Успешното архивиране не гарантира, че една организация може да възстанови доверени данни и да възобнови критичните си услуги след ransomware атака. Разликата между backup, disaster recovery и cyber recovery е свързана с надеждността на данните, изолирането на средата и правилната последователност на възстановяване.

Успешно приключилата задача за архивиране доказва, че е създадено копие на данните. Тя обаче не доказва, че организацията може да използва това копие, за да възстанови работата си след кибератака. При ransomware инцидент производствената среда може вече да е компрометирана, идентификационните данни да не са надеждни, а достъпните резервни копия също да са обект на атака.

Така възстановяването се превръща във въпрос на доверие, изолация и правилна последователност на действията, а не просто на наличен капацитет за съхранение.

Backup, Disaster Recovery и Cyber Recovery – три различни задачи

Трите понятия често се използват като взаимозаменяеми, но отговарят на различни въпроси:

• Backup защитава копията на данните при изтриване, повреда или загуба. Основният въпрос е дали съществува използваемо копие.
• Disaster Recovery (DR) възстановява системи и услуги след прекъсване или отказ на инфраструктура. Тук водещи са целите за допустима загуба на данни и време за възстановяване.
• Cyber Recovery е насочено към възстановяване на надеждни операции след злонамерено компрометиране. Основният въпрос е дали резервните копия са изолирани, проверени и могат да бъдат възстановени в чиста среда.

Кибервъзстановяването не заменя архивирането или възстановяването при бедствия. То добавя различно допускане: нападателят може вече да има достъп до производствените системи, идентичностите или резервните копия.

Това променя и въпросите към доставчиците: има ли защитено копие извън обхвата на обичайния достъп на нападателя, може ли да бъде открита версия отпреди компрометирането и тествано ли е възстановяването в изолирана среда?

Защо най-новото резервно копие може да не е правилният избор

Ransomware атаките показват особено ясно ограниченията на традиционния подход. Компрометирането може да е започнало дни или седмици преди криптирането да стане видимо. Затова най-новото резервно копие не непременно е най-безопасната точка за възстановяване.

Нападателите могат също да се опитат да изтрият или криптират резервните копия, до които имат достъп. В насоките си StopRansomware американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) препоръчва офлайн или по друг начин защитени резервни копия, криптиране на критичните данни и редовни проверки на тяхната наличност и цялост.

Възстановяването трябва да предотврати пренасянето на заплахата обратно в чистата среда. Това изисква първоначално ограничаване на инцидента, проверка на данните, внимателно планиране на последователността и контролиран преход към производствена работа.

Резервното копие може да съществува, но въпреки това да е неподходящо за възстановяване. Организацията трябва да може да докаже, че избраната версия е защитена, надеждна и безопасна за използване.

Киберустойчивостта не е равнозначна на киберсигурност

Киберсигурността е насочена към намаляване на вероятността от компрометиране и ограничаване на последствията. Киберустойчивостта приема, че прекъсване или инцидент все пак може да настъпи, и поставя въпроса дали организацията може да продължи работа или да възстанови критичните си операции.

За тази цел превантивните мерки, защитата на идентичностите, наблюдението и реакцията при инциденти трябва да бъдат допълнени от план за непрекъсваемост и възстановяване. Той трябва да определя кои услуги остават активни, кои се възстановяват първи, на кои данни може да се има доверие и как се доказва, че процесът работи.

Какво трябва да оценяват организациите при избора на решение

Оценката на платформа за възстановяване трябва да започва от бизнес резултата, а не от списъка с функции. Първо трябва да се определят критичните услуги, допустимата загуба на данни и времето, в което всяка услуга трябва да бъде възстановена.

Два основни показателя са:

• RPO (Recovery Point Objective) – колко данни може да си позволи бизнесът да загуби, измерено като времева точка.
• RTO (Recovery Time Objective) – колко дълго дадена услуга може да остане недостъпна, преди да трябва да бъде възстановена.

Следващата стъпка е да се оцени надеждността на резервните копия: как се защитават от промяна или изтриване, как се определя коя версия е чиста и как компрометирани идентификационни данни се държат извън средата за възстановяване.

Защо идентичностите и инфраструктурните зависимости трябва да се възстановяват първи

Приоритетът за възстановяване не трябва да се определя единствено от значимостта на приложенията. Съществено е кои услуги зависят една от друга и какви основни компоненти трябва да функционират, преди бизнес приложенията да могат да бъдат използвани безопасно.

Система за заплати, ERP платформа или клиентски портал може да са критични за бизнеса, но да зависят от удостоверяване, директории, DNS, сертификати, мрежова свързаност и административен достъп. Ако тези основи липсват или не са надеждни, възстановяването на приложението само по себе си няма да върне бизнес процеса.

Насоките на Microsoft за възстановяване на Active Directory препоръчват използване на надеждни резервни копия в изолирана среда и приоритизиране на контролер за запис в root домейн. В тях се посочва и необходимостта родителските домейни да бъдат възстановени преди дъщерните заради зависимостите между доверието и DNS.

В някои ситуации обаче възстановяването на идентичностите от резервно копие може да не е най-подходящият вариант. Ако са компрометирани множество идентичности или надеждността на самата директория е под съмнение, изграждането на части от средата отново може да осигури по-чист и понякога по-бърз път към надеждно състояние.

Затова плановете трябва предварително да определят кога услугите за идентичност да бъдат възстановявани от копие и кога да бъдат изграждани наново. Същият принцип важи и за останалата инфраструктура: зависимостите трябва да бъдат картографирани преди инцидента, а не откривани по време на кризата.

Облак, локална инфраструктура или хибриден модел

Няма универсално най-добро място за възстановяване. Изборът зависи от разположението на работните натоварвания, модела на заплахите, целите за възстановяване, контрола върху инфраструктурата и разходите.

Локалната инфраструктура осигурява пряк контрол върху оборудването и мрежовата изолация. Облачната среда може да осигури географско разделение и гъвкав капацитет, но въвежда допълнителни зависимости от свързаността, идентичностите, конфигурациите и потреблението на ресурси. Хибридният модел може да комбинира тези предимства, особено когато производствените системи вече са разпределени между центрове за данни и облачни платформи.

По-важният критерий е дали средата за възстановяване действително е отделена от инфраструктурата, която трябва да защитава. Преместването на копие на друго място не гарантира кибервъзстановяване, ако същите идентификационни данни, управляваща платформа или компрометирани пътища за достъп позволяват то да бъде достигнато.

Седем проверки за готовността за възстановяване

Практическата оценка на стратегията може да бъде организирана около седем въпроса:

1. Възстановяване: Кои услуги трябва да се върнат първи, включително идентичностите и основните инфраструктурни компоненти, и какви RPO/RTO са определени?
2. Доверие: Може ли организацията да открие надеждна точка за възстановяване, вместо автоматично да избере най-новото копие?
3. Изолация: Могат ли нападатели или компрометирани акаунти да достигнат, променят или изтрият резервните данни?
4. Архитектура: Подходящо ли е решението за локални, облачни и хибридни натоварвания, без да създава нова обща точка на отказ?
5. Мащаб: Може ли моделът да се адаптира към растежа на данните, новите приложения и промените в инфраструктурата?
6. Операции: Могат ли екипите да управляват, тестват и изпълняват процеса многократно при реалистични условия?
7. Икономика: Съответстват ли възможностите за възстановяване и оперативните разходи на бизнес риска, който трябва да бъде ограничен?

Този подход поставя бизнес изискванията преди избора на конкретна технология.

Пример за архитектура за кибервъзстановяване

Един от подходите, използвани в съвременните архитектури за кибервъзстановяване, е създаването на изолиран трезор, в който се съхраняват защитени копия от производствената среда. Достъпът до него и връзката за репликация се контролират отделно, така че компрометирането на основната инфраструктура да не осигурява автоматично достъп до резервните данни.

Подобни архитектури се предлагат от различни доставчици. Например Dell PowerProtect Cyber Recovery използва изолиран трезор и механизми за анализ на данните с цел откриване на подозрителни промени и подпомагане на избора на точка за възстановяване. Това е само един пример за реализация на концепцията, а не универсално решение.

Независимо от избраната технология, решаващи остават изолацията, надеждността на копията, проверката за компрометиране, възможността за възстановяване в чиста среда и редовните практически тестове.

Какво трябва да попита ИТ екипът преди одобрение на стратегията

Преди да избере решение, организацията трябва да може да отговори ясно на няколко практически въпроса:

• Кои бизнес услуги трябва да бъдат възстановени първи и какви RPO и RTO важат за тях?
• От кои идентичности, DNS, мрежови услуги и привилегирован достъп зависят приложенията?
• Могат ли компрометирани идентификационни данни от производствената среда да променят или изтрият резервните копия?
• Как ще бъде открита надеждна точка за възстановяване след ransomware или разрушителна атака?
• Може ли възстановяването да бъде тествано в изолирана среда, без да се засяга производствената инфраструктура?
• Поддържа ли архитектурата реалната комбинация от локални, облачни и хибридни натоварвания?
• Колко често се упражнява целият процес и как установените проблеми се отразяват в плана?
• Какви са пълните оперативни и търговски разходи, а не само цената на капацитета за архивиране?

Ако тези въпроси нямат ясни отговори, организацията все още не разполага с пълноценен план за възстановяване, а по-скоро с набор от технологии.

Възстановяването е способност, а не просто копие

Преминаването от традиционно архивиране към кибервъзстановяване променя това, което организацията трябва да докаже. Резервните копия са необходими, но не са достатъчни. Бизнесът трябва да може да идентифицира надеждните данни, да възстанови зависимите услуги в правилната последователност, да ограничи заплахата и да възобнови работата в рамките на предварително определените срокове.

Най-силната стратегия започва с бизнес резултата и изгражда процеса в обратна посока – през доверието в данните, изолацията, инфраструктурните зависимости, архитектурата и редовното тестване.