Moderne Ransomware verschlüsselt nicht und hofft. Sie sucht zuerst die Sicherungen, denn ein Opfer, das wiederherstellen kann, zahlt nicht. Verbundene Laufwerke, eingehängte Netzfreigaben, Cloud-Zugangsdaten in einer Konfigurationsdatei: all das wird gefunden und zerstört, bevor überhaupt etwas verschlüsselt wird.

3-2-1, und warum jede Zahl darin steht

  • 3 Kopien - die lebenden Daten und zwei Sicherungen, damit nach dem Verlust einer noch eine Kopie bleibt.
  • 2 verschiedene Medien oder Anbieter - ein Anbieterausfall oder eine gesperrte Konto nimmt nicht alles mit.
  • 1 außer Haus und außer Reichweite - die Kopie, die der kompromittierte Server nicht löschen kann.

Was "außer Reichweite" praktisch heißt

# the server holds a key that can write and cannot delete
{
  "Effect": "Allow",
  "Action": ["s3:PutObject"],
  "Resource": "arn:aws:s3:::backups/*"
}
# object lock or versioning on the bucket, managed elsewhere

Eine Sicherung, die der Server löschen kann, ist eine Sicherung, die der Angreifer löschen kann - denn in diesem Moment ist er der Server.

Die Falle der eingehängten Freigabe

Eine dauerhaft auf dem Server eingehängte Netzfreigabe ist kein Sicherungsziel. Sie ist ein Ordner, und alles, was an Ihre Dateien kommt, kommt auch an sie. Hängen Sie sie für die Kopie ein, danach wieder aus - oder schieben Sie zu etwas, das nur Schreibvorgänge annimmt.

Die Aufbewahrung muss die Entdeckung überdauern

Die Verschlüsselung wird oft Wochen nach dem Einbruch ausgelöst. Sieben Tage Aufbewahrung heißt, dass jede Kopie, die Sie haben, entstand, als sie längst drin waren. Halten Sie Monatskopien ein Jahr lang.

Und die Wiederherstellung testen

Der Moment, in dem Sie sie brauchen, ist der denkbar schlechteste, um zu merken, dass das Archiv abgeschnitten ist oder der Dump nicht importiert. Stellen Sie regelmäßig eine auf einer Ersatzmaschine wieder her - siehe eine Wiederherstellung testen und wenn auch die Sicherung beschädigt ist.