防范勒索软件 做好应对真实攻击的准备

W. Curtis Preston 陈琳华

避免向通过勒索软件发起攻击者支付赎金的最佳方法是对重要系统进行充分备份，这样当系统受到感染后可以及时删除它们，并从安全的备份中进行恢复。用户可以通过以下选项确保这些备份能够发挥作用。

在本文中，备份指的是用户将用于应对勒索软件攻击的所有系统，包括老式备份系统、复制系统以及支持备份和灾难恢复的现代混合系统。为了简单起见，我们在这里将它们统称为备份。

遵循3-2-1规则备份所有内容

在其他事情之前，备份所有的东西极为重要。用户需要清楚自己的自动备份系统能够做哪些事情，是否能够具有覆盖所有的新系统、文件系统和数据库的能力。在虚拟化世界中，这项工作非常简单，用户可以将备份系统配置为一旦有虚拟机出现就自动备份主机上的所有虚拟机。备份工作也可以基于标记的内含物，其中不同类型的虚拟机可以根据其“包含的”标记被自动包含进来。在备份系统当中，自动化的最佳用途之一是自动包含所有内容。

用户要确保在自己的备份系统中严格遵循3-2-1规则。在该规则规定要在两种不同的媒介上至少要存储三份数据拷贝或是三个版本的数据，其中一份要是离线的。其精髓是将三份拷贝中的两份拷贝和另外一份拷贝分别存储在不同的系统和不同的位置，不要将备份存储在与主系统相同的位置，将它们存储在不同的操作系统和物理位置上更好，但是在现实世界中可能无法一直做到这一点。

备份系统应该有某种类型的自动报告功能，这样用户就可以确定正在进行的备份是真实有效的。这些功能应该包括成功报告和失败报告。第三方监控系统可能是最佳选择，因为它们可以不断地查看所有的东西，并指出在何时备份存在异常。带有机器学习的报告系统是最为理想的选择，因为它们可以突出显示发现的问题。与每天从备份系统中读取几十或几百封电子邮件以确保正常的做法相比，这显然要轻松许多。

灾难恢复应排在首位

备份和灾难恢复系统应该是计算环境中最安全的系统之一。它们应当难以进入和登录。即便是以管理员身份或是root方式也应当难以登录。我们建议备份系统支持基于角色的管理，以便用户可以以自己的身份登录并运行备份。用户不应通过root或以管理员身份运行备份。因为这样登录是非常危险的，应当尽可能对此加以限制。

备份和灾难恢复系统必须是最新系统。安全补丁应首先安装在那里，而不是最后才安装，因为备份和灾难恢复系统是最后一道防线。用户必须确保其没有受到数周前就应修补的安全漏洞的影响。

如果用户对服务器有物理访问权限，那么所有关于数据完整性和不变性的说法都是苍白的，因此用户必须要确保备份服务器难以被物理访问。备份服务器应被设置在不同的房间，且这些机房也需要设置不同的进入权限，或是设置在并非每个人都有钥匙的机架内。另一个好办法是将备份系统完全从数据中心中独立出去，将它们放在云端。

加密所有内容

所有备份通信都应加密，因此用户需确保自己的备份提供商加密了系统之间的通信。这意味着，在用户遇到了高级持久性威胁时，即便对方对网络进行了嗅探，也无法识别备份服务器或发现他们在干什么。这可以有效防止备份系统受到勒索软件的攻击。

除了加密正在通信中的备份数据外，用户还应加密处于静止状态的所有备份数据，特别是当数据存储在物理控制之外的位置时。这包括用户需要随时交付的磁带，还包括存储在云提供商网络中的数据，因为即使它们非常安全，但是仍然没有达到高枕无忧的状态。用户应确保备份数据不被攻击者用于深入渗透网络和发动攻击。

基于业务需求构建灾难恢复

经过良好测试的灾难恢复系统是抵御勒索软件攻击的最佳防御。设计糟糕的系统最终会导致用户受到勒索攻击并不得不支付赎金。

災难恢复系统应该建立在业务需求的基础上。在决定如何满足这些需求之前，用户应对恢复时间目标（RTO）和恢复点目标（RPO）等需求展开充分的讨论。首先要确定RTO和RPO，然后再根据这些需求设计备份和灾难恢复系统。

进行严格测试

有新闻报道称，德克萨斯州奥斯汀市在全州停电期间长时间停水的原因是水厂中的工作人员没有人知道如何打开备用发电机。我们要引以为戒，不要成为一家拥有完美的备份和灾难恢复系统却不知道如何使用它们的公司。如今数据面临着众多风险，用户必须遵循以下建议：经常测试自己的灾难恢复系统。

好消息是，大多数现代备份和灾难恢复系统都支持对整个系统进行频繁测试。用户可以根据需要随时在沙箱中打开整个数据中心，以便了解它们的实际工作方式。至少每季度做一次测试。测试需要几个小时并且很无聊，但是这样可以证明它们能够正常工作。虽然每季度测试一次很烦，但是当面对勒索攻击需要进行恢复时，用户就可从容进行操作了。

每次运行测试时，测试人员需要进行轮换。测试人员不应该是设计系统的人，也不应该是每天使用系统的人。他们必须技术熟练，并可以获得相应的技术文档。这是确认系统和文档都正常工作的最佳方法。

灾难恢复系统可以在遇到勒索软件攻击后让整个数据中心迅速重新上线，这是避免支付勒索赎金的唯一方法。

本文作者W.Curtis Preston为备份、存储和恢复领域专家，自1993年以来一直从事该方面的工作，最近加入了基于云的数据保护公司Druva的团队。

原文网址

https：//www.networkworld.com/article/3611808/ransomware-how-to-make-sure-backups-are-ready-for-a-real-attack.html