【51CTO.COM 快譯】從理論上講，每位受害者都不應(yīng)向勒索軟件支付贖金。難道我們手中握有的備份副本是吃素的?即使是消費(fèi)級(jí)用戶也擁有大量免費(fèi)或者成本極低的備份手段。

然而，無(wú)數(shù)新聞報(bào)道反復(fù)提醒著我們，醫(yī)院、警局與各類組織機(jī)構(gòu)都應(yīng)當(dāng)利用堅(jiān)實(shí)的備份策略保障自身業(yè)務(wù)連續(xù)性。

根據(jù)FBI的調(diào)查，單在2016年第一季度美國(guó)本土支付給勒索軟件的贖金總額就高達(dá)2.09億美元——遠(yuǎn)高于2015年全年的2500萬(wàn)美元。

[[167067]]

這是怎么回事?備份機(jī)制怎么沒(méi)起到作用?

事實(shí)上，為了節(jié)約資金，某些企業(yè)并沒(méi)有將全部重要文件納入備份，或者沒(méi)能以理想的頻率運(yùn)行備份方案。也有一些用戶直到面對(duì)勒索才發(fā)現(xiàn)自己的備份并不能正常起效。最后，也有部分企業(yè)把備份副本放在了網(wǎng)絡(luò)驅(qū)動(dòng)器等能夠?yàn)槔账鬈浖p易尋獲并進(jìn)行加密的位置。

多少份備份副本才能保障萬(wàn)全?

成本與安全性之間永遠(yuǎn)需要做出取舍，而大多數(shù)企業(yè)顯然更重視其運(yùn)營(yíng)開銷。

“總體來(lái)講，企業(yè)并不太愿意為IT部門提供備份全部數(shù)據(jù)所必需的預(yù)算，”戴爾公司客戶解決方案辦公室研究員兼執(zhí)行董事David Konetski解釋稱。“不過(guò)那已經(jīng)是五到十年前的情況了，隨著存儲(chǔ)成本的不斷下降，如今我們可以選擇成本相當(dāng)?shù)土拇鎯?chǔ)方案及云存儲(chǔ)服務(wù)。”

另外，單純備份重要數(shù)據(jù)與文件可能還不夠。所有設(shè)備都該被納入備份范疇，只要其在業(yè)務(wù)體系中有著自己的作用。

例如，好萊塢長(zhǎng)老會(huì)醫(yī)療中心最近就向勒索分子支付了17000美元贖金。該勒索軟件并沒(méi)有對(duì)文件進(jìn)行加密，但卻在十天中嚴(yán)重影響到其業(yè)務(wù)，迫使工作人員重新開始使用紙質(zhì)記錄與傳真機(jī)。當(dāng)?shù)匦侣剻C(jī)構(gòu)報(bào)道稱，部分緊急病人甚至因此被轉(zhuǎn)移到其它醫(yī)院。

“惡意軟件鎖定了特定計(jì)算機(jī)系統(tǒng)，同時(shí)阻止我們以電子方式進(jìn)行共享通信，”該醫(yī)療中心CEO Allen Stefanek在一封公開信中解釋道。

如果擁有完整的設(shè)備鏡像，醫(yī)院能夠徹底清除被感染的硬件并將其恢復(fù)至正常版本。事實(shí)上，企業(yè)并不需要為每套系統(tǒng)存儲(chǔ)多個(gè)完整版本——使用只保存最新變化的增量型備份系統(tǒng)能夠有效解決問(wèn)題。“在這種情況下，如果系統(tǒng)遭受危害，用戶可以回滾至裸機(jī)狀態(tài)，”惠普企業(yè)業(yè)務(wù)公司企業(yè)級(jí)數(shù)據(jù)保護(hù)與移動(dòng)信息化管理部門產(chǎn)品管理高級(jí)總監(jiān)Stephen Spellicy表示。

對(duì)備份機(jī)制進(jìn)行測(cè)試

創(chuàng)建一套綜合性的備份策略無(wú)疑是項(xiàng)持續(xù)性工作，特別是在擁有多種數(shù)據(jù)、文件與系統(tǒng)類型需要保護(hù)的大型企業(yè)當(dāng)中。這種復(fù)雜性可能導(dǎo)致某些備份無(wú)法正常起效，ESET公司高級(jí)安全研究員Stephen Cobb指出。

“企業(yè)面臨勒索軟件時(shí)遭遇的最大難題在于，他們可能并沒(méi)有對(duì)自己的備份方案進(jìn)行過(guò)測(cè)試，”他表示。“備份確實(shí)在正常進(jìn)行，但他們沒(méi)有以此為基礎(chǔ)進(jìn)行過(guò)恢復(fù)。”

“之所以很少進(jìn)行備份測(cè)試，是因?yàn)橄喈?dāng)一部分企業(yè)正計(jì)劃選擇其它供應(yīng)商的方案，”他指出。“但測(cè)試工作需要定期進(jìn)行，只要還在使用就必須進(jìn)行測(cè)試，否則無(wú)效的方案還不如沒(méi)有。”

隱藏備份以防止惡意人士窺探

網(wǎng)絡(luò)勒索分子當(dāng)然了解備份的重要作用，他們也將其視為自己的頭號(hào)天敵。

“某些勒索軟件會(huì)銷毀所有鏡像副本以及Windows系統(tǒng)上的恢復(fù)點(diǎn)數(shù)據(jù)。也有一部分勒索軟件會(huì)將矛頭指向接入驅(qū)動(dòng)器，”RiskAnalytics公司安全實(shí)驗(yàn)室主管Noah Dunker表示。

“為了幫助備份副本擁有勒索軟件抵御能力，大家應(yīng)當(dāng)使用不接入特定工作站的獨(dú)立驅(qū)動(dòng)器，”ArcticWolf Networks公司安全工程技術(shù)負(fù)責(zé)人Sam McLane建議稱。“例如，通過(guò)網(wǎng)絡(luò)將數(shù)據(jù)在不同工作站或存儲(chǔ)設(shè)備之間往來(lái)遷移。確保該存儲(chǔ)設(shè)備或驅(qū)動(dòng)器受到保護(hù)且無(wú)法被用戶工作站所訪問(wèn)。”

安全控制必須部署到位。“大家不需要每天訪問(wèn)備份副本，其只負(fù)責(zé)應(yīng)對(duì)緊急情況，”數(shù)據(jù)加密廠商Identity Finder公司CEO Todd Feinman表示。

由于系統(tǒng)會(huì)不斷監(jiān)控文件變化并進(jìn)行同步，因此一旦惡意軟件侵入計(jì)算機(jī)并加密所有文件，那么備份系統(tǒng)及鏡像也將被一同加密。不過(guò)幸運(yùn)的是，我們往往擁有其它早期版本可供參考。

“如果某個(gè)加密文件在流程中進(jìn)行了備份，那么只要加以恢復(fù)即可使其回歸解密狀態(tài)，”Authentic8公司聯(lián)合創(chuàng)始人兼CEO Scott Petry指出。“但為了避免加密-恢復(fù)-解密的流程不斷循環(huán)，大家應(yīng)當(dāng)首先清除惡意軟件，而后再行恢復(fù)。”

不只是數(shù)據(jù)

丟失文件及關(guān)鍵性任務(wù)系統(tǒng)遭到鎖定還并非最差的結(jié)果，勒索軟件亦有可能充當(dāng)其它攻擊活動(dòng)的掩護(hù)。

“高級(jí)黑客很可能利用勒索軟件掩護(hù)自己的攻擊或者破壞事件響應(yīng)機(jī)制，”Strategic Cyber Ventures公司CEO Tom Kellermann表示。

這類攻擊者甚至有可能劫持企業(yè)的整體通訊或者網(wǎng)站以進(jìn)一步擴(kuò)大勒索規(guī)模。因此及早清理并充分利用恢復(fù)手段才是最為可靠的應(yīng)對(duì)思路。

原文鏈接：Will your backups protect you against ransomware?

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文譯者和出處為51CTO.com】