Säkerhetskopior som överlever ransomware

Modul 6: Säkerhetskopior · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du sätta upp en säkerhetskopia som en angripare inte kan kryptera eller radera, genom att välja en offlinekopia, oföränderlig lagring, versioner med en lämplig lagringstid och en separat inloggning för säkerhetskopian.
Nyckelbegrepp: offline säkerhetskopia, air gap, oföränderlig (immutable), object lock, versionshantering, separat inloggning för säkerhetskopian, lagringstid

Varför en vanlig säkerhetskopia ofta inte räcker

I lektion 1.3 såg du hur ransomware fungerar: någon tar sig in, tittar sig omkring och krypterar sedan allt den kan nå, på en gång. "Allt den kan nå" är kärnproblemet. Ligger din säkerhetskopia på en nätverksenhet som alltid är kopplad till din dator som en enhetsbokstav, är den säkerhetskopian bara en mapp med filer för ransomware. Den krypteras lika hårt som originalet.

Det amerikanska cybersäkerhetsorganet CISA skriver i sin ransomware-guide att många typer av ransomware aktivt letar efter åtkomliga säkerhetskopior för att radera eller kryptera dem. En angripare som har ditt administratörskonto kan dessutom logga in i ditt säkerhetskopieringsprogram eller din molntjänst och radera säkerhetskopiorna där. Därför kräver en ransomwaresäker säkerhetskopia mer än att "det finns en kopia". Den måste vara utom räckhåll för någon som tagit över din dator eller ditt konto.

Det finns tre sätt att åstadkomma det, och du kombinerar dem helst:

1. säkerhetskopian är inte ansluten (offline);
2. säkerhetskopian kan inte ändras eller raderas, inte ens av en administratör (oföränderlig);
3. säkerhetskopian ligger bakom en annan inloggning än ditt dagliga arbete.

Offline: enheten i lådan

En offline säkerhetskopia är en kopia som kopplas från efter att den har skapats. En extern hårddisk som du drar ut ur laptopen efter säkerhetskopieringen och lägger i en låda eller ett kassaskåp är det enklaste exemplet. Ransomware kan bara kryptera det som är åtkomligt, och en enhet i en låda är inte åtkomlig. Den engelska termen är air gap: det finns bokstavligen luft mellan säkerhetskopian och ditt nätverk.

Det nederländska NCSC ger samma råd: håll säkerhetskopian frånkopplad från din dator, eftersom ransomware annars kan kryptera den också.

Fallgropar vid offline säkerhetskopior:

• Glöms bort. En säkerhetskopia du gör för hand hoppas lätt över efter några hektiska veckor. Sätt en fast dag i din kalender och växla mellan två enheter, så att det alltid finns en som ligger utanför lokalen.
• Lämnas alltid ansluten. En enhet som sitter kvar "för enkelhetens skull" är inte längre en offline säkerhetskopia.
• Inte krypterad. En lös enhet med hela din administration är en personuppgiftsincident om den blir stulen. Aktivera kryptering (se lektion 5.2) och förvara nyckeln på en annan plats än enheten.

Oföränderlig: immutable och object lock

En oföränderlig säkerhetskopia (engelska: immutable) kan under en inställd period inte ändras eller raderas av någon. Inte ens av någon som har ditt lösenord. Inte ens av administratören.

Vid molnlagring kallas tekniken ofta object lock. Dokumentationen från en stor leverantör beskriver det som write once, read many: du skriver en fil en gång, därefter kan du bara läsa den tills lagringstiden har löpt ut. Det finns oftast två lägen:

Många säkerhetskopieringsprogram och säkerhetskopieringstjänster erbjuder oföränderlig lagring, under namn som "immutable backup", "låst säkerhetskopia" eller "WORM". Tänk på tre saker när du väljer:

• Hur länge gäller låsningen? En låsning på 7 dagar skyddar dig inte om du upptäcker angreppet först efter tre veckor.
• Vem kan häva låsningen? Kan du göra det med samma konto som du loggar in med dagligen, kan en angripare det också.
• Vad kostar det? Oföränderlig innebär också att du inte kan städa upp det. CISA varnar för att en felaktig inställning kan ge höga kostnader. Börja smått och testa.

Versioner och lagringstid: hur långt tillbaka kan du gå?

En säkerhetskopia från igår hjälper bara om allt fortfarande var intakt igår. Ransomware väntar ibland en tid innan den slår till, och ett misstag (en raderad mapp, en överskriven prislista) märker du ibland först veckor senare. Därför behöver du versioner: flera säkerhetskopieringstillfällen parallellt. Lagringstiden (även kallad retention) avgör hur långt tillbaka du kan gå. Det nederländska NCSC uttrycker det så här: retentionen anger hur långt tillbaka du kan gå i historiken för en säkerhetskopia.

Ett vanligt mönster är att tunna ut: en daglig säkerhetskopia som du behåller några veckor, en veckovis som du behåller några månader, och en månadsvis som du behåller längre. Så kan du gå långt tillbaka utan hundratals fullständiga kopior.

Frågor för att välja din lagringstid:

• Hur snabbt märker du vanligtvis att något är fel? Titta på tidigare misstag.
• Finns det lagstadgade lagringskrav, till exempel för din bokföring? En säkerhetskopia skiljer sig från ett arkiv: ett arkiv sparar du i flera år på en fast plats, en säkerhetskopia roterar.
• Hur mycket kostar lagringen? Längre lagringstid kostar mer.

En separat inloggning för säkerhetskopian

Den tredje åtgärden är den billigaste och den som oftast glöms bort. Om din säkerhetskopieringstjänst, din molnlagring och din e-post alla körs med samma konto, och det kontot kapas (lektion 1.4), har angriparen allt på en gång.

• Använd ett eget konto för säkerhetskopieringstjänsten eller programmet, med ett eget, unikt lösenord från din lösenordshanterare, och aktivera tvåfaktorsautentisering (2FA).
• Använd inte det kontot för dagligt arbete och logga inte in med det på datorn där du mejlar och surfar.
• Låt säkerhetskopieringsprogrammet, där det går, bara skriva till lagringsplatsen, inte radera.
• Bestäm vem som har åtkomst, både fysiskt (vem har nyckeln till skåpet med enheten) och i programvaran. Det nederländska NCSC nämner också det uttryckligen.

I praktiken: så här ser det ut

Hos exempelleverantören WebOké ligger de nattliga säkerhetskopiorna för ett webbhotellspaket på separata lagringsservrar i ett annat datacenter, skilt från servern där webbplatsen körs. Enligt kunskapsbasen kan du inte själv ta bort dessa nattliga säkerhetskopior: de ligger kvar så att det alltid finns en återställningspunkt, och försvinner automatiskt efter 30 dagar. Bara en extra säkerhetskopia som du själv har skapat kan du ta bort, och då frågar panelen efter ditt lösenord.

Det du själv lägger till för att uppnå 3-2-1 och offlinekopian: ladda ner en säkerhetskopia då och då (den finns tillgänglig i 48 timmar) och spara den på en enhet som du sedan kopplar från. En ögonblicksbild (snapshot) av en VPS är enligt samma kunskapsbas uttryckligen INTE en säkerhetskopia, eftersom den ligger på samma lagring som VPS:en själv.

Hos andra leverantörer kan det vara liknande eller helt annorlunda. Fråga din leverantör konkret: ligger säkerhetskopiorna skilt från mitt konto, kan jag eller någon med mitt lösenord radera dem, och hur långt tillbaka går de?

Sammanfattning

• Ransomware krypterar allt den når, även anslutna säkerhetskopior, och angripare letar aktivt efter säkerhetskopior.
• Offline: koppla från säkerhetskopieringsenheten och växla mellan enheter, med kryptering.
• Oföränderlig (immutable, object lock): ingen kan radera kopian förrän perioden har löpt ut.
• Versioner och en lämplig lagringstid avgör hur långt tillbaka du kan gå; välj utifrån hur snabbt du vanligtvis upptäcker problem.
• Använd en separat, väl skyddad inloggning för din säkerhetskopia, skild från ditt dagliga konto.

Quiz

Uppgift

Uppgift D6.2: Gör en säkerhetskopia ransomwaresäker. Välj dina viktigaste uppgifter (till exempel din bokföring eller din webbplats) och sätt upp en kopia som ligger utom räckhåll: en extern enhet som du kopplar från efter säkerhetskopieringen och förvarar på annan plats, eller en säkerhetskopieringstjänst med oföränderlig lagring. Ge säkerhetskopian en egen inloggning med tvåfaktorsautentisering, kontrollera hur långt tillbaka du kan gå och anteckna vem som har åtkomst. Besvara slutligen reflektionsfrågorna.

Läs mer

Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer kan det fungera liknande eller annorlunda. Fråga din leverantör.

• DirectAdmin-guide 16.2: Backup och återställning: skapa en egen backup i DirectAdmin
• Nextcloud-guide 6.2: En äldre version återställa och ge versioner namn
• Nextcloud-guide 6.3: Hur länge sparar Nextcloud versioner och borttagna filer?
• Snapshots och backuper av din VPS
• WebOké Backups: visa, återställa eller ladda ner en backup
• Nederländska NCSC, Ransomware förklarat (på nederländska): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Nederländska NCSC, Att ta fram en säkerhetskopieringsstrategi (på nederländska): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (på engelska): https://www.cisa.gov/stopransomware/ransomware-guide