uważa, że ją posiada.

Dlaczego „niezmienne” kopie zapasowe nie zawsze są odporne na ransomware

Termin „niezmienny” jest używany swobodnie w całej branży kopii zapasowych i pamięci masowych, i to jest część problemu. Nie każdy produkt lub konfiguracja sprzedawana jako niezmienna faktycznie zapobiega usunięciu lub manipulacji we wszystkich okolicznościach. Błędy konfiguracji, wygasłe zasady przechowywania, naruszone poświadczenia administracyjne oraz luki między środowiskami kopii zapasowych a produkcyjnymi mogą tworzyć otwory, które wykorzystują atakujący, nawet jeśli funkcje niezmienności są technicznie obecne.

Aby dokładniej przyjrzeć się, jak te luki powstają w praktyce, w tym konkretnym wektorom ataków, które pozwalają operatorom ransomware ominąć rzekomo nietykalne kopie zapasowe, nasz dogłębny artykuł o tym, dlaczego niezmienne kopie zapasowe nadal padają ofiarą ransomware szczegółowo omawia kwestie techniczne. W skrócie: niezmienność to kontrola, a nie gwarancja, i musi być połączona z odpowiednią konfiguracją, zarządzaniem dostępem i izolacją, aby działać zgodnie z przeznaczeniem.

Różnica między deklaracjami dotyczącymi kopii zapasowych a rzeczywistymi możliwościami odzyskiwania

Jednym z ważniejszych wniosków z badań Omdii jest dystans między tym, co organizacje sądzą o swojej kondycji kopii zapasowych, a tym, co faktycznie dzieje się podczas prawdziwego zdarzenia odzyskiwania. Wiele firm zakłada, że ma niezmienne kopie zapasowe tylko dlatego, że tak mówi marketing dostawcy, bez weryfikacji, czy konfiguracja jest prawidłowo egzekwowana i czy odzyskiwanie faktycznie działa od początku do końca.

To znajomy wzorzec w szerszym kontekście bezpieczeństwa. Szyfrowanie, VPN-y, zapory ogniowe i systemy kopii zapasowych zapewniają realną ochronę, ale tylko wtedy, gdy są poprawnie wdrożone i regularnie testowane. Kopia zapasowa, której nie można szybko przywrócić lub która okazuje się osiągalna dla atakującego z podwyższonymi poświadczeniami, oferuje niewiele więcej niż fałszywe poczucie bezpieczeństwa. Ostrzeżenie Omdii mówi zasadniczo, że to fałszywe poczucie bezpieczeństwa jest powszechne i pogarsza wyniki odzyskiwania po ransomware we wszystkich obszarach.

Co to oznacza dla Ciebie

Jeśli zarządzasz infrastrukturą IT dla firmy, te badania są sygnałem, aby faktycznie zweryfikować niezmienność kopii zapasowych, zamiast zakładać, że działa. Oznacza to sprawdzenie ustawień blokady przechowywania, potwierdzenie, że administratorzy kopii zapasowych nie mają możliwości nadpisywania zasad niezmienności oraz testowanie pełnych scenariuszy odzyskiwania, a nie tylko potwierdzanie, że kopie zapasowe są tworzone poprawnie.

Dla osób prywatnych i mniejszych organizacji lekcja sprowadza się prosto: menedżer haseł, VPN lub dobre nawyki szyfrowania to cenne elementy szerszej postawy bezpieczeństwa, ale żaden z nich nie zastępuje potrzeby posiadania prawdziwie oddzielnej, odpornej na manipulacje kopii zapasowej ważnych danych. Ransomware nie atakuje tylko systemów produkcyjnych; aktywnie poluje na kopie zapasowe, więc każdy plan odzyskiwania, który zakłada, że kopie zapasowe po prostu tam będą, gdy zajdzie potrzeba, jest niekompletny.

Praktyczne wnioski

Organizacje poważnie traktujące ochronę przed ransomware za pomocą niezmiennych kopii zapasowych powinny zacząć od audytu istniejącej infrastruktury kopii zapasowych, aby potwierdzić, że niezmienność jest faktycznie egzekwowana, a nie tylko reklamowana. Regularnie testuj procesy odzyskiwania w realistycznych warunkach, w tym scenariusze, w których atakujący naruszyli konta administracyjne. Przechowuj co najmniej jedną kopię zapasową w izolacji od głównej sieci, czy to poprzez rozłączanie powietrzne, pamięć offline, czy oddzielne środowisko chmurowe z rygorystycznymi kontrolami dostępu. Na koniec przejrzyj, kto ma uprawnienia do zmiany zasad przechowywania lub usuwania danych kopii zapasowych, ponieważ ten punkt dostępu jest często pierwszym celem atakujących.

Badania Omdii to przydatny punkt kontrolny dla każdej organizacji, która traktowała kopie zapasowe jako rozwiązany problem. Technologia umożliwiająca prawdziwie niezmienne kopie zapasowe istnieje i działa, ale tylko wtedy, gdy jest konfigurowana, monitorowana i testowana z taką samą rygorystycznością, jaką stosuje się do innych krytycznych kontroli bezpieczeństwa.