Ransomware en backup: waarom onveranderlijke opslag het verschil maakt

Hoe een aanval vandaag verloopt

De tijd dat ransomware één pc versleutelde en een briefje achterliet, is voorbij. Een hedendaagse aanval duurt dagen tot weken:

1. Binnenkomen: een phishingmail, een gelekt wachtwoord, een kwetsbaarheid in een VPN of een niet bijgewerkte server.
2. Rondkijken: de aanvaller verkent het netwerk, zoekt beheerdersrechten en vooral: zoekt de backups.
3. Backups onschadelijk maken: de backupserver wordt versleuteld, de NAS gewist, de cloudbucket leeggemaakt met de sleutel die op de server stond, de bewaartermijn op nul gezet.
4. Versleutelen: pas dan worden de productiesystemen versleuteld, vaak 's nachts of in het weekend.
5. Afpersen: betalen voor de sleutel, en vaak ook betalen om gestolen data niet te publiceren.

Stap 3 is de reden dat organisaties met "een backup" toch betalen. De backup bestond, maar deelde het lot van de productie.

De drie zwakke plekken

Bereikbaar. Een backup die als netwerkschijf gekoppeld is of waarvan de server in hetzelfde domein zit, is voor de aanvaller gewoon nog een map.

Wisbaar. Een cloudbucket of een backuprepository waarvan de sleutel op de server staat, kan door diezelfde server leeggemaakt worden. En wie de beheerdersrechten van uw backuptool heeft, kan de bewaartermijn inkorten tot nul.

Onzichtbaar. Niemand merkt dat de backups van gisteren plots drie keer zo groot zijn omdat alles versleuteld is, of dat de bewaartermijn vorige week aangepast werd.

Wat onveranderlijke opslag doet

Object lock in compliance-modus op S3-opslag geeft elke versie van elk object een vervaldatum. Tot die datum kan niemand de versie wissen of overschrijven: geen beheerder, geen aanvaller met beheerdersrechten, geen opslagaanbieder. Een verwijdering is alleen een markering; de data blijft staan tot de termijn om is.

Dat lost de tweede zwakke plek op, maar alleen als het goed ingericht is:

• in compliance-modus, niet in governance-modus (die kan een beheerder opheffen);
• met versiebeheer aan, anders is overschrijven alsnog verlies;
• met een bewaartermijn die langer is dan de tijd die een aanvaller onopgemerkt binnen zit, dertig dagen als minimum.

De rechten van uw backupsoftware

De eerste zwakke plek lost u op met het principe van alleen toevoegen. De software op uw server krijgt een sleutel die mag schrijven en lezen, maar niet verwijderen. Opruimen van oude versies gebeurt door een apart systeem, met een andere sleutel, op een machine waar de aanvaller niet bij kan. Steelt hij de sleutel van de agent, dan kan hij er hooguit meer mee bijschrijven.

Zekura werkt zo: de agent kan niets wissen, een aparte worker doet het onderhoud, en ook die worker kan niet onder de locktermijn.

Een aanval herkennen aan uw backups

De derde zwakke plek, onzichtbaarheid, is waar backups een onverwacht wapen worden. Versleuteling heeft een handtekening: plots verandert álles. Een nachtelijke backup die normaal 2 % nieuwe data bevat, bevat er opeens 90 %. Wie dat meet, heeft een alarm dat afgaat vóór de aanvaller zijn briefje stuurt.

Zekura noemt dat anomaliedetectie: springt het aandeel nieuwe data ineens omhoog, dan komt er een kritieke melding, het staat in de bewijsketen, en er komt een hold op het opruimen zodat de snapshots van vóór de versleuteling gegarandeerd blijven bestaan. Daarnaast telt Zekura dagelijks de verwijdermarkeringen op de opslag en vergelijkt dat met wat de keten verklaart; onverklaarde markeringen zijn een alarm.

Wat u tegen uw eigen beheerder beschermt

Niet omdat u hem wantrouwt, maar omdat de aanvaller zijn account kan overnemen. Alles wat uw bescherming verzwakt (een opdracht uitschakelen, een bewaartermijn inkorten, een systeem verwijderen) mag niet onmiddellijk ingaan. Bij Zekura geldt een wachttijd van 72 uur: iedereen krijgt een melding, de wijziging staat klaar met een annuleerknop, en aanvraag en uitvoering komen in de keten. Drie dagen is lang genoeg om een gekaapt account op te merken.

Checklist tegen ransomware

• Staat minstens één kopie onder object lock in compliance-modus, minstens dertig dagen?
• Kan de software op uw server niet verwijderen? Weet u dat zeker, of neemt u het aan?
• Is de backup versleuteld vóór ze vertrekt, en ligt de sleutel niet op dezelfde server?
• Krijgt u een alarm als de hoeveelheid nieuwe data plots omhoogschiet?
• Gaat het inkorten van een bewaartermijn pas na een wachttijd in?
• Wordt er elke week echt teruggezet, zodat u weet dat herstellen werkt vóór u het nodig hebt?

Wie wil voelen hoe dat speelt: in RestoreRush slaat de ransomware toe op het moment dat u denkt dat u klaar bent.

Veelgestelde vragen

Is een offline tape niet veiliger dan object lock?

Een tape in een kluis is echt onbereikbaar, en dat is sterk. Maar ze wordt zelden getest, is traag om terug te zetten en vergt discipline. Object lock in compliance-modus geeft hetzelfde "niemand kan erbij" met dagelijkse automatische tests. Beide samen is uitstekend.

Beschermt onveranderlijke opslag ook tegen datadiefstal?

Nee. Daarvoor dient versleuteling vóór verzending, met een sleutel die alleen u hebt. Zie de gids over zero knowledge.

Wat als de aanvaller al weken binnen zit?

Daarom is de bewaartermijn belangrijk: u moet kunnen terug naar vóór de inbraak. Dertig dagen is het minimum; wie het zich kan veroorloven, bewaart wekelijkse versies maanden.