防范勒索軟件 做好應(yīng)對(duì)真實(shí)攻擊的準(zhǔn)備

W. Curtis Preston 陳琳華

避免向通過(guò)勒索軟件發(fā)起攻擊者支付贖金的最佳方法是對(duì)重要系統(tǒng)進(jìn)行充分備份，這樣當(dāng)系統(tǒng)受到感染后可以及時(shí)刪除它們，并從安全的備份中進(jìn)行恢復(fù)。用戶可以通過(guò)以下選項(xiàng)確保這些備份能夠發(fā)揮作用。

在本文中，備份指的是用戶將用于應(yīng)對(duì)勒索軟件攻擊的所有系統(tǒng)，包括老式備份系統(tǒng)、復(fù)制系統(tǒng)以及支持備份和災(zāi)難恢復(fù)的現(xiàn)代混合系統(tǒng)。為了簡(jiǎn)單起見(jiàn)，我們?cè)谶@里將它們統(tǒng)稱為備份。

遵循3-2-1規(guī)則備份所有內(nèi)容

在其他事情之前，備份所有的東西極為重要。用戶需要清楚自己的自動(dòng)備份系統(tǒng)能夠做哪些事情，是否能夠具有覆蓋所有的新系統(tǒng)、文件系統(tǒng)和數(shù)據(jù)庫(kù)的能力。在虛擬化世界中，這項(xiàng)工作非常簡(jiǎn)單，用戶可以將備份系統(tǒng)配置為一旦有虛擬機(jī)出現(xiàn)就自動(dòng)備份主機(jī)上的所有虛擬機(jī)。備份工作也可以基于標(biāo)記的內(nèi)含物，其中不同類(lèi)型的虛擬機(jī)可以根據(jù)其“包含的”標(biāo)記被自動(dòng)包含進(jìn)來(lái)。在備份系統(tǒng)當(dāng)中，自動(dòng)化的最佳用途之一是自動(dòng)包含所有內(nèi)容。

用戶要確保在自己的備份系統(tǒng)中嚴(yán)格遵循3-2-1規(guī)則。在該規(guī)則規(guī)定要在兩種不同的媒介上至少要存儲(chǔ)三份數(shù)據(jù)拷貝或是三個(gè)版本的數(shù)據(jù)，其中一份要是離線的。其精髓是將三份拷貝中的兩份拷貝和另外一份拷貝分別存儲(chǔ)在不同的系統(tǒng)和不同的位置，不要將備份存儲(chǔ)在與主系統(tǒng)相同的位置，將它們存儲(chǔ)在不同的操作系統(tǒng)和物理位置上更好，但是在現(xiàn)實(shí)世界中可能無(wú)法一直做到這一點(diǎn)。

備份系統(tǒng)應(yīng)該有某種類(lèi)型的自動(dòng)報(bào)告功能，這樣用戶就可以確定正在進(jìn)行的備份是真實(shí)有效的。這些功能應(yīng)該包括成功報(bào)告和失敗報(bào)告。第三方監(jiān)控系統(tǒng)可能是最佳選擇，因?yàn)樗鼈兛梢圆粩嗟夭榭此械臇|西，并指出在何時(shí)備份存在異常。帶有機(jī)器學(xué)習(xí)的報(bào)告系統(tǒng)是最為理想的選擇，因?yàn)樗鼈兛梢酝怀鲲@示發(fā)現(xiàn)的問(wèn)題。與每天從備份系統(tǒng)中讀取幾十或幾百封電子郵件以確保正常的做法相比，這顯然要輕松許多。

災(zāi)難恢復(fù)應(yīng)排在首位

備份和災(zāi)難恢復(fù)系統(tǒng)應(yīng)該是計(jì)算環(huán)境中最安全的系統(tǒng)之一。它們應(yīng)當(dāng)難以進(jìn)入和登錄。即便是以管理員身份或是root方式也應(yīng)當(dāng)難以登錄。我們建議備份系統(tǒng)支持基于角色的管理，以便用戶可以以自己的身份登錄并運(yùn)行備份。用戶不應(yīng)通過(guò)root或以管理員身份運(yùn)行備份。因?yàn)檫@樣登錄是非常危險(xiǎn)的，應(yīng)當(dāng)盡可能對(duì)此加以限制。

備份和災(zāi)難恢復(fù)系統(tǒng)必須是最新系統(tǒng)。安全補(bǔ)丁應(yīng)首先安裝在那里，而不是最后才安裝，因?yàn)閭浞莺蜑?zāi)難恢復(fù)系統(tǒng)是最后一道防線。用戶必須確保其沒(méi)有受到數(shù)周前就應(yīng)修補(bǔ)的安全漏洞的影響。

如果用戶對(duì)服務(wù)器有物理訪問(wèn)權(quán)限，那么所有關(guān)于數(shù)據(jù)完整性和不變性的說(shuō)法都是蒼白的，因此用戶必須要確保備份服務(wù)器難以被物理訪問(wèn)。備份服務(wù)器應(yīng)被設(shè)置在不同的房間，且這些機(jī)房也需要設(shè)置不同的進(jìn)入權(quán)限，或是設(shè)置在并非每個(gè)人都有鑰匙的機(jī)架內(nèi)。另一個(gè)好辦法是將備份系統(tǒng)完全從數(shù)據(jù)中心中獨(dú)立出去，將它們放在云端。

加密所有內(nèi)容

所有備份通信都應(yīng)加密，因此用戶需確保自己的備份提供商加密了系統(tǒng)之間的通信。這意味著，在用戶遇到了高級(jí)持久性威脅時(shí)，即便對(duì)方對(duì)網(wǎng)絡(luò)進(jìn)行了嗅探，也無(wú)法識(shí)別備份服務(wù)器或發(fā)現(xiàn)他們?cè)诟墒裁?。這可以有效防止備份系統(tǒng)受到勒索軟件的攻擊。

除了加密正在通信中的備份數(shù)據(jù)外，用戶還應(yīng)加密處于靜止?fàn)顟B(tài)的所有備份數(shù)據(jù)，特別是當(dāng)數(shù)據(jù)存儲(chǔ)在物理控制之外的位置時(shí)。這包括用戶需要隨時(shí)交付的磁帶，還包括存儲(chǔ)在云提供商網(wǎng)絡(luò)中的數(shù)據(jù)，因?yàn)榧词顾鼈兎浅０踩?，但是仍然沒(méi)有達(dá)到高枕無(wú)憂的狀態(tài)。用戶應(yīng)確保備份數(shù)據(jù)不被攻擊者用于深入滲透網(wǎng)絡(luò)和發(fā)動(dòng)攻擊。

基于業(yè)務(wù)需求構(gòu)建災(zāi)難恢復(fù)

經(jīng)過(guò)良好測(cè)試的災(zāi)難恢復(fù)系統(tǒng)是抵御勒索軟件攻擊的最佳防御。設(shè)計(jì)糟糕的系統(tǒng)最終會(huì)導(dǎo)致用戶受到勒索攻擊并不得不支付贖金。

災(zāi)難恢復(fù)系統(tǒng)應(yīng)該建立在業(yè)務(wù)需求的基礎(chǔ)上。在決定如何滿足這些需求之前，用戶應(yīng)對(duì)恢復(fù)時(shí)間目標(biāo)（RTO）和恢復(fù)點(diǎn)目標(biāo)（RPO）等需求展開(kāi)充分的討論。首先要確定RTO和RPO，然后再根據(jù)這些需求設(shè)計(jì)備份和災(zāi)難恢復(fù)系統(tǒng)。

進(jìn)行嚴(yán)格測(cè)試

有新聞報(bào)道稱，德克薩斯州奧斯汀市在全州停電期間長(zhǎng)時(shí)間停水的原因是水廠中的工作人員沒(méi)有人知道如何打開(kāi)備用發(fā)電機(jī)。我們要引以為戒，不要成為一家擁有完美的備份和災(zāi)難恢復(fù)系統(tǒng)卻不知道如何使用它們的公司。如今數(shù)據(jù)面臨著眾多風(fēng)險(xiǎn)，用戶必須遵循以下建議：經(jīng)常測(cè)試自己的災(zāi)難恢復(fù)系統(tǒng)。

好消息是，大多數(shù)現(xiàn)代備份和災(zāi)難恢復(fù)系統(tǒng)都支持對(duì)整個(gè)系統(tǒng)進(jìn)行頻繁測(cè)試。用戶可以根據(jù)需要隨時(shí)在沙箱中打開(kāi)整個(gè)數(shù)據(jù)中心，以便了解它們的實(shí)際工作方式。至少每季度做一次測(cè)試。測(cè)試需要幾個(gè)小時(shí)并且很無(wú)聊，但是這樣可以證明它們能夠正常工作。雖然每季度測(cè)試一次很煩，但是當(dāng)面對(duì)勒索攻擊需要進(jìn)行恢復(fù)時(shí)，用戶就可從容進(jìn)行操作了。

每次運(yùn)行測(cè)試時(shí)，測(cè)試人員需要進(jìn)行輪換。測(cè)試人員不應(yīng)該是設(shè)計(jì)系統(tǒng)的人，也不應(yīng)該是每天使用系統(tǒng)的人。他們必須技術(shù)熟練，并可以獲得相應(yīng)的技術(shù)文檔。這是確認(rèn)系統(tǒng)和文檔都正常工作的最佳方法。

災(zāi)難恢復(fù)系統(tǒng)可以在遇到勒索軟件攻擊后讓整個(gè)數(shù)據(jù)中心迅速重新上線，這是避免支付勒索贖金的唯一方法。

本文作者W.Curtis Preston為備份、存儲(chǔ)和恢復(fù)領(lǐng)域?qū)＜?，?993年以來(lái)一直從事該方面的工作，最近加入了基于云的數(shù)據(jù)保護(hù)公司Druva的團(tuán)隊(duì)。

原文網(wǎng)址

https：//www.networkworld.com/article/3611808/ransomware-how-to-make-sure-backups-are-ready-for-a-real-attack.html