Module 6 · 6.2
Nederlands
Back-ups die ransomware overleven
Module 6: Back-ups · Leestijd: 10 minuten
Leerdoel: Na deze les kun je een back-up inrichten die een aanvaller niet kan versleutelen of wissen, door te kiezen voor een offline kopie, onveranderbare opslag, versies met een passende bewaartermijn en een aparte inlog voor de back-up.
Kernbegrippen: offline back-up, air gap, onveranderbaar (immutable), object lock, versiebeheer, aparte inlog voor de back-up, bewaartermijn
Waarom een gewone back-up vaak niet genoeg is
In les 1.3 zag je hoe ransomware werkt: iemand komt binnen, kijkt rond en versleutelt dan in één keer alles wat hij kan bereiken. "Alles wat hij kan bereiken" is het kernprobleem. Staat je back-up op een netwerkschijf die altijd als schijfletter aan je pc hangt, dan is die back-up voor de ransomware gewoon een map met bestanden. Hij wordt net zo hard versleuteld als het origineel.
Het Amerikaanse cyberagentschap CISA schrijft in zijn ransomwaregids dat veel soorten ransomware actief zoeken naar bereikbare back-ups om die te verwijderen of te versleutelen. Een aanvaller die je beheerdersaccount heeft, kan bovendien in je back-upprogramma of clouddienst inloggen en daar de back-ups weggooien. Daarom vraagt een ransomwarebestendige back-up meer dan "er is een kopie". Hij moet buiten bereik zijn van iemand die je computer of je account heeft overgenomen.
Daar zijn drie manieren voor, en je combineert ze het liefst:
- de back-up is niet verbonden (offline);
- de back-up kan niet worden gewijzigd of gewist, ook niet door een beheerder (onveranderbaar);
- de back-up zit achter een andere inlog dan je dagelijkse werk.
Offline: de schijf in de la
Een offline back-up is een kopie die na het maken wordt losgekoppeld. Een externe schijf die je na de back-up uit de laptop trekt en in een la of kluis legt, is het eenvoudigste voorbeeld. Ransomware kan alleen versleutelen wat bereikbaar is, en een schijf in een la is niet bereikbaar. De Engelse term is air gap: er zit letterlijk lucht tussen de back-up en je netwerk.
Het NCSC adviseert hetzelfde: houd de back-up niet met je computer verbonden, omdat ransomware hem anders mee kan versleutelen.
Valkuilen bij offline back-ups:
- Vergeten. Een back-up die je met de hand maakt, wordt na een paar drukke weken overgeslagen. Zet een vaste dag in je agenda en wissel twee schijven af, zodat er altijd één buiten de deur is.
- Altijd aangesloten laten. Een schijf die "voor het gemak" blijft zitten, is geen offline back-up meer.
- Niet versleuteld. Een losse schijf met je hele administratie is een datalek als hij gestolen wordt. Zet versleuteling aan (zie les 5.2) en bewaar de sleutel op een andere plek dan de schijf.
Onveranderbaar: immutable en object lock
Een onveranderbare back-up (Engels: immutable) kan gedurende een ingestelde periode door niemand worden gewijzigd of verwijderd. Ook niet door iemand die jouw wachtwoord heeft. Ook niet door de beheerder.
Bij cloudopslag heet de techniek vaak object lock. De documentatie van één grote aanbieder beschrijft het als write once, read many: je schrijft een bestand één keer weg, daarna kun je het alleen nog lezen tot de bewaartermijn voorbij is. Er zijn meestal twee standen:
| Stand | Wat het betekent | Wanneer kies je hem |
|---|---|---|
| Strenge stand (bij die aanbieder compliance mode) | Niemand kan de kopie vóór het einde van de termijn wissen of de termijn inkorten, ook het hoofdaccount niet | Je wilt zekerheid dat zelfs een overgenomen beheerdersaccount niets kan wissen |
| Soepele stand (governance mode) | Alleen accounts met een speciaal recht kunnen de bescherming opheffen | Om te testen, of als je de mogelijkheid wilt houden om iets op te ruimen |
Veel back-upprogramma's en back-updiensten bieden onveranderbare opslag aan, onder namen als "immutable back-up", "vergrendelde back-up" of "WORM". Let bij het kiezen op drie dingen:
- Hoe lang is de vergrendeling? Een vergrendeling van 7 dagen beschermt je niet als je de aanval pas na drie weken ontdekt.
- Wie kan de vergrendeling opheffen? Als je dat met hetzelfde account kunt waarmee je dagelijks inlogt, kan een aanvaller het ook.
- Wat kost het? Onveranderbaar betekent ook dat je het niet kunt opruimen. CISA waarschuwt dat een verkeerde instelling hoge kosten kan geven. Begin klein en test.
Versies en bewaartermijn: hoe ver kun je terug?
Een back-up van gisteren helpt alleen als gisteren nog alles goed was. Ransomware wacht soms een tijd voordat hij toeslaat, en een vergissing (een verwijderde map, een overschreven prijslijst) merk je soms pas weken later. Daarom heb je versies nodig: meerdere back-upmomenten naast elkaar. De bewaartermijn (ook wel retentie) bepaalt hoe ver je terug kunt. Het NCSC noemt het zo: de retentie geeft aan hoe ver je terug kunt in de geschiedenis van een back-up.
Een veelgebruikt patroon is uitdunnen: elke dag een back-up die je een paar weken bewaart, elke week één die je een paar maanden bewaart, en elke maand één die je langer bewaart. Zo kun je ver terug zonder honderden volledige kopieën.
Vragen om je bewaartermijn te kiezen:
- Hoe snel merk je meestal dat er iets mis is? Kijk naar vergissingen uit het verleden.
- Zijn er wettelijke bewaarplichten, zoals voor je administratie? Een back-up is wel iets anders dan een archief: een archief bewaar je jarenlang op een vaste plek, een back-up roteert.
- Hoeveel opslag kost het? Langer bewaren kost meer.
Een aparte inlog voor de back-up
De derde maatregel is de goedkoopste en wordt het vaakst vergeten. Als je back-updienst, je cloudopslag en je mail allemaal met hetzelfde account werken, en dat account wordt overgenomen (les 1.4), dan heeft de aanvaller alles in één keer.
- Gebruik voor de back-updienst of het back-upprogramma een eigen account met een eigen, uniek wachtwoord uit je wachtwoordmanager, en zet tweestapsverificatie aan.
- Gebruik dat account niet voor dagelijks werk en log er niet mee in op de computer waar je mailt en surft.
- Laat het back-upprogramma waar het kan alleen schrijven naar de back-upplek, niet wissen.
- Bepaal wie erbij kan, zowel fysiek (wie heeft de sleutel van de kast met de schijf) als in de software. Het NCSC noemt dat ook expliciet.
In de praktijk: zo ziet het eruit
Bij de voorbeeldaanbieder WebOké staan de nachtelijke back-ups van een hostingpakket op aparte opslagservers in een ander datacenter, los van de server waar de website draait. Volgens de kennisbank kun je die nachtelijke back-ups zelf niet verwijderen: ze blijven staan zodat er altijd een herstelpunt is, en verdwijnen na 30 dagen vanzelf. Alleen een extra back-up die je zelf hebt gemaakt, kun je verwijderen, en daarvoor vraagt het paneel je wachtwoord.
Wat je daar zelf aan toevoegt om aan 3-2-1 en de offline kopie te komen: af en toe een back-up downloaden (die blijft 48 uur klaarstaan) en op een schijf bewaren die je daarna loskoppelt. Een snapshot van een VPS is volgens dezelfde kennisbank uitdrukkelijk géén back-up, omdat hij op dezelfde opslag staat als de VPS zelf.
Bij andere aanbieders kan het vergelijkbaar of heel anders zijn. Vraag je aanbieder concreet: staan de back-ups los van mijn account, kan ik of iemand met mijn wachtwoord ze wissen, en hoe lang gaan ze terug?
Samenvatting
- Ransomware versleutelt alles wat hij bereikt, ook gekoppelde back-ups, en aanvallers zoeken back-ups actief op.
- Offline: koppel de back-upschijf los en wissel schijven af, met versleuteling.
- Onveranderbaar (immutable, object lock): niemand kan de kopie wissen tot de termijn voorbij is.
- Versies en een passende bewaartermijn bepalen hoe ver je terug kunt; kies die op basis van hoe laat je problemen meestal ontdekt.
- Gebruik een aparte, goed beveiligde inlog voor je back-up, los van je dagelijkse account.
Quiz
Opdracht
Opdracht D6.2: Maak één back-up ransomwarebestendig. Kies je belangrijkste gegevens (bijvoorbeeld je administratie of je website) en richt één kopie in die buiten bereik ligt: een externe schijf die je na de back-up loskoppelt en elders bewaart, of een back-updienst met onveranderbare opslag. Geef de back-up een eigen inlog met tweestapsverificatie, controleer hoe ver je terug kunt en noteer wie erbij kan. Beantwoord tot slot de reflectievragen.
Opdracht D6.2: Maak één back-up ransomwarebestendig
Zo pak je het aan: (1) Kies de gegevens die je het minst kunt missen (bijvoorbeeld je administratie of je webwinkel). (2) Kies één van twee routes: (3) Geef de back-up een eigen inlog: een apart account met een uniek wachtwoord uit je wachtwoordmanager en tweestapsverificatie, dat je niet gebruikt voor mail of dagelijks werk. (4) Controleer hoe ver je terug kunt (bewaartermijn) en noteer het. (5) Noteer wie fysiek (schijf, kluis) en in de software bij de back-up kan. (6) Vraag bij je hostingaanbieder of IT-partij na: staan de back-ups los van mijn account, kan iemand met mijn wachtwoord ze wissen, en hoe lang gaan ze terug? Noteer het antwoord.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar of anders. Vraag het je aanbieder.
- DirectAdmin handleiding 16.2: Back-up en herstel: zelf een back-up maken in DirectAdmin
- Nextcloud handleiding 6.2: Een oudere versie terugzetten en versies een naam geven
- Nextcloud handleiding 6.3: Hoe lang bewaart Nextcloud versies en verwijderde bestanden?
- Snapshots en backups van je VPS
- WebOké Backups: een backup bekijken, terugzetten of downloaden
- NCSC, Ransomware uitgelegd: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- NCSC, Een back-up strategie opstellen: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (Engels): https://www.cisa.gov/stopransomware/ransomware-guide