Když přežijí jen neměnné zálohy…

Moderní ransomware nešifruje pouze vaše aktivní systémy – v dnešní době se předtím, než zašifruje zbytek vaší infrastruktury, zaměří na zálohy. Společnost Sophos ve své nedávné studii uvádí, že 94 % ransomwarových útoků nejprve cílí právě na zálohy, což značně ztěžuje obnovu dat a zvyšuje pravděpodobnost, že oběť útoku zaplatí výkupné. Řešení pro obnovu po havárii od Synology pracuje s neměnnými zálohami, ke kterým útočníci nemají přístup a nemohou je upravit ani smazat. Prvním krokem ke spolehlivé obnově dat je zjištění, jak na tom aktuálně jste.

Není příliš malých cílů

Červenec je měsícem povědomí o ransomwaru. Nejnebezpečnějším předpokladem, který může firma mít, je, že se ransomware týká jen větších společností. Data říkají opak. Zacílení útoků se zásadním způsobem přesunulo směrem k malým a středním podnikům, neboť disponují slabší obranou a jsou ochotnější platit. Napadení několika menších firem je pro útočníky podstatně efektivnější než pronásledování jednoho velkého podniku.

Čísla jsou neúprosná. U malých a středních organizací dnes ransomware představuje drtivou většinu bezpečnostních incidentů s podstatně vyšším podílem než u velkých podniků. Malá firma s daty zákazníků, finančními záznamy a produkčními systémy umístěnými na několika málo serverech je to přesně to, co moderní ransomwarový útočník hledá.

Jak se ransomware dostane do malé firmy

Vstupní bod je obvykle banální: phishingový e-mail, kompromitované přihlašovací údaje nebo neaktualizovaná služba připojená k internetu. Jakmile ransomware získá jediný opěrný bod, začne se šířit napříč celou sítí a zašifruje vše, co najde – servery, virtuální stroje i koncová zařízení.

„Microsoft nás zálohuje“

Než se dostaneme k architektuře, je potřeba zmínit jedno převládající přesvědčení, které vystavuje velkou část firem riziku. Je to předpoklad, že Microsoft 365 zálohuje vaše data. Není to pravda. V rámci modelu sdílené odpovědnosti Microsoft zabezpečuje infrastrukturu, ale za data a jejich ochranu jste zodpovědní jen a pouze vy.

Synchronizace ≠ záloha

Stejná past platí pro jakoukoli službu založenou na synchronizaci souborů – OneDrive, SharePoint, Google Drive nebo Dropbox jsou synchronizační nástroje, nikoliv zálohovací služby. Pokud ransomware zašifruje soubory ve vaší synchronizované složce, jejich zašifrované verze se během několika minut propíší do cloudu a nahradí tamní kopie, na které se spoléháte. Nativní retenční doby předchozích verzí bývají krátké a útočník se správnými přístupy je navíc dokáže odstranit.

Řešení Active Backup pro Microsoft 365 tento problém odstraňuje tím, že udržuje nezávislé kopie vašich dat z Exchange, OneDrive, SharePoint nebo Teams mimo danou platformu. Neměnné snímky pak přidávají těmto zálohám další vrstvu ochrany navíc. Nejste si jisti, zda je vaše prostředí dostatečně chráněno? Náš rychlý test vám poskytne odpověď během několika minut.

Řešení neměnných záloh od Synology

Podstatou ochrany záloh před ransomwarem jsou dvě zásadní otázky: co vaše záloha pokrývá a zda na ni ransomware dosáhne. Většina firem selhává přinejmenším v jednom z těchto aspektů selhává, některé dokonce v obou. Architektura Synology přitom přináší odpověď na obě otázky v rámci jediné platformy, navíc bez licencování na uživatele nebo zátěž.

Nejsilnější argument, který může Synology proti ransomwaru nabídnout, vychází ze spolupráce dvou služeb. Active Backup for Business odpovídá na otázku, zda záloha pokrývá vše – chrání PC, fyzické servery a virtuální počítače z jediné konzole a bez licenčních poplatků v rámci systému DSM. Tím uzavírá mezery, které ransomware s oblibou využívá – nechráněný notebook nebo zapomenutý virtuální počítač.

Snapshot Replication odpovídá na druhou, těžší otázku, zda záloha přežije útok – vytváří neměnnou zálohu prostřednictvím WORM snímků na svazcích Btrfs. Jakmile jim nastavíte dobu ochrany, snímky během ní jednoduše není možné odstranit či pozměnit, dokonce ani z administrátorského účtu disponujícího všemi pravomocemi.

Snapshot Replication zároveň kopíruje neměnné snímky do druhého systému Synology, čímž vzniká čistá, uzamčená kopie na samostatném hardwaru pro rychlou obnovu. Plánování je konfigurovatelné s přesností na minuty a obnova probíhá přes webové rozhraní DSM. Mějte prosím na paměti, že neměnné snímky vyžadují zařízení s podporou WORM, takže výběr modelu je při navrhování architektury důležitý.

Neměnná záloha, která pokrývá vše a přežije jakýkoli útok, vám dává nejlepší šanci na obnovu dat bez placení výkupného.

Zlaté pravidlo zálohování

Neměnné kopie pomáhají proti většině scénářů ransomwaru, ale kompletní architektura jde ještě dál tím, že dodržuje pravidlo 3-2-1-1-0: tři kopie vašich dat na dvou typech médií, jedna kopie uložená mimo lokalitu, jedna kopie zůstává neměnná nebo offline a nula chyb při testu obnovy dat. Off-site kopie vás ochrání před plošnými útoky na úrovni celé lokality a neměnná kopie je to, co přežije útok, který získá přístup do vaší sítě. Synology pro tyto účely nabízí dva doplňující se nástroje.

Hyper Backup vytváří verzované, deduplikované a šifrované zálohy s možností umístění na externí disky, vzdálená Synology NAS, rsync servery nebo do cloudu Synology. Udržuje plnou historii verzí, takže můžete svá data obnovit z jakéhokoli předchozího bodu, nikoliv pouze z toho nejnovějšího.

Neměnné cloudové zálohy se Synology C2

Synology C2 poskytuje umístění snímků mimo vaši platformu bez potřeby druhé fyzické lokality. C2 Storage poskytuje jednotné cloudové úložiště, které funguje jako cíl pro Hyper Backup a je zcela oddělené od vaší sítě a přihlašovacích údajů, čímž se stává nedostupným pro ransomware.

Neměnná kopie v tomto modelu může existovat ve dvou vrstvách. V rámci NAS zařízení se o ni postará Snapshot Replication, který dodá neměnnost vašim místním zálohám (na podporovaných modelech), čímž pokryje pracovní stanice, servery, virtuální počítače i SaaS data chránění pomocí Active Backup.

V cloudu pak tuto funkci obstará nástroj C2 Object Lock, jenž zaručí neměnnost kopie objektu mimo platformu po dobu, jakou si určíte. Uzamčenou kopii nemůže nikdo upravit ani smazat, a to ani s administrátorskými přihlašovacími údaji. Posledním krokem je pak nula v pravidle 3-2-1-1-0, což je test obnovy dat. Ten potvrdí, že je kopie neobsahuje žádné chyby a je čistá a plně obnovitelná.

Včasná detekce: Active Insight

Zatímco výše uvedené nástroje chrání vaše data díky zálohám a neměnnosti, řešení Active Insight přidává vrstvu pokrývající dřívější fázi životního cyklu ransomwaru: včasnou detekci. Je k dispozici jako předplatné podle hostitele.

Active Insight je cloudová monitorovací služba společnosti Synology, která sleduje aktivity okolo souborů – vzorce přístupů, míru úprav a způsoby nakládání se soubory napříč vašimi systémy Synology v reálném čase. Její jednotná konzole se dá škálovat napříč více lokalitami.

Jak funguje detekce během útoku

K čemu je to dobré? Ransomwarový útok se projevuje velmi anomálními vzorci aktivity souborů – jediný proces upravuje tisíce souborů za minutu, hromadně se mění přípony a časová razítka úprav přicházejí v těsném sledu. Active Insight tyto vzorce detekuje a upozorní administrátory, obvykle během několika minut od začátku útoku. To dává týmu čas zasáhnout dříve, než se dokončí vlna šifrování. Na podporovaných systémech může jít Active Insight ještě o krok dál – v okamžiku, kdy toto chování detekuje, automaticky pořídí neměnný snímek, čímž zachová čistou kopii dat.

Pro menší IT týmy nebo vedoucího provozu, který má standardně IT na starosti, toto upozornění znamená obrovský rozdíl. Je to rozdíl mezi zachycením probíhajícího incidentu a jeho objevením až druhý den ráno. Okamžité oznámení o hromadné úpravě souborů signalizuje, že je čas izolovat zasažený systém, než ztratíte další data.

Zaplacení výkupného není plán obnovy

Když spadnou systémy a firma se zastaví, zaplacení výkupného se může zdát jako nejrychlejší cesta k obnově provozu. Data ale ukazují, že k tomu dochází jen zřídka – velká část obětí, které zaplatí výkupná, svá data nikdy zcela neobnoví a většina z nich navíc bývá do roka zasažena znovu. Zaplacení výkupného signalizuje jak schopnost, tak ochotu platit, což z vás dělá prioritní cíl pro další útoky.

Simulujte obnovu po ransomwaru z neměnné zálohy

Jedinou spolehlivou odpovědí na ransomware je proto být schopni obnovit data vlastními prostředky, a Synology vám k tomu poskytne vše potřebné. Data obnovíte z neměnného snímku nebo pomocí Hyper Backup za pomoci praktického průvodce v jejich rozhraní. Virtual Machine Manager vám pomůže otestovat zálohu na virtuálním stroji, abyste mohli ověřit její integritu před samotným obnovením.

Obnova z nedávného neměnného snímku může být u většiny objemů firemních dat dokončena rychle. Obnova z C2 závisí na objemu dat a rychlosti připojení, ale jakmile ji spustíte, systém celý proces automaticky dokončí. Ať už ale obnovujete z lokální nebo cloudové zálohy, díky Synology nebudete muset vyjednávat s útočníkem a spoléhat se na to, že dodrží slovo.

Jedna platforma pro neměnné zálohy, bez licencování na uživatele

Veškerá architektura popsaná v tomto článku běží na aktuální řadě firemních NAS Synology. Závěrem je třeba zmínit ještě ekonomickou stránka věci, která rovněž hraje zásadní roli. Konkurenti jako Veeam a Acronis si účtují poplatky za virtuální počítač, za uživatele nebo za zátěž. Synology zahrnuje svůj balíček Active Backup Suite do systému DSM bez dodatečných licenčních nákladů. Pro typickou firmu chránící desítky PC, několik virtuálních počítačů a e-mailový tenant se tento rozdíl nasčítá a již během několika let vykáže významný rozdíl v celkových nákladech ve prospěch Synology. Pro organizace, které chtějí mít veškeré popsané funkce předintegrované v jednom řešení, jsou pak k dispozici zařízení ActiveProtect.

Udělejte si audit svého plánu obnovy

Vyzkoušejte naši výzvu Ransomware Resilience Challenge a zjistěte své skóre připravenosti z hlediska pokrytí, neměnnosti, ochrany mimo lokalitu a bezpečnostní kultury. Máte dotazy ohledně vašeho nastavení? Rádi vám pomůžeme.