El ransomware modern ja no xifra el teu servidor així que entra. Primer fa una cosa molt més intel·ligent: busca les teves còpies de seguretat. Sap que si et deixa l’històric intacte, restauraràs i no pagaràs. Així que la pregunta correcta no és si tens còpies, sinó si el teu propi servidor les pot tocar.
Com treballa un atac real
El patró es repeteix. L’atacant entra per una credencial robada, una vulnerabilitat sense pegat o un correu amb adjunt. I aleshores, en lloc de xifrar immediatament, es queda setmanes en silenci explorant la xarxa: quins servidors hi ha, on són les dades importants, i sobretot on són les còpies i amb quines credencials s’hi accedeix.
Quan decideix actuar, l’ordre és sempre el mateix: primer destrueix o xifra l’històric de còpies, després xifra les dades en producció, i només aleshores et mostra la nota de rescat. Quan te n’assabentes, ja no tens on tornar.
L’error de disseny que gairebé tothom té
Aquí hi ha el punt que canvia tot. A la majoria d’instal·lacions, el servidor de producció té credencials per escriure al magatzem de còpies, perquè és ell qui les envia. Sona raonable, i és exactament la porta.
Si el servidor pot escriure, esborrar o sobreescriure al destí, qualsevol atacant que controli aquest servidor hereta aquesta capacitat. No necessita descobrir res més: ja té la clau, guardada en un fitxer de configuració.
Els pegats que no en tenen prou
Xifrar les còpies no resol això: un atacant no necessita llegir-les, li basta esborrar-les. Un segon disc tampoc, si està muntat al mateix sistema. I les còpies al núvol amb credencials d’escriptura emmagatzemades al servidor són igual de vulnerables que un disc local.
El model que sí que funciona: invertir la direcció
La defensa és conceptualment simple: que el servidor de còpies vagi a buscar les dades, en lloc que el servidor de producció les enviï.
Amb aquest canvi, les credencials que existeixen són de només lectura sobre el teu origen, i viuen al sistema de còpies, no al servidor exposat. Un atacant que controli la teva producció pot destrossar l’origen, però no té cap ruta cap a l’històric: no té credencials, i el tallafoc impedeix que s’obri una connexió en aquest sentit.
El pitjor que pot passar aleshores és que perdis les dades vives, que és exactament l’escenari per al qual existeixen les còpies.
Els senyals que delaten un atac abans del rescat
Un bon sistema de còpies és també un detector precoç, perquè veu coses que l’administrador no mira diàriament:
- La còpia més recent envelleix. Si l’última té més de 36 hores, alguna cosa va deixar de funcionar i ningú se’n va adonar.
- Arriben zero blocs nous diversos dies. Les dades xifrades per un atacant canvien completament, així que aquest símptoma sol indicar que la còpia va deixar d’executar-se, no que no hi hagi canvis.
- L’espai ocupat baixa sense neteja programada. Algú està esborrant històric.
Els dos últims són firmes clàssiques d’un atac en curs, i un proveïdor atent pot avisar-te abans que aparegui la nota de rescat.
Què revisar a casa teva aquesta setmana
Agafa la configuració de les teves còpies i respon amb honestedat: té el teu servidor de producció credencials per modificar el destí de les còpies? Podria un procés amb permisos d’administrador en aquest servidor esborrar l’històric? Algú vigila que les còpies continuïn arribant? Quan vas restaurar alguna cosa per última vegada?
Si alguna resposta t’incomoda, ja saps per on començar.
El nostre disseny
A les nostres còpies de seguretat la connexió l’obrim sempre nosaltres, amb credencials de només lectura sobre el teu origen, i el tallafoc denega explícitament qualsevol connexió en sentit contrari. A més, la detecció de fallada silenciosa està inclosa i vigila els tres senyals de dalt. Tot dins de dos centres de dades propis a Andorra.