Werking ransomware en hoe voorkomen met backups?

[Gupje360]

Mijn vraag
In het bedrijf waar ik werk wordt gebruik van gemaakt van een ERP systeem wat draait op een server. Dit ERP pakket wordt elk uur 1 op 1 wegeschreven naar een identieke server in een andere vestiging. Wat hier mee wordt voorkomen is dat bij brand, stroomstoring of netwerk storing wij gewoon verder kunnen werken. Het ERP pakket zelf maakt elke dag een backup van zijn database op de server zelf en wij zorgen dat deze backup daar elke dag geëncrypt van de server wordt af gekopieerd en als cold storage wordt opgeslagen.

Nu heb ik een offline server waar offline het ERP pakket up-to-date wordt gehouden zonder data base, maar waar in geval van een disaster wij de database kunnen terugzetten en dat wij weer verder kunnen.

Maar stel de hoofdserver wordt geransomwared en alles is geëncrypt door de ransomware. Kan ik er dan vanuit gaan dat mijn laatste zelf geëncrypt backup schoon is, of is er gewoon een mogelijkheid dat als ik die terug zet op de offline server dat het encrypten daar weer verder gaat?

Relevante software en hardware die ik gebruik

Alle 3 de servers draaien Windows Server en worden alleen gebruikt voor het draaien van het ERP systeem. 2 zijn er altijd online en 1 server is altijd offline.

Kan iemand mij verder helpen of kan iemand input geven om nog meer rest risico weg te snijden?

[n9iels]

Het ERP pakket zelf maakt elke dag een backup van zijn database op de server zelf [...] en als cold storage wordt opgeslagen.

Ik denk dat je hiermee al een goede maatregel hebt. Je maakt een back-up van specifiek de data die je op cold-storage opslaat. Zolang deze back-up op geen enkele manier aan je netwerk hangt kun je daar altijd op terug vallen. En aangezien het een back-up is van enkel data i.p.v. een hele image van een server is de kans dat daar ransomware inzit kleiner (ik ken jou systeem uiteraard niet, dus uitsluiten mag je zelf doen )

Kan ik er dan vanuit gaan dat mijn laatste zelf geëncrypt backup schoon is, of is er gewoon een mogelijkheid dat als ik die terug zet op de offline server dat het encrypten daar weer verder gaat?

Als die server echt altijd offline is, is die kans uiteraard klein. Maar wat is "offline"? Als dit bekend niet aan het internet maar wel in hetzelfde netwerk als die andere twee servers...

[ Voor 5% gewijzigd door n9iels op 12-05-2021 15:58 ]

[Minitrooper]

Persoonlijk zou ik "af en toe" (tenzij het uren duurt natuurlijk) die "offline data backup" ook restoren op die losstaande server. Want zonder die data backup (ook al is die geencrypteerd) te testen, weet je namelijk niet of er reeds "garbage" inzit. En zoals @n9iels aangeeft: ransomware is vaak slapend, en kan al in die code ingesloten (ingeslopen) zitten, zonder dat je het weet.

Vandaar dat het belangrijk is te kijken naar de RTO/RPO objectieven:
- stel de laatste 2 offline backups zijn brak, en je moet terugvallen op de 3de oudste. Is dat accepteerbaar?
- maar misschien kan je, vanuit het ERP systeem, "redo" logs genereren. Dus ook al val je terug op je "full backup" van generatie 3, maar ben je in staat op de redo logs te herapplyen tot uur-minus-X, dan ben je misschien wel nog binnnen jouw objectief?

Met een goede mix tussen full backups, incremental backups en redo logs kom je al ver, maar vooral: testen testen testen!

Succes!

[Gupje360]

n9iels schreef op woensdag 12 mei 2021 @ 15:57:
[...]

Ik denk dat je hiermee al een goede maatregel hebt. Je maakt een back-up van specifiek de data die je op cold-storage opslaat. Zolang deze back-up op geen enkele manier aan je netwerk hangt kun je daar altijd op terug vallen. En aangezien het een back-up is van enkel data i.p.v. een hele image van een server is de kans dat daar ransomware inzit kleiner (ik ken jou systeem uiteraard niet, dus uitsluiten mag je zelf doen )


[...]

Als die server echt altijd offline is, is die kans uiteraard klein. Maar wat is "offline"? Als dit bekend niet aan het internet maar wel in hetzelfde netwerk als die andere twee servers...

Offline is echt offline, dus hier is geen netwerkkabel in te vinden. Het af en toe terug zetten van de offline Back-ups op de offline server is overigens een goed idee van @Minitrooper, maar dan moet ik wel zorgen dat ik een schone image backup heb van de offline server, stel hij is toch besmet.

Ben wel blij om te lezen dat ik in de goede richting zit te denken om zoveel mogelijk rest risico weg te snijden. Ik wil gewoon voorkomen dat bij randomware ik uiteindelijk toch data kwijt ben, dit omdat het gewoon te belangrijk is.

Maar niemand lijkt echt antwoord te kunnen geven op "Dat als ik een losse file/folder van een reeds geïnfecteerde, maar nog niet geactiveerde ransomware copier en deze zet op een ander systeem buiten het netwerk of ik dan deze machine kan besmetten."

[ Voor 0% gewijzigd door Gupje360 op 12-05-2021 16:35 . Reden: Typo ]

[n9iels]

Maar niemand lijkt echt antwoord te kunnen geven op "Dat als ik een losse file/folder van een reeds geïnfecteerde, maar nog niet geactiveerde ransomware copier en deze zet op een ander systeem buiten het netwerk of ik dan deze machine kan besmetten.

Ik denk dat dat ik verschilt met wat voor soort ransomware je te maken hebt. Maar logisch nagedacht, het doel van ransomware is immers verspreiden, versleutelen en cachen, zou ik er vanuit gaan dat dit inderdaad tot een besmetting kan leiden.

[D-dark]

Gupje360 schreef op woensdag 12 mei 2021 @ 16:35:
[...]

Maar niemand lijkt echt antwoord te kunnen geven op "Dat als ik een losse file/folder van een reeds geïnfecteerde, maar nog niet geactiveerde ransomware copier en deze zet op een ander systeem buiten het netwerk of ik dan deze machine kan besmetten."

In theorie Ja.
Enige wat je kan proberen is zoveel mogelijk op een virtuele server te draaien welke naar buiten communiceerd.
Dan kan je relatief snel teruggaan naar een eerdere schone versie en monitoren of er nieuwe vreemde bestanden bij komen en of er opeens nieuwe processen gestart worden.

Voor je vaste servers die je ook nodig hebt de toegang tot internet zoveel mogelijk dicht zetten.

[Minitrooper]

Gupje360 schreef op woensdag 12 mei 2021 @ 16:35:
[...]

Maar niemand lijkt echt antwoord te kunnen geven op "Dat als ik een losse file/folder van een reeds geïnfecteerde, maar nog niet geactiveerde ransomware copier en deze zet op een ander systeem buiten het netwerk of ik dan deze machine kan besmetten."

Stel jouw ERP systeem braakt 1000 bestanden uit in zijn backup in een losse folder. Als jij niet weet dat (en vooral: wanneer) de ransomware begonnen is met rotzooi uit te halen, dan is het geen vraag of jij, bij het overzetten van die folder naar een offline/disconnected server, die server kan besmetten, de vraag moet zijn: vertrouw jij erop dat die 1000 files "intact" zijn?! Als er 1tje stuck is, ben je al het haasje. En is heel jouw constructie (backup maken, server gedisconnecteerd doch uptodate houden, ... ) voor niets geweest.

Plus, alle security measurements ten spijt, het is nog niet zo lang geleden dat van deze zooi zélfs via "offline" USB disks verspreidde (via de autorun), dus ervan uitgaan dat "kabelloos" ook "veiligheid" betekent, is ijdele hoop.

Vandaar mijn advies: bekijk het gehele plaatje: volledig virus/ransomware mag je niet vanuit gaan, dus moet jouw backup EN restore plan hiermee kunnen omgaan.

[Gupje360]

Dank jullie wel allemaal voor jullie antwoord. 100% veiligheid voor ranomware is een utopie, die niet haalbaar lijkt te zijn.

De zorg dat het je ooit gaat overkomen wordt wel steeds groter, dus ik wil het zo veilig mogelijk maken hier voor ons. De interesse in de security wereld wordt hierdoor wel steeds groter en ik ga toch eens kijken of hier goede nette cursussen in te verkrijgen zijn.

[CAPSLOCK2000]

Een interessante en makkelijke optie is het gebruik van "kanaries".

Het idee is dat je wat controle data opneemt en die nauwlettend in de gaten houdt. Als daar iets mee gebeurt dan weet je dat er iets aan de hand is.

Dat kan zo simpel zijn als een tekstdocument met bekende inhoud dat je iedere dag restored om te kijken of de inhoud nog wel klopt. Of je schrijft er iedere dag de datum in weg zodat het actief in gebruik lijkt. Als je een database backupt dan zou je daar natuurlijk een aparte tabel voor kunnen gebruiken of wat records waarvan je weet dat ze nooit (of voorspelbaar) veranderen.