Dlaczego ransomware czyni z kopii zapasowych cel, a nie siatkę bezpieczeństwa
Przez lata kopia zapasowa była wyjątkiem, dzięki któremu dało się przetrwać ransomware: produkcja zaszyfrowana, przywracamy z kopii i działamy dalej. Atakujący to nadrobili. Raport Veeam 2025 Ransomware Trends objął ankietą 1300 organizacji, z których 900 doświadczyło co najmniej jednego ataku ransomware w ciągu poprzednich 12 miesięcy. Veeam podaje, że w przypadku 89% organizacji atakujący wziął na cel repozytoria kopii zapasowych oraz że średnio 34% repozytoriów kopii zapasowych zostało zmodyfikowanych lub usuniętych. Zniszczenie lub uszkodzenie planu awaryjnego odbiera ofierze pole manewru, zanim jeszcze pojawi się żądanie okupu.
Skutek widać w danych o odtwarzaniu. Raport Sophos State of Ransomware 2025 objął ankietą 3400 liderów IT i bezpieczeństwa z organizacji dotkniętych ransomware w poprzednim roku. Wśród organizacji, których dane zostały zaszyfrowane, tylko 54% przywróciło je z kopii zapasowych, co jest najniższym wynikiem w ciągu sześciu lat, odkąd Sophos prowadzi to badanie. Spośród 151 organizacji, które ostatecznie zapłaciły więcej niż wynosiło początkowe żądanie atakującego, 38% stwierdziło, że ich kopie zapasowe zawiodły lub działały nieprawidłowo (respondenci zwykle wskazywali dwie przyczyny). Kopia zapasowa, która istnieje na papierze, to nie to samo co kopia, którą da się bez problemów przywrócić pod presją.
Ta luka między „mamy kopie zapasowe” a „mamy kopie zapasowe odporne na ransomware” sprowadza się do trzech filarów: niezmienności, izolacji i przetestowanego odtwarzania. Nie są to niezależne mechanizmy, które można dowolnie łączyć. Jeśli zabraknie któregokolwiek z nich, dwa pozostałe tego nie zrekompensują. Niezmienna kopia zapasowa, do której atakujący nie ma dostępu, jest przydatna tylko wtedy, gdy rzeczywiście da się ją przywrócić, a dobrze przetestowany plan przywracania jest bezwartościowy, jeśli kopia, od której zależy, została usunięta, zanim ćwiczenie w ogóle się zaczęło.
Trzy filary w całości
1. Niezmienność: kopie zapasowe, których atakujący nie może tknąć
Niezmienność oznacza, że kopii zapasowej nie można zmienić ani usunąć w jej okresie retencji: ani przez źle skonfigurowany skrypt retencji, ani przez skompromitowane konto administratora, ani przez atakującego, który ma już poświadczenia administratora domeny. W praktyce egzekwuje się ją przez Object Lock w pamięci obiektowej, sprzęt Write Once Read Many (WORM) albo utwardzone repozytorium Linux (hardened repository) z retencją egzekwowaną na poziomie pamięci masowej, niezależnie od mechanizmów kontroli dostępu samej aplikacji do tworzenia kopii zapasowych.
To rozróżnienie ma znaczenie, ponieważ operatorzy ransomware szukają kopii zapasowych, do których mogą dotrzeć za pomocą skradzionych poświadczeń. #StopRansomware Guide agencji CISA mówi to wprost: „Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions” (operatorzy ransomware często wyszukują i zbierają poświadczenia przechowywane w atakowanym środowisku, a następnie używają ich, próbując uzyskać dostęp do rozwiązań do tworzenia kopii zapasowych). Jeśli to samo konto administracyjne, które zarządza oprogramowaniem do kopii zapasowych, może też usunąć punkty przywracania z zeszłego miesiąca, niezmienność w rzeczywistości nie funkcjonuje. Jest ustawieniem, które wystarczająco uprzywilejowany atakujący wyłączy w kilka minut.
Własne zalecenie CISA dotyczące kopii zapasowych brzmi: „maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario” (utrzymuj offline zaszyfrowane kopie zapasowe krytycznych danych i regularnie testuj ich dostępność oraz integralność w scenariuszu odtwarzania po awarii). Ten sam przewodnik z ostrożnością podchodzi do samej niezmiennej pamięci masowej w chmurze: „Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost” (niezmiennej pamięci masowej należy używać ostrożnie, ponieważ nie spełnia kryteriów zgodności niektórych regulacji, a błędna konfiguracja może generować znaczne koszty). Niezmienność to silny mechanizm. Nie zastępuje kopii offline ani przetestowanego przywracania.
2. Izolacja: oddzielna płaszczyzna tożsamości i kopia całkowicie poza zasięgiem atakujących
Niezmienność chroni kopię zapasową przed zmianą. Izolacja chroni ją przed tym, by w ogóle dało się do niej dotrzeć. Te dwa mechanizmy się uzupełniają, a nie zastępują, a przedsiębiorstwa, które wdrażają tylko jeden z nich, zwykle odkrywają lukę podczas prawdziwego incydentu, a nie podczas przeglądu projektu.
Izolacja ma dwa składniki. Pierwszym jest oddzielna płaszczyzna tożsamości: infrastruktura kopii zapasowych nie powinna ufać tej samej domenie Active Directory, tym samym poświadczeniom administracyjnym ani temu samemu płaskiemu segmentowi sieci co produkcja. Skompromitowany kontroler domeny nie powinien automatycznie oznaczać skompromitowanego środowiska kopii zapasowych. Jeśli tak jest, atakujący musiał przełamać tylko jedną rzecz, a nie dwie. Drugim jest prawdziwie offline lub odizolowana air gapem kopia: co najmniej jedna kopia krytycznych danych, do której z produkcji nie prowadzi żadna stała ścieżka sieciowa. Może to być rotacja taśm offline, odłączony cel replikacji, który jest online tylko przez krótki czas na odbiór danych, albo warstwa chmurowa bez trwałych poświadczeń zapisanych gdziekolwiek w zasięgu środowiska produkcyjnego.
Raport Veeam z 2025 roku podaje, że organizacje, które stawiają na odporność danych, „can recover from attacks up to seven times faster and experience significantly lower data loss rates” (mogą odtworzyć się po atakach nawet siedem razy szybciej i odnotowują znacznie mniejsze straty danych). Veeam przypisuje to odporności danych jako całości (kopiom zapasowym i odtwarzaniu, proaktywnemu bezpieczeństwu, reagowaniu na incydenty), a nie samej izolacji. Izolacja nadal stanowi dużą część obrazu: to różnica między atakującym, który musi wykonać sporo dodatkowej pracy, by dotrzeć do Twojego punktu przywracania, a takim, który ma już do niego otwartą sesję, bo punkt ten dzieli płaszczyznę tożsamości z systemami, które właśnie przejął.
3. Przetestowane odtwarzanie: udowodnij, że da się przywrócić, zanim będzie to potrzebne
Najmniej efektowny z trzech filarów najłatwiej też zostawić w połowie. W raporcie Veeam z 2025 roku 98% respondentów miało playbook na wypadek ransomware, ale tylko 44% uwzględniło w nim weryfikację kopii zapasowych i jej częstotliwość. Raport Veeam 2024 Ransomware Trends, oparty na 1200 organizacjach, które w 2023 roku doświadczyły co najmniej jednego ataku, wykazał, że 63% organizacji ryzykowało ponowne wprowadzenie infekcji podczas odtwarzania, ponieważ zespoły pod presją szybkiego przywrócenia pomijają kroki takie jak ponowne skanowanie danych w kwarantannie.
Nieprzetestowane przywracanie zawodzi w sposób, który pozostaje niewidoczny aż do chwili, gdy ma największe znaczenie: przerwane łańcuchy kopii zapasowych, brakujące zależności spójności aplikacyjnej, poświadczenia kont serwisowych, które wygasły kilka miesięcy wcześniej, albo runbooki napisane dla topologii infrastruktury, która już nie istnieje. Pominięcie skanowania integralności i złośliwego oprogramowania niesie ryzyko poważniejsze niż przestój: przywrócenie tego samego payloadu, który spowodował awarię.
Prawdziwy program przetestowanego odtwarzania to zaplanowane, pełne próby przywracania do izolowanego środowiska odtwarzania, a nie tylko powiadomienia „zadanie kopii zapasowej zakończone powodzeniem”. Mierz te próby względem RTO, których biznes faktycznie potrzebuje, a nie wartości, które jedynie dobrze wyglądają na slajdzie.
Co naprawdę mówią dane o odtwarzaniu
Dane Sophos za 2025 rok mają nagłówek, który wygląda uspokajająco: 97% organizacji, których dane zostały zaszyfrowane, zdołało je odzyskać. Szczegółowy podział jest mniej pocieszający. Nieco ponad połowa (54%) przywróciła dane z kopii zapasowych, 49% zapłaciło okup i odzyskało dane, a 29% użyło innych sposobów. Wiele organizacji skorzystało z więcej niż jednej drogi. Odzyskanie danych i odzyskanie ich z własnych kopii zapasowych to różne wyniki. Właśnie w odległości między nimi ujawniają się słabe filary: blokada retencji, którą niewłaściwa rola mogła obejść, „oddzielna” sieć kopii zapasowych, która nadal ufała tej samej domenie, albo przywracanie, którego nigdy nie przećwiczono od początku do końca.
Koszt błędu
Trzy filary to nie abstrakcyjna lista dobrych praktyk. Przekładają się bezpośrednio na to, ile kosztuje incydent ransomware i jak długo trwa. Raport Sophos z 2025 roku podaje średni koszt odtworzenia po ataku ransomware, bez ewentualnego okupu, na poziomie 1,53 mln USD, wobec 2,73 mln USD w 2024 roku. 53% ofiar w pełni odzyskało sprawność w ciągu tygodnia, wobec 35% rok wcześniej. Pozostałe spędziły ponad siedem dni w jakimś stanie zakłócenia działalności, a przestoje, utracona produktywność i praca zespołów reagowania na incydenty generowały koszty każdego dnia.
Stan kopii zapasowych to jedna z niewielu zmiennych w tym równaniu, nad którymi organizacja ma pełną kontrolę. O tym, czy pierwszy ruch atakującego przeciwko repozytorium kopii zapasowych się powiedzie, decydują w dużej mierze wybory dokonane wiele miesięcy wcześniej, a nie w trakcie samego incydentu. Gdy przestępca ma już poświadczenia administratora domeny i sonduje Twoją platformę kopii zapasowych, niezmienność, izolacja i przetestowane odtwarzanie albo już są na miejscu, albo ich nie ma. Nie ma możliwości, by wdrożyć je na szybko pod presją.
Typowe błędy, które po cichu podważają wszystkie trzy filary
Kilka wzorców powtarza się w przeglądach poincydentalnych:
- Mylenie snapshotów z kopiami zapasowymi. Snapshot VMware to dziennik zmian oryginalnego dysku wirtualnego, a nie niezależna kopia. Artykuł Broadcom o dobrych praktykach dotyczących snapshotów mówi bez ogródek: „Do not use VMware snapshots as backups” (nie używaj snapshotów VMware jako kopii zapasowych). Plik snapshotu rośnie tym bardziej, im dłużej jest przechowywany, co może zapełnić datastore i obniżyć wydajność, a jeśli dyski bazowe zostaną utracone, „the snapshot files alone are not sufficient to restore a virtual machine” (same pliki snapshotu nie wystarczą do przywrócenia maszyny wirtualnej). Snapshoty to funkcja ułatwiająca krótkotrwały powrót do poprzedniego stanu (Broadcom zaleca przechowywanie pojedynczego snapshotu nie dłużej niż 72 godziny), a nie strategia odtwarzania.
- Traktowanie „niezmienności” jako pola do odhaczenia, a nie zweryfikowanej właściwości. Object Lock i polityki retencji trzeba przetestować względem dokładnie tej roli administracyjnej, która zarządza platformą kopii zapasowych, a nie tylko opisać w przewodniku konfiguracji.
- Nazywanie drugiej kopii w tej samej domenie tożsamości „odizolowaną”. Jeśli te same poświadczenia, które skompromitowano w produkcji, pozwalają uwierzytelnić się w repozytorium kopii zapasowych, rozdzielenie geograficzne czy platformowe nie zapewnia rzeczywistej izolacji.
- Mierzenie sukcesu ukończeniem kopii zapasowej, a nie weryfikacją przywracania. Zielony znacznik przy wczorajszym zadaniu mówi, że dane zostały gdzieś zapisane. Nie mówi, że dane da się odzyskać, że są spójne aplikacyjnie i wolne od złośliwego oprogramowania, które w ogóle wymusiło przywracanie.
Gdzie pojawia się BackupSec
BackupSec nie zastępuje Twojej platformy kopii zapasowych. Trzy nasze usługi odpowiadają powyższym filarom:
- ZeroMON monitoruje Veeam Backup & Replication. Działa lokalnie jako OVA, łączy się za pomocą konta tylko do odczytu i niczego nie wysyła do BackupSec ani do żadnej strony trzeciej. Śledzi kondycję zadań, rejestruje zmiany konfiguracji w module Forensic & Audit (kto co zmienił i kiedy), uruchamia listę kontrolną Security Analyzer, generuje raporty i wysyła alerty e-mailem oraz jako powiadomienia w aplikacji. Pokazuje status niezmienności każdego repozytorium tak, jak raportują go ustawienia repozytorium w samym Veeam, i sygnalizuje zmianę tego ustawienia. Odczytuje konfigurację Veeam i nie weryfikuje blokad na poziomie obiektów w samej pamięci masowej.
- ZeroTAM to dedykowany doradca ds. bezpieczeństwa kopii zapasowych, a nie oprogramowanie: projektowanie architektury i izolacji, planowanie pojemności, planowanie odtwarzania po ransomware i priorytetowe wsparcie w kryzysie.
- ZeroPEN to test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication, Veeam ONE i Enterprise Manager. Symuluje łańcuch ataku ransomware zmapowany na MITRE ATT&CK w ośmiu etapach: dostęp początkowy, rozpoznanie i inwentaryzacja, nadużycie poświadczeń, przejęcie serwera Veeam, dostęp do repozytorium, neutralizacja kopii zapasowych, symulacja eksfiltracji oraz dowód zdolności do szyfrowania. Nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych. Otrzymujesz dowody gotowe do audytu, a krytyczne ustalenia są testowane ponownie. Usługa obejmuje także weryfikację integralności przywracania i niezmienności. To test w jednym punkcie w czasie, więc regularne próby przywracania z filaru 3 nadal trzeba przeprowadzać.
Porozmawiaj z BackupSec o stanie bezpieczeństwa swoich kopii zapasowych →
Chcesz sprawdzić, jak poradziłyby sobie Twoje kopie zapasowe? Bezpłatna ocena Backup Security Assessment zawiera 28 pytań z siedmiu obszarów, od strategii kopii zapasowych i kontroli dostępu po testowanie odtwarzania.