Команди з відновлення даних стикаються з дедалі складнішим випробуванням, за словами компанії з захисту даних Index Engines. Компанія стверджує, що нові програми-вимагачі часто пошкоджують файли, не повністю їх шифруючи. Це звучить як незначна технічна відмінність, але вона змінює те, як працює відновлення. Для всіх, хто покладається на резервні копії, пошкодження даних програмами-вимагачами та резервні копії — це тепер поєднання, яке варто розуміти.

Оригінальний звіт короткий, тому ця стаття дотримується того, що сказала Index Engines, і додає загальну довідкову інформацію про те, як працює пошкодження файлів і практики резервного копіювання. Там, де ми пояснюємо механізми, ми описуємо загальні технічні міркування, а не твердження зі звіту.

Чому програми-вимагачі пошкоджують файли замість їх шифрування

У звіті зазначено цю тенденцію, але в доступному нам резюме не деталізуються мотиви, що стоять за нею. Деякі загальні моменти допомагають пояснити, чому зловмисники можуть віддавати перевагу пошкодженню над повним шифруванням.

Повне шифрування кожного файлу потребує часу та обчислювальних ресурсів. Пошкодження лише частин файлу або перезапис даних у спосіб, що робить їх непридатними для використання, може бути швидшим. Це також може бути важче виявити. Багато засобів захисту налаштовані на пошук знайомої картини масового шифрування, наприклад, перейменування файлів або появи записки про викуп. Пошкодження, яке виглядає більше як звичайні помилки файлів, може спочатку привертати менше уваги.

Існує також практичний наслідок для жертв. Якщо файли зашифровані, ключ розшифрування іноді може їх відновити. Якщо файли пошкоджені, може не бути чого розшифровувати. Єдиний надійний шлях назад — це чиста копія.

Що часткове пошкодження означає для відновлення даних

Index Engines каже, що команди з відновлення стикаються зі складнішим завданням як наслідок. Причина проста: звичайні припущення щодо відновлення руйнуються.

  • Файли можуть виглядати наявними, але бути непридатними для використання. Документ може існувати, показувати нормальний розмір і все одно не відкриватися.
  • Пошкодження може поширюватися на резервні копії. Якщо програмне забезпечення для резервного копіювання копіює пошкоджені файли за розкладом, хороші версії можуть бути з часом перезаписані поганими.
  • Масштаб важче виміряти. При повному шифруванні зрозуміло, що саме постраждало. При частковому пошкодженні команди можуть не знати, які файли пошкоджені, а які цілі, без перевірки кожного з них.

Останній пункт найважливіший. Резервна копія корисна лише тоді, коли ви знаєте, яка точка відновлення є чистою. Без цього знання відновлення може перетворитися на повільні спроби та помилки.

Як захистити резервні копії від атак пошкодження

Мета — зберегти принаймні одну чисту, недоторкану копію ваших даних, до якої зловмисник не може дістатися або змінити її. Кілька звичок допомагають окремим користувачам і невеликим організаціям досягти цього.

Зберігайте версійні резервні копії. Версіонування зберігає кілька історичних копій файлу, а не лише останню. Якщо сьогоднішня версія пошкоджена, вчорашня або торішня може бути ще в порядку. Встановіть термін зберігання достатньо довгим, щоб повільне, непомітне пошкодження не призвело до видалення ваших хороших копій до того, як ви його помітите.

Тримайте офлайн- або від'єднану копію. Резервний диск, який постійно підключений, може бути доступний усьому, що дістається вашого комп'ютера. Ротація диска, який від'єднується після кожного резервного копіювання, обмежує цю вразливість.

Використовуйте незмінне сховище, де це можливо. Незмінні резервні копії не можуть бути змінені або видалені протягом встановленого періоду, навіть обліковим записом адміністратора. Це робить їх стійкими як до шифрування, так і до пошкодження. Наш пояснювач про незмінні резервні копії як останню лінію захисту від програм-вимагачів охоплює, як це працює і чому зловмисники тепер націлюються безпосередньо на системи відновлення.

Розділяйте свої облікові дані. Системи резервного копіювання не повинні використовувати той самий логін, що й повсякденні облікові записи. Якщо зловмисник захопить обліковий запис щоденного використання, він не повинен автоматично отримати доступ до ваших резервних копій.

Тестуйте відновлення, а не лише резервне копіювання. Завдання резервного копіювання, яке повідомляє про успіх, лише повідомляє вам, що дані були скопійовані. Періодично відновлюйте зразок файлів і відкривайте їх. Це найпростіший спосіб виявити тихе пошкодження до того, як дані знадобляться.

Ранні попереджувальні ознаки неочікуваного пошкодження файлів

Оскільки пошкодження може бути тихішим за шифрування, раннє виявлення має значення. Слідкуйте за такими ознаками, як:

  • Файли, які раптово не відкриваються або показують помилки, особливо кілька одночасно
  • Документи, фотографії або бази даних, які відкриваються, але містять спотворений або відсутній вміст
  • Непояснені зміни розмірів файлів або дат modificації across багатьох файлів
  • Завдання резервного копіювання, які тривають помітно довше або коротше, ніж зазвичай, або які починають повідомляти про попередження
  • Незвичайна активність диска або уповільнення, коли ніхто інтенсивно не використовує систему

Організації можуть додати моніторинг, який сповіщає про велику кількість файлів, що змінюються за короткий час. Окремі користувачі можуть отримати більшу частину переваг, вибірково перевіряючи важливі папки та читаючи сповіщення програмного забезпечення для резервного копіювання, а не ігноруючи їх.

Якщо ви підозрюєте пошкодження, від'єднайте постраждалий пристрій від мережі та зупиніть завдання резервного копіювання, перш ніж вони перезапишуть хороші версії поганими. Потім визначте останню відому чисту точку відновлення.

Що це означає для вас

Звіт Index Engines — це нагадування, що планування відновлення не може припускати, що програми-вимагачі завжди оголошуватимуть про себе запискою про викуп і заблокованими файлами. Якщо пошкодження часткове і тихе, якість ваших резервних копій визначає, скільки ви зможете відновити.

Для домашніх користувачів це означає мати більше однієї копії того, що важливо, з принаймні однією, що зберігається офлайн. Для невеликих організацій це означає версійні та незмінні копії, окремі облікові дані для систем резервного копіювання та регулярні тести відновлення. Нічого з цього не потребує великого бюджету, але це потребує уваги до того, як щось піде не так.

Висновки: перегляньте налаштування резервного копіювання цього тижня

  • Переконайтеся, що ваші резервні копії зберігають кілька версій, а не лише останню копію.
  • Додайте офлайн- або від'єднану копію ваших найважливіших даних.
  • Розгляньте незмінне сховище для критичних резервних копій.
  • Відновіть кілька файлів з резервної копії та переконайтеся, що вони відкриваються правильно.
  • Звертайте увагу на попередження резервного копіювання та неочікувані помилки файлів.

Пошкодження даних програмами-вимагачами та резервні копії — це проблема, до якої можна підготуватися кількома виваженими кроками. Знайдіть час цього тижня, щоб перевірити свої налаштування, і прочитайте наш посібник про незмінні резервні копії для глибшого ознайомлення із захистом систем, від яких ви залежите для відновлення.