نسخ احتياطيّ يصمد أمام برمجيّات الفدية ── قاعدة 3-2-1، ووجهة تخزين لا يمكن تعديلها، والتحقّق من إمكانيّة الاستعادة

في هجمات برمجيّات الفدية، كثيراً ما تكون لدى الجهة نسخ احتياطيّة ومع ذلك لا تستطيع الاستعادة. وأكثر الأسباب شيوعاً أنّ النسخ الاحتياطيّة شُفِّرت مع كلّ شيء آخر. تشرح هذه المقالة كيف تبني نسخاً احتياطيّة تصمد أمام الهجمات، لأجهزة كمبيوتر Windows وخوادم الملفّات في الشركات الصغيرة والمتوسطة.

النقاط الأساسيّة ثلاث: أن تحتفظ بنسخة واحدة لا يستطيع جهاز مصاب تعديلها، وألّا تستخدم «الإصدارات السابقة» بدلاً من النسخ الاحتياطيّة، وأن تتحقّق من أنّك تستطيع الاستعادة فعلاً. تحدّد قاعدة 3-2-1 عدد النسخ وأماكنها، لكنّها وحدها تترك ثغرات بوصفها حماية من برمجيّات الفدية.

الأوامر في هذه المقالة خاصّة بـ Windows، وقد تحقّقنا من مخرجاتها في موجّه أوامر بصلاحيّات المسؤول على Windows Server 2022. قد تتغيّر شاشات الإعدادات وأسعار المنتجات، لذا راجع أحدث وثائق كلّ مزوّد عند اعتمادها.

كثير من الجهات كانت لديها نسخ احتياطيّة ولم تستطع الاستعادة

تسأل وكالة الشرطة الوطنيّة اليابانيّة الجهات التي تعرّضت لبرمجيّات الفدية عن حالة نسخها الاحتياطيّة. في تقريرها عن النصف الأوّل من عام 2025، كانت 51 جهة من بين 53 جهة أجابت تأخذ نسخاً احتياطيّة. لكن من بين 48 جهة سُئلت هل استطاعت الاستعادة من النسخ الاحتياطيّة إلى المستوى الذي كانت عليه قبل الهجوم مباشرة، استطاعت 7 جهات فقط، ولم تستطع 41 جهة¹.

ومن بين 35 جهة ذكرت سبب تعذّر الاستعادة، قالت 23 جهة «شُفِّرت النسخ الاحتياطيّة أيضاً»، و8 جهات «قصور في التشغيل»، و4 جهات «أخرى»¹. ويذكر التقرير نفسه أنّ مجموعات برمجيّات الفدية تمحو سجلّات الضحايا ونسخهم الاحتياطيّة لإزالة آثارها ومنع التعافي. ثمّ يطلب الاحتفاظ بالنسخ الاحتياطيّة في بيئة غير متّصلة².

flowchart TB
        accTitle: كيف تكون لديك نسخ احتياطيّة ولا تستطيع الاستعادة
        accDescr: مخطّط يبيّن أنّ النسخ الاحتياطيّة، حتّى إن أُخذت، تُشفَّر مع كلّ شيء آخر إذا كان الجهاز المصاب يصل إليها، وأنّ عدم التحقّق من إجراء الاستعادة يؤدّي إلى تعذّر الاستعادة بسبب قصور في التشغيل.
        A["تُؤخذ نسخ احتياطيّة"] --> B{"هل يصل إليها الجهاز المصاب؟"}
        B -->|"يصل"| C["تُشفَّر أو تُحذف أيضاً"]
        B -->|"لا يصل"| D{"هل جُرِّب إجراء الاستعادة؟"}
        D -->|"لم يُجرَّب"| E["تتعذّر الاستعادة بسبب قصور في التشغيل"]
        D -->|"جُرِّب"| F["تمكن الاستعادة"]

الشكل 1: تكون النسخ الاحتياطيّة قابلة للاستخدام حين لا يصل إليها الجهاز المصاب ويكون إجراء الاستعادة قد جُرِّب.

وهناك حالات نجحت فيها الاستعادة. يعرض الإصدار 4.0 من «الدليل الإرشاديّ لتدابير أمن المعلومات للشركات الصغيرة والمتوسطة» الصادر عن IPA حالة شركة إنشاءات شُفِّرت خوادم ملفّاتها وأنظمة أخرى بعد اختراق عبر جهاز VPN. ولأنّ الشركة كانت تجري تدريبات استعادة مرّتين في السنة، من بين أسباب أخرى، أعادت تشغيل أنظمتها الأساسيّة من النسخ الاحتياطيّة بعد خمسة أيّام من اكتشاف الهجوم. ومع ذلك استغرق استئناف كلّ نظام داخليّ 41 يوماً، واستغرق استئناف الوصول عن بُعد أربعة أشهر، وفقدت الشركة ما يزيد قليلاً على 20 في المئة من ملفّاتها الداخليّة³. فالقدرة على الاستعادة من النسخ الاحتياطيّة لا تعني زوال الضرر.

في المخطّط، يشير الخطّ المتّصل إلى علاقة قائمة دائماً، ويشير الخطّ المتقطّع إلى علاقة مشروطة (شروط قيامها مذكورة في شرح كلّ علاقة في الصفحة التفصيليّة). القائمة الكاملة للعلاقات (المجموع 13، مع الأدلّة ودرجة اليقين) وتعريفات المفاهيم الرئيسة مجمّعة في صفحة تفاصيل خريطة المعرفة (باليابانية). البيانات: JSON-LD / Turtle

يحذف المهاجمون النسخ الاحتياطيّة التي يصلون إليها

يذكر دليل #StopRansomware الذي أصدرته CISA وجهات أمريكيّة أخرى أنّ كثيراً من برمجيّات الفدية تبحث عن النسخ الاحتياطيّة التي يمكن الوصول إليها لتحذفها أو تشفّرها، حتّى لا تستطيع الضحيّة التعافي من دون دفع الفدية. لذلك يرى أنّ الاحتفاظ بالنسخ الاحتياطيّة غير متّصلة أمر مهمّ⁴.

وتكتب Microsoft أيضاً أنّ المهاجمين يركّزون على تعطيل برامج النسخ الاحتياطيّ وميزات نظام التشغيل مثل نسخ الظلّ لوحدة التخزين⁵. ومن النسخ الاحتياطيّة التي يصل إليها جهاز مصاب ما يلي.

• محرّكات الأقراص الخارجيّة الموصولة بالجهاز دائماً
• المجلّدات المشتركة على NAS أو خادم ملفّات المعيَّن لها حرف محرّك أقراص
• مجلّدات المزامنة السحابيّة التي يستطيع الحساب المعتاد الكتابة فيها
• نسخ الظلّ (الإصدارات السابقة) على وحدة التخزين نفسها

حتّى الأوامر المدمجة في نظام التشغيل تستطيع حذف نسخ الظلّ وفهارس النسخ الاحتياطيّ. يصنّف MITRE ATT&CK هذا الأسلوب باسم «Inhibit System Recovery» (T1490). ومن الأمثلة الواردة فيه حذف جميع نسخ الظلّ بالأمر vssadmin.exe delete shadows /all /quiet، وحذف فهرس النسخ الاحتياطيّ في Windows بالأمر wbadmin.exe delete catalog -quiet⁶. ويطلب دليل CISA أيضاً مراقبة الاستخدام المريب لـ vssadmin.exe وwbadmin.exe وwmic.exe (shadowcopy) وأدوات مشابهة⁴.

flowchart TB
        accTitle: النسخ الاحتياطيّة التي يصل إليها جهاز مصاب والتي لا يصل إليها
        accDescr: مخطّط يبيّن أنّ الجهاز المصاب يستطيع الكتابة في محرّك أقراص خارجيّ موصول دائماً، ومجلّد مشترك معيَّن، ومجلّد مزامنة، ونسخ الظلّ، لكنّه لا يستطيع الكتابة في وسائط مفصولة ولا في تخزين لا يمكن تعديله.
        P["جهاز مصاب"] --> R["أماكن يستطيع الكتابة فيها"]
        P -.-x N["وسائط مفصولة، تخزين لا يمكن تعديله"]
        R --> A["محرّك أقراص خارجيّ موصول دائماً"]
        R --> B["مجلّد مشترك معيَّن"]
        R --> C["مجلّد مزامنة سحابيّة"]
        R --> D["نسخ الظلّ"]

الشكل 2: النسخ الاحتياطيّة الموجودة حيث يستطيع جهاز مصاب الكتابة تصبح أهدافاً للهجوم.

وعليك أيضاً الانتباه إلى الهجمات التي تستغرق وقتاً. تكتب Microsoft أنّ برمجيّات الفدية قد تشفّر البيانات تدريجيّاً مع إبقاء المفتاح على النظام. وخلال تلك المدّة يواصل المستخدمون استخدام البيانات كالمعتاد، فتتراكم نسخ احتياطيّة لبيانات مشفّرة من دون أن ينتبه أحد. وحين يكتمل التشفير ويُحذف المفتاح، لا يعود من الممكن قراءة حتّى النسخ الاحتياطيّة الحديثة⁵. وإذا كنت لا تحتفظ إلّا بأحدث جيل، فلن يكون لديك في هذه الحالة ما تعود إليه.

«الإصدارات السابقة» لا تحلّ محلّ النسخ الاحتياطيّة

تستخدم «الإصدارات السابقة» في Windows ونسخ الظلّ للمجلّدات المشتركة خدمة نسخ الظلّ لوحدة التخزين (VSS). ويستخدم موفّر النظام لـ VSS المرفق مع Windows أسلوب النسخ عند الكتابة: قبل أن يُعاد كتابة كتلة، يحفظ محتواها في منطقة الفروق، فيعيد بناء وحدة التخزين كما كانت في لحظة معيّنة⁷.

تشرح Microsoft في وثائق VSS الفرق بين نسخة الظلّ والنسخة الاحتياطيّة على النحو التالي. حين تُنسخ البيانات من نسخة الظلّ إلى وسائط قابلة للإزالة مثل الشريط، يصبح محتوى تلك الوسائط هو النسخة الاحتياطيّة. وبعد النسخ يمكن حذف نسخة الظلّ نفسها⁷. وتذكر الوثائق أيضاً أنّه حين تنفد المساحة في منطقة الفروق، تُحذف نسخ الظلّ الأقدم أوّلاً⁷.

flowchart TB
        accTitle: الفرق بين نسخة الظلّ والنسخة الاحتياطيّة
        accDescr: مخطّط يبيّن أنّ نسخة الظلّ مجموعة فروق عن وحدة التخزين الأصليّة وتُحذف عند نفاد المساحة أو على يد مهاجم، بينما تبقى النسخة الاحتياطيّة المنسوخة إلى وسائط منفصلة حتّى إذا فُقدت وحدة التخزين الأصليّة.
        V["وحدة التخزين الأصليّة"] --> S["نسخة الظلّ (فروق)"]
        S --> L["تُحذف الأقدم أوّلاً عند نفاد المساحة"]
        S --> K["يحذفها مهاجم بـ vssadmin"]
        S -->|"النسخ إلى وسائط منفصلة"| B["نسخة احتياطيّة"]
        B --> R["تبقى حتّى إذا فُقدت وحدة التخزين الأصليّة"]

الشكل 3: تعتمد نسخ الظلّ على بيانات وحدة التخزين الأصليّة، وما يُنسخ إلى وسائط منفصلة هو ما يصبح النسخة الاحتياطيّة.

نسخ الظلّ مفيدة لتمكين المستخدمين من استعادة ملفّ كتبوا فوقه خطأً بأنفسهم. لكن، كما ورد في القسم السابق، قد يحذفها المهاجمون. نشرح الآليّة والتشغيل بالتفصيل في «نسخة الظلّ لوحدة التخزين (VSS): الآليّة والممارسة».

لعرض نسخ الظلّ المتبقّية، نفّذ vssadmin list shadows في موجّه أوامر بصلاحيّات المسؤول. هذا الأمر الفرعيّ متاح على أجهزة العملاء والخوادم معاً⁸.

vssadmin list shadows

ويُعدّ سجلّ الإصدارات وسلّة المحذوفات في OneDrive وSharePoint أيضاً وسيلة للمستخدمين لاسترجاع الملفّات. وتوصي Microsoft بتعليم المستخدمين كيفيّة استعادة OneDrive بالكامل إلى لحظة سابقة. وتذكر أيضاً ألّا يُسمح للمستخدمين بالاستعادة إلّا بعد التيقّن من طرد المهاجم، والاستعداد لحالة يستعيد فيها المستخدمون البرمجيّة الخبيثة أيضاً⁵.

تحدّد قاعدة 3-2-1 عدد النسخ وأماكنها

قاعدة 3-2-1 قاعدة تجريبيّة لطريقة الاحتفاظ بنسخ النسخ الاحتياطيّ. وتشرحها وثيقة «Data Backup Options» التي أُعدّت لـ US-CERT في عام 2012 على النحو التالي⁹.

• 3: احتفظ بثلاث نسخ من الملفّات المهمّة، الأصل ونسختين احتياطيّتين.
• 2: ضعها على نوعين مختلفين من الوسائط، للاحتياط من كوارث من أنواع مختلفة.
• 1: احتفظ بواحدة خارج المنزل أو مقرّ العمل.

وتذكر هذه الوثيقة مصدراً لها كتاب «The DAM Book» للمصوّر Peter Krogh عن إدارة الصور الرقميّة⁹. وتذكر Microsoft أيضاً هذه القاعدة في وثائقها عن النسخ الاحتياطيّ للحماية من برمجيّات الفدية، وتصف «1» بأنّها «نسخة خارج الموقع أو نسخة باردة»⁵.

ما تطلبه قاعدة 3-2-1 هو وضع نسخة خارج الموقع. ولا تشترط أن تكون هذه النسخة غير متّصلة أو غير قابلة للتعديل. لذا إن كانت النسخة الموجودة خارج الموقع في سحابة يستطيع جهاز مصاب الكتابة فيها دائماً، فقد تُشفَّر مع النسخ المحلّيّة. ويذكر دليل CISA ووثائق Microsoft التخزين غير المتّصل وسيلةً للحماية من برمجيّات الفدية. وتذكر Microsoft أيضاً التخزين الذي لا يمكن تعديله⁴⁵.

flowchart TB
        accTitle: قاعدة 3-2-1 والحماية من برمجيّات الفدية
        accDescr: مخطّط يبيّن إضافة نسخة غير متّصلة أو غير قابلة للتعديل إلى قاعدة 3-2-1، أي ثلاث نسخ ونوعين من الوسائط ونسخة خارج الموقع، ثمّ التحقّق من إمكانيّة الاستعادة.
        A["ثلاث نسخ"] --> B["نوعان من الوسائط"]
        B --> C["واحدة خارج الموقع"]
        C --> D["واحدة غير متّصلة أو غير قابلة للتعديل"]
        D --> E["التحقّق من إمكانيّة الاستعادة"]

الشكل 4: أضف إلى قاعدة 3-2-1 نسخة لا يستطيع جهاز مصاب تعديلها، وتحقّقاً من إمكانيّة الاستعادة.

وتروّج شركة Veeam المتخصّصة في برامج النسخ الاحتياطيّ لهذا باسم «قاعدة 3-2-1-1-0». وفي وثائق Veeam، تعني «1» الإضافيّة الاحتفاظ بنسخة غير متّصلة أو معزولة (air gap) أو غير قابلة للتعديل، وتعني «0» عدم وجود أخطاء في التحقّق المنتظم من الاستعادة¹⁰. وهذه تسمية من وثائق مزوّد، وليست معياراً رسميّاً. ومع ذلك يتقاطع البندان الإضافيّان مع ما تطلبه CISA وIPA.

احتفظ بنسخة واحدة لا يستطيع جهاز مصاب تعديلها

هناك طريقتان رئيسيّتان لإنشاء نسخة لا يمكن تعديلها: فصل الوسائط عن الجهاز وحفظها، أو استخدام تخزين سحابيّ لا يمكن فيه تعديل البيانات أو حذفها لمدّة محدّدة. وأيّاً كانت الطريقة، افصل صلاحيّات إدارة النسخ الاحتياطيّ عن العمل اليوميّ.

افصل الوسائط عن الجهاز واحفظها

من بين التدابير الواردة مثالاً في التشخيص الذاتيّ، يطلب الدليل الإرشاديّ لـ IPA ألّا توصل أجهزة النسخ الاحتياطيّ ووسائطه بالكمبيوتر إلّا أثناء أخذ النسخة الاحتياطيّة. ويذكر أيضاً تحديد طريقة أخذ النسخ الاحتياطيّة، وحفظها في مكان آمن، والتحقّق بانتظام من إمكانيّة الاستعادة¹¹.

وللجهات التي تمضي أبعد من ذلك، يذكر «العزل المادّيّ». ويعني ذلك وضع النسخ الاحتياطيّة في مكان بعيد مادّيّاً عن النظام الأصليّ، بحفظ وحدات التخزين الخارجيّة أو أشرطة النسخ الاحتياطيّ في أبعد مكان ممكن. ومن أمثلة أماكن الحفظ صندوق أمانات في مصرف، أو شريك تجاريّ أو شركة تابعة موثوقة¹².

النسخة الاحتياطيّة المحفوظة على هذا النحو مفصولةً عن أنظمة الإنتاج تُسمّى نسخة احتياطيّة غير متّصلة. ولا يستطيع جهاز مصاب الكتابة في وسائط مفصولة. في المقابل، يقوم الأشخاص بإعادة توصيل الوسائط ونقلها، فيُنسى أخذ النسخة أو نقل الوسائط. حدّد من يوصل الوسائط ومن يفصلها ومن ينقلها إلى مكان الحفظ، ومتى.

استخدم تخزيناً سحابيّاً لا يمكن تعديله

لدى خدمات التخزين السحابيّ ميزات تمنع تعديل البيانات أو حذفها لمدّة محدّدة. وهي تحفظ البيانات في حالة تُسمّى WORM (Write Once, Read Many).

في التخزين غير القابل للتعديل في Azure Blob Storage، بعد ضبط سياسة احتفاظ زمنيّة، يمكن إنشاء البيانات وقراءتها خلال تلك المدّة، لكن لا يمكن تعديلها أو حذفها¹³. تُنشأ السياسة أوّلاً في حالة غير مقفلة، ثمّ تُقفل بعد التجربة. ولا يمكن حذف السياسة المقفلة، ويمكن تمديد مدّة الاحتفاظ بها لكن لا يمكن تقصيرها¹³. وتوضّح Microsoft أنّ المستخدمين الذين يملكون صلاحيّات مسؤول الحساب أيضاً لا يستطيعون تعديل البيانات أو حذفها¹³.

ولخاصّيّة Object Lock في Amazon S3 وضعان. في وضع الامتثال، لا يستطيع أحد، بمن في ذلك المستخدم الجذر لحساب AWS، الكتابة فوق إصدار كائن أو حذفه خلال مدّة الاحتفاظ. وفي وضع الحوكمة، لا يستطيع تغيير إعدادات الاحتفاظ أو إزالتها إلّا المستخدمون ذوو الصلاحيّات الخاصّة¹⁴. ولا يمكن استخدام Object Lock إلّا في الحاويات (buckets) التي فُعِّلت فيها إدارة الإصدارات في S3¹⁴.

flowchart TB
        accTitle: مثالان على تخزين لا يمكن تعديله
        accDescr: مخطّط يبيّن أنّ السياسة المقفلة في التخزين غير القابل للتعديل في Azure Blob Storage لا يمكن حذفها ولا تقصير مدّة الاحتفاظ بها، وأنّ المستخدم الجذر نفسه لا يستطيع الحذف في وضع الامتثال في S3 Object Lock، بينما تسمح الصلاحيّات الخاصّة بالتغيير في وضع الحوكمة.
        W["تخزين لا يمكن تعديله"] --> AZ["التخزين غير القابل للتعديل في Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["لا يمكن تقصير الاحتفاظ بعد القفل"]
        S3 --> C["وضع الامتثال"]
        S3 --> G["وضع الحوكمة"]
        C --> C1["حتّى المستخدم الجذر لا يستطيع الحذف"]
        G --> G1["الصلاحيّات الخاصّة تسمح بالتغيير"]

الشكل 5: يرفض كلا النوعين من التخزين التعديل والحذف لمدّة محدّدة، وتختلف الصرامة بحسب الإعدادات.

في Azure، حتّى إن اكتشفت خطأً في الإعدادات بعد قفل السياسة، لا تستطيع تقصير مدّة الاحتفاظ¹³. ويذكر دليل CISA أنّ بعض مزوّدي الخدمات السحابيّة يقدّمون تخزيناً لا يمكن تعديله، ثمّ ينبّه إلى أنّ الخطأ في الإعدادات قد يؤدّي إلى تكاليف كبيرة. ويشير أيضاً إلى أنّ هذا التخزين قد لا يفي بمتطلّبات بعض اللوائح⁴. إذا ضبطت مدّة احتفاظ طويلة وقفلتها، فلن تستطيع محو البيانات خلال تلك المدّة، وستستمرّ رسوم التخزين. ابدأ بحالة غير مقفلة أو بمدّة قصيرة، وتحقّق من أنّك تستطيع الاستعادة، ثمّ طبّق إعدادات الإنتاج.

افصل صلاحيّات إدارة النسخ الاحتياطيّ

حتّى مع استخدام تخزين لا يمكن تعديله، إذا كان من الممكن تغيير إعدادات النسخ الاحتياطيّ وسياساته بحساب المسؤول المعتاد، فقد يغيّرها مهاجم. توصي Microsoft بطلب خطوة إضافيّة، مثل المصادقة متعدّدة العوامل أو رقم PIN أمنيّ، قبل تعديل النسخ الاحتياطيّة عبر الإنترنت أو حذفها. وتذكر أيضاً قصر عمليّات النسخ الاحتياطيّ والاستعادة على المستخدمين ذوي الأدوار المحدّدة، وتقليل مشاركات الملفّات التي يستطيع فيها كثير من المستخدمين الكتابة والحذف⁵.

وحتّى لو كان الشخص نفسه يدير أجهزة الكمبيوتر والنسخ الاحتياطيّ معاً، فلا تستخدم الحساب الذي تدير به وجهة النسخ الاحتياطيّ لتسجيل الدخول اليوميّ إلى الأجهزة، واحمِه بالمصادقة متعدّدة العوامل.

احتفظ بعدّة أجيال

يذكر الدليل الإرشاديّ لـ IPA «إدارة الأجيال»، أي الاحتفاظ بنسخ احتياطيّة من عدّة لحظات زمنيّة. وتتيح العودة إلى لحظة معيّنة حين تتلف البيانات أو تُفقد¹². وكما ورد في قسم سابق، إذا استغرق الانتباه إلى التشفير وقتاً، فستحتوي أحدث النسخ الاحتياطيّة على بيانات مشفّرة بالفعل. حدّد عدد الأجيال التي تحتفظ بها بحسب المدّة التي قد يستغرقها الانتباه إلى التشفير وبحسب تكلفة التخزين.

flowchart TB
        accTitle: ثلاثة تدابير للاحتفاظ بنسخة لا يمكن تعديلها
        accDescr: مخطّط يبيّن حفظ وسائط مفصولة أو استخدام تخزين لا يمكن تعديله، وفصل صلاحيّات إدارة النسخ الاحتياطيّ عن الحسابات المعتادة، والاحتفاظ بعدّة أجيال.
        A["نسخة لا يمكن تعديلها"] --> B["حفظ وسائط مفصولة"]
        A --> C["تخزين لا يمكن تعديله"]
        B --> D["فصل صلاحيّات الإدارة"]
        C --> D
        D --> E["الاحتفاظ بعدّة أجيال"]

الشكل 6: بعد تحديد مكان الحفظ، افصل صلاحيّات الإدارة واحتفظ بأجيال كي تستطيع العودة حتّى إن انتبهت متأخّراً.

تحقّق من أنّك تستطيع الاستعادة

في تقرير وكالة الشرطة الوطنيّة، كان «قصور في التشغيل» ثاني أكثر أسباب تعذّر الاستعادة شيوعاً¹. لا تعرف هل يمكن استعادة النسخة الاحتياطيّة فعلاً حتّى تجرّب. ويُسمّى العمل الذي تستعيد فيه فعلاً من نسخة احتياطيّة للتحقّق من ذلك اختبار الاستعادة.

يقسم الدليل الإرشاديّ لـ IPA تشغيل النسخ الاحتياطيّ إلى ثلاثة أجزاء: الأخذ والحفظ والاستعادة. وفي الاستعادة يطلب وضع خطّة للتعافي والتحقّق من إمكانيّة الاستعادة الصحيحة³. وللأنظمة المهمّة للأعمال، يطلب تنظيم أخذ النسخ الاحتياطيّة والإجراءات بما يتوافق مع هدف وقت الاستعادة (RTO) وهدف نقطة الاستعادة (RPO)، والتحقّق من فعاليّتها بالتدريبات. وRTO هو الوقت اللازم للعودة إلى المستوى المستهدف، وRPO هو اللحظة التي تعود إليها، أي لحظة أحدث نسخة احتياطيّة¹⁵. ويطلب دليل CISA أيضاً، تحسّباً للتعافي من الكوارث، التحقّق بانتظام من أنّ النسخ الاحتياطيّة متاحة وسليمة⁴.

flowchart TB
        accTitle: طريقة إجراء اختبار الاستعادة
        accDescr: مخطّط يبيّن تسلسل تحديد ترتيب الاستعادة، والاستعادة في بيئة منفصلة، ومقارنة الوقت المستغرق والنقطة المستعادة بـ RTO وRPO، ثمّ تصحيح دليل الإجراءات.
        A["تحديد ترتيب الاستعادة"] --> B["الاستعادة في بيئة منفصلة"]
        B --> C["مقارنة الوقت المستغرق بـ RTO"]
        B --> D["مقارنة النقطة المستعادة بـ RPO"]
        C --> E["تصحيح دليل الإجراءات"]
        D --> E
        E -.->|"التحقّق التالي"| A

الشكل 7: جرّب الاستعادة، وتحقّق من أنّ الوقت والنقطة يحقّقان الأهداف، وأعد النتائج إلى دليل الإجراءات.

ما الذي تتحقّق منه

استناداً إلى وثائق IPA وMicrosoft، يمكن ترتيب ما يجب التحقّق منه كما يلي.

توصي Microsoft بأن تبدأ بتحديد الأنظمة التي لا غنى عنها للأعمال وأخذ نسخ احتياطيّة منها بانتظام. وقائمة النسخ الاحتياطيّة المرتّبة بحسب الأولويّة التي تنتج عن ذلك تصبح هي نفسها ترتيب الاستعادة. ومن ذوات الأولويّة العالية، تذكر أوّلاً أنظمة المصادقة، مثل Active Directory، اللازمة للدخول إلى جميع الأنظمة الأخرى⁵. وتوصي أيضاً بتدريبات منتظمة على إعادة تشغيل الأعمال من حالة تكون فيها جميع الأنظمة متوقّفة. وفي هذه التدريبات يُفترض أنّ البريد الإلكترونيّ والدردشة غير متاحين أيضاً⁵.

وتكتب Microsoft أنّ المهاجمين يستهدفون عمداً أدلّة إجراءات الاستعادة ومخطّطات الشبكة. وتوصي بحمايتها أو الاحتفاظ بنسخ مطبوعة منها في متناول اليد⁵. فإذا لم يكن دليل الإجراءات موجوداً إلّا على خادم الملفّات، فلن تستطيع قراءته حين يُشفَّر خادم الملفّات هذا.

تنبيهات عند الاستعادة بعد هجوم

بعد هجوم فعليّ، أزِل برمجيّة الفدية نفسها من البيئة قبل الاستعادة⁵. وتذكر Microsoft اختيار نسخة احتياطيّة من لحظة يُعرف أنّها لم تكن مصابة، وفحص النسخة الاحتياطيّة بحثاً عن البرمجيّات الخبيثة قبل الاستعادة⁵. ويذكر تقرير وكالة الشرطة الوطنيّة أنّ مجموعات برمجيّات الفدية قد تثبّت برنامجاً للتحكّم عن بُعد بوصفه باباً خلفيّاً لتتمكّن من العودة حتّى بعد إغلاق نقطة الدخول². وقبل الاستعادة، عليك فحص مسار الاختراق وما تركه المهاجمون.

flowchart TB
        accTitle: ترتيب الاستعادة من النسخ الاحتياطيّة بعد هجوم
        accDescr: مخطّط يبيّن إزالة برمجيّة الفدية نفسها ومسار الاختراق، واختيار نسخة احتياطيّة من لحظة غير مصابة، وفحصها بحثاً عن البرمجيّات الخبيثة، ثمّ استعادة الأنظمة الأعلى أولويّة أوّلاً.
        A["إزالة برمجيّة الفدية نفسها"] --> B["فحص مسار الاختراق وما تُرك"]
        B --> C["اختيار لحظة غير مصابة"]
        C --> D["فحص النسخة الاحتياطيّة"]
        D --> E["استعادة الأعلى أولويّة أوّلاً"]

الشكل 8: بعد الهجوم، أزِل ما تركه المهاجمون وتحقّق من لحظة غير مصابة قبل الاستعادة.

كم مرّة تتحقّق

يطلب كلّ من الدليل الإرشاديّ لـ IPA ودليل CISA التحقّق «بانتظام» من إمكانيّة الاستعادة، لكنّهما لا يحدّدان عدداً¹¹⁴. وكانت الشركة في حالة IPA التي عرضناها سابقاً تجري تدريبات استعادة مرّتين في السنة³. حدّد المدّة التي يمكن أن يتوقّف فيها عملك، ومدى قِدَم النقطة التي تُستعاد إليها، ثمّ تحقّق بتواتر يسمح لك بالتأكّد من أنّك تفي بهما.

ما ينبغي أن تقرّره أوّلاً

نلخّص ما سبق في صورة ما ينبغي أن تقرّره الشركة الصغيرة أو المتوسطة أوّلاً.

flowchart TB
        accTitle: ترتيب اتّخاذ القرارات لنسخ احتياطيّ يصمد أمام برمجيّات الفدية
        accDescr: مخطّط يبيّن ترتيب تحديد النطاق، ثمّ تحديد أماكن النسخ والنسخة التي لا يمكن تعديلها، ثمّ تحديد الصلاحيّات والأجيال، ثمّ تحديد RTO وRPO، ثمّ التحقّق من إمكانيّة الاستعادة.
        A["تحديد النطاق"] --> B["تحديد أماكن النسخ"]
        B --> C["تحديد النسخة التي لا يمكن تعديلها"]
        C --> D["تحديد الصلاحيّات والأجيال"]
        D --> E["تحديد RTO وRPO"]
        E --> F["التحقّق من إمكانيّة الاستعادة"]

الشكل 9: قرّر كلّ شيء في تسلسل واحد، من النطاق حتّى التحقّق الأخير من إمكانيّة الاستعادة.

في الإصدار 4.0 من الدليل الإرشاديّ لـ IPA، أُضيف «خذ نسخاً احتياطيّة!» إلى «البنود الخمسة لأمن المعلومات» التي يُبدأ بها، فأصبحت ستّة بنود¹⁶. ونلخّص طريقة السير في الدليل الإرشاديّ ككلّ في «من أين تبدأ الشركات الصغيرة والمتوسطة في تدابير الأمان؟». وإذا كنت تخطّط لاستبدال الخوادم، فراجع أيضاً «Preparing for Windows Server 2016 End of Support».

مقالات ذات صلة

• من أين تبدأ الشركات الصغيرة والمتوسطة في تدابير الأمان؟ ── كيفيّة قراءة الإصدار 4.0 من «الدليل الإرشادي لتدابير أمن المعلومات للشركات الصغيرة والمتوسطة» الصادر عن IPA
• نسخة الظلّ لوحدة التخزين (VSS): الآليّة والممارسة ── لماذا تستطيع برمجيّات النسخ الاحتياطيّ نسخ ملفّات قيد الاستخدام
• Preparing for Windows Server 2016 End of Support

روابط مرجعيّة

مقالات ذات صلة

أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.

مواضيع ذات صلة

صفحات مواضيع قريبة من موضوع هذه المقالة. وانطلاقًا من المقالة يمكنكم الانتقال إلى الخدمات ذات الصلة وإلى مقالات أخرى.

الخدمات المرتبطة بهذا الموضوع

ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.

الأسئلة الشائعة

أسئلة شائعة نتلقّاها عند الاستشارة حول موضوع هذه المقالة.

إذا كنت آخذ نسخاً احتياطيّة، فهل أستطيع استعادة كلّ شيء بعد الإصابة ببرمجيّة فدية؟

في كثير من الأحيان لا يكفي أخذ النسخ الاحتياطيّة للاستعادة. ففي الأضرار التي جمعتها وكالة الشرطة الوطنيّة اليابانيّة للنصف الأوّل من عام 2025، لم تستطع 41 جهة من بين 48 جهة كانت تأخذ نسخاً احتياطيّة وأجابت أن تعود إلى المستوى الذي كانت عليه قبل الهجوم مباشرة. وكان أكثر الأسباب شيوعاً أنّ النسخ الاحتياطيّة نفسها شُفِّرت. تحتاج إلى نسخة لا يستطيع جهاز مصاب تعديلها، وإلى التحقّق من أنّك تستطيع الاستعادة منها.

إذا كانت في Windows ميزة الإصدارات السابقة، فهل ما زلت أحتاج إلى نسخ احتياطيّة؟

نعم. الإصدارات السابقة هي نسخ ظلّ لوحدة التخزين، أي فروق محفوظة على وحدة التخزين الأصليّة نفسها. وتعدّ Microsoft البيانات المنسوخة من نسخة الظلّ إلى وسائط مثل الشريط هي النسخة الاحتياطيّة. وقد تحذف برمجيّات الفدية نسخ الظلّ بأدوات مثل vssadmin، لذا اجمع بينها وبين نسخ احتياطيّة على وسائط منفصلة.

هل يكفي اتّباع قاعدة 3-2-1 للحماية من برمجيّات الفدية؟

ليس دائماً. تطلب قاعدة 3-2-1 ثلاث نسخ ونوعين من الوسائط ونسخة واحدة خارج الموقع، لكنّها لا تشترط أن تكون النسخة الموجودة خارج الموقع غير متّصلة أو غير قابلة للتعديل. فالنسخة السحابيّة التي يستطيع جهاز مصاب أن يكتب فيها دائماً قد تُشفَّر بالطريقة نفسها. أضف نسخة واحدة على وسائط غير متّصلة أو في تخزين لا يمكن تعديله.

كم مرّة ينبغي أن أتحقّق من أنّني أستطيع الاستعادة من النسخ الاحتياطيّة؟

يقول كلّ من الدليل الإرشاديّ لـ IPA ودليل CISA «بانتظام» ولا يحدّدان عدداً. ويعرض الدليل الإرشاديّ لـ IPA حالة شركة كانت تجري تدريبات استعادة مرّتين في السنة، فأعادت تشغيل أنظمتها الأساسيّة بعد خمسة أيّام من اكتشاف الهجوم. حدّد المدّة التي يمكن أن يتوقّف فيها عملك، ومدى قِدَم النقطة التي تُستعاد إليها، ثمّ تحقّق بتواتر يسمح لك بالتأكّد من أنّك تفي بهما.

الملف الشخصي للمؤلف

صفحة الملف الشخصي لمؤلف المقالة.

غو كومورا

ممثل شركة كومورا سوفت ذ.م.م.

يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.