Защита от шифровальщиков: роль бэкапов
Шифровальщики (ransomware) — одна из главных угроз для бизнеса. Программа проникает на сервер, шифрует все данные и требует выкуп. Без правильных бэкапов данные потеряны: восстановить их невозможно, а выкуп не гарантирует возврат.
Хорошая новость: от шифровальщиков есть защита. Не только антивирусы, но и правильно настроенные бэкапы: иммутабельные (неизменяемые) копии, offline-хранилища, air-gap. В этой статье — разбор того, как бэкапы спасают от шифровальщиков и как настроить защиту. Если нужно настроить защиту от шифровальщиков — поможем.
Что такое шифровальщик
Шифровальщик (ransomware) — это вредоносная программа, которая:
- Проникает на сервер: через уязвимости, слабые пароли, фишинг;
- Зашифровывает данные: файлы, БД, конфигурации — всё становится нечитаемым;
- Требует выкуп: за расшифровку просит деньги в криптовалюте;
- Угрожает: удалить данные, опубликовать их, увеличить сумму;
- Распространяется: по сети, заражая другие серверы.
Шифровальщики — серьёзный бизнес. Хакеры зарабатывают миллионы. Атаке подвергаются компании любого размера: от малого бизнеса до крупных корпораций и госструктур.
⚠️ Важно
Выплата выкупа не гарантирует возврат данных. По статистике, 40% компаний, заплативших выкуп, не получили данные обратно. Не платите — восстанавливайте из бэкапов.
Как он работает
Атака шифровальщика проходит несколько этапов.
1. Проникновение
Через уязвимость, фишинг, слабый пароль, RDP. Один заражённый компьютер — точка входа.
2. Разведка
Программа изучает сеть: какие серверы есть, какие данные важны, где хранятся бэкапы.
3. Эскалация
Получает права администратора. Отключает антивирусы, удаляет логи, готовится к атаке.
4. Шифрование
Зашифровывает данные. В первую очередь — важные: БД, документы, бэкапы. Потом — всё остальное.
5. Требование
Показывает сообщение: «Ваши файлы зашифрованы. Заплатите X, получите ключ». Срок — обычно 3–7 дней.
6. Угрозы
Если не заплатите — опубликуют данные, увеличат сумму, атакуют клиентов. Двойное вымогательство.
Почему бэкап спасает
Единственный надёжный способ восстановить данные после атаки — иметь бэкап, который шифровальщик не смог затронуть.
Какие бэкапы не спасут
- Бэкапы на том же сервере: программа зашифрует и их;
- Бэкапы на подключённом диске: тоже будут зашифрованы;
- Бэкапы в сетевой папке: если папка доступна — программа доберётся;
- Бэкапы в облаке без версионирования: если программа удалит данные — потеряете;
- Бэкапы с общим ключом: если ключ на сервере — программа получит доступ.
Какие бэкапы спасут
- Offline-копии: диск, отключённый от сети после бэкапа;
- Air-gap: физически изолированное хранилище;
- Иммутабельные копии: данные нельзя изменить или удалить в течение срока хранения;
- Версионирование в облаке: даже если что-то удалено — старая версия осталась;
- Разные аккаунты: для бэкапа и для продакшена — разные ключи доступа.
💡 Важно
Правило: если бэкап доступен из продакшена по сети — шифровальщик может до него добраться. Нужны копии, физически или логически изолированные.
Иммутабельные копии
Иммутабельные бэкапы (immutable backups) — это копии, которые нельзя изменить или удалить в течение заданного срока. Даже администратор не может их стереть. Только дождаться истечения срока хранения.
Как это работает
- WORM-режим: Write Once Read Many. Записали один раз — читать можно, менять нельзя;
- Блокировка по времени: объект защищён N дней. По истечении — можно удалить;
- Поддержка в облаках: AWS S3 Object Lock, Azure Immutable Blob, Яндекс Object Storage;
- Поддержка в инструментах: Borg, Restic, Veeam с immutable-репозиториями.
Зачем нужно
- Защита от шифровальщиков: программа не сможет зашифровать или удалить копию;
- Защита от инсайдера: даже злой админ не удалит данные;
- Соответствие требованиям: 152-ФЗ, банковские стандарты требуют WORM;
- Защита от ошибок: случайное удаление невозможно;
- Юридическая значимость: данные не могли быть изменены после записи.
Настройка
- Выберите хранилище: S3 с Object Lock, Azure Immutable Blob, Backblaze B2 с Object Lock;
- Настройте срок: обычно 30, 60, 90 дней;
- Используйте инструмент: Restic, Borg или встроенные функции;
- Проверьте: попробуйте удалить — должно быть запрещено.
Offline и air-gap
Самый надёжный способ защиты — физически изолированная копия. Шифровальщик не может добраться до данных, которые не подключены к сети.
Offline-копия
- Что это: внешний диск или лента, которая физически отключена от сервера;
- Как работает: раз в день/неделю подключается, копирует данные, отключается;
- Плюсы: невозможно атаковать по сети;
- Минусы: требует ручных действий, сложно автоматизировать;
- Когда использовать: для самых критичных данных.
Air-gap
- Что это: физически изолированная инфраструктура, не подключённая к основной сети;
- Как работает: данные передаются через одноразовые носители или изолированный шлюз;
- Плюсы: максимальная защита. Даже взлом всей сети не затронет копии;
- Минусы: дорого, сложно, требует регламента;
- Когда использовать: для банков, госструктур, крупных корпораций.
Гибридный подход
Многие компании используют комбинацию:
- Ежедневные бэкапы: в облако с immutable-режимом;
- Еженедельные: на внешний диск, который отключается;
- Ежемесячные: на air-gap хранилище.
Такая стратегия защищает от всех типов атак.
Стратегия защиты
Полная стратегия защиты от шифровальщиков включает несколько уровней.
| Уровень | Что делать |
|---|---|
| Профилактика | Обновления, антивирус, файрвол, обучение сотрудников |
| Сегментация | Разделение сети, ограничение доступа между серверами |
| Доступы | Минимум привилегий, MFA, отдельные аккаунты для бэкапов |
| Бэкапы | 3-2-1, immutable, offline, air-gap |
| Мониторинг | Обнаружение аномалий, алерты о подозрительной активности |
| План реакции | Что делать при атаке: отключить, изолировать, восстановить |
| Тестирование | Регулярная проверка бэкапов и плана DR |
| Обучение | Тренировки команды, симуляции атак |
Изоляция бэкапов
Ключевое правило: бэкапы должны быть изолированы от продакшена. Разные аккаунты, разные сети, разные ключи. Если продакшен атакован — бэкапы недоступны атакующему.
Реакция на атаку
Если шифровальщик атаковал — важна каждая минута. Вот план действий.
Немедленные действия
- Отключите сервер от сети: физически или через файрвол. Остановите распространение;
- Не перезагружайте: может запустить новый этап шифрования;
- Не платите выкуп: не гарантия, стимулирует атаки;
- Сохраните доказательства: логи, сообщения вымогателей, скриншоты;
- Уведомите команду: безопасники, руководство, юристы.
Оценка ситуации
- Что зашифровано: файлы, БД, конфигурации;
- Что доступно: свежие бэкапы, offline-копии, immutable-версии;
- Как проник: уязвимость, фишинг, слабый пароль. Закройте эту дыру;
- Кто атакован: только один сервер или вся сеть.
Восстановление
- Чистый сервер: разверните новый сервер с нуля. Не восстанавливайте на заражённый;
- Свежий бэкап: восстановите данные из последней чистой копии;
- Проверка: убедитесь, что данные целые и не содержат вредоносного кода;
- Обновление: установите все обновления безопасности;
- Смена паролей: все пароли, ключи, токены;
- Мониторинг: усильте мониторинг на несколько недель после восстановления.
Пост-мортем
- Разбор: как произошла атака, что сработало, что нет;
- Уроки: что улучшить в защите;
- Уведомления: клиенты, партнёры, регуляторы (если требуется);
- Документирование: сохраните разбор для будущего.
Ошибки
Бэкап на том же сервере
Шифровальщик зашифрует и рабочие данные, и бэкапы. Нужно внешнее хранилище.
Сетевой доступ к бэкапам
Бэкапы доступны по сети с продакшена. Программа доберётся до них.
Нет immutable
Бэкапы можно изменить или удалить. Программа сделает это.
Общие ключи доступа
Один ключ для продакшена и бэкапов. Утечка — потеря всего.
Нет offline-копии
Все бэкапы онлайн. Шифровальщик доберётся до всех.
Выплата выкупа
Не гарантия, стимулирует атаки, не решает проблему защиты.
Наши рекомендации
📌 Что вы получаете, заказывая защиту у нас
- Иммутабельные копии — S3 Object Lock
- Offline-хранилище — отключённые диски
- Air-gap — изолированная инфраструктура
- Изоляцию доступов — разные ключи для продакшена и бэкапов
- План реакции — на случай атаки
- Тестирование — регулярная проверка
🔹 Оставьте заявку на защиту от шифровальщиков
Хотите защитить данные? Оставьте заявку на бесплатную консультацию.
📌 Итоговый вывод
Защита от шифровальщиков — это комбинация профилактики и правильно настроенных бэкапов.
Что нужно знать:
- Что такое шифровальщик — вредоносная программа для шифрования данных
- Как работает — проникновение, разведка, эскалация, шифрование, требование
- Какие бэкапы не спасут — на том же сервере, в сетевой папке, без версионирования
- Какие спасут — offline, air-gap, immutable, версионирование
- Иммутабельные копии — нельзя изменить или удалить. S3 Object Lock
- Offline и air-gap — физическая изоляция от сети
- Стратегия — 3-2-1, изоляция доступов, план реакции
- Ошибки — бэкап на том же сервере, нет immutable, общие ключи, выплата выкупа
Хотите защитить данные? Закажите консультацию в Lead Hub.
Также рекомендуем: правило 3-2-1, инструменты бэкапов, облачное хранение, бэкапы БД, тестирование бэкапов, резервное копирование.