Операторы вымогательского ПО адаптировались к корпоративной защите, атакуя сначала инфраструктуру резервного копирования: удаляя снимки, отключая задания репликации и шифруя резервные хранилища вместе с производственными системами. Организация, полагающая, что ночное резервное копирование гарантирует восстановление, часто обнаруживает во время реального инцидента, что это предположение было проверено и опровергнуто.
Проектирование резервных копий, устойчивых к атаке
Устойчивое восстановление опирается на неизменяемость и изоляцию: хранилище с однократной записью, которое нельзя изменить или удалить в течение периода хранения, и как минимум одна копия, хранящаяся офлайн или в отдельном административном домене от производственной идентификации. Учётные данные резервного копирования никогда не должны иметь то же доверие каталога, что и защищаемые ими системы.
Целевые показатели времени восстановления мало значат без тестирования. Предприятиям следует регулярно проводить учения по полному восстановлению, измеряя, сколько времени реально требуется для возврата критичных систем из резервной копии в реалистичных условиях.
JIG проектирует архитектуры резервного копирования и восстановления как самостоятельную меру безопасности, чтобы атака вымогательского ПО становилась восстановимым инцидентом, а не экзистенциальной угрозой.