Moodul 6 · 6.2
Varukoopiad, mis jäävad lunavarale vastu
Moodul 6: Varukoopiad · Lugemisaeg: 10 minutit
Õpieesmärk: Pärast seda õppetundi oskad luua varukoopia, mida ründaja ei saa krüptida ega kustutada, valides offline koopia, muutumatu (immutable) salvestuse, sobiva säilitusajaga versioonid ja varukoopia jaoks eraldi sisselogimise.
Põhimõisted: offline varukoopia, air gap, muutumatu (immutable), object lock, versioonihaldus, varukoopia eraldi sisselogimine, säilitusaeg
Miks tavaline varukoopia tihti ei piisa
Õppetunnis 1.3 nägid, kuidas lunavara töötab: keegi pääseb sisse, uurib ringi ja krüptib siis korraga kõik, mida ta kätte saab. "Kõik, mida ta kätte saab" ongi põhiprobleem. Kui su varukoopia asub võrgukettal, mis on alati su arvutiga kettatähisena ühendatud, siis on see varukoopia lunavara jaoks lihtsalt üks kaust failidega. See krüptitakse sama hoolega kui originaal.
Ameerika küberagentuur CISA kirjutab oma lunavarajuhendis, et paljud lunavaraliigid otsivad aktiivselt kättesaadavaid varukoopiaid, et need kustutada või krüptida. Ründaja, kellel on su haldurikonto, saab lisaks sinu varundusprogrammi või pilveteenusesse sisse logida ja seal varukoopiad ära kustutada. Seetõttu eeldab lunavarakindel varukoopia rohkemat kui lihtsalt "koopia on olemas". See peab olema väljaspool sellise inimese haardeulatust, kes on su arvuti või konto üle võtnud.
Selleks on kolm viisi ja kõige parem on neid kombineerida:
- varukoopia ei ole ühendatud (offline);
- varukoopiat ei saa muuta ega kustutada, ka mitte haldur (muutumatu);
- varukoopia asub teistsuguse sisselogimise taga kui su igapäevatöö.
Offline: ketas sahtlis
Offline varukoopia on koopia, mis pärast tegemist ühendusest lahti võetakse. Lihtsaim näide on väline ketas, mille tõmbad pärast varundamist sülearvutist välja ja paned sahtlisse või seifi. Lunavara saab krüptida ainult seda, mis on kättesaadav, ja sahtlis olev ketas ei ole kättesaadav. Ingliskeelne termin on air gap: varukoopia ja su võrgu vahel on sõna otseses mõttes õhk.
Madalmaade NCSC soovitab sama: ära hoia varukoopiat oma arvutiga ühendatuna, sest muidu krüptib lunavara selle koos kaasa.
Offline varukoopiate ohukohad:
- Ununemine. Käsitsi tehtav varukoopia jääb mõne kiire nädala järel tegemata. Pane kalendrisse kindel päev ja kasuta vaheldumisi kahte ketast, nii et üks on alati majast väljas.
- Pidevalt ühendatuna hoidmine. Ketas, mis jääb "mugavuse mõttes" ühendatuks, ei ole enam offline varukoopia.
- Krüptimata jätmine. Eraldiseisev ketas kogu su raamatupidamisega on varguse korral andmeleke. Lülita krüptimine sisse (vaata õppetundi 5.2) ja hoia võtit kettast eraldi kohas.
Muutumatu: immutable ja object lock
Muutumatut varukoopiat (ingl k immutable) ei saa määratud perioodi jooksul keegi muuta ega kustutada. Ka mitte see, kellel on su parool. Ka mitte haldur.
Pilvesalvestuses kutsutakse seda tehnikat sageli object lock'iks. Ühe suure teenusepakkuja dokumentatsioon kirjeldab seda kui write once, read many: faili kirjutad üks kord, pärast seda saad seda ainult lugeda kuni säilitustähtaja lõpuni. Tavaliselt on kaks režiimi:
| Režiim | Mida see tähendab | Millal seda valida |
|---|---|---|
| Range režiim (selle teenusepakkuja juures compliance mode) | Keegi ei saa koopiat enne tähtaja lõppu kustutada ega tähtaega lühendada, ka mitte peakonto | Soovid kindlust, et ka ülevõetud haldurikonto ei saa midagi kustutada |
| Leebe režiim (governance mode) | Ainult erivolitusega kontod saavad kaitse tühistada | Testimiseks või kui soovid säilitada võimaluse midagi hiljem koristada |
Paljud varundusprogrammid ja -teenused pakuvad muutumatut salvestust, mida nimetatakse näiteks "immutable back-up", "lukustatud varukoopia" või "WORM". Valides pööra tähelepanu kolmele asjale:
- Kui kaua lukustus kestab? 7-päevane lukustus ei kaitse sind, kui avastad rünnaku alles kolme nädala pärast.
- Kes saab lukustuse tühistada? Kui saad seda teha sama kontoga, millega igapäevaselt sisse logid, suudab seda ka ründaja.
- Kui palju see maksab? Muutumatus tähendab ka seda, et sa ei saa seda koristada. CISA hoiatab, et vale seadistus võib tuua kaasa kõrged kulud. Alusta väikselt ja testi.
Versioonid ja säilitusaeg: kui kaugele saad tagasi minna?
Eilsest varukoopiast on abi ainult siis, kui eile oli kõik veel korras. Lunavara ootab mõnikord enne rünnakut tükk aega, ja eksimust (kustutatud kausta, ülekirjutatud hinnakirja) märkad mõnikord alles nädalate pärast. Seetõttu vajad versioone: mitut varundushetke kõrvuti. Säilitusaeg (ka retention) määrab, kui kaugele tagasi saad minna. Madalmaade NCSC sõnastab seda nii: säilitusaeg näitab, kui kaugele saad varukoopia ajaloos tagasi minna.
Levinud muster on hõrendamine: iga päev varukoopia, mida hoiad paar nädalat, iga nädal üks, mida hoiad paar kuud, ja iga kuu üks, mida hoiad kauem. Nii saad kaugele tagasi minna ilma sadade täiskoopiateta.
Küsimused säilitusaja valimiseks:
- Kui kiiresti sa tavaliselt märkad, et midagi on valesti? Vaata varasemaid eksimusi.
- Kas kehtib seadusjärgne säilituskohustus, näiteks raamatupidamise kohta? Varukoopia ei ole sama mis arhiiv: arhiivi hoiad aastaid kindlas kohas, varukoopia roteerub.
- Kui palju see salvestusruumi maksab? Pikem säilitamine maksab rohkem.
Varukoopia jaoks eraldi sisselogimine
Kolmas meede on kõige odavam ja jääb kõige sagedamini tegemata. Kui su varundusteenus, pilvesalvestus ja e-post töötavad kõik sama kontoga ja see konto võetakse üle (õppetund 1.4), on ründajal kõik korraga käes.
- Kasuta varundusteenuse või -programmi jaoks oma eraldi kontot oma, unikaalse parooliga paroolihaldurist ja lülita sisse kaheastmeline autentimine (2FA).
- Ära kasuta seda kontot igapäevaseks tööks ja ära logi sellega sisse arvutisse, millega saadad kirju ja surfad veebis.
- Lase varundusprogrammil, kus võimalik, varundusruumi ainult kirjutada, mitte kustutada.
- Määra, kes saab ligi, nii füüsiliselt (kellel on kapi võti, kus ketas asub) kui ka tarkvaras. Madalmaade NCSC toob selle ka selgelt välja.
Praktikas: nii see välja näeb
Näitepakkuja WebOké juures asuvad majutuspaketi öised varukoopiad eraldi salvestusserverites teises andmekeskuses, lahus serverist, kus veebileht töötab. Teadmistebaasi järgi ei saa sa neid öiseid varukoopiaid ise kustutada: need jäävad alles, et taastepunkt oleks alati olemas, ja kaovad automaatselt 30 päeva pärast. Ainult lisavarukoopia, mille oled ise teinud, saad kustutada, ja selleks küsib paneel su parooli.
Mida saad ise lisaks teha, et jõuda 3-2-1 reegli ja offline koopiani: laadi aeg-ajalt alla varukoopia (see on saadaval 48 tundi) ja hoia seda kettal, mille seejärel lahti ühendad. Sama teadmistebaasi järgi ei ole VPS-i snapshot sõnaselgelt varukoopia, sest see asub samal salvestusruumil kui VPS ise.
Teiste teenusepakkujate juures võib see olla sarnane või hoopis erinev. Küsi oma teenusepakkujalt konkreetselt: kas varukoopiad asuvad minu kontost eraldi, kas mina või keegi minu parooliga saab need kustutada, ja kui kaua need ajas tagasi ulatuvad?
Kokkuvõte
- Lunavara krüptib kõik, mida ta kätte saab, ka ühendatud varukoopiad, ja ründajad otsivad varukoopiaid aktiivselt üles.
- Offline: ühenda varukoopia ketas lahti ja kasuta vaheldumisi kahte ketast, koos krüptimisega.
- Muutumatu (immutable, object lock): keegi ei saa koopiat kustutada enne tähtaja lõppu.
- Versioonid ja sobiv säilitusaeg määravad, kui kaugele tagasi saad minna; vali see selle põhjal, millal sa tavaliselt probleeme avastad.
- Kasuta varukoopia jaoks eraldi, hästi kaitstud sisselogimist, lahus oma igapäevasest kontost.
Test
Ülesanne
Ülesanne D6.2: Tee ühest varukoopiast lunavarakindel. Vali oma kõige tähtsamad andmed (näiteks raamatupidamine või veebileht) ja sea üles üks koopia, mis on väljaspool haardeulatust: väline ketas, mille pärast varundamist lahti ühendad ja mujal hoiad, või varundusteenus muutumatu salvestusega. Anna varukoopiale eraldi sisselogimine koos kaheastmelise autentimisega, kontrolli, kui kaugele tagasi saad minna, ja märgi üles, kellel on sellele ligipääs. Lõpuks vasta peegeldusküsimustele.
Ülesanne D6.2: Tee ühest varukoopiast lunavarakindel
Nii teed seda: (1) Vali andmed, mida kõige vähem saad kaotada (näiteks oma raamatupidamine või veebipood). (2) Vali üks kahest teest: (3) Anna varukoopiale eraldi logimisandmed: eraldi konto ainulaadse parooliga su paroolihaldurist ja kaheastmelise autentimisega (2FA), mida sa ei kasuta e-posti ega igapäevatöö jaoks. (4) Kontrolli, kui kaugele tagasi saad minna (säilitusaeg) ja kirjuta see üles. (5) Kirjuta üles, kes pääseb varukoopiale ligi füüsiliselt (ketas, seif) ja tarkvaras. (6) Küsi oma majutuspakkujalt või IT-partnerilt: kas varukoopiad on minu kontost eraldatud, kas keegi, kellel on minu parool, saab need kustutada, ja kui kaugele tagasi need ulatuvad? Kirjuta vastus üles.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Rohkem lugemist
WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonna kohta; teiste teenusepakkujate juures võib see olla sarnane või erinev. Küsi oma teenusepakkujalt.
- DirectAdmin juhend 16.2: Backup ja taastamine: ise varukoopia tegemine DirectAdminis
- Nextcloudi juhend 6.2: Vanema versiooni taastamine ja versioonidele nime andmine
- Nextcloudi juhend 6.3: Kui kaua säilitab Nextcloud versioone ja kustutatud faile?
- VPS-i hetktõmmised ja varukoopiad
- WebOké varukoopiad: varukoopia vaatamine, taastamine või allalaadimine
- Madalmaade NCSC, Ransomware uitgelegd: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- Madalmaade NCSC, Een back-up strategie opstellen: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (inglise keeles): https://www.cisa.gov/stopransomware/ransomware-guide