การสำรองข้อมูลแบบ Immutable กลายเป็นคำตอบอันดับต้นๆ สำหรับองค์กรที่พยายามเอาตัวรอดจากแก๊ง ransomware โปรโมชันนั้นง่ายดาย: ล็อกสำเนาข้อมูลของคุณเพื่อไม่ให้ถูกแก้ไข ลบ หรือเข้ารหัส และผู้โจมตีก็จะสูญเสียอำนาจต่อรอง แต่บทความบล็อกล่าสุดจากบริษัทกู้คืนข้อมูล DriveSavers ได้โต้แย้งสมมติฐานนั้น โดยอธิบายว่าทำไมการสำรองข้อมูลแบบ Immutable ถึงยังถูกโจมตีได้ ทำไม decryptor จึงไม่ใช่ตาข่ายนิรภัยที่เหยื่อคาดหวังเสมอไป และการกู้คืนข้อมูลโดยผู้เชี่ยวชาญจริงๆ แล้วเข้ามามีบทบาทตรงไหนในแผนตอบสนองต่อ ransomware

ความเป็น Immutable คือการตั้งค่า ไม่ใช่การรับประกัน

แนวคิดหลักเบื้องหลังพื้นที่จัดเก็บข้อมูลแบบ Immutable คือเมื่อข้อมูลถูกเขียนแล้ว จะไม่สามารถเปลี่ยนแปลงหรือลบได้ภายในระยะเวลาการเก็บรักษาที่กำหนด แม้แต่โดยผู้ที่มีสิทธิ์เข้าถึงระดับผู้ดูแลระบบ การป้องกันนั้นมีจริง แต่ขึ้นอยู่กับวิธีการกำหนดค่าและจัดการทั้งหมด หากกำหนดนโยบายการเก็บรักษาสั้นเกินไป หากข้อมูลประจำตัวที่มีอำนาจในการปิดใช้งานความเป็น Immutable ถูกโจมตี หรือหากซอฟต์แวร์สำรองข้อมูลถูกใช้ประโยชน์ก่อนที่การล็อกจะมีผล การป้องกันก็อาจถูกยกเลิกหรือเลี่ยงได้ทั้งหมด

นี่คือความแตกต่างที่มีความหมายสำหรับใครก็ตามที่พึ่งพาการสำรองข้อมูลแบบ Immutable เป็นแนวป้องกันเพียงเส้นเดียว เทคโนโลยีนี้ลดความเสี่ยง แต่ไม่ได้กำจัดข้อผิดพลาดของมนุษย์และการกำหนดค่าที่ผู้ปฏิบัติการ ransomware พุ่งเป้าโจมตีมากขึ้นเรื่อยๆ ผู้โจมตีที่เข้าใจสถาปัตยกรรมการสำรองข้อมูลจะโจมตีชั้นการจัดการ บัญชี และช่วงเวลาต่างๆ แทนที่จะพยายามเจาะล็อกที่ไม่มีทางทำลาย ซึ่งสอดคล้องกับสิ่งที่นักวิจัยด้านความปลอดภัยได้บันทึกไว้ในการปฏิบัติการ ransomware อื่นๆ รวมถึงกลุ่มที่ดำเนิน โมเดล RaaS ของ Anubis Ransomware ตั้งแต่ธันวาคม 2024 ซึ่งแสดงรูปแบบการปรับกลยุทธ์ตามการป้องกันที่องค์กรต่างๆ ตั้งขึ้น การรายงานขอบเขตที่กว้างขึ้นของ DriveSavers ในหัวข้อนี้ ในบทความคู่เกี่ยวกับ การสำรองข้อมูลแบบ Immutable ในฐานะแนวป้องกันสุดท้ายของ ransomware ชี้ให้เห็นจุดเดียวกัน: ความเป็น Immutable ยกระดับมาตรฐาน ไม่ได้ยกเลิกมัน

เมื่อ Decryptor ไม่ช่วยคุณ

สมมติฐานที่สองที่บทความของ DriveSavers ท้าทายคือความเชื่อที่ว่าการได้รับหรือซื้อ decryptor รับประกันการกู้คืนที่สะอาด Decryptor ไม่ว่าจะได้รับจากผู้โจมตีหลังจ่ายค่าไถ่ หรือปล่อยโดยนักวิจัยที่ถอดรหัส ransomware สายพันธุ์เก่าได้ ไม่ใช่ตัวแก้แบบสากล ไฟล์ยังสามารถเสียหายได้ระหว่างกระบวนการเข้ารหัสเอง decryptor อาจล้มเหลวกับไฟล์บางประเภทหรือข้อมูลที่ถูกเขียนทับบางส่วน และการจ่ายเงินไม่ได้ให้คีย์ที่ใช้งานได้เสมอไป

สิ่งนี้สอดคล้องกับผลการวิจัยล่าสุดอื่นๆ เกี่ยวกับผลลัพธ์ของการจ่ายค่าไถ่ การศึกษาที่ครอบคลุมออสเตรเลียและนิวซีแลนด์พบว่า 36% ของการจ่ายค่าไถ่ล้มเหลวในการกู้คืนข้อมูล และงานวิจัยในสหราชอาณาจักรแยกต่างหากพบว่า 22% ของผู้จ่ายค่าไถ่ ransomware เผชิญการข่มขู่ครั้งที่สอง หลังจากจ่ายไปแล้วครั้งหนึ่ง เมื่อรวมกันแล้ว ตัวเลขเหล่านี้ตอกย้ำข้อโต้แย้งของ DriveSavers: การมองการจ่ายเงินหรือการถอดรหัสเป็นจุดสิ้นสุดมากกว่าจุดเริ่มต้น ทำให้องค์กรเสี่ยงต่อความล้มเหลวซ้ำแล้วซ้ำเล่า

การกู้คืนข้อมูลเข้ามามีบทบาทตรงไหนจริงๆ

นี่คือจุดที่บริการกู้คืนข้อมูลโดยผู้เชี่ยวชาญเข้ามา ไม่ใช่เพื่อแทนที่การสำรองข้อมูลหรือ decryptor แต่เป็นชั้นเสริมเมื่อทั้งสองอย่างไม่เพียงพอ เมื่อสำเนาแบบ Immutable ไม่สมบูรณ์ เสียหาย หรือเข้าถึงไม่ได้ และเมื่อ decryptor ไม่มีอยู่หรือไม่สามารถกู้คืนไฟล์ที่ใช้งานได้อย่างสมบูรณ์ งานกู้คืนเฉพาะทางบางครั้งสามารถสร้างข้อมูลขึ้นใหม่ได้โดยตรงจากสื่อจัดเก็บข้อมูลที่เสียหายหรือโวลุ่มที่ถูกเข้ารหัสบางส่วน มันเป็นกระบวนการที่ช้ากว่าและทางเทคนิคมากกว่าการกู้คืนจากการสำรองข้อมูลที่สะอาด แต่มันมีอยู่เพื่อเติมเต็มช่องว่างระหว่างสิ่งที่การสำรองข้อมูลสัญญาไว้กับสิ่งที่ส่งมอบจริงระหว่างเหตุการณ์

ขนาดของปัญหาตอกย้ำว่าทำไมช่องว่างนั้นจึงสำคัญ กิจกรรม ransomware ยังคงเพิ่มขึ้นทั่วโลก โดยข้อมูลระดับภูมิภาคแสดงว่าองค์กรใน สเปนคิดเป็นประมาณ 3% ของการโจมตี ransomware ทั้งหมดทั่วโลกในปี 2025 การกระจายตัวทางภูมิศาสตร์แบบนั้นหมายความว่าการวางแผนสำรองข้อมูลและกู้คืนไม่ใช่ปัญหาไอทีเฉพาะกลุ่มอีกต่อไป มันเป็นข้อกำหนดการดำเนินงานพื้นฐานสำหรับองค์กรเกือบทุกขนาด

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับบุคคลและธุรกิจ alike ข้อสรุปไม่ใช่การสำรองข้อมูลแบบ Immutable ไม่ได้ผล แต่คือมันต้องเป็นส่วนหนึ่งของกลยุทธ์แบบหลายชั้น ไม่ใช่การรับประกันแบบเดี่ยวๆ ความเป็นส่วนตัวและความสมบูรณ์ของข้อมูลขึ้นอยู่กับทั้งห่วงโซ่: วิธีกำหนดค่าการสำรองข้อมูล ใครถือสิทธิ์เข้าถึงระดับผู้ดูแลระบบ ใช้เวลานานแค่ไหนกว่าการล็อกแบบ Immutable จะถูกใช้หลังเขียนข้อมูล และมีตัวเลือกสำรองอะไรบ้างหากทั้งการสำรองข้อมูลและ decryptor ล้มเหลว องค์กรที่ปฏิบัติต่อพื้นที่จัดเก็บแบบ Immutable เป็นโซลูชันที่เสร็จสมบูรณ์มากกว่าระบบที่ต้องบำรุงรักษา คือองค์กรที่มีแนวโน้มจะค้นพบข้อจำกัดของมันระหว่างการโจมตีจริงมากที่สุด

ข้อสรุปที่นำไปปฏิบัติได้

ตรวจสอบว่าใครมีสิทธิ์การอนุญาตระดับผู้ดูแลระบบที่สามารถเปลี่ยนแปลงหรือปิดใช้งานการตั้งค่าความเป็น Immutable และจำกัดการเข้าถึงนั้นให้แคบที่สุดเท่าที่จะทำได้ ทดสอบการกู้คืนการสำรองข้อมูลเป็นประจำแทนที่จะสมมติว่าความเป็น Immutable เพียงอย่างเดียวหมายถึงความสามารถในการกู้คืน อย่าถือว่า decryptor ไม่ว่าจะซื้อมาหรือได้รับมา เป็นตัวแก้ที่ยืนยันแล้วจนกว่าไฟล์จะได้รับการตรวจสอบว่าครบถ้วนจริงๆ และเก็บผู้เชี่ยวชาญการกู้คืนข้อมูลไว้ในแผนตอบสนองต่อเหตุการณ์ของคุณเป็นตัวเลือกสำรอง เนื่องจากการสำรองข้อมูลแบบ Immutable และ decryptor ต่างก็มีจุดล้มเหลวที่ได้รับการบันทึกไว้ ซึ่งกระบวนการกู้คืนบางครั้งยังสามารถจัดการได้