備份是當遭遇數(shù)據(jù)加密勒索時最后的防線和控制方式，但是它們也需要保護。今年，勒索軟件在各行各業(yè)猖狂肆虐。主要的兩種攻擊WannaCry和NotPetya已造成數(shù)億美元的損失。自然，攻擊者也感受到其顯著的成效，還在快速增加通過勒索軟件實施攻擊。

良好備份和有效恢復

企業(yè)在面對勒索軟件時是除了是有選擇的，也應當主動而非被動。最可靠的防御方式就是堅持良好備份和經(jīng)過可靠測試的恢復過程。定期備份數(shù)據(jù)的單位，當檢測到勒索軟件攻擊時，就有機會能夠快速恢復數(shù)據(jù)并將破壞降至最低。

在某些特殊情況下，比如NotPetya等大規(guī)模勒索軟件模仿Petya勒索軟件提出相似的勒索要求。在這種情況下，受害者哪怕支付贖金也無法恢復數(shù)據(jù)，因此良好的備份/恢復能力顯得更加重要。

狡猾的攻擊者把目標對準備份

正因為良好的備份如此有效，所以勒索軟件的攻擊者現(xiàn)在把矛頭對準了備份流程和工具。數(shù)種勒索軟件，包括WannaCry和新變種的CryptoLocker都會刪除微軟Windows操作系統(tǒng)創(chuàng)建的卷影備份。卷影備份是微軟Windows為方便恢復提供的簡單方式。在Mac上，攻擊者從一開始就把備份作為目標。研究人員發(fā)現(xiàn)，2015年功能還不全面的首個Mac勒索軟件就已經(jīng)針對了使用名為時間機器的Mac OS X自動備份流程的磁盤。

其機制很直接：加密備份數(shù)據(jù)以切斷企業(yè)對勒索軟件的控制，迫使他們支付贖金。攻擊者越來越傾向于破壞備份。以下是幫助企業(yè)保護數(shù)據(jù)備份免受勒索軟件侵害的四條建議。

1.提高備份流程的透明度

企業(yè)越快發(fā)現(xiàn)勒索軟件攻擊，就越有可能避免重大數(shù)據(jù)損失。備份流程數(shù)據(jù)可作為勒索軟件入侵的早期警報。備份日志能快速顯示數(shù)據(jù)加密程序的痕跡。每有效修改一個文件，增量備份就會突然“爆炸”，使加密文件無法被壓縮或復制。

每天監(jiān)控備份使用容量等基本指標有助于在勒索軟件侵入內(nèi)部系統(tǒng)時有所察覺并盡可能減少損失。

2.謹慎使用網(wǎng)絡文件服務器和在線共享服務

網(wǎng)絡文件服務器使用方便且始終可用，這兩個特性使人們常常使用網(wǎng)絡訪問的“主”目錄集中數(shù)據(jù)并簡化備份。但是，一旦遭遇勒索軟件，這種數(shù)據(jù)結構就具有若干嚴重的安全漏洞。很多勒索軟件程序會加密連接設備，由此目標主目錄也會被加密。在Windows這種常被選為目標且容易攻擊的操作系統(tǒng)上運行的所有服務器都會受到感染，導致所有用戶的數(shù)據(jù)被加密。

使用網(wǎng)絡文件服務器的所有機構都必須堅持將數(shù)據(jù)備份到獨立的系統(tǒng)或服務，并專門測試系統(tǒng)被勒索軟件入侵的恢復能力。

云文件服務也容易受到勒索軟件攻擊。一個典型事例就是2015年的Children in Film勒索軟件攻擊。Children in Film使用了包括普通云盤在內(nèi)的大量云服務。KrebsOnSecurity的信息顯示，在員工點擊了一個惡意郵件鏈接的30分鐘內(nèi)，云端的四千多份文件就被加密了。幸運的是，該公司的備份供應商恢復了所有文件，但也花了超過一周的時間。

但云端數(shù)據(jù)恢復受限于云服務是否提供增量備份或方便管理文件的版本歷史，因此比內(nèi)部部署服務器更加困難。

3.經(jīng)常測試恢復過程

除非能夠可靠快速地恢復，否則備份沒有任何價值。如果備份程序無法以足夠的細粒度執(zhí)行備份或沒有備份目標數(shù)據(jù)，有備份的企業(yè)也可能被迫支付贖金。

測試恢復過程包括確定數(shù)據(jù)丟失窗口。如果企業(yè)每周進行一次完整備份，就可能損失一周的數(shù)據(jù)，因為需要從上一個備份恢復。每天或每小時備份一次能大幅提高防護水平。更有細粒度的備份和盡早檢測勒索軟件都是防止損失的關鍵。

4.了解您的解決方案選項

如果勒索軟件可以直接訪問備份鏡像，幾乎就無法防止其加密企業(yè)備份數(shù)據(jù)了。因此，能提取備份數(shù)據(jù)的備份系統(tǒng)可防止勒索軟件加密歷史數(shù)據(jù)。

將備份與標準操作環(huán)境隔開并確保不在多用途服務器和操作系統(tǒng)上運行可加強備份防護。在首要攻擊目標微軟Windows操作系統(tǒng)上運行的備份系統(tǒng)更易受到攻擊，防護也更加困難。

最后，企業(yè)必須努力通過監(jiān)控或反惡意軟件措施盡早檢測出勒索軟件攻擊，使用專用系統(tǒng)隔離備份數(shù)據(jù)和可能受到侵害的系統(tǒng)，持續(xù)測試備份和恢復過程以確保有效保護數(shù)據(jù)。這種方法能保護備份數(shù)據(jù)免受勒索軟件侵害，減小受到攻擊時丟失數(shù)據(jù)的風險。