Sikkerhedskopier, der modstår ransomware ── 3-2-1-reglen, lagring der ikke kan overskrives, og kontrol af, at du kan gendanne

Ved ransomwareangreb er der mange eksempler på, at en organisation havde sikkerhedskopier, men alligevel ikke kunne gendanne. Den hyppigste årsag er, at sikkerhedskopierne blev krypteret sammen med alt det andet. Denne artikel gennemgår, hvordan man opbygger sikkerhedskopier, der modstår angreb, til små og mellemstore virksomheders Windows-pc’er og filservere.

Der er tre hovedpunkter: Hav én kopi, som en inficeret pc ikke kan overskrive, brug ikke “Tidligere versioner” i stedet for sikkerhedskopier, og kontroller, at du faktisk kan gendanne. 3-2-1-reglen bestemmer, hvor mange kopier du har, og hvor de ligger, men alene efterlader den huller i forsvaret mod ransomware.

Kommandoerne i artiklen er kun til Windows, og deres output er kontrolleret i en kommandoprompt som administrator på Windows Server 2022. Produkternes indstillingsskærme og priser kan ændre sig, så tjek den nyeste dokumentation fra hver leverandør, når du tager dem i brug.

Mange organisationer havde sikkerhedskopier, men kunne ikke gendanne

Japans nationale politimyndighed spørger organisationer, der er ramt af ransomware, om tilstanden af deres sikkerhedskopier. I rapporten for første halvår 2025 havde 51 af de 53 organisationer, der svarede, taget sikkerhedskopier. Men af de 48, der blev spurgt, om de kunne gendanne fra sikkerhedskopien til niveauet lige før angrebet, kunne kun 7, mens 41 ikke kunne¹.

Af de 35, der angav en årsag til, at de ikke kunne gendanne, svarede 23 “sikkerhedskopierne blev også krypteret”, 8 “mangler i driften” og 4 “andet”¹. Samme rapport skriver, at ransomwaregrupper sletter ofrenes logfiler og sikkerhedskopier for at fjerne deres spor og forhindre gendannelse. Derefter opfordrer den organisationer til at opbevare sikkerhedskopier i et offlinemiljø².

flowchart TB
        accTitle: Sådan kan man have sikkerhedskopier og alligevel ikke gendanne
        accDescr: Et diagram, der viser, at selv om man tager sikkerhedskopier, bliver de krypteret sammen med alt andet, når den inficerede pc kan nå dem, og at mangler i driften forhindrer gendannelse, hvis gendannelsesproceduren ikke er kontrolleret.
        A["Der tages sikkerhedskopier"] --> B{"Kan den inficerede pc nå dem?"}
        B -->|"Kan nå dem"| C["Krypteres eller slettes også"]
        B -->|"Kan ikke nå dem"| D{"Er gendannelsesproceduren kontrolleret?"}
        D -->|"Ikke kontrolleret"| E["Kan ikke gendanne på grund af mangler i driften"]
        D -->|"Kontrolleret"| F["Kan gendanne"]

Figur 1: Sikkerhedskopier kan bruges, når den inficerede pc ikke kan nå dem, og gendannelsesproceduren er kontrolleret.

Der er også eksempler på, at gendannelsen lykkedes. 4. udgave af IPA’s “Retningslinjer for informationssikkerhed i SMV’er” beskriver en byggevirksomhed, hvis filservere og andre systemer blev krypteret efter et indbrud via en VPN-enhed. Blandt andet fordi virksomheden holdt gendannelsesøvelser to gange om året, fik den sine kernesystemer i gang igen fra sikkerhedskopier fem dage efter, at angrebet blev opdaget. Alligevel tog det 41 dage at genoptage hvert internt system og fire måneder at genoptage fjernadgangen, og virksomheden mistede over 20 procent af sine interne filer³. At man kan gendanne fra sikkerhedskopier, får ikke skaden til at forsvinde.

I diagrammet markerer en fuldt optrukket linje en relation, der altid gælder, og en stiplet linje en betinget relation (betingelserne står for hver relation på detaljesiden). Den fulde liste over relationer (13 i alt, med belæg og sikkerhed) og definitionerne af de vigtigste begreber er samlet på detaljesiden for vidensoversigten (på japansk). Data: JSON-LD / Turtle

Angriberne sletter de sikkerhedskopier, de kan nå

Den amerikanske CISA og andre myndigheders #StopRansomware-vejledning skriver, at mange ransomwarevarianter forsøger at finde tilgængelige sikkerhedskopier og slette eller kryptere dem, så offeret ikke kan genoprette uden at betale løsesummen. Derfor er det vigtigt at opbevare sikkerhedskopier offline, skriver den⁴.

Også Microsoft skriver, at angribere fokuserer på at sætte sikkerhedskopieringssoftware og styresystemfunktioner som skyggekopier ud af drift⁵. Sikkerhedskopier, som en inficeret pc kan nå, omfatter for eksempel følgende.

• Eksterne drev, der altid er tilsluttet pc’en
• Delte mapper på en NAS eller filserver, der er tilknyttet et drevbogstav
• Synkroniseringsmapper i skyen, som den daglige konto kan skrive til
• Skyggekopier (Tidligere versioner) på samme diskenhed

Selv de kommandoer, der er indbygget i styresystemet, kan slette skyggekopier og sikkerhedskopikataloger. MITRE ATT&CK klassificerer denne teknik som “Inhibit System Recovery” (T1490). Som eksempler nævnes sletning af alle skyggekopier med vssadmin.exe delete shadows /all /quiet og sletning af Windows’ sikkerhedskopikatalog med wbadmin.exe delete catalog -quiet⁶. CISA’s vejledning opfordrer også organisationer til at holde øje med mistænkelig brug af vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) og lignende værktøjer⁴.

flowchart TB
        accTitle: Sikkerhedskopier, som en inficeret pc kan og ikke kan nå
        accDescr: Et diagram, der viser, at en inficeret pc kan skrive til altid tilsluttede eksterne drev, tilknyttede delte mapper, synkroniseringsmapper og skyggekopier, men ikke til frakoblede medier eller lagring, der ikke kan overskrives.
        P["Inficeret pc"] --> R["Steder, den kan skrive til"]
        P -.-x N["Frakoblede medier, lagring der ikke kan overskrives"]
        R --> A["Altid tilsluttet eksternt drev"]
        R --> B["Tilknyttet delt mappe"]
        R --> C["Synkroniseringsmappe i skyen"]
        R --> D["Skyggekopier"]

Figur 2: Sikkerhedskopier, der ligger, hvor en inficeret pc kan skrive, bliver mål for angrebet.

Du skal også være opmærksom på angreb, der tager tid. Microsoft skriver, at ransomware nogle gange krypterer gradvist og lader nøglen blive på systemet. Brugerne kan bruge dataene som normalt imens, så sikkerhedskopier af krypterede data bliver ved med at hobe sig op, uden at nogen bemærker det. Når alt er krypteret, og nøglen slettes, kan selv de nyeste sikkerhedskopier ikke læses⁵. Hvis du kun gemmer den seneste generation, er der i det tilfælde intet at vende tilbage til.

“Tidligere versioner” erstatter ikke sikkerhedskopier

Windows’ “Tidligere versioner” og skyggekopier af delte mapper bruger tjenesten Volume Shadow Copy (VSS). VSS-systemudbyderen, der følger med Windows, bruger en kopiér-ved-skrivning-metode (copy-on-write), som gemmer en bloks indhold i et forskelsområde, før blokken overskrives, og genskaber på den måde diskenheden, som den så ud på et bestemt tidspunkt⁷.

I sin VSS-dokumentation forklarer Microsoft forskellen mellem skyggekopier og sikkerhedskopier således: Når data kopieres fra en skyggekopi til et flytbart medie som bånd, bliver mediets indhold sikkerhedskopien. Efter kopieringen må selve skyggekopien slettes⁷. Dokumentationen skriver også, at når forskelsområdet bliver for lille, slettes de ældste skyggekopier først⁷.

flowchart TB
        accTitle: Forskellen mellem skyggekopier og sikkerhedskopier
        accDescr: Et diagram, der viser, at en skyggekopi er et sæt forskelle fra den oprindelige diskenhed og slettes, når pladsen slipper op, eller af en angriber, mens en sikkerhedskopi, der er kopieret til et separat medie, overlever, selv om den oprindelige diskenhed går tabt.
        V["Oprindelig diskenhed"] --> S["Skyggekopi (forskelle)"]
        S --> L["Ældste slettes først, når pladsen slipper op"]
        S --> K["Slettes af en angriber med vssadmin"]
        S -->|"Kopiér til separat medie"| B["Sikkerhedskopi"]
        B --> R["Overlever, selv om den oprindelige diskenhed går tabt"]

Figur 3: Skyggekopier afhænger af dataene på den oprindelige diskenhed; det, du kopierer til et separat medie, bliver sikkerhedskopien.

Skyggekopier er praktiske, når brugerne selv skal gendanne filer, de har overskrevet ved en fejl. Men som beskrevet i forrige afsnit sletter angribere dem nogle gange. Mekanismen og driften forklares nærmere i “Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Du kan se, hvilke skyggekopier der er tilbage, ved at køre vssadmin list shadows i en kommandoprompt som administrator. Denne underkommando findes både på klienter og servere⁸.

vssadmin list shadows

Versionshistorikken og papirkurven i OneDrive og SharePoint er også måder, hvorpå brugerne kan få filer tilbage. Microsoft anbefaler at lære brugerne, hvordan de gendanner hele deres OneDrive til et tidligere tidspunkt. Microsoft skriver også, at brugerne først skal gendanne, når man er sikker på, at angriberen er smidt ud, og at man skal være forberedt på, at brugerne også gendanner malwaren⁵.

3-2-1-reglen bestemmer antallet af kopier og placeringen

3-2-1-reglen er en tommelfingerregel for, hvordan man opbevarer sikkerhedskopier. “Data Backup Options”, der blev skrevet til US-CERT i 2012, forklarer den sådan⁹.

• 3: Hav tre kopier af vigtige filer: originalen og to sikkerhedskopier.
• 2: Opbevar dem på to forskellige typer medier for at være forberedt på forskellige slags katastrofer.
• 1: Opbevar én kopi uden for hjemmet eller virksomheden.

Som kilde nævner dokumentet “The DAM Book”, en bog om håndtering af digitale fotos af fotografen Peter Krogh⁹. Også Microsoft nævner reglen i sin dokumentation om sikkerhedskopier til beskyttelse mod ransomware og beskriver “1” som “en kopi uden for virksomheden eller en kold kopi”⁵.

Det, 3-2-1-reglen kræver, er, at en kopi opbevares uden for virksomheden. Den kræver ikke, at kopien uden for virksomheden er offline eller uforanderlig. Hvis kopien uden for virksomheden ligger i en sky, som en inficeret pc altid kan skrive til, kan den altså blive krypteret sammen med de lokale kopier. CISA’s vejledning og Microsofts dokumentation nævner offlineopbevaring som et forsvar mod ransomware. Microsoft nævner også lagring, der ikke kan overskrives⁴⁵.

flowchart TB
        accTitle: 3-2-1-reglen og beskyttelse mod ransomware
        accDescr: Et diagram, der viser, at man til 3-2-1-reglen om tre kopier, to typer medier og én uden for virksomheden tilføjer én offline eller uforanderlig kopi og derefter kontrollerer, at man kan gendanne.
        A["Tre kopier"] --> B["To typer medier"]
        B --> C["Én uden for virksomheden"]
        C --> D["Én offline eller uforanderlig"]
        D --> E["Kontrollér, at du kan gendanne"]

Figur 4: Tilføj til 3-2-1-reglen en kopi, som en inficeret pc ikke kan overskrive, og en kontrol af, at du kan gendanne.

Sikkerhedskopieringsleverandøren Veeam markedsfører dette som “3-2-1-1-0-reglen”. I Veeams dokumentation betyder det ekstra “1” at have én kopi, der er offline, air-gapped eller uforanderlig, og “0” betyder nul fejl ved regelmæssig verifikation af gendannelse¹⁰. Det er et navn fra en leverandørs dokumentation, ikke en officiel standard. Alligevel overlapper de to ekstra punkter med det, som CISA og IPA beder om.

Hav én kopi, som en inficeret pc ikke kan overskrive

Der er overordnet to måder at lave en kopi, der ikke kan overskrives: at frakoble mediet fra pc’en og opbevare det, eller at bruge lagring i skyen, hvor data ikke kan overskrives eller slettes i en fastsat periode. Uanset hvad du vælger, skal du adskille rettighederne til at administrere sikkerhedskopier fra det daglige arbejde.

Frakobl mediet fra pc’en, og opbevar det

Som et eksempel på et tiltag i sin selvevaluering skriver IPA’s retningslinjer, at de enheder og medier, der bruges til sikkerhedskopiering, kun skal tilsluttes pc’en, mens der tages en sikkerhedskopi. De nævner også at beslutte, hvordan sikkerhedskopier tages, at opbevare dem et sikkert sted og regelmæssigt at kontrollere, at de kan gendannes¹¹.

For organisationer, der går videre, nævner retningslinjerne “fysisk isolation”. Det betyder at opbevare sikkerhedskopier et sted, der er fysisk adskilt fra det oprindelige system, og at opbevare eksterne lagringsenheder eller backupbånd så langt væk som muligt. Som eksempler på opbevaringssteder nævnes en bankboks eller en betroet forretningspartner eller tilknyttet virksomhed¹².

En sikkerhedskopi, der opbevares frakoblet fra produktionssystemerne på denne måde, kaldes en offlinesikkerhedskopi. En inficeret pc kan ikke skrive til frakoblede medier. Til gengæld skal mennesker tilslutte og transportere medierne, så sikkerhedskopier bliver glemt, eller mediet bliver ikke bragt ud af huset. Beslut, hvem der tilslutter mediet, frakobler det og bringer det til opbevaringsstedet, og hvornår.

Brug lagring i skyen, der ikke kan overskrives

Lagring i skyen har funktioner, der forhindrer data i at blive overskrevet eller slettet i en fastsat periode. De opbevarer data i en tilstand, der kaldes WORM (Write Once, Read Many).

I Azure Blob Storages uforanderlige lagring (immutable storage) kan data, når du har angivet en tidsbaseret opbevaringspolitik, oprettes og læses i den periode, men ikke ændres eller slettes¹³. En politik oprettes først i ulåst tilstand, og du låser den efter test. En låst politik kan ikke slettes, og dens opbevaringsperiode kan forlænges, men ikke forkortes¹³. Microsoft forklarer, at selv brugere med administratorrettigheder til kontoen ikke kan ændre eller slette dataene¹³.

Amazon S3 Object Lock har to tilstande. I overholdelsestilstand (compliance mode) kan ingen, heller ikke AWS-kontoens rodbruger, overskrive eller slette en objektversion i opbevaringsperioden. I styringstilstand (governance mode) kan kun brugere med særlige rettigheder ændre eller fjerne opbevaringsindstillingerne¹⁴. Object Lock kan kun bruges i buckets, hvor S3 Versioning er aktiveret¹⁴.

flowchart TB
        accTitle: To eksempler på lagring, der ikke kan overskrives
        accDescr: Et diagram, der viser, at en låst politik i Azure Blob Storages uforanderlige lagring ikke kan slettes, og at dens opbevaringsperiode ikke kan forkortes, og at selv rodbrugeren med S3 Object Lock ikke kan slette i overholdelsestilstand, mens særlige rettigheder tillader ændringer i styringstilstand.
        W["Lagring, der ikke kan overskrives"] --> AZ["Uforanderlig lagring i Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Opbevaringsperioden kan ikke forkortes efter låsning"]
        S3 --> C["Overholdelsestilstand"]
        S3 --> G["Styringstilstand"]
        C --> C1["Selv rodbrugeren kan ikke slette"]
        G --> G1["Særlige rettigheder tillader ændringer"]

Figur 5: Begge typer lagring afviser overskrivning og sletning i en fastsat periode; hvor strengt afhænger af indstillingerne.

I Azure kan du ikke forkorte opbevaringsperioden, selv om du opdager en konfigurationsfejl efter at have låst en politik¹³. CISA’s vejledning bemærker, at nogle cloududbydere tilbyder lagring, der ikke kan overskrives, og advarer om, at forkert konfiguration kan føre til betydelige omkostninger. Den nævner også, at sådan lagring måske ikke opfylder kravene i visse regler⁴. Hvis du angiver en lang opbevaringsperiode og låser den, kan du ikke slette dataene i den periode, og lagringsgebyrerne bliver ved med at løbe på. Begynd med en ulåst tilstand eller en kort periode, kontrollér, at du kan gendanne, og anvend derefter produktionsindstillingerne.

Adskil rettighederne til at administrere sikkerhedskopier

Selv når du bruger lagring, der ikke kan overskrives, kan en angriber ændre sikkerhedskopiernes indstillinger og politikker, hvis de kan ændres med den daglige administratorkonto. Microsoft anbefaler at kræve et ekstra trin, for eksempel multifaktorgodkendelse eller en sikkerheds-PIN, før onlinesikkerhedskopier kan ændres eller slettes. Microsoft nævner også at begrænse sikkerhedskopierings- og gendannelseshandlinger til brugere i bestemte roller og at reducere antallet af filshares, hvor mange brugere kan skrive og slette⁵.

Selv hvis den samme person administrerer både pc’erne og sikkerhedskopierne, skal du ikke bruge kontoen til administration af sikkerhedskopiernes destination til daglig logon på pc’en, og den skal beskyttes med multifaktorgodkendelse.

Gem flere generationer

IPA’s retningslinjer nævner “generationsstyring”, hvilket betyder at have sikkerhedskopier fra flere tidspunkter. Det gør det muligt at gå tilbage til et bestemt tidspunkt, når data bliver beskadiget eller går tabt¹². Som beskrevet i et tidligere afsnit vil de nyeste sikkerhedskopier indeholde data, der allerede er krypteret, hvis det tager tid at opdage krypteringen. Beslut, hvor mange generationer der skal gemmes, ud fra hvor lang tid det kan tage at opdage krypteringen, og ud fra lagringsomkostningerne.

flowchart TB
        accTitle: Tre tiltag for at have en kopi, der ikke kan overskrives
        accDescr: Et diagram, der viser opbevaring af frakoblede medier eller brug af lagring, der ikke kan overskrives, adskillelse af rettighederne til at administrere sikkerhedskopier fra daglige konti og opbevaring af flere generationer.
        A["En kopi, der ikke kan overskrives"] --> B["Opbevar frakoblede medier"]
        A --> C["Lagring, der ikke kan overskrives"]
        B --> D["Adskil administrationsrettighederne"]
        C --> D
        D --> E["Gem flere generationer"]

Figur 6: Når du har besluttet, hvor kopien skal ligge, skal du adskille administrationsrettighederne og gemme generationer, så du kan gå tilbage, selv om du opdager angrebet sent.

Kontrollér, at du kan gendanne

I den nationale politimyndigheds rapport var den næsthyppigste årsag til, at gendannelsen mislykkedes, “mangler i driften”¹. Du kan ikke vide, om en sikkerhedskopi faktisk kan gendannes, før du prøver. Arbejdet med faktisk at gendanne fra sikkerhedskopien for at kontrollere dette kaldes en gendannelsestest.

IPA’s retningslinjer opdeler sikkerhedskopieringen i tre dele: at tage, opbevare og gendanne. Til gendannelse beder de dig om at lave en gendannelsesplan og kontrollere, at du kan gendanne korrekt³. For forretningskritiske systemer beder de dig om at tilrettelægge, hvordan sikkerhedskopier tages, og procedurerne, så de passer til målet for genoprettelsestid (RTO) og målet for genoprettelsespunkt (RPO), og at verificere effektiviteten gennem øvelser. RTO er den tid, det tager at gendanne til målniveauet, og RPO er det tidspunkt, du gendanner til, altså tidspunktet for den seneste sikkerhedskopi¹⁵. CISA’s vejledning beder også organisationer om regelmæssigt at kontrollere, at sikkerhedskopierne kan bruges og er intakte, med henblik på katastrofegendannelse⁴.

flowchart TB
        accTitle: Sådan gennemføres en gendannelsestest
        accDescr: Et diagram, der viser forløbet med at beslutte gendannelsesrækkefølgen, gendanne til et separat miljø, sammenligne den forbrugte tid og det gendannede tidspunkt med RTO og RPO og revidere drejebogen.
        A["Beslut gendannelsesrækkefølgen"] --> B["Gendan til et separat miljø"]
        B --> C["Sammenlign den forbrugte tid med RTO"]
        B --> D["Sammenlign det gendannede tidspunkt med RPO"]
        C --> E["Revidér drejebogen"]
        D --> E
        E -.->|"Næste kontrol"| A

Figur 7: Prøv at gendanne, kontrollér, om tiden og tidspunktet opfylder målene, og før resultaterne tilbage i drejebogen.

Hvad der skal kontrolleres

Ud fra IPA’s og Microsofts dokumentation kan det, der skal kontrolleres, opstilles således.

Microsoft anbefaler først at identificere de systemer, der er kritiske for forretningen, og at sikkerhedskopiere dem regelmæssigt. Den prioriterede liste over sikkerhedskopier, der opstår på den måde, bliver i sig selv gendannelsesrækkefølgen. Som høj prioritet nævner Microsoft først de godkendelsessystemer, for eksempel Active Directory, der er nødvendige for at komme ind i alle andre systemer⁵. Microsoft anbefaler også regelmæssige øvelser i at få forretningen i gang igen fra en tilstand, hvor alle systemer er nede. I disse øvelser skal man gå ud fra, at e-mail og chat heller ikke kan bruges⁵.

Microsoft skriver, at angribere bevidst går efter gendannelsesdrejebøger og netværksdiagrammer. Microsoft anbefaler at beskytte dem eller have udskrevne kopier ved hånden⁵. Hvis drejebogen kun findes på filserveren, kan du ikke læse den, når filserveren er krypteret.

Forsigtighed ved gendannelse efter et angreb

Efter et faktisk angreb skal du fjerne selve ransomwaren fra miljøet, før du gendanner⁵. Microsoft nævner at vælge en sikkerhedskopi fra et tidspunkt, der vides at være uinficeret, og at scanne sikkerhedskopien for malware, før man gendanner⁵. Den nationale politimyndigheds rapport skriver, at ransomwaregrupper nogle gange installerer fjernstyret software som bagdør, så de kan komme ind igen, selv efter at indgangen er lukket². Før du gendanner, skal du undersøge indtrængningsvejen og alt, hvad angriberne har efterladt.

flowchart TB
        accTitle: Rækkefølgen for gendannelse fra sikkerhedskopi efter et angreb
        accDescr: Et diagram, der viser, at man fjerner selve ransomwaren og indtrængningsvejen, vælger en sikkerhedskopi fra et uinficeret tidspunkt, scanner den for malware og derefter gendanner de systemer med højest prioritet først.
        A["Fjern selve ransomwaren"] --> B["Undersøg indtrængningsvejen og det efterladte"]
        B --> C["Vælg et uinficeret tidspunkt"]
        C --> D["Scan sikkerhedskopien"]
        D --> E["Gendan det med højest prioritet først"]

Figur 8: Efter et angreb skal du fjerne det, angriberne har efterladt, og bekræfte et uinficeret tidspunkt, før du gendanner.

Hvor ofte der skal kontrolleres

Både IPA’s retningslinjer og CISA’s vejledning beder dig om “regelmæssigt” at kontrollere, at du kan gendanne, men de angiver ikke et antal¹¹⁴. Virksomheden i det IPA-eksempel, der blev nævnt tidligere, holdt gendannelsesøvelser to gange om året³. Beslut, hvor længe virksomheden må stå stille, og hvor gammelt det gendannede tidspunkt må være, og kontrollér så ofte, at du kan bekræfte, at du overholder det.

Hvad der skal besluttes først

Indholdet indtil nu kan sammenfattes som det, en SMV først bør beslutte.

flowchart TB
        accTitle: Rækkefølgen for at beslutte sikkerhedskopier, der modstår ransomware
        accDescr: Et diagram, der viser rækkefølgen med at beslutte omfanget, beslutte, hvor kopierne skal ligge, og kopien, der ikke kan overskrives, beslutte rettigheder og generationer, beslutte RTO og RPO og kontrollere, at du kan gendanne.
        A["Beslut omfanget"] --> B["Beslut, hvor kopierne skal ligge"]
        B --> C["Beslut kopien, der ikke kan overskrives"]
        C --> D["Beslut rettigheder og generationer"]
        D --> E["Beslut RTO og RPO"]
        E --> F["Kontrollér, at du kan gendanne"]

Figur 9: Beslut det hele i én sammenhængende rækkefølge, fra omfanget til den sidste kontrol af, at du kan gendanne.

I 4. udgave af IPA’s retningslinjer blev “Tag sikkerhedskopier!” føjet til de “5 regler for informationssikkerhed”, som organisationer begynder med, så de blev til 6 regler¹⁶. Hvordan man arbejder sig igennem retningslinjerne som helhed, er sammenfattet i “Where Should SMEs Start on Security?”. Hvis du planlægger at udskifte servere, kan du også se “Preparing for Windows Server 2016 End of Support”.

Relaterede artikler

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Referencer

Relaterede artikler

De nyeste artikler med de samme tags. Gå dybere ind i emnet med nært beslægtede artikler.

Relaterede emner

Emnesider, der ligger tæt på dette tema. Med artiklen som udgangspunkt kan du gå videre til relaterede ydelser og andre artikler.

Ydelser, der hænger sammen med emnet

Denne artikel er knyttet til følgende ydelsessider. Vælg den indgang, der ligger tættest på din sag.

Ofte stillede spørgsmål

Her er de spørgsmål, der ofte kommer op ved rådgivning om artiklens emne.

Hvis jeg tager sikkerhedskopier, kan jeg så gendanne alt efter et ransomwareangreb?

Ofte er det ikke nok bare at tage sikkerhedskopier. I de skader, som Japans nationale politimyndighed har opgjort for første halvår 2025, kunne 41 af de 48 organisationer, der tog sikkerhedskopier og svarede, ikke gendanne til niveauet lige før angrebet. Den hyppigste årsag var, at sikkerhedskopierne også var blevet krypteret. Du har brug for en kopi, som en inficeret pc ikke kan overskrive, og du skal kontrollere, at du kan gendanne fra den.

Hvis Windows har Tidligere versioner, har jeg så stadig brug for sikkerhedskopier?

Ja. Tidligere versioner er skyggekopier (Volume Shadow Copy), altså forskelle, der gemmes på den oprindelige diskenhed. Microsoft betragter data, der kopieres fra en skyggekopi til et medie som bånd, som sikkerhedskopien. Ransomware sletter nogle gange skyggekopier med værktøjer som vssadmin, så kombiner dem med sikkerhedskopier på separate medier.

Er det nok at følge 3-2-1-reglen for at beskytte sig mod ransomware?

Ikke altid. 3-2-1-reglen kræver tre kopier, to typer medier og én kopi uden for virksomheden, men den kræver ikke, at kopien uden for virksomheden er offline eller uforanderlig. En kopi i skyen, som en inficeret pc altid kan skrive til, kan blive krypteret på samme måde. Tilføj én kopi på offlinemedier eller i lagring, der ikke kan overskrives.

Hvor ofte skal jeg kontrollere, at jeg kan gendanne fra sikkerhedskopier?

Både IPA's retningslinjer og CISA's vejledning siger "regelmæssigt" og angiver ikke et antal. IPA's retningslinjer indeholder et eksempel, hvor en virksomhed, der holdt gendannelsesøvelser to gange om året, fik sine kernesystemer i gang igen fem dage efter, at angrebet blev opdaget. Beslut, hvor længe virksomheden må stå stille, og hvor gammelt det gendannede tidspunkt må være, og kontroller så ofte, at du kan bekræfte, at du kan overholde det.

Forfatterprofil

Profilsiden for artiklens forfatter.

Go Komura

Repræsentant for KomuraSoft LLC

Fokus på udvikling af Windows-software, teknisk rådgivning og fejlfinding, med særlig erfaring i projekter, hvor eksisterende løsninger skal bevares, og i undersøgelse af fejl, hvor årsagen er svær at spore.