Olyan biztonsági mentés, amely túléli a zsarolóvírust

Modul 6: Biztonsági mentések · Olvasási idő: 10 perc

Tanulási cél: A lecke végére képes lesz olyan biztonsági mentést kialakítani, amelyet egy támadó nem tud titkosítani vagy törölni, mivel offline másolatot, megváltoztathatatlan tárolást, megfelelő megőrzési idővel rendelkező verziókat és a mentéshez külön bejelentkezést választ.
Kulcsfogalmak: offline biztonsági mentés, air gap, megváltoztathatatlan (immutable), object lock, verziókezelés, külön bejelentkezés a biztonsági mentéshez, megőrzési idő

Miért nem elég sokszor egy egyszerű biztonsági mentés

Az 1.3. leckében láthatta, hogyan működik a zsarolóvírus: valaki bejut a rendszerbe, körülnéz, majd egyszerre titkosít mindent, amihez hozzáfér. Az, hogy „amihez hozzáfér”, a legfontosabb probléma. Ha a biztonsági mentés egy olyan hálózati meghajtón van, amely mindig meghajtóbetűjelként csatlakozik a számítógéphez, akkor az a mentés a zsarolóvírus szemében egyszerűen csak egy mappa a fájlokkal. Ugyanúgy titkosítja, mint az eredetit.

Az amerikai CISA kiberbiztonsági ügynökség a zsarolóvírusokról szóló útmutatójában azt írja, hogy sok zsarolóvírus-típus aktívan keresi az elérhető biztonsági mentéseket, hogy azokat törölje vagy titkosítsa. Egy támadó, aki megszerezte az Ön rendszergazdai fiókját, emellett be tud jelentkezni a mentési programjába vagy felhőszolgáltatásába, és ott is eldobhatja a mentéseket. Ezért a zsarolóvírus-álló biztonsági mentéshez több kell, mint hogy „van egy másolat”. A mentésnek elérhetetlennek kell lennie azok számára, akik átvették az irányítást a számítógép vagy a fiók felett.

Ennek három módja van, és érdemes ezeket kombinálni:

1. a biztonsági mentés nincs csatlakoztatva (offline);
2. a biztonsági mentés nem módosítható vagy törölhető, még egy rendszergazda által sem (megváltoztathatatlan);
3. a biztonsági mentés másik bejelentkezés mögött van, mint a napi munkára használt fiók.

Offline: a merevlemez a fiókban

Az offline biztonsági mentés olyan másolat, amelyet a készítés után leválasztanak. A legegyszerűbb példa erre egy külső merevlemez, amelyet a mentés után kihúz a laptopból, és egy fiókban vagy széfben tárol. A zsarolóvírus csak azt tudja titkosítani, ami elérhető, egy fiókban lévő merevlemez pedig nem az. Az angol kifejezés erre az air gap: szó szerint levegő van a biztonsági mentés és a hálózat között.

A holland NCSC ugyanezt javasolja: ne tartsa a biztonsági mentést a számítógéphez csatlakoztatva, mert különben a zsarolóvírus azt is titkosíthatja.

Buktatók az offline biztonsági mentéseknél:

• Elfelejtés. Egy kézzel elkészített biztonsági mentést néhány hajtós hét után könnyen kihagy az ember. Jelöljön ki egy állandó napot a naptárában, és váltogasson két merevlemezt, hogy mindig legyen egy, ami nincs a helyszínen.
• Folyamatosan csatlakoztatva hagyás. Egy merevlemez, amely „kényelemből” mindig csatlakoztatva marad, már nem offline biztonsági mentés.
• Titkosítatlanul hagyás. Egy különálló merevlemez a teljes adminisztrációjával adatvédelmi incidensnek számít, ha ellopják. Kapcsolja be a titkosítást (lásd az 5.2. leckét), és a kulcsot más helyen tárolja, mint a merevlemezt.

Megváltoztathatatlan: immutable és object lock

A megváltoztathatatlan biztonsági mentést (angolul: immutable) egy beállított időszak alatt senki nem tudja módosítani vagy törölni. Még az sem, akinek megvan az Ön jelszava. Még a rendszergazda sem.

Felhőalapú tárolásnál ezt a technikát gyakran object locknak nevezik. Egy nagy szolgáltató dokumentációja úgy írja le, mint write once, read many: a fájlt egyszer írja le, utána a megőrzési idő lejártáig csak olvasni lehet. Általában két mód létezik:

Sok biztonságimentés-program és mentési szolgáltatás kínál megváltoztathatatlan tárolást, „immutable back-up”, „zárolt biztonsági mentés” vagy „WORM” néven. Választáskor három dologra figyeljen:

• Mennyi ideig tart a zárolás? Egy 7 napos zárolás nem védi meg, ha a támadást csak három hét múlva fedezi fel.
• Ki szüntetheti meg a zárolást? Ha ezt ugyanazzal a fiókkal teheti meg, amellyel naponta bejelentkezik, akkor egy támadó is megteheti.
• Mennyibe kerül? A megváltoztathatatlanság azt is jelenti, hogy nem tud rendet rakni benne. A CISA figyelmeztet, hogy egy rossz beállítás magas költségekkel járhat. Kezdje kicsiben, és tesztelje.

Verziók és megőrzési idő: milyen messzire tud visszamenni?

A tegnapi biztonsági mentés csak akkor segít, ha tegnap még minden rendben volt. A zsarolóvírus néha egy ideig vár, mielőtt lecsap, és egy tévedést (egy törölt mappa, egy felülírt árlista) sokszor csak hetekkel később vesz észre. Ezért van szükség verziókra: több egymás melletti mentési pontra. A megőrzési idő (más néven retenció) határozza meg, milyen messzire tud visszamenni. A holland NCSC így fogalmaz: a retenció megmutatja, milyen messzire mehet vissza a biztonsági mentés történetében.

Egy gyakran használt minta a ritkítás: minden nap egy mentés, amelyet néhány hétig megőriz, minden héten egy, amelyet néhány hónapig megőriz, és minden hónapban egy, amelyet hosszabb ideig megőriz. Így messzire vissza tud menni anélkül, hogy több száz teljes másolatot kellene tárolnia.

Kérdések a megőrzési idő kiválasztásához:

• Általában milyen gyorsan veszi észre, hogy valami nincs rendben? Nézze meg a korábbi tévedéseket.
• Vannak törvényi megőrzési kötelezettségek, például az adminisztrációjára vonatkozóan? A biztonsági mentés más, mint az archívum: egy archívumot évekig egy állandó helyen tárol, egy biztonsági mentés viszont rotálódik.
• Mennyibe kerül a tárolás? A hosszabb megőrzés többe kerül.

Külön bejelentkezés a biztonsági mentéshez

A harmadik intézkedés a legolcsóbb, és ezt felejtik el leggyakrabban. Ha a mentési szolgáltatás, a felhőtárhely és az e-mail fiók mind ugyanazzal a fiókkal működik, és azt a fiókot átveszik (1.4. lecke), akkor a támadó egyszerre mindent megszerez.

• A mentési szolgáltatáshoz vagy programhoz használjon külön fiókot, saját, egyedi jelszóval a jelszókezelőjéből, és kapcsolja be a kétlépcsős azonosítást.
• Ezt a fiókot ne használja napi munkára, és ne jelentkezzen be vele azon a számítógépen, amelyen levelezik és böngészik.
• Ahol lehet, a mentési program csak írni tudjon a mentés helyére, törölni ne.
• Határozza meg, ki férhet hozzá, fizikailag (kinek van kulcsa a merevlemezt tartalmazó szekrényhez) és a szoftverben egyaránt. Ezt a holland NCSC is kifejezetten megemlíti.

A gyakorlatban: így néz ki

A WebOké példaszolgáltatónál egy tárhelycsomag éjszakai biztonsági mentései külön tárolószervereken találhatók, egy másik adatközpontban, elkülönítve attól a szervertől, amelyen a weboldal fut. A tudásbázis szerint ezeket az éjszakai mentéseket saját maga nem tudja törölni: megmaradnak, hogy mindig legyen helyreállítási pont, és 30 nap után automatikusan eltűnnek. Csak az Ön által saját kezűleg készített extra biztonsági mentést lehet törölni, és ehhez a panel bekéri a jelszavát.

Amit ehhez saját maga hozzáadhat a 3-2-1 szabály és az offline másolat eléréséhez: időnként letölt egy biztonsági mentést (ez 48 óráig elérhető marad), és egy olyan merevlemezen tárolja, amelyet utána leválaszt. Egy VPS pillanatkép (snapshot) ugyanezen tudásbázis szerint kifejezetten NEM számít biztonsági mentésnek, mivel ugyanazon a tárolón van, mint maga a VPS.

Más szolgáltatóknál ez hasonló vagy egészen más lehet. Kérdezze meg konkrétan a szolgáltatójától: a biztonsági mentések külön vannak-e a fiókjától, tudja-e ő vagy bárki, aki ismeri a jelszavát, törölni azokat, és milyen messzire mennek vissza.

Összefoglalás

• A zsarolóvírus mindent titkosít, amihez hozzáfér, beleértve a csatlakoztatott biztonsági mentéseket is, és a támadók aktívan keresik a mentéseket.
• Offline: válassza le a mentési merevlemezt, és váltogassa a lemezeket, titkosítással.
• Megváltoztathatatlan (immutable, object lock): senki nem tudja törölni a másolatot a határidő lejártáig.
• A verziók és a megfelelő megőrzési idő határozzák meg, milyen messzire tud visszamenni; ezt aszerint válassza, hogy mennyi idő alatt szokta felfedezni a problémákat.
• Használjon külön, jól védett bejelentkezést a biztonsági mentéshez, elkülönítve a napi fiókjától.

Kvíz

Feladat

D6.2 feladat: Tegyen egy biztonsági mentést zsarolóvírus-állóvá. Válassza ki a legfontosabb adatait (például az adminisztrációját vagy a weboldalát), és alakítson ki egy olyan másolatot, amely elérhetetlen helyen van: egy külső merevlemezt, amelyet a mentés után leválaszt és máshol tárol, vagy egy mentési szolgáltatást megváltoztathatatlan tárolással. Adjon a biztonsági mentéshez külön bejelentkezést kétlépcsős azonosítással, ellenőrizze, milyen messzire tud visszamenni, és jegyezze fel, ki férhet hozzá. Végül válaszoljon a visszatekintő kérdésekre.

További olvasnivaló

A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan vagy másként működhet. Kérdezze meg a szolgáltatóját.

• DirectAdmin útmutató 16.2: Biztonsági mentés és visszaállítás: saját biztonsági másolat készítése a DirectAdmin-ban
• Nextcloud kézikönyv 6.2: Egy régebbi verzió visszaállítása és verziók elnevezése
• Nextcloud kézikönyv 6.3: Meddig őrzi meg a Nextcloud a verziókat és a törölt fájlokat?
• A VPS snapshotjai és biztonsági mentései
• WebOké Biztonsági mentések: biztonsági mentés megtekintése, visszaállítása vagy letöltése
• A holland NCSC, A zsarolóvírus magyarázata: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• A holland NCSC, Biztonsági mentési stratégia kialakítása: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (angol nyelven): https://www.cisa.gov/stopransomware/ransomware-guide