Varför ransomware gör backuper till målet, inte till skyddsnätet
I många år var backupen undantaget som gjorde ransomware överlevbart: produktionen krypteras, du återställer från backup och går vidare. Angriparna har kommit ikapp. Veeams 2025 Ransomware Trends-rapport undersökte 1 300 organisationer, varav 900 hade drabbats av minst en ransomware-attack under de föregående 12 månaderna. Veeam rapporterar att 89 % av organisationerna fick sina backup-repositories angripna av angriparen, och att i genomsnitt 34 % av backup-repositories ändrades eller raderades. Att förstöra eller korrumpera reservlösningen tar bort offrets förhandlingsläge innan lösensedeln ens har kommit.
Resultatet syns i återställningssiffrorna. Sophos State of Ransomware 2025 tillfrågade 3 400 IT- och säkerhetsansvariga vars organisationer drabbats av ransomware under det föregående året. Bland de organisationer vars data krypterades återställde bara 54 % den med hjälp av backuper, den lägsta andelen under de sex år Sophos har genomfört undersökningen. Av de 151 organisationer som till slut betalade mer än angriparens ursprungliga krav uppgav 38 % att deras backuper hade fallerat eller inte fungerade (respondenterna angav i regel två orsaker). En backup som finns på papperet är inte samma sak som en backup som går att återställa felfritt under press.
Det glappet, mellan "vi har backuper" och "vi har backuper som klarar ransomware", handlar om tre pelare: immutability, isolering och testad återställning. De är inte oberoende kontroller som du kan välja fritt bland. Missar du någon av dem kompenserar inte de andra två. En immutable backup som en angripare inte kan nå är bara användbar om den faktiskt går att återställa, och en vältestad återställningsplan är värdelös om backupen den bygger på raderades innan övningen ens hade börjat.
De tre pelarna i sin helhet
1. Immutability: backuper som en angripare inte kan röra
Immutability betyder att en backup inte kan ändras eller raderas inom sitt retention-fönster: inte av ett felkonfigurerat retention-skript, inte av ett komprometterat administratörskonto och inte av en angripare som redan har domänadministratörsuppgifter. I praktiken upprätthålls det med Object Lock på objektlagring, med Write Once Read Many-hårdvara (WORM) eller med ett härdat Linux-repository där retention upprätthålls i lagringslagret, oberoende av backupapplikationens egna åtkomstkontroller.
Distinktionen spelar roll eftersom ransomware-operatörer letar efter backuper som de kan nå med stulna inloggningsuppgifter. CISA:s #StopRansomware Guide säger det rakt ut: "Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions." (Ransomware-aktörer letar ofta efter och samlar in inloggningsuppgifter som lagras i den angripna miljön och använder dem för att försöka komma åt backuplösningar.) Om samma administratörskonto som hanterar din backupmjukvara också kan radera förra månadens återställningspunkter är immutability inte på plats på riktigt. Det är en inställning som en tillräckligt privilegierad angripare kan stänga av på några minuter.
CISA:s eget råd om backup är att "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (upprätthålla offline, krypterade backuper av kritisk data och regelbundet testa att backuperna är tillgängliga och intakta i ett katastrofåterställningsscenario.) Samma guide är försiktig med immutable molnlagring som enda åtgärd: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (Använd immutable lagring med försiktighet, eftersom den inte uppfyller efterlevnadskraven i vissa regelverk och felkonfiguration kan medföra betydande kostnader.) Immutability är en stark kontroll. Den ersätter inte en offline-kopia eller en testad återställning.
2. Isolering: ett separat identitetsplan, och en kopia som angripare inte kan nå alls
Immutability skyddar en backup från att ändras. Isolering skyddar den från att nås över huvud taget. De två kompletterar varandra, de är inte utbytbara, och organisationer som bara inför den ena brukar upptäcka luckan under en verklig incident snarare än under en designgranskning.
Isolering har två komponenter. Den första är ett separat identitetsplan: backupinfrastrukturen bör inte lita på samma Active Directory-domän, samma administratörsuppgifter eller samma platta nätverkssegment som produktionen. En komprometterad domänkontrollant ska inte automatiskt innebära en komprometterad backupmiljö; om den gör det behövde angriparen bara kompromettera en sak, inte två. Den andra är en verkligt offline- eller air-gappad kopia: minst en kopia av kritisk data som saknar varje stående nätverksväg från produktionen. Det kan vara rotation av offline-band, ett frånkopplat replikeringsmål som bara är online en kort stund för att ta emot data, eller en molnnivå där inga beständiga inloggningsuppgifter finns cachade någonstans som går att nå från produktionsmiljön.
Veeams rapport från 2025 säger att organisationer som prioriterar dataresiliens "can recover from attacks up to seven times faster and experience significantly lower data loss rates." (kan återhämta sig från attacker upp till sju gånger snabbare och får betydligt lägre dataförluster.) Veeam tillskriver det dataresiliens som helhet (backup och återställning, proaktiv säkerhet, incidenthantering), inte enbart isolering. Isolering är ändå en stor del av bilden: den är skillnaden mellan en angripare som måste lägga ner verkligt extra arbete för att nå din återställningspunkt, och en som redan har en session öppen mot den eftersom den delar identitetsplan med de system som angriparen just har komprometterat.
3. Testad återställning: bevisa att det går att återställa innan du behöver det
Den minst glamorösa av de tre pelarna är också den som är lättast att lämna halvfärdig. I Veeams rapport från 2025 hade 98 % av respondenterna en playbook för ransomware, men bara 44 % hade tagit med verifieringar av backuper och hur ofta de ska göras. Veeams 2024 Ransomware Trends-rapport, baserad på 1 200 organisationer som drabbats av minst en attack under 2023, fann att 63 % av organisationerna riskerade att återinföra infektioner under återställningen, eftersom team som är pressade att återställa snabbt hoppar över steg som att skanna om data i karantän.
Otestade återställningar fallerar på sätt som förblir osynliga fram till det ögonblick då de betyder som mest: brutna backupkedjor, saknade beroenden för applikationskonsistens, inloggningsuppgifter för tjänstekonton som gick ut för flera månader sedan, eller runbooks skrivna för en infrastrukturtopologi som inte längre finns. Att hoppa över integritets- och skadekodsskanning innebär en allvarligare risk än driftstopp: att återställa samma payload som orsakade avbrottet från början.
Ett verkligt program för testad återställning innebär schemalagda övningar med fullständig återställning till en isolerad återställningsmiljö, inte bara notiser om att "backupjobbet lyckades". Mät övningarna mot de RTO:er som verksamheten faktiskt behöver, inte mot siffror som bara ser lugnande ut i en presentation.
Vad återställningssiffrorna egentligen säger
Sophos data från 2025 har en rubrik som ser lugnande ut: 97 % av de organisationer som fick data krypterad kunde återställa den. Uppdelningen är mindre tröstande. Drygt hälften (54 %) återställde från backuper, 49 % betalade lösensumman och fick tillbaka data, och 29 % använde andra metoder; många använde mer än en väg. Att få tillbaka sina data och att få tillbaka dem från sina egna backuper är olika utfall. Avståndet mellan de två är där svaga pelare visar sig: ett retention-lås som fel roll kunde åsidosätta, ett "separat" backupnätverk som fortfarande litade på samma domän, eller en återställning som aldrig hade övats från början till slut.
Kostnaden för att göra fel
De tre pelarna är inte en abstrakt checklista över best practices. De motsvarar direkt hur mycket en ransomware-incident kostar och hur länge den pågår. Sophos rapport från 2025 anger den genomsnittliga kostnaden för att återhämta sig från en ransomware-attack, exklusive eventuell betald lösensumma, till 1,53 miljoner USD, ned från 2,73 miljoner USD under 2024. 53 % av offren hade återhämtat sig helt inom en vecka, upp från 35 % året innan. Övriga tillbringade mer än sju dagar i någon form av störning, där driftstopp, förlorad produktivitet och arbete med incidenthantering adderades dag för dag.
Backupläget är en av få variabler i den ekvationen som en organisation har full kontroll över. Om en angripares första drag mot ditt backup-repository lyckas eller misslyckas avgörs till stor del av val som gjordes flera månader tidigare, inte under själva incidenten. När en angripare väl har domänadministratörsuppgifter och letar efter din backupplattform är immutability, isolering och testad återställning antingen redan på plats eller inte; det finns ingen möjlighet att eftermontera dem under press.
Vanliga misstag som i det tysta undergräver alla tre
Ett antal mönster återkommer gång på gång i granskningar efter incidenter:
- Att förväxla snapshots med backuper. En VMware-snapshot är en ändringslogg för den ursprungliga virtuella disken, inte en oberoende kopia. Broadcoms artikel om best practices för snapshots är rak: "Do not use VMware snapshots as backups." (Använd inte VMware-snapshots som backuper.) Snapshot-filen fortsätter att växa ju längre den sparas, vilket kan fylla datastoren och försämra prestandan, och om basdiskarna går förlorade är "the snapshot files alone are not sufficient to restore a virtual machine." (snapshot-filerna ensamma inte tillräckliga för att återställa en virtuell maskin.) Snapshots är en bekvämlighetsfunktion för kortvarig rollback (Broadcom rekommenderar att en enskild snapshot inte sparas längre än 72 timmar), inte en återställningsstrategi.
- Att behandla "immutable" som en kryssruta snarare än en verifierad egenskap. Object Lock och retention-policyer måste testas mot exakt den administrativa roll som hanterar backupplattformen, inte bara dokumenteras i en konfigurationsguide.
- Att kalla en andra kopia i samma identitetsdomän för "isolerad". Om samma inloggningsuppgifter som komprometterades i produktionen kan autentisera mot backup-repositoryt ger geografisk separation eller separation av plattform ingen verklig isolering.
- Att mäta framgång i slutförda backuper, inte i verifierade återställningar. En grön bock på nattens jobb säger att data skrevs någonstans. Den säger inte att data går att hämta, är applikationskonsistent och fri från den skadekod som gjorde återställningen nödvändig från början.
Här kommer BackupSec in
BackupSec ersätter inte din backupplattform. Tre av våra tjänster motsvarar pelarna ovan:
- ZeroMON övervakar Veeam Backup & Replication. Den körs on-premises som en OVA, ansluter med ett konto med enbart läsbehörighet och skickar ingenting till BackupSec eller någon tredje part. Den följer jobbhälsa, registrerar konfigurationsändringar i sin Forensic & Audit-modul (vem som ändrade vad och när), kör en Security Analyzer-checklista, tar fram rapporter och larmar via e-post och som notiser i appen. Den visar varje repositorys immutability-status så som Veeams egna repository-inställningar rapporterar den och flaggar när inställningen ändras. Den läser Veeams konfiguration; den verifierar inte lås på objektnivå i själva lagringen.
- ZeroTAM är en dedikerad rådgivare inom backupsäkerhet, inte mjukvara: design av arkitektur och isolering, kapacitetsplanering, planering av återställning efter ransomware och prioriterad support under en kris.
- ZeroPEN är ett hotdrivet penetrationstest av Veeam Backup & Replication, Veeam ONE och Enterprise Manager. Det simulerar en ransomware-kill chain mappad mot MITRE ATT&CK i åtta steg: initial åtkomst, upptäckt och inventering, missbruk av inloggningsuppgifter, kompromettering av Veeam-servern, åtkomst till repositories, neutralisering av backuper, simulerad dataexfiltrering och bevis på förmåga att kryptera. Det raderar aldrig riktiga backuper, utför aldrig riktig kryptering och stoppar aldrig produktions- eller backuptjänster. Du får revisionsfärdiga bevis, och kritiska fynd testas om. Uppdraget omfattar också verifiering av återställningsintegritet och immutability. Det är ett test vid en given tidpunkt, så de regelbundna återställningsövningarna i pelare 3 behöver fortfarande genomföras.
Prata med BackupSec om hur det står till med din backupsäkerhet →
Vill du se hur dina egna backuper skulle stå sig? Den kostnadsfria Backup Security Assessment ställer 28 frågor inom sju områden, från backupstrategi och åtkomstkontroll till återställningstester.