Для тех, кто работает в одиночку или малой командой и держит «какую-то резервную копию», но задаётся вопросом «а этого реально достаточно?» Здесь нет шагов атаки — только как построить резервную копию, из которой вы надёжно восстановитесь.
Взгляд этого сайта: «облачная синхронизация» — не резервная копия
Частое допущение: «я синхронизируюсь с OneDrive/Google Drive, значит у меня есть бэкап». Это не так. Синхронизация тиражирует текущее состояние, поэтому файл, который вы удалили по ошибке, или тот, что зашифровала программа-вымогатель, копируется на другую сторону в этом состоянии.
Резервной копии нужна возможность вернуться к более раннему состоянию: версионирование, восстанавливающее более старую копию, и неизменяемая копия, которую нельзя перезаписать позже. Синхронизация удобна, но сама по себе устроена так, что если ломается одна сторона, ломаются обе. Относитесь к ней как к совершенно иной роли, нежели резервное копирование.
Почему «у меня есть резервная копия» недостаточно
Резервные копии нужны потому, что причин потери данных много — и приходят они вместе. Отказ оборудования, удаление по ошибке, кража и катастрофа, программа-вымогатель. Один рубеж обороны пропускает беды, приходящие с другой стороны.
Программа-вымогатель особенно ищет сами резервные копии и шифрует их. Копия, хранимая в том же месте, что и данные, повреждается в том же инциденте. Это самая базовая форма «держать восстановимое состояние» из реагирования на уязвимости (→ практика реагирования на уязвимости).
Базовая форма: 3-2-1 (+ офлайн/неизменяемое)
3 — три копии
оригинал плюс две. Одна отказала — две другие всё ещё восстанавливают.
2 — два типа носителей
например, внутренний диск + внешний SSD, или NAS + облако. Не сваливайте в одну корзину.
1 — одна вне площадки
другое место (облако / отдельная площадка). Пожар, кража, потоп не сотрут всё.
+ одна офлайн/неизменяемая
не постоянно подключённая или неперезаписываемая. Всегда держите одну копию, которую программа-вымогатель не сможет зашифровать.
Как это построить (заполняйте по порядку)
Сначала опишите «что больно потерять»
Разложите по схеме 3-2-1
Сделайте хотя бы одну офлайн/неизменяемой
Автоматизируйте (вручную не продержится)
Тестируйте восстановление по расписанию
Программа-вымогатель целится и в резервные копии
Современная программа-вымогатель шифрует не только основные данные, но и любую подключённую цель резервного копирования, которую найдёт (NAS, внешние диски, смонтированное облако). Поэтому если у вас есть только постоянно подключённая резервная копия, она будет зашифрована вместе со всем остальным.
Самая эффективная защита — держать хотя бы одну копию, которая офлайн (физически отключена) или неизменяема (перезапись/удаление запрещены на период). Наличие такой копии и отделяет уплату выкупа от отказа от неё.
Только облачная синхронизация
- удаления и шифрование синхронизируются как есть
- нельзя откатиться к более старой версии
- всегда подключена = тоже шифруется программой-вымогателем
- вы никогда не проверяли, восстанавливается ли она
3-2-1 + неизменяемое + тест восстановления
- версионирование восстанавливает чистую старую копию
- офлайновая/неизменяемая копия изолирована от программы-вымогателя
- избыточность по месту и носителю означает отсутствие полной потери
- периодические тесты подтверждают, что она реально восстанавливается
По средам: что встроено и что добавить
Для каждой распространённой среды: встроенный механизм, можно ли откатиться к старым версиям и что добавить против программы-вымогателя.
| Среда | Встроенный механизм | Можно ли откатиться к старым версиям? | Что добавить |
|---|---|---|---|
| Windows | История файлов (сохраняет на внешний диск или в сетевое расположение) | Да («Восстановить прежнюю версию» в Проводнике) | Отключайте целевой диск после копирования. Держите вторую копию в другом месте |
| Windows (приложение «Windows Backup») | Синхронизирует папки вроде «Рабочий стол» и «Документы» с OneDrive | Зависит от возможностей OneDrive | Внутри это синхронизация, поэтому держите также Историю файлов или внешнюю копию |
| Mac | Time Machine | Да (почасово за последние 24 часа, ежедневно за последний месяц, еженедельно до этого) | Держите второй диск для копий в другом месте и время от времени меняйте их местами |
| iPhone | Резервная копия iCloud (автоматически, когда устройство заряжается, подключено к Wi-Fi и заблокировано) | Рассчитано на восстановление всего устройства | Храните важные фото и документы также на компьютере или внешнем диске |
| OneDrive | Синхронизация | Подписчики Microsoft 365 могут через «Restore your OneDrive» (Восстановить OneDrive) вернуться к моменту в пределах последних 30 дней | Одна офлайновая копия отдельно от синхронизации |
| Google Drive | Синхронизация | Файлы не в форматах Google можно откатить через «Управление версиями»; старые версии могут удаляться через 30 дней или после появления 100 более новых версий | «Keep forever» (хранить всегда) для нужных версий плюс одна офлайновая копия |
| Сервер / VPS | Инструмент резервного копирования (restic и т. п.) и отдельное место назначения | Да, из снимков инструмента | Сделайте так, чтобы с рабочего сервера нельзя было удалить копии в месте назначения (S3 Object Lock и т. п.) |
| Виртуальный хостинг | Автоматические копии провайдера | Только в пределах срока хранения у провайдера | Регулярно выгружайте данные и за пределы провайдера (на свой компьютер или в облако) |
Колонка «Что добавить» — это работа по заполнению остальной части 3-2-1. Почти ни в одной среде встроенный механизм сам по себе не даёт 3-2-1 плюс офлайновую копию.
Как проверить свою настройку
Чтобы избавиться от «кажется, копируется», проверьте по порядку следующее. Каждый шаг касается только настроек ваших собственных устройств и аккаунтов.
Посмотрите, когда последнее копирование прошло успешно
- Windows: откройте «История файлов» в Панели управления и проверьте, что она включена, какой диск использует и когда файлы копировались в последний раз.
- Mac: проверьте время последней копии в «Системные настройки» → «Основные» → «Time Machine». В Терминале
tmutil latestbackupпоказывает последнюю копию, аtmutil destinationinfo— место назначения (в некоторых конфигурациях Терминалу нужен полный доступ к диску). - iPhone: «Настройки» → ваше имя → «iCloud» → «Резервная копия в iCloud» показывает дату и время последней копии.
- Сервер: в restic
restic snapshotsвыводит список снимков с датами.
Если дата остановилась несколько дней назад, это первое, что нужно исправить.
Убедитесь, что место назначения не подключено постоянно
Проверьте, не остаётся ли внешний диск или NAS всё время подключённым и видимым как диск. На сервере проверьте в настройках прав, что учётные данные, хранящиеся на рабочем сервере, не могут также удалить резервные копии. Для S3 также проверьте, включён ли Object Lock на целевом бакете.
Проверьте, что облако умеет откатываться
Для OneDrive посмотрите, есть ли «Restore your OneDrive» (Восстановить OneDrive) в разделе «Settings» → «Options» (для подписчиков Microsoft 365). Для Google Drive щёлкните файл правой кнопкой и посмотрите, показывает ли «Управление версиями» старые версии. У обоих есть ограничения срока хранения, поэтому для более глубокого отката нужен другой способ.
Действительно восстановите что-нибудь одно (тест восстановления)
Выберите один важный файл и восстановите его в другое место, затем откройте. В Windows щёлкните папку правой кнопкой и выберите «Восстановить прежнюю версию»; на Mac восстановите из Time Machine. На сервере восстановите в другой каталог и проверьте содержимое; в restic команда вроде restic check --read-data-subset=5% считывает часть сохранённых данных для проверки. Базу данных восстановите в отдельную базу и убедитесь, что она запускается.
Запишите результат и сколько это заняло
Запишите дату, что восстанавливали и сколько времени это заняло. Так вы примерно поймёте, сколько часов займёт полное восстановление, и заметите изменения при следующем тесте.
Частые ошибки и как их исправить
- Внешний диск остаётся подключённым: для программы-вымогателя подключённый диск — просто ещё одно место для шифрования. Отключайте его после каждого копирования или чередуйте два диска, чтобы один всегда был отключён.
- Синхронизацию считают резервной копией: архивация папок в приложении «Windows Backup» внутри — это синхронизация OneDrive. Держите отдельную резервную копию, которая хранит старые версии.
- Для консоли резервного копирования тот же пароль, что и для рабочей среды: если рабочую среду захватят, копии тоже удалят. Используйте другой пароль и включите многофакторную аутентификацию.
- Не следят за уведомлениями о сбоях: остановившееся копирование остаётся незамеченным. Включите уведомления о сбоях и раз в месяц проверяйте время последней копии.
- То, что нужно для восстановления, хранится только внутри резервной копии: держите пароль шифрования и ключи восстановления отдельно от копии (→ как выбрать менеджер паролей).
- Офлайновую копию сделали один раз и больше не обновляли: восстановиться можно только на момент её создания. Обновляйте её по фиксированному графику, например ежемесячно.
Публичный случай: уцелела старая отключённая копия
В отчёте экспертной комиссии (опубликован в июне 2022 года) об атаке программы-вымогателя на больницу Handa в городе Цуруги в октябре 2021 года о резервных копиях сказано следующее:
- Сервер резервного копирования был в списке серверов, шифрование которых подтверждено
- Резервные данные, хранившиеся офлайн до 2018 года, не пострадали и могли быть использованы для восстановления
- Обычный амбулаторный приём возобновился 4 января 2022 года, примерно через два месяца после атаки
Подключённая копия пострадала вместе с рабочей средой; отключённая уцелела. Но этой копии было несколько лет. Офлайновая копия помогает полностью, только если вы регулярно её обновляете, чтобы точка восстановления оставалась свежей.
Что делает сам этот сайт
Этот сайт снимает свои данные и документы автоматически, в отдельное место, в несколько поколений и сочетает это с подходом «пересоздаваемо по замыслу, где возможно». Данные, которые можно механически регенерировать (загруженные ленты, индексы), например, хранятся в расчёте на пересоздание, а не на резервные копии — способ «снизить нагрузку на резервное копирование изначально». Поверх этого незаменимое (тела статей, конфигурация) хранится избыточно, а постоянное поддержание восстановимого состояния — предпосылка эксплуатации.
При замене оборудования с истёкшей поддержкой (→ материал об окончании поддержки Windows 10) мигрировать уверенно можно именно потому, что есть восстановимая резервная копия. Думайте о резервном копировании не только как о средстве на случай, когда все остальные меры не сработали, но и как о предусловии реагирования на инцидент.
Читать дальше
- Случай с NAS: атаки программ-вымогателей на Synology NAS со старой DSM и как обновиться
- Основы: базовый чек-лист безопасности (Уровень 3 = обнаружение, восстановление)
- На практике: практика реагирования на уязвимости (держите восстановимое состояние)
- Связанное: Риски окончания поддержки Windows 10 и миграция
- Хранение: безопасное хранение паролей и секретов
- Случай: программа-вымогатель KADOKAWA / Niconico (2024) (простой на месяцы — урок непрерывности бизнеса (BCP))
- Когда взломан провайдер: что делать, если взломан ваш веб-хостинг (на английском; почему единственная копия не должна храниться у этого провайдера)
- Атака программы-вымогателя на Осакский столичный университет (подтверждена утечка персональных данных из облачного хранилища подрядчика)
Источники
- CISA и др., «#StopRansomware Guide» (хранить офлайновые зашифрованные копии и регулярно тестировать восстановление): cisa.gov
- Больница Handa города Цуруги, отчёт экспертной комиссии о расследовании инцидента с компьютерным вирусом (июнь 2022, на японском): handa-hospital.jp
- Поддержка Microsoft, «Backup and restore with File History»: support.microsoft.com
- Поддержка Microsoft, «Back up your folders with OneDrive»: support.microsoft.com
- Поддержка Microsoft, «Restore your OneDrive»: support.microsoft.com
- Справка Google Диска, «Check activity & file versions»: support.google.com
- Поддержка Apple, «Back up your Mac with Time Machine»: support.apple.com
- Поддержка Apple, «How to back up your iPhone with iCloud»: support.apple.com
- Документация AWS, «Locking objects with Object Lock»: docs.aws.amazon.com
- Документация restic, «Working with repositories» (snapshots / check): restic.readthedocs.io