Varmuuskopiot, jotka selviävät kiristyshaittaohjelmista

Moduuli 6: Varmuuskopiot · Lukuaika: 10 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat järjestää varmuuskopion, jota hyökkääjä ei pysty salaamaan tai poistamaan, valitsemalla offline-kopion, muuttumattoman tallennustilan, sopivan säilytysajan version ja erillisen kirjautumisen varmuuskopiolle.
Keskeiset käsitteet: offline-varmuuskopio, air gap, muuttumaton (immutable), object lock, versionhallinta, erillinen kirjautuminen varmuuskopiolle, säilytysaika

Miksi tavallinen varmuuskopio ei useinkaan riitä

Oppitunnilla 1.3 näit, miten kiristyshaittaohjelma toimii: joku pääsee sisään, katselee ympärilleen ja salaa sitten kerralla kaiken, mihin pääsee käsiksi. "Kaikki, mihin hän pääsee käsiksi" on ydinongelma. Jos varmuuskopiosi on verkkolevyllä, joka on aina kiinni koneessasi asemakirjaimena, kiristyshaittaohjelmalle se on vain kansio tiedostoja. Se salataan yhtä lailla kuin alkuperäinenkin.

Yhdysvaltain kyberturvallisuusvirasto CISA kirjoittaa kiristyshaittaohjelmaoppaassaan, että monet kiristyshaittaohjelmat etsivät aktiivisesti saavutettavissa olevia varmuuskopioita poistaakseen tai salatakseen ne. Hyökkääjä, jolla on hallussaan ylläpitäjän tunnukset, voi lisäksi kirjautua varmuuskopio-ohjelmaasi tai pilvipalveluusi ja poistaa varmuuskopiot sieltä. Siksi kiristyshaittaohjelmia kestävä varmuuskopio vaatii enemmän kuin "kopio on olemassa". Sen pitää olla sellaisen henkilön ulottumattomissa, joka on kaapannut tietokoneesi tai tilisi.

Tähän on kolme keinoa, ja niitä kannattaa mieluiten yhdistää:

1. varmuuskopio ei ole yhteydessä (offline);
2. varmuuskopiota ei voi muuttaa tai poistaa, ei edes ylläpitäjä (muuttumaton);
3. varmuuskopio on eri kirjautumisen takana kuin päivittäinen työsi.

Offline: levy laatikossa

**Offline-varmuuskopio** on kopio, joka irrotetaan verkosta tekemisen jälkeen. Yksinkertaisin esimerkki on ulkoinen kiintolevy, jonka irrotat kannettavasta varmuuskopioinnin jälkeen ja laitat laatikkoon tai kassakaappiin. Kiristyshaittaohjelma voi salata vain sen, mihin se pääsee käsiksi, eikä laatikossa oleva levy ole saavutettavissa. Englanninkielinen termi on **air gap**: varmuuskopion ja verkkosi välissä on kirjaimellisesti ilmaa.

Alankomaiden NCSC antaa saman neuvon: pidä varmuuskopio irti tietokoneestasi, koska muuten kiristyshaittaohjelma voi salata senkin mukana.

Offline-varmuuskopioiden sudenkuopat:

• Unohtuminen. Käsin tehtävä varmuuskopio jää tekemättä muutaman kiireisen viikon jälkeen. Merkitse kalenteriin kiinteä päivä ja käytä kahta levyä vuorotellen, jotta aina yksi niistä on muualla.
• Levyn pitäminen jatkuvasti kytkettynä. Levy, joka jätetään "mukavuussyistä" kiinni, ei ole enää offline-varmuuskopio.
• Salaamattomuus. Irrallinen levy, jolla on koko kirjanpitosi, on tietoturvaloukkaus, jos se varastetaan. Ota salaus käyttöön (katso oppitunti 5.2) ja säilytä avain eri paikassa kuin levy.

Muuttumaton: immutable ja object lock

**Muuttumatonta varmuuskopiota** (engl. **immutable**) ei voi kukaan muuttaa tai poistaa asetetun ajanjakson aikana. Ei edes se, jolla on salasanasi. Ei edes ylläpitäjä.

Pilvitallennuksessa tekniikkaa kutsutaan usein **object lockiksi**. Erään suuren palveluntarjoajan dokumentaatio kuvaa sitä ilmauksella *write once, read many*: tiedosto kirjoitetaan kerran, ja sen jälkeen sitä voi vain lukea, kunnes säilytysaika päättyy. Yleensä tarjolla on kaksi tilaa:

Monet varmuuskopio-ohjelmat ja -palvelut tarjoavat muuttumatonta tallennustilaa nimillä kuten "immutable back-up", "lukittu varmuuskopio" tai "WORM". Valitessasi kiinnitä huomiota kolmeen asiaan:

• Kuinka pitkä lukitus on? 7 päivän lukitus ei suojaa sinua, jos huomaat hyökkäyksen vasta kolmen viikon kuluttua.
• Kuka voi poistaa lukituksen? Jos voit tehdä sen samalla tilillä, jolla kirjaudut päivittäin, hyökkääjäkin voi tehdä niin.
• Mitä se maksaa? Muuttumattomuus tarkoittaa myös sitä, ettet voi siivota sitä pois. CISA varoittaa, että väärä asetus voi aiheuttaa suuria kustannuksia. Aloita pienestä ja testaa.

Versiot ja säilytysaika: kuinka kauas taaksepäin pääset?

Eilisen varmuuskopio auttaa vain, jos eilen kaikki oli vielä kunnossa. Kiristyshaittaohjelma odottaa toisinaan jonkin aikaa ennen iskemistä, ja erehdyksen (poistetun kansion, ylikirjoitetun hintalistan) huomaat joskus vasta viikkojen kuluttua. Siksi tarvitset **versioita**: useita varmuuskopiointihetkiä rinnakkain. **Säilytysaika** (myös **retentio**) määrittää, kuinka kauas taaksepäin voit palata. Alankomaiden NCSC kuvaa asiaa näin: retentio kertoo, kuinka kauas varmuuskopion historiassa voit palata.

Yleinen malli on harventaminen: päivittäinen varmuuskopio säilytetään muutama viikko, viikoittainen muutama kuukausi, ja kuukausittainen pidempään. Näin pääset kauas taaksepäin ilman satoja täydellisiä kopioita.

Kysymyksiä säilytysajan valitsemiseksi:

• Kuinka nopeasti yleensä huomaat, että jokin on vialla? Katso aiempia erehdyksiä.
• Onko olemassa lakisääteisiä säilytysvelvoitteita, kuten kirjanpidolle? Varmuuskopio on eri asia kuin arkisto: arkistoa säilytetään vuosia kiinteässä paikassa, varmuuskopio kiertää.
• Kuinka paljon tallennustila maksaa? Pidempi säilytys maksaa enemmän.

Erillinen kirjautuminen varmuuskopiolle

Kolmas toimenpide on halvin ja unohtuu useimmin. Jos varmuuskopiopalvelusi, pilvitallennuksesi ja sähköpostisi toimivat kaikki samalla tilillä, ja se tili kaapataan (oppitunti 1.4), hyökkääjä saa kaiken kerralla.

• Käytä varmuuskopiopalvelulle tai -ohjelmalle **omaa tiliä** omalla, ainutlaatuisella salasanalla salasanojen hallintaohjelmasta, ja ota käyttöön kaksivaiheinen tunnistautuminen.
• Älä käytä kyseistä tiliä **päivittäiseen työhön** äläkä kirjaudu sillä koneeseen, jolla luet sähköpostia ja selaat verkkoa.
• Anna varmuuskopio-ohjelman, jos mahdollista, vain **kirjoittaa** varmuuskopiopaikkaan, ei poistaa.
• Määritä, **kuka** pääsee käsiksi, sekä fyysisesti (kenellä on avain kaappiin, jossa levy on) että ohjelmistossa. Alankomaiden NCSC mainitsee tämän myös erikseen.

Käytännössä: miltä se näyttää

Esimerkkipalveluntarjoaja WebOkéssa webhotellipaketin yölliset varmuuskopiot ovat erillisillä tallennuspalvelimilla eri konesalissa kuin palvelin, jolla verkkosivusto toimii. Tietopankin mukaan et voi itse poistaa näitä öisiä varmuuskopioita: ne säilyvät, jotta palautuspiste on aina olemassa, ja katoavat automaattisesti 30 päivän kuluttua. Vain itse tehdyn lisävarmuuskopion voi poistaa, ja siihen paneeli pyytää salasanasi.

Mitä voit itse lisätä saavuttaaksesi 3-2-1-periaatteen ja offline-kopion: lataa silloin tällöin varmuuskopio (se on saatavilla 48 tuntia) ja säilytä se levyllä, jonka sitten irrotat. VPS:n snapshot ei saman tietopankin mukaan ole varmuuskopio, koska se sijaitsee samalla tallennustilalla kuin VPS itse.

Muilla palveluntarjoajilla asia voi olla samankaltainen tai hyvin erilainen. Kysy palveluntarjoajaltasi konkreettisesti: ovatko varmuuskopiot erillään tilistäni, voinko minä tai joku salasanani tuntevaksi poistaa ne, ja kuinka kauas taaksepäin ne ulottuvat?

Yhteenveto

• Kiristyshaittaohjelma salaa kaiken, mihin se pääsee käsiksi, myös kytketyt varmuuskopiot, ja hyökkääjät etsivät varmuuskopioita aktiivisesti.
• Offline: irrota varmuuskopiolevy ja vaihtele levyjä, salaus käytössä.
• Muuttumaton (immutable, object lock): kukaan ei voi poistaa kopiota ennen ajanjakson päättymistä.
• Versiot ja sopiva säilytysaika määrittävät, kuinka kauas taaksepäin pääset; valitse ne sen perusteella, milloin yleensä huomaat ongelmat.
• Käytä erillistä, hyvin suojattua kirjautumista varmuuskopiollesi, erillään päivittäisestä tilistäsi.

Tietovisa

Tehtävä

Tehtävä D6.2: Tee yhdestä varmuuskopiosta kiristyshaittaohjelmien kestävä. Valitse tärkeimmät tietosi (esimerkiksi kirjanpitosi tai verkkosivustosi) ja järjestä yksi kopio, joka on ulottumattomissa: ulkoinen levy, jonka irrotat varmuuskopioinnin jälkeen ja säilytät muualla, tai varmuuskopiopalvelu, jossa on muuttumaton tallennustila. Anna varmuuskopiolle oma kirjautuminen kaksivaiheisella tunnistautumisella, tarkista kuinka kauas taaksepäin pääset, ja kirjaa ylös, kenellä on pääsy siihen. Vastaa lopuksi pohdintakysymyksiin.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta voi olla samankaltaista tai erilaista. Kysy palveluntarjoajaltasi.

• DirectAdmin-ohje 16.2: Backup and Restore: oman varmuuskopion tekeminen DirectAdminissa
• Nextcloud-opas 6.2: Vanhemman version palauttaminen ja versioiden nimeäminen
• Nextcloud-opas 6.3: Kuinka kauan Nextcloud säilyttää versioita ja poistettuja tiedostoja?
• VPS-palvelimen snapshotit ja varmuuskopiot
• WebOké Backups: varmuuskopion tarkasteleminen, palauttaminen tai lataaminen
• Alankomaiden NCSC, Ransomware selitettynä: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Alankomaiden NCSC, Varmuuskopiointistrategian laatiminen: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (englanniksi): https://www.cisa.gov/stopransomware/ransomware-guide