Säkerhetskopior som tål ransomware ── 3-2-1-regeln, lagring som inte kan skrivas över och kontroll av att du kan återställa

Vid ransomwareangrepp finns det många fall där en organisation hade säkerhetskopior men ändå inte kunde återställa. Den vanligaste orsaken är att säkerhetskopiorna krypterades tillsammans med allt annat. Den här artikeln beskriver hur du bygger säkerhetskopior som tål angrepp, för Windows-datorer och filservrar i små och medelstora företag.

Det finns tre huvudpunkter: ha en kopia som en infekterad dator inte kan skriva över, använd inte ”Tidigare versioner” i stället för säkerhetskopior, och bekräfta att du faktiskt kan återställa. 3-2-1-regeln avgör hur många kopior du har och var, men på egen hand lämnar den luckor som skydd mot ransomware.

Kommandona i artikeln fungerar bara i Windows, och deras utdata har kontrollerats i en kommandotolk som administratör i Windows Server 2022. Produkternas inställningsskärmar och priser kan ändras, så kontrollera varje leverantörs senaste dokumentation när du inför dem.

Många organisationer hade säkerhetskopior men kunde inte återställa

Japans nationella polismyndighet frågar organisationer som drabbats av ransomware om läget för deras säkerhetskopior. I rapporten för första halvåret 2025 hade 51 av de 53 organisationer som svarade tagit säkerhetskopior. Men av de 48 som fick frågan om de kunde återställa från säkerhetskopian till nivån strax före angreppet kunde bara 7 göra det, medan 41 inte kunde¹.

Av de 35 som angav en orsak till att de inte kunde återställa svarade 23 att ”även säkerhetskopiorna krypterades”, 8 angav ”brister i driften” och 4 ”annat”¹. Samma rapport skriver att ransomwaregrupper tar bort offrens loggar och säkerhetskopior för att sopa igen spåren och förhindra återställning. Den uppmanar sedan organisationer att förvara säkerhetskopior i en offlinemiljö².

flowchart TB
        accTitle: Hur du kan ha säkerhetskopior och ändå inte kunna återställa
        accDescr: Ett diagram som visar att säkerhetskopior krypteras tillsammans med allt annat om den infekterade datorn kan nå dem, och att brister i driften förhindrar återställning om återställningsrutinen inte har kontrollerats.
        A["Säkerhetskopior tas"] --> B{"Kan den infekterade datorn nå dem?"}
        B -->|"Kan nå"| C["Krypteras eller tas bort också"]
        B -->|"Kan inte nå"| D{"Har återställningsrutinen kontrollerats?"}
        D -->|"Inte kontrollerad"| E["Kan inte återställas på grund av brister i driften"]
        D -->|"Kontrollerad"| F["Kan återställas"]

Figur 1: Säkerhetskopior går att använda när den infekterade datorn inte kan nå dem och återställningsrutinen har kontrollerats.

Det finns också fall där återställningen lyckades. Den fjärde utgåvan av IPA:s ”Riktlinjer för informationssäkerhet för små och medelstora företag” beskriver ett byggföretag vars filservrar och andra system krypterades efter ett intrång via en VPN-enhet. Delvis eftersom företaget höll återställningsövningar två gånger om året fick det tillbaka sina kärnsystem från säkerhetskopior fem dagar efter att angreppet upptäcktes. Ändå tog det 41 dagar att återuppta varje internt system och fyra månader att återuppta fjärråtkomsten, och företaget förlorade mer än 20 procent av sina interna filer³. Att kunna återställa från säkerhetskopior får inte skadan att försvinna.

I diagrammet markerar en heldragen linje en relation som alltid gäller och en streckad linje en villkorad relation (villkoren anges per relation på detaljsidan). Den fullständiga listan över relationer (totalt 13, med belägg och säkerhetsgrad) och definitionerna av huvudbegreppen finns samlade på detaljsidan för kunskapskartan (på japanska). Data: JSON-LD / Turtle

Angripare tar bort de säkerhetskopior de kan nå

I #StopRansomware Guide, som ges ut av CISA och andra amerikanska myndigheter, står det att många ransomwarevarianter försöker hitta och ta bort eller kryptera åtkomliga säkerhetskopior, så att offret inte kan återställa utan att betala lösensumman. Därför anser guiden att det är viktigt att förvara säkerhetskopior offline⁴.

Microsoft skriver också att angripare inriktar sig på att slå ut programvara för säkerhetskopiering och operativsystemfunktioner som skuggkopior av volymer⁵. Säkerhetskopior som en infekterad dator kan nå är bland annat följande.

• Externa enheter som alltid är anslutna till datorn
• NAS- eller filserverresurser som är mappade till en enhetsbeteckning
• Synkroniserade molnmappar som det vardagliga kontot kan skriva till
• Skuggkopior (Tidigare versioner) på samma volym

Även kommandon som är inbyggda i operativsystemet kan ta bort skuggkopior och kataloger över säkerhetskopior. MITRE ATT&CK klassificerar denna teknik som ”Inhibit System Recovery” (T1490). Som exempel anges att alla skuggkopior tas bort med vssadmin.exe delete shadows /all /quiet och att Windows säkerhetskopieringskatalog tas bort med wbadmin.exe delete catalog -quiet⁶. CISA:s guide uppmanar också organisationer att hålla utkik efter misstänkt användning av vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) och liknande verktyg⁴.

flowchart TB
        accTitle: Säkerhetskopior som en infekterad dator kan och inte kan nå
        accDescr: Ett diagram som visar att en infekterad dator kan skriva till alltid anslutna externa enheter, mappade resurser, synkroniserade mappar och skuggkopior, men inte till frånkopplade medier eller lagring som inte kan skrivas över.
        P["Infekterad dator"] --> R["Platser den kan skriva till"]
        P -.-x N["Frånkopplade medier, lagring som inte kan skrivas över"]
        R --> A["Alltid ansluten extern enhet"]
        R --> B["Mappad delad mapp"]
        R --> C["Synkroniserad molnmapp"]
        R --> D["Skuggkopior"]

Figur 2: Säkerhetskopior som förvaras där en infekterad dator kan skriva blir mål för angreppet.

Du behöver också se upp med angrepp som tar tid. Microsoft skriver att ransomware ibland krypterar gradvis medan nyckeln ligger kvar på systemet. Användarna kan fortsätta använda data som vanligt under tiden, så säkerhetskopior av krypterade data fortsätter att samlas på hög utan att någon märker det. När allt är krypterat och nyckeln tas bort går inte ens de senaste säkerhetskopiorna att läsa⁵. Om du bara behåller den senaste generationen finns det i det läget inget att gå tillbaka till.

”Tidigare versioner” ersätter inte säkerhetskopior

Windows ”Tidigare versioner” och skuggkopior av delade mappar använder Volume Shadow Copy Service (VSS). VSS-systemprovidern som följer med Windows använder en kopiera-vid-skrivning-metod (copy-on-write) som sparar ett blocks innehåll i ett differensområde innan blocket skrivs över, och återskapar på så sätt volymen som den såg ut vid en viss tidpunkt⁷.

I sin dokumentation om VSS förklarar Microsoft skillnaden mellan skuggkopior och säkerhetskopior på följande sätt. När data kopieras från en skuggkopia till ett flyttbart medium som band blir innehållet på det mediet säkerhetskopian. Efter kopieringen får själva skuggkopian tas bort⁷. Dokumentationen skriver också att när differensområdet tar slut tas de äldre skuggkopiorna bort först⁷.

flowchart TB
        accTitle: Skillnaden mellan skuggkopior och säkerhetskopior
        accDescr: Ett diagram som visar att en skuggkopia är en uppsättning skillnader från den ursprungliga volymen som tas bort när utrymmet tar slut eller av en angripare, medan en säkerhetskopia som kopierats till separata medier finns kvar även om den ursprungliga volymen går förlorad.
        V["Ursprunglig volym"] --> S["Skuggkopia (skillnader)"]
        S --> L["Äldsta tas bort först när utrymmet tar slut"]
        S --> K["Tas bort av en angripare med vssadmin"]
        S -->|"Kopiera till separata medier"| B["Säkerhetskopia"]
        B --> R["Finns kvar även om den ursprungliga volymen går förlorad"]

Figur 3: Skuggkopior är beroende av den ursprungliga volymens data; det du kopierar till separata medier blir säkerhetskopian.

Skuggkopior är praktiska för att låta användare själva återställa filer som de har skrivit över av misstag. Men som beskrevs i föregående avsnitt tar angripare ibland bort dem. Mekanismen och driften förklaras utförligt i ”Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Om du vill lista vilka skuggkopior som finns kvar kör du vssadmin list shadows i en kommandotolk som administratör. Underkommandot finns både på klienter och på servrar⁸.

vssadmin list shadows

Versionshistoriken och papperskorgen i OneDrive och SharePoint är också sätt för användare att få tillbaka filer. Microsoft rekommenderar att du lär användarna hur de återställer hela sitt OneDrive till en tidigare tidpunkt. Microsoft skriver också att användarna bör återställa först när du är säker på att angriparen har drivits ut, och att du ska förbereda dig på att användarna kan råka återställa även skadeprogrammet⁵.

3-2-1-regeln avgör hur många kopior och var

3-2-1-regeln är en tumregel för hur du håller kopior av säkerhetskopior. ”Data Backup Options”, som skrevs för US-CERT 2012, förklarar den så här⁹.

• 3: Ha tre kopior av viktiga filer, originalet plus två säkerhetskopior.
• 2: Lagra dem på två olika typer av medier för att skydda dig mot olika slags katastrofer.
• 1: Förvara en kopia utanför hemmet eller verksamhetens lokaler.

Som källa anger dokumentet ”The DAM Book”, en bok om hantering av digitala fotografier av fotografen Peter Krogh⁹. Microsoft hänvisar också till regeln i sin dokumentation om säkerhetskopior som skydd mot ransomware och beskriver ”1” som en ”kopia utanför lokalerna eller en kall kopia”⁵.

Det 3-2-1-regeln kräver är att en kopia förvaras utanför lokalerna. Den kräver inte att kopian utanför lokalerna är offline eller oföränderlig. Om kopian utanför lokalerna alltså ligger i ett moln som en infekterad dator alltid kan skriva till kan den krypteras tillsammans med de lokala kopiorna. CISA:s guide och Microsofts dokumentation nämner offlinelagring som skydd mot ransomware. Microsoft nämner också lagring som inte kan skrivas över⁴⁵.

flowchart TB
        accTitle: 3-2-1-regeln och skydd mot ransomware
        accDescr: Ett diagram som visar att man lägger till en offline- eller oföränderlig kopia till 3-2-1-regeln med tre kopior, två typer av medier och en utanför lokalerna, och sedan bekräftar att man kan återställa.
        A["Tre kopior"] --> B["Två typer av medier"]
        B --> C["En utanför lokalerna"]
        C --> D["En offline eller oföränderlig"]
        D --> E["Bekräfta att du kan återställa"]

Figur 4: Lägg till en kopia som en infekterad dator inte kan skriva över och en kontroll av att du kan återställa till 3-2-1-regeln.

Leverantören av säkerhetskopiering Veeam marknadsför detta som ”3-2-1-1-0-regeln”. I Veeams dokumentation innebär den extra ”1” att ha en kopia som är offline, luftgapad eller oföränderlig, och ”0” att det inte finns några fel vid regelbunden verifiering av återställningar¹⁰. Det här är ett namn ur en leverantörs dokumentation, inte en officiell standard. De två extra punkterna sammanfaller ändå med det som CISA och IPA efterfrågar.

Ha en kopia som en infekterad dator inte kan skriva över

Det finns två huvudsakliga sätt att skapa en kopia som inte kan skrivas över: koppla bort mediet från datorn och förvara det, eller använd molnlagring där data inte kan skrivas över eller tas bort under en fastställd period. Vilket du än väljer ska du skilja behörigheterna för att hantera säkerhetskopior från det vardagliga arbetet.

Koppla bort mediet från datorn och förvara det

Som ett exempel på åtgärd i sin självutvärdering säger IPA:s riktlinjer att de enheter och medier som används för säkerhetskopiering bara ska anslutas till datorn medan säkerhetskopian tas. Riktlinjerna räknar också upp att bestämma hur säkerhetskopior tas, att förvara dem på en säker plats och att regelbundet bekräfta att de kan återställas¹¹.

För organisationer som vill gå längre nämner riktlinjerna ”fysisk isolering”. Det innebär att säkerhetskopior förvaras på en plats som är fysiskt åtskild från det ursprungliga systemet, och att extern lagring eller backupband förvaras så långt bort som möjligt. Som exempel på förvaringsplatser nämns ett bankfack eller en betrodd affärspartner eller ett närstående företag¹².

En säkerhetskopia som på det här sättet förvaras frånkopplad från produktionssystemen kallas offlinesäkerhetskopia. En infekterad dator kan inte skriva till frånkopplade medier. Å andra sidan måste människor ansluta om och transportera medierna, så säkerhetskopior missas eller medierna tas inte med ut ur lokalerna. Bestäm vem som ansluter mediet, kopplar bort det och tar det till förvaringsplatsen, och när.

Använd molnlagring som inte kan skrivas över

Molnlagring har funktioner som förhindrar att data skrivs över eller tas bort under en fastställd period. De lagrar data i ett tillstånd som kallas WORM (Write Once, Read Many).

I Azure Blob Storages oföränderliga lagring kan data, när du har ställt in en tidsbaserad kvarhållningsprincip, skapas och läsas under den perioden men inte ändras eller tas bort¹³. En princip skapas först i olåst tillstånd, och du låser den efter att ha testat. En låst princip kan inte tas bort, och dess kvarhållningsperiod kan förlängas men inte förkortas¹³. Microsoft förklarar att inte ens användare med administratörsbehörighet för kontot kan ändra eller ta bort data¹³.

Amazon S3 Object Lock har två lägen. I efterlevnadsläget (compliance mode) kan ingen, inte ens AWS-kontots rotanvändare, skriva över eller ta bort en objektversion under kvarhållningsperioden. I styrningsläget (governance mode) kan bara användare med särskilda behörigheter ändra eller ta bort kvarhållningsinställningarna¹⁴. Object Lock kan bara användas i buckets där S3-versionshantering är aktiverad¹⁴.

flowchart TB
        accTitle: Två exempel på lagring som inte kan skrivas över
        accDescr: Ett diagram som visar att en låst princip i Azure Blob Storages oföränderliga lagring inte kan tas bort och att dess kvarhållningsperiod inte kan förkortas, och att med S3 Object Lock kan inte ens rotanvändaren ta bort i efterlevnadsläget medan särskilda behörigheter tillåter ändringar i styrningsläget.
        W["Lagring som inte kan skrivas över"] --> AZ["Azure Blob Storages oföränderliga lagring"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Kvarhållningen kan inte förkortas efter låsning"]
        S3 --> C["Efterlevnadsläge"]
        S3 --> G["Styrningsläge"]
        C --> C1["Inte ens rotanvändaren kan ta bort"]
        G --> G1["Särskilda behörigheter tillåter ändringar"]

Figur 5: Båda typerna av lagring vägrar överskrivning och borttagning under en fastställd period; hur strikt beror på inställningarna.

Om du i Azure upptäcker ett konfigurationsfel efter att ha låst en princip kan du inte förkorta kvarhållningsperioden¹³. CISA:s guide noterar att vissa molnleverantörer erbjuder lagring som inte kan skrivas över, och varnar för att felkonfiguration kan leda till betydande kostnader. Guiden nämner också att sådan lagring kanske inte uppfyller kraven i vissa regelverk⁴. Om du ställer in en lång kvarhållningsperiod och låser den kan du inte ta bort data under den perioden, och lagringsavgifterna fortsätter att löpa. Börja med ett olåst tillstånd eller en kort period, bekräfta att du kan återställa och tillämpa sedan produktionsinställningarna.

Skilj behörigheterna för att hantera säkerhetskopior åt

Även när du använder lagring som inte kan skrivas över kan en angripare ändra inställningarna och principerna för säkerhetskopiering om de kan ändras med det vardagliga administratörskontot. Microsoft rekommenderar att du kräver ett extra steg, till exempel multifaktorautentisering eller en säkerhets-PIN, innan onlinesäkerhetskopior kan ändras eller tas bort. Microsoft räknar också upp att begränsa åtgärder för säkerhetskopiering och återställning till användare i utsedda roller, och att minska antalet filresurser där många användare kan skriva och ta bort⁵.

Även om samma person hanterar både datorerna och säkerhetskopiorna ska du inte använda kontot för att hantera målet för säkerhetskopiorna vid vardaglig inloggning på datorn, och du ska skydda det med multifaktorautentisering.

Behåll flera generationer

IPA:s riktlinjer nämner ”generationshantering”, vilket innebär att behålla säkerhetskopior från flera tidpunkter. Det gör att du kan gå tillbaka till en viss tidpunkt när data skadas eller går förlorade¹². Som beskrevs i ett tidigare avsnitt innehåller de senaste säkerhetskopiorna redan krypterade data om det tar tid att upptäcka krypteringen. Bestäm hur många generationer du ska behålla utifrån hur lång tid det kan ta att upptäcka krypteringen och vad lagringen kostar.

flowchart TB
        accTitle: Tre åtgärder för att behålla en kopia som inte kan skrivas över
        accDescr: Ett diagram som visar att man förvarar frånkopplade medier eller använder lagring som inte kan skrivas över, skiljer behörigheterna för att hantera säkerhetskopior från vardagliga konton och behåller flera generationer.
        A["En kopia som inte kan skrivas över"] --> B["Förvara frånkopplade medier"]
        A --> C["Lagring som inte kan skrivas över"]
        B --> D["Skilj hanteringsbehörigheterna åt"]
        C --> D
        D --> E["Behåll flera generationer"]

Figur 6: När du har bestämt var den ska förvaras skiljer du hanteringsbehörigheterna åt och behåller generationer så att du kan gå tillbaka även om du upptäcker det sent.

Bekräfta att du kan återställa

I polismyndighetens rapport var ”brister i driften” den näst vanligaste orsaken till att man inte kunde återställa¹. Du kan inte veta om en säkerhetskopia faktiskt går att återställa förrän du provar. Arbetet med att faktiskt återställa från en säkerhetskopia för att bekräfta detta kallas återställningstest.

IPA:s riktlinjer delar in driften av säkerhetskopiering i tre delar: att ta, förvara och återställa. För återställningen ber de dig att göra en återställningsplan och bekräfta att du kan återställa korrekt³. För verksamhetskritiska system ber de dig att anpassa hur säkerhetskopior tas och rutinerna efter mål för återställningstid (RTO) och mål för återställningspunkt (RPO), och att verifiera effektiviteten genom övningar. RTO är den tid det tar att återställa till målnivån, och RPO är den tidpunkt du återställer till, alltså tidpunkten för den senaste säkerhetskopian¹⁵. CISA:s guide uppmanar också organisationer att, med katastrofåterställning i åtanke, regelbundet kontrollera att säkerhetskopiorna är användbara och intakta⁴.

flowchart TB
        accTitle: Så genomför du ett återställningstest
        accDescr: Ett diagram som visar flödet att bestämma återställningsordningen, återställa till en separat miljö, jämföra den tid det tog och den återställda punkten med RTO och RPO, och revidera runbooken.
        A["Bestäm återställningsordningen"] --> B["Återställ till en separat miljö"]
        B --> C["Jämför den tid det tog med RTO"]
        B --> D["Jämför den återställda punkten med RPO"]
        C --> E["Revidera runbooken"]
        D --> E
        E -.->|"Nästa kontroll"| A

Figur 7: Prova att återställa, kontrollera om tiden och punkten uppfyller målen och för in resultaten i runbooken.

Vad som ska kontrolleras

Utifrån IPA:s och Microsofts dokumentation kan det som ska kontrolleras ordnas på följande sätt.

Microsoft rekommenderar att du först identifierar de system som är kritiska för verksamheten och säkerhetskopierar dem regelbundet. Den prioriterade lista över säkerhetskopior som då uppstår blir direkt återställningsordningen. Som hög prioritet nämner Microsoft först autentiseringssystemen, till exempel Active Directory, som behövs för att komma in i alla andra system⁵. Microsoft rekommenderar också regelbundna övningar i att få igång verksamheten igen från ett läge där alla system ligger nere. I de övningarna ska du anta att även e-post och chatt är otillgängliga⁵.

Microsoft skriver att angripare medvetet riktar in sig på återställningsrunbooks och nätverksdiagram. Microsoft rekommenderar att du skyddar dem eller har utskrivna exemplar till hands⁵. Om runbooken bara finns på filservern kan du inte läsa den när den filservern krypteras.

Att tänka på vid återställning efter ett angrepp

Efter ett faktiskt angrepp ska du ta bort själva ransomwareprogrammet från miljön innan du återställer⁵. Microsoft nämner att du ska välja en säkerhetskopia från en tidpunkt som är känd för att vara oinfekterad, och söka igenom säkerhetskopian efter skadeprogram innan du återställer⁵. Polismyndighetens rapport skriver att ransomwaregrupper ibland installerar fjärrstyrbar programvara som bakdörr så att de kan ta sig in igen även efter att ingångspunkten har stängts². Innan du återställer behöver du utreda intrångsvägen och det som angriparna har lämnat efter sig.

flowchart TB
        accTitle: Ordningen för att återställa från säkerhetskopia efter ett angrepp
        accDescr: Ett diagram som visar att man tar bort själva ransomwareprogrammet och intrångsvägen, väljer en säkerhetskopia från en oinfekterad tidpunkt, söker igenom den efter skadeprogram och sedan återställer systemen med högst prioritet först.
        A["Ta bort själva ransomwareprogrammet"] --> B["Utred intrångsvägen och det som lämnats kvar"]
        B --> C["Välj en oinfekterad tidpunkt"]
        C --> D["Sök igenom säkerhetskopian"]
        D --> E["Återställ högsta prioritet först"]

Figur 8: Efter ett angrepp tar du bort det som angriparna lämnat efter sig och bekräftar en oinfekterad tidpunkt innan du återställer.

Hur ofta du ska kontrollera

Både IPA:s riktlinjer och CISA:s guide ber dig bekräfta ”regelbundet” att du kan återställa, men ingen av dem anger något antal¹¹⁴. Företaget i IPA-fallet som beskrevs tidigare höll återställningsövningar två gånger om året³. Bestäm hur länge verksamheten kan stå still och hur gammal den återställda punkten får vara, och kontrollera så ofta att du kan bekräfta att du uppfyller dem.

Vad du ska bestämma först

Det som har tagits upp hittills kan sammanfattas som det ett litet eller medelstort företag ska bestämma först.

flowchart TB
        accTitle: Ordningen för att bestämma säkerhetskopior som tål ransomware
        accDescr: Ett diagram som visar ordningen att bestämma omfattningen, bestämma var kopiorna ska förvaras och vilken kopia som inte kan skrivas över, bestämma behörigheter och generationer, bestämma RTO och RPO och bekräfta att du kan återställa.
        A["Bestäm omfattningen"] --> B["Bestäm var kopiorna ska förvaras"]
        B --> C["Bestäm kopian som inte kan skrivas över"]
        C --> D["Bestäm behörigheter och generationer"]
        D --> E["Bestäm RTO och RPO"]
        E --> F["Bekräfta att du kan återställa"]

Figur 9: Bestäm allt i en enda följd, från omfattningen till den slutliga kontrollen av att du kan återställa.

I den fjärde utgåvan av IPA:s riktlinjer lades ”Ta säkerhetskopior!” till bland de ”5 informationssäkerhetsreglerna” som organisationer börjar med, så att de blev 6 regler¹⁶. Hur du arbetar dig igenom riktlinjerna som helhet sammanfattas i ”Where Should SMEs Start on Security?”. Om du planerar att byta servrar kan du även läsa ”Preparing for Windows Server 2016 End of Support”.

Relaterade artiklar

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Referenser

Relaterade artiklar

De senaste artiklarna med samma taggar. Fördjupa dig i närliggande ämnen.

Relaterade ämnen

Ämnessidor som ligger nära det här temat. Utgå från artikeln och gå vidare till relaterade tjänster och andra artiklar.

Tjänster som hänger ihop med det här ämnet

Den här artikeln hör ihop med följande tjänstesidor. Välj den ingång som ligger närmast.

Vanliga frågor

Vanliga frågor om artikelns ämne som brukar komma upp när man rådfrågar oss.

Om jag tar säkerhetskopior, kan jag då återställa allt efter en ransomwareinfektion?

Ofta räcker det inte att bara ta säkerhetskopior för att kunna återställa. I den sammanställning över skador som Japans nationella polismyndighet gjorde för första halvåret 2025 kunde 41 av de 48 organisationer som tog säkerhetskopior och svarade inte återställa till nivån strax före angreppet. Den vanligaste orsaken var att även säkerhetskopiorna hade krypterats. Du behöver en kopia som en infekterad dator inte kan skriva över, och du behöver bekräfta att du kan återställa från den.

Om Windows har Tidigare versioner, behöver jag då fortfarande säkerhetskopior?

Ja. Tidigare versioner är skuggkopior av volymen, det vill säga skillnader som sparas på den ursprungliga volymen. Microsoft betraktar data som kopierats från en skuggkopia till ett medium som band som säkerhetskopian. Ransomware tar ibland bort skuggkopior med verktyg som vssadmin, så kombinera dem med säkerhetskopior på separata medier.

Räcker det att följa 3-2-1-regeln för att skydda sig mot ransomware?

Inte alltid. 3-2-1-regeln kräver tre kopior, två typer av medier och en kopia utanför verksamhetens lokaler, men den kräver inte att kopian utanför lokalerna är offline eller oföränderlig. En molnkopia som en infekterad dator alltid kan skriva till kan krypteras på samma sätt. Lägg till en kopia på ett offlinemedium eller i lagring som inte kan skrivas över.

Hur ofta bör jag kontrollera att jag kan återställa från säkerhetskopior?

Både IPA:s riktlinjer och CISA:s guide säger ”regelbundet” och anger inget antal. IPA:s riktlinjer tar upp ett fall där ett företag som höll återställningsövningar två gånger om året fick tillbaka sina kärnsystem fem dagar efter att angreppet upptäcktes. Bestäm hur länge verksamheten kan stå still och hur gammal den återställda punkten får vara, och kontrollera så ofta att du kan bekräfta att du klarar dem.

Författarprofil

Profilsidan för artikelns författare.

Go Komura

Företrädare för KomuraSoft LLC

Arbetar med Windows-programvaruutveckling, teknisk rådgivning och felsökning, med särskild styrka i projekt med befintliga tillgångar och i utredning av fel vars orsak är svår att se.