Backup, der overlever ransomware

Modul 6: Backup · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du oprette en backup, som en angriber ikke kan kryptere eller slette, ved at vælge en offline kopi, uforanderlig (immutable) lagring, versioner med en passende opbevaringsperiode og et separat login til backuppen.
Nøglebegreber: offline backup, air gap, uforanderlig (immutable), object lock, versionsstyring, separat login til backup, opbevaringsperiode

Hvorfor en almindelig backup ofte ikke er nok

I lektion 1.3 så du, hvordan ransomware fungerer: nogen kommer ind, kigger sig omkring og krypterer derefter alt, de kan nå, på én gang. "Alt, de kan nå" er kerneproblemet. Hvis din backup ligger på et netværksdrev, der altid er tilsluttet din pc som et drevbogstav, er den backup for ransomwaren bare en mappe med filer. Den bliver krypteret lige så effektivt som originalen.

Det amerikanske cybersikkerhedsagentur CISA skriver i sin ransomwareguide, at mange typer ransomware aktivt leder efter tilgængelige backup for at slette eller kryptere dem. En angriber, der har din administratorkonto, kan desuden logge ind i dit backupprogram eller din cloudtjeneste og smide backuppene væk der. Derfor kræver en ransomwaresikker backup mere end "der findes en kopi". Den skal være uden for rækkevidde af en, der har overtaget din computer eller konto.

Der er tre måder at opnå det på, og du kombinerer dem helst:

1. backuppen er ikke forbundet (offline);
2. backuppen kan ikke ændres eller slettes, heller ikke af en administrator (uforanderlig);
3. backuppen ligger bag et andet login end dit daglige arbejde.

Offline: disken i skuffen

En offline backup er en kopi, der kobles fra, efter den er lavet. En ekstern disk, du trækker ud af laptoppen efter backuppen og lægger i en skuffe eller et pengeskab, er det enkleste eksempel. Ransomware kan kun kryptere det, der er tilgængeligt, og en disk i en skuffe er ikke tilgængelig. Den engelske term er air gap: der er bogstaveligt talt luft mellem backuppen og dit netværk.

Det nederlandske NCSC giver samme råd: hold backuppen frakoblet fra din computer, da ransomware ellers kan kryptere den med.

Faldgruber ved offline backup:

• Glemt. En backup, du laver manuelt, bliver sprunget over efter et par travle uger. Sæt en fast dag i din kalender, og skift mellem to diske, så der altid er én uden for huset.
• Altid tilsluttet. En disk, der "for nemheds skyld" bliver siddende, er ikke længere en offline backup.
• Ikke krypteret. En løs disk med hele din administration er et databrud, hvis den bliver stjålet. Slå kryptering til (se lektion 5.2), og opbevar nøglen et andet sted end disken.

Uforanderlig: immutable og object lock

En uforanderlig backup (engelsk: immutable) kan i en fastsat periode ikke ændres eller slettes af nogen. Heller ikke af en, der har din adgangskode. Heller ikke af administratoren.

Ved cloudlagring kaldes teknikken ofte object lock. Dokumentationen fra en stor udbyder beskriver det som write once, read many: du skriver en fil én gang, derefter kan du kun læse den, indtil opbevaringsperioden er udløbet. Der er som regel to tilstande:

Mange backupprogrammer og backuptjenester tilbyder uforanderlig lagring under navne som "immutable backup", "låst backup" eller "WORM". Vær opmærksom på tre ting, når du vælger:

• Hvor lang er låseperioden? En låsning på 7 dage beskytter dig ikke, hvis du først opdager angrebet efter tre uger.
• Hvem kan ophæve låsningen? Hvis du kan gøre det med den samme konto, du bruger dagligt til login, kan en angriber det også.
• Hvad koster det? Uforanderlig betyder også, at du ikke kan rydde op. CISA advarer om, at en forkert indstilling kan give høje omkostninger. Start i det små, og test.

Versioner og opbevaringsperiode: hvor langt tilbage kan du gå?

En backup fra i går hjælper kun, hvis alt stadig var i orden i går. Ransomware venter nogle gange et stykke tid, før den slår til, og en fejl (en slettet mappe, en overskrevet prisliste) opdager du nogle gange først uger senere. Derfor har du brug for versioner: flere backuptidspunkter ved siden af hinanden. Opbevaringsperioden (også kaldet retention) afgør, hvor langt tilbage du kan gå. Det nederlandske NCSC formulerer det sådan: retentionen angiver, hvor langt tilbage du kan gå i en backups historik.

Et almindeligt mønster er udtynding: hver dag en backup, du opbevarer et par uger, hver uge én, du opbevarer et par måneder, og hver måned én, du opbevarer længere. På den måde kan du gå langt tilbage uden hundredvis af fulde kopier.

Spørgsmål til at vælge din opbevaringsperiode:

• Hvor hurtigt opdager du normalt, at noget er galt? Se på tidligere fejl.
• Er der lovpligtige opbevaringskrav, f.eks. for din bogføring? En backup er noget andet end et arkiv: et arkiv opbevarer du i årevis på et fast sted, en backup roterer.
• Hvor meget koster lagringen? Længere opbevaring koster mere.

Et separat login til backuppen

Den tredje foranstaltning er den billigste og bliver oftest glemt. Hvis din backuptjeneste, din cloudlagring og din mail alle bruger den samme konto, og den konto bliver overtaget (lektion 1.4), har angriberen alt på én gang.

• Brug en egen konto til backuptjenesten eller backupprogrammet med en egen, unik adgangskode fra din adgangskodeadministrator, og slå totrinsbekræftelse til.
• Brug ikke den konto til dagligt arbejde, og log ikke ind med den på computeren, hvor du tjekker mail og surfer.
• Lad backupprogrammet, hvor det er muligt, kun kunne skrive til backuplokationen, ikke slette.
• Bestem hvem der har adgang, både fysisk (hvem har nøglen til skabet med disken) og i softwaren. Det nederlandske NCSC nævner også dette eksplicit.

I praksis: sådan ser det ud

Hos eksempeludbyderen WebOké ligger de natlige backup af en hostingpakke på separate lagringsservere i et andet datacenter, adskilt fra serveren, hvor hjemmesiden kører. Ifølge vidensbasen kan du ikke selv slette disse natlige backup: de bliver liggende, så der altid er et gendannelsespunkt, og forsvinder automatisk efter 30 dage. Kun en ekstra backup, du selv har lavet, kan du slette, og det kræver, at du indtaster din adgangskode i panelet.

Det, du selv skal tilføje for at opnå 3-2-1-reglen og den offline kopi: download en backup en gang imellem (den er klar i 48 timer) og opbevar den på en disk, du derefter kobler fra. Et snapshot af en VPS er ifølge samme vidensbase udtrykkeligt IKKE en backup, da det ligger på samme lagring som VPS'en selv.

Hos andre udbydere kan det være tilsvarende eller helt anderledes. Spørg din udbyder konkret: ligger backuppene adskilt fra min konto, kan jeg eller nogen med min adgangskode slette dem, og hvor langt tilbage går de?

Opsummering

• Ransomware krypterer alt, den kan nå, også tilsluttede backup, og angribere leder aktivt efter backup.
• Offline: kobl backupdisken fra, og skift mellem diske, med kryptering.
• Uforanderlig (immutable, object lock): ingen kan slette kopien, før perioden er udløbet.
• Versioner og en passende opbevaringsperiode afgør, hvor langt tilbage du kan gå; vælg den ud fra, hvor hurtigt du normalt opdager problemer.
• Brug et separat, godt beskyttet login til din backup, adskilt fra din daglige konto.

Quiz

Opgave

Opgave D6.2: Gør én backup ransomwaresikker. Vælg dine vigtigste data (f.eks. din bogføring eller din hjemmeside), og opsæt én kopi, der ligger uden for rækkevidde: en ekstern disk, du kobler fra efter backuppen og opbevarer et andet sted, eller en backuptjeneste med uforanderlig lagring. Giv backuppen et eget login med totrinsbekræftelse, kontrollér hvor langt tilbage du kan gå, og notér hvem der har adgang. Besvar til sidst refleksionsspørgsmålene.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere kan det fungere tilsvarende eller anderledes. Spørg din udbyder.

• DirectAdmin vejledning 16.2: Sikkerhedskopiering og gendannelse: opret selv en sikkerhedskopi i DirectAdmin
• Nextcloud-vejledning 6.2: Sådan gendanner du en ældre version og navngiver versioner
• Nextcloud-vejledning 6.3: Hvor længe gemmer Nextcloud versioner og slettede filer?
• Snapshots og backupper af din VPS
• WebOké Backups: Se, gendan eller download en backup
• Det nederlandske NCSC, Ransomware forklaret: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Det nederlandske NCSC, Sådan laver du en backupstrategi: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (engelsk): https://www.cisa.gov/stopransomware/ransomware-guide