Regula 3-2-1 pentru backup nu este suficientă împotriva ransomware: de ce contează copia „deconectată”
Regula 3-2-1 este una dintre cele mai repetate recomandări din IT: păstrezi trei copii ale datelor, pe două tipuri de suport, iar una dintre copii stă în altă locație. Este un principiu bun, inclusiv pentru fotografiile unei familii, documentele unei firme mici sau un site WordPress. Problema, scoasă în evidență de materialul XDA inclus în research, este una simplă și ușor de ignorat: un backup ținut permanent conectat la PC sau la rețea poate deveni încă o victimă a ransomware-ului. Cu alte cuvinte, ai putea respecta formal regula, dar să descoperi, exact când ai nevoie de copii, că acestea au fost criptate, șterse sau compromise odată cu datele originale.
Ghid ServerSpan relevant: Cum să remediezi eroarea critică WordPress: ghid complet de recuperare pentru orice site web.
De ce un hard disk de backup conectat permanent nu este o plasă de siguranță
Un SSD extern sau un hard disk USB pare, la prima vedere, soluția cea mai accesibilă pentru backup. Îl conectezi, setezi o aplicație să copieze fișierele automat și uiți de el. Pentru accidente obișnuite — ștergerea unui document, defectarea unui laptop sau o actualizare nereușită — această metodă rămâne utilă.
Într-un atac ransomware, însă, disponibilitatea permanentă devine un risc. Malware-ul nu trebuie să „știe” că acel drive conține backupuri. Dacă sistemul de operare îl vede ca pe o unitate accesibilă și contul compromis are permisiuni de scriere, atacatorii sau programul malițios îl pot trata ca pe orice alt folder: pot cripta fișierele, le pot șterge sau pot încerca să distrugă punctele de restaurare.
CISA recomandă explicit ca backupurile importante să fie menținute offline, criptate și testate periodic, tocmai pentru că multe variante de ransomware caută și încearcă să elimine copiile accesibile. Instituția avertizează inclusiv utilizatorii obișnuiți să nu lase hard diskul extern conectat atunci când nu rulează efectiv operațiunea de backup. (cisa.gov)
Aici este diferența importantă dintre un backup și un simplu duplicat: duplicatul este disponibil permanent; un backup rezilient trebuie să rămână disponibil pentru proprietar, dar dificil sau imposibil de modificat pentru un atacator.
Regula 3-2-1 trebuie completată, nu abandonată
Regula 3-2-1 nu este greșită. Doar că a fost creată într-o perioadă în care principalele riscuri erau erorile umane, defecțiunile fizice și pierderea unui dispozitiv, nu atacurile automate care caută activ infrastructura de backup.
Astăzi, o interpretare mai realistă este 3-2-1-1: trei copii ale datelor, pe două tipuri de medii, una în altă locație și încă una offline sau imuabilă. „Imuabil” înseamnă că o copie nu poate fi modificată ori ștearsă înainte de expirarea unei perioade stabilite. Nu este același lucru cu „am pus fișierul în cloud”; un folder sincronizat în cloud poate propaga criptarea sau ștergerea, în funcție de produs și configurare.
Pentru un utilizator de acasă din România, partea „1” suplimentară poate însemna un hard disk extern conectat doar în ziua backupului, apoi scos și păstrat într-un loc sigur. Pentru un freelancer, poate fi o copie criptată pe un alt dispozitiv, ținut la altă adresă. Pentru o firmă, soluția se schimbă: sunt necesare conturi separate pentru administrarea backupului, autentificare multifactor și, unde este justificat, spațiu de stocare imuabil.
Microsoft recomandă copii online imuabile și/sau copii complet offline ori off-site, alături de măsuri suplimentare înainte de modificarea setărilor de backup. Ideea centrală este că backupul nu trebuie administrat cu aceleași credențiale și aceleași drepturi largi folosite zi de zi în infrastructura principală. (learn.microsoft.com)
Cum arată o strategie practică pentru acasă, freelanceri și firme mici
Nu este nevoie ca fiecare persoană să construiască o arhitectură enterprise. Important este să alegi un nivel de protecție proporțional cu valoarea datelor și cu timpul pe care ți-l permiți fără ele.
Pentru un utilizator casnic, o strategie echilibrată ar putea arăta astfel: fișierele importante sunt salvate automat într-un serviciu cloud reputabil, laptopul are o copie locală pe un drive extern, iar acel drive este conectat doar pentru backup. Dacă ai fotografii de familie, proiecte personale sau documente care nu pot fi refăcute, merită să existe și un al doilea drive păstrat în alt loc — la birou, într-un seif sau la o persoană de încredere.
Pentru freelanceri, prioritatea nu este doar cantitatea de date, ci continuitatea muncii. Proiectele active, facturile, contractele, parolele de recuperare și setările aplicațiilor trebuie tratate diferit de folderele cu fișiere temporare. Un backup automat în cloud este util, dar trebuie verificat dacă păstrează versiuni anterioare ale fișierelor și pentru cât timp. Dacă un document criptat se sincronizează peste original, istoricul de versiuni poate face diferența dintre o recuperare rapidă și o pierdere serioasă.
Pentru firme mici și site-uri, trebuie incluse în backup și lucrurile care sunt deseori omise: baza de date, fișierele site-ului, configurațiile DNS, cheile de licență, documentația de restaurare și exporturile din serviciile SaaS. La un site WordPress, de exemplu, simpla arhivă a fișierelor nu este suficientă fără baza de date. Iar pentru un magazin online, un backup care nu poate fi restaurat rapid înseamnă comenzi pierdute și afectarea încrederii clienților. În astfel de situații, merită urmărite soluții de hosting sau infrastructură care oferă copii separate, restaurare testabilă și retenție clară.
Ce contează mai mult decât numărul de copii: restaurarea verificată
Cea mai periculoasă propoziție despre backup este „sigur există undeva”. Existența unei arhive nu demonstrează că ea se poate deschide, că include datele necesare sau că poate fi restaurată la timp.
Testarea trebuie să fie practică. Deschide câteva fișiere din backup. Restaurează un folder într-o locație separată. Verifică dacă fotografiile, documentele, baza de date sau arhiva site-ului chiar funcționează. Nu restaura direct peste datele de producție doar ca să „vezi dacă merge”. În cazul unei firme, exercițiul trebuie să răspundă la întrebări concrete: cine are acces la copii, unde sunt parolele și cheile de decriptare, cât durează restaurarea și care sunt serviciile ce trebuie repornite primele?
Pentru mai multe detalii despre această parte a subiectului, vezi De ce ar trebui să faci un backup al site-ului tău chiar acum: Ghid critic pentru securitatea website-ului.
Autoritățile și furnizorii de infrastructură insistă pe acest aspect deoarece un atacator poate compromite nu doar datele, ci și conturile administrative, procedurile de recuperare și documentația tehnică. O copie care este imuabilă, dar imposibil de găsit sau de restaurat sub presiune, oferă doar o siguranță teoretică. (cisa.gov)
Lucruri practice de făcut acum:
- Deconectează hard diskul extern după finalizarea backupului.
- Verifică dacă serviciul cloud păstrează versiuni anterioare ale fișierelor.
- Activează autentificarea cu doi factori pentru conturile de backup și cloud.
- Păstrează o copie importantă în altă locație fizică sau într-un spațiu imuabil.
- Testează lunar restaurarea câtorva fișiere și, trimestrial, un scenariu mai amplu.
- Salvează separat parolele de recuperare și cheile de criptare.
Regula 3-2-1 rămâne un punct de plecare excelent, dar nu trebuie tratată ca o formulă magică. În fața ransomware-ului, contează dacă atacatorul poate atinge backupul în momentul în care compromite calculatorul, serverul sau contul administratorului. O copie offline, una imuabilă și un test real de restaurare valorează mai mult decât mai multe copii accesibile permanent. Backupul bun nu este cel care rulează fără să-l observi, ci cel care rămâne utilizabil în cea mai proastă zi posibilă.