Onveranderlijke back-ups tegen ransomware

Het doelbewuste aanvalspatroon: versleutel of verwijder de back-ups, en daarna de productieomgeving

Moderne ransomware-operators hebben hun draaiboek geprofessionaliseerd. Voordat ze de versleutelingspayload op de productieomgeving activeren, besteden aanvallers dagen aan het in kaart brengen van het netwerk op zoek naar gaten in de netwerkbeveiliging: het identificeren van de back-upserver, inloggegevens van werknemers en wachtwoorden die in scripts zijn achtergelaten, en het toegangsbeleid dat elke repository beschermt. Zodra ze toegang krijgen en in positie zijn, schakelen of verwijderen ze eerst die kopieën, en versleutelen daarna de productiegegevens.

De volgorde is doelbewust. Een bedrijf dat binnen enkele uren kan herstellen, heeft weinig reden om te betalen; een bedrijf waarvan de kopieën dagen eerder zijn gewist, heeft die optie niet, en daar rekent de aanvaller op. Een aanval van dit type gaat niet alleen over het versleutelen van gegevens, het gaat over het verwijderen van elk herstelpad dat een bedrijf heeft.

Dit is de reden waarom een enkel gecompromitteerd inloggegeven nu het grootste risico vormt in een beschermingsstrategie. Toegangscontrole en uw identiteits-, beveiligings- en operationele bescherming vormen de eerste verdedigingslinie, maar hackers en ongeautoriseerde toegangspogingen stoppen daar niet: een account met schrijftoegang tot een opslagbucket kan binnen enkele minuten elk object en elke bewaartermijn verwijderen, tenzij iets in de opslaglaag zelf die instructie weigert.

Sluit het toegangspad af: MFA, phishing-bewustzijn en hersteloefeningen

Onveranderlijkheid beschermt de kopie, maar het beschermt niet de deur waar de aanvaller door naar binnen kwam. Bijna elk incident begint met een gestolen inloggegeven, en phishing blijft de meest voorkomende aflevermethode, meestal een e-mail die er routineus uitziet. Drie controles zijn van belang rondom de opslaglaag zelf.

Vereis MFA op de opslagconsole en op elk account dat een bewaarbeleid kan wijzigen. Multi-factor authenticatie is hier de meest waardevolle controle, omdat MFA de stap van het opnieuw gebruiken van inloggegevens, waar cyberaanvallen van dit type afhankelijk van zijn, doorbreekt, en MFA op de console is snel uit te rollen. Bewaar service-inloggegevens in een wachtwoordmanager, niet in scripts, en controleer of wachtwoordrotatie daadwerkelijk plaatsvindt. Geef personeel regelmatig trainingen over verdachte e-mails en wachtwoordmanagers, zodat een medewerker die er een ontvangt deze meldt in plaats van opent. Personeel dat het dreigingsmodel kent, is een goedkopere verdediging dan welk product dan ook, en dreigingen die een geïnformeerde medewerker bereiken, stoppen daar meestal, en een melding van een medewerker is vaak het vroegste signaal dat een medewerker u geeft. En voer regelmatig een hersteloefening uit: de enige manier om een defect hersteltraject te identificeren is door het te testen voordat een incident dat doet. Houd ook verwijderpogingen in de bucket bij: een piek in geweigerde verwijderingen is een betrouwbaar vroeg signaal dat inloggegevens zijn gecompromitteerd. Houd ook beleidswijzigingen bij, aangezien wijzigingen in de bewaartermijn het eerste zijn wat een aanvaller probeert.

Niets hiervan vervangt netwerksegmentatie of endpoint-beveiliging aan de productiekant, en het is geen volledig cybersecurity-raamwerk. Het is de laag die voorkomt dat één gecompromitteerd medewerkersaccount uitgroeit tot een bedrijfsbrede uitval.

Cyberverzekeringen en audits vereisen nu aantoonbare onveranderlijke kopieën

Verzekeraars die cyberpolissen vernieuwen, stellen nu directe vragen: zijn die kopieën onveranderlijk, zijn ze logisch gescheiden van de productieomgeving en kunt u een geslaagde hersteltest aantonen? Bedrijven die hier niet met bewijs op kunnen antwoorden, krijgen te maken met hogere premies of een geweigerde polis. De meeste bedrijven ontdekken dit pas bij verlenging, niet daarvoor. De eerste stap is het vaststellen en documenteren van uw back-uphersteltrajecten, voer vervolgens regelmatig hersteltests uit en blijf monitoren om te garanderen dat ze nog steeds werken naarmate uw omgeving verandert.

Nalevingseisen zijn in dezelfde richting opgeschoven, en dat geldt ook voor vragenlijsten over klantgegevensbeveiliging. Of het nu komt vanuit ISO 27001-controles, sectorspecifieke audits of de eigen risicobeoordeling van een klant, "we hebben back-ups" is niet langer een acceptabel antwoord. Elke organisatie die wordt geconfronteerd met moderne cyberdreigingen moet in toenemende mate kunnen bewijzen dat een back-upkopie niet kan worden gewijzigd of verwijderd gedurende een gedefinieerde bewaartermijn, ongeacht welke medewerkers of accounts dit proberen.

Dat bewijs is van belang omdat een onveranderlijke back-up meetbaar de kans verkleint dat één gecompromitteerd account zowel de productieomgeving als het hersteltraject vernietigt. De lat is verlegd van "er bestaat een back-up" naar "we kunnen een hersteltraject aantonen dat een aanvaller niet eenvoudig kan vernietigen."

Drie kopieën, twee mediatypen, één offsite (en één onveranderlijk)

De 3-2-1-regel, drie kopieën op twee mediatypen waarvan één offsite, vormt al tien jaar de basis voor gegevensbescherming, en de logica klopt: als één systeem of locatie uitvalt, blijft er een ander pad over.

Ransomware verandert de berekening. Als een aanvaller elke kopie kan bereiken via dezelfde inloggegevens of hetzelfde netwerkpad, beschermt "offsite" alleen uw bedrijf niet; het verplaatst het risico alleen maar naar ergens anders. Dat is waarom veel bedrijven en back-upteams de regel nu behandelen als 3-2-1 plus één onveranderlijke kopie: een back-up die overleeft, zelfs nadat de rest van de omgeving is gecompromitteerd.

Wat 'onveranderlijk' daadwerkelijk betekent op de objectopslaglaag

Onveranderlijkheid is geen instelling in uw software, het is een garantie die wordt afgedwongen door de opslaglaag. Met Object Lock ingeschakeld en een retentieperiode ingesteld, weigert het systeem elke verwijdering of overschrijving totdat die periode is verstreken, inclusief verzoeken die zijn gedaan met geldige beheerdersrechten.

Het maakt niet uit of het verzoek gebruikmaakt van een geldig werknemerswachtwoord, een gecompromitteerd account of de ransomware-payload zelf: het systeem staat de wijziging, door het ontwerp, niet toe. Dat beschermt de kopie tegen de exacte techniek waarop deze malware vertrouwt, waarbij gestolen toegang wordt gebruikt om alles wat het kan bereiken te wijzigen of te wissen.

11 negens aan duurzaamheid en een 99,99% beschikbaarheids-SLA op 3-AZ

Een back-up die je niet snel kunt herstellen, is niet erg nuttig. Alle OVHcloud Object Storage-infrastructuur is ontworpen voor elf negens aan duurzaamheid (99,999999999%), niet alleen de 3-AZ-regio's, dus gegevensverlies door hardwarestoringen is buitengewoon onwaarschijnlijk, waar de kopie zich ook bevindt. De 99,99% beschikbaarheids-SLA is van toepassing op de 3-AZ-implementatiemodus. Beheerders hebben het hersteldoel nodig wanneer er een beveiligingsincident plaatsvindt, niet alleen het bewijs dat de gegevens daarvoor veilig waren. Het is ook de dimensie die klanten het hoogst beoordelen: Stabiliteit met 4,51/5 en beschikbaarheid met 4,50/5 in NPS-scores.

Geen egress-kosten bij herstel tussen OVHcloud-services

Het herstellen van een groot volume aan gegevens na een incident zou geen onvoorspelbare rekening moeten toevoegen aan een toch al kostbare gebeurtenis. Er zijn geen egress-kosten tussen OVHcloud-services, dus herstellen naar een Public Cloud-instantie, een Bare Metal-server of enige andere OVHcloud-resource brengt geen afzonderlijke overdrachtskosten met zich mee, en de kosten van een herstel blijven voorspelbaar. Dat maakt het eenvoudiger om herstel te budgetteren wanneer tijd het belangrijkst is.

Gelaagde retentie om kosten te beheersen: Standard → Active Archive → Cold Archive

Niet elke kopie heeft dezelfde opslagklasse nodig voor dezelfde tijdsduur. Lifecycle-beleid verplaatst objecten van Standard naar Active Archive voor retentie op middellange termijn, vervolgens naar Cold Archive voor wettelijke retentie, terwijl Object Lock van kracht blijft voor elke klasse.
Active Archive kost ongeveer €4,5 per TiB en Cold

Archive ongeveer €1,7 per TiB, beide ruim onder Standard voor gegevens die u zelden herstelt. Dankzij die gelaagdheid kan uw bedrijf een onveranderlijk retentiebeleid van meerdere jaren aanhouden voor compliance, passend bij de meeste industriële vereisten, zonder de hele tijd premiumprijzen voor opslag te betalen. Controleer en update het lifecycle-beleid regelmatig naarmate retentievereisten of gegevensvolumes veranderen.

Soevereiniteit en compliance: AVG, HDS, ISO 27701, geen blootstelling aan de CLOUD Act

Back-upgegevens bevatten vaak enkele van de meest waardevolle en gevoelige informatie van een bedrijf: database-dumps, applicatiestatus, intellectueel eigendom, volledige systeemsnapshots en soms persoonsgegevens die onder de AVG vallen. Waar die gegevens zich bevinden en welk rechtsgebied van toepassing is, is van belang voor digitale soevereiniteit, gegevensbescherming en voor sectorspecifieke vereisten zoals HDS of ISO 27701, ook voor exploitanten van kritieke infrastructuur en gereguleerde sectoren.

OVHcloud Object Storage wordt gehost en beheerd in Europese datacenters, zonder blootstelling aan de CLOUD Act, aangezien OVHcloud geen bedrijf is dat onderworpen is aan de openbaarmakingsvereisten van die wet. Huidige certificeringen omvatten ISO 27001, 27017, 27018 en 27701 voor privacybeheer, met SecNumCloud-kwalificatie voor Object Storage op de roadmap. Dat maakt deze opslag tot onderdeel van het bredere risicobeheer, de compliance-houding en de bedrijfsactiviteiten van de organisatie, en niet slechts tot een operationeel hulpmiddel.