Kopie zapasowe odporne na ransomware ── reguła 3-2-1, miejsca, których nie da się nadpisać, i sprawdzanie, czy da się je odtworzyć

Przy atakach ransomware często zdarza się, że organizacja miała kopie zapasowe, a mimo to nie mogła odtworzyć danych. Najczęstszą przyczyną jest to, że kopie zapasowe zostały zaszyfrowane razem z resztą danych. Ten artykuł opisuje, jak zbudować kopie zapasowe odporne na atak, dla komputerów z Windows i serwerów plików w małych i średnich firmach.

Najważniejsze są trzy rzeczy: mieć jedną kopię, której zainfekowany komputer nie może nadpisać, nie traktować „Poprzednich wersji” jako zamiennika kopii zapasowych i sprawdzać, czy da się faktycznie odtworzyć dane. Reguła 3-2-1 określa liczbę kopii i miejsca ich przechowywania, ale sama w sobie nie wystarcza jako ochrona przed ransomware.

Polecenia w tym artykule działają tylko w Windows. Ich wynik sprawdzono w wierszu polecenia administratora w Windows Server 2022. Ekrany ustawień i ceny produktów mogą się zmieniać, dlatego przy wdrażaniu sprawdź najnowszą dokumentację każdego dostawcy.

Wiele firm miało kopie zapasowe, a nie mogło odtworzyć danych

Japońska Krajowa Agencja Policji pyta organizacje dotknięte ransomware o stan ich kopii zapasowych. W raporcie za pierwsze półrocze 2025 roku 51 z 53 organizacji, które udzieliły odpowiedzi, robiło kopie zapasowe. Jednak spośród 48 organizacji zapytanych, czy zdołały odtworzyć dane z kopii do stanu sprzed ataku, udało się to tylko 7, a 41 nie zdołało¹.

Spośród 35, które podały przyczynę niepowodzenia, 23 wskazały „kopie zapasowe też zaszyfrowane”, 8 „błędy w eksploatacji”, a 4 „inne”¹. Ten sam raport podaje, że grupy ransomware usuwają logi i kopie zapasowe ofiar, aby zatrzeć ślady i uniemożliwić odtworzenie danych. Raport zaleca też przechowywanie kopii zapasowych w środowisku offline².

flowchart TB
        accTitle: Jak można mieć kopie zapasowe i nie móc odtworzyć danych
        accDescr: Diagram pokazujący, że nawet jeśli robisz kopie zapasowe, zostają one zaszyfrowane razem z resztą danych, gdy zainfekowany komputer może do nich dotrzeć, a jeśli procedury odtwarzania nie sprawdzono, odtworzenie uniemożliwiają błędy w eksploatacji.
        A["Kopie zapasowe są robione"] --> B{"Czy zainfekowany komputer do nich dotrze?"}
        B -->|"Dotrze"| C["Też zaszyfrowane lub usunięte"]
        B -->|"Nie dotrze"| D{"Czy sprawdzono procedurę odtwarzania?"}
        D -->|"Nie sprawdzono"| E["Brak odtworzenia z powodu błędów w eksploatacji"]
        D -->|"Sprawdzono"| F["Odtworzenie możliwe"]

Rys. 1: Kopie zapasowe są użyteczne, gdy zainfekowany komputer nie może do nich dotrzeć, a procedurę odtwarzania sprawdzono.

Są też przypadki, w których odtworzenie się udało. Czwarte wydanie „Wytycznych bezpieczeństwa informacji dla MŚP” IPA opisuje przypadek firmy budowlanej, której serwery plików i inne systemy zostały zaszyfrowane po włamaniu przez urządzenie VPN. Między innymi dzięki temu, że firma dwa razy w roku ćwiczyła odtwarzanie, przywróciła systemy kluczowe z kopii zapasowych pięć dni po wykryciu ataku. Mimo to wznowienie poszczególnych systemów wewnętrznych zajęło 41 dni, a wznowienie zdalnego dostępu cztery miesiące, a firma utraciła ponad 20 procent plików wewnętrznych³. Odtworzenie danych z kopii zapasowych nie sprawia, że szkody znikają.

Na diagramie linia ciągła oznacza relację, która zachodzi zawsze, a linia przerywana relację warunkową (warunki podano przy każdej relacji na stronie szczegółów). Pełną listę relacji (łącznie 13, wraz z uzasadnieniem i pewnością) oraz definicje głównych pojęć zebrano na stronie szczegółów mapy wiedzy (w języku japońskim). Dane: JSON-LD / Turtle

Atakujący usuwają kopie zapasowe, do których mogą dotrzeć

Przewodnik #StopRansomware, wydany przez CISA i inne agencje amerykańskie, podaje, że wiele odmian ransomware próbuje znaleźć dostępne kopie zapasowe i je usunąć lub zaszyfrować, tak aby ofiara nie mogła odzyskać danych bez zapłacenia okupu. Dlatego według przewodnika ważne jest przechowywanie kopii zapasowych offline⁴.

Microsoft również pisze, że atakujący skupiają się na wyłączaniu oprogramowania do kopii zapasowych i funkcji systemu, takich jak kopie w tle woluminu⁵. Kopie zapasowe, do których może dotrzeć zainfekowany komputer, to między innymi:

• dyski zewnętrzne stale podłączone do komputera,
• udziały NAS lub serwera plików zamapowane jako litera dysku,
• foldery synchronizacji z chmurą, do których może zapisywać zwykłe konto,
• kopie w tle („Poprzednie wersje”) na tym samym woluminie.

Kopie w tle i katalogi kopii zapasowych można usunąć nawet poleceniami wbudowanymi w system. MITRE ATT&CK klasyfikuje tę technikę jako „Inhibit System Recovery” (T1490). Podaje przykłady usuwania wszystkich kopii w tle poleceniem vssadmin.exe delete shadows /all /quiet oraz usuwania katalogu kopii zapasowych Windows poleceniem wbadmin.exe delete catalog -quiet⁶. Przewodnik CISA zaleca też monitorowanie podejrzanego użycia narzędzi takich jak vssadmin.exe, wbadmin.exe czy wmic.exe (shadowcopy)⁴.

flowchart TB
        accTitle: Kopie zapasowe, do których zainfekowany komputer dotrze i do których nie dotrze
        accDescr: Diagram pokazujący, że zainfekowany komputer może zapisywać na stale podłączonych dyskach zewnętrznych, w zamapowanych udziałach, w folderach synchronizacji i w kopiach w tle, ale nie na odłączonych nośnikach ani w miejscach, których nie da się nadpisać.
        P["Zainfekowany komputer"] --> R["Miejsca, w których może zapisywać"]
        P -.-x N["Odłączone nośniki, miejsca, których nie da się nadpisać"]
        R --> A["Stale podłączony dysk zewnętrzny"]
        R --> B["Zamapowany folder udostępniony"]
        R --> C["Folder synchronizacji z chmurą"]
        R --> D["Kopie w tle"]

Rys. 2: Kopie zapasowe przechowywane tam, gdzie zainfekowany komputer może zapisywać, stają się celem ataku.

Trzeba też uważać na ataki rozłożone w czasie. Microsoft pisze, że ransomware czasem szyfruje dane stopniowo, pozostawiając klucz w systemie. Użytkownicy mogą w tym czasie normalnie korzystać z danych, więc niepostrzeżenie przybywa kopii zapasowych z zaszyfrowanymi danymi. Gdy wszystko zostanie zaszyfrowane, a klucz usunięty, nie da się odczytać nawet najnowszych kopii⁵. Jeśli przechowujesz tylko najnowszą generację, w takiej sytuacji nie ma do czego wrócić.

„Poprzednie wersje” nie zastępują kopii zapasowych

„Poprzednie wersje” w Windows i kopie w tle folderów udostępnionych korzystają z usługi kopiowania woluminów w tle (VSS). Dostarczany z Windows dostawca systemowy VSS stosuje metodę kopiowania przy zapisie (copy-on-write): przed nadpisaniem bloku zapisuje jego zawartość w obszarze różnic i w ten sposób odtwarza wolumin z określonego momentu⁷.

W dokumentacji VSS Microsoft wyjaśnia różnicę między kopią w tle a kopią zapasową następująco. Gdy dane z kopii w tle zostaną skopiowane na nośnik wymienny, taki jak taśma, zawartość tego nośnika staje się kopią zapasową. Po skopiowaniu samą kopię w tle można usunąć⁷. Dokumentacja podaje też, że gdy w obszarze różnic zaczyna brakować miejsca, najpierw usuwane są najstarsze kopie w tle⁷.

flowchart TB
        accTitle: Różnica między kopią w tle a kopią zapasową
        accDescr: Diagram pokazujący, że kopia w tle to zestaw różnic względem oryginalnego woluminu i jest usuwana, gdy brakuje miejsca, albo przez atakującego, natomiast kopia zapasowa skopiowana na osobny nośnik zostaje nawet po utracie oryginalnego woluminu.
        V["Oryginalny wolumin"] --> S["Kopia w tle (różnice)"]
        S --> L["Przy braku miejsca usuwane od najstarszych"]
        S --> K["Usunięcie przez atakującego za pomocą vssadmin"]
        S -->|"Skopiowanie na osobny nośnik"| B["Kopia zapasowa"]
        B --> R["Zostaje nawet po utracie oryginalnego woluminu"]

Rys. 3: Kopie w tle zależą od danych oryginalnego woluminu; kopią zapasową staje się to, co skopiujesz na osobny nośnik.

Kopie w tle są wygodne, gdy użytkownicy chcą sami przywrócić pliki nadpisane przez pomyłkę. Jak jednak opisano w poprzedniej sekcji, atakujący czasem je usuwają. Mechanizm i jego obsługę szczegółowo opisuje artykuł „Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Aby wyświetlić listę zachowanych kopii w tle, uruchom vssadmin list shadows w wierszu polecenia administratora. To polecenie podrzędne jest dostępne zarówno w systemach klienckich, jak i serwerowych⁸.

vssadmin list shadows

Historia wersji i kosz w OneDrive i SharePoint też pozwalają użytkownikom odzyskiwać pliki. Microsoft zaleca nauczenie użytkowników, jak przywrócić cały OneDrive do wcześniejszego momentu. Zaleca też, aby pozwalać użytkownikom na przywracanie dopiero wtedy, gdy masz pewność, że atakujący został usunięty ze środowiska, oraz przygotować się na sytuację, w której użytkownicy przywrócą również złośliwe oprogramowanie⁵.

Reguła 3-2-1 określa liczbę kopii i miejsca ich przechowywania

Reguła 3-2-1 to praktyczna zasada przechowywania kopii zapasowych. Dokument „Data Backup Options”, przygotowany w 2012 roku dla US-CERT, opisuje ją następująco⁹.

• 3: Przechowuj ważne pliki w trzech egzemplarzach: oryginał i dwie kopie zapasowe.
• 2: Przechowuj je na dwóch różnych rodzajach nośników, aby zabezpieczyć się przed różnymi rodzajami awarii.
• 1: Przechowuj jedną kopię poza domem lub siedzibą firmy.

Jako źródło dokument podaje „The DAM Book”, książkę fotografa Petera Krogha o zarządzaniu zdjęciami cyfrowymi⁹. Microsoft również przytacza tę regułę w dokumentacji kopii zapasowych chroniących przed ransomware i opisuje „1” jako „kopię poza siedzibą lub kopię zimną”⁵.

Reguła 3-2-1 wymaga przechowywania kopii poza siedzibą. Nie wymaga, aby kopia poza siedzibą była offline lub niemodyfikowalna. Jeśli więc kopia poza siedzibą znajduje się w chmurze, do której zainfekowany komputer może stale zapisywać, może zostać zaszyfrowana razem z kopiami lokalnymi. Przewodnik CISA i dokumentacja Microsoftu wymieniają przechowywanie offline jako ochronę przed ransomware. Microsoft wymienia też miejsca, których nie da się nadpisać⁴⁵.

flowchart TB
        accTitle: Reguła 3-2-1 i ochrona przed ransomware
        accDescr: Diagram pokazujący dodanie do reguły 3-2-1, czyli trzech kopii, dwóch rodzajów nośników i jednej kopii poza siedzibą, jednej kopii offline lub niemodyfikowalnej, a następnie sprawdzenie, czy da się odtworzyć dane.
        A["Trzy kopie"] --> B["Dwa rodzaje nośników"]
        B --> C["Jedna poza siedzibą"]
        C --> D["Jedna offline lub niemodyfikowalna"]
        D --> E["Sprawdzenie, czy da się odtworzyć dane"]

Rys. 4: Do reguły 3-2-1 dodaj kopię, której zainfekowany komputer nie może nadpisać, oraz sprawdzenie, czy da się odtworzyć dane.

Producent oprogramowania do kopii zapasowych Veeam promuje to jako „regułę 3-2-1-1-0”. W dokumentacji Veeam dodatkowe „1” oznacza posiadanie jednej kopii offline, odizolowanej (air gap) lub niemodyfikowalnej, a „0” oznacza zero błędów przy regularnej weryfikacji odtwarzania¹⁰. To nazwa z dokumentacji producenta, a nie oficjalna norma. Mimo to oba dodatkowe elementy pokrywają się z tym, czego wymagają CISA i IPA.

Miej jedną kopię, której zainfekowany komputer nie może nadpisać

Kopię, której nie da się nadpisać, można zrobić na dwa ogólne sposoby: odłączyć nośnik od komputera i go przechowywać albo użyć magazynu w chmurze, w którym przez określony czas nie da się nadpisać ani usunąć danych. Niezależnie od wyboru oddziel uprawnienia do zarządzania kopiami zapasowymi od codziennej pracy.

Odłącz nośnik od komputera i przechowuj go osobno

Wytyczne IPA jako przykład działania w ramach samooceny podają podłączanie urządzeń i nośników używanych do kopii zapasowych do komputera tylko na czas robienia kopii. Wymieniają też ustalenie sposobu robienia kopii, przechowywanie ich w bezpiecznym miejscu i regularne sprawdzanie, czy da się z nich odtworzyć dane¹¹.

Dla organizacji, które idą dalej, wytyczne wymieniają „izolację fizyczną”. Polega ona na przechowywaniu kopii zapasowych w miejscu fizycznie oddzielonym od oryginalnego systemu, czyli trzymaniu zewnętrznych nośników lub taśm z kopiami jak najdalej. Jako przykładowe miejsca przechowywania podają skrytkę bankową albo zaufanego partnera biznesowego lub spółkę powiązaną¹².

Kopię zapasową przechowywaną w taki sposób, odłączoną od systemów produkcyjnych, nazywa się kopią zapasową offline. Zainfekowany komputer nie może zapisywać na odłączonym nośniku. Z drugiej strony podłączanie i przenoszenie nośników wykonują ludzie, więc zdarza się, że kopia nie zostanie zrobiona albo nośnik nie trafi poza siedzibę. Ustal, kto i kiedy podłącza nośnik, odłącza go i zanosi do miejsca przechowywania.

Użyj magazynu w chmurze, którego nie da się nadpisać

Magazyny w chmurze mają funkcje, które przez określony czas uniemożliwiają nadpisanie lub usunięcie danych. Przechowują one dane w stanie zwanym WORM (Write Once, Read Many).

W niemodyfikowalnym magazynie Azure Blob Storage po ustawieniu zasady przechowywania opartej na czasie dane można w tym okresie tworzyć i odczytywać, ale nie można ich modyfikować ani usuwać¹³. Zasada jest najpierw tworzona w stanie odblokowanym i blokuje się ją po przetestowaniu. Zablokowanej zasady nie można usunąć, a jej okres przechowywania można wydłużyć, ale nie skrócić¹³. Microsoft wyjaśnia, że nawet użytkownicy z uprawnieniami administratora konta nie mogą modyfikować ani usuwać danych¹³.

Amazon S3 Object Lock ma dwa tryby. W trybie zgodności (compliance mode) nikt, łącznie z użytkownikiem głównym konta AWS, nie może w okresie przechowywania nadpisać ani usunąć wersji obiektu. W trybie nadzoru (governance mode) tylko użytkownicy ze specjalnymi uprawnieniami mogą zmienić lub usunąć ustawienia przechowywania¹⁴. Object Lock można używać tylko w zasobnikach z włączoną obsługą wersji S3 (S3 Versioning)¹⁴.

flowchart TB
        accTitle: Dwa przykłady miejsc, których nie da się nadpisać
        accDescr: Diagram pokazujący, że w niemodyfikowalnym magazynie Azure Blob Storage zablokowanej zasady nie można usunąć ani skrócić jej okresu przechowywania, a w S3 Object Lock w trybie zgodności nawet użytkownik główny nie może usuwać danych, natomiast w trybie nadzoru specjalne uprawnienia pozwalają na zmiany.
        W["Miejsca, których nie da się nadpisać"] --> AZ["Niemodyfikowalny magazyn Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Po zablokowaniu okresu nie można skrócić"]
        S3 --> C["Tryb zgodności"]
        S3 --> G["Tryb nadzoru"]
        C --> C1["Nawet użytkownik główny nie może usuwać"]
        G --> G1["Specjalne uprawnienia pozwalają na zmiany"]

Rys. 5: Oba rodzaje magazynów przez określony czas nie pozwalają nadpisywać ani usuwać danych; jak ściśle, zależy od ustawień.

W Azure nawet jeśli zauważysz błąd konfiguracji po zablokowaniu zasady, nie skrócisz okresu przechowywania¹³. Przewodnik CISA wspomina, że niektórzy dostawcy chmury oferują magazyny, których nie da się nadpisać, i ostrzega, że błędna konfiguracja może prowadzić do znacznych kosztów. Wspomina też, że takie magazyny mogą nie spełniać wymagań niektórych przepisów⁴. Jeśli ustawisz długi okres przechowywania i go zablokujesz, w tym okresie nie usuniesz danych, a opłaty za przechowywanie będą naliczane cały czas. Zacznij od stanu odblokowanego lub krótkiego okresu, sprawdź, czy da się odtworzyć dane, a dopiero potem zastosuj ustawienia produkcyjne.

Oddziel uprawnienia do zarządzania kopiami zapasowymi

Nawet gdy używasz magazynu, którego nie da się nadpisać, atakujący może zmienić ustawienia i zasady kopii zapasowych, jeśli da się je zmienić zwykłym kontem administratora. Microsoft zaleca wymaganie dodatkowego kroku, takiego jak uwierzytelnianie wieloskładnikowe lub PIN zabezpieczeń, przed modyfikacją lub usunięciem kopii zapasowych online. Wymienia też ograniczenie operacji tworzenia i odtwarzania kopii do użytkowników w wyznaczonych rolach oraz zmniejszenie liczby udziałów plików, w których wielu użytkowników może zapisywać i usuwać dane⁵.

Nawet jeśli ta sama osoba zarządza komputerami i kopiami zapasowymi, nie używaj konta do zarządzania miejscem docelowym kopii do codziennego logowania na komputerze i zabezpiecz je uwierzytelnianiem wieloskładnikowym.

Przechowuj wiele generacji

Wytyczne IPA wymieniają „zarządzanie generacjami”, czyli przechowywanie kopii zapasowych z wielu momentów. Pozwala to wrócić do określonego momentu, gdy dane zostaną uszkodzone lub utracone¹². Jak opisano we wcześniejszej sekcji, jeśli zauważenie szyfrowania zajmuje czas, najnowsze kopie zapasowe będą zawierać już zaszyfrowane dane. Liczbę przechowywanych generacji ustal na podstawie tego, ile czasu może zająć zauważenie szyfrowania, oraz kosztu przechowywania.

flowchart TB
        accTitle: Trzy sposoby na posiadanie kopii, której nie da się nadpisać
        accDescr: Diagram pokazujący przechowywanie odłączonych nośników lub korzystanie z miejsca, którego nie da się nadpisać, oddzielenie uprawnień do zarządzania kopiami od kont codziennych oraz przechowywanie wielu generacji.
        A["Kopia, której nie da się nadpisać"] --> B["Przechowywanie odłączonego nośnika"]
        A --> C["Miejsce, którego nie da się nadpisać"]
        B --> D["Oddzielenie uprawnień do zarządzania"]
        C --> D
        D --> E["Przechowywanie wielu generacji"]

Rys. 6: Po wybraniu miejsca przechowywania oddziel uprawnienia do zarządzania i przechowuj generacje, aby móc wrócić nawet wtedy, gdy zauważysz atak późno.

Sprawdź, czy da się odtworzyć dane

W raporcie Krajowej Agencji Policji drugą najczęstszą przyczyną niepowodzenia odtworzenia były „błędy w eksploatacji”¹. Nie wiadomo, czy z kopii zapasowej faktycznie da się odtworzyć dane, dopóki się tego nie spróbuje. Faktyczne odtworzenie danych z kopii zapasowej w celu sprawdzenia tego nazywa się testem odtwarzania.

Wytyczne IPA dzielą obsługę kopii zapasowych na trzy etapy: tworzenie, przechowywanie i odtwarzanie. W odniesieniu do odtwarzania zalecają przygotowanie planu odtwarzania i potwierdzenie, że odtworzenie przebiega prawidłowo³. W przypadku systemów krytycznych dla działalności zalecają dopasowanie sposobu tworzenia kopii i procedur do docelowego czasu odtworzenia (RTO) i docelowego punktu odtworzenia (RPO) oraz weryfikację skuteczności podczas ćwiczeń. RTO to czas potrzebny na przywrócenie docelowego poziomu działania, a RPO to moment, do którego odtwarzasz dane, czyli czas wykonania najnowszej kopii zapasowej¹⁵. Przewodnik CISA również zaleca, z myślą o odtwarzaniu po awarii, regularne sprawdzanie, czy kopie zapasowe są dostępne i nieuszkodzone⁴.

flowchart TB
        accTitle: Jak przeprowadzić test odtwarzania
        accDescr: Diagram pokazujący kolejne kroki: ustalenie kolejności odtwarzania, odtworzenie danych w osobnym środowisku, porównanie czasu odtwarzania i odtworzonego punktu z RTO i RPO oraz poprawienie instrukcji.
        A["Ustalenie kolejności odtwarzania"] --> B["Odtworzenie w osobnym środowisku"]
        B --> C["Porównanie czasu odtwarzania z RTO"]
        B --> D["Porównanie odtworzonego punktu z RPO"]
        C --> E["Poprawienie instrukcji"]
        D --> E
        E -.->|"Następne sprawdzenie"| A

Rys. 7: Spróbuj odtworzyć dane, sprawdź, czy czas i punkt odtworzenia spełniają cele, i uwzględnij wyniki w instrukcji.

Co sprawdzić

Na podstawie dokumentacji IPA i Microsoftu zakres sprawdzenia można uporządkować następująco.

Microsoft zaleca, aby najpierw ustalić systemy krytyczne dla działalności i regularnie robić ich kopie zapasowe. Powstała w ten sposób lista kopii według priorytetów staje się wprost kolejnością odtwarzania. Jako element o wysokim priorytecie wymienia na pierwszym miejscu systemy uwierzytelniania, takie jak Active Directory, potrzebne do dostępu do wszystkich pozostałych systemów⁵. Zaleca też regularne ćwiczenia przywracania działalności od stanu, w którym nie działa żaden system. Podczas takich ćwiczeń należy przyjąć, że poczta e-mail i czat również są niedostępne⁵.

Microsoft pisze, że atakujący celowo biorą na cel instrukcje odtwarzania i schematy sieci. Zaleca ich ochronę lub trzymanie wydrukowanych egzemplarzy pod ręką⁵. Jeśli instrukcja istnieje tylko na serwerze plików, nie da się jej przeczytać, gdy ten serwer zostanie zaszyfrowany.

Na co uważać przy odtwarzaniu po ataku

Po rzeczywistym ataku najpierw usuń samo ransomware ze środowiska, a dopiero potem odtwarzaj dane⁵. Microsoft wymienia wybór kopii zapasowej z momentu, o którym wiadomo, że nie było jeszcze infekcji, oraz przeskanowanie kopii pod kątem złośliwego oprogramowania przed odtworzeniem⁵. Raport Krajowej Agencji Policji podaje, że grupy ransomware czasem instalują oprogramowanie do zdalnego sterowania jako tylne drzwi, aby móc wrócić nawet po zamknięciu punktu wejścia². Przed odtworzeniem trzeba zbadać drogę włamania i wszystko, co atakujący pozostawili.

flowchart TB
        accTitle: Kolejność odtwarzania z kopii zapasowej po ataku
        accDescr: Diagram pokazujący usunięcie samego ransomware i drogi włamania, wybór kopii z momentu bez infekcji, przeskanowanie jej pod kątem złośliwego oprogramowania, a następnie odtwarzanie systemów od tych o najwyższym priorytecie.
        A["Usunięcie samego ransomware"] --> B["Zbadanie drogi włamania i pozostałości"]
        B --> C["Wybór momentu bez infekcji"]
        C --> D["Przeskanowanie kopii zapasowej"]
        D --> E["Odtwarzanie od najwyższego priorytetu"]

Rys. 8: Po ataku usuń to, co pozostawili atakujący, i potwierdź moment bez infekcji, zanim zaczniesz odtwarzać dane.

Jak często sprawdzać

Zarówno wytyczne IPA, jak i przewodnik CISA zalecają „regularne” sprawdzanie, czy da się odtworzyć dane, ale nie podają liczby¹¹⁴. Firma z przytoczonego wcześniej przypadku IPA ćwiczyła odtwarzanie dwa razy w roku³. Ustal, jak długo działalność może stać i jak stary może być odtworzony stan, a następnie sprawdzaj z taką częstotliwością, która pozwoli potwierdzić, że te cele są spełniane.

Co ustalić najpierw

Dotychczasowe treści można podsumować jako to, co mała lub średnia firma powinna ustalić najpierw.

flowchart TB
        accTitle: Kolejność decyzji o kopiach zapasowych odpornych na ransomware
        accDescr: Diagram pokazujący kolejność: ustalenie zakresu, ustalenie miejsc przechowywania kopii i kopii, której nie da się nadpisać, ustalenie uprawnień i generacji, ustalenie RTO i RPO oraz sprawdzenie, czy da się odtworzyć dane.
        A["Ustalenie zakresu"] --> B["Ustalenie miejsc przechowywania kopii"]
        B --> C["Ustalenie kopii, której nie da się nadpisać"]
        C --> D["Ustalenie uprawnień i generacji"]
        D --> E["Ustalenie RTO i RPO"]
        E --> F["Sprawdzenie, czy da się odtworzyć dane"]

Rys. 9: Ustal wszystko w jednej sekwencji, od zakresu aż po końcowe sprawdzenie, czy da się odtworzyć dane.

W czwartym wydaniu wytycznych IPA do „5 zasad bezpieczeństwa informacji”, od których organizacje zaczynają, dodano „Rób kopie zapasowe!”, przez co zasad jest teraz 6¹⁶. Sposób przejścia przez całe wytyczne podsumowuje artykuł „Where Should SMEs Start on Security?”. Jeśli planujesz wymianę serwerów, zobacz też „Preparing for Windows Server 2016 End of Support”.

Powiązane artykuły

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Źródła

Powiązane artykuły

Najnowsze artykuły oznaczone tymi samymi tagami. Pozwalają pogłębić wiedzę na pokrewne tematy.

Powiązane tematy

Strony tematyczne zbliżone do tego zagadnienia. Od artykułu mogą Państwo przejść do powiązanych usług i innych artykułów.

Usługi powiązane z tym tematem

Ten artykuł prowadzi do poniższych stron usług. Prosimy wybrać najbliższy punkt wyjścia.

Najczęściej zadawane pytania

Pytania, które najczęściej padają podczas konsultacji na temat tego artykułu.

Czy jeśli robię kopie zapasowe, po infekcji ransomware odtworzę wszystkie dane?

Samo robienie kopii często nie wystarcza do odtworzenia danych. W zestawieniu szkód sporządzonym przez japońską Krajową Agencję Policji za pierwsze półrocze 2025 roku 41 z 48 organizacji, które robiły kopie zapasowe i udzieliły odpowiedzi, nie zdołało przywrócić stanu sprzed ataku. Najczęstszym powodem było to, że kopie zapasowe również zostały zaszyfrowane. Potrzebna jest kopia, której zainfekowany komputer nie może nadpisać, i sprawdzenie, że da się z niej odtworzyć dane.

Czy jeśli Windows ma „Poprzednie wersje”, kopie zapasowe są nadal potrzebne?

Tak. Poprzednie wersje to kopie w tle woluminu (shadow copies), czyli różnice przechowywane na tym samym woluminie. Microsoft uznaje za kopię zapasową dane skopiowane z kopii w tle na nośnik taki jak taśma. Ransomware czasem usuwa kopie w tle narzędziami takimi jak vssadmin, dlatego łącz je z kopiami zapasowymi na osobnych nośnikach.

Czy przestrzeganie reguły 3-2-1 wystarczy jako ochrona przed ransomware?

Czasem nie wystarcza. Reguła 3-2-1 wymaga trzech kopii, dwóch rodzajów nośników i jednej kopii poza siedzibą, ale nie wymaga, aby kopia poza siedzibą była offline lub niemodyfikowalna. Kopia w chmurze, do której zainfekowany komputer może stale zapisywać, może zostać zaszyfrowana w ten sam sposób. Dodaj jedną kopię na nośniku offline albo w miejscu, którego nie da się nadpisać.

Jak często sprawdzać, czy da się odtworzyć dane z kopii zapasowych?

Zarówno wytyczne IPA, jak i przewodnik CISA mówią „regularnie” i nie podają liczby. Wytyczne IPA opisują przypadek firmy, która dwa razy w roku ćwiczyła odtwarzanie i uruchomiła ponownie systemy kluczowe pięć dni po wykryciu ataku. Ustal, jak długo działalność może stać i jak stary może być odtworzony stan, a następnie sprawdzaj z taką częstotliwością, która pozwoli potwierdzić, że te cele są spełnione.

Profil autora

Strona z profilem autora artykułu.

Go Komura

Przedstawiciel KomuraSoft LLC

Zajmuje się głównie tworzeniem oprogramowania dla systemu Windows, konsultacjami technicznymi i diagnostyką błędów. Szczególnie dobrze sprawdza się w projektach z istniejącymi zasobami oraz w analizie awarii o trudnych do wskazania przyczynach.