Kiristyshaittaohjelmaa kestävät varmuuskopiot ── 3-2-1-sääntö, tallennuspaikka jota ei voi korvata, ja palautuksen varmistaminen

Kiristyshaittaohjelmahyökkäyksissä on paljon tapauksia, joissa organisaatiolla oli varmuuskopiot mutta se ei silti pystynyt palauttamaan tietojaan. Yleisin syy on, että varmuuskopiot salattiin kaiken muun mukana. Tämä artikkeli kertoo, miten pk-yritysten Windows-tietokoneille ja tiedostopalvelimille rakennetaan hyökkäyksiä kestävät varmuuskopiot.

Keskeisiä asioita on kolme: pidä yksi kopio, jota saastunut tietokone ei voi korvata, älä käytä “Aiemmat versiot” -toimintoa varmuuskopioiden sijasta, ja varmista, että palauttaminen todella onnistuu. 3-2-1-sääntö määrittää, kuinka monta kopiota pidät ja missä, mutta yksinään se jättää aukkoja kiristyshaittaohjelman torjunnassa.

Artikkelin komennot ovat vain Windowsia varten, ja niiden tuloste on tarkistettu järjestelmänvalvojan komentokehotteessa Windows Server 2022:ssa. Tuotteiden asetusnäkymät ja hinnat voivat muuttua, joten tarkista kunkin toimittajan uusin dokumentaatio, kun otat niitä käyttöön.

Monella organisaatiolla oli varmuuskopiot, mutta palautus ei onnistunut

Japanin kansallinen poliisivirasto kysyy kiristyshaittaohjelman kohteeksi joutuneilta organisaatioilta niiden varmuuskopioiden tilasta. Vuoden 2025 ensimmäistä puoliskoa koskevassa raportissa 51 vastanneesta 53 organisaatiosta oli ottanut varmuuskopioita. Niistä 48:sta, joilta kysyttiin, pystyivätkö ne palauttamaan varmuuskopiosta hyökkäystä edeltävälle tasolle, vain 7 pystyi ja 41 ei pystynyt¹.

Niistä 35:stä, jotka kertoivat syyn palautuksen epäonnistumiseen, 23 vastasi “myös varmuuskopiot salattiin”, 8 “puutteet käytännöissä” ja 4 “muu syy”¹. Sama raportti kertoo, että kiristyshaittaohjelmaryhmät poistavat uhrien lokit ja varmuuskopiot jälkiensä hävittämiseksi ja palautuksen estämiseksi. Sen jälkeen se pyytää organisaatioita säilyttämään varmuuskopiot offline-ympäristössä².

flowchart TB
        accTitle: Miten varmuuskopioista huolimatta palautus voi epäonnistua
        accDescr: Kaavio, joka näyttää, että vaikka varmuuskopioita otetaan, ne salataan kaiken muun mukana, jos saastunut tietokone ylettyy niihin, ja että jos palautusmenettelyä ei ole tarkistettu, puutteet käytännöissä estävät palautuksen.
        A["Varmuuskopioita otetaan"] --> B{"Ylettyykö saastunut tietokone niihin?"}
        B -->|"Ylettyy"| C["Myös ne salataan tai poistetaan"]
        B -->|"Ei ylety"| D{"Onko palautusmenettely tarkistettu?"}
        D -->|"Ei tarkistettu"| E["Palautus epäonnistuu käytäntöjen puutteiden vuoksi"]
        D -->|"Tarkistettu"| F["Palautus onnistuu"]

Kuva 1: Varmuuskopioista on hyötyä, kun saastunut tietokone ei ylety niihin ja palautusmenettely on tarkistettu.

On myös tapauksia, joissa palautus onnistui. IPA:n “Pk-yritysten tietoturvaohjeen” 4. painoksessa on tapaus rakennusyrityksestä, jonka tiedostopalvelimet ja muita järjestelmiä salattiin, kun hyökkääjä tunkeutui VPN-laitteen kautta. Osittain siksi, että yritys piti palautusharjoituksia kahdesti vuodessa, se sai ydinjärjestelmänsä palautettua varmuuskopioista viisi päivää hyökkäyksen havaitsemisen jälkeen. Silti kunkin sisäisen järjestelmän käyttöön palauttaminen kesti 41 päivää ja etäkäytön palauttaminen neljä kuukautta, ja yritys menetti yli 20 prosenttia sisäisistä tiedostoistaan³. Vaikka varmuuskopioista pystyy palauttamaan, vahingot eivät katoa.

Kaaviossa yhtenäinen viiva kuvaa suhdetta, joka pätee aina, ja katkoviiva ehdollista suhdetta (ehdot on kuvattu kunkin suhteen kohdalla yksityiskohtasivulla). Suhteiden täydellinen luettelo (yhteensä 13, todisteineen ja varmuustasoineen) sekä keskeisten käsitteiden määritelmät on koottu tietokartan yksityiskohtasivulle (japaniksi). Data: JSON-LD / Turtle

Hyökkääjät poistavat varmuuskopiot, joihin ne ylettyvät

CISA:n ja muiden yhdysvaltalaisten virastojen julkaisema #StopRansomware-opas kertoo, että monet kiristyshaittaohjelmat yrittävät etsiä saatavilla olevat varmuuskopiot ja poistaa tai salata ne, jotta uhri ei voi palautua maksamatta lunnaita. Siksi opas pitää tärkeänä säilyttää varmuuskopiot offline-tilassa⁴.

Myös Microsoft kirjoittaa, että hyökkääjät keskittyvät varmuuskopio-ohjelmistojen ja käyttöjärjestelmän toimintojen, kuten varjokopioiden, poistamiseen käytöstä⁵. Saastunut tietokone ylettyy esimerkiksi seuraaviin varmuuskopioihin.

• Ulkoiset asemat, jotka on jatkuvasti kytketty tietokoneeseen
• NAS-laitteen tai tiedostopalvelimen jaetut kansiot, jotka on yhdistetty asemakirjaimeen
• Pilven synkronointikansiot, joihin tavallinen käyttäjätili voi kirjoittaa
• Saman taltion varjokopiot (Aiemmat versiot)

Jopa käyttöjärjestelmän sisäänrakennetut komennot voivat poistaa varjokopiot ja varmuuskopioluettelot. MITRE ATT&CK luokittelee tämän tekniikan nimellä “Inhibit System Recovery” (T1490). Esimerkkeinä mainitaan kaikkien varjokopioiden poistaminen komennolla vssadmin.exe delete shadows /all /quiet ja Windowsin varmuuskopioluettelon poistaminen komennolla wbadmin.exe delete catalog -quiet⁶. CISA:n opas kehottaa myös seuraamaan työkalujen vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) ja vastaavien epäilyttävää käyttöä⁴.

flowchart TB
        accTitle: Varmuuskopiot, joihin saastunut tietokone ylettyy ja joihin se ei ylety
        accDescr: Kaavio, joka näyttää, että saastunut tietokone voi kirjoittaa jatkuvasti kytkettyihin ulkoisiin asemiin, yhdistettyihin jaettuihin kansioihin, synkronointikansioihin ja varjokopioihin, mutta ei irrotettuihin tallennusvälineisiin eikä tallennustilaan, jota ei voi korvata.
        P["Saastunut tietokone"] --> R["Paikat, joihin se voi kirjoittaa"]
        P -.-x N["Irrotetut tallennusvälineet, tallennustila jota ei voi korvata"]
        R --> A["Jatkuvasti kytketty ulkoinen asema"]
        R --> B["Yhdistetty jaettu kansio"]
        R --> C["Pilven synkronointikansio"]
        R --> D["Varjokopiot"]

Kuva 2: Varmuuskopiot, jotka ovat paikassa, johon saastunut tietokone voi kirjoittaa, joutuvat hyökkäyksen kohteeksi.

Myös aikaa vievään hyökkäykseen on varauduttava. Microsoft kirjoittaa, että kiristyshaittaohjelma salaa joskus tietoja vähitellen ja jättää avaimen järjestelmään. Käyttäjät voivat sillä välin käyttää tietoja tavalliseen tapaan, joten salattujen tietojen varmuuskopioita kertyy kenenkään huomaamatta. Kun kaikki on salattu ja avain poistetaan, edes viimeisimpiä varmuuskopioita ei voi lukea⁵. Jos säilytät vain viimeisimmän sukupolven, tässä tilanteessa ei ole mitään, mihin palata.

“Aiemmat versiot” eivät korvaa varmuuskopioita

Windowsin “Aiemmat versiot” ja jaettujen kansioiden varjokopiot käyttävät Volume Shadow Copy -palvelua (VSS). Windowsin mukana tuleva VSS:n järjestelmäpalveluntarjoaja käyttää kopioi kirjoitettaessa -menetelmää (copy-on-write), joka tallentaa lohkon sisällön erotusalueelle ennen kuin lohko korvataan, ja muodostaa näin taltion tietyn ajankohdan tilan uudelleen⁷.

Microsoft selittää VSS-dokumentaatiossaan varjokopioiden ja varmuuskopioiden eron seuraavasti. Kun tiedot kopioidaan varjokopiosta irrotettavalle tallennusvälineelle, kuten nauhalle, tallennusvälineen sisällöstä tulee varmuuskopio. Kopioinnin jälkeen itse varjokopion voi poistaa⁷. Dokumentaatiossa kerrotaan myös, että kun erotusalue käy vähiin, vanhimmat varjokopiot poistetaan ensin⁷.

flowchart TB
        accTitle: Varjokopioiden ja varmuuskopioiden ero
        accDescr: Kaavio, joka näyttää, että varjokopio on joukko eroja alkuperäiseen taltioon ja se poistetaan tilan loppuessa tai hyökkääjän toimesta, kun taas erilliselle tallennusvälineelle kopioitu varmuuskopio säilyy, vaikka alkuperäinen taltio menetettäisiin.
        V["Alkuperäinen taltio"] --> S["Varjokopio (erot)"]
        S --> L["Vanhin poistetaan ensin tilan loppuessa"]
        S --> K["Hyökkääjä poistaa vssadminilla"]
        S -->|"Kopioi erilliselle tallennusvälineelle"| B["Varmuuskopio"]
        B --> R["Säilyy, vaikka alkuperäinen taltio menetetään"]

Kuva 3: Varjokopiot ovat riippuvaisia alkuperäisen taltion tiedoista; erilliselle tallennusvälineelle kopioitu data on varmuuskopio.

Varjokopioiden avulla käyttäjät voivat kätevästi palauttaa itse vahingossa korvaamiaan tiedostoja. Kuten edellisessä luvussa todettiin, hyökkääjät kuitenkin joskus poistavat niitä. Toimintaperiaate ja käyttö selitetään tarkemmin artikkelissa “Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Jäljellä olevat varjokopiot näet suorittamalla järjestelmänvalvojan komentokehotteessa komennon vssadmin list shadows. Tämä alikomento on käytettävissä sekä työasemissa että palvelimissa⁸.

vssadmin list shadows

Myös OneDriven ja SharePointin versiohistoria ja roskakori ovat käyttäjille keinoja saada tiedostoja takaisin. Microsoft suosittelee opettamaan käyttäjille, miten koko OneDrive palautetaan aiempaan ajankohtaan. Se kehottaa myös antamaan käyttäjien palauttaa vasta, kun on varmaa, että hyökkääjä on häädetty, ja varautumaan tilanteeseen, jossa käyttäjät palauttavat myös haittaohjelman⁵.

3-2-1-sääntö määrää kopioiden määrän ja paikan

3-2-1-sääntö on nyrkkisääntö siitä, miten varmuuskopioita säilytetään. US-CERTille vuonna 2012 kirjoitettu “Data Backup Options” selittää sen näin⁹.

• 3: Pidä tärkeistä tiedostoista kolme kopiota: alkuperäinen ja kaksi varmuuskopiota.
• 2: Säilytä ne kahdella eri tallennusvälinetyypillä erilaisten katastrofien varalta.
• 1: Pidä yksi kopio kodin tai yrityksen tilojen ulkopuolella.

Lähteenään asiakirja mainitsee valokuvaaja Peter Kroghin digitaalisten valokuvien hallintaa käsittelevän kirjan “The DAM Book”⁹. Myös Microsoft mainitsee säännön kiristyshaittaohjelmilta suojaavia varmuuskopioita käsittelevässä dokumentaatiossaan ja kuvaa “1”:n tarkoittavan “tilojen ulkopuolista tai kylmää kopiota”⁵.

3-2-1-sääntö edellyttää kopion pitämistä tilojen ulkopuolella. Se ei vaadi, että ulkopuolinen kopio on offline-tilassa tai muuttumaton. Jos ulkopuolinen kopio on pilvessä, johon saastunut tietokone voi aina kirjoittaa, se voidaan siis salata yhdessä paikallisten kopioiden kanssa. CISA:n opas ja Microsoftin dokumentaatio mainitsevat offline-säilytyksen suojakeinona kiristyshaittaohjelmaa vastaan. Microsoft mainitsee lisäksi tallennustilan, jota ei voi korvata⁴⁵.

flowchart TB
        accTitle: 3-2-1-sääntö ja suojautuminen kiristyshaittaohjelmalta
        accDescr: Kaavio, joka näyttää, että kolmen kopion, kahden tallennusvälinetyypin ja yhden tilojen ulkopuolisen kopion 3-2-1-sääntöön lisätään yksi offline- tai muuttumaton kopio, minkä jälkeen varmistetaan, että palautus onnistuu.
        A["Kolme kopiota"] --> B["Kaksi tallennusvälinetyyppiä"]
        B --> C["Yksi tilojen ulkopuolella"]
        C --> D["Yksi offline-tilassa tai muuttumaton"]
        D --> E["Varmista, että palautus onnistuu"]

Kuva 4: Lisää 3-2-1-sääntöön kopio, jota saastunut tietokone ei voi korvata, ja tarkistus siitä, että palautus onnistuu.

Varmuuskopiointiohjelmistojen toimittaja Veeam markkinoi tätä nimellä “3-2-1-1-0-sääntö”. Veeamin dokumentaatiossa lisätty “1” tarkoittaa yhden offline-tilassa olevan, ilmaraolla eristetyn tai muuttumattoman kopion pitämistä, ja “0” tarkoittaa, ettei säännöllisessä palautuksen tarkistuksessa ilmene virheitä¹⁰. Kyseessä on toimittajan dokumentaatiossa käytetty nimi, ei virallinen standardi. Kaksi lisättyä kohtaa ovat silti yhdenmukaisia sen kanssa, mitä CISA ja IPA edellyttävät.

Pidä yksi kopio, jota saastunut tietokone ei voi korvata

Kopion, jota ei voi korvata, voi tehdä kahdella päätavalla: irrottamalla tallennusvälineen tietokoneesta ja säilyttämällä sen tai käyttämällä pilvitallennusta, jossa tietoja ei voi korvata eikä poistaa tietyn ajan kuluessa. Kumman tahansa valitset, erota varmuuskopioiden hallintaoikeudet arkityöstä.

Irrota tallennusväline tietokoneesta ja säilytä se

IPA:n ohje mainitsee itsearvioinnin esimerkkitoimenpiteenä, että varmuuskopiointiin käytettävät laitteet ja tallennusvälineet kytketään tietokoneeseen vain varmuuskopion ottamisen ajaksi. Lisäksi se mainitsee varmuuskopiointitavan päättämisen, varmuuskopioiden säilyttämisen turvallisessa paikassa ja säännöllisen tarkistamisen siitä, että niistä voi palauttaa¹¹.

Pidemmälle meneville organisaatioille ohje mainitsee “fyysisen eristämisen”. Siinä varmuuskopiot säilytetään paikassa, joka on fyysisesti erillään alkuperäisestä järjestelmästä, ja ulkoiset tallennuslaitteet tai varmuuskopionauhat säilytetään mahdollisimman kaukana. Esimerkkeinä säilytyspaikoista mainitaan pankin tallelokero sekä luotettava liikekumppani tai sidosyritys¹².

Tällä tavoin tuotantojärjestelmistä irrallaan säilytettyä varmuuskopiota kutsutaan offline-varmuuskopioksi. Saastunut tietokone ei voi kirjoittaa irrotetulle tallennusvälineelle. Toisaalta ihmisten on kytkettävä ja kuljetettava tallennusvälineitä, joten varmuuskopioita jää ottamatta tai tallennusvälinettä ei viedä pois tiloista. Päätä, kuka kytkee tallennusvälineen, irrottaa sen ja vie sen säilytyspaikkaan, ja milloin.

Käytä pilvitallennusta, jota ei voi korvata

Pilvitallennuksessa on toimintoja, jotka estävät tietojen korvaamisen tai poistamisen tietyn ajan. Ne säilyttävät tietoja tilassa, jota kutsutaan nimellä WORM (Write Once, Read Many).

Azure Blob Storagen muuttumattomassa tallennuksessa (immutable storage) tietoja voi aikaperusteisen säilytyskäytännön asettamisen jälkeen luoda ja lukea kyseisen ajan, mutta niitä ei voi muuttaa eikä poistaa¹³. Käytäntö luodaan ensin lukitsemattomassa tilassa, ja se lukitaan testauksen jälkeen. Lukittua käytäntöä ei voi poistaa, ja sen säilytysaikaa voi pidentää mutta ei lyhentää¹³. Microsoft kertoo, että edes tilin järjestelmänvalvojan oikeudet omaavat käyttäjät eivät voi muuttaa tai poistaa tietoja¹³.

Amazon S3:n Object Lockissa on kaksi tilaa. Vaatimustenmukaisuustilassa (compliance mode) kukaan, ei edes AWS-tilin pääkäyttäjä, voi korvata tai poistaa objektin versiota säilytysaikana. Hallintotilassa (governance mode) vain erityisoikeudet omaavat käyttäjät voivat muuttaa tai poistaa säilytysasetuksia¹⁴. Object Lockia voi käyttää vain säilöissä, joissa S3-versiointi on käytössä¹⁴.

flowchart TB
        accTitle: Kaksi esimerkkiä tallennustilasta, jota ei voi korvata
        accDescr: Kaavio, joka näyttää, että Azure Blob Storagen muuttumattomassa tallennuksessa lukittua käytäntöä ei voi poistaa eikä sen säilytysaikaa lyhentää, ja että S3 Object Lockissa edes pääkäyttäjä ei voi poistaa vaatimustenmukaisuustilassa, kun taas hallintotilassa erityisoikeuksilla voi tehdä muutoksia.
        W["Tallennustila, jota ei voi korvata"] --> AZ["Azure Blob Storagen muuttumaton tallennus"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Säilytysaikaa ei voi lyhentää lukitsemisen jälkeen"]
        S3 --> C["Vaatimustenmukaisuustila"]
        S3 --> G["Hallintotila"]
        C --> C1["Edes pääkäyttäjä ei voi poistaa"]
        G --> G1["Erityisoikeuksilla voi muuttaa"]

Kuva 5: Kumpikin tallennustila estää korvaamisen ja poistamisen tietyn ajan; suojauksen tiukkuus riippuu asetuksista.

Azuressa et voi lyhentää säilytysaikaa, vaikka huomaisit määritysvirheen käytännön lukitsemisen jälkeen¹³. CISA:n opas toteaa, että jotkin pilvipalveluntarjoajat tarjoavat tallennustilaa, jota ei voi korvata, ja varoittaa, että virheelliset määritykset voivat aiheuttaa merkittäviä kustannuksia. Se mainitsee myös, ettei tällainen tallennus välttämättä täytä tiettyjen säädösten vaatimuksia⁴. Jos asetat pitkän säilytysajan ja lukitset sen, et voi poistaa tietoja sinä aikana, ja tallennusmaksuja kertyy jatkuvasti. Aloita lukitsemattomalla tilalla tai lyhyellä ajalla, varmista että palautus onnistuu, ja ota vasta sitten käyttöön tuotantoasetukset.

Erota varmuuskopioiden hallintaoikeudet

Vaikka käyttäisit tallennustilaa, jota ei voi korvata, hyökkääjä voi muuttaa varmuuskopioiden asetuksia ja käytäntöjä, jos niitä voi muuttaa tavallisella järjestelmänvalvojan tilillä. Microsoft suosittelee vaatimaan lisävaiheen, kuten monivaiheisen todennuksen tai suojaus-PIN-koodin, ennen kuin verkossa olevia varmuuskopioita voi muuttaa tai poistaa. Se mainitsee myös varmuuskopiointi- ja palautustoimintojen rajaamisen nimettyjen roolien käyttäjille sekä sellaisten tiedostojakojen vähentämisen, joihin moni käyttäjä voi kirjoittaa ja joista moni voi poistaa⁵.

Vaikka sama henkilö hallinnoisi sekä tietokoneita että varmuuskopioita, älä käytä varmuuskopioiden kohteen hallintaan tarkoitettua tiliä tavalliseen tietokoneeseen kirjautumiseen, ja suojaa se monivaiheisella todennuksella.

Säilytä useita sukupolvia

IPA:n ohje mainitsee “sukupolvien hallinnan”, jolla tarkoitetaan useiden eri ajankohtien varmuuskopioiden säilyttämistä. Sen avulla voi palata tiettyyn ajankohtaan, kun tietoja vahingoittuu tai katoaa¹². Kuten aiemmassa luvussa kuvattiin, jos salauksen huomaaminen vie aikaa, viimeisimmät varmuuskopiot sisältävät jo salattuja tietoja. Päätä säilytettävien sukupolvien määrä sen perusteella, kuinka kauan salauksen huomaaminen voi kestää, ja tallennuksen kustannusten perusteella.

flowchart TB
        accTitle: Kolme keinoa pitää kopio, jota ei voi korvata
        accDescr: Kaavio, joka näyttää irrotettujen tallennusvälineiden säilyttämisen tai korvaamattoman tallennustilan käytön, varmuuskopioiden hallintaoikeuksien erottamisen tavallisista tileistä ja useiden sukupolvien säilyttämisen.
        A["Kopio, jota ei voi korvata"] --> B["Säilytä irrotettu tallennusväline"]
        A --> C["Tallennustila, jota ei voi korvata"]
        B --> D["Erota hallintaoikeudet"]
        C --> D
        D --> E["Säilytä useita sukupolvia"]

Kuva 6: Kun säilytyspaikka on päätetty, erota hallintaoikeudet ja säilytä sukupolvia, jotta voit palata, vaikka huomaisit hyökkäyksen myöhään.

Varmista, että palautus onnistuu

Kansallisen poliisiviraston raportissa toiseksi yleisin syy palautuksen epäonnistumiseen oli “puutteet käytännöiss䔹. Varmuuskopion palautettavuutta ei voi tietää ennen kuin sitä kokeilee. Työtä, jossa tämä varmistetaan palauttamalla oikeasti varmuuskopiosta, kutsutaan palautustestiksi.

IPA:n ohje jakaa varmuuskopioinnin kolmeen osaan: ottamiseen, säilyttämiseen ja palauttamiseen. Palauttamista varten se kehottaa laatimaan palautussuunnitelman ja varmistamaan, että palautus onnistuu oikein³. Liiketoiminnan kannalta kriittisten järjestelmien osalta se kehottaa järjestämään varmuuskopioiden ottamisen ja menettelyt palautumisaikatavoitteen (RTO) ja palautuspistetavoitteen (RPO) mukaisiksi sekä varmistamaan niiden toimivuuden harjoituksilla. RTO on aika, joka kuluu palauttamiseen tavoitetasolle, ja RPO on ajankohta, johon palautetaan, eli viimeisimmän varmuuskopion ajankohta¹⁵. Myös CISA:n opas kehottaa organisaatioita tarkistamaan säännöllisesti, että varmuuskopiot ovat käytettävissä ja eheitä, katastrofista toipumista silmällä pitäen⁴.

flowchart TB
        accTitle: Miten palautustesti tehdään
        accDescr: Kaavio, joka näyttää kulun, jossa päätetään palautusjärjestys, palautetaan erilliseen ympäristöön, verrataan kulunutta aikaa ja palautettua ajankohtaa RTO:hon ja RPO:hon ja korjataan toimintaohjetta.
        A["Päätä palautusjärjestys"] --> B["Palauta erilliseen ympäristöön"]
        B --> C["Vertaa kulunutta aikaa RTO:hon"]
        B --> D["Vertaa palautettua ajankohtaa RPO:hon"]
        C --> E["Korjaa toimintaohjetta"]
        D --> E
        E -.->|"Seuraava tarkistus"| A

Kuva 7: Kokeile palauttamista, tarkista, täyttävätkö aika ja ajankohta tavoitteet, ja vie tulokset toimintaohjeeseen.

Mitä tarkistetaan

IPA:n ja Microsoftin dokumentaation perusteella tarkistettavat asiat voi jäsentää seuraavasti.

Microsoft suosittelee ensin tunnistamaan liiketoiminnan kannalta kriittiset järjestelmät ja varmuuskopioimaan ne säännöllisesti. Näin syntyvä varmuuskopioiden priorisoitu luettelo on sellaisenaan palautusjärjestys. Korkeimmalle prioriteetille se mainitsee ensimmäisenä todennusjärjestelmät, kuten Active Directoryn, joita tarvitaan kaikkiin muihin järjestelmiin pääsemiseksi⁵. Se suosittelee myös säännöllisiä harjoituksia, joissa liiketoiminta käynnistetään uudelleen tilasta, jossa kaikki järjestelmät ovat alhaalla. Näissä harjoituksissa oletetaan, ettei myöskään sähköposti ja chat ole käytettävissä⁵.

Microsoft kirjoittaa, että hyökkääjät kohdistavat iskunsa tarkoituksella palautuksen toimintaohjeisiin ja verkkokaavioihin. Se suosittelee suojaamaan ne tai pitämään tulostetut kopiot käden ulottuvilla⁵. Jos toimintaohje on vain tiedostopalvelimella, et voi lukea sitä, kun kyseinen tiedostopalvelin on salattu.

Huomioitavaa palautettaessa hyökkäyksen jälkeen

Todellisen hyökkäyksen jälkeen poista itse kiristyshaittaohjelma ympäristöstä ennen palauttamista⁵. Microsoft mainitsee varmuuskopion valitsemisen ajankohdasta, jonka tiedetään olevan saastumaton, sekä varmuuskopion tarkistamisen haittaohjelmien varalta ennen palauttamista⁵. Kansallisen poliisiviraston raportti kertoo, että kiristyshaittaohjelmaryhmät asentavat joskus etäohjattavia ohjelmistoja takaoveksi, jotta ne pääsevät takaisin sisään senkin jälkeen, kun tunkeutumisreitti on suljettu². Ennen palauttamista on selvitettävä tunkeutumisreitti ja kaikki, mitä hyökkääjät jättivät jälkeensä.

flowchart TB
        accTitle: Järjestys palautettaessa varmuuskopiosta hyökkäyksen jälkeen
        accDescr: Kaavio, joka näyttää itse kiristyshaittaohjelman ja tunkeutumisreitin poistamisen, saastumattoman ajankohdan varmuuskopion valitsemisen, sen tarkistamisen haittaohjelmien varalta ja sen jälkeen tärkeimpien järjestelmien palauttamisen ensin.
        A["Poista itse kiristyshaittaohjelma"] --> B["Selvitä tunkeutumisreitti ja jäljelle jääneet"]
        B --> C["Valitse saastumaton ajankohta"]
        C --> D["Tarkista varmuuskopio"]
        D --> E["Palauta tärkein ensin"]

Kuva 8: Poista hyökkäyksen jälkeen hyökkääjien jättämät jäljet ja varmista saastumaton ajankohta ennen palauttamista.

Kuinka usein tarkistetaan

Sekä IPA:n ohje että CISA:n opas kehottavat tarkistamaan “säännöllisesti”, että palautus onnistuu, mutta ne eivät anna lukua¹¹⁴. Aiemmin esitellyn IPA:n tapauksen yritys piti palautusharjoituksia kahdesti vuodessa³. Päätä, kuinka kauan liiketoiminta saa olla pysähdyksissä ja kuinka vanha palautettu ajankohta saa olla, ja tarkista niin usein, että voit varmistaa niiden täyttyvän.

Mitä päätetään ensin

Tähänastisen sisällön voi koota siksi, mitä pk-yrityksen kannattaa päättää ensin.

flowchart TB
        accTitle: Järjestys kiristyshaittaohjelmaa kestävistä varmuuskopioista päättämiseen
        accDescr: Kaavio, joka näyttää järjestyksen, jossa päätetään kohde, kopioiden sijainti ja kopio jota ei voi korvata, oikeudet ja sukupolvet, RTO ja RPO, ja lopuksi varmistetaan, että palautus onnistuu.
        A["Päätä kohde"] --> B["Päätä kopioiden sijainti"]
        B --> C["Päätä kopio, jota ei voi korvata"]
        C --> D["Päätä oikeudet ja sukupolvet"]
        D --> E["Päätä RTO ja RPO"]
        E --> F["Varmista, että palautus onnistuu"]

Kuva 9: Päätä kaikki yhtenä jaksona kohteesta viimeiseen tarkistukseen siitä, että palautus onnistuu.

IPA:n ohjeen 4. painoksessa organisaatioiden ensimmäisiin “viiteen tietoturvasääntöön” lisättiin “Ota varmuuskopioita!”, jolloin sääntöjä tuli kuusi¹⁶. Ohjeen läpikäynti kokonaisuutena on koottu artikkeliin “Where Should SMEs Start on Security?”. Jos suunnittelet palvelimien vaihtamista, katso myös “Preparing for Windows Server 2016 End of Support”.

Aiheeseen liittyviä artikkeleita

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Lähteet

Aiheeseen liittyvät artikkelit

Uusimmat artikkelit, joilla on samoja tunnisteita. Niiden avulla aihetta voi syventää läheisten teemojen kautta.

Aiheeseen liittyvät aihesivut

Tähän teemaan läheisesti liittyviä aihesivuja. Artikkelista voi siirtyä aiheeseen liittyviin palveluihin ja muihin artikkeleihin.

Palvelut, joihin tämä aihe liittyy

Tämä artikkeli liittyy seuraaviin palvelusivuihin. Voitte tutustua lähimpään niistä.

Usein kysytyt kysymykset

Tämän artikkelin aiheesta konsultoinnin yhteydessä usein esitettyjä kysymyksiä.

Jos otan varmuuskopioita, voinko palauttaa kaiken kiristyshaittaohjelmatartunnan jälkeen?

Pelkkä varmuuskopioiden ottaminen ei usein riitä palauttamiseen. Japanin kansallisen poliisiviraston kokoamissa vuoden 2025 ensimmäisen puoliskon tapauksissa 41 niistä 48 organisaatiosta, jotka olivat ottaneet varmuuskopioita ja vastasivat kysymykseen, ei pystynyt palauttamaan tilannetta hyökkäystä edeltävälle tasolle. Yleisin syy oli, että myös varmuuskopiot oli salattu. Tarvitset kopion, jota saastunut tietokone ei voi korvata, ja sinun on varmistettava, että siitä voi palauttaa.

Jos Windowsissa on Aiemmat versiot, tarvitsenko silti varmuuskopioita?

Tarvitset. Aiemmat versiot ovat varjokopioita (Volume Shadow Copy), eli alkuperäiselle taltiolle tallennettuja eroja. Microsoft pitää varmuuskopiona varjokopiosta esimerkiksi nauhalle kopioitua dataa. Kiristyshaittaohjelma poistaa joskus varjokopiot esimerkiksi vssadmin-työkalulla, joten käytä niitä yhdessä erilliselle tallennusvälineelle otettujen varmuuskopioiden kanssa.

Riittääkö 3-2-1-säännön noudattaminen suojaksi kiristyshaittaohjelmaa vastaan?

Ei aina. 3-2-1-sääntö edellyttää kolmea kopiota, kahta tallennusvälinetyyppiä ja yhtä kopiota toimitilojen ulkopuolella, mutta se ei vaadi, että ulkopuolinen kopio on offline-tilassa tai muuttumaton. Pilvessä oleva kopio, johon saastunut tietokone voi aina kirjoittaa, voidaan salata samalla tavalla. Lisää yksi kopio offline-tallennusvälineelle tai tallennustilaan, jota ei voi korvata.

Kuinka usein palautuksen onnistuminen pitäisi tarkistaa?

Sekä IPA:n ohje että CISA:n opas sanovat "säännöllisesti" eivätkä anna lukua. IPA:n ohjeessa on tapaus, jossa kahdesti vuodessa palautusharjoituksia pitänyt yritys sai ydinjärjestelmänsä takaisin käyttöön viisi päivää hyökkäyksen havaitsemisen jälkeen. Päätä, kuinka kauan liiketoiminta saa olla pysähdyksissä ja kuinka vanha palautettu ajankohta saa olla, ja tarkista niin usein, että voit varmistaa niiden täyttyvän.

Kirjoittajan profiili

Artikkelin kirjoittajan profiilisivu.

Go Komura

KomuraSoft LLC:n edustaja

Keskittyy Windows-ohjelmistokehitykseen, tekniseen konsultointiin ja vianetsintään. Erityisosaamista ovat hankkeet, joissa on olemassa olevia ratkaisuja, sekä vikojen tutkiminen silloin, kun syy ei ole helposti havaittavissa.