Een back-up hebben is niet genoeg

Het NCSC, het Nationaal Cyber Security Centrum, meldde dat een meerderheid van de ransomwareslachtoffers die het onderzocht geen back-up had waarmee ze verder konden. Niet "geen back-up", maar geen back-up die op het moment van de aanval bruikbaar was. Dat onderscheid is het hele verhaal.

Wat er misgaat bij "wij hebben een back-up"

De meeste bedrijven die het zeggen, hebben een van deze vier:

1. Een kopie op dezelfde plek. OneDrive, Google Drive of een NAS synchroniseren bestanden. Versleutelt ransomware een bestand, dan synchroniseert de versleutelde versie netjes mee. De prullenbak en het versiebeheer helpen even, maar hebben een bewaartermijn, en een aanvaller die beheerdersrechten heeft, leegt ze.
2. Een kopie die de aanvaller ook kan wissen. Een externe schijf die altijd aangesloten is, of een back-uplocatie waar de server zelf kan schrijven én wissen. Moderne ransomware zoekt eerst de back-ups en vernietigt die, en versleutelt pas daarna de rest.
3. Een back-up die niemand ooit heeft teruggezet. De taak draait elke nacht op groen. Of de bestanden ook echt te openen zijn, blijkt pas op de dag dat het moet.
4. Een back-up van de verkeerde dingen. De bestanden wel, de mail niet. De server wel, de instellingen en wachtwoorden niet. Terugzetten lukt, en daarna begint het inrichten opnieuw.

De 3-2-1-regel, en waarom er een vierde cijfer bij hoort

De klassieke vuistregel: drie kopieën van uw gegevens, op twee verschillende soorten opslag, waarvan één op een andere locatie. Die regel komt uit een tijd dat de grootste dreiging brand of een kapotte schijf was.

Tegen ransomware hoort er iets bij: één kopie moet onveranderbaar zijn. Niemand, ook geen beheerder met het juiste wachtwoord, mag hem kunnen wissen of overschrijven totdat de bewaartermijn verstreken is. In vaktermen: immutable, of een back-up waarbij de back-upserver alleen mag schrijven en nooit mag verwijderen.

Zo doen wij dat bij de VIT Werkplek: de werkplekservers mogen naar de back-up schrijven, maar niet wissen. Wissen kan alleen vanaf de back-upkant, met andere sleutels, en pas na de bewaartermijn. Een aanvaller die de werkplek binnenkomt, komt daarmee niet bij de back-up.

Terugzetten is een vaardigheid, geen knop

Een back-up die werkt is een back-up die iemand regelmatig terugzet. Niet alles, wel steekproeven: een map van vorige week, een postbus van een maand geleden, een heel account. Wie dat oefent, weet hoe lang het duurt en waar het hapert. Wie dat niet oefent, ontdekt het onder druk.

Vraag uw leverancier daarom niet "maken jullie een back-up?" maar:

• Hoe lang duurt het om één bestand van gisteren terug te zetten?
• Hoe lang duurt het om een hele postbus van drie weken geleden terug te zetten?
• Wanneer is dat voor het laatst gedaan, en door wie?
• Kan iemand met beheerdersrechten op de werkplek de back-up wissen?
• Hoe lang worden versies bewaard?

Wat u zelf kunt doen, vandaag

• Zet één bestand terug uit uw huidige back-up. Lukt dat niet binnen een kwartier, dan heeft u geen back-up maar een hoop.
• Kijk of de back-uplocatie vanaf uw werkplek te wissen is. Zo ja, dan is hij niet bestand tegen ransomware.
• Leg vast wat er in de back-up zit en wat niet. Mail, bestanden, agenda, instellingen, wachtwoorden.
• Zorg dat tweestapsverificatie aan staat op alles waarmee een aanvaller bij de back-up zou kunnen komen.

Bij de VIT Werkplek zit de dagelijkse back-up op aparte apparatuur in de maandprijs, inclusief het terugzetten door ons. Wij oefenen dat, omdat wij het zelf moeten kunnen op de dag dat u belt.

Bron: NCSC, bericht "Meerderheid ransomware-slachtoffers had geen back-up", ncsc.nl.