Esmaspäeva hommik, kell seitse. IT eest vastutav inimene tuleb kontorisse, sest ükski süsteem ei tööta alates viiest. Serverite ekraanidel on tekst lingi ja tähtajaga. Esimene mõte on rahulik: meil on varukoopiad, taastame. Ta avab varukoopiaserveri ja leiab varundustööd kustutatud ning hoidla tühja. Pilvesalvestus, kuhu varukoopiad üles laaditi, on samuti tühi. Viimane töötav koopia on väline ketas, mille keegi aasta tagasi seifi viis.
See stsenaarium ei ole väljamõeldud ja see kordub väikeste variatsioonidega. Kõige sagedamini olid ettevõttel varukoopiad olemas. Need olid lihtsalt kättesaadavad samast võrgust, samade volitustega, mille ründaja oli juba üle võtnud.
Selles artiklis näitame, kuidas selline rünnak tegelikult kulgeb, miks varukoopiaserver on selle üks esimesi sihtmärke ja kuidas töötavad varukoopiad, kui ründaja ei näe ega saa neid kustutada.
Rünnak ei ole üks fail, see on nädalatepikkune töö
Enamik inimesi kujutab lunavara ette kirjana manusega, mille keegi avab ja kõik krüpteeritakse. Kümme aastat tagasi see nii oligi. Täna on see rünnaku viimane ja lühim samm. Sellele eelneb mitu teist ning neid teevad inimesed, mitte programm.
Esmane juurdepääs
Ründaja pääseb võrku ühel mitmest viisist: õngitsuskiri, millega meelitatakse kellegi parool välja, lekkinud parool, mida töötaja kasutas ka isiklikel lehtedel, paikamata VPN- või kaugtöölauaseadmed või tarnija, kellel on juurdepääs teie süsteemidele. Selles etapis pole veel midagi krüpteeritud ja keegi ei märka midagi.
Luure
Päevade või nädalate jooksul uurib ründaja vaikselt. Millised serverid on olemas, kus asub domeenikontroller, kus failid asuvad, millist varundussüsteemi kasutatakse ja kuhu see kirjutab. Varukoopiaserveri on lihtne ära tunda: nime järgi, sinna installitud tarkvara järgi ja suure andmevoo järgi, mis sinna igal ööl liigub.
Volituste ülevõtmine
Eesmärk on domeeniadministraatori õigused. Neid on sageli lihtsam saada, kui tundub: administraator logis probleemi lahendamiseks töötaja arvutisse ja jättis maha sisselogimistõendi või sama parool töötab nii varukoopiaserveris kui ka pilvesalvestuses. Administraatoriõigustega on ründajal kõik, mis on teie IT-l.
Varukoopiate hävitamine
Alles nüüd algab osa, mida ettevõte esmaspäeva hommikuni ei märka. Varundustööd ja varukoopiad ise kustutatakse. Võrgukettana ühendatud NAS vormindatakse või krüpteeritakse koos kõigega muuga. Pilvesalvestuses, millele varukoopiaserver pääseb oma kontoga ligi, kustutatakse objektid, sest sama konto, mis saab kirjutada, saab tavaliselt ka kustutada. Mõnikord jäetakse varukoopiad veel mõneks päevaks alles, et lunavara krüpteeriks needki, kuid tulemus on sama.
Krüpteerimine
Viimane samm käivitatakse siis, kui varukoopiad on kadunud ja ettevõte on reageerimiseks kõige vähem valmis: reedeõhtul, enne pühade ööd, puhkuseperioodil. Osa andmeid kopeeritakse sageli enne välja, et ründaja saaks ähvardada need avaldada, kui lunaraha ei maksta. Krüpteerimine ise võtab tunde, mitte päevi, nii et kui seda märgatakse, on peatamiseks hilja.
Miks teie võrgus olev varukoopiaserver on sihtmärk
Ründaja loogika on lihtne: ettevõte, kellel on töötavad varukoopiad, ei maksa. Seepärast hävitatakse varukoopiad esimesena. Varukoopiaserver, mis on domeeni liige, võrgus nähtav, mida hallatakse samade administraatoriandmetega ja mis kirjutab salvestusse, kust see saab ka kustutada, ei ole kaitse rünnaku vastu. See on osa rünnakust.
Tüüpilised lüngad, mida näeme IT-turvaauditeid tehes:
- Varukoopiaserver on domeeni liige, seega on domeeniadministraator automaatselt ka varundusadministraator.
- Varukoopiahoidla on ühendatud jagatud kaustana, mis on kättesaadav töötajate arvutitest.
- Pilvesalvestuse juurdepääsuvõti asub varukoopiaserveris ja lubab kustutada, mitte ainult kirjutada.
- Muutumatust pole, seega saab iga varukoopia igal ajal kustutada.
- Üks inimene saab kõik varukoopiad üksi hävitada, ilma kellegi teise kinnituseta.
Ükski neist lünkadest ei ole varundustarkvara viga. Need on arhitektuuriprobleem: varukoopiad kavandati nii, nagu oleks ainus oht rikkis ketas, mitte inimene, kelle käes on teie administraatoriparool. Just seetõttu ei ütle rohelise linnukesega varundusaruanne midagi lunavarakindluse kohta.
Kuidas töötavad muutumatud varukoopiad, mis on võrgust nähtamatud
Muutumatud varukoopiad vastavad igale neist lünkadest. Põhimõte toetub kahele omadusele.
Võrgust nähtamatu
Varukoopiate salvestus ei ole osa teie võrgust. Sellel pole aadressi, mida luure käigus leida, see ei ole domeeni liige ja see ei võta vastu ühendusi teie serveritelt. Andmed jõuavad sinna ühesuunalise kanali kaudu: teie pool saab ainult saata ega saa vaadata, muuta ega kustutada seda, mis on juba saadetud. Ründaja, kes on üle võtnud kogu teie võrgu, näeb ainult, et midagi saadetakse kuhugi.
Muutumatu kindlaksmääratud aja
Salvestuses on iga varukoopia lukustatud määratud perioodiks. Selle aja jooksul ei saa seda kustutada ei teie administraator, teie IT-teenuse pakkuja ega meie üksi tegutsedes. Kustutamiskäsk lükatakse lihtsalt tagasi salvestuse tasemel, mitte rakenduses, mille seadeid saaks muuta. Periood valitakse pikemaks kui aeg, milles ettevõte realistlikult rikkumist märkaks: meie praktikas vähemalt 30 päeva, sageli rohkem.
Kes võib taastamise käivitada
See on põhiline erinevus tavalistest varukoopiatest. Taastamist muutumatutest varukoopiatest ei käivita varukoopiaserver ega domeeniadministraator, vaid teie ettevõtte volitatud esindajad, kes on ette nimetatud, eraldi kanali kaudu, mis ei ole teie võrguga seotud. Nende isik kontrollitakse eelnevalt kokkulepitud viisil. Nii ei saa isegi täielikult kompromiteeritud võrgu kaudu varukoopiatele ligi ega neid hävitada. Üksikasjad on kirjeldatud teenuse muutumatu varukoopia lehel.
Varukoopiad jäid alles. Kus neid käivitada?
Selle esmaspäeva hommiku teine probleem, millele mõeldakse vähem: varukoopiad on terved, kuid serverid on krüpteeritud ja võrku ei saa usaldada, sest keegi ei tea, kus ründaja veel on. Samasse võrku ei saa taastada enne, kui see on puhastatud, ja see võtab päevi.
Seepärast ühendame muutumatud varukoopiad PlanB taristu taastega: varukoopiaid hoitakse meie pilves ja nende kõrval on ette valmistatud isoleeritud keskkond, kus serverid käivitatakse varukoopiatest ning ettevõte jätkab tööd, kuni selle enda taristut uuritakse ja parandatakse. Taasteaega mõõdetakse siis tundides, mitte nädalates, ja see ei sõltu sellest, kui kiiresti nakatunud võrku puhastada saab.
Kust alustada
- Kontrollige, kas teie varukoopiaserver on domeeni liige ja kas domeeniadministraator saab varukoopiaid kustutada. Kui jah, on see esimene asi, mida muuta.
- Viige vähemalt üks varukoopiate koopia salvestusse, mida teie võrgust ei näe ja kus varukoopiad on määratud perioodiks lukustatud.
- Nimetage kaks inimest, kes saavad taastamise käivitada, ja leppige kokku, kuidas nende isikut kontrollitakse ilma ettevõtte e-posti ja võrguta.
- Otsustage, kus serverid käivitataks, kui teie võrku ei saa mitu päeva usaldada.
- Kui soovite, et hindaksime koos teiega varukoopiate seisu ja juurdepääsuõigusi, võtke meiega ühendust kontaktivormi kaudu. Esimene vestlus algab tavaliselt ühe küsimusega: kes saab täna teie varukoopiaid kustutada?
