Sikkerhetskopier som overlever løsepengevirus

Modul 6: Sikkerhetskopier · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du sette opp en sikkerhetskopi som en angriper ikke kan kryptere eller slette, ved å velge en offline kopi, uforanderlig lagring, versjoner med en passende oppbevaringstid og en egen innlogging for sikkerhetskopien.
Nøkkelbegreper: offline sikkerhetskopi, air gap, uforanderlig (immutable), object lock, versjonshåndtering, egen innlogging for sikkerhetskopien, oppbevaringstid

Hvorfor en vanlig sikkerhetskopi ofte ikke er nok

I leksjon 1.3 så du hvordan løsepengevirus fungerer: noen kommer seg inn, ser seg rundt og krypterer deretter alt de kan nå, i ett jafs. "Alt de kan nå" er kjerneproblemet. Hvis sikkerhetskopien din ligger på en nettverksdisk som alltid er koblet til pc-en som en stasjonsbokstav, er den sikkerhetskopien bare en mappe med filer for løsepengeviruset. Den blir kryptert like hardt som originalen.

Det amerikanske cybersikkerhetsbyrået CISA skriver i sin veileder om løsepengevirus at mange typer løsepengevirus aktivt leter etter tilgjengelige sikkerhetskopier for å slette eller kryptere dem. En angriper som har fått tak i administratorkontoen din, kan dessuten logge inn i sikkerhetskopiprogrammet eller skytjenesten din og kaste sikkerhetskopiene der. Derfor krever en sikkerhetskopi som tåler løsepengevirus, mer enn «det finnes en kopi». Den må være utenfor rekkevidde for noen som har overtatt datamaskinen eller kontoen din.

Det finnes tre måter å få til dette på, og du bør helst kombinere dem:

1. sikkerhetskopien er ikke tilkoblet (offline);
2. sikkerhetskopien kan ikke endres eller slettes, heller ikke av en administrator (uforanderlig);
3. sikkerhetskopien ligger bak en annen innlogging enn den du bruker til daglig arbeid.

Offline: disken i skuffen

En offline sikkerhetskopi er en kopi som kobles fra etter at den er laget. En ekstern disk du trekker ut av laptopen etter sikkerhetskopieringen og legger i en skuff eller safe, er det enkleste eksempelet. Løsepengevirus kan bare kryptere det som er tilgjengelig, og en disk i en skuff er ikke tilgjengelig. Det engelske uttrykket er air gap: det er bokstavelig talt luft mellom sikkerhetskopien og nettverket ditt.

Det nederlandske NCSC gir samme råd: ikke hold sikkerhetskopien koblet til datamaskinen, for ellers kan løsepengeviruset kryptere den også.

Fallgruver ved offline sikkerhetskopier:

• Glemt. En sikkerhetskopi du lager manuelt, blir hoppet over etter noen travle uker. Sett av en fast dag i kalenderen og bytt på to disker, slik at det alltid finnes én utenfor huset.
• La den stå tilkoblet hele tiden. En disk som «for enkelhets skyld» blir stående tilkoblet, er ikke lenger en offline sikkerhetskopi.
• Ikke kryptert. En løs disk med hele regnskapet ditt er et datalekkasje hvis den blir stjålet. Slå på kryptering (se leksjon 5.2) og oppbevar nøkkelen et annet sted enn disken.

Uforanderlig: immutable og object lock

En uforanderlig sikkerhetskopi (engelsk: immutable) kan ikke endres eller slettes av noen i en fastsatt periode. Heller ikke av noen som har passordet ditt. Heller ikke av administratoren.

Ved skylagring kalles teknikken ofte object lock. Dokumentasjonen til én stor leverandør beskriver det som write once, read many: du skriver en fil én gang, deretter kan du bare lese den til oppbevaringstiden er over. Det finnes vanligvis to moduser:

Mange sikkerhetskopiprogrammer og sikkerhetskopitjenester tilbyr uforanderlig lagring, under navn som «immutable backup», «låst sikkerhetskopi» eller «WORM». Når du velger, bør du se på tre ting:

• Hvor lenge varer låsen? En lås på 7 dager beskytter deg ikke hvis du oppdager angrepet først etter tre uker.
• Hvem kan oppheve låsen? Hvis du kan gjøre det med samme konto som du logger inn med til daglig, kan en angriper det også.
• Hva koster det? Uforanderlig betyr også at du ikke kan rydde opp i det. CISA advarer om at en feil innstilling kan gi høye kostnader. Begynn i det små og test.

Versjoner og oppbevaringstid: hvor langt tilbake kan du gå?

En sikkerhetskopi fra i går hjelper bare hvis alt fortsatt var i orden i går. Løsepengevirus venter noen ganger en stund før det slår til, og en feil (en slettet mappe, en overskrevet prisliste) oppdager du noen ganger først uker senere. Derfor trenger du versjoner: flere sikkerhetskopitidspunkter side om side. Oppbevaringstiden (også kalt retensjon) bestemmer hvor langt tilbake du kan gå. Det nederlandske NCSC formulerer det slik: retensjonen angir hvor langt tilbake du kan gå i historikken til en sikkerhetskopi.

Et vanlig mønster er uttynning: hver dag en sikkerhetskopi du oppbevarer i noen uker, hver uke én du oppbevarer i noen måneder, og hver måned én du oppbevarer lenger. Slik kan du gå langt tilbake uten hundrevis av fullstendige kopier.

Spørsmål for å velge oppbevaringstid:

• Hvor raskt oppdager du vanligvis at noe er galt? Se på feil fra tidligere.
• Finnes det lovpålagte oppbevaringsplikter, for eksempel for regnskapet ditt? En sikkerhetskopi er noe annet enn et arkiv: et arkiv oppbevarer du i årevis på et fast sted, en sikkerhetskopi roterer.
• Hvor mye lagringsplass koster det? Lengre oppbevaring koster mer.

En egen innlogging for sikkerhetskopien

Det tredje tiltaket er det billigste og blir oftest glemt. Hvis sikkerhetskopitjenesten din, skylagringen din og e-posten din alle bruker samme konto, og den kontoen blir overtatt (leksjon 1.4), har angriperen alt på én gang.

• Bruk en egen konto for sikkerhetskopitjenesten eller sikkerhetskopiprogrammet, med et eget, unikt passord fra passordbehandleren din, og slå på tofaktorautentisering (2FA).
• Bruk den kontoen ikke til daglig arbeid, og ikke logg inn med den på datamaskinen du bruker til e-post og nettsurfing.
• La sikkerhetskopiprogrammet der det er mulig bare skrive til sikkerhetskopistedet, ikke slette.
• Bestem hvem som har tilgang, både fysisk (hvem har nøkkelen til skapet med disken) og i programvaren. Det nederlandske NCSC nevner også dette eksplisitt.

I praksis: slik ser det ut

Hos eksempelleverandøren WebOké ligger de nattlige sikkerhetskopiene av en webhotellpakke på egne lagringsservere i et annet datasenter, atskilt fra serveren der nettstedet kjører. Ifølge kunnskapsbasen kan du ikke slette disse nattlige sikkerhetskopiene selv: de blir liggende slik at det alltid finnes et gjenopprettingspunkt, og forsvinner automatisk etter 30 dager. Bare en ekstra sikkerhetskopi du har laget selv, kan du slette, og da ber panelet om passordet ditt.

Det du selv legger til for å oppnå 3-2-1-regelen og offline-kopien: last ned en sikkerhetskopi av og til (den blir liggende klar i 48 timer) og lagre den på en disk du deretter kobler fra. En øyeblikksbilde (snapshot) av en VPS er ifølge samme kunnskapsbase uttrykkelig IKKE en sikkerhetskopi, fordi den ligger på samme lagring som VPS-en selv.

Hos andre leverandører kan det være lignende eller helt annerledes. Spør leverandøren din konkret: ligger sikkerhetskopiene atskilt fra kontoen min, kan jeg eller noen med passordet mitt slette dem, og hvor langt tilbake går de?

Oppsummering

• Løsepengevirus krypterer alt det når, også tilkoblede sikkerhetskopier, og angripere leter aktivt etter sikkerhetskopier.
• Offline: koble fra sikkerhetskopidisken og bytt på disker, med kryptering.
• Uforanderlig (immutable, object lock): ingen kan slette kopien før fristen er over.
• Versjoner og en passende oppbevaringstid avgjør hvor langt tilbake du kan gå; velg ut fra hvor sent du vanligvis oppdager problemer.
• Bruk en egen, godt sikret innlogging for sikkerhetskopien, atskilt fra din daglige konto.

Quiz

Oppgave

Oppgave D6.2: Gjør én sikkerhetskopi løsepengevirus-sikker. Velg de viktigste dataene dine (for eksempel regnskapet eller nettstedet ditt) og sett opp én kopi som ligger utenfor rekkevidde: en ekstern disk du kobler fra etter sikkerhetskopieringen og oppbevarer et annet sted, eller en sikkerhetskopitjeneste med uforanderlig lagring. Gi sikkerhetskopien en egen innlogging med tofaktorautentisering (2FA), kontroller hvor langt tilbake du kan gå, og noter hvem som har tilgang. Svar til slutt på refleksjonsspørsmålene.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører kan det fungere lignende eller annerledes. Spør leverandøren din.

• DirectAdmin-veiledning 16.2: Backup and Restore: lag din egen sikkerhetskopi i DirectAdmin
• Nextcloud-veiledning 6.2: Gjenopprette en navngi eldre versjoner
• Nextcloud-veiledning 6.3: Hvor lenge beholder Nextcloud versjoner og slettede filer?
• Snapshots og backuper av VPS-en din
• WebOké Backups: se, gjenopprette eller laste ned en backup
• Det nederlandske NCSC, Ransomware forklart: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Det nederlandske NCSC, Utarbeide en sikkerhetskopistrategi: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (engelsk): https://www.cisa.gov/stopransomware/ransomware-guide