גיבוי immutable: העותק שכופרה לא יכולה למחוק

מה זה גיבוי immutable? גיבוי immutable הוא עותק גיבוי שאי אפשר לשנות, להצפין או למחוק עד שמסתיימת תקופת נעילה שנקבעה מראש. הנעילה חלה על כולם, כולל מנהל המערכת, ולכן גם תוקף שהשיג הרשאות מלאות אינו יכול להעלים את העותק. זו הסיבה שעותק כזה נחשב לקו ההגנה האחרון מפני כופרה: גם אם כל השאר נפל, נשאר ממה לשחזר.

המדריך הזה מסביר למה תוקפים מחפשים קודם את הגיבויים, במה עותק נעול שונה מגיבוי ענן רגיל, מה הוא אינו פותר, ואיך בודקים שהגיבוי שלכם באמת בלתי ניתן לשינוי. מי שרוצה קודם רקע על המתקפה עצמה ימצא אותו במדריך מה זה כופרה ואיך מגנים על העסק.

למה כופרה תוקפת קודם את הגיבויים

כופרה היא עסק. התוקף מרוויח רק אם לקורבן אין דרך אחרת להחזיר את המידע. עסק שיש לו גיבוי תקין פשוט משחזר, ולכן מבחינת התוקף הגיבוי הוא המכשול הראשון שצריך להסיר.

במתקפות של היום ההצפנה היא השלב האחרון, לא הראשון. קודם התוקף נכנס לרשת, למשל בעזרת סיסמה שנגנבה או דרך מחשב שלא עודכן. אחר כך הוא משיג הרשאות מנהל ולומד את הסביבה: איפה השרתים, איפה הקבצים החשובים ואיפה הגיבויים. רק כשהוא מוכן, הוא פועל, בדרך כלל בסדר הזה:

• מוחק נקודות שחזור ועותקים מקומיים במחשבים ובשרתים.
• מצפין או מוחק את כונן הרשת ואת הדיסק החיצוני שאליהם נשמר הגיבוי.
• נכנס לממשק הניהול של תוכנת הגיבוי, עם הסיסמה של המנהל, ומוחק משם את הגיבויים.
• ורק בסוף מצפין את המחשבים והשרתים עצמם.

המשמעות פשוטה: גיבוי שמנהל המערכת יכול למחוק, גם תוקף שמתחזה למנהל המערכת יכול למחוק. המרחק הפיזי לא משנה. גיבוי בענן שנמחק בלחיצה מתוך ממשק הניהול חשוף באותה מידה כמו דיסק שמונח ליד השרת.

מה זה עותק שאי אפשר לשנות

המילה immutable פירושה "בלתי ניתן לשינוי". בעולם האחסון משתמשים גם בקיצור WORM, ראשי תיבות של Write Once, Read Many: כותבים פעם אחת, וקוראים כמה שרוצים. אחרי שהעותק נכתב, המערכת אינה מאפשרת לשנות אותו, ובקשת מחיקה נדחית או אינה נכנסת לתוקף עד שחולף פרק הזמן שהוגדר.

ההבדל החשוב הוא איפה הכלל נאכף. בגיבוי רגיל, ההגנה היא הרשאות: רק מי שמורשה יכול למחוק. בעותק נעול, האחסון עצמו אוכף את הכלל, ואין הרשאה שעוקפת אותו. גם אחרי בקשת מחיקה שנשלחה מחשבון מנהל אמיתי, עם הסיסמה הנכונה, העותק נשאר במקומו עד תום התקופה.

במה זה שונה מגיבוי ענן רגיל

גיבוי ענן רגיל פותר בעיה אחת חשובה: העותק נמצא מחוץ למשרד, ולכן שריפה, גניבה או תקלת חומרה אינן פוגעות בו. הוא גם אינו מופיע ברשת המקומית ככונן שאפשר להצפין. מול כופרה זה שיפור גדול לעומת דיסק חיצוני.

הנקודה החלשה שנשארת היא חשבון הניהול. מי שמחזיק בשם המשתמש ובסיסמה של קונסולת הגיבוי יכול לשנות את מדיניות השמירה או למחוק גיבויים. עותק immutable סוגר בדיוק את הפער הזה.

	דיסק מקומי או כונן רשת	גיבוי ענן רגיל	גיבוי ענן immutable
איפה העותק נמצא	במשרד, באותה רשת	מחוץ למשרד	מחוץ למשרד
נפגע משריפה, גניבה או תקלת חומרה במשרד	כן	לא	לא
כופרה ברשת יכולה להצפין אותו ישירות	כן	בדרך כלל לא	לא
תוקף עם סיסמת מנהל יכול למחוק אותו	כן	כן	לא, עד תום תקופת הנעילה
מוגן מפני מחיקה בטעות של מנהל	לא	תלוי בהגדרות	כן
מה נדרש מכם	להחליף דיסקים ולזכור להריץ	להגן היטב על חשבון הניהול	לבחור תקופת נעילה ולתכנן את נפח האחסון

אותה מתקפה, שלושה סוגי גיבוי

נניח משרד עם שרת קבצים אחד. תוקף השיג את הסיסמה של מנהל הרשת בתחילת השבוע, הסתובב ברשת כמה ימים, והפעיל את ההצפנה בלילה שלפני סוף השבוע.

• הגיבוי נשמר לדיסק חיצוני שמחובר לשרת. הדיסק מוצפן יחד עם השרת. בבוקר אין קבצים ואין גיבוי.
• הגיבוי נשמר בענן, בלי נעילה. התוקף מוצא במחשב של המנהל את פרטי הכניסה לקונסולת הגיבוי, נכנס ומוחק את הגיבויים לפני שהוא מצפין. העותק היה רחוק מהמשרד, ובכל זאת נעלם.
• הגיבוי נשמר בענן, והוא נעול. התוקף מנסה למחוק, והעותק נשאר במקומו. בבוקר מגלים את ההצפנה, מנקים את הסביבה ומשחזרים מנקודת זמן שקודמת לחדירה.

בשלושת המקרים המתקפה הצליחה והעסק הושבת. ההבדל הוא רק בשאלה אם יש דרך חזרה שאינה עוברת דרך התוקף.

תקופת הנעילה: כמה זמן העותק מוגן

כשמפעילים אחסון בלתי ניתן לשינוי, קובעים לכמה זמן כל גיבוי נשאר נעול. בזמן הזה אי אפשר למחוק אותו, גם לא כדי לפנות מקום. כשהתקופה מסתיימת, מדיניות השמירה הרגילה חוזרת לחול עליו.

איך בוחרים את אורך התקופה? שני שיקולים מושכים לכיוונים מנוגדים:

• ארוכה מספיק כדי לכסות את זמן הגילוי. תוקף יכול לשהות ברשת זמן מה לפני שהוא מצפין, ומחיקה של גיבויים עלולה להתגלות באיחור. התקופה צריכה להיות ארוכה מהזמן שסביר שיעבור עד שתשימו לב שמשהו קרה.
• לא ארוכה מהנדרש. גיבוי נעול תופס מקום עד תום התקופה, ואי אפשר לקצר אותה בדיעבד. תקופה ארוכה מאוד מגדילה את נפח האחסון.

במערכות רבות יש שתי רמות של נעילה. ברמה הגמישה, מנהל עם הרשאה מתאימה עדיין יכול לשנות את תקופת הנעילה או לבטל אותה, ולכן ההגנה תלויה שוב באבטחת החשבון שלו. ברמה המחמירה אף אחד אינו יכול לבטל או לקצר את הנעילה, גם לא הספק. היא בטוחה יותר, אבל דורשת תכנון זהיר, כי אין ממנה דרך חזרה עד תום התקופה. כדאי לדעת באיזו רמה הגיבוי שלכם מוגדר.

מה גיבוי immutable לא פותר

עותק נעול הוא רשת ביטחון, ולא הגנה מפני המתקפה. כדאי להכיר את הגבולות שלו לפני שנשענים עליו.

• הוא לא עוצר את המתקפה. המחשבים עדיין יוצפנו והעסק עדיין יושבת. העותק רק מבטיח שיהיה ממה לחזור. כדי לעצור את המתקפה בזמן צריך שכבת זיהוי, כמו הגנה מפני כופרה ו-EDR.
• הוא לא מונע גניבת מידע. במתקפות רבות התוקף מעתיק את המידע לפני ההצפנה ומאיים לפרסם אותו. גיבוי אינו עוזר מול האיום הזה.
• הוא לא מבטיח שהעותק נקי. אם התוכנה הזדונית כבר הייתה על המחשב בזמן הגיבוי, היא נמצאת גם בעותק. לכן שומרים כמה נקודות זמן, ובוחרים לשחזר מנקודה שקודמת לחדירה.
• הוא לא מחליף בדיקת שחזור. עותק שאי אפשר למחוק אבל גם אי אפשר לשחזר ממנו אינו שווה הרבה. מוודאים בפועל, ובאופן תקופתי, שהשחזור עובד.
• הוא לא מגן על מה שלא גובה. למחשב שלא נכלל בתוכנית הגיבוי, או לגיבוי שנכשל במשך שבועות בלי שאיש שם לב, הנעילה לא תעזור.
• הוא לא מקצר את זמן השחזור. שחזור של שרתים שלמים לוקח זמן גם כשהעותק שלם.

בקיצור: נעילה עונה על השאלה "האם יישאר לנו עותק". על השאלה "כמה מהר נחזור לעבוד" עונים תכנון, בדיקות ונוהל כתוב. את הנוהל הזה פירטנו בצ'קליסט להתאוששות ממתקפת כופרה.

איפה זה משתלב בתוכנית הגיבוי

עותק נעול אינו תחליף לשאר העותקים, אלא אחד מהם. כלל 3-2-1 ממליץ על שלושה עותקים של המידע, על שני סוגי אחסון, כשאחד מהם מחוץ לאתר. הגרסה המורחבת של הכלל מוסיפה דרישה: עותק אחד לפחות יהיה מנותק מהרשת או בלתי ניתן לשינוי.

כדאי גם לא לבלבל בין עותק נעול לבין Snapshot. תמונת מצב של שרת נשמרת באותה תשתית שבה השרת רץ, ומי ששולט בתשתית יכול למחוק גם אותה. על ההבדל הזה הרחבנו במדריך למה גיבוי הוא לא Snapshot.

בגיבוי הענן של Acronis, שאמפייר אייאל מספקת כמשווק מורשה, העותק נשמר מחוץ לרשת שלכם ומוצפן ב-AES-256, ואפשר להגדיר שיהיה בלתי ניתן לשינוי לתקופה שתבחרו. בנוסף, מנגנון Active Protection מגן על סוכן הגיבוי ועל קובצי הגיבוי מפני שינוי, והגישה לקונסולה מוגנת בהרשאות ובאימות דו-שלבי.

איך בודקים שהגיבוי שלכם באמת immutable

המילה מופיעה היום בחומרי שיווק רבים, ולא תמיד במשמעות המלאה שלה. אלה השאלות ששווה לשאול את הספק או את איש המחשוב:

1. מי יכול למחוק גיבוי היום? אם התשובה היא "רק המנהל", הגיבוי אינו נעול. בעותק נעול באמת התשובה היא "אף אחד, עד תאריך מסוים".
2. איפה הנעילה נאכפת? באחסון עצמו, או רק בהגדרה של תוכנת הגיבוי שאפשר לכבות?
3. מה אורך התקופה, ועל מה היא חלה? על כל הגיבויים, או רק על חלק מהם?
4. מה קורה אם מכבים את האפשרות? האם גיבויים שכבר ננעלו נשארים מוגנים עד תום התקופה שלהם, או שהכיבוי משחרר גם אותם?
5. מי יכול לשנות את ההגדרה, ואיך מוגן החשבון שלו? אימות דו-שלבי לקונסולת הגיבוי הוא תנאי בסיסי.
6. האם מתקבלת התראה כשמישהו משנה את מדיניות השמירה? שינוי כזה הוא סימן אזהרה מוקדם.
7. אפשר לראות את זה בפועל? בקשו הדגמה: ניסיון למחוק גיבוי ניסיוני שננעל. המערכת צריכה לסרב, או לשמור את העותק ולאפשר לשחזר אותו עד תום התקופה.

אחרי התשובות, עורכים בדיקת שחזור מאחד העותקים הנעולים. רק שחזור שהצליח מוכיח שהעותק גם קיים וגם שמיש.

שאלות נפוצות

מה ההבדל בין גיבוי immutable לגיבוי מוצפן?

הצפנה מונעת ממי שאינו מורשה לקרוא את הגיבוי. נעילה מונעת מכל אחד לשנות או למחוק אותו. אלה שתי הגנות שונות, וגיבוי טוב משתמש בשתיהן: גיבוי מוצפן שאינו נעול עדיין אפשר למחוק.

האם גיבוי immutable מגן מפני כל מתקפת כופרה?

הוא מגן על העותק, לא על המחשבים. המתקפה עדיין יכולה להשבית את העסק ולחשוף מידע שנגנב. מה שהעותק הנעול מבטיח הוא שתוכלו לשחזר בלי להיות תלויים בתוקף.

לכמה זמן כדאי לנעול את הגיבויים?

אין מספר אחד שמתאים לכולם. התקופה צריכה להיות ארוכה מהזמן שסביר שיעבור עד שתגלו חדירה, ולהתאים לנפח האחסון שאתם מוכנים להחזיק. בשלב האפיון קובעים אותה יחד עם מדיניות השמירה.

האם אפשר למחוק גיבוי נעול אם נגמר המקום?

לא לפני תום התקופה, וזה בדיוק העיקרון. לכן מתכננים מראש את נפח האחסון לפי אורך הנעילה ולפי קצב השינוי במידע, ומגדירים התראה כשהנפח מתקרב לגבול.

האם גיבוי בענן הוא אוטומטית immutable?

לא. גיבוי ענן נמצא מחוץ למשרד, וזה יתרון חשוב, אבל ברוב השירותים הנעילה היא אפשרות שצריך להפעיל ולהגדיר. כדאי לוודא עם הספק שהיא פועלת אצלכם ולא רק קיימת במוצר.

עסק קטן באמת צריך את זה?

אם העסק תלוי במידע שלו, כן. כופרה פוגעת גם בעסקים קטנים, ודווקא להם קשה יותר לספוג אובדן של כל הקבצים. הפעלת נעילה על גיבוי ענן קיים היא שינוי קטן ביחס לתועלת שלה.

רוצים לוודא שיישאר לכם ממה לשחזר?

בגיבוי הענן של Acronis אפשר להפעיל עותק בלתי ניתן לשינוי כחלק מתוכנית ההגנה, בניהול שלנו או בניהול עצמי. ספרו לנו מה צריך להגן, ונחזור עם הצעה שכוללת תקופת נעילה ובדיקת שחזור.