Киберустойчивость бизнеса в Казахстане: как защитить резервные копии от ransomware и восстановить данные после атаки 

У компании, которую атаковал шифровальщик, по сути два пути вернуть данные: восстановить их из резервных копий или заплатить выкуп. Злоумышленники понимают это не хуже ИТ-директора. Поэтому современная атака почти всегда идёт не только на рабочие серверы, но и на систему резервного копирования. Если бэкапы уничтожены или зашифрованы, переговорная позиция компании резко слабеет. 

Отсюда меняется и сам вопрос. Раньше спрашивали: «Есть ли у нас резервные копии?» Сегодня важнее другое: переживут ли они атаку и за какое время из них можно поднять бизнес. Ответ на него и определяет киберустойчивость бизнеса. 

Для компаний в Казахстане логика та же. Чем больше бизнес-процессов работает в цифровой среде, тем дороже обходится каждый час простоя ключевых систем, и тем важнее, чтобы данные можно было вернуть быстро и гарантированно. 

Исследование Sophos 2024 года, в котором участвовали 2974 организации, пострадавшие от ransomware, наглядно показывает, что происходит с резервными копиями во время атаки: 

• 94% компаний сообщили, что злоумышленники пытались скомпрометировать их резервные копии. 

• 57% таких попыток оказались успешными. 

• Медианное требование выкупа при скомпрометированных бэкапах составило $2,3 млн против $1 млн, когда копии уцелели. 

• Компании со скомпрометированными копиями платили выкуп почти вдвое чаще: 67% против 36%. 

• Общие затраты на восстановление оказались в восемь раз выше: медиана $3 млн против $375 тыс. 

Выводы для бизнеса из этих цифр очевидны. Защита резервных копий от ransomware напрямую влияет на то, придётся ли платить выкуп, сколько будет стоить восстановление и сколько времени компания проведёт в простое. 

NIST определяет cyber resilience как способность предвидеть неблагоприятные условия, атаки и компрометации, выдерживать их, восстанавливаться после них и адаптироваться к ним. В этом определении важна последовательность: киберустойчивость не обещает, что атака не случится. Она означает, что бизнес продолжит работать или быстро вернётся к работе, даже если атака прошла.

Для резервного копирования из этого следуют три практических требования. Копии должны быть защищены от изменения и удаления, изолированы от основной инфраструктуры и проверены на пригодность к восстановлению до того, как они понадобятся.

Неизменяемые резервные копии и правило 3-2-1-1

Неизменяемые резервные копии (immutable backups) работают по модели WORM — «записал один раз, читай многократно». В течение заданного срока хранения такую копию нельзя изменить или удалить. В защищённых репозиториях и строгих режимах блокировки это ограничение действует даже для администратора. В таком режиме шифровальщик, получивший доступ к консоли, не сможет стереть копию.

Второй механизм — изоляция (air gap). Физическая изоляция означает копию на ленте или отключённом носителе. Логическая изоляция означает копию, к которой у основной инфраструктуры нет прямого доступа.

Оба механизма объединяет правило 3-2-1-1, которое закладывает в свои рекомендации NAKIVO:

Помимо самих копий, есть ещё один уровень защиты, о котором часто забывают: доступ к системе резервного копирования. Sophos отдельно рекомендует включать многофакторную аутентификацию для учётных записей облачного резервного копирования и отслеживать подозрительную активность вокруг бэкапов. Такая активность может указывать на то, что злоумышленники уже пытаются добраться до резервных копий.

Самая неприятная ошибка — восстановить систему из копии, в которой уже есть вредоносный код. Атакующие могут проникнуть в сеть задолго до начала шифрования, поэтому часть свежих точек восстановления может оказаться заражена. Именно поэтому восстановление после ransomware выстраивают как контролируемый процесс: 

1. Изолировать затронутые системы и остановить распространение атаки. 
2. Определить последнюю чистую точку восстановления, опираясь на данные расследования. 
3. Проверить резервные копии на вредоносное ПО до восстановления — в изолированной среде, а не в рабочей сети. 
4. Восстанавливать системы в порядке их критичности для бизнеса, начиная с тех, без которых не работают ключевые процессы. 
5. Сменить учётные данные, которые могли быть скомпрометированы, прежде чем возвращать системы в работу. 

Скорость здесь решает многое. В том же исследовании Sophos только 26% компаний со скомпрометированными бэкапами полностью восстановились в течение недели. Среди тех, чьи копии уцелели, таких было 46%. Отдельный совет Sophos — регулярно тренироваться в восстановлении: чем привычнее процесс команде, тем быстрее он пройдёт в реальной ситуации. 

NAKIVO Backup & Replication — программное решение для резервного копирования, репликации и восстановления физических, виртуальных, облачных и SaaS-сред. По данным iiTD, его используют более 19 000 компаний в более чем 140 странах. Для заказчиков, которые выбирают NAKIVO в Казахстане, ключевое значение имеют функции защиты от ransomware: 

• Неизменяемые копии в локальных Linux-репозиториях, в Amazon S3, Wasabi, Backblaze B2, Azure Blob и других S3-совместимых хранилищах с Object Lock. 

• Защищённый виртуальный модуль (hardened VA) или AMI со встроенным неизменяемым репозиторием, который не требует отдельной настройки. 

• Изолированные копии на ленте, отключаемых NAS и USB-носителях. 

• Проверка резервных копий на вредоносное ПО перед восстановлением. 

• Шифрование AES-256, двухфакторная аутентификация и ролевая модель доступа. 

• Репликация виртуальных машин и оркестрация аварийного восстановления. 

На практике это позволяет выстроить защиту бэкапов от шифровальщика силами одного продукта: от неизменяемой локальной копии до облачного архива и ленты. Подробнее о возможностях NAKIVO Backup — на странице NAKIVO. 

Когда объём резервных копий измеряется сотнями терабайт и петабайтами, на первый план выходит производительность хранилища и гарантированное время восстановления. InfiniGuard от Infinidat — специализированный программно-аппаратный комплекс для хранения резервных копий, который работает с распространённым ПО резервного копирования. 

Основу InfiniGuard security составляет набор технологий InfiniSafe: 

• неизменяемые снапшоты, которые нельзя изменить или удалить; 

• логическая изоляция, локальная или удалённая; 

• изолированная среда (fenced forensic environment), в которой копии можно проверить на вредоносное ПО, не затрагивая рабочую инфраструктуру; 

• практически мгновенное восстановление проверенных данных. 

Infinidat гарантирует восстановление репозитория резервных копий InfiniGuard за 20 минут или быстрее независимо от его объёма. Для крупной компании это превращает InfiniGuard решение из «ещё одной системы хранения» в инструмент с измеримым временем возврата к работе. iiTD — официальный дистрибьютор InfiniGuard и других решений Infinidat в Казахстане. В комплект поставки решений Infinidat входят круглосуточная техническая поддержка, инсталляция системы и обучение администраторов. Подробности о продукте — на странице InfiniGuard. 

Эти решения закрывают разные уровни задачи, поэтому выбор зависит прежде всего от масштаба данных и требований ко времени восстановления.

Защищённые резервные копии не отменяют остальные меры безопасности, но именно они определяют исход атаки, если остальные меры не сработали. Неизменяемость, изоляция, контроль доступа и проверенный процесс восстановления превращают бэкап из формальности в реальный инструмент киберустойчивости бизнеса. 

Когда вы последний раз восстанавливали критичную систему из резервной копии — не на бумаге, а на практике? Если ответ «давно» или «никогда», начните с проверки. Закажите у iiTD демонстрацию NAKIVO Backup & Replication или InfiniGuard — и оцените, сколько времени займёт восстановление именно в вашей инфраструктуре.