Rozdziel egzemplarze danych i możliwość ich usunięcia
OfflineBrak stałej osiągalności z produkcji; rotacja oraz dostęp do kluczy muszą działać.
ImmutableBlokada zmian na określonych zasadach; sprawdź okres, uprawnienia i możliwość obejścia.
Rozrysuj kopie i wspólne punkty awarii
Reguła 3-2-1 porządkuje projekt: trzy egzemplarze danych, w tym dane robocze, dwa różne rodzaje nośników lub rozwiązań przechowywania oraz jeden egzemplarz poza główną lokalizacją. Nie jest certyfikatem odporności. Dwa foldery na tej samej macierzy nadal zależą od tego samego urządzenia i administratora.
Narysuj przepływ od aplikacji do każdej kopii. Przy strzałkach zapisz konto, harmonogram i możliwość usunięcia danych. Zaznacz wspólne zasilanie, pomieszczenie, łącze i konto zarządzające. Celem jest znalezienie zdarzenia, które może naraz pozbawić firmę wszystkich egzemplarzy.
Ustal, kiedy kopia jest rzeczywiście odłączona
Kopia offline nie jest stale osiągalna z działającego środowiska. Dysk USB podłączony przez cały tydzień do serwera nie spełnia tego założenia, nawet gdy program wykonuje backup tylko nocą. Ustal moment podłączenia, weryfikacji, odłączenia oraz sposób przechowywania nośnika.
Rotacja wymaga właściciela i zastępstwa. Oznacz zestawy, kontroluj ostatnią poprawną kopię i zapisuj pominięte wykonania. Jeśli nikt nie obsługuje rotacji podczas urlopu, dokumentacja nie odpowiada rzeczywistości. Szyfruj nośniki wynoszone poza biuro, a dostęp do klucza zabezpiecz oddzielnie od samego urządzenia.
Sprawdź zakres niezmienności
Immutable oznacza ochronę zapisanych danych przed zmianą lub usunięciem w określonych warunkach i czasie. Zachowanie zależy od produktu, trybu blokady oraz uprawnień. Nie zakładaj, że każda migawka lub historia wersji ma taką ochronę. Sprawdź również możliwość skrócenia okresu, usunięcia konta i wyłączenia dalszego tworzenia kopii.
Próbę usuwania wykonuj wyłącznie na osobnym zestawie testowym. Zbadaj, co potrafi zwykłe konto kopii, administrator produkcji oraz administrator magazynu. Wynik powinien pokazać, jakie przejęte uprawnienie nadal umożliwia zniszczenie ochrony, zamiast kończyć się samą nazwą funkcji.
Oddziel administrację od codziennej pracy
Ogranicz konta i sieć używane do zarządzania kopiami. Konto tworzące backup nie musi automatycznie mieć prawa do usuwania całej historii. Stosuj osobne uprawnienia administracyjne, silne uwierzytelnianie oraz kontrolę zmian konfiguracji. Alarm o wyłączeniu zadania powinien dotrzeć także poza potencjalnie przejęty system.
Sprawdź zależności od centralnego logowania i menedżera haseł. Dostęp awaryjny ma działać podczas awarii, ale nie powinien stać się łatwym obejściem zabezpieczeń. Zapisz procedurę jego użycia i odbierania uprawnień osobie, która przestaje obsługiwać kopie.
Dobierz historię do wykrywania problemów
Atak lub uszkodzenie danych można zauważyć później niż w dniu jego rozpoczęcia. Jedna najnowsza kopia może już zawierać błędne pliki. Ustal okres przechowywania na podstawie tempa zmian, czasu wykrywania problemów i potrzeb firmy, a nie wyłącznie wolnego miejsca w magazynie.
Monitoruj świeżość kopii, pojemność i błędy zadań. Zbyt krótka historia może zostać usunięta prawidłowo przez mechanizm retencji, zanim ktokolwiek zgłosi utratę dokumentu. Zachowuj też konfigurację aplikacji i instrukcję odbudowy; same dane nie odtwarzają automatycznie całej usługi.
Przećwicz utratę głównego środowiska
Załóż w ćwiczeniu, że serwer i jego zwykłe konto administratora są niedostępne. Odtwórz wybraną usługę z kopii poza tym środowiskiem, w izolacji. Sprawdź odszukanie kluczy, czytelność danych, aktualność punktu odzyskania oraz czas powrotu do pracy. Nie kasuj kopii produkcyjnych w ramach próby.
Odbiór wymaga działającego procesu i udokumentowanych ograniczeń. Przy podejrzeniu ransomware najpierw ustal zaufany punkt odzyskania i usuń przyczynę kompromitacji. Przywrócenie plików nie unieważnia wykradzionych haseł ani nie rozstrzyga, czy dane zostały wcześniej skopiowane przez napastnika.
Źródła: NCSC New Zealand — Implement and test backups · CISA, FBI, NSA and MS-ISAC — #StopRansomware Guide (October 2023) · Canadian Centre for Cyber Security — Tips for backing up your information · NCSC — Prepare your technical recovery capability