Рэзервовыя копіі, якія вытрымліваюць праграму-вымагальнік ── Правіла 3-2-1, сховішча, якое нельга перазапісаць, і праверка, ці ўдаецца аднавіць

Пры атаках праграм-вымагальнікаў шмат выпадкаў, калі ў арганізацыі былі рэзервовыя копіі, але аднавіць даныя ўсё роўна не ўдалося. Самая частая прычына — рэзервовыя копіі былі зашыфраваныя разам з усім астатнім. У гэтым артыкуле расказваецца, як для камп’ютараў з Windows і файлавых сервераў малых і сярэдніх кампаній зрабіць рэзервовыя копіі, якія вытрымаюць атаку.

Галоўных пунктаў тры: мець адну копію, якую заражаны камп’ютар не можа перазапісаць, не выкарыстоўваць «Previous Versions» замест рэзервовых копій і пераканацца, што аднавіць сапраўды ўдаецца. Правіла 3-2-1 вызначае, колькі копій вы маеце і дзе іх захоўваеце, але само па сабе як абарона ад праграм-вымагальнікаў пакідае прабелы.

Каманды ў артыкуле толькі для Windows, і іх вывад я правяраў у камандным радку адміністратара на Windows Server 2022. Экраны налад і цэны прадуктаў могуць мяняцца, таму пры ўкараненні правярайце найноўшую дакументацыю кожнага пастаўшчыка.

Шмат арганізацый мелі рэзервовыя копіі, але не змаглі аднавіць даныя

Нацыянальнае паліцэйскае агенцтва Японіі пытаецца ў арганізацый, якія пацярпелі ад праграм-вымагальнікаў, пра стан іх рэзервовых копій. У яго справаздачы за першае паўгоддзе 2025 года рэзервовыя копіі рабілі 51 з 53 арганізацый, якія адказалі. Аднак з 48 арганізацый, у якіх спыталі, ці змаглі яны аднавіць з рэзервовай копіі стан непасрэдна перад атакай, змаглі толькі 7, а 41 — не¹.

З 35 арганізацый, якія назвалі прычыну, чаму аднаўленне не ўдалося, 23 адказалі «зашыфраваныя былі і рэзервовыя копіі», 8 — «недахопы ў эксплуатацыі» і 4 — «іншае»¹. У той жа справаздачы гаворыцца, што групоўкі, якія стаяць за праграмамі-вымагальнікамі, выдаляюць журналы і рэзервовыя копіі ахвяр, каб схаваць сляды і перашкодзіць аднаўленню. Далей справаздача патрабуе захоўваць рэзервовыя копіі ў афлайн-асяроддзі².

flowchart TB
        accTitle: Як можна мець рэзервовыя копіі і ўсё роўна не аднавіць даныя
        accDescr: Дыяграма паказвае, што нават калі вы робіце рэзервовыя копіі, яны шыфруюцца разам з усім астатнім, калі да іх дацягваецца заражаны камп'ютар, а калі працэдуру аднаўлення не правяралі, аднаўленню перашкаджаюць недахопы ў эксплуатацыі.
        A["Рэзервовыя копіі робяцца"] --> B{"Ці дацягваецца да іх заражаны камп'ютар?"}
        B -->|"Дацягваецца"| C["Таксама шыфруюцца або выдаляюцца"]
        B -->|"Не дацягваецца"| D{"Ці правяралі працэдуру аднаўлення?"}
        D -->|"Не правяралі"| E["Не аднавіць з-за недахопаў у эксплуатацыі"]
        D -->|"Правяралі"| F["Можна аднавіць"]

Малюнак 1: Рэзервовымі копіямі можна скарыстацца, калі заражаны камп’ютар да іх не дацягваецца і працэдуру аднаўлення праверылі.

Ёсць і выпадкі, калі аднаўленне ўдалося. У 4-м выданні «Кіраўніцтва па інфармацыйнай бяспецы для малых і сярэдніх прадпрыемстваў» IPA апісаны выпадак будаўнічай кампаніі, у якой пасля пранікнення праз прыладу VPN былі зашыфраваныя файлавыя серверы і іншыя сістэмы. Збольшага дзякуючы таму, што кампанія праводзіла вучэнні па аднаўленні двойчы на год, праз пяць дзён пасля выяўлення атакі яна зноў запусціла свае ключавыя сістэмы з рэзервовых копій. Нягледзячы на гэта, аднаўленне кожнай унутранай сістэмы заняло 41 дзень, аднаўленне аддаленага доступу — чатыры месяцы, і кампанія страціла больш за 20 працэнтаў унутраных файлаў³. Тое, што можна аднавіць з рэзервовых копій, не азначае, што шкода знікае.

На схеме суцэльная лінія пазначае сувязь, якая выконваецца заўсёды, а пункцірная — умоўную сувязь (умовы пададзены ў апісанні кожнай сувязі на старонцы з падрабязнасцямі). Поўны спіс сувязей (усяго 13, з падставамі і ступенню пэўнасці) і азначэнні асноўных паняццяў сабраны на старонцы з падрабязнасцямі карты ведаў (па-японску). Даныя: JSON-LD / Turtle

Зламыснікі выдаляюць рэзервовыя копіі, да якіх могуць дацягнуцца

Даведнік #StopRansomware, які выпусціла амерыканскае агенцтва CISA і іншыя ведамствы, кажа, што шматлікія варыянты праграм-вымагальнікаў імкнуцца знайсці даступныя рэзервовыя копіі і выдаліць або зашыфраваць іх, каб ахвяра не магла аднавіць даныя, не заплаціўшы выкуп. Таму даведнік лічыць важным захоўваць рэзервовыя копіі афлайн⁴.

Microsoft таксама піша, што зламыснікі засяроджваюцца на тым, каб вывесці са строю праграмнае забеспячэнне рэзервовага капіравання і функцыі АС, напрыклад ценявыя копіі тома⁵. Да рэзервовых копій, да якіх можа дацягнуцца заражаны камп’ютар, належаць наступныя.

• Знешнія дыскі, увесь час падлучаныя да камп’ютара
• Агульныя папкі NAS або файлавага сервера, падлучаныя як літара дыска
• Папкі сінхранізацыі з воблакам, у якія можа запісваць звычайны ўліковы запіс
• Ценявыя копіі (Previous Versions) на тым жа томе

Ценявыя копіі і каталогі рэзервовых копій можна выдаліць нават камандамі, убудаванымі ў АС. MITRE ATT&CK адносіць гэты прыём да «Inhibit System Recovery» (T1490). Як прыклады там прыводзяцца выдаленне ўсіх ценявых копій камандай vssadmin.exe delete shadows /all /quiet і выдаленне каталога рэзервовых копій Windows камандай wbadmin.exe delete catalog -quiet⁶. Даведнік CISA таксама патрабуе сачыць за падазроным выкарыстаннем vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) і падобных інструментаў⁴.

flowchart TB
        accTitle: Рэзервовыя копіі, да якіх заражаны камп'ютар можа і не можа дацягнуцца
        accDescr: Дыяграма паказвае, што заражаны камп'ютар можа запісваць на ўвесь час падлучаныя знешнія дыскі, у падлучаныя агульныя папкі, папкі сінхранізацыі і ценявыя копіі, але не можа запісваць на адлучаныя носьбіты і ў сховішча, якое нельга перазапісаць.
        P["Заражаны камп'ютар"] --> R["Месцы, куды ён можа запісваць"]
        P -.-x N["Адлучаныя носьбіты, сховішча, якое нельга перазапісаць"]
        R --> A["Увесь час падлучаны знешні дыск"]
        R --> B["Падлучаная агульная папка"]
        R --> C["Папка сінхранізацыі з воблакам"]
        R --> D["Ценявыя копіі"]

Малюнак 2: Рэзервовыя копіі, якія ляжаць там, куды можа запісваць заражаны камп’ютар, становяцца мішэнню атакі.

Трэба помніць і пра атакі, якія доўжацца доўга. Microsoft піша, што праграма-вымагальнік часам шыфруе паступова, пакідаючы ключ у сістэме. Увесь гэты час карыстальнікі могуць працаваць з данымі як звычайна, таму рэзервовыя копіі зашыфраваных даных накопліваюцца, і ніхто гэтага не заўважае. Калі ўсё зашыфравана і ключ выдалены, нельга прачытаць нават нядаўнія рэзервовыя копіі⁵. Калі вы захоўваеце толькі апошняе пакаленне, у такім выпадку вяртацца няма куды.

«Previous Versions» не замяняюць рэзервовыя копіі

«Previous Versions» у Windows і Shadow Copies of Shared Folders выкарыстоўваюць службу ценявога капіравання тома (Volume Shadow Copy Service, VSS). Сістэмны пастаўшчык VSS, які ўваходзіць у Windows, выкарыстоўвае метад капіравання пры запісе: ён захоўвае змесціва блока ў вобласць адрозненняў, перш чым блок будзе перазапісаны, і так аднаўляе том на пэўны момант часу⁷.

У дакументацыі па VSS Microsoft тлумачыць адрозненне паміж ценявымі копіямі і рэзервовымі копіямі так. Калі даныя капіруюцца з ценявой копіі на здымны носьбіт, напрыклад на стужку, змесціва гэтага носьбіта становіцца рэзервовай копіяй. Пасля капіравання саму ценявую копію можна выдаліць⁷. У дакументацыі таксама сказана, што калі ў вобласці адрозненняў не хапае месца, першымі выдаляюцца самыя старыя ценявыя копіі⁷.

flowchart TB
        accTitle: Адрозненне паміж ценявымі копіямі і рэзервовымі копіямі
        accDescr: Дыяграма паказвае, што ценявая копія — гэта набор адрозненняў ад зыходнага тома і выдаляецца пры недахопе месца або зламыснікам, тады як рэзервовая копія, скапіраваная на асобны носьбіт, застаецца, нават калі зыходны том страчаны.
        V["Зыходны том"] --> S["Ценявая копія (адрозненні)"]
        S --> L["Пры недахопе месца выдаляецца, пачынаючы са старэйшай"]
        S --> K["Выдаляецца зламыснікам праз vssadmin"]
        S -->|"Капіраванне на асобны носьбіт"| B["Рэзервовая копія"]
        B --> R["Застаецца, нават калі зыходны том страчаны"]

Малюнак 3: Ценявыя копіі залежаць ад даных зыходнага тома; рэзервовай копіяй становіцца тое, што вы скапіравалі на асобны носьбіт.

Ценявыя копіі зручныя, каб карыстальнікі самі аднаўлялі файлы, якія памылкова перазапісалі. Але, як паказана ў папярэднім раздзеле, зламыснікі часам іх выдаляюць. Механізм і эксплуатацыя падрабязна апісаны ў артыкуле «Volume Shadow Copy (VSS): The Mechanism and the Practice».

Каб убачыць, якія ценявыя копіі засталіся, выканайце vssadmin list shadows у камандным радку адміністратара. Гэтая падкаманда даступная і на кліентах, і на серверах⁸.

vssadmin list shadows

Гісторыя версій і кошык у OneDrive і SharePoint таксама дазваляюць карыстальнікам вярнуць файлы. Microsoft раіць навучыць карыстальнікаў аднаўляць увесь OneDrive да больш ранняга моманту. Таксама яна кажа, што карыстальнікі павінны аднаўляць даныя толькі тады, калі вы ўпэўненыя, што зламысніка выгналі з асяроддзя, і што трэба быць гатовымі да выпадку, калі карыстальнікі аднавяць і шкоднаснае ПЗ⁵.

Правіла 3-2-1 вызначае, колькі копій і дзе

Правіла 3-2-1 — гэта практычнае правіла пра тое, як захоўваць рэзервовыя копіі. Дакумент «Data Backup Options», напісаны ў 2012 годзе для US-CERT, тлумачыць яго так⁹.

• 3: Майце тры копіі важных файлаў — арыгінал і дзве рэзервовыя копіі.
• 2: Захоўвайце іх на двух розных відах носьбітаў, каб абараніцца ад розных відаў бедстваў.
• 1: Адну копію трымайце па-за домам або кампаніяй.

Як крыніцу дакумент называе «The DAM Book» — кнігу фатографа Пітэра Крога пра кіраванне лічбавымі фотаздымкамі⁹. Microsoft таксама прыводзіць гэтае правіла ў сваёй дакументацыі пра рэзервовыя копіі для абароны ад праграм-вымагальнікаў і апісвае «1» як «копію па-за кампаніяй або халодную копію»⁵.

Правіла 3-2-1 патрабуе трымаць копію па-за кампаніяй. Яно не патрабуе, каб гэтая копія была афлайн або нязменная. Таму калі копія па-за кампаніяй ляжыць у воблаку, у якое заражаны камп’ютар можа запісваць у любы момант, яе могуць зашыфраваць разам з лакальнымі копіямі. Даведнік CISA і дакументацыя Microsoft называюць афлайн-захоўванне сродкам абароны ад праграм-вымагальнікаў. Microsoft называе і сховішча, якое нельга перазапісаць⁴⁵.

flowchart TB
        accTitle: Правіла 3-2-1 і абарона ад праграм-вымагальнікаў
        accDescr: Дыяграма паказвае, што да правіла 3-2-1 з трыма копіямі, двума відамі носьбітаў і адной копіяй па-за кампаніяй дадаецца адна афлайн- або нязменная копія, а потым правяраецца, што аднавіць удаецца.
        A["Тры копіі"] --> B["Два віды носьбітаў"]
        B --> C["Адна па-за кампаніяй"]
        C --> D["Адна афлайн або нязменная"]
        D --> E["Пераканацца, што аднавіць удаецца"]

Малюнак 4: Да правіла 3-2-1 дадайце копію, якую заражаны камп’ютар не можа перазапісаць, і праверку, што аднавіць удаецца.

Пастаўшчык праграм рэзервовага капіравання Veeam прасоўвае гэта як «правіла 3-2-1-1-0». У дакументацыі Veeam дадатковая «1» азначае мець адну копію, якая знаходзіцца афлайн, фізічна ізаляваная (air-gapped) або нязменная, а «0» — нуль памылак пры рэгулярнай праверцы аднаўлення¹⁰. Гэта назва з дакументацыі пастаўшчыка, а не афіцыйны стандарт. Аднак два дадатковыя пункты супадаюць з тым, што патрабуюць CISA і IPA.

Майце адну копію, якую заражаны камп’ютар не можа перазапісаць

Ёсць два асноўныя спосабы зрабіць копію, якую нельга перазапісаць: адлучыць носьбіт ад камп’ютара і захоўваць яго асобна або выкарыстаць воблачнае сховішча, у якім даныя нельга перазапісаць або выдаліць на працягу вызначанага тэрміну. Які б спосаб вы ні выбралі, аддзяліце правы на кіраванне рэзервовымі копіямі ад штодзённай работы.

Адлучыце носьбіт ад камп’ютара і захоўвайце яго асобна

Як прыклад меры ў самаацэнцы кіраўніцтва IPA кажа падлучаць прылады і носьбіты для рэзервовага капіравання да камп’ютара толькі на час капіравання. Яно таксама называе вызначэнне спосабу рэзервовага капіравання, захоўванне копій у бяспечным месцы і рэгулярную праверку таго, што з іх можна аднавіць¹¹.

Для арганізацый, якія ідуць далей, кіраўніцтва называе «фізічную ізаляцыю». Гэта азначае захоўваць рэзервовыя копіі ў месцы, фізічна аддзеленым ад зыходнай сістэмы, і трымаць знешнія сховішчы або стужкі рэзервовага капіравання як мага далей. Як прыклады месцаў захоўвання яно называе банкаўскую ячэйку або надзейнага дзелавога партнёра ці звязаную кампанію¹².

Рэзервовую копію, якую так захоўваюць асобна ад працоўных сістэм, называюць афлайн-копіяй. Заражаны камп’ютар не можа запісваць на адлучаны носьбіт. Затое падлучаць і пераносіць носьбіты даводзіцца людзям, таму здараецца, што копію не зрабілі або носьбіт не вынеслі за межы кампаніі. Вызначце, хто і калі падлучае носьбіт, адлучае яго і адносіць у месца захоўвання.

Выкарыстоўвайце воблачнае сховішча, якое нельга перазапісаць

У воблачных сховішчах ёсць функцыі, якія на працягу вызначанага тэрміну не дазваляюць перазапісваць або выдаляць даныя. Яны захоўваюць даныя ў стане, які называецца WORM (Write Once, Read Many).

У нязменным сховішчы Azure Blob Storage пасля таго, як вы задасце палітыку захоўвання на аснове часу, на працягу гэтага тэрміну даныя можна ствараць і чытаць, але нельга змяняць або выдаляць¹³. Спачатку палітыка ствараецца ў разблакаваным стане, а пасля праверкі вы яе блакуеце. Заблакаваную палітыку нельга выдаліць, а яе тэрмін захоўвання можна падоўжыць, але не скараціць¹³. Microsoft тлумачыць, што нават карыстальнікі з правамі адміністратара ўліковага запісу не могуць змяніць або выдаліць даныя¹³.

У Amazon S3 Object Lock ёсць два рэжымы. У рэжыме адпаведнасці (compliance) на працягу тэрміну захоўвання ніхто, нават каранёвы карыстальнік уліковага запісу AWS, не можа перазапісаць або выдаліць версію аб’екта. У рэжыме кіравання (governance) змяняць або здымаць налады захоўвання могуць толькі карыстальнікі з асаблівымі правамі¹⁴. Object Lock можна выкарыстоўваць толькі ў бакетах з уключаным S3 Versioning¹⁴.

flowchart TB
        accTitle: Два прыклады сховішча, якое нельга перазапісаць
        accDescr: Дыяграма паказвае, што ў нязменным сховішчы Azure Blob Storage заблакаваную палітыку нельга выдаліць і нельга скараціць яе тэрмін захоўвання, а ў S3 Object Lock у рэжыме адпаведнасці не можа выдаліць нават каранёвы карыстальнік, тады як у рэжыме кіравання асаблівыя правы дазваляюць змены.
        W["Сховішча, якое нельга перазапісаць"] --> AZ["Нязменнае сховішча Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Пасля блакавання тэрмін нельга скараціць"]
        S3 --> C["Рэжым адпаведнасці"]
        S3 --> G["Рэжым кіравання"]
        C --> C1["Не можа выдаліць нават каранёвы карыстальнік"]
        G --> G1["Асаблівыя правы дазваляюць змены"]

Малюнак 5: Абодва віды сховішча на працягу вызначанага тэрміну не дазваляюць перазапіс і выдаленне; наколькі строга, залежыць ад налад.

У Azure, нават калі вы заўважыце памылку ў наладах пасля блакавання палітыкі, скараціць тэрмін захоўвання нельга¹³. Даведнік CISA адзначае, што некаторыя воблачныя пастаўшчыкі прапануюць сховішча, якое нельга перазапісаць, і папярэджвае, што памылковыя налады могуць прывесці да вялікіх выдаткаў. Ён таксама згадвае, што такое сховішча можа не адпавядаць патрабаванням пэўных нарматываў⁴. Калі вы задасце доўгі тэрмін захоўвання і заблакуеце яго, на працягу гэтага тэрміну даныя выдаліць нельга, а плата за сховішча будзе налічвацца і далей. Пачніце з разблакаванага стану або з кароткага тэрміну, пераканайцеся, што аднавіць удаецца, і толькі потым ужывайце працоўныя налады.

Аддзяліце правы на кіраванне рэзервовымі копіямі

Нават калі вы выкарыстоўваеце сховішча, якое нельга перазапісаць, але налады і палітыкі рэзервовага капіравання можна змяніць звычайным уліковым запісам адміністратара, зламыснік можа іх змяніць. Microsoft раіць патрабаваць дадатковы крок, напрыклад шматфактарную аўтэнтыфікацыю або PIN бяспекі, перш чым онлайн-копіі можна будзе змяніць або выдаліць. Яна таксама называе абмежаванне аперацый рэзервовага капіравання і аднаўлення карыстальнікамі ў вызначаных ролях і скарачэнне колькасці агульных папак, у якія шмат карыстальнікаў могуць запісваць і з якіх могуць выдаляць⁵.

Нават калі і камп’ютарамі, і рэзервовымі копіямі кіруе адзін і той жа чалавек, не выкарыстоўвайце ўліковы запіс для кіравання месцам захоўвання рэзервовых копій для штодзённага ўваходу ў камп’ютар і абараніце яго шматфактарнай аўтэнтыфікацыяй.

Захоўвайце некалькі пакаленняў

Кіраўніцтва IPA называе «кіраванне пакаленнямі», гэта значыць захоўванне рэзервовых копій з некалькіх момантаў часу. Яно дазваляе вярнуцца да пэўнага моманту, калі даныя пашкоджаныя або страчаныя¹². Як апісана ў адным з папярэдніх раздзелаў, калі шыфраванне заўважаюць не адразу, найноўшыя рэзервовыя копіі ўжо будуць утрымліваць зашыфраваныя даныя. Колькі пакаленняў захоўваць, вызначайце па тым, колькі часу можа прайсці, пакуль шыфраванне заўважаць, і па кошце сховішча.

flowchart TB
        accTitle: Тры меры, каб мець копію, якую нельга перазапісаць
        accDescr: Дыяграма паказвае захоўванне адлучаных носьбітаў або выкарыстанне сховішча, якое нельга перазапісаць, аддзяленне правоў на кіраванне рэзервовымі копіямі ад звычайных уліковых запісаў і захоўванне некалькіх пакаленняў.
        A["Копія, якую нельга перазапісаць"] --> B["Захоўваць адлучаныя носьбіты"]
        A --> C["Сховішча, якое нельга перазапісаць"]
        B --> D["Аддзяліць правы на кіраванне"]
        C --> D
        D --> E["Захоўваць некалькі пакаленняў"]

Малюнак 6: Вызначыўшы, дзе трымаць копію, аддзяліце правы на кіраванне і захоўвайце пакаленні, каб можна было вярнуцца, нават калі атаку заўважылі позна.

Пераканайцеся, што аднавіць удаецца

У справаздачы Нацыянальнага паліцэйскага агенцтва другой па частаце прычынай няўдалага аднаўлення былі «недахопы ў эксплуатацыі»¹. Ці можна сапраўды аднавіць з рэзервовай копіі, вы не даведаецеся, пакуль не паспрабуеце. Работу, пры якой гэта правяраюць, сапраўды аднаўляючы з рэзервовай копіі, называюць тэстам аднаўлення.

Кіраўніцтва IPA дзеліць эксплуатацыю рэзервовых копій на тры часткі: стварэнне, захоўванне і аднаўленне. Для аднаўлення яно патрабуе скласці план аднаўлення і пераканацца, што аднаўленне праходзіць правільна³. Для крытычных для бізнесу сістэм яно патрабуе наладзіць стварэнне рэзервовых копій і працэдуры пад мэтавы час аднаўлення (RTO) і мэтавы пункт аднаўлення (RPO) і правяраць эфектыўнасць вучэннямі. RTO — гэта час, патрэбны, каб аднавіць работу да мэтавага ўзроўню, а RPO — момант, да якога аднаўляюць, гэта значыць час найноўшай рэзервовай копіі¹⁵. Даведнік CISA таксама, улічваючы аднаўленне пасля бедстваў, патрабуе рэгулярна правяраць, ці прыдатныя рэзервовыя копіі да выкарыстання і ці не пашкоджаныя яны⁴.

flowchart TB
        accTitle: Як праводзіць тэст аднаўлення
        accDescr: Дыяграма паказвае паслядоўнасць: вызначыць парадак аднаўлення, аднавіць у асобным асяроддзі, параўнаць затрачаны час і адноўлены момант з RTO і RPO і выправіць інструкцыю.
        A["Вызначыць парадак аднаўлення"] --> B["Аднавіць у асобным асяроддзі"]
        B --> C["Параўнаць затрачаны час з RTO"]
        B --> D["Параўнаць адноўлены момант з RPO"]
        C --> E["Выправіць інструкцыю"]
        D --> E
        E -.->|"Наступная праверка"| A

Малюнак 7: Паспрабуйце аднавіць, праверце, ці адпавядаюць час і момант мэтам, і ўнясіце вынікі ў інструкцыю.

Што правяраць

Паводле дакументацыі IPA і Microsoft, тое, што трэба правяраць, можна ўпарадкаваць так.

Microsoft раіць спачатку вызначыць сістэмы, крытычныя для бізнесу, і рэгулярна рабіць іх рэзервовыя копіі. Атрыманы спіс рэзервовых копій па прыярытэце і становіцца парадкам аднаўлення. Як высокі прыярытэт яна першымі называе сістэмы аўтэнтыфікацыі, напрыклад Active Directory, якія патрэбныя для доступу да ўсіх астатніх сістэм⁵. Таксама яна раіць рэгулярныя вучэнні па аднаўленні дзейнасці са стану, калі не працуе ніводная сістэма. На такіх вучэннях лічыце, што электронная пошта і чат таксама недаступныя⁵.

Microsoft піша, што зламыснікі наўмысна шукаюць інструкцыі па аднаўленні і схемы сеткі. Яна раіць абараняць іх або трымаць пад рукой надрукаваныя копіі⁵. Калі інструкцыя ёсць толькі на файлавым серверы, вы не зможаце яе прачытаць, калі гэты сервер зашыфруюць.

На што зважаць пры аднаўленні пасля атакі

Пасля сапраўднай атакі перад аднаўленнем спачатку выдаліце з асяроддзя саму праграму-вымагальнік⁵. Microsoft называе выбар рэзервовай копіі з моманту, пра які вядома, што заражэння яшчэ не было, і праверку рэзервовай копіі на шкоднаснае ПЗ перад аднаўленнем⁵. У справаздачы Нацыянальнага паліцэйскага агенцтва гаворыцца, што групоўкі, якія стаяць за праграмамі-вымагальнікамі, часам усталёўваюць праграмы аддаленага кіравання як бэкдор, каб вярнуцца нават пасля таго, як кропку пранікнення закрылі². Перад аднаўленнем трэба даследаваць шлях пранікнення і ўсё, што пакінулі зламыснікі.

flowchart TB
        accTitle: Парадак аднаўлення з рэзервовай копіі пасля атакі
        accDescr: Дыяграма паказвае выдаленне самой праграмы-вымагальніка і шляху пранікнення, выбар рэзервовай копіі з незаражанага моманту, яе праверку на шкоднаснае ПЗ і потым аднаўленне ў першую чаргу сістэм з найвышэйшым прыярытэтам.
        A["Выдаліць саму праграму-вымагальнік"] --> B["Даследаваць шлях пранікнення і пакінутае"]
        B --> C["Выбраць незаражаны момант"]
        C --> D["Праверыць рэзервовую копію"]
        D --> E["Спачатку аднавіць тое, што мае найвышэйшы прыярытэт"]

Малюнак 8: Пасля атакі выдаліце тое, што пакінулі зламыснікі, і пераканайцеся ў незаражаным моманце, перш чым аднаўляць.

Як часта правяраць

І кіраўніцтва IPA, і даведнік CISA патрабуюць «рэгулярна» правяраць, што аднавіць удаецца, але колькасці не называюць¹¹⁴. Кампанія з выпадку IPA, пра які я расказваў раней, праводзіла вучэнні па аднаўленні двойчы на год³. Вызначце, як доўга можа стаяць праца і наколькі старым можа быць адноўлены стан, і правярайце з такой частатой, каб пацвердзіць, што вы гэта выконваеце.

Што вызначыць спачатку

Усё сказанае можна падсумаваць як тое, што малая або сярэдняя кампанія павінна вызначыць спачатку.

flowchart TB
        accTitle: Парадак рашэнняў пра рэзервовыя копіі, якія вытрымліваюць праграмы-вымагальнікі
        accDescr: Дыяграма паказвае парадак: вызначыць ахоп, вызначыць, дзе захоўваць копіі і копію, якую нельга перазапісаць, вызначыць правы і пакаленні, вызначыць RTO і RPO і пераканацца, што аднавіць удаецца.
        A["Вызначыць ахоп"] --> B["Вызначыць, дзе захоўваць копіі"]
        B --> C["Вызначыць копію, якую нельга перазапісаць"]
        C --> D["Вызначыць правы і пакаленні"]
        D --> E["Вызначыць RTO і RPO"]
        E --> F["Пераканацца, што аднавіць удаецца"]

Малюнак 9: Вызначце ўсё ў адной паслядоўнасці — ад ахопу да завяршальнай праверкі, што аднавіць удаецца.

У 4-м выданні кіраўніцтва IPA да «5 правілаў інфармацыйнай бяспекі», з якіх арганізацыі пачынаюць, дадалі «Рабіце рэзервовыя копіі!», і цяпер іх 6¹⁶. Як працаваць з кіраўніцтвам у цэлым, коратка выкладзена ў артыкуле «Where Should SMEs Start on Security?». Калі вы плануеце замену сервераў, паглядзіце таксама «Preparing for Windows Server 2016 End of Support».

Звязаныя артыкулы

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Спасылкі

Звязаныя артыкулы

Апошнія артыкулы з такімі ж тэгамі. Паглыбляйце веды на блізкіх тэмах.

Звязаныя тэмы

Гэта тэматычныя старонкі, блізкія да гэтай тэмы. Ад артыкула можна перайсці да звязаных паслуг і іншых артыкулаў.

Паслугі, з якімі звязана гэтая тэма

Гэты артыкул вядзе да наступных старонак паслуг. Пачніце з бліжэйшай.

Частыя пытанні

Частыя пытанні падчас кансультацый па тэме гэтага артыкула.

Калі я раблю рэзервовыя копіі, ці змагу я аднавіць усё пасля заражэння праграмай-вымагальнікам?

Часта адных толькі рэзервовых копій для аднаўлення не хапае. Паводле звестак пра шкоду, якія Нацыянальнае паліцэйскае агенцтва Японіі сабрала за першае паўгоддзе 2025 года, 41 з 48 арганізацый, якія рабілі рэзервовыя копіі і адказалі на апытанне, не змаглі вярнуцца да стану непасрэдна перад атакай. Самай частай прычынай было тое, што зашыфраваныя былі і рэзервовыя копіі. Вам патрэбна копія, якую заражаны камп'ютар не можа перазапісаць, і трэба пераканацца, што з яе можна аднавіць.

Калі ў Windows ёсць Previous Versions, ці патрэбныя мне яшчэ рэзервовыя копіі?

Так. Previous Versions — гэта ценявыя копіі тома, гэта значыць адрозненні, якія захоўваюцца на зыходным томе. Microsoft лічыць рэзервовай копіяй даныя, скапіраваныя з ценявой копіі на носьбіт, напрыклад на стужку. Праграмы-вымагальнікі часам выдаляюць ценявыя копіі інструментамі накшталт vssadmin, таму спалучайце іх з рэзервовымі копіямі на асобным носьбіце.

Ці дастаткова выконваць правіла 3-2-1, каб абараніцца ад праграм-вымагальнікаў?

Часам не. Правіла 3-2-1 патрабуе тры копіі, два віды носьбітаў і адну копію па-за кампаніяй, але не патрабуе, каб гэтая копія была афлайн або нязменная. Копія ў воблаку, у якую заражаны камп'ютар можа запісваць у любы момант, можа быць зашыфравана гэтак жа. Дадайце адну копію на афлайн-носьбіце або ў сховішчы, якое нельга перазапісаць.

Як часта трэба правяраць, ці ўдаецца аднавіць з рэзервовых копій?

І кіраўніцтва IPA, і даведнік CISA кажуць «рэгулярна» і колькасці не называюць. У кіраўніцтве IPA ёсць выпадак кампаніі, якая праводзіла вучэнні па аднаўленні двойчы на год і праз пяць дзён пасля выяўлення атакі зноў запусціла свае ключавыя сістэмы. Вызначце, як доўга можа стаяць праца і наколькі старым можа быць адноўлены стан, і правярайце з такой частатой, каб пацвердзіць, што вы можаце гэта выканаць.

Профіль аўтара

Старонка з профілем аўтара артыкула.

Го Комура

Прадстаўнік KomuraSoft LLC

Займаецца распрацоўкай ПЗ для Windows, тэхнічнымі кансультацыямі і расследаваннем дэфектаў; асабліва моцны ў праектах з наяўнымі распрацоўкамі і ў пошуку прычын збояў, якія цяжка выявіць.