【51CTO.COM 快譯】從理論上講，每位受害者都不應(yīng)向勒索軟件支付贖金。難道我們手中握有的備份副本是吃素的?即使是消費級用戶也擁有大量免費或者成本極低的備份手段。

然而，無數(shù)新聞報道反復(fù)提醒著我們，醫(yī)院、警局與各類組織機(jī)構(gòu)都應(yīng)當(dāng)利用堅實的備份策略保障自身業(yè)務(wù)連續(xù)性。

根據(jù)FBI的調(diào)查，單在2016年第一季度美國本土支付給勒索軟件的贖金總額就高達(dá)2.09億美元——遠(yuǎn)高于2015年全年的2500萬美元。

[[167067]]

這是怎么回事?備份機(jī)制怎么沒起到作用?

事實上，為了節(jié)約資金，某些企業(yè)并沒有將全部重要文件納入備份，或者沒能以理想的頻率運行備份方案。也有一些用戶直到面對勒索才發(fā)現(xiàn)自己的備份并不能正常起效。最后，也有部分企業(yè)把備份副本放在了網(wǎng)絡(luò)驅(qū)動器等能夠為勒索軟件所輕易尋獲并進(jìn)行加密的位置。

多少份備份副本才能保障萬全?

成本與安全性之間永遠(yuǎn)需要做出取舍，而大多數(shù)企業(yè)顯然更重視其運營開銷。

“總體來講，企業(yè)并不太愿意為IT部門提供備份全部數(shù)據(jù)所必需的預(yù)算，”戴爾公司客戶解決方案辦公室研究員兼執(zhí)行董事David Konetski解釋稱。“不過那已經(jīng)是五到十年前的情況了，隨著存儲成本的不斷下降，如今我們可以選擇成本相當(dāng)?shù)土拇鎯Ψ桨讣霸拼鎯Ψ?wù)。”

另外，單純備份重要數(shù)據(jù)與文件可能還不夠。所有設(shè)備都該被納入備份范疇，只要其在業(yè)務(wù)體系中有著自己的作用。

例如，好萊塢長老會醫(yī)療中心最近就向勒索分子支付了17000美元贖金。該勒索軟件并沒有對文件進(jìn)行加密，但卻在十天中嚴(yán)重影響到其業(yè)務(wù)，迫使工作人員重新開始使用紙質(zhì)記錄與傳真機(jī)。當(dāng)?shù)匦侣剻C(jī)構(gòu)報道稱，部分緊急病人甚至因此被轉(zhuǎn)移到其它醫(yī)院。

“惡意軟件鎖定了特定計算機(jī)系統(tǒng)，同時阻止我們以電子方式進(jìn)行共享通信，”該醫(yī)療中心CEO Allen Stefanek在一封公開信中解釋道。

如果擁有完整的設(shè)備鏡像，醫(yī)院能夠徹底清除被感染的硬件并將其恢復(fù)至正常版本。事實上，企業(yè)并不需要為每套系統(tǒng)存儲多個完整版本——使用只保存最新變化的增量型備份系統(tǒng)能夠有效解決問題。“在這種情況下，如果系統(tǒng)遭受危害，用戶可以回滾至裸機(jī)狀態(tài)，”惠普企業(yè)業(yè)務(wù)公司企業(yè)級數(shù)據(jù)保護(hù)與移動信息化管理部門產(chǎn)品管理高級總監(jiān)Stephen Spellicy表示。

對備份機(jī)制進(jìn)行測試

創(chuàng)建一套綜合性的備份策略無疑是項持續(xù)性工作，特別是在擁有多種數(shù)據(jù)、文件與系統(tǒng)類型需要保護(hù)的大型企業(yè)當(dāng)中。這種復(fù)雜性可能導(dǎo)致某些備份無法正常起效，ESET公司高級安全研究員Stephen Cobb指出。

“企業(yè)面臨勒索軟件時遭遇的最大難題在于，他們可能并沒有對自己的備份方案進(jìn)行過測試，”他表示。“備份確實在正常進(jìn)行，但他們沒有以此為基礎(chǔ)進(jìn)行過恢復(fù)。”

“之所以很少進(jìn)行備份測試，是因為相當(dāng)一部分企業(yè)正計劃選擇其它供應(yīng)商的方案，”他指出。“但測試工作需要定期進(jìn)行，只要還在使用就必須進(jìn)行測試，否則無效的方案還不如沒有。”

隱藏備份以防止惡意人士窺探

網(wǎng)絡(luò)勒索分子當(dāng)然了解備份的重要作用，他們也將其視為自己的頭號天敵。

“某些勒索軟件會銷毀所有鏡像副本以及Windows系統(tǒng)上的恢復(fù)點數(shù)據(jù)。也有一部分勒索軟件會將矛頭指向接入驅(qū)動器，”RiskAnalytics公司安全實驗室主管Noah Dunker表示。

“為了幫助備份副本擁有勒索軟件抵御能力，大家應(yīng)當(dāng)使用不接入特定工作站的獨立驅(qū)動器，”ArcticWolf Networks公司安全工程技術(shù)負(fù)責(zé)人Sam McLane建議稱。“例如，通過網(wǎng)絡(luò)將數(shù)據(jù)在不同工作站或存儲設(shè)備之間往來遷移。確保該存儲設(shè)備或驅(qū)動器受到保護(hù)且無法被用戶工作站所訪問。”

安全控制必須部署到位。“大家不需要每天訪問備份副本，其只負(fù)責(zé)應(yīng)對緊急情況，”數(shù)據(jù)加密廠商Identity Finder公司CEO Todd Feinman表示。

由于系統(tǒng)會不斷監(jiān)控文件變化并進(jìn)行同步，因此一旦惡意軟件侵入計算機(jī)并加密所有文件，那么備份系統(tǒng)及鏡像也將被一同加密。不過幸運的是，我們往往擁有其它早期版本可供參考。

“如果某個加密文件在流程中進(jìn)行了備份，那么只要加以恢復(fù)即可使其回歸解密狀態(tài)，”Authentic8公司聯(lián)合創(chuàng)始人兼CEO Scott Petry指出。“但為了避免加密-恢復(fù)-解密的流程不斷循環(huán)，大家應(yīng)當(dāng)首先清除惡意軟件，而后再行恢復(fù)。”

不只是數(shù)據(jù)

丟失文件及關(guān)鍵性任務(wù)系統(tǒng)遭到鎖定還并非最差的結(jié)果，勒索軟件亦有可能充當(dāng)其它攻擊活動的掩護(hù)。

“高級黑客很可能利用勒索軟件掩護(hù)自己的攻擊或者破壞事件響應(yīng)機(jī)制，”Strategic Cyber Ventures公司CEO Tom Kellermann表示。

這類攻擊者甚至有可能劫持企業(yè)的整體通訊或者網(wǎng)站以進(jìn)一步擴(kuò)大勒索規(guī)模。因此及早清理并充分利用恢復(fù)手段才是最為可靠的應(yīng)對思路。

原文鏈接：Will your backups protect you against ransomware?

【51CTO譯稿，合作站點轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】