Ένα backup μπορεί να υπάρχει και παρ' όλα αυτά να μην είναι διαθέσιμο όταν το χρειαστείτε περισσότερο. Σε μια επίθεση ransomware, ο επιτιθέμενος μπορεί να προσπαθήσει να εντοπίσει και να διαγράψει ή να αλλοιώσει τα αντίγραφα ασφαλείας πριν κρυπτογραφήσει τα παραγωγικά συστήματα.
Το immutable backup αντιμετωπίζει αυτόν τον κίνδυνο προστατεύοντας ένα recovery copy από τροποποίηση ή διαγραφή για καθορισμένο χρονικό διάστημα. Δεν σταματά το ransomware και δεν αντικαθιστά μια ολοκληρωμένη στρατηγική backup, αλλά μπορεί να διατηρήσει ένα αξιόπιστο σημείο ανάκτησης ακόμη και όταν άλλα συστήματα έχουν παραβιαστεί.
Τι είναι το Immutable Backup;
Immutable σημαίνει ότι τα προστατευμένα δεδομένα δεν μπορούν να τροποποιηθούν ή να διαγραφούν όσο ισχύει η αντίστοιχη πολιτική. Πολλές τεχνολογίες υλοποιούν αυτή την αρχή με μοντέλο WORM (Write Once, Read Many): τα δεδομένα γράφονται και στη συνέχεια παραμένουν προστατευμένα από αλλαγές για την περίοδο διατήρησής τους.
Η ακριβής συμπεριφορά εξαρτάται από την πλατφόρμα. Για παράδειγμα, το Azure Blob Storage υποστηρίζει immutable WORM storage με time-based retention policies και legal holds, ενώ το Amazon S3 Object Lock προστατεύει συγκεκριμένες εκδόσεις αντικειμένων μέσω retention periods ή legal holds.
Άρα, το «immutable» δεν πρέπει να αντιμετωπίζεται ως γενικό checkbox με ίδια συμπεριφορά σε κάθε προϊόν. Πρέπει να ελέγχονται οι πραγματικοί μηχανισμοί προστασίας, τα permissions, το retention model και οι προϋποθέσεις της συγκεκριμένης λύσης.
Γιατί το Ransomware στοχεύει και τα Backups;
Ένα λειτουργικό backup μειώνει σημαντικά την εξάρτηση της επιχείρησης από τα κρυπτογραφημένα production δεδομένα. Για αυτό ένας επιτιθέμενος που έχει αποκτήσει επαρκή πρόσβαση μπορεί να επιχειρήσει να καταστρέψει και τα διαθέσιμα recovery copies.
Η CISA συστήνει προστατευμένα backups και τακτικές δοκιμές ανάκτησης και επισημαίνει ότι ransomware μπορεί να αναζητήσει προσβάσιμα backups για να τα διαγράψει ή να τα κρυπτογραφήσει. Για cloud resources προτείνει επίσης, όπου είναι κατάλληλο, delete protection ή object lock.
Το κρίσιμο σημείο είναι ότι ένα αντίγραφο σε διαφορετικό storage location δεν είναι αυτομάτως προστατευμένο. Αν ένας παραβιασμένος λογαριασμός ή administrator μπορεί να διαγράψει τόσο τα production δεδομένα όσο και όλα τα backups, η επιχείρηση εξακολουθεί να έχει ένα σοβαρό κοινό σημείο αποτυχίας.
Πώς βοηθά το Immutability;
Η σωστά υλοποιημένη immutability δημιουργεί ένα χρονικό διάστημα μέσα στο οποίο ένα προστατευμένο recovery copy δεν μπορεί να αλλάξει ή να διαγραφεί σύμφωνα με τους κανόνες της πλατφόρμας.
Αυτό μπορεί να περιορίσει τις συνέπειες από:
- ransomware που επιχειρεί να διαγράψει backups,
- παραβιασμένα credentials με πρόσβαση στο backup environment,
- κακόβουλες ενέργειες χρηστών ή administrators,
- ανθρώπινο λάθος που διαφορετικά θα κατέστρεφε ένα recovery copy.
Η προστασία όμως δεν είναι απεριόριστη. Το επίπεδο ασφάλειας εξαρτάται από το πώς εφαρμόζεται το retention, ποιος μπορεί να αλλάξει τις σχετικές πολιτικές και ποιες εξαιρέσεις επιτρέπει η πλατφόρμα.
Immutable δεν σημαίνει Offline
Ένα immutable backup και ένα offline backup επιδιώκουν παρόμοιο στόχο — να διατηρηθεί ένα recovery copy που δεν καταστρέφεται εύκολα μαζί με το production environment — αλλά δεν είναι το ίδιο πράγμα.
Ένα offline αντίγραφο δεν είναι κανονικά προσβάσιμο από το ενεργό περιβάλλον. Ένα immutable αντίγραφο μπορεί να παραμένει online, αλλά οι προστατευμένες εκδόσεις του δεν μπορούν να τροποποιηθούν ή να διαγραφούν σύμφωνα με την ενεργή πολιτική.
Ανάλογα με τον κίνδυνο και τις απαιτήσεις ανάκτησης, μια επιχείρηση μπορεί να χρησιμοποιεί immutability μαζί με απομόνωση, offline copies ή άλλα προστατευμένα αντίγραφα. Η γενικότερη αρχιτεκτονική καλύπτεται στον οδηγό για τις στρατηγικές backup για επιχειρήσεις.
Τι δεν λύνει ένα Immutable Backup;
Η immutability προστατεύει τη δυνατότητα αλλαγής ή διαγραφής συγκεκριμένων backup δεδομένων. Δεν αποδεικνύει ότι τα δεδομένα που αποθηκεύτηκαν ήταν καθαρά ή ότι μπορούν πράγματι να χρησιμοποιηθούν για recovery.
Αν malware ή corrupted data έχουν ήδη εισέλθει στα backups, η immutability μπορεί απλώς να προστατεύει και αυτές τις εκδόσεις. Για αυτό χρειάζεται κατάλληλο retention history ώστε να υπάρχουν χρήσιμα recovery points πριν από το περιστατικό.
Επίσης, ένα immutable backup δεν εμποδίζει από μόνο του την κλοπή δεδομένων. Σύγχρονες επιθέσεις ransomware μπορούν να περιλαμβάνουν data exfiltration πριν από την κρυπτογράφηση. Η συνολική προστασία απαιτεί controls για identities, endpoints, δίκτυο, monitoring και incident response. Δείτε τον οδηγό της DataShield για πρόληψη, αντιμετώπιση και ανάκαμψη από ransomware.
Τι πρέπει να ελέγξει μια επιχείρηση;
Πριν θεωρήσετε μια λύση πραγματικά ransomware-resilient, ελέγξτε τουλάχιστον τα παρακάτω:
- Retention: Για πόσο χρόνο παραμένουν προστατευμένα τα recovery points και καλύπτει αυτό το διάστημα τις πραγματικές ανάγκες της επιχείρησης;
- Administrative controls: Ποιος μπορεί να αλλάξει ή να παρακάμψει τις πολιτικές προστασίας;
- Credential separation: Μπορούν τα ίδια credentials που διαχειρίζονται το production environment να καταστρέψουν και τα backups;
- Coverage: Είναι immutable όλα τα κρίσιμα recovery copies που θεωρείτε προστατευμένα ή μόνο συγκεκριμένα δεδομένα και εκδόσεις;
- Monitoring: Καταγράφονται αποτυχημένες προσπάθειες διαγραφής, αλλαγές πολιτικών και άλλες κρίσιμες administrative ενέργειες;
- Restore: Έχει δοκιμαστεί πραγματική επαναφορά από τα προστατευμένα αντίγραφα;
Ιδιαίτερη προσοχή χρειάζεται στο retention. Πολύ μικρό διάστημα μπορεί να μην καλύψει ένα περιστατικό που ανακαλύπτεται καθυστερημένα, ενώ λανθασμένα σχεδιασμένη υπερβολική διατήρηση μπορεί να αυξήσει το storage cost ή να δυσκολέψει τη διαχείριση δεδομένων.
Το Restore Testing παραμένει απαραίτητο
Η ύπαρξη immutable copy αποδεικνύει ότι εφαρμόζεται ένας μηχανισμός προστασίας από αλλαγή ή διαγραφή. Δεν αποδεικνύει ότι η επιχείρηση μπορεί να επαναφέρει εγκαίρως εφαρμογές, databases, virtual machines ή αρχεία σε λειτουργική κατάσταση.
Για αυτό το immutable backup πρέπει να αποτελεί μέρος μιας δοκιμασμένης διαδικασίας recovery. Ο οδηγός για backup verification και restore testing εξηγεί πώς ελέγχεται αν τα αντίγραφα μπορούν πράγματι να χρησιμοποιηθούν όταν χρειαστούν.
Άρα χρειάζεται Immutable Backup κάθε επιχείρηση;
Για μια επιχείρηση που εξαρτάται από ψηφιακά δεδομένα και πρέπει να μπορεί να ανακάμψει από ransomware ή άλλη καταστροφική ενέργεια, η προστασία τουλάχιστον ενός κατάλληλου recovery copy από μη εξουσιοδοτημένη διαγραφή ή τροποποίηση είναι σημαντική αρχή σχεδιασμού.
Το αν αυτό θα υλοποιηθεί με immutable cloud storage, object lock, offline αντίγραφα ή συνδυασμό μηχανισμών εξαρτάται από την υποδομή, τις απαιτήσεις recovery, το threat model και τη λύση backup που χρησιμοποιείται.
Η DataShield μπορεί να αξιολογήσει την υπάρχουσα αρχιτεκτονική backup μιας επιχείρησης, τα administrative access paths, το retention και τη διαδικασία restore, ώστε να εντοπιστεί αν ένα περιστατικό ransomware θα μπορούσε να επηρεάσει ταυτόχρονα production δεδομένα και recovery copies.
Συμπέρασμα
Το immutable backup δεν είναι ένα ακόμη αντίγραφο. Είναι ένας μηχανισμός που σχεδιάζεται ώστε ένα προστατευμένο recovery point να μην μπορεί να τροποποιηθεί ή να διαγραφεί για συγκεκριμένο διάστημα.
Αυτό το κάνει ιδιαίτερα χρήσιμο απέναντι σε ransomware και destructive attacks, αλλά μόνο ως μέρος μιας ευρύτερης στρατηγικής: σωστό retention, περιορισμένα administrative privileges, απομόνωση όπου απαιτείται, monitoring και πραγματικό restore testing.
