Các đội khôi phục dữ liệu đang phải đối mặt với một thử thách khó hơn, theo công ty bảo vệ dữ liệu Index Engines. Công ty cho biết ransomware mới thường làm hỏng tệp mà không mã hóa hoàn toàn chúng. Nghe có vẻ như một sự khác biệt kỹ thuật nhỏ, nhưng nó thay đổi cách thức hoạt động của việc khôi phục. Đối với bất kỳ ai dựa vào sao lưu, sao lưu chống hỏng dữ liệu do ransomware giờ đây là một sự kết hợp đáng để tìm hiểu.
Báo cáo gốc khá ngắn gọn, vì vậy bài viết này bám sát những gì Index Engines đã nói và bổ sung thông tin nền tảng chung về cách thức thiệt hại tệp và các thực hành sao lưu hoạt động. Ở những chỗ chúng tôi giải thích cơ chế, chúng tôi đang mô tả lý luận kỹ thuật phổ biến, không phải các tuyên bố từ báo cáo.
Tại sao ransomware đang làm hỏng tệp thay vì mã hóa chúng
Báo cáo nêu xu hướng này nhưng không, trong bản tóm tắt có sẵn cho chúng tôi, đi sâu vào động cơ đằng sau nó. Một số điểm chung giúp giải thích tại sao kẻ tấn công có thể ưu tiên làm hỏng hơn là mã hóa hoàn toàn.
Mã hóa hoàn toàn mọi tệp tốn thời gian và tài nguyên tính toán. Chỉ làm hỏng một phần của tệp, hoặc ghi đè dữ liệu theo cách khiến nó không thể sử dụng được, có thể nhanh hơn. Nó cũng có thể khó phát hiện hơn. Nhiều biện pháp phòng thủ được điều chỉnh để tìm kiếm mô hình quen thuộc của việc mã hóa hàng loạt, chẳng hạn như các tệp bị đổi tên hoặc xuất hiện ghi chú đòi tiền chuộc. Thiệt hại trông giống như lỗi tệp thông thường có thể ít gây chú ý hơn lúc đầu.
Cũng có một hậu quả thực tế đối với nạn nhân. Nếu các tệp bị mã hóa, đôi khi có thể khôi phục chúng bằng khóa giải mã. Nếu các tệp bị hỏng, có thể không có gì để giải mã. Con đường trở lại đáng tin cậy duy nhất là một bản sao sạch.
Hỏng một phần có ý nghĩa gì đối với việc khôi phục dữ liệu
Index Engines cho biết các đội khôi phục phải đối mặt với công việc khó khăn hơn do đó. Lý do rất đơn giản: các giả định khôi phục thông thường bị phá vỡ.
- Các tệp có thể trông như hiện diện nhưng không sử dụng được. Một tài liệu có thể tồn tại, hiển thị kích thước bình thường và vẫn không mở được.
- Thiệt hại có thể lan sang bản sao lưu. Nếu phần mềm sao lưu sao chép các tệp bị hỏng theo lịch trình, các phiên bản tốt có thể bị ghi đè bởi các phiên bản xấu theo thời gian.
- Phạm vi khó đo lường hơn. Với mã hóa hoàn toàn, rõ ràng những gì bị ảnh hưởng. Với hỏng một phần, các đội có thể không biết tệp nào bị hỏng và tệp nào còn nguyên vẹn mà không kiểm tra từng tệp một.
Điểm cuối cùng đó quan trọng nhất. Một bản sao lưu chỉ hữu ích nếu bạn biết điểm khôi phục nào là sạch. Không có kiến thức đó, việc khôi phục có thể biến thành thử và sai chậm chạp.
Cách bảo vệ bản sao lưu khỏi các cuộc tấn công làm hỏng
Mục tiêu là giữ ít nhất một bản sao sạch, nguyên vẹn của dữ liệu mà kẻ tấn công không thể tiếp cận hoặc thay đổi. Một vài thói quen giúp cá nhân và tổ chức nhỏ đạt được điều đó.
Giữ bản sao lưu có phiên bản. Phiên bản lưu trữ nhiều bản sao lịch sử của một tệp thay vì chỉ bản mới nhất. Nếu phiên bản hôm nay bị hỏng, phiên bản của ngày hôm qua hoặc tuần trước có thể vẫn ổn. Đặt thời gian lưu giữ đủ lâu để thiệt hại chậm, âm thầm không làm mất các bản sao tốt của bạn trước khi bạn nhận ra.
Giữ một bản sao ngoại tuyến hoặc ngắt kết nối. Ổ đĩa sao lưu được cắm liên tục có thể bị tiếp cận bởi bất cứ thứ gì tiếp cận được máy tính của bạn. Xoay vòng một ổ đĩa được ngắt kết nối sau mỗi lần sao lưu sẽ hạn chế sự phơi bày đó.
Sử dụng lưu trữ bất biến khi có thể. Bản sao lưu bất biến không thể bị thay đổi hoặc xóa trong một khoảng thời gian nhất định, ngay cả bởi tài khoản quản trị viên. Điều đó khiến chúng chống lại cả mã hóa và hỏng hóc. Bài giải thích của chúng tôi về sao lưu bất biến như tuyến phòng thủ cuối cùng chống ransomware đề cập cách thức hoạt động này và tại sao kẻ tấn công giờ đây nhắm trực tiếp vào các hệ thống khôi phục.
Tách biệt thông tin đăng nhập của bạn. Hệ thống sao lưu không nên chia sẻ cùng đăng nhập với các tài khoản hàng ngày. Nếu kẻ tấn công chiếm được tài khoản sử dụng hàng ngày, chúng không nên tự động có quyền truy cập vào bản sao lưu của bạn.
Kiểm tra khôi phục, không chỉ sao lưu. Một tác vụ sao lưu báo cáo thành công chỉ cho bạn biết rằng dữ liệu đã được sao chép. Định kỳ khôi phục một mẫu tệp và mở chúng. Đây là cách đơn giản nhất để phát hiện hỏng hóc âm thầm trước khi bạn cần dữ liệu.
Dấu hiệu cảnh báo sớm về thiệt hại tệp bất ngờ
Vì hỏng hóc có thể âm thầm hơn mã hóa, phát hiện sớm rất quan trọng. Hãy chú ý các dấu hiệu như:
- Các tệp đột nhiên không mở được hoặc hiển thị lỗi, đặc biệt là nhiều tệp cùng lúc
- Tài liệu, ảnh hoặc cơ sở dữ liệu mở được nhưng chứa nội dung bị lỗi hoặc thiếu
- Thay đổi không giải thích được về kích thước tệp hoặc ngày sửa đổi trên nhiều tệp
- Các tác vụ sao lưu mất thời gian dài hơn hoặc ngắn hơn đáng kể so với bình thường, hoặc bắt đầu báo cáo cảnh báo
- Hoạt động đĩa bất thường hoặc chậm lại khi không ai sử dụng hệ thống nhiều
Các tổ chức có thể thêm giám sát cảnh báo khi số lượng lớn tệp thay đổi trong thời gian ngắn. Cá nhân có thể nhận được phần lớn lợi ích bằng cách kiểm tra đột xuất các thư mục quan trọng và đọc thông báo của phần mềm sao lưu thay vì bỏ qua chúng.
Nếu bạn nghi ngờ có thiệt hại, hãy ngắt kết nối thiết bị bị ảnh hưởng khỏi mạng và dừng các tác vụ sao lưu trước khi chúng ghi đè các phiên bản tốt bằng các phiên bản xấu. Sau đó xác định điểm khôi phục sạch được biết đến lần cuối.
Điều này có ý nghĩa gì với bạn
Báo cáo của Index Engines là lời nhắc nhở rằng việc lập kế hoạch khôi phục không thể giả định ransomware sẽ luôn tự thông báo bằng ghi chú đòi tiền chuộc và các tệp bị khóa. Nếu thiệt hại là một phần và âm thầm, chất lượng bản sao lưu của bạn quyết định bạn có thể khôi phục được bao nhiêu.
Đối với người dùng gia đình, điều đó có nghĩa là có nhiều hơn một bản sao của những gì quan trọng, với ít nhất một bản được giữ ngoại tuyến. Đối với các tổ chức nhỏ, điều đó có nghĩa là các bản sao có phiên bản và bất biến, thông tin đăng nhập riêng cho hệ thống sao lưu, và kiểm tra khôi phục thường xuyên. Không điều nào trong số này đòi hỏi ngân sách lớn, nhưng nó đòi hỏi sự chú ý trước khi có gì đó sai.
Điểm chính: xem lại thiết lập sao lưu của bạn trong tuần này
- Xác nhận bản sao lưu của bạn giữ nhiều phiên bản, không chỉ bản sao mới nhất.
- Thêm một bản sao ngoại tuyến hoặc ngắt kết nối của dữ liệu quan trọng nhất của bạn.
- Cân nhắc lưu trữ bất biến cho các bản sao lưu quan trọng.
- Khôi phục một vài tệp từ bản sao lưu và xác nhận chúng mở đúng cách.
- Chú ý đến cảnh báo sao lưu và lỗi tệp bất ngờ.
Sao lưu chống hỏng dữ liệu do ransomware là một vấn đề bạn có thể chuẩn bị với một vài bước có chủ đích. Hãy dành thời gian trong tuần này để kiểm tra thiết lập của bạn, và đọc hướng dẫn của chúng tôi về sao lưu bất biến để có cái nhìn sâu hơn về việc bảo vệ các hệ thống mà bạn phụ thuộc để khôi phục.
