Lunavararünnakutele vastupidavad varukoopiad ── reegel 3-2-1, salvestuskoht, mida ei saa üle kirjutada, ja taastamise kontroll

Lunavararünnakute puhul on palju juhtumeid, kus organisatsioonil olid varukoopiad olemas, kuid taastada ei õnnestunud. Kõige sagedasem põhjus on see, et varukoopiad krüpteeriti koos kõige muuga. See artikkel selgitab, kuidas väike- ja keskmise suurusega ettevõtete Windowsi arvutitele ja failiserveritele luua varukoopiaid, mis rünnakule vastu peavad.

Põhipunkte on kolm: hoidke üks koopia, mida nakatunud arvuti üle kirjutada ei saa, ärge kasutage „Varasemaid versioone“ varukoopiate asemel ja kontrollige, et saate päriselt taastada. Reegel 3-2-1 määrab koopiate arvu ja asukoha, kuid üksi jääb see lunavara vastu kaitsena puudulikuks.

Artiklis olevad käsud on ainult Windowsi jaoks ja nende väljundit kontrolliti Windows Server 2022 administraatori käsuviibas. Toodete seadete kuvad ja hinnad võivad muutuda, seega kontrollige kasutuselevõtul iga tootja uusimat dokumentatsiooni.

Paljudel organisatsioonidel olid varukoopiad, kuid taastada ei õnnestunud

Jaapani Riiklik Politseiamet küsib lunavararünnaku ohvriks langenud organisatsioonidelt nende varukoopiate olukorra kohta. 2025. aasta esimese poolaasta aruandes oli 53 vastanud organisatsioonist 51 varukoopiaid teinud. Kuid 48-st, kellelt küsiti, kas nad suutsid varukoopiast taastada olukorra vahetult enne rünnakut, suutis seda vaid 7 ja 41 mitte¹.

35-st, kes nimetasid taastamise ebaõnnestumise põhjuse, vastas 23 „ka varukoopiad krüpteeriti“, 8 „puudused töökorralduses“ ja 4 „muu“¹. Sama aruanne ütleb, et lunavararühmitused kustutavad ohvrite logisid ja varukoopiaid, et jälgi peita ja taastamist takistada. Seejärel palub see organisatsioonidel hoida varukoopiaid võrguühenduseta keskkonnas².

flowchart TB
        accTitle: Kuidas varukoopiad võivad olemas olla ja taastada ikkagi ei saa
        accDescr: Joonis näitab, et isegi kui teete varukoopiaid, krüpteeritakse need koos kõige muuga, kui nakatunud arvuti nendeni ulatub, ja et kui taastamisprotseduuri pole kontrollitud, takistavad taastamist puudused töökorralduses.
        A["Varukoopiaid tehakse"] --> B{"Kas nakatunud arvuti ulatub nendeni?"}
        B -->|"Ulatub"| C["Krüpteeritakse või kustutatakse samuti"]
        B -->|"Ei ulatu"| D{"Kas taastamisprotseduuri on kontrollitud?"}
        D -->|"Pole kontrollitud"| E["Taastamine ebaõnnestub töökorralduse puuduste tõttu"]
        D -->|"On kontrollitud"| F["Saab taastada"]

Joonis 1: Varukoopiad on kasutatavad, kui nakatunud arvuti nendeni ei ulatu ja taastamisprotseduuri on kontrollitud.

On ka juhtumeid, kus taastamine õnnestus. IPA dokumendi „Väike- ja keskmise suurusega ettevõtete infoturbe juhised“ 4. väljaandes on juhtum ehitusettevõttest, mille failiserverid ja muud süsteemid krüpteeriti pärast sissetungi VPN-seadme kaudu. Osaliselt seetõttu, et ettevõte harjutas taastamist kaks korda aastas, käivitas see põhisüsteemid varukoopiatest uuesti viis päeva pärast rünnaku avastamist. Sellegipoolest kulus iga sisesüsteemi taaskäivitamiseks 41 päeva ja kaugjuurdepääsu taastamiseks neli kuud ning ettevõte kaotas üle 20 protsendi oma sisefailidest³. See, et varukoopiatest saab taastada, ei tähenda, et kahju kaob.

Diagrammil tähistab pidev joon seost, mis kehtib alati, ja katkendjoon tingimuslikku seost (tingimused on igal seosel toodud üksikasjalikul lehel). Seoste täielik loend (13 kokku, koos tõendite ja kindlusastmega) ning põhimõistete definitsioonid on koondatud teadmuskaardi üksikasjalikule lehele (jaapani keeles). Andmed: JSON-LD / Turtle

Ründajad kustutavad varukoopiad, milleni nad ulatuvad

USA CISA ja teiste asutuste avaldatud #StopRansomware juhend ütleb, et paljud lunavarad püüavad leida kättesaadavad varukoopiad ning need kustutada või krüpteerida, et ohver ei saaks ilma lunaraha maksmata taastada. Seetõttu peab juhend oluliseks hoida varukoopiaid võrguühenduseta⁴.

Ka Microsoft kirjutab, et ründajad keskenduvad varundustarkvara ja operatsioonisüsteemi funktsioonide, näiteks köite varikoopiate, töövõimetuks muutmisele⁵. Varukoopiad, milleni nakatunud arvuti ulatub, on näiteks järgmised:

• arvutiga pidevalt ühendatud välised kettad;
• draivitähega vastendatud NAS-i või failiserveri ühiskaustad;
• pilve sünkroonimiskaustad, kuhu tavakonto saab kirjutada;
• samal köitel olevad varikoopiad (Varasemad versioonid).

Varikoopiaid ja varukoopiate katalooge saab kustutada isegi operatsioonisüsteemi sisseehitatud käskudega. MITRE ATT&CK liigitab selle tehnika nimega „Inhibit System Recovery“ (T1490). Seal tuuakse näiteid, nagu kõigi varikoopiate kustutamine käsuga vssadmin.exe delete shadows /all /quiet ja Windowsi varukoopiate kataloogi kustutamine käsuga wbadmin.exe delete catalog -quiet⁶. Ka CISA juhend palub jälgida vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) ja sarnaste tööriistade kahtlast kasutamist⁴.

flowchart TB
        accTitle: Varukoopiad, milleni nakatunud arvuti ulatub ja ei ulatu
        accDescr: Joonis näitab, et nakatunud arvuti saab kirjutada pidevalt ühendatud välistele ketastele, vastendatud ühiskaustadesse, sünkroonimiskaustadesse ja varikoopiatesse, kuid ei saa kirjutada lahti ühendatud andmekandjatele ega salvestuskohta, mida ei saa üle kirjutada.
        P["Nakatunud arvuti"] --> R["Kohad, kuhu see saab kirjutada"]
        P -.-x N["Lahti ühendatud andmekandjad, salvestuskoht, mida ei saa üle kirjutada"]
        R --> A["Pidevalt ühendatud väline ketas"]
        R --> B["Vastendatud ühiskaust"]
        R --> C["Pilve sünkroonimiskaust"]
        R --> D["Varikoopiad"]

Joonis 2: Varukoopiad, mis asuvad kohas, kuhu nakatunud arvuti saab kirjutada, muutuvad rünnaku sihtmärgiks.

Arvestada tuleb ka rünnakutega, mis võtavad aega. Microsoft kirjutab, et lunavara krüpteerib mõnikord järk-järgult ja jätab võtme süsteemi. Kasutajad saavad selle aja jooksul andmeid tavapäraselt kasutada, nii et krüpteeritud andmete varukoopiaid koguneb, ilma et keegi seda märkaks. Kui kõik on krüpteeritud ja võti kustutatakse, ei saa lugeda ka hiljutisi varukoopiaid⁵. Kui hoiate ainult viimast põlvkonda, pole sellisel juhul kuhugi tagasi minna.

„Varasemad versioonid“ ei asenda varukoopiaid

Windowsi „Varasemad versioonid“ ja ühiskaustade varikoopiad kasutavad köite varikoopia teenust (VSS). Windowsiga kaasas olev VSS-i süsteemipakkuja kasutab kirjutamisel kopeerimise meetodit, mis salvestab ploki sisu enne ploki ülekirjutamist erinevuste alale, ja taastab nii köite teatud ajahetke seisus⁷.

Microsoft selgitab VSS-i dokumentatsioonis varikoopia ja varukoopia erinevust järgmiselt. Kui andmed kopeeritakse varikoopiast eemaldatavale andmekandjale, näiteks lindile, saab selle andmekandja sisust varukoopia. Pärast kopeerimist võib varikoopia enda kustutada⁷. Dokumentatsioonis öeldakse ka, et kui erinevuste alast jääb puudu, kustutatakse vanimad varikoopiad esimesena⁷.

flowchart TB
        accTitle: Varikoopiate ja varukoopiate erinevus
        accDescr: Joonis näitab, et varikoopia on algse köite erinevuste kogum, mis kustutatakse ruumipuuduse korral või ründaja poolt, samas kui eraldi andmekandjale kopeeritud varukoopia säilib ka siis, kui algne köide läheb kaotsi.
        V["Algne köide"] --> S["Varikoopia (erinevused)"]
        S --> L["Ruumipuuduse korral kustutatakse vanimad esimesena"]
        S --> K["Ründaja kustutab vssadmin-iga"]
        S -->|"Kopeeri eraldi andmekandjale"| B["Varukoopia"]
        B --> R["Säilib ka siis, kui algne köide läheb kaotsi"]

Joonis 3: Varikoopiad sõltuvad algse köite andmetest; varukoopiaks saab see, mille kopeerite eraldi andmekandjale.

Varikoopiad on mugavad, et kasutajad saaksid ise taastada failid, mille nad kogemata üle kirjutasid. Kuid nagu eelmises osas kirjeldatud, kustutavad ründajad neid mõnikord. Mehhanismi ja kasutamist selgitab üksikasjalikult artikkel „Volume Shadow Copy (VSS): The Mechanism and the Practice“ (inglise keeles).

Et näha, millised varikoopiad on alles, käivitage administraatori käsuviibas vssadmin list shadows. See alamkäsk on saadaval nii klient- kui ka serverisüsteemides⁸.

vssadmin list shadows

Ka OneDrive’i ja SharePointi versiooniajalugu ning prügikast on viisid, kuidas kasutajad saavad faile tagasi. Microsoft soovitab õpetada kasutajatele, kuidas taastada kogu OneDrive varasema ajahetke seisu. Samuti soovitab lasta kasutajatel taastada alles siis, kui olete kindel, et ründaja on välja tõrjutud, ja valmistuda juhuks, kui kasutajad taastavad ka pahavara⁵.

Reegel 3-2-1 määrab koopiate arvu ja asukoha

Reegel 3-2-1 on rusikareegel varukoopiate hoidmiseks. 2012. aastal US-CERT-i jaoks koostatud dokument „Data Backup Options“ selgitab seda järgmiselt⁹.

• 3: hoidke olulistest failidest kolme koopiat, originaali ja kahte varukoopiat.
• 2: hoidke neid kahte eri liiki andmekandjal, et olla valmis eri tüüpi õnnetusteks.
• 1: hoidke üht koopiat väljaspool kodu või ettevõtet.

Allikana viitab dokument fotograaf Peter Kroghi digifotode haldamise raamatule „The DAM Book“⁹. Ka Microsoft nimetab seda reeglit oma dokumentatsioonis lunavara vastu kaitsvate varukoopiate kohta ja kirjeldab „1“ kui „väljaspool asuvat või külma koopiat“⁵.

Reegel 3-2-1 nõuab, et üks koopia oleks väljaspool ettevõtet. See ei nõua, et väljaspool hoitav koopia oleks võrguühenduseta või muutmatu. Kui väljaspool hoitav koopia on pilves, kuhu nakatunud arvuti saab alati kirjutada, võidakse see seega krüpteerida koos kohalike koopiatega. CISA juhend ja Microsofti dokumentatsioon nimetavad lunavara vastu kaitsena võrguühenduseta hoidmist. Microsoft nimetab ka salvestuskohta, mida ei saa üle kirjutada⁴⁵.

flowchart TB
        accTitle: Reegel 3-2-1 ja kaitse lunavara vastu
        accDescr: Joonis näitab, kuidas reeglile 3-2-1, mis nõuab kolme koopiat, kahte liiki andmekandjaid ja üht koopiat väljaspool, lisatakse üks võrguühenduseta või muutmatu koopia ning seejärel kontrollitakse, et saab taastada.
        A["Kolm koopiat"] --> B["Kaks liiki andmekandjaid"]
        B --> C["Üks väljaspool"]
        C --> D["Üks võrguühenduseta või muutmatu"]
        D --> E["Kontrollige, et saab taastada"]

Joonis 4: Lisage reeglile 3-2-1 koopia, mida nakatunud arvuti üle kirjutada ei saa, ja kontroll, et saab taastada.

Varundustarkvara tootja Veeam propageerib seda kui „reeglit 3-2-1-1-0“. Veeami dokumentatsioonis tähendab lisatud „1“ ühe koopia hoidmist, mis on võrguühenduseta, õhuvahega (air gap) eraldatud või muutmatu, ja „0“ tähendab, et regulaarsel taastamise kontrollil pole ühtegi viga¹⁰. See on nimetus tootja dokumentatsioonist, mitte ametlik standard. Siiski kattuvad kaks lisatud punkti sellega, mida nõuavad CISA ja IPA.

Hoidke üks koopia, mida nakatunud arvuti üle kirjutada ei saa

Koopiat, mida ei saa üle kirjutada, saab luua kahel peamisel viisil: ühendada andmekandja arvutist lahti ja see hoiule panna või kasutada pilvesalvestust, milles andmeid ei saa määratud aja jooksul üle kirjutada ega kustutada. Kumba ka valite, eraldage varukoopiate haldamise õigused igapäevasest tööst.

Ühendage andmekandja arvutist lahti ja pange hoiule

IPA juhised toovad enesehindamise meetmete näitena, et varundamiseks kasutatavad seadmed ja andmekandjad ühendatakse arvutiga ainult varundamise ajaks. Lisaks nimetavad need varundamise viisi otsustamist, varukoopiate hoidmist turvalises kohas ja regulaarset kontrolli, et neid saab taastada¹¹.

Organisatsioonidele, kes tahavad edasi minna, nimetavad juhised „füüsilist eraldamist“. See tähendab varukoopiate hoidmist algsest süsteemist füüsiliselt eraldi kohas ning väliste salvestusseadmete või varulintide hoidmist võimalikult kaugel. Hoiukohtade näidetena tuuakse panga seifi või usaldusväärset äripartnerit või seotud ettevõtet¹².

Sellist tootmissüsteemidest lahti ühendatult hoitavat varukoopiat nimetatakse võrguühenduseta varukoopiaks. Nakatunud arvuti ei saa lahti ühendatud andmekandjale kirjutada. Teisalt peavad andmekandjaid uuesti ühendama ja kandma inimesed, nii et varukoopiad jäävad tegemata või andmekandjat ei viida väljapoole. Otsustage, kes andmekandja ühendab, lahti ühendab ja hoiukohta viib ning millal.

Kasutage pilvesalvestust, mida ei saa üle kirjutada

Pilvesalvestusel on funktsioone, mis takistavad andmete ülekirjutamist või kustutamist määratud aja jooksul. Need hoiavad andmeid olekus, mida nimetatakse WORM-iks (Write Once, Read Many).

Azure Blob Storage’i muutmatus salvestuses saab pärast ajapõhise säilituspoliitika määramist andmeid selle aja jooksul luua ja lugeda, kuid mitte muuta ega kustutada¹³. Poliitika luuakse esmalt lukustamata olekus ja lukustate selle pärast testimist. Lukustatud poliitikat ei saa kustutada ning selle säilitusperioodi saab pikendada, kuid mitte lühendada¹³. Microsoft selgitab, et isegi konto administraatoriõigustega kasutajad ei saa andmeid muuta ega kustutada¹³.

Amazon S3 Object Lockil on kaks režiimi. Vastavusrežiimis (compliance) ei saa säilitusperioodi jooksul keegi, sealhulgas AWS-i konto juurkasutaja, objekti versiooni üle kirjutada ega kustutada. Halduse režiimis (governance) saavad säilitusseadeid muuta või eemaldada ainult eriõigustega kasutajad¹⁴. Object Locki saab kasutada ainult ämbrites, kus S3 versioonimine on lubatud¹⁴.

flowchart TB
        accTitle: Kaks näidet salvestuskohast, mida ei saa üle kirjutada
        accDescr: Joonis näitab, et Azure Blob Storage'i muutmatus salvestuses ei saa lukustatud poliitikat kustutada ega selle säilitusperioodi lühendada ning et S3 Object Lockis ei saa compliance-režiimis kustutada isegi juurkasutaja, samas kui governance-režiimis võimaldavad eriõigused muudatusi.
        W["Salvestuskoht, mida ei saa üle kirjutada"] --> AZ["Azure Blob Storage'i muutmatu salvestus"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Pärast lukustamist ei saa säilitusperioodi lühendada"]
        S3 --> C["Compliance-režiim"]
        S3 --> G["Governance-režiim"]
        C --> C1["Isegi juurkasutaja ei saa kustutada"]
        G --> G1["Eriõigused võimaldavad muudatusi"]

Joonis 5: Mõlemad salvestuskohad keelduvad määratud aja jooksul ülekirjutamisest ja kustutamisest; kui rangelt, sõltub seadetest.

Kui märkate Azure’is konfiguratsioonivea alles pärast poliitika lukustamist, ei saa te säilitusperioodi lühendada¹³. CISA juhend märgib, et mõned pilveteenuse pakkujad pakuvad salvestust, mida ei saa üle kirjutada, ja hoiatab, et vale konfiguratsioon võib kaasa tuua märkimisväärseid kulusid. Samuti mainib see, et selline salvestus ei pruugi vastata teatud määruste nõuetele⁴. Kui määrate pika säilitusperioodi ja lukustate selle, ei saa te andmeid selle aja jooksul kustutada ja salvestustasud jooksevad edasi. Alustage lukustamata olekust või lühikesest perioodist, kontrollige, et saate taastada, ja alles siis rakendage tootmisseaded.

Eraldage varukoopiate haldamise õigused

Isegi kui kasutate salvestuskohta, mida ei saa üle kirjutada, võib ründaja varukoopiate seadeid ja poliitikaid muuta, kui neid saab muuta igapäevase administraatorikontoga. Microsoft soovitab nõuda enne võrgus olevate varukoopiate muutmist või kustutamist lisasammu, näiteks mitmikautentimist või turva-PIN-koodi. Samuti nimetab see varundus- ja taastamistoimingute piiramist kindlates rollides olevate kasutajatega ning selliste failiühiskasutuste arvu vähendamist, kuhu paljud kasutajad saavad kirjutada ja kust kustutada⁵.

Isegi kui arvuteid ja varukoopiaid haldab sama inimene, ärge kasutage varukoopiate sihtkoha haldamise kontot igapäevaseks arvutisse sisselogimiseks ja kaitske seda mitmikautentimisega.

Hoidke mitut põlvkonda

IPA juhised nimetavad „põlvkondade haldamist“, mis tähendab eri ajahetkede varukoopiate hoidmist. See võimaldab andmete kahjustumise või kaotsimineku korral minna tagasi kindlasse ajahetke¹². Nagu varem kirjeldatud, kui krüpteerimise märkamine võtab aega, sisaldavad viimased varukoopiad juba krüpteeritud andmeid. Otsustage hoitavate põlvkondade arv selle põhjal, kui kaua võib krüpteerimise märkamine aega võtta, ja salvestuskulude põhjal.

flowchart TB
        accTitle: Kolm meedet koopia jaoks, mida ei saa üle kirjutada
        accDescr: Joonis näitab lahti ühendatud andmekandjate hoiulepanekut või salvestuskoha kasutamist, mida ei saa üle kirjutada, varukoopiate haldamise õiguste eraldamist igapäevastest kontodest ja mitme põlvkonna hoidmist.
        A["Koopia, mida ei saa üle kirjutada"] --> B["Pange lahti ühendatud andmekandja hoiule"]
        A --> C["Salvestuskoht, mida ei saa üle kirjutada"]
        B --> D["Eraldage haldusõigused"]
        C --> D
        D --> E["Hoidke mitut põlvkonda"]

Joonis 6: Pärast hoiukoha otsustamist eraldage haldusõigused ja hoidke põlvkondi, et saaksite tagasi minna ka siis, kui märkate hilja.

Kontrollige, et saate taastada

Riikliku Politseiameti aruandes oli taastamise ebaõnnestumise teine kõige sagedasem põhjus „puudused töökorralduses“¹. Te ei tea, kas varukoopiat saab päriselt taastada, enne kui proovite. Tööd, mille käigus varukoopiast tegelikult taastatakse, et seda kontrollida, nimetatakse taastamistestiks.

IPA juhised jagavad varundamise korralduse kolmeks osaks: varukoopiate tegemine, hoidmine ja taastamine. Taastamise juures palutakse koostada taasteplaan ja kontrollida, et saab õigesti taastada³. Ärikriitiliste süsteemide puhul palutakse kohandada varukoopiate tegemist ja protseduure taastamise ajaeesmärgi (RTO) ja taastepunkti eesmärgi (RPO) järgi ning kontrollida tõhusust õppustega. RTO on aeg, mis kulub sihttasemele taastamiseks, ja RPO on ajahetk, kuhu taastatakse, ehk viimase varukoopia aeg¹⁵. Ka CISA juhend palub katastroofist taastumist silmas pidades regulaarselt kontrollida, et varukoopiad on kasutatavad ja terved⁴.

flowchart TB
        accTitle: Kuidas teha taastamistesti
        accDescr: Joonis näitab protsessi: otsustada taastamise järjekord, taastada eraldi keskkonda, võrrelda kulunud aega ja taastatud ajahetke RTO ja RPO-ga ning parandada tööjuhendit.
        A["Otsustage taastamise järjekord"] --> B["Taastage eraldi keskkonda"]
        B --> C["Võrrelge kulunud aega RTO-ga"]
        B --> D["Võrrelge taastatud ajahetke RPO-ga"]
        C --> E["Parandage tööjuhendit"]
        D --> E
        E -.->|"Järgmine kontroll"| A

Joonis 7: Proovige taastada, kontrollige, kas aeg ja ajahetk vastavad eesmärkidele, ja viige tulemused tööjuhendisse.

Mida kontrollida

IPA ja Microsofti dokumentatsiooni põhjal saab kontrollitava kokku võtta järgmiselt.

Microsoft soovitab kõigepealt määrata ärile kriitilised süsteemid ja neid regulaarselt varundada. Nii saadud prioriteetide järgi järjestatud varukoopiate loendist saab otse taastamise järjekord. Kõrge prioriteediga süsteemidest nimetab see esimesena autentimissüsteeme, nagu Active Directory, mida on vaja kõigile teistele süsteemidele ligipääsuks⁵. Samuti soovitab see regulaarselt harjutada äritegevuse taaskäivitamist olukorrast, kus kõik süsteemid seisavad. Neil õppustel eeldage, et ka e-post ja vestlus pole kasutatavad⁵.

Microsoft kirjutab, et ründajad sihivad teadlikult taastamise tööjuhendeid ja võrguskeeme. See soovitab neid kaitsta või hoida trükitud koopiaid käepärast⁵. Kui tööjuhend on olemas ainult failiserveris, ei saa te seda lugeda, kui see failiserver krüpteeritakse.

Ettevaatusabinõud pärast rünnakut taastamisel

Pärast tegelikku rünnakut eemaldage enne taastamist keskkonnast lunavara ise⁵. Microsoft nimetab varukoopia valimist ajahetkest, mis on teadaolevalt nakatumata, ja varukoopia pahavara suhtes kontrollimist enne taastamist⁵. Riikliku Politseiameti aruanne ütleb, et lunavararühmitused paigaldavad mõnikord kaugjuhitavat tarkvara tagauksena, et pääseda tagasi ka pärast sisenemispunkti sulgemist². Enne taastamist tuleb uurida sissetungi teed ja kõike, mille ründajad maha jätsid.

flowchart TB
        accTitle: Varukoopiast taastamise järjekord pärast rünnakut
        accDescr: Joonis näitab lunavara enda ja sissetungi tee eemaldamist, varukoopia valimist nakatumata ajahetkest, selle kontrollimist pahavara suhtes ja seejärel kõrgeima prioriteediga süsteemide taastamist esimesena.
        A["Eemaldage lunavara ise"] --> B["Uurige sissetungi teed ja mahajäetut"]
        B --> C["Valige nakatumata ajahetk"]
        C --> D["Kontrollige varukoopiat"]
        D --> E["Taastage esmalt kõrgeim prioriteet"]

Joonis 8: Pärast rünnakut eemaldage, mille ründajad maha jätsid, ja kinnitage enne taastamist nakatumata ajahetk.

Kui sageli kontrollida

Nii IPA juhised kui ka CISA juhend paluvad kontrollida „regulaarselt“, et saab taastada, kuid ei anna arvu¹¹⁴. Eespool tutvustatud IPA juhtumi ettevõte harjutas taastamist kaks korda aastas³. Otsustage, kui kaua võib töö seisata ja kui vana võib olla taastatav ajahetk, ning kontrollige nii sageli, et saaksite kinnitada nende täitmist.

Mida kõigepealt otsustada

Senise sisu saab kokku võtta sellena, mida väike- või keskmise suurusega ettevõte peaks kõigepealt otsustama.

flowchart TB
        accTitle: Lunavarale vastupidavate varukoopiate otsustamise järjekord
        accDescr: Joonis näitab järjekorda: otsustada ulatus, otsustada koopiate asukoht ja koopia, mida ei saa üle kirjutada, otsustada õigused ja põlvkonnad, määrata RTO ja RPO ning kontrollida, et saab taastada.
        A["Otsustage ulatus"] --> B["Otsustage koopiate asukoht"]
        B --> C["Otsustage koopia, mida ei saa üle kirjutada"]
        C --> D["Otsustage õigused ja põlvkonnad"]
        D --> E["Määrake RTO ja RPO"]
        E --> F["Kontrollige, et saab taastada"]

Joonis 9: Otsustage kõik ühes järjestuses, alates ulatusest kuni lõpliku kontrollini, et saab taastada.

IPA juhiste 4. väljaandes lisati „5 infoturbe reeglile“, millega organisatsioonid alustavad, reegel „Tehke varukoopiaid!“, nii et reegleid on nüüd 6¹⁶. Kuidas juhiseid tervikuna läbi töötada, on kokku võetud artiklis „Where Should SMEs Start on Security?“ (inglise keeles). Kui plaanite servereid välja vahetada, vaadake ka artiklit „Preparing for Windows Server 2016 End of Support“ (inglise keeles).

Seotud artiklid

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Viited

Seotud artiklid

Viimased samade siltidega artiklid. Nende abil saate teemasse süveneda.

Seotud teemad

Sellega lähedased teemalehed. Artiklist saate liikuda edasi seotud teenuste ja teiste artiklite juurde.

Teenused, millega see teema seondub

See artikkel seondub järgmiste teenuslehtedega. Alustage sobivaimast.

Korduma kippuvad küsimused

Küsimused, mida nõustamisel selle artikli teemal sageli esitatakse.

Kui teen varukoopiaid, kas saan pärast lunavaraga nakatumist kõik taastada?

Sageli ei piisa taastamiseks ainult varukoopiate tegemisest. Jaapani Riikliku Politseiameti kokkuvõttes 2025. aasta esimese poolaasta kahjude kohta ei suutnud 41 organisatsiooni 48-st, kes varundasid ja vastasid, taastada olukorda vahetult enne rünnakut. Kõige sagedasem põhjus oli see, et krüpteeritud olid ka varukoopiad. Teil on vaja koopiat, mida nakatunud arvuti üle kirjutada ei saa, ja peate kontrollima, et sellest saab taastada.

Kui Windowsis on varasemad versioonid, kas mul on varukoopiaid ikka vaja?

Jah. Varasemad versioonid on köite varikoopiad ehk algsel köitel hoitavad erinevused. Microsoft käsitleb varukoopiana andmeid, mis on varikoopiast kopeeritud näiteks lindile. Lunavara kustutab mõnikord varikoopiaid selliste tööriistadega nagu vssadmin, seega kombineerige neid varukoopiatega eraldi andmekandjal.

Kas reegli 3-2-1 järgimine on lunavara vastu piisav kaitse?

Mõnikord mitte. Reegel 3-2-1 nõuab kolme koopiat, kahte liiki andmekandjaid ja ühte koopiat väljaspool ettevõtet, kuid ei nõua, et väljaspool hoitav koopia oleks võrguühenduseta või muutmatu. Pilves olev koopia, kuhu nakatunud arvuti saab alati kirjutada, võib samamoodi krüpteeritud saada. Lisage üks koopia võrguühenduseta andmekandjale või salvestuskohta, mida ei saa üle kirjutada.

Kui sageli peaksin kontrollima, et varukoopiatest saab taastada?

Nii IPA juhised kui ka CISA juhend ütlevad „regulaarselt“ ega anna arvu. IPA juhistes on juhtum ettevõttest, kes harjutas taastamist kaks korda aastas ja käivitas põhisüsteemid uuesti viis päeva pärast rünnaku avastamist. Otsustage, kui kaua võib töö seisata ja kui vana võib olla taastatav ajahetk, ning kontrollige nii sageli, et saaksite kinnitada nende nõuete täitmist.

Autori profiil

Artikli autori profiilileht.

Go Komura

KomuraSoft LLC esindaja

Tegeleb peamiselt Windowsi tarkvara arenduse, tehnilise nõustamise ja veaotsinguga. Tugevus on projektid, kus on säilinud olemasolevaid lahendusi, ning raskesti jälgitavate põhjustega tõrgete uurimine.