ทีมกู้คืนข้อมูลกำลังเผชิญบททดสอบที่หนักขึ้น ตามข้อมูลจากบริษัทด้านการปกป้องข้อมูล Index Engines บริษัทระบุว่าแรนซัมแวร์รุ่นใหม่มักทำให้ไฟล์เสียหายโดยไม่เข้ารหัสทั้งหมด ฟังดูเหมือนเป็นความแตกต่างทางเทคนิคเล็กน้อย แต่มันเปลี่ยนวิธีการทำงานของการกู้คืน สำหรับใครก็ตามที่พึ่งพาข้อมูลสำรอง ข้อมูลสำรองรับมือแรนซัมแวร์ทำไฟล์เสียหาย คือคำผสมที่ควรทำความเข้าใจในตอนนี้
รายงานต้นฉบับนั้นสั้น บทความนี้จึงยึดตามสิ่งที่ Index Engines กล่าว และเพิ่มข้อมูลพื้นฐานทั่วไปเกี่ยวกับการทำงานของความเสียหายของไฟล์และแนวปฏิบัติด้านข้อมูลสำรอง ในส่วนที่เราอธิบายกลไกนั้น เรากำลังอธิบายเหตุผลทางเทคนิคทั่วไป ไม่ใช่ข้อกล่าวอ้างจากรายงาน
ทำไมแรนซัมแวร์จึงทำให้ไฟล์เสียหายแทนที่จะเข้ารหัส
รายงานระบุถึงแนวโน้มนี้ แต่ในบทสรุปที่เรามีนั้นไม่ได้ให้รายละเอียดเกี่ยวกับแรงจูงใจเบื้องหลัง ข้อสังเกตทั่วไปบางประการช่วยอธิบายว่าทำไมผู้โจมตีอาจเลือกใช้การทำให้เสียหายแทนการเข้ารหัสเต็มรูปแบบ
การเข้ารหัสทุกไฟล์ใช้เวลาและทรัพยากรคอมพิวเตอร์ การทำลายเพียงบางส่วนของไฟล์ หรือเขียนทับข้อมูลในลักษณะที่ทำให้ใช้งานไม่ได้ อาจเร็วกว่า นอกจากนี้ยังอาจตรวจจับได้ยากกว่า การป้องกันหลายอย่างถูกปรับให้มองหารูปแบบที่คุ้นเคยของการเข้ารหัสจำนวนมาก เช่น ไฟล์ถูกเปลี่ยนชื่อ หรือมีข้อความเรียกค่าไถ่ปรากฏขึ้น ความเสียหายที่ดูเหมือนข้อผิดพลาดของไฟล์ทั่วไปอาจดึงความสนใจได้น้อยกว่าในตอนแรก
ยังมีผลในทางปฏิบัติสำหรับเหยื่อด้วย หากไฟล์ถูกเข้ารหัส คีย์ถอดรหัสบางครั้งสามารถกู้คืนได้ หากไฟล์เสียหาย อาจไม่มีอะไรให้ถอดรหัส ทางกลับที่เชื่อถือได้เพียงทางเดียวคือสำเนาที่สะอาด
ความหมายของความเสียหายบางส่วนต่อการกู้คืนข้อมูล
Index Engines ระบุว่าทีมกู้คืนต้องเผชิญงานที่ยากขึ้นจากผลนี้ เหตุผลตรงไปตรงมา: สมมติฐานการกู้คืนตามปกติใช้ไม่ได้อีกต่อไป
- ไฟล์อาจดูเหมือนมีอยู่แต่ใช้งานไม่ได้ เอกสารอาจมีอยู่ แสดงขนาดปกติ แต่ยังเปิดไม่ได้
- ความเสียหายสามารถลุกลามเข้าสู่ข้อมูลสำรองได้ หากซอฟต์แวร์สำรองคัดลอกไฟล์ที่เสียหายตามกำหนดเวลา เวอร์ชันที่ดีอาจถูกเขียนทับด้วยเวอร์ชันที่เสียหายเมื่อเวลาผ่านไป
- ขอบเขตวัดได้ยากขึ้น เมื่อเข้ารหัสเต็มรูปแบบ ชัดเจนว่าอะไรได้รับผลกระทบ เมื่อเสียหายบางส่วน ทีมอาจไม่รู้ว่าไฟล์ใดเสียหายและไฟล์ใดยังสมบูรณ์โดยไม่ตรวจสอบทีละไฟล์
ประเด็นสุดท้ายสำคัญที่สุด ข้อมูลสำรองจะมีประโยชน์ก็ต่อเมื่อคุณรู้ว่าจุดกู้คืนใดสะอาด หากไม่มีความรู้นั้น การกู้คืนอาจกลายเป็นการลองผิดลองถูกที่เชื่องช้า
วิธีปกป้องข้อมูลสำรองจากการโจมตีที่ทำให้เสียหาย
เป้าหมายคือการเก็บสำเนาข้อมูลที่สะอาดและไม่ถูกแตะต้องอย่างน้อยหนึ่งชุด ซึ่งผู้โจมตีเข้าถึงหรือแก้ไขไม่ได้ นิสัยบางอย่างช่วยให้บุคคลและองค์กรขนาดเล็กไปถึงจุดนั้นได้
เก็บข้อมูลสำรองแบบมีเวอร์ชัน การทำเวอร์ชันเก็บสำเนาย้อนหลังหลายชุดของไฟล์ แทนที่จะเก็บแค่ชุดล่าสุด หากเวอร์ชันวันนี้เสียหาย เวอร์ชันเมื่อวานหรือสัปดาห์ที่แล้วอาจยังดีอยู่ ตั้งระยะเวลาเก็บนานพอที่ความเสียหายแบบเงียบและค่อยเป็นค่อยไปจะไม่ทำให้สำเนาดีหมดอายุไปก่อนที่คุณจะสังเกตเห็น
เก็บสำเนาแบบออฟไลน์หรือตัดการเชื่อมต่อ ฮาร์ดไดรฟ์สำรองที่เสียบอยู่ตลอดเวลาสามารถเข้าถึงได้โดยสิ่งที่เข้าถึงคอมพิวเตอร์ของคุณ การหมุนเวียนฮาร์ดไดรฟ์ที่ตัดการเชื่อมต่อหลังการสำรองแต่ละครั้งช่วยจำกัดความเสี่ยงนั้น
ใช้ที่เก็บแบบแก้ไขไม่ได้เมื่อทำได้ ข้อมูลสำรองแบบแก้ไขไม่ได้ไม่สามารถเปลี่ยนแปลงหรือลบได้ในช่วงเวลาที่กำหนด แม้แต่บัญชีผู้ดูแลระบบ ก็ทำให้ต้านทานทั้งการเข้ารหัสและการทำให้เสียหาย บทความอธิบายของเราเกี่ยวกับข้อมูลสำรองแบบแก้ไขไม่ได้ในฐานะแนวป้องกันสุดท้ายต่อแรนซัมแวร์ครอบคลุมวิธีการทำงานและเหตุใดผู้โจมตีจึงกำหนดเป้าหมายระบบกู้คืนโดยตรงในตอนนี้
แยกข้อมูลรับรองของคุณ ระบบสำรองไม่ควรใช้การเข้าสู่ระบบเดียวกับบัญชีที่ใช้ประจำวัน หากผู้โจมตียึดบัญชีที่ใช้ทุกวันได้ พวกเขาไม่ควรได้สิทธิ์เข้าถึงข้อมูลสำรองของคุณโดยอัตโนมัติ
ทดสอบการกู้คืน ไม่ใช่แค่การสำรอง งานสำรองที่รายงานว่าสำเร็จเพียงบอกคุณว่าข้อมูลถูกคัดลอกแล้ว ให้กู้คืนไฟล์ตัวอย่างเป็นระยะและเปิดดู นี่เป็นวิธีง่ายที่สุดในการตรวจจับความเสียหายแบบเงียบก่อนที่คุณจะต้องการข้อมูลนั้น
สัญญาณเตือนเริ่มต้นของความเสียหายของไฟล์ที่ไม่คาดคิด
เนื่องจากความเสียหายอาจเงียบกว่าการเข้ารหัส การตรวจจับแต่เนิ่นๆ จึงสำคัญ จับตาดูสัญญาณต่างๆ เช่น:
- ไฟล์ที่จู่ๆ ก็เปิดไม่ได้หรือแสดงข้อผิดพลาด โดยเฉพาะหลายไฟล์พร้อมกัน
- เอกสาร รูปภาพ หรือฐานข้อมูลที่เปิดได้แต่มีเนื้อหาที่เพี้ยนหรือหายไป
- การเปลี่ยนแปลงขนาดไฟล์หรือวันที่แก้ไขโดยไม่ทราบสาเหตุในหลายไฟล์
- งานสำรองที่ใช้เวลานานขึ้นหรือสั้นลงอย่างเห็นได้ชัด หรือเริ่มรายงานคำเตือน
- กิจกรรมดิสก์หรือความหน่วงที่ผิดปกติเมื่อไม่มีใครใช้งานระบบหนัก
องค์กรสามารถเพิ่มการตรวจสอบที่แจ้งเตือนเมื่อไฟล์จำนวนมากเปลี่ยนแปลงในเวลาสั้นๆ บุคคลทั่วไปสามารถได้ประโยชน์ส่วนใหญ่จากการตรวจสอบโฟลเดอร์สำคัญแบบสุ่มและอ่านการแจ้งเตือนของซอฟต์แวร์สำรองแทนที่จะมองข้าม
หากคุณสงสัยว่ามีความเสียหาย ให้ตัดการเชื่อมต่ออุปกรณ์ที่ได้รับผลกระทบจากเครือข่ายและหยุดงานสำรองก่อนที่มันจะเขียนทับเวอร์ชันดีด้วยเวอร์ชันที่เสียหาย จากนั้นระบุจุดกู้คืนที่สะอาดล่าสุดที่ทราบ
สิ่งนี้หมายความสำหรับคุณ
รายงานของ Index Engines เป็นเครื่องเตือนใจว่าการวางแผนกู้คืนไม่สามารถสันนิษฐานได้ว่าแรนซัมแวร์จะประกาศตัวด้วยข้อความเรียกค่าไถ่และไฟล์ที่ถูกล็อกเสมอไป หากความเสียหายเป็นเพียงบางส่วนและเงียบ คุณภาพของข้อมูลสำรองจะเป็นตัวกำหนดว่าคุณจะกู้คืนได้มากแค่ไหน
สำหรับผู้ใช้ตามบ้าน นั่นหมายถึงการมีสำเนาสิ่งสำคัญมากกว่าหนึ่งชุด โดยเก็บอย่างน้อยหนึ่งชุดแบบออฟไลน์ สำหรับองค์กรขนาดเล็ก หมายถึงสำเนาแบบมีเวอร์ชันและแก้ไขไม่ได้ ข้อมูลรับรองแยกสำหรับระบบสำรอง และการทดสอบกู้คืนเป็นประจำ ไม่มีสิ่งใดต้องใช้งบประมาณมาก แต่ต้องอาศัยความใส่ใจก่อนที่อะไรจะผิดพลาด
ประเด็นสำคัญ: ทบทวนการตั้งค่าข้อมูลสำรองของคุณในสัปดาห์นี้
- ยืนยันว่าข้อมูลสำรองของคุณเก็บหลายเวอร์ชัน ไม่ใช่แค่สำเนาล่าสุด
- เพิ่มสำเนาแบบออฟไลน์หรือตัดการเชื่อมต่อของข้อมูลสำคัญที่สุดของคุณ
- พิจารณาที่เก็บแบบแก้ไขไม่ได้สำหรับข้อมูลสำรองที่สำคัญ
- กู้คืนไฟล์สองสามไฟล์จากข้อมูลสำรองและยืนยันว่าเปิดได้ถูกต้อง
- ใส่ใจคำเตือนเกี่ยวกับข้อมูลสำรองและข้อผิดพลาดของไฟล์ที่ไม่คาดคิด
ข้อมูลสำรองรับมือแรนซัมแวร์ทำไฟล์เสียหายเป็นปัญหาที่คุณเตรียมรับมือได้ด้วยขั้นตอนตั้งใจไม่กี่อย่าง ใช้เวลาในสัปดาห์นี้ตรวจสอบการตั้งค่าของคุณ และอ่านคู่มือของเราเกี่ยวกับข้อมูลสำรองแบบแก้ไขไม่ได้เพื่อเจาะลึกเรื่องการปกป้องระบบที่คุณพึ่งพาในการกู้คืน
