De back-up die een gecompromitteerde beheerder overleeft

Het misverstand

Gevraagd naar de bescherming tegen ransomware, antwoordt een technisch team heel vaak: “wij repliceren in realtime naar een tweede site”. Die zin beschrijft bescherming tegen het verlies van een locatie. Hij zegt niets over bescherming tegen datacorruptie — en maakt dat scenario zelfs erger, omdat de verspreiding ogenblikkelijk wordt.

Bij een grootschalige aanval zoekt de aanvaller domeinbeheerrechten. Zodra hij die heeft, bereikt hij de productie, de replicatie, de monitoring en — dat is het beslissende punt — de back-ups.

Het doorslaggevende criterium

Een back-up is onveranderlijk als die gedurende een vastgestelde periode niet kan worden gewijzigd of verwijderd, ook niet door een beheerder met alle rechten. Die laatste toevoeging is de kern van de zaak.

De test is eenvoudig: vraag uw back-upbeheerder een recente back-up te verwijderen. Lukt dat, dan is die niet onveranderlijk — en een aanvaller die diens rechten verkrijgt, zal het ook lukken.

De drie implementaties die standhouden

De objectvergrendeling op compatibele opslag, met een bewaartermijn in compliancemodus, verhindert verwijdering, zelfs door de eigenaar van het account.

De offline tape, fysiek losgekoppeld, blijft de robuustste bescherming, maar ook de traagste om terug te zetten. Voor gegevens waarvan het verlies existentieel zou zijn, bestaat er geen gelijkwaardig alternatief.

De externe opslagplaats met afzonderlijke authenticatie, op een infrastructuur waarvan het beheer niet afhangt van de productiedirectory, combineert robuustheid met een aanvaardbare hersteltijd.

Isolatie, het punt dat het vaakst wordt gemist

Een back-up die is opgeslagen op een server die lid is van dezelfde directory als de productie en met dezelfde accounts wordt beheerd, valt samen met de productie. Fysieke afstand verandert daar niets aan.

Drie principes dichten het lek. Afzonderlijke accounts: de back-upbeheerder is niet de beheerder van het productiedomein, en een compromittering van het domein leidt niet tot die van de back-upbeheerder. Onafhankelijke authenticatie, idealiter met een aparte directory. Een eenrichtingsstroom: de productie stuurt naar de back-up, en de back-up laat zich niet vanuit de productie bevragen of aansturen.

De “nul” die iedereen vergeet

De 3-2-1-1-0-regel eindigt met een nul: nul fouten bij de herstelverificatie. Een rapport over een “geslaagde” back-up bevestigt dat er gegevens zijn weggeschreven. Het bevestigt niet dat ze kunnen worden teruggezet en dat ze consistent en bruikbaar zijn.

Er worden drie verificatieniveaus verwacht: dagelijks herstel van een steekproef, maandelijks of driemaandelijks herstel van een volledige database in een geïsoleerde omgeving met controle op applicatieniveau, en jaarlijks herstel van een volledige dienst van begin tot eind, waarbij de werkelijke duur wordt gemeten.

Artikel 12 van DORA eist uitdrukkelijk dat de herstelsystemen periodiek worden getest en dat de back-ups fysiek en logisch gescheiden zijn van het bronsysteem. Een hersteltest die niet is gedocumenteerd, voldoet niet aan de eis.