Ransomware-Wiederherstellung hängt von Backup-Aufbewahrung und Wiederherstellungszugriff ab
Die meisten IT-Teams fühlen sich auf einen Ransomware-Angriff vorbereitet, aber eine Umfrage von Veeam zeigt eine deutliche Kluft zwischen Zuversicht und tatsächlicher Wiederherstellung. In einer Studie mit mehr als 900 leitenden IT-, Sicherheits- und Risikoverantwortlichen gaben 90 % an, zuversichtlich zu sein, sich von einem Cyber-Vorfall erholen zu können. Doch von den Organisationen, die tatsächlich von Ransomware betroffen waren, die Betrieb oder Daten beeinträchtigte, erholten sich nur 28 % vollständig, und 44 % stellten weniger als drei Viertel ihrer verlorenen Daten wieder her. Ransomware ist bösartige Software, die Dateien sperrt oder verschlüsselt und eine Zahlung verlangt, um sie zu entsperren. Die eigentliche Schwachstelle liegt laut einer aktuellen Analyse des Backup-Anbieters Backblaze nicht im Plan zur Reaktion auf Vorfälle auf dem Papier, sondern darin, ob das Computer-Backup selbst so aufgebaut ist, dass es einen Angriff übersteht.
Ransomware-Gruppen wissen, dass Backups der Ausweg des Opfers sind, und zielen daher direkt auf Backup-Repositories ab. Backup-Repositories sind die Speicherorte, an denen Backup-Kopien liegen. Veeams Forschung zum Datenschutz ergab, dass 96 % der Ransomware-Angriffe gezielt auf diese Repositories abzielen, und die meisten dieser Versuche sind erfolgreich. Wenn ein Angreifer den Backup-Verlauf löschen oder die Aufbewahrungsdauer verkürzen kann, wird das Backup von einem Wiederherstellungsplan zu einem zweiten Ziel. Deshalb sind die Aufbewahrung gelöschter Dateien und Wiederherstellungsberechtigungen wichtiger als fast alles andere. Die Aufbewahrung gelöschter Dateien gibt an, wie lange ein Backup-Dienst Dateien behält, nachdem sie vom Gerät entfernt wurden. Das Computer-Backup-Produkt von Backblaze behält ein volles Jahr Versionsverlauf und Aufbewahrung gelöschter Dateien, und Wiederherstellungs- und Löschberechtigungen liegen zentral bei der IT, nicht offen auf Geräteebene für jedermann zugänglich. Einige ältere Endpoint-Backup-Tools bieten ebenfalls lange Aufbewahrungszeiten, aber der eigentliche Test ist, wie gut sie unter Druck wiederherstellen.
Der Versionsverlauf ist der Ort, an dem die eigentliche Arbeit passiert. Ransomware kündigt sich nicht immer sofort an. Einige Stämme bleiben wochenlang still auf einem Netzwerk, kopieren und verschlüsseln langsam, bevor jemand es bemerkt. Wenn eine Infektion entdeckt wird, könnte das jüngste Backup bereits verschlüsselte Dateien enthalten. Wenn ein Backup nur wenige Tage Verlauf behält und die Malware seit zwei Wochen aktiv ist, gibt es keine saubere Version zum Wiederherstellen, nur eine etwas neuere Kopie desselben Problems. Dies ist eine häufige Lücke bei Cloud-Sync-Tools, auf die sich viele Unternehmen anstelle eines echten Backups verlassen. Sync-Tools kopieren Dateien zwischen Geräten, behalten aber normalerweise nur einen begrenzten Versionsverlauf, der je nach Tarif variiert, was für das Rückgängigmachen einer versehentlichen Bearbeitung in Ordnung sein mag, aber nicht für die Ransomware-Wiederherstellung. Ein IT-Direktor gab einen direkten Vergleich: ein volles Jahr Versionsverlauf gegenüber einem Maximum von drei Tagen beim vorherigen Anbieter. Die zusätzliche Aufbewahrung ermöglicht es einer Organisation tatsächlich, weit genug zurückzugehen, um eine wiederherstellungswürdige Version zu finden. Kurze Aufbewahrungsfenster werden manchmal als Möglichkeit verkauft, Speicherkosten zu senken, aber in der Praxis sind sie einer der häufigsten Gründe, warum die Wiederherstellung scheitert.
Ein Ransomware-Vorfall löst oft mehr als nur eine technische Reaktion aus: Versicherungsansprüche, regulatorische Fragen, manchmal Rechtsstreitigkeiten. All das erfordert, Daten exakt so zu erhalten, wie sie waren, getrennt von den normalen Backup-Aufbewahrungsregeln. Dafür ist Legal Hold gedacht. Legal Hold ist eine Einstellung, die die gesicherten Daten eines Geräts über das Standard-Aufbewahrungsfenster hinaus bewahrt. Es ist eine andere Funktion als der Versionsverlauf. Der Versionsverlauf ermöglicht es einer Organisation, in der Zeit zurückzugehen; Legal Hold friert einen bestimmten Zeitpunkt ein und hält ihn dort fest. Backblaze bietet Legal Hold mit Computer Backup mit Enterprise Controls an. Der häufige Fehler ist, dass IT und Rechtsabteilung erst mitten in einem tatsächlichen Vorfall über Legal Hold sprechen, wenn sie einen Prozess improvisieren, der im Voraus hätte entschieden werden sollen. Entscheidungen darüber, wann ein Hold ausgelöst würde und wer in IT und Rechtsabteilung diese Entscheidung trifft, müssen vor einem Angriff getroffen werden.
Eine unternehmensweite Backup-Richtlinie ist eine Sache; die Wiederherstellung von 40, 100 oder 300 einzelnen Laptops, ohne dass das gesamte IT-Team alles andere fallen lässt, ist ein anderes Problem. Viele Wiederherstellungspläne scheitern, weil sie auf Richtlinienebene geschrieben und nie auf Geräteebene getestet werden. Vor einem Vorfall sollten Teams einige praktische Fragen beantworten: Können Sie eine einzelne Datei wiederherstellen, ohne ein ganzes Geräte-Image herunterzuladen? Können Sie ein ganzes Gerät auf einer neuen Maschine wiederherstellen, wenn das Original unbrauchbar ist? Wer hat die Berechtigung, eine Wiederherstellung zu genehmigen und durchzuführen, und ist diese Liste aktuell? Gibt es für eine Massenwiederherstellung über Dutzende von Geräten eine Option des Anbieters, die über die Wiederherstellung einer Maschine nach der anderen hinausgeht, wie z. B. ein physisches Laufwerk mit vorinstallierten Daten? Das sind keine Randfälle; das ist die eigentliche Mechanik der Wiederherstellung. Eine einzelne Dateiwiederherstellung hängt davon ab, ob der Versionsverlauf weit genug zurückreicht, um eine saubere Kopie zu finden. Eine einzelne Gerätewiederherstellung hängt von Datenmenge, Bandbreite und geklärtem Wiederherstellungszugriff ab. Eine vollständige Flottenwiederherstellung von Dutzenden bis Hunderten von Geräten ist der Punkt, an dem es langsam wird. Die Wiederherstellung Maschine für Maschine kann Tage dauern, und einige Anbieter, darunter Backblaze, können ein physisches Laufwerk mit vorinstallierten Daten versenden, um dies erheblich zu verkürzen. Nur 9 % der IT-Teams beschreiben die Wiederherstellung aus dem Backup als „sehr einfach“, laut Backblazes State of the Backup Report. Die meisten Menschen finden heraus, wie schwierig die Wiederherstellung tatsächlich ist, genau dann, wenn sie funktionieren muss.
Ein echter Wiederherstellungsplan braucht einen Stresstest. Die Analyse empfiehlt, eine Wiederherstellung auf dem Papier durchzugehen, von Anfang bis Ende, für einen echten Laptop. Benennen Sie das Gerät, die Person, die die Wiederherstellung genehmigt, die Person, die sie durchführt, und wohin die Daten gehen. Schreiben Sie jeden Schritt auf und wo er ins Stocken geraten könnte. Die Funktionsliste eines Anbieters kann Ihnen sagen, ob Versionsverlauf, Aufbewahrung gelöschter Dateien, Legal Hold und Wiederherstellung auf Endpoint-Ebene technisch verfügbar sind. Sie kann Ihnen nicht sagen, ob Ihr Team weiß, wie man sie unter Druck nutzt. Das Durchgehen der Schritte und das Testen mit dem Team des Anbieters in einem Proof of Concept ist der Weg, Lücken zu finden. Backblaze Computer Backup mit Enterprise Control ist auf diese spezifischen Lücken zugeschnitten: ein volles Jahr Versionsverlauf und Aufbewahrung gelöschter Dateien, Legal Hold zur Bewahrung von Daten über die Standard-Aufbewahrung hinaus und von der IT über die Admin-Konsole verwaltete Wiederherstellungen. Es ist nativ für Mac und Windows und wird über Jamf, Iru (ehemals Kandji) und Addigy bereitgestellt. Die Preisgestaltung ist pauschal pro Gerät ohne Überraschungen pro GB. Nichts davon ersetzt gute Sicherheitspraktiken, aber es trägt wesentlich dazu bei, ob Ransomware zu einer schlechten Woche oder einem schlechten Jahr wird. Für Organisationen, die diese Lektionen auf beliebiger Infrastruktur anwenden möchten, bietet AEU Datas verwaltete Cloud- und Dateninfrastruktur automatisierte Backups, verschlüsselte Speicherung und Überwachung, die dazu beitragen, Wiederherstellungskopien dauerhaft und unter zentraler Kontrolle zu halten.