避免向通過勒索軟件發(fā)起攻擊者支付贖金的最佳方法是對重要系統(tǒng)進行充分備份，這樣當系統(tǒng)受到感染后可以及時刪除它們，并從安全的備份中進行恢復。用戶可以通過以下選項確保這些備份能夠發(fā)揮作用。

在本文中，備份指的是用戶用于應(yīng)對勒索軟件攻擊的所有系統(tǒng)，包括老式備份系統(tǒng)、復制系統(tǒng)以及支持備份和災(zāi)難恢復的現(xiàn)代混合系統(tǒng)。為了簡單起見，我們在這里將它們統(tǒng)稱為備份。

[[406540]]

遵循3-2-1規(guī)則備份所有內(nèi)容

在其他事情之前，備份所有的東西極為重要。用戶需要清楚自己的自動備份系統(tǒng)能夠做哪些事情，是否具有能夠覆蓋所有的新系統(tǒng)、文件系統(tǒng)和數(shù)據(jù)庫的能力。在虛擬化世界中，這項工作非常簡單，用戶可以將備份系統(tǒng)配置為一旦有虛擬機出現(xiàn)就自動備份主機上的所有虛擬機。備份工作也可以基于標記的內(nèi)含物，其中不同類型的虛擬機可以根據(jù)其“包含的”標記被自動包含進來。在備份系統(tǒng)當中，自動化的最佳用途之一是自動包含所有內(nèi)容。

用戶要確保在自己的備份系統(tǒng)中嚴格遵循3-2-1規(guī)則。該規(guī)則規(guī)定，要在兩種不同的媒介上至少要存儲三份數(shù)據(jù)拷貝或是三個版本的數(shù)據(jù)，其中一份必須是離線的。其精髓是將三份拷貝中的兩份拷貝和另外一份拷貝分別存儲在不同的系統(tǒng)和不同的位置，不要將備份存儲在與主系統(tǒng)相同的位置，將它們存儲在不同的操作系統(tǒng)和物理位置上更好，但是在現(xiàn)實世界中可能無法一直做到這一點。

備份系統(tǒng)應(yīng)該具備某種類型的自動報告功能，這樣用戶就可以確定正在進行的備份是否真實有效。這些功能應(yīng)該包括成功報告和失敗報告。第三方監(jiān)控系統(tǒng)可能是最佳選擇，因為它們可以不斷地查看所有的東西，并指出何時備份出現(xiàn)異常。帶有機器學習的報告系統(tǒng)是最為理想的選擇，因為它們可以突出顯示發(fā)現(xiàn)的問題。與每天從備份系統(tǒng)中讀取幾十或幾百封電子郵件以確保正常的做法相比，這顯然要輕松許多。

災(zāi)難恢復應(yīng)排在首位

備份和災(zāi)難恢復系統(tǒng)應(yīng)該是計算環(huán)境中最安全的系統(tǒng)，它們應(yīng)當難以進入和登錄，即便是以管理員身份或是root方式也應(yīng)當難以登錄。我們建議備份系統(tǒng)支持基于角色的管理，以便用戶可以以自己的身份登錄并運行備份。用戶不應(yīng)通過root或以管理員身份運行備份。因為這樣登錄是非常危險的，應(yīng)當盡可能對此加以限制。

[[406541]]

備份和災(zāi)難恢復系統(tǒng)必須是最新系統(tǒng)。安全補丁應(yīng)首先安裝在那里，而不是最后才安裝，因為備份和災(zāi)難恢復系統(tǒng)是最后一道防線。用戶必須確保其沒有受到數(shù)周前就應(yīng)修補的安全漏洞的影響。

如果用戶對服務(wù)器有物理訪問權(quán)限，那么所有關(guān)于數(shù)據(jù)完整性和不變性的說法都是蒼白的，因此用戶必須要確保備份服務(wù)器難以被物理訪問。備份服務(wù)器應(yīng)被設(shè)置在不同的房間，且這些機房也需要設(shè)置不同的進入權(quán)限，或是設(shè)置在并非每個人都有鑰匙的機架內(nèi)。另一個好辦法是將備份系統(tǒng)完全從數(shù)據(jù)中心中獨立出去，將它們放在云端。

加密所有內(nèi)容

所有備份通信都應(yīng)加密，因此用戶需確保自己的備份提供商加密了系統(tǒng)之間的通信。這意味著，在用戶遇到了高級持久性威脅時，即便對方對網(wǎng)絡(luò)進行了嗅探，也無法識別備份服務(wù)器。這可以有效防止備份系統(tǒng)受到勒索軟件的攻擊。

除了加密正在通信中的備份數(shù)據(jù)外，用戶還應(yīng)加密處于靜止狀態(tài)的所有備份數(shù)據(jù)，特別是當數(shù)據(jù)存儲在物理控制之外的位置時。這包括用戶需要隨時交付的磁帶，還包括存儲在云提供商網(wǎng)絡(luò)中的數(shù)據(jù)，因為即使它們非常安全，但是仍然沒有達到高枕無憂的狀態(tài)。用戶應(yīng)確保備份數(shù)據(jù)不被攻擊者用于深入滲透網(wǎng)絡(luò)和發(fā)動攻擊。

基于業(yè)務(wù)需求構(gòu)建災(zāi)難恢復

經(jīng)過良好測試的災(zāi)難恢復系統(tǒng)是抵御勒索軟件攻擊的最佳防御。設(shè)計糟糕的系統(tǒng)最終會導致用戶受到勒索攻擊并不得不支付贖金。

災(zāi)難恢復系統(tǒng)應(yīng)該建立在業(yè)務(wù)需求的基礎(chǔ)上。在決定如何滿足這些需求之前，用戶應(yīng)對恢復時間目標(RTO)和恢復點目標(RPO)等需求展開充分的討論。首先要確定RTO和RPO，然后再根據(jù)這些需求設(shè)計備份和災(zāi)難恢復系統(tǒng)。

進行嚴格測試

有新聞報道稱，德克薩斯州奧斯汀市在全州停電期間長時間停水的原因，是水廠沒有工作人員知道如何打開備用發(fā)電機。我們要引以為戒，不要成為一家擁有完美的備份和災(zāi)難恢復系統(tǒng)卻不知道如何使用它們的公司。如今數(shù)據(jù)面臨著眾多風險，用戶必須遵循以下建議：經(jīng)常測試自己的災(zāi)難恢復系統(tǒng)。

好消息是，大多數(shù)現(xiàn)代備份和災(zāi)難恢復系統(tǒng)都支持對整個系統(tǒng)進行頻繁測試。用戶可以根據(jù)需要隨時在沙箱中打開整個數(shù)據(jù)中心，以便了解它們的實際工作方式。至少每季度做一次測試。測試需要幾個小時并且很無聊，但是這樣可以證明它們能夠正常工作。雖然每季度測試一次很煩，但是當面對勒索攻擊需要進行恢復時，用戶就可從容進行操作了。

每次運行測試時，測試人員需要進行輪換。測試人員不應(yīng)該是設(shè)計系統(tǒng)的人，也不應(yīng)該是每天使用系統(tǒng)的人。他們必須技術(shù)熟練，并可以獲得相應(yīng)的技術(shù)文檔。這是確認系統(tǒng)和文檔都正常工作的最佳方法。

災(zāi)難恢復系統(tǒng)可以在遇到勒索軟件攻擊后讓整個數(shù)據(jù)中心迅速重新上線，這是避免支付勒索贖金的唯一方法。