Bij elke Digital Defense Review stellen we twee vragen. De eerste is of één gecompromitteerd account kan leiden tot een volledige overname. De tweede is of je herstel gegarandeerd is als dat gebeurt. Op die tweede vraag horen we bijna altijd "ja, we hebben back-ups". En bijna altijd blijkt dat antwoord bij doorvragen niet te kloppen. Niet omdat de back-up ontbreekt, maar omdat hij te bereiken is voor dezelfde aanvaller die de rest versleutelt.
Hoe een ransomware-aanval met de back-up begint
Moderne ransomwaregroepen versleutelen niet meteen. Ze zitten eerst dagen tot weken in je omgeving, met de rechten van een beheerder die ze onderweg hebben verzameld. In die tijd doen ze twee dingen: data kopiëren om je mee af te persen, en je back-ups onbruikbaar maken. Dat laatste is routine. Back-upservers die in hetzelfde domein hangen, bereikbaar zijn met dezelfde beheerdersaccounts en snapshots hebben die met één opdracht te verwijderen zijn, worden als eerste opgeruimd. Pas daarna gaat de versleuteling los. Op dat moment is "we hebben back-ups" geen antwoord meer.
Waar het in de praktijk misgaat
- Dezelfde beheerder. Het account dat de back-ups beheert, is hetzelfde domeinbeheerdersaccount dat de aanvaller al heeft. Wie de omgeving kan beheren, kan ook de back-ups wissen.
- Verwijderbare kopieën. Back-ups op een NAS, een bestandsshare of in cloudopslag zonder vergrendeling zijn gewoon bestanden. Bestanden kun je verwijderen.
- Cloud is geen back-up. Microsoft 365 bewaart verwijderde items een tijdje, maar dat is geen back-up tegen een aanvaller met beheerdersrechten, en al helemaal niet tegen een die het bewaarbeleid zelf aanpast.
- Nooit hersteld. Een back-up die nooit is teruggezet, is een aanname. We komen back-ups tegen die al maanden stil stonden zonder dat iemand het merkte, omdat de melding naar een mailbox ging die niemand las.
Wat "onveranderlijk" betekent
Een onveranderlijke back-up kan gedurende een vastgestelde periode door niemand worden gewijzigd of verwijderd, ook niet door de beheerder van het back-upsysteem, en ook niet door de leverancier. In de cloud heet dat object lock of immutable storage; bij back-upsoftware zijn er vergelijkbare vergrendelingen. De kern is dat de vergrendeling buiten het bereik van je eigen beheerdersrechten ligt. Een aanvaller met je hoogste rechten kan er dan nog steeds niet bij. Dat is de eigenschap die het verschil maakt tussen een vervelende week en een organisatie die niet meer opstart.
De inrichting die standhoudt
- Scheid het beheer. De back-upomgeving krijgt eigen accounts, eigen MFA met een fysieke sleutel, en staat niet in het productiedomein. Wie de werkplekken beheert, beheert niet de back-ups.
- Vergrendel de kopieën. Ten minste één kopie is onveranderlijk voor een periode die langer is dan de tijd die een aanvaller doorgaans in je omgeving zit; reken op minimaal dertig dagen.
- Houd één kopie buiten bereik. Offline, of in een andere tenant of cloudomgeving die niet met dezelfde identiteiten te bereiken is. Dit is de moderne versie van de tape in de kluis.
- Neem Microsoft 365 mee. Mail, SharePoint, OneDrive en Teams horen in de back-upstrategie, met dezelfde eisen. De bewaarfuncties van Microsoft zijn een aanvulling, geen vervanging.
- Test het herstel. Niet één bestand, maar een volledige server of een complete SharePoint-site, met de klok erbij. Dan weet je ook of je hersteltijd past bij wat de organisatie kan missen. Doe dat elk kwartaal, en na elke wijziging in de omgeving.
De vraag die je jezelf moet stellen
Stel dat vannacht een beheerdersaccount wordt overgenomen en de aanvaller drie weken de tijd krijgt. Welke back-up staat er dan nog, en wie kan hem terugzetten zonder dat account? Als je die vraag niet met zekerheid kunt beantwoorden, is dat de eerste die je moet oplossen; alles daarna is secundair. De Cyberbeveiligingswet noemt dit bedrijfscontinuïteit en herstel. Wij noemen het de laatste verdedigingslinie, en we testen hem in elke Digital Defense Review.