Zálohy odolné voči ransomvéru ── Pravidlo 3-2-1, úložisko, ktoré sa nedá prepísať, a overenie, či sa dá obnoviť

Pri útokoch ransomvéru je veľa prípadov, keď organizácia mala zálohy, a aj tak nedokázala obnoviť údaje. Najčastejšou príčinou je, že zálohy boli zašifrované spolu so všetkým ostatným. Tento článok vysvetľuje, ako pre počítače s Windowsom a súborové servery malých a stredných firiem vytvoriť zálohy, ktoré útok vydržia.

Hlavné body sú tri: mať jednu kópiu, ktorú infikovaný počítač nedokáže prepísať, nepoužívať „predchádzajúce verzie“ namiesto záloh a overiť si, že sa dá naozaj obnoviť. Pravidlo 3-2-1 určuje, koľko kópií máte a kde ich uchovávate, ale samo osebe ako ochrana pred ransomvérom niektoré veci nepokrýva.

Príkazy v článku sú len pre Windows a ich výstup som overil v príkazovom riadku správcu vo Windows Server 2022. Obrazovky nastavení a ceny produktov sa môžu meniť, preto si pri nasadzovaní pozrite najnovšiu dokumentáciu jednotlivých dodávateľov.

Mnohé organizácie mali zálohy, a aj tak nedokázali obnoviť údaje

Japonská Národná policajná agentúra sa pýta organizácií zasiahnutých ransomvérom na stav ich záloh. V jej správe za prvý polrok 2025 si zálohy robilo 51 z 53 organizácií, ktoré odpovedali. Zo 48 organizácií, ktorých sa pýtala, či dokázali zo zálohy obnoviť stav tesne pred útokom, to však dokázalo iba 7 a 41 nie¹.

Z 35 organizácií, ktoré uviedli dôvod, prečo obnova zlyhala, 23 uviedlo „zašifrované boli aj zálohy“, 8 „nedostatky v prevádzke“ a 4 „in铹. Tá istá správa uvádza, že skupiny prevádzkujúce ransomvér mažú záznamy a zálohy obetí, aby zahladili stopy a zabránili obnove. Následne žiada uchovávať zálohy v offline prostredí².

flowchart TB
        accTitle: Ako môžete mať zálohy a napriek tomu neobnoviť údaje
        accDescr: Diagram ukazuje, že aj keď si robíte zálohy, zašifrujú sa spolu so všetkým ostatným, ak na ne dosiahne infikovaný počítač, a ak postup obnovy nebol overený, obnovu zmarí nedostatok v prevádzke.
        A["Zálohy sa robia"] --> B{"Dosiahne na ne infikovaný počítač?"}
        B -->|"Dosiahne"| C["Zašifrujú alebo zmažú sa tiež"]
        B -->|"Nedosiahne"| D{"Bol postup obnovy overený?"}
        D -->|"Nebol"| E["Obnova zlyhá pre nedostatky v prevádzke"]
        D -->|"Bol"| F["Dá sa obnoviť"]

Obrázok 1: Zálohy sa dajú použiť, keď na ne infikovaný počítač nedosiahne a postup obnovy bol overený.

Sú aj prípady, keď obnova vyšla. Štvrté vydanie „Usmernení informačnej bezpečnosti pre malé a stredné podniky“ od IPA uvádza prípad stavebnej firmy, ktorej po prieniku cez zariadenie VPN zašifrovali súborové servery a ďalšie systémy. Aj vďaka tomu, že firma robila nácvik obnovy dvakrát ročne, päť dní po odhalení útoku znovu spustila zo záloh svoje kľúčové systémy. Napriek tomu trvalo 41 dní, kým sa obnovili jednotlivé interné systémy, a štyri mesiace, kým sa obnovil vzdialený prístup, a firma prišla o viac ako 20 percent interných súborov³. To, že sa dá obnoviť zo záloh, neznamená, že škoda zmizne.

V diagrame plná čiara označuje vzťah, ktorý platí vždy, a prerušovaná čiara vzťah podmienený (podmienky sú uvedené pri každom vzťahu na stránke s podrobnosťami). Úplný zoznam vzťahov (spolu 13, s dôkazmi a mierou istoty) a definície hlavných pojmov sú zhromaždené na stránke s podrobnosťami znalostnej mapy (v japončine). Údaje: JSON-LD / Turtle

Útočníci mažú zálohy, na ktoré dosiahnu

Príručka #StopRansomware, ktorú vydala americká agentúra CISA a ďalšie úrady, uvádza, že mnohé varianty ransomvéru sa snažia nájsť dostupné zálohy a zmazať ich alebo zašifrovať, aby obeť nemohla obnoviť údaje bez zaplatenia výkupného. Preto považuje za dôležité uchovávať zálohy offline⁴.

Aj Microsoft píše, že útočníci sa sústreďujú na vyradenie zálohovacieho softvéru a funkcií operačného systému, ako sú tieňové kópie zväzku⁵. Medzi zálohy, na ktoré dosiahne infikovaný počítač, patria tieto.

• Externé disky, ktoré sú k počítaču stále pripojené
• Zdieľané priečinky NAS alebo súborového servera namapované na písmeno jednotky
• Synchronizačné priečinky cloudu, do ktorých môže zapisovať bežný účet
• Tieňové kópie (predchádzajúce verzie) na tom istom zväzku

Tieňové kópie a katalógy záloh sa dajú zmazať aj príkazmi zabudovanými v operačnom systéme. MITRE ATT&CK túto techniku zaraďuje ako „Inhibit System Recovery“ (T1490). Ako príklady uvádza zmazanie všetkých tieňových kópií príkazom vssadmin.exe delete shadows /all /quiet a zmazanie katalógu záloh Windowsu príkazom wbadmin.exe delete catalog -quiet⁶. Príručka CISA tiež žiada sledovať podozrivé použitie nástrojov vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) a podobných⁴.

flowchart TB
        accTitle: Zálohy, na ktoré infikovaný počítač dosiahne a na ktoré nie
        accDescr: Diagram ukazuje, že infikovaný počítač môže zapisovať na stále pripojené externé disky, namapované zdieľané priečinky, synchronizačné priečinky a tieňové kópie, ale nemôže zapisovať na odpojené médiá ani do úložiska, ktoré sa nedá prepísať.
        P["Infikovaný počítač"] --> R["Miesta, kam môže zapisovať"]
        P -.-x N["Odpojené médiá, úložisko, ktoré sa nedá prepísať"]
        R --> A["Stále pripojený externý disk"]
        R --> B["Namapovaný zdieľaný priečinok"]
        R --> C["Synchronizačný priečinok cloudu"]
        R --> D["Tieňové kópie"]

Obrázok 2: Zálohy uložené tam, kam môže infikovaný počítač zapisovať, sa stávajú terčom útoku.

Treba si dávať pozor aj na útoky, ktoré trvajú dlho. Microsoft píše, že ransomvér niekedy šifruje postupne a kľúč pritom necháva v systéme. Používatelia môžu počas tej doby pracovať s údajmi ako zvyčajne, takže zálohy zašifrovaných údajov pribúdajú bez toho, aby si to niekto všimol. Keď je všetko zašifrované a kľúč sa zmaže, nedajú sa prečítať ani nedávne zálohy⁵. Ak uchovávate len poslednú generáciu, v takom prípade sa nemáte kam vrátiť.

„Predchádzajúce verzie“ nenahrádzajú zálohy

„Predchádzajúce verzie“ vo Windowse a tieňové kópie zdieľaných priečinkov používajú službu tieňovej kópie zväzku (VSS). Systémový poskytovateľ VSS, ktorý je súčasťou Windowsu, používa metódu kopírovania pri zápise: obsah bloku uloží do rozdielovej oblasti skôr, ako sa blok prepíše, a tak dokáže zrekonštruovať zväzok v určitom okamihu⁷.

Microsoft vo svojej dokumentácii k VSS vysvetľuje rozdiel medzi tieňovými kópiami a zálohami takto. Keď sa údaje z tieňovej kópie skopírujú na vymeniteľné médium, napríklad pásku, obsah tohto média sa stáva zálohou. Po skopírovaní možno samotnú tieňovú kópiu zmazať⁷. Dokumentácia tiež uvádza, že keď v rozdielovej oblasti nie je dosť miesta, zmažú sa ako prvé najstaršie tieňové kópie⁷.

flowchart TB
        accTitle: Rozdiel medzi tieňovými kópiami a zálohami
        accDescr: Diagram ukazuje, že tieňová kópia je súbor rozdielov oproti pôvodnému zväzku a zmaže sa pri nedostatku miesta alebo ju zmaže útočník, kým záloha skopírovaná na samostatné médium zostane aj po strate pôvodného zväzku.
        V["Pôvodný zväzok"] --> S["Tieňová kópia (rozdiely)"]
        S --> L["Pri nedostatku miesta sa mažú od najstaršej"]
        S --> K["Útočník ju zmaže nástrojom vssadmin"]
        S -->|"Kopírovanie na samostatné médium"| B["Záloha"]
        B --> R["Zostane aj po strate pôvodného zväzku"]

Obrázok 3: Tieňové kópie závisia od údajov pôvodného zväzku; zálohou sa stáva to, čo skopírujete na samostatné médium.

Tieňové kópie sú užitočné na to, aby si používatelia sami obnovili súbory, ktoré omylom prepísali. Ako však ukázala predchádzajúca časť, útočníci ich niekedy zmažú. Princíp a prevádzku podrobne vysvetľuje článok „Volume Shadow Copy (VSS): The Mechanism and the Practice“.

Zoznam zostávajúcich tieňových kópií zobrazíte spustením príkazu vssadmin list shadows v príkazovom riadku správcu. Tento podpríkaz je k dispozícii v klientoch aj na serveroch⁸.

vssadmin list shadows

História verzií a kôš vo OneDrive a SharePointe sú tiež spôsobmi, ako môžu používatelia získať súbory späť. Microsoft odporúča naučiť používateľov, ako obnoviť celý OneDrive do skoršieho okamihu. Ďalej uvádza, aby používatelia obnovovali až vtedy, keď máte istotu, že útočník bol z prostredia vytlačený, a aby ste boli pripravení na prípad, že používatelia obnovia aj malvér⁵.

Pravidlo 3-2-1 určuje, koľko kópií máte a kde

Pravidlo 3-2-1 je praktická zásada, ako uchovávať kópie záloh. Dokument „Data Backup Options“, ktorý vznikol v roku 2012 pre US-CERT, ho vysvetľuje takto⁹.

• 3: Majte tri kópie dôležitých súborov, originál a dve zálohy.
• 2: Uložte ich na dva rôzne druhy médií, aby ste boli chránení pred rôznymi druhmi katastrof.
• 1: Jednu kópiu uchovávajte mimo domova alebo firmy.

Ako zdroj dokument uvádza knihu „The DAM Book“ fotografa Petra Krogha o správe digitálnych fotografií⁹. Aj Microsoft uvádza toto pravidlo vo svojej dokumentácii o zálohách na ochranu pred ransomvérom a „1“ opisuje ako „kópiu mimo firmy alebo studenú kópiu“⁵.

Pravidlo 3-2-1 žiada uchovávať kópiu mimo firmy. Nevyžaduje, aby bola kópia mimo firmy offline alebo nemenná. Ak je teda kópia mimo firmy v cloude, do ktorého môže infikovaný počítač kedykoľvek zapisovať, môže sa zašifrovať spolu s lokálnymi kópiami. Príručka CISA aj dokumentácia Microsoftu uvádzajú ako ochranu pred ransomvérom offline uchovávanie. Microsoft uvádza aj úložisko, ktoré sa nedá prepísať⁴⁵.

flowchart TB
        accTitle: Pravidlo 3-2-1 a ochrana pred ransomvérom
        accDescr: Diagram ukazuje, že k pravidlu 3-2-1 s tromi kópiami, dvoma druhmi médií a jednou kópiou mimo firmy sa pridá jedna offline alebo nemenná kópia a potom sa overí, že sa dá obnoviť.
        A["Tri kópie"] --> B["Dva druhy médií"]
        B --> C["Jedna mimo firmy"]
        C --> D["Jedna offline alebo nemenná"]
        D --> E["Overiť, že sa dá obnoviť"]

Obrázok 4: K pravidlu 3-2-1 pridajte kópiu, ktorú infikovaný počítač nedokáže prepísať, a overenie, že sa dá obnoviť.

Dodávateľ zálohovacieho softvéru Veeam to propaguje ako „pravidlo 3-2-1-1-0“. V dokumentácii Veeamu znamená ďalšia „1“ mať jednu kópiu, ktorá je offline, vzduchovo oddelená alebo nemenná, a „0“ znamená nula chýb pri pravidelnom overovaní obnovy¹⁰. Je to názov z dokumentácie dodávateľa, nie oficiálny štandard. Obe doplnené položky sa však prekrývajú s tým, čo žiadajú CISA a IPA.

Majte jednu kópiu, ktorú infikovaný počítač nedokáže prepísať

Kópiu, ktorá sa nedá prepísať, možno vytvoriť dvoma hlavnými spôsobmi: médium od počítača odpojíte a uložíte, alebo použijete cloudové úložisko, v ktorom sa údaje počas stanoveného obdobia nedajú prepísať ani zmazať. Nech zvolíte ktorýkoľvek spôsob, oprávnenia na správu záloh oddeľte od bežnej práce.

Odpojte médium od počítača a uložte ho

Usmernenia IPA ako príklad opatrenia pri vlastnom hodnotení uvádzajú, že zariadenia a médiá na zálohovanie treba k počítaču pripájať len počas zálohovania. Ďalej uvádzajú určiť spôsob zálohovania, uložiť zálohy na bezpečné miesto a pravidelne overovať, že sa dajú obnoviť¹¹.

Pre organizácie, ktoré idú ďalej, usmernenia uvádzajú „fyzické oddelenie“. Znamená to uchovávať zálohy na mieste fyzicky oddelenom od pôvodného systému a externé úložiská alebo zálohovacie pásky ukladať čo najďalej. Ako príklady miest uloženia uvádzajú bankovú bezpečnostnú schránku alebo dôveryhodného obchodného partnera či pridruženú firmu¹².

Záloha uložená takto oddelene od produkčných systémov sa nazýva offline záloha. Na odpojené médium infikovaný počítač nedokáže zapisovať. Na druhej strane musia médiá prepájať a prenášať ľudia, takže sa stáva, že sa záloha neurobí alebo sa médium neodnesie mimo firmy. Určte, kto a kedy médium pripojí, odpojí a odnesie na miesto uloženia.

Použite cloudové úložisko, ktoré sa nedá prepísať

Cloudové úložiská majú funkcie, ktoré počas stanoveného obdobia bránia prepísaniu alebo zmazaniu údajov. Údaje sa v nich ukladajú v stave nazývanom WORM (Write Once, Read Many).

V nemennom úložisku Azure Blob Storage sa po nastavení politiky uchovávania založenej na čase dajú údaje počas tohto obdobia vytvárať a čítať, ale nie meniť ani mazať¹³. Politika sa najprv vytvorí v odomknutom stave a po vyskúšaní ju uzamknete. Uzamknutú politiku nemožno zmazať a jej obdobie uchovávania možno predĺžiť, ale nie skrátiť¹³. Microsoft vysvetľuje, že údaje nemôžu zmeniť ani zmazať ani používatelia s oprávneniami správcu účtu¹³.

Amazon S3 Object Lock má dva režimy. V režime súladu (compliance) nemôže počas obdobia uchovávania nikto, ani koreňový používateľ účtu AWS, prepísať alebo zmazať verziu objektu. V režime správy (governance) môžu nastavenia uchovávania zmeniť alebo odstrániť len používatelia so špeciálnymi oprávneniami¹⁴. Object Lock možno použiť len v kontajneroch (bucketoch), v ktorých je zapnuté S3 Versioning¹⁴.

flowchart TB
        accTitle: Dva príklady úložiska, ktoré sa nedá prepísať
        accDescr: Diagram ukazuje, že v nemennom úložisku Azure Blob Storage nemožno uzamknutú politiku zmazať ani skrátiť jej obdobie uchovávania, a že v S3 Object Lock v režime súladu nemôže mazať ani koreňový používateľ, kým v režime správy umožňujú zmeny špeciálne oprávnenia.
        W["Úložisko, ktoré sa nedá prepísať"] --> AZ["Nemenné úložisko Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Po uzamknutí nemožno obdobie uchovávania skrátiť"]
        S3 --> C["Režim súladu"]
        S3 --> G["Režim správy"]
        C --> C1["Nemôže mazať ani koreňový používateľ"]
        G --> G1["Špeciálne oprávnenia umožňujú zmeny"]

Obrázok 5: Oba druhy úložiska počas stanoveného obdobia odmietajú prepísanie a zmazanie; ako prísne, závisí od nastavení.

V Azure nemôžete obdobie uchovávania skrátiť ani vtedy, keď si chybu v konfigurácii všimnete až po uzamknutí politiky¹³. Príručka CISA uvádza, že niektorí poskytovatelia cloudu ponúkajú úložisko, ktoré sa nedá prepísať, a upozorňuje, že nesprávna konfigurácia môže viesť k vysokým nákladom. Spomína tiež, že také úložisko nemusí spĺňať požiadavky niektorých predpisov⁴. Ak nastavíte dlhé obdobie uchovávania a uzamknete ho, počas tohto obdobia údaje nezmažete a poplatky za úložisko sa budú účtovať ďalej. Začnite v odomknutom stave alebo s krátkym obdobím, overte, že sa dá obnoviť, a až potom použite produkčné nastavenia.

Oddeľte oprávnenia na správu záloh

Aj keď používate úložisko, ktoré sa nedá prepísať, ak sa nastavenia a politiky záloh dajú meniť bežným účtom správcu, útočník ich môže zmeniť. Microsoft odporúča pred zmenou alebo zmazaním online záloh vyžadovať ďalší krok, napríklad viacfaktorové overovanie alebo bezpečnostný PIN. Uvádza tiež obmedziť operácie zálohovania a obnovy na používateľov v určených rolách a znížiť počet zdieľaných priečinkov, do ktorých môže zapisovať a mazať veľa používateľov⁵.

Aj keď počítače aj zálohy spravuje tá istá osoba, účet na správu cieľa záloh nepoužívajte na bežné prihlasovanie do počítača a chráňte ho viacfaktorovým overovaním.

Uchovávajte viac generácií

Usmernenia IPA uvádzajú „správu generácií“, teda uchovávanie záloh z viacerých okamihov. Umožňuje vrátiť sa k určitému okamihu, keď sa údaje poškodia alebo stratia¹². Ako bolo opísané v jednej z predchádzajúcich častí, ak trvá dlho, kým si šifrovanie všimnete, najnovšie zálohy budú obsahovať už zašifrované údaje. Počet uchovávaných generácií určte podľa toho, ako dlho môže trvať, kým si šifrovanie všimnete, a podľa nákladov na úložisko.

flowchart TB
        accTitle: Tri opatrenia na udržanie kópie, ktorá sa nedá prepísať
        accDescr: Diagram ukazuje uloženie odpojeného média alebo použitie úložiska, ktoré sa nedá prepísať, oddelenie oprávnení na správu záloh od bežných účtov a uchovávanie viacerých generácií.
        A["Kópia, ktorá sa nedá prepísať"] --> B["Uložiť odpojené médium"]
        A --> C["Úložisko, ktoré sa nedá prepísať"]
        B --> D["Oddeliť oprávnenia na správu"]
        C --> D
        D --> E["Uchovávať viac generácií"]

Obrázok 6: Keď rozhodnete, kde kópiu uchovávať, oddeľte oprávnenia na správu a uchovávajte generácie, aby ste sa mohli vrátiť, aj keď si útok všimnete neskoro.

Overte, že sa dá obnoviť

V správe Národnej policajnej agentúry boli druhým najčastejším dôvodom neúspešnej obnovy „nedostatky v prevádzke“¹. Či sa záloha dá naozaj obnoviť, nezistíte, kým to neskúsite. Práca, pri ktorej to overíte skutočnou obnovou zo zálohy, sa nazýva test obnovy.

Usmernenia IPA delia prevádzku záloh na tri časti: vytváranie, uchovávanie a obnovu. Pri obnove žiadajú pripraviť plán obnovy a overiť, že obnova prebehne správne³. Pri systémoch kritických pre podnikanie žiadajú prispôsobiť spôsob vytvárania záloh a postupy cieľovému času obnovenia (RTO) a cieľovému bodu obnovenia (RPO) a účinnosť overovať nácvikmi. RTO je čas potrebný na obnovenie na cieľovú úroveň a RPO je okamih, do ktorého sa obnovuje, teda čas najnovšej zálohy¹⁵. Aj príručka CISA žiada so zreteľom na obnovu po katastrofe pravidelne overovať, či sú zálohy použiteľné a nepoškodené⁴.

flowchart TB
        accTitle: Ako vykonať test obnovy
        accDescr: Diagram ukazuje postup, pri ktorom sa určí poradie obnovy, obnoví sa do samostatného prostredia, spotrebovaný čas a obnovený okamih sa porovnajú s RTO a RPO a upraví sa príručka.
        A["Určiť poradie obnovy"] --> B["Obnoviť do samostatného prostredia"]
        B --> C["Porovnať spotrebovaný čas s RTO"]
        B --> D["Porovnať obnovený okamih s RPO"]
        C --> E["Upraviť príručku"]
        D --> E
        E -.->|"Ďalšia kontrola"| A

Obrázok 7: Skúste obnovu, overte, či čas a okamih spĺňajú ciele, a výsledky premietnite do príručky.

Čo overovať

Na základe dokumentácie IPA a Microsoftu možno to, čo treba overiť, usporiadať takto.

Microsoft odporúča najprv určiť systémy kritické pre podnikanie a pravidelne ich zálohovať. Výsledný zoznam záloh zoradený podľa priority sa tak stáva priamo poradím obnovy. Ako vysokú prioritu uvádza na prvom mieste systémy overovania, napríklad Active Directory, ktoré sú potrebné na prístup ku všetkým ostatným systémom⁵. Odporúča tiež pravidelné nácviky obnovy podnikania zo stavu, keď nefunguje žiadny systém. Pri týchto nácvikoch rátajte s tým, že nefunguje ani e-mail a chat⁵.

Microsoft píše, že útočníci zámerne hľadajú príručky obnovy a sieťové diagramy. Odporúča ich chrániť alebo mať po ruke vytlačené kópie⁵. Ak je príručka len na súborovom serveri, keď sa ten server zašifruje, prečítať ju nemôžete.

Na čo dávať pozor pri obnove po útoku

Po skutočnom útoku pred obnovou najprv odstráňte z prostredia samotný ransomvér⁵. Microsoft uvádza vybrať zálohu z okamihu, o ktorom je známe, že ešte nebol infikovaný, a pred obnovou zálohu preskenovať na malvér⁵. Správa Národnej policajnej agentúry uvádza, že skupiny prevádzkujúce ransomvér niekedy inštalujú softvér na vzdialené ovládanie ako zadné vrátka, aby sa mohli vrátiť, aj keď sa vstupný bod uzavrie². Pred obnovou treba preskúmať cestu prieniku a všetko, čo útočníci zanechali.

flowchart TB
        accTitle: Poradie obnovy zo zálohy po útoku
        accDescr: Diagram ukazuje odstránenie samotného ransomvéru a cesty prieniku, výber zálohy z neinfikovaného okamihu, jej preskenovanie na malvér a potom obnovu systémov s najvyššou prioritou ako prvých.
        A["Odstrániť samotný ransomvér"] --> B["Preskúmať cestu prieniku a zanechané prvky"]
        B --> C["Vybrať neinfikovaný okamih"]
        C --> D["Preskenovať zálohu"]
        D --> E["Obnoviť najprv to s najvyššou prioritou"]

Obrázok 8: Po útoku odstráňte to, čo útočníci zanechali, a pred obnovou si overte neinfikovaný okamih.

Ako často overovať

Usmernenia IPA aj príručka CISA žiadajú overovať „pravidelne“, že sa dá obnoviť, ale počet neuvádzajú¹¹⁴. Firma z prípadu IPA, ktorý som uviedol skôr, robila nácvik obnovy dvakrát ročne³. Určte, ako dlho môže prevádzka stáť a aký starý môže byť obnovený stav, a overujte v takej frekvencii, aby ste si potvrdili, že to spĺňate.

Čo rozhodnúť najprv

Doterajší obsah možno zhrnúť ako to, čo by malá alebo stredná firma mala rozhodnúť najprv.

flowchart TB
        accTitle: Poradie rozhodovania o zálohách odolných voči ransomvéru
        accDescr: Diagram ukazuje poradie, v ktorom sa určí rozsah, určí sa, kde uchovávať kópie a kópiu, ktorá sa nedá prepísať, určia sa oprávnenia a generácie, určia sa RTO a RPO a overí sa, že sa dá obnoviť.
        A["Určiť rozsah"] --> B["Určiť, kde uchovávať kópie"]
        B --> C["Určiť kópiu, ktorá sa nedá prepísať"]
        C --> D["Určiť oprávnenia a generácie"]
        D --> E["Určiť RTO a RPO"]
        E --> F["Overiť, že sa dá obnoviť"]

Obrázok 9: Rozhodnite všetko v jednom slede, od rozsahu až po záverečné overenie, že sa dá obnoviť.

Vo štvrtom vydaní usmernení IPA pribudlo k „5 pravidlám informačnej bezpečnosti“, ktorými organizácie začínajú, pravidlo „Zálohujte!“, takže ich je teraz 6¹⁶. Ako postupovať s usmerneniami ako celkom, zhŕňa článok „Where Should SMEs Start on Security?“. Ak plánujete výmenu serverov, pozrite si aj článok „Preparing for Windows Server 2016 End of Support“.

Súvisiace články

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Odkazy

Súvisiace články

Nedávne články s rovnakými štítkami. Prehĺbte si tému pomocou úzko súvisiacich textov.

Súvisiace témy

Toto sú stránky tém blízke téme tohto článku. Od článku môžete pokračovať k súvisiacim službám a ďalším článkom.

Služby, s ktorými táto téma súvisí

Tento článok nadväzuje na nasledujúce stránky služieb. Začnite tou, ktorá je vám najbližšia.

Často kladené otázky

Zhrnuli sme otázky k téme tohto článku, ktoré sa pri konzultáciách objavujú najčastejšie.

Ak si robím zálohy, dokážem po napadnutí ransomvérom všetko obnoviť?

Samotné zálohovanie často na obnovu nestačí. V prehľade škôd, ktorý za prvý polrok 2025 zostavila japonská Národná policajná agentúra, 41 zo 48 organizácií, ktoré si robili zálohy a odpovedali, nedokázalo obnoviť stav tesne pred útokom. Najčastejším dôvodom bolo, že zašifrované boli aj zálohy. Potrebujete kópiu, ktorú infikovaný počítač nedokáže prepísať, a musíte si overiť, že sa z nej dá obnoviť.

Ak má Windows predchádzajúce verzie, potrebujem ešte zálohy?

Áno. Predchádzajúce verzie sú tieňové kópie zväzku, teda rozdiely uložené na pôvodnom zväzku. Microsoft za zálohu považuje údaje skopírované z tieňovej kópie na médium, napríklad pásku. Ransomvér niekedy tieňové kópie zmaže nástrojmi ako vssadmin, preto ich kombinujte so zálohami na samostatnom médiu.

Stačí na ochranu pred ransomvérom dodržiavať pravidlo 3-2-1?

Niekedy nestačí. Pravidlo 3-2-1 vyžaduje tri kópie, dva druhy médií a jednu kópiu mimo firmy, ale nevyžaduje, aby bola kópia mimo firmy offline alebo nemenná. Kópia v cloude, do ktorej môže infikovaný počítač kedykoľvek zapisovať, sa môže zašifrovať rovnako. Pridajte jednu kópiu na offline médiu alebo v úložisku, ktoré sa nedá prepísať.

Ako často mám overovať, či sa dá zo záloh obnoviť?

Usmernenia IPA aj príručka CISA hovoria „pravidelne“ a počet neuvádzajú. Usmernenia IPA uvádzajú prípad firmy, ktorá robila nácvik obnovy dvakrát ročne a päť dní po odhalení útoku znovu spustila svoje kľúčové systémy. Určte, ako dlho môže prevádzka stáť a aký starý môže byť obnovený stav, a overujte v takej frekvencii, aby ste si potvrdili, že to dokážete splniť.

Profil autora

Profilová stránka autora článku.

Go Komura

Zástupca spoločnosti KomuraSoft LLC

Zameriava sa najmä na vývoj softvéru pre Windows, technické konzultácie a vyšetrovanie chýb; má silné stránky v zákazkách, kde zostávajú existujúce aktíva, a pri vyšetrovaní porúch, ktorých príčina nie je dobre viditeľná.