Есть много превентивных мер, есть предложения, схемы. Которые в разной степени дороги, успешны.
Но в основном понимается как превентивный подход - т.е. как не дать шифровальщику пробраться и наделать делов.
Это очень важно, ни в коем случае не отрицаю. НО!
Значительно важнее, а самое главное проще, дешевле и надежнее СНАЧАЛА реализовать вариант устойчивости к шифровальщику, который уже пробрался и нашифровал.
1. Схема резервного копирования с регулярным дублированием копий на отчуждаемые носители, лежащие в сейфе.
Нельзя зашифровать только те данные, которые не подключены в сеть. Исходя из этого ваш RPO равен промежутку между выкладыванием лент в сейф. Если ленты остались в библиотеке - они могут быть зашифрованы или испорчены.
2. Особо ценные данные размещать на СХД корп класса с поддержкой дискового журналирования класса EMC RecoverPoint (да-да, я знаю что он мертв), или снапшоты раз в 15-30 минут для снижения RPO
Конечно, лучше бы не допускать шифровальщиков, но делать упор на перевентивные меры, отрицая СРК?
Если вы пропустите угрозу, то при бэкапах вы можете восстановить. А без них закрывайте компанию
Это как отрицать антибиотики потому что пьешь витамины и руки моешь
"Тогда надо включать пункт про криптокошелек - держу 10K$ и больше в битке для оплаты на ключи шифрования )))) таких кто платил видел лично"
It depends. Если у вас политически (по решению СБ и руководства) разрешены переговоры с террористами (авторы и распространители шифровальщиков = террористы) и вы готовы их прикормить, то да, для вас это просто расходы.
Правда есть нюанс, что не расшифруют.
"Надо следовать правилу 3-2-1"
3-2-1 как любой бестпрактис - лучше, чем ничего вообще.
Но не надо в него упираться. Иногда есть варианты лучше и правильнее для конкретного кейса.
Любой бестпрактис надо осознать, положить в контекст, в том числе исторический. И понять попадает ли ваш кейс по угрозам в модель угроз, для которой написан этот бестпрактис.
И даже в этом случае сделать возможность бэкапа на отчуждаемые носители мало. Необходимо внедрить это в процесс и вовлечь СБ в контроль, потому как иначе на все будет забито.
При этом обязательно нужен план восстановления, детальным и пошаговый, чтоб когда придет время, админы смогли его взять и выполнить.
Причем пошаговым прямо в расчете на то, что его придется выполнять в 4 утра первого января пьяному и очень нервному инженеру
В обязательно же порядке добавляем тестирование РК и внешних (отчуждаемых) носителей.
И тестируем не только носитель, а весь процесс восстановления.
Есть прохладная история из асашайки.
Была контора, где внедрен был процесс РК на лентах, которые отвозили в архив на аутсорсе (Iron Mountain). И вдруг бац, надо восстановиться.
Съездили за лентами, восстанавливаются из лент- ан хрен, полная копия (понедельник) запорота. Отправили за недельными лентами.
Та же история.
В итоге потеряли данные за 4 месяца.
Начали выяснять. Оказалось, что вообще то ленты в архив возит один и тот же мужик. Но 4 месяца назад у него то ли жена родила, то ли что то семейное случилось и теперь он по понедельникам должен отвозить детей в школу и договорился, что в понедельник ленты отвозит другой дядька.
Дядька нормальный, ни в чем не замечен, злого умысла никто не нашел. Пошли уже прям досконально - давай показывай как ты едешь, везешь.
Показывает. Подходит к машине, кидает ленту в багажник.
А там у него ИПИЧЕСКОГО размера сабвуфер!