การกู้คืนจากแรนซัมแวร์กำลังยากขึ้น ไม่ใช่ง่ายขึ้น และงานวิจัยใหม่จากบริษัทวิเคราะห์ Omdia ชี้ไปที่เหตุผลพื้นฐานที่ทำให้ประหลาดใจ: องค์กรส่วนใหญ่ยังคงไม่มีพื้นที่จัดเก็บข้อมูลสำรองที่ไม่อาจแก้ไขหรือลบได้อย่างแท้จริง ช่องว่างนี้บั่นทอนแนวป้องกันสุดท้ายที่บริษัทต่างๆ พึ่งพาเมื่อการโจมตีประสบความสำเร็จ และเป็นการเตือนว่ากลยุทธ์การป้องกันแรนซัมแวร์ด้วยการสำรองข้อมูลแบบ Immutable จะได้ผลก็ต่อเมื่อความเป็น Immutable นั้นเป็นของจริงเท่านั้น

สิ่งที่งานวิจัยของ Omdia พบจริง

ข้อค้นพบของ Omdia ซึ่งรายงานโดย SecurityBrief Asia เน้นไปที่การสังเกตที่ตรงไปตรงมาแต่น่ากังวล: องค์กรส่วนใหญ่ขาดพื้นที่จัดเก็บข้อมูลสำรองที่เป็น Immutable อย่างแท้จริง หมายถึงข้อมูลที่ผู้โจมตีไม่สามารถแก้ไข เข้ารหัส หรือลบได้หลังจากที่เขียนลงไปแล้ว หากไม่มีการป้องกันดังกล่าว การกู้คืนจากแรนซัมแวร์จะยากขึ้นอย่างมีนัยสำคัญ 因为ผู้โจมตีที่บุกรุกเครือข่ายได้มักจะเข้าถึงระบบสำรองข้อมูลได้เช่นกัน ทำให้สำเนาที่บริษัทจำเป็นต้องใช้เพื่อฟื้นฟูการดำเนินงานเสียหายหรือถูกลบทิ้ง

เรื่องนี้สำคัญเพราะการสำรองข้อมูลกลายเป็นแผนการกู้คืนเริ่มต้นสำหรับเหยื่อแรนซัมแวร์ส่วนใหญ่ การจ่ายค่าไถ่ไม่ได้รับประกันว่าจะได้ข้อมูลคืน และไม่ใช่ทางเลือกที่แนะนำทั้งในแง่ความปลอดภัยและกฎหมาย ดังนั้นการมีข้อมูลสำรองที่สะอาดและไม่ถูกแก้ไขจึงมักเป็นตัวแบ่งแยกระหว่างการกู้คืนที่รวดเร็วกับการหยุดชะงักที่ยาวนานและมีต้นทุนสูง งานวิจัยของ Omdia ชี้ให้เห็นว่าองค์กรจำนวนมากเกินไปดำเนินงานโดยไม่มีตาข่ายนิรภัยนี้ แม้ว่าพวกเขาจะคิดว่าตนเองมีก็ตาม

ทำไมการสำรองข้อมูลแบบ 'Immutable' ถึงไม่รอดพ้นจากแรนซัมแวร์เสมอไป

คำว่า "Immutable" ถูกใช้อย่างหลวมๆ ทั่วอุตสาหกรรมการสำรองข้อมูลและการจัดเก็บข้อมูล และนั่นเป็นส่วนหนึ่งของปัญหา ไม่ใช่ทุกผลิตภัณฑ์หรือการกำหนดค่าที่วางตลาดว่าเป็น Immutable จะป้องกันการลบหรือการแก้ไขได้ในทุกสถานการณ์ การกำหนดค่าที่ผิดพลาด นโยบายการเก็บรักษาที่หมดอายุ ข้อมูลประจำตัวผู้ดูแลระบบที่ถูกบุกรุก และช่องว่างระหว่างสภาพแวดล้อมการสำรองข้อมูลและการผลิต ล้วนสร้างช่องทางที่ผู้โจมตีใช้ประโยชน์ได้ แม้ว่าคุณสมบัติความเป็น Immutable จะมีอยู่จริงในทางเทคนิคก็ตาม

สำหรับการดูเชิงลึกว่าช่องว่างเหล่านี้เกิดขึ้นในทางปฏิบัติอย่างไร รวมถึงเวกเตอร์การโจมตีเฉพาะที่ทำให้ผู้ดำเนินการแรนซัมแวร์เลี่ยงการสำรองข้อมูลที่ควรจะแตะต้องไม่ได้ บทวิเคราะห์เชิงลึกของเราเกี่ยวกับเหตุผลที่การสำรองข้อมูลแบบ Immutable ยังถูกโจมตีโดยแรนซัมแวร์ ได้แจกแจงรายละเอียดทางเทคนิคไว้ สรุปสั้นๆ ก็คือ ความเป็น Immutable คือการควบคุม ไม่ใช่การรับประกัน และจำเป็นต้องจับคู่กับการกำหนดค่าที่เหมาะสม การจัดการการเข้าถึง และการแยกส่วนเพื่อให้ทำงานตามที่ตั้งใจไว้

ช่องว่างระหว่างคำกล่าวอ้างเรื่องการสำรองข้อมูลกับความสามารถในการกู้คืนจริง

หนึ่งในบทเรียนที่สำคัญที่สุดจากงานวิจัยของ Omdia คือระยะห่างระหว่างสิ่งที่องค์กรเชื่อเกี่ยวกับสถานะการสำรองข้อมูลของตนกับสิ่งที่เกิดขึ้นจริงระหว่างเหตุการณ์กู้คืนจริง บริษัทจำนวนมากสันนิษฐานว่าตนมีการสำรองข้อมูลแบบ Immutable เพียงเพราะการตลาดของผู้ขายกล่าวเช่นนั้น โดยไม่ตรวจสอบว่าการกำหนดค่านั้นถูกบังคับใช้อย่างถูกต้องหรือไม่ หรือการกู้คืนทำงานได้จริงตั้งแต่ต้นจนจบหรือไม่

นี่เป็นรูปแบบที่คุ้นเคยในวงการความปลอดภัยโดยรวม การเข้ารหัส VPN ไฟร์วอลล์ และระบบสำรองข้อมูลล้วนให้การปกป้องจริง แต่เฉพาะเมื่อนำไปใช้อย่างถูกต้องและทดสอบเป็นประจำเท่านั้น การสำรองข้อมูลที่ไม่สามารถกู้คืนได้อย่างรวดเร็ว หรือกลายเป็นว่าผู้โจมตีที่มีข้อมูลประจำตัวระดับสูงเข้าถึงได้นั้น ให้เพียงความมั่นใจที่ผิดพลาดเท่านั้น คำเตือนของ Omdia โดยพื้นฐานคือความมั่นใจที่ผิดพลาดนี้แพร่หลาย และกำลังทำให้ผลลัพธ์การกู้คืนจากแรนซัมแวร์แย่ลงในทุกด้าน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแลโครงสร้างพื้นฐานด้านไอทีให้กับธุรกิจ งานวิจัยนี้เป็นสัญญาณให้คุณตรวจสอบความเป็น Immutable ของการสำรองข้อมูลจริงๆ แทนที่จะสันนิษฐาน ซึ่งหมายถึงการตรวจสอบการตั้งค่าการล็อกการเก็บรักษา ยืนยันว่าผู้ดูแลระบบสำรองข้อมูลไม่มีความสามารถในการแทนที่กฎความเป็น Immutable และทดสอบสถานการณ์การกู้คืนแบบเต็มรูปแบบ แทนที่จะเพียงยืนยันว่าการสำรองข้อมูลเสร็จสมบูรณ์

สำหรับบุคคลและองค์กรขนาดเล็ก บทเรียนนี้ปรับขนาดลงมาได้อย่างเรียบง่าย: ตัวจัดการรหัสผ่าน VPN หรือนิสัยการเข้ารหัสที่แข็งแกร่งล้วนเป็นส่วนประกอบที่มีค่าของสถานะความปลอดภัยโดยรวม แต่ไม่มีสิ่งใดแทนที่ความจำเป็นในการมีข้อมูลสำรองที่แยกออกจากกันอย่างแท้จริงและทนทานต่อการดัดแปลงสำหรับข้อมูลสำคัญ แรนซัมแวร์ไม่ได้โจมตีเฉพาะระบบการผลิตเท่านั้น แต่มันล่าหาการสำรองข้อมูลอย่างแข็งขัน ดังนั้นแผนการกู้คืนใดๆ ที่สันนิษฐานว่าการสำรองข้อมูลจะอยู่ที่นั่นเมื่อต้องการจึงไม่สมบูรณ์

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

องค์กรที่จริงจังกับการป้องกันแรนซัมแวร์ด้วยการสำรองข้อมูลแบบ Immutable ควรเริ่มต้นด้วยการตรวจสอบโครงสร้างพื้นฐานการสำรองข้อมูลที่มีอยู่เพื่อยืนยันว่าความเป็น Immutable ถูกบังคับใช้จริง ไม่ใช่เพียงโฆษณา ทดสอบกระบวนการกู้คืนอย่างสม่ำเสมอภายใต้เงื่อนไขที่สมจริง รวมถึงสถานการณ์ที่ผู้โจมตีบุกรุกบัญชีผู้ดูแลระบบแล้ว เก็บสำเนาการสำรองข้อมูลอย่างน้อยหนึ่งชุดแยกจากเครือข่ายหลัก ไม่ว่าจะผ่านการตัดขาดจากเครือข่าย (air-gapping) การจัดเก็บแบบออฟไลน์ หรือสภาพแวดล้อมคลาวด์แยกต่างหากพร้อมการควบคุมการเข้าถึงที่เข้มงวด สุดท้าย ทบทวนว่าใครมีอำนาจในการเปลี่ยนแปลงนโยบายการเก็บรักษาหรือลบข้อมูลสำรองบ้าง เนื่องจากจุดเข้าถึงนั้นมักเป็นเป้าหมายแรกที่ผู้โจมตีโจมตี

งานวิจัยของ Omdia เป็นจุดตรวจสอบที่มีประโยชน์สำหรับองค์กรใดๆ ที่ถือว่าการสำรองข้อมูลเป็นปัญหาที่แก้แล้ว เทคโนโลยีที่ทำให้การสำรองข้อมูลเป็น Immutable อย่างแท้จริงมีอยู่และทำงานได้ แต่เฉพาะเมื่อได้รับการกำหนดค่า ติดตาม และทดสอบด้วยความเข้มงวดเดียวกันกับที่ใช้กับการควบคุมความปลอดภัยที่สำคัญอื่นๆ เท่านั้น