Chroń kopie zapasowe ransomware

Chroń backup przed ransomware dzięki Object Lock

Nowoczesne oprogramowanie ransomware usuwa kopie zapasowe przed zaszyfrowaniem danych produkcyjnych. Gdy nie można odtworzyć danych z backupu, firma staje przed wyborem: zapłacić okup albo odtworzyć całe środowisko od podstaw. OVHcloud Object Storage z funkcją Object Lock uniemożliwia usunięcie backupów przed upływem okresu retencji, nawet w przypadku przejęcia danych logowania administratora.
Sprawdź Object StoragePrzeczytaj dokumentację
Ilustracja nazw domen

Atakujący usuwają backupy przed zaszyfrowaniem danych

Cyberprzestępcy wykorzystujący ransomware lokalizują repozytorium kopii zapasowych, wykradają dane logowania i usuwają zapisane kopie, a następnie atakują środowisko produkcyjne. Dopóki firma może odtworzyć dane z backupu, nie musi płacić okupu. Usunięcie kopii zapasowych pozbawia ją tej możliwości. Wystarczy, że cyberprzestępca przejmie jedno konto z uprawnieniami do modyfikowania danych, aby w ciągu kilku minut usunąć wszystkie obiekty - chyba że warstwa storage odrzuci takie żądanie.
[object Object]

Object Lock: ochrona backupów przed usunięciem

WORMKompatybilność z S3
Object Lock wymusza blokadę bezpośrednio na warstwie storage, niezależnie od oprogramowania do backupu. Każde żądanie usunięcia lub nadpisania obiektu jest odrzucane do czasu zakończenia okresu retencji, również wtedy, gdy pochodzi z konta z prawidłowymi uprawnieniami administratora.

Wersjonowanie pozwala zachować wcześniejsze wersje obiektu. Dzięki temu, nawet jeśli zostanie on zmodyfikowany przed włączeniem blokady, nadal można przywrócić jego wcześniejszą, niezmienioną wersję. Obie funkcje włączysz podczas tworzenia bucketa.
Sprawdź Object StoragePrzeczytaj dokumentację
Izometryczna ilustracja backupu w chmurze z blokadą przed modyfikacją, przedstawiająca zablokowane kontenery obiektów, replikację między regionami i zabezpieczenia, w odcieniach niebieskiego i błękitu

Cztery warstwy ochrony

Object Lock (WORM)

Object Lock blokuje możliwość usunięcia lub nadpisania obiektów do czasu zakończenia okresu retencji, również w przypadku żądań pochodzących z kont administratorów. Po ustawieniu blokady nie można jej cofnąć. Legal Hold umożliwia bezterminowe zablokowanie wybranych obiektów.

Wersjonowanie

Pozwala zachować wszystkie wcześniejsze wersje obiektu zamiast zastępować je nową wersją. Jeśli plik został zmodyfikowany przed zastosowaniem blokady, nadal można przywrócić jego wcześniejszą, niezmodyfikowaną wersję. Wersjonowanie jest niezbędne do działania funkcji Object Lock.

S3 Async Replication

Automatycznie tworzy kopie w innym regionie, niezależnie od podstawowych danych uwierzytelniających. Nie wymaga ręcznego przenoszenia danych. Blokada obiektu jest zachowywana również w regionie docelowym.

Szyfrowanie danych w spoczynku

SSE-C umożliwia korzystanie z kluczy zarządzanych samodzielnie, a SSE-OVHcloud Managed Keys - z kluczy, których cyklem życia zarządza OVHcloud. Zaszyfrowanych obiektów nie można odczytać, nawet jeśli atakujący uzyska dostęp do warstwy przechowywania danych.

Cztery powody, dla których warto wybrać storage z blokadą przed modyfikacją

Dane są chronione przez kilka współdziałających warstw zabezpieczeń. Przejęcie pojedynczych danych dostępowych nie wystarczy, aby zablokować możliwość ich odtworzenia.
[object Object]
Kopie zapasowe odporne na przejęcie konta administratora
Kopie zapasowe z blokadą przed modyfikacją wymuszaną przez Object Lock
[object Object]
Odizolowana kopia w odrębnym regionie
Backup zgodny z zasadą 3-2-1 oparty na object storage z blokadą przed modyfikacją
[object Object]
Brak opłat za ruch wychodzący podczas przywracania danych
Przewidywalne koszty przywracania danych po ataku ransomware
[object Object]
Suwerenna infrastruktura w UE, niepodlegająca CLOUD Act
Kopie zapasowe z blokadą przed modyfikacją w suwerennej infrastrukturze w UE
OVHcloud Object Storage posiada certyfikat Veeam Ready. Jest również kompatybilny z rozwiązaniami HYCU, Cohesity i Veritas NetBackup za pośrednictwem API S3. Blokadę przed modyfikacją skonfigurujesz bezpośrednio w wybranym narzędziu. Object Lock wymusza retencję na poziomie storage niezależnie od aplikacji, nawet jeśli atakujący przejmie nad nią kontrolę. W środowiskach Kubernetes możesz korzystać z Velero lub CloudCasa. Aby zintegrować je z OVHcloud Object Storage, wystarczy zmienić endpoint - nie trzeba przebudowywać architektury.
Korzystaj z narzędzi awscli, Rclone, Restic, Duplicati lub Plakar. Pipeline przetestowany lokalnie możesz przenieść do środowiska produkcyjnego, zmieniając jedynie endpoint. Podczas tworzenia bucketa włącz Object Lock i wersjonowanie. Retencja jest wymuszana na poziomie storage, niezależnie od działania skryptu.
Velero i CloudCasa umożliwiają tworzenie kopii zapasowych w OVHcloud Object Storage za pośrednictwem API S3. Wolumeny trwałe są chronione przed modyfikacją dzięki blokadzie skonfigurowanej dla bucketa. Object Lock wymusza retencję na poziomie storage, niezależnie od aplikacji. Kompatybilność z OVHcloud Managed Kubernetes Service.
OVHcloud Object Storage posiada certyfikat Veeam Ready. Jest również kompatybilny z rozwiązaniami HYCU, Cohesity i Veritas NetBackup za pośrednictwem API S3. Blokadę przed modyfikacją skonfigurujesz bezpośrednio w wybranym narzędziu. Object Lock wymusza retencję na poziomie storage niezależnie od aplikacji, nawet jeśli atakujący przejmie nad nią kontrolę. W środowiskach Kubernetes możesz korzystać z Velero lub CloudCasa. Aby zintegrować je z OVHcloud Object Storage, wystarczy zmienić endpoint - nie trzeba przebudowywać architektury.

Druga kopia w innym regionie, poza zasięgiem ataku

Anti-affinityBackup 3-2-1Backup w odległej lokalizacji
Jeśli backup jest przechowywany razem z danymi produkcyjnymi, dostęp do obu jest zabezpieczony tymi samymi danymi uwierzytelniającymi, dlatego ten sam atak może objąć zarówno dane produkcyjne, jak i kopię zapasową.

S3 Async Replication automatycznie tworzy kopię w innym regionie OVHcloud. Dostęp do niej wymaga innych danych uwierzytelniających niż do środowiska produkcyjnego. Dodatkową warstwę zabezpieczeń zapewnia Object Lock. Aby zablokować możliwość odtworzenia danych, atakujący musiałby przejąć oba regiony. S3 Async Replication automatycznie przenosi dane między regionami.
Sprawdź Object Storage
[object Object]

Dobre praktyki umożliwiające odtworzenie danych

Włącz MFA na wszystkich kontach, które pozwalają na zmianę polityk retencji

MFA uniemożliwia atakującym ponowne wykorzystanie przejętych danych uwierzytelniających, co utrudnia atak ransomware. Włącz MFA w konsoli storage oraz na wszystkich kontach z uprawnieniami do zmiany polityk retencji. Dane uwierzytelniające przechowuj w menadżerze haseł. Monitoruj próby usuwania danych - nagły wzrost liczby odrzuconych żądań może być wczesnym sygnałem naruszenia bezpieczeństwa.

Regularnie testuj odtwarzanie danych

Przetestuj odtwarzanie danych, zanim wystąpi incydent. Dokumentuj wyniki testów. Ubezpieczyciele coraz częściej o nie proszą przy odnawianiu polisy. Jeśli nie przetestujesz backupu, nie masz gwarancji, że uda się odtworzyć dane.

Korzystaj z różnych klas storage, aby ograniczyć długoterminowe koszty retencji

Zgodnie z politykami cyklu życia obiekty są przenoszone z klasy Standard do Active Archive, a następnie do Cold Archive. Object Lock pozostaje przy tym aktywny we wszystkich klasach storage. Dzięki temu możesz chronić dane przed modyfikacją przez wiele lat i obniżyć koszty ich długoterminowego przechowywania.

Zabezpiecz dane w czterech krokach

Utwórz bucket z włączonym Object Lock

Funkcja Object Lock musi zostać aktywowana podczas tworzenia bucketa, nie można jej dodać później. Jednocześnie włącz wersjonowanie. Ustaw domyślny okres retencji zgodnie z założeniami dotyczącymi odtwarzania danych

Skonfiguruj endpoint w narzędziu do backupu

W przypadku Veeam, Rclone lub awscli wystarczy zmienić endpoint. Retencja jest wymuszana na poziomie storage, niezależnie od narzędzia do backupu

Włącz replikację między regionami

S3 Async Replication automatycznie tworzy kopię w drugim regionie. Dane są przenoszone automatycznie, a dostęp do każdego regionu wymaga odrębnych danych uwierzytelniających

Przetestuj odtwarzanie i udokumentuj wynik

Odtwórz backup z bucketa zabezpieczonego przed modyfikacją i zapisz wynik testu. W ten sposób sprawdzisz, czy proces odtwarzania działa prawidłowo, i spełnisz wymagania audytowe

Udokumentuj blokadę przed modyfikacją na potrzeby audytu i ubezpieczenia

Przy odnawianiu ubezpieczenia od ryzyk cybernetycznych coraz częściej trzeba wykazać, że kopie zapasowe są zablokowane przed modyfikacją i odizolowane, oraz przedstawić wyniki testu odtwarzania danych. Brak takich dowodów może skutkować wyższą składką lub odmową ubezpieczenia. Te same wymagania dotyczą audytów ISO 27001 oraz kwestionariuszy klientów. OVHcloud Object Storage działa w infrastrukturze zlokalizowanej w UE, która posiada certyfikaty ISO 27001, ISO 27017, ISO 27018 i ISO 27701. Dane nie podlegają przepisom amerykańskiej ustawy CLOUD Act.
[object Object]
Przetestuj bezpłatnie odtwarzanie danych
Włącz Object Lock, wykonaj backup i odtwórz dane. W ramach okresu próbnego sprawdzisz skuteczność procesu.
Rozpocznij bezpłatny okres próbny