Zálohy odolné proti ransomwaru ── pravidlo 3-2-1, úložiště, které nelze přepsat, a ověření, že se dá obnovit

Při útocích ransomwaru se často stává, že organizace zálohy měla, a přesto nedokázala obnovit data. Nejčastější příčinou je, že zálohy byly zašifrovány spolu se vším ostatním. Tento článek popisuje, jak u počítačů s Windows a souborových serverů malých a středních firem vytvořit zálohy, které útoku odolají.

Hlavní body jsou tři: mít jednu kopii, kterou napadený počítač nemůže přepsat, nepoužívat „Předchozí verze“ místo záloh a ověřit, že se dá skutečně obnovit. Pravidlo 3-2-1 určuje počet kopií a jejich umístění, samo o sobě ale jako ochrana proti ransomwaru nestačí.

Příkazy v tomto článku jsou jen pro Windows a jejich výstup byl ověřen v příkazovém řádku správce ve Windows Serveru 2022. Obrazovky nastavení produktů a ceny se mohou měnit, proto si při zavádění ověřte nejnovější dokumentaci jednotlivých výrobců.

Mnoho organizací mělo zálohy, a přesto nedokázalo obnovit

Japonská Národní policejní agentura se organizací zasažených ransomwarem ptá na stav jejich záloh. Ve zprávě za první pololetí roku 2025 zálohovalo 51 z 53 organizací, které odpověděly. Ze 48 organizací, kterých se agentura ptala, zda se jim ze zálohy podařilo obnovit stav těsně před útokem, to však dokázalo jen 7 a 41 ne¹.

Z 35 organizací, které uvedly důvod, proč obnovit nedokázaly, jich 23 uvedlo „zašifrované byly i zálohy“, 8 „nedostatky v provozu“ a 4 „jin铹. Stejná zpráva uvádí, že skupiny provozující ransomware mažou protokoly a zálohy obětí, aby zahladily stopy a znemožnily obnovu. Proto vyzývá organizace, aby zálohy uchovávaly v offline prostředí².

flowchart TB
        accTitle: Jak můžete mít zálohy, a přesto neobnovit
        accDescr: Diagram ukazuje, že i když zálohujete, zálohy dostupné z napadeného počítače se zašifrují spolu se vším ostatním, a pokud postup obnovy nebyl ověřen, obnova selže kvůli nedostatkům v provozu.
        A["Zálohy se pořizují"] --> B{"Dosáhne na ně napadený počítač?"}
        B -->|"Dosáhne"| C["Zašifrují se nebo smažou také"]
        B -->|"Nedosáhne"| D{"Byl postup obnovy ověřen?"}
        D -->|"Nebyl"| E["Obnova selže kvůli nedostatkům v provozu"]
        D -->|"Byl"| F["Obnova je možná"]

Obrázek 1: Zálohy jsou použitelné, když na ně napadený počítač nedosáhne a postup obnovy byl ověřen.

Existují i případy, kdy obnova uspěla. Čtvrté vydání dokumentu IPA „Směrnice pro informační bezpečnost malých a středních firem“ uvádí případ stavební firmy, jejíž souborové servery a další systémy byly zašifrovány po průniku přes zařízení VPN. Mimo jiné proto, že firma dvakrát ročně cvičila obnovu, spustila hlavní systémy ze záloh pět dní po zjištění útoku. Přesto trvalo 41 dní, než se obnovily jednotlivé interní systémy, a čtyři měsíce, než se obnovil vzdálený přístup, a firma přišla o více než 20 procent interních souborů³. Ani možnost obnovit ze záloh neznamená, že škoda zmizí.

Na diagramu plná čára označuje vztah, který platí vždy, a přerušovaná čára vztah podmíněný (podmínky jsou uvedeny u jednotlivých vztahů na podrobné stránce). Úplný seznam vztahů (celkem 13, s doklady a mírou jistoty) a definice hlavních pojmů najdete na podrobné stránce znalostní mapy (v japonštině). Data: JSON-LD / Turtle

Útočníci mažou zálohy, na které dosáhnou

Průvodce #StopRansomware, který vydala americká CISA a další úřady, uvádí, že mnoho variant ransomwaru se snaží najít dostupné zálohy a smazat je nebo zašifrovat, aby oběť nemohla obnovit data bez zaplacení výkupného. Proto považuje za důležité uchovávat zálohy offline⁴.

Také Microsoft píše, že útočníci se soustředí na vyřazení zálohovacího softwaru a funkcí operačního systému, jako jsou stínové kopie svazků⁵. Mezi zálohy, na které napadený počítač dosáhne, patří:

• externí disky trvale připojené k počítači,
• sdílené složky NAS nebo souborového serveru namapované na písmeno jednotky,
• synchronizované složky v cloudu, do kterých může zapisovat běžný účet,
• stínové kopie (Předchozí verze) na stejném svazku.

Stínové kopie a katalogy záloh lze smazat i příkazy, které jsou součástí operačního systému. MITRE ATT&CK tuto techniku řadí jako „Inhibit System Recovery“ (T1490). Uvádí příklady, jako je smazání všech stínových kopií příkazem vssadmin.exe delete shadows /all /quiet a smazání katalogu záloh Windows příkazem wbadmin.exe delete catalog -quiet⁶. Průvodce CISA také žádá sledovat podezřelé použití vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) a podobných nástrojů⁴.

flowchart TB
        accTitle: Zálohy, na které napadený počítač dosáhne a nedosáhne
        accDescr: Diagram ukazuje, že napadený počítač může zapisovat na trvale připojené externí disky, namapované sdílené složky, synchronizované složky a stínové kopie, ale nemůže zapisovat na odpojená média ani do úložiště, které nelze přepsat.
        P["Napadený počítač"] --> R["Místa, kam může zapisovat"]
        P -.-x N["Odpojená média, úložiště, které nelze přepsat"]
        R --> A["Trvale připojený externí disk"]
        R --> B["Namapovaná sdílená složka"]
        R --> C["Synchronizovaná složka v cloudu"]
        R --> D["Stínové kopie"]

Obrázek 2: Zálohy uložené tam, kam napadený počítač může zapisovat, se stávají cílem útoku.

Pozor je třeba dát i na útoky, které probíhají dlouho. Microsoft píše, že ransomware někdy šifruje postupně a klíč přitom ponechává v systému. Uživatelé mezitím mohou s daty pracovat jako obvykle, takže zálohy zašifrovaných dat se hromadí, aniž by si toho kdo všiml. Jakmile je vše zašifrováno a klíč smazán, nelze přečíst ani nedávné zálohy⁵. Pokud uchováváte jen nejnovější generaci, nemáte se v takovém případě kam vrátit.

„Předchozí verze“ zálohy nenahradí

„Předchozí verze“ ve Windows a stínové kopie sdílených složek využívají službu Stínová kopie svazku (VSS). Systémový poskytovatel VSS dodávaný s Windows používá metodu kopírování při zápisu, která před přepsáním bloku uloží jeho obsah do oblasti rozdílů, a tak rekonstruuje svazek k určitému okamžiku⁷.

Microsoft v dokumentaci k VSS vysvětluje rozdíl mezi stínovou kopií a zálohou takto. Když se data ze stínové kopie zkopírují na vyměnitelné médium, jako je páska, obsah tohoto média se stává zálohou. Po zkopírování lze samotnou stínovou kopii smazat⁷. Dokumentace také uvádí, že když dojde místo v oblasti rozdílů, mažou se stínové kopie od nejstarší⁷.

flowchart TB
        accTitle: Rozdíl mezi stínovými kopiemi a zálohami
        accDescr: Diagram ukazuje, že stínová kopie je souborem rozdílů od původního svazku a maže se při nedostatku místa nebo útočníkem, kdežto záloha zkopírovaná na jiné médium přetrvá, i když se původní svazek ztratí.
        V["Původní svazek"] --> S["Stínová kopie (rozdíly)"]
        S --> L["Při nedostatku místa se maže od nejstarší"]
        S --> K["Útočník ji smaže příkazem vssadmin"]
        S -->|"Zkopírovat na jiné médium"| B["Záloha"]
        B --> R["Přetrvá, i když se původní svazek ztratí"]

Obrázek 3: Stínové kopie závisí na datech původního svazku; zálohou se stává to, co zkopírujete na jiné médium.

Stínové kopie se hodí k tomu, aby si uživatelé sami obnovili soubory, které omylem přepsali. Jak ale ukázala předchozí část, útočníci je někdy mažou. Princip a provoz podrobně vysvětluje článek „Volume Shadow Copy (VSS): The Mechanism and the Practice“ (v angličtině).

Které stínové kopie zůstávají, vypíšete spuštěním vssadmin list shadows v příkazovém řádku správce. Tento dílčí příkaz je k dispozici v klientských i serverových systémech⁸.

vssadmin list shadows

Způsobem, jak uživatelé mohou získat soubory zpět, je také historie verzí a koš ve OneDrivu a SharePointu. Microsoft doporučuje naučit uživatele obnovit celý OneDrive k dřívějšímu okamžiku. Zároveň radí nechat uživatele obnovovat až ve chvíli, kdy jste si jisti, že útočník byl vypuzen, a připravit se na případ, kdy uživatelé obnoví i malware⁵.

Pravidlo 3-2-1 určuje počet kopií a jejich umístění

Pravidlo 3-2-1 je praktické pravidlo pro uchovávání záložních kopií. Dokument „Data Backup Options“, vytvořený v roce 2012 pro US-CERT, ho vysvětluje takto⁹.

• 3: Důležité soubory mějte ve třech kopiích, originál a dvě zálohy.
• 2: Uložte je na dva různé druhy médií, abyste byli připraveni na různé druhy katastrof.
• 1: Jednu kopii mějte mimo domov nebo firmu.

Jako zdroj dokument uvádí knihu „The DAM Book“ o správě digitálních fotografií od fotografa Petera Krogha⁹. Microsoft toto pravidlo uvádí také ve své dokumentaci o zálohách pro ochranu proti ransomwaru a „1“ popisuje jako „kopii mimo pracoviště nebo studenou kopii“⁵.

Pravidlo 3-2-1 vyžaduje, aby jedna kopie byla mimo firmu. Nevyžaduje, aby tato kopie byla offline nebo neměnná. Pokud je tedy kopie mimo firmu v cloudu, do kterého napadený počítač může kdykoli zapisovat, může být zašifrována spolu s místními kopiemi. Průvodce CISA i dokumentace Microsoftu uvádějí jako ochranu proti ransomwaru offline uložení. Microsoft uvádí i úložiště, které nelze přepsat⁴⁵.

flowchart TB
        accTitle: Pravidlo 3-2-1 a ochrana proti ransomwaru
        accDescr: Diagram ukazuje doplnění pravidla 3-2-1, tedy tří kopií, dvou druhů médií a jedné kopie mimo firmu, o jednu offline nebo neměnnou kopii a následné ověření, že se dá obnovit.
        A["Tři kopie"] --> B["Dva druhy médií"]
        B --> C["Jedna mimo firmu"]
        C --> D["Jedna offline nebo neměnná"]
        D --> E["Ověřit, že se dá obnovit"]

Obrázek 4: K pravidlu 3-2-1 přidejte kopii, kterou napadený počítač nemůže přepsat, a ověření, že se dá obnovit.

Výrobce zálohovacího softwaru Veeam to propaguje jako „pravidlo 3-2-1-1-0“. V dokumentaci Veeamu znamená přidaná „1“ mít jednu kopii, která je offline, oddělená vzduchovou mezerou (air gap) nebo neměnná, a „0“ znamená nulový počet chyb při pravidelném ověřování obnovy¹⁰. Jde o označení z dokumentace výrobce, nikoli o oficiální normu. Obě přidané položky se ale překrývají s tím, co požadují CISA a IPA.

Mějte jednu kopii, kterou napadený počítač nemůže přepsat

Kopii, kterou nelze přepsat, lze vytvořit dvěma hlavními způsoby: odpojit médium od počítače a uložit ho, nebo použít cloudové úložiště, ve kterém data po stanovenou dobu nelze přepsat ani smazat. Ať zvolíte kterýkoli, oddělte oprávnění ke správě záloh od běžné práce.

Odpojte médium od počítače a uložte ho

Směrnice IPA jako příklad opatření v rámci sebehodnocení uvádějí, že zařízení a média používaná k zálohování se mají k počítači připojovat jen během zálohování. Dále uvádějí stanovení způsobu zálohování, uložení záloh na bezpečném místě a pravidelné ověřování, že je lze obnovit¹¹.

Pro organizace, které chtějí jít dál, směrnice uvádějí „fyzické oddělení“. Znamená to uchovávat zálohy na místě fyzicky odděleném od původního systému a externí úložiště nebo záložní pásky skladovat co nejdále. Jako příklady míst uložení uvádějí bankovní bezpečnostní schránku nebo důvěryhodného obchodního partnera či spřízněnou firmu¹².

Zálohu uloženou takto odděleně od produkčních systémů nazýváme offline zálohou. Napadený počítač nemůže na odpojené médium zapisovat. Na druhou stranu musí média znovu připojovat a převážet lidé, takže se zálohy vynechají nebo se médium neodnese mimo firmu. Určete, kdo médium připojí, odpojí a odveze na místo uložení, a kdy.

Použijte cloudové úložiště, které nelze přepsat

Cloudová úložiště mají funkce, které po stanovenou dobu brání přepsání nebo smazání dat. Data ukládají ve stavu nazývaném WORM (Write Once, Read Many).

V neměnném úložišti Azure Blob Storage lze po nastavení zásady uchovávání založené na čase data během této doby vytvářet a číst, ale ne měnit ani mazat¹³. Zásada se nejprve vytvoří v odemčeném stavu a po vyzkoušení ji uzamknete. Uzamčenou zásadu nelze smazat a její dobu uchovávání lze prodloužit, ale ne zkrátit¹³. Microsoft vysvětluje, že data nemohou měnit ani mazat ani uživatelé s oprávněními správce účtu¹³.

Amazon S3 Object Lock má dva režimy. V režimu dodržování předpisů (compliance) nemůže během doby uchovávání nikdo, ani uživatel root účtu AWS, přepsat nebo smazat verzi objektu. V režimu správy (governance) mohou nastavení uchovávání měnit nebo odebrat jen uživatelé se zvláštními oprávněními¹⁴. Object Lock lze použít jen v kontejnerech (bucketech) se zapnutou správou verzí S3¹⁴.

flowchart TB
        accTitle: Dva příklady úložiště, které nelze přepsat
        accDescr: Diagram ukazuje, že v neměnném úložišti Azure Blob Storage nelze uzamčenou zásadu smazat ani zkrátit dobu uchovávání a že u S3 Object Lock nemůže v režimu compliance mazat ani uživatel root, zatímco v režimu governance umožňují změny zvláštní oprávnění.
        W["Úložiště, které nelze přepsat"] --> AZ["Neměnné úložiště Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Po uzamčení nelze dobu uchovávání zkrátit"]
        S3 --> C["Režim compliance"]
        S3 --> G["Režim governance"]
        C --> C1["Nesmaže ani uživatel root"]
        G --> G1["Změny umožňují zvláštní oprávnění"]

Obrázek 5: Obě úložiště po stanovenou dobu odmítají přepsání a smazání; jak přísně, záleží na nastavení.

Pokud si v Azure všimnete chyby v konfiguraci až po uzamčení zásady, dobu uchovávání už nezkrátíte¹³. Průvodce CISA uvádí, že někteří poskytovatelé cloudu nabízejí úložiště, které nelze přepsat, a upozorňuje, že chybná konfigurace může vést ke značným nákladům. Zmiňuje také, že takové úložiště nemusí splňovat požadavky některých předpisů⁴. Pokud nastavíte dlouhou dobu uchovávání a uzamknete ji, nemůžete data během této doby smazat a poplatky za úložiště se dál účtují. Začněte s odemčeným stavem nebo krátkou dobou, ověřte, že se dá obnovit, a teprve pak použijte produkční nastavení.

Oddělte oprávnění ke správě záloh

I když používáte úložiště, které nelze přepsat, může útočník nastavení a zásady záloh změnit, pokud je lze měnit běžným účtem správce. Microsoft doporučuje před změnou nebo smazáním online záloh vyžadovat další krok, například vícefaktorové ověřování nebo bezpečnostní PIN. Uvádí také omezení operací zálohování a obnovy na uživatele v určených rolích a snížení počtu sdílených složek, do kterých může zapisovat a mazat mnoho uživatelů⁵.

I když počítače i zálohy spravuje stejný člověk, nepoužívejte účet pro správu cíle záloh k běžnému přihlašování k počítači a chraňte ho vícefaktorovým ověřováním.

Uchovávejte více generací

Směrnice IPA uvádějí „správu generací“, tedy uchovávání záloh z více časových okamžiků. Díky ní se lze při poškození nebo ztrátě dat vrátit ke konkrétnímu okamžiku¹². Jak už bylo popsáno, pokud trvá dlouho, než si šifrování všimnete, budou nejnovější zálohy obsahovat už zašifrovaná data. Počet uchovávaných generací určete podle toho, jak dlouho může trvat, než si šifrování všimnete, a podle nákladů na úložiště.

flowchart TB
        accTitle: Tři opatření pro uchování kopie, kterou nelze přepsat
        accDescr: Diagram ukazuje uložení odpojených médií nebo použití úložiště, které nelze přepsat, oddělení oprávnění ke správě záloh od běžných účtů a uchovávání více generací.
        A["Kopie, kterou nelze přepsat"] --> B["Uložit odpojená média"]
        A --> C["Úložiště, které nelze přepsat"]
        B --> D["Oddělit oprávnění ke správě"]
        C --> D
        D --> E["Uchovávat více generací"]

Obrázek 6: Po rozhodnutí, kde kopii uchovávat, oddělte oprávnění ke správě a uchovávejte generace, abyste se mohli vrátit, i když si útoku všimnete pozdě.

Ověřte, že se dá obnovit

Ve zprávě Národní policejní agentury byly druhým nejčastějším důvodem neúspěšné obnovy „nedostatky v provozu“¹. Zda se záloha dá skutečně obnovit, nevíte, dokud to nezkusíte. Práci, při které se ze zálohy skutečně obnoví data, aby se to ověřilo, nazýváme testem obnovy.

Směrnice IPA dělí provoz záloh na tři části: pořizování, uchovávání a obnovu. U obnovy požadují připravit plán obnovy a ověřit, že obnova proběhne správně³. U systémů kritických pro podnikání požadují upravit pořizování záloh a postupy podle cílové doby obnovy (RTO) a cílového bodu obnovy (RPO) a ověřit jejich účinnost cvičením. RTO je doba potřebná k obnově na cílovou úroveň a RPO je okamžik, ke kterému se obnovuje, tedy čas nejnovější zálohy¹⁵. Také průvodce CISA s ohledem na zotavení po havárii žádá pravidelně ověřovat, že zálohy jsou použitelné a neporušené⁴.

flowchart TB
        accTitle: Jak provést test obnovy
        accDescr: Diagram ukazuje postup: určit pořadí obnovy, obnovit do odděleného prostředí, porovnat potřebnou dobu a obnovený bod s RTO a RPO a upravit provozní příručku.
        A["Určit pořadí obnovy"] --> B["Obnovit do odděleného prostředí"]
        B --> C["Porovnat potřebnou dobu s RTO"]
        B --> D["Porovnat obnovený bod s RPO"]
        C --> E["Upravit provozní příručku"]
        D --> E
        E -.->|"Další kontrola"| A

Obrázek 7: Zkuste obnovu, ověřte, zda doba a bod splňují cíle, a výsledky promítněte do provozní příručky.

Co ověřit

Na základě dokumentace IPA a Microsoftu lze to, co je třeba ověřit, shrnout takto.

Microsoft doporučuje nejprve určit systémy, které jsou pro podnikání zásadní, a pravidelně je zálohovat. Výsledný seznam záloh seřazený podle priority se tak přímo stává pořadím obnovy. Jako vysokou prioritu uvádí na prvním místě systémy ověřování, jako je Active Directory, které jsou potřebné pro přístup ke všem ostatním systémům⁵. Doporučuje také pravidelně cvičit obnovení provozu ze stavu, kdy stojí všechny systémy. Při těchto cvičeních počítejte s tím, že nefunguje ani e-mail a chat⁵.

Microsoft píše, že útočníci se cíleně zaměřují na provozní příručky obnovy a síťová schémata. Doporučuje je chránit nebo mít po ruce vytištěné kopie⁵. Pokud provozní příručka existuje jen na souborovém serveru, nepřečtete ji, když je tento souborový server zašifrován.

Na co dát pozor při obnově po útoku

Po skutečném útoku nejprve odstraňte samotný ransomware z prostředí a teprve pak obnovujte⁵. Microsoft uvádí výběr zálohy z okamžiku, o kterém víte, že nebyl napaden, a kontrolu zálohy na malware před obnovou⁵. Zpráva Národní policejní agentury uvádí, že skupiny provozující ransomware někdy instalují vzdáleně ovladatelný software jako zadní vrátka, aby se mohly vrátit i po uzavření vstupního bodu². Před obnovou je třeba prověřit cestu průniku a vše, co útočníci zanechali.

flowchart TB
        accTitle: Pořadí obnovy ze zálohy po útoku
        accDescr: Diagram ukazuje odstranění samotného ransomwaru a cesty průniku, výběr zálohy z nenapadeného okamžiku, její kontrolu na malware a následnou obnovu systémů s nejvyšší prioritou jako prvních.
        A["Odstranit samotný ransomware"] --> B["Prověřit cestu průniku a pozůstatky"]
        B --> C["Vybrat nenapadený okamžik"]
        C --> D["Zkontrolovat zálohu"]
        D --> E["Obnovit nejdříve nejvyšší prioritu"]

Obrázek 8: Po útoku odstraňte, co útočníci zanechali, a před obnovou ověřte nenapadený okamžik.

Jak často ověřovat

Směrnice IPA i průvodce CISA žádají ověřovat „pravidelně“, že se dá obnovit, ale žádný počet neuvádějí¹¹⁴. Firma z případu IPA zmíněného výše cvičila obnovu dvakrát ročně³. Určete, jak dlouho smí provoz stát a jak starý smí být obnovený bod, a ověřujte s takovou frekvencí, abyste mohli potvrdit, že to splňujete.

Co rozhodnout nejdřív

Dosavadní obsah lze shrnout jako to, co by malá nebo střední firma měla rozhodnout nejdřív.

flowchart TB
        accTitle: Pořadí rozhodování o zálohách odolných proti ransomwaru
        accDescr: Diagram ukazuje pořadí: určit rozsah, rozhodnout, kde uchovávat kopie a kopii, kterou nelze přepsat, rozhodnout o oprávněních a generacích, stanovit RTO a RPO a ověřit, že se dá obnovit.
        A["Určit rozsah"] --> B["Rozhodnout, kde uchovávat kopie"]
        B --> C["Rozhodnout o kopii, kterou nelze přepsat"]
        C --> D["Rozhodnout o oprávněních a generacích"]
        D --> E["Stanovit RTO a RPO"]
        E --> F["Ověřit, že se dá obnovit"]

Obrázek 9: Rozhodněte vše v jednom sledu, od rozsahu až po závěrečné ověření, že se dá obnovit.

Ve čtvrtém vydání směrnic IPA bylo k „5 pravidlům informační bezpečnosti“, kterými organizace začínají, přidáno pravidlo „Zálohujte!“, takže jich je nyní 6¹⁶. Jak postupovat podle směrnic jako celku, shrnuje článek „Where Should SMEs Start on Security?“ (v angličtině). Pokud plánujete výměnu serverů, přečtěte si také „Preparing for Windows Server 2016 End of Support“ (v angličtině).

Související články

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Odkazy

Související články

Nejnovější články se stejnými štítky. Prohloubte si znalosti v příbuzných tématech.

Související témata

Stránky s tématy blízkými tomuto článku. Od článku můžete přejít k souvisejícím službám a dalším článkům.

Služby k tomuto tématu

Tento článek navazuje na následující stránky služeb. Vyberte si nejbližší vstup.

Často kladené otázky

Otázky, které se při konzultacích k tématu tohoto článku objevují nejčastěji.

Když zálohuji, obnovím po napadení ransomwarem všechno?

Samotné zálohování k obnově často nestačí. Podle škod, které japonská Národní policejní agentura shrnula za první pololetí roku 2025, se 41 ze 48 organizací, které zálohovaly a odpověděly, nepodařilo vrátit do stavu těsně před útokem. Nejčastějším důvodem bylo, že zašifrované byly i zálohy. Potřebujete kopii, kterou napadený počítač nemůže přepsat, a musíte ověřit, že se z ní dá obnovit.

Když má Windows předchozí verze, potřebuji ještě zálohy?

Ano. Předchozí verze jsou stínové kopie svazku, tedy rozdíly uložené na původním svazku. Microsoft za zálohu považuje data zkopírovaná ze stínové kopie na médium, jako je páska. Ransomware někdy stínové kopie maže nástroji jako vssadmin, proto je kombinujte se zálohami na jiném médiu.

Stačí dodržet pravidlo 3-2-1 jako ochrana proti ransomwaru?

Někdy ne. Pravidlo 3-2-1 vyžaduje tři kopie, dva druhy médií a jednu kopii mimo firmu, ale nevyžaduje, aby kopie mimo firmu byla offline nebo neměnná. Kopie v cloudu, do které napadený počítač může kdykoli zapisovat, může být zašifrována stejně. Přidejte jednu kopii na offline médiu nebo v úložišti, které nelze přepsat.

Jak často mám ověřovat, že se ze záloh dá obnovit?

Směrnice IPA i průvodce CISA uvádějí „pravidelně“ a žádný počet neuvádějí. Ve směrnici IPA je případ firmy, která dvakrát ročně cvičila obnovu a pět dní po zjištění útoku znovu spustila hlavní systémy. Určete, jak dlouho smí provoz stát a jak starý smí být bod, do kterého se obnoví, a ověřujte s takovou frekvencí, abyste mohli potvrdit, že to splníte.

O autorovi

Stránka s profilem autora článku.

Go Komura

Zástupce společnosti KomuraSoft LLC

Specializuje se na vývoj softwaru pro Windows, technické konzultace a vyšetřování chyb. Silnou stránkou jsou zakázky, v nichž zůstává stávající software, a vyšetřování poruch s nejasnou příčinou.