Ako danas pitate većinu organizacija kako se štite od ransomwarea, vrlo često ćete dobiti isti odgovor.

“Imamo backup.”

Prije nekoliko godina to je u velikom broju slučajeva bilo dovoljno. Napadač bi šifrirao poslužitelje, organizacija bi vratila podatke iz backupa i nastavila raditi.

Danas više nije tako. Ransomware grupe odavno su shvatile da je backup najveća prepreka ucjeni. Ako organizacija može vratiti podatke u nekoliko sati, razlog za plaćanje otkupnine gotovo nestaje. Zato suvremeni napadi više nisu usmjereni samo na produkcijske sustave. Sve češće ciljaju i backup infrastrukturu. Napadač ne želi samo šifrirati vaše podatke. Želi vam oduzeti mogućnost da ih vratite. Zato pitanje više nije imate li backup. Pitanje je može li backup preživjeti napad. Tu razliku mnoge organizacije otkriju tek kada bude prekasno.

Jedan od najčešćih scenarija izgleda sasvim uobičajeno. Napadač kompromitira korisnički račun, proširi pristup unutar mreže i dođe do administratorskih privilegija. Nakon toga više ga ne zanimaju korisnička računala. Traži Active Directory, virtualizacijsku infrastrukturu, backup servere i repozitorije. Ako backup koristi istu domenu, iste administratorske račune ili se nalazi u istoj mreži kao produkcijski sustavi, vrlo je vjerojatno da će postati dio istog incidenta.

U tom trenutku backup još uvijek postoji. Samo više nije dostupan. U praksi upravo to čini razliku između incidenta od nekoliko sati i incidenta koji traje danima ili tjednima. Nije neuobičajeno da napadači prije pokretanja ransomwarea danima istražuju infrastrukturu. Zanima ih kako je mreža organizirana, gdje se nalaze backup sustavi, koriste li administratori iste vjerodajnice i mogu li obrisati ili šifrirati backup kopije. Ako to otkriju prije nego što pokrenu ransomware, organizacija vrlo brzo ostaje bez mogućnosti brzog oporavka.

Zbog toga se sve više govori o izolaciji backup infrastrukture. To ne znači samo imati backup na drugom uređaju ili drugoj lokaciji. Izolacija znači da kompromitacija produkcijskog okruženja ne smije automatski značiti i kompromitaciju backupa. To podrazumijeva odvojene administratorske račune, ograničenu mrežnu komunikaciju, zasebne privilegije i, gdje god je moguće, immutable backup kopije koje nije moguće jednostavno izmijeniti ili obrisati. Cilj nije zakomplicirati administraciju, nego osigurati posljednju liniju obrane kada sve ostalo zakaže.

AresISEC u praksi često vidi organizacije koje ulažu značajna sredstva u kvalitetna backup rješenja, ali vrlo malo pažnje posvećuju njihovoj zaštiti. Backup radi, redovito se izvršava i izvještaji izgledaju uredno. Problem nastaje kada se pokaže da napadač do backup infrastrukture može doći gotovo jednako lako kao i administrator. To nije problem backup softvera. To je problem dizajna infrastrukture.

Dobar početak nisu novi alati ni nova licenca. Dobar početak su jednostavna pitanja.

Može li kompromitirani administratorski račun obrisati backup?

Koristi li backup ista pravila autentikacije kao produkcija?

Može li korisnik kompromitiran phishingom, uz dovoljno vremena, doći do backup infrastrukture?

Kada je posljednji put testiran potpuni oporavak cijelog sustava, a ne samo pojedinačne datoteke?

I možda najvažnije: koliko ste sigurni da će backup ostati netaknut ako ostatak infrastrukture bude kompromitiran?

Odgovori na ta pitanja često govore više o stvarnoj otpornosti organizacije nego popis tehnologija koje koristi. Takav pristup više nije samo preporuka sigurnosne struke. ISO 27001 zahtijeva odgovarajuće kontrole za backup, mogućnost oporavka i redovito testiranje kako bi organizacija mogla održati kontinuitet poslovanja. NIS2 dodatno naglašava važnost upravljanja backupovima, disaster recoveryja i operativne otpornosti kao dijela upravljanja kibernetičkim rizicima. Sve veću važnost ovom području daje i Cyber Resilience Act. Iako se najčešće spominje u kontekstu razvoja softvera, njegova je poruka šira. Organizacije koje razvijaju proizvode s digitalnim elementima morat će dokazati da je sigurnost ugrađena tijekom cijelog životnog ciklusa proizvoda. To uključuje upravljanje ranjivostima, sigurnosna ažuriranja i sposobnost pouzdanog oporavka nakon sigurnosnog incidenta. Većina odredbi CRA-a počet će se primjenjivati krajem 2027. godine, dok određene obveze, poput prijave aktivno iskorištenih ranjivosti i incidenata, dolaze ranije. Za dio organizacija to znači da backup i recovery više neće biti samo operativna odgovornost IT odjela, nego i regulatorni zahtjev.

Ransomware na kraju ne testira kvalitetu vašeg backup softvera. Testira način na koji je projektirana cijela infrastruktura. Backup koji napadač može jednako lako kompromitirati kao i produkciju nije posljednja linija obrane. On je samo još jedan sustav u istoj mreži.

Izvori:
CISA – Stop Ransomware Guide

ISO – ISO/IEC 27001 Information Security Management

European Union – NIS2 Directive

European Union – Cyber Resilience Act (Regulation (EU) 2024/2847)