Teoretické řešení kybernetické bezpečnosti je jedna věc, ale realita u zákazníka může být zcela odlišná. Před pár dny se na nás s prosbou o pomoc obrátila výrobní společnost, se kterou jsme do té doby nespolupracovali. Do jejich infrastruktury pronikl pokročilý ransomware. Byli přesvědčeni, že se stali obětí a čelí fatálnímu vydírání. Sami přitom netušili, že jejich situace zdaleka není beznadějná. Naše analýza a forenzní ověření nakonec ukázaly pravý opak: stávající bezpečnostní opatření zafungovala na výbornou a zálohy zůstaly zcela netknuté. Ukázalo se, že největším problémem nebyl chybějící software, ale nedostatek informací.
Dnešní útočníci už nešifrují data hned. Měsíce se nepozorovaně pohybovali v síti, mapovali infrastrukturu a čekali na správný moment. Jejich primárním cílem bylo především najít a kompletně zničit zálohy. Věděli, že pokud firma přijde o data a o možnost jejich obnovy, bude muset zaplatit výkupné. Útok u této výrobní firmy byl technicky velmi propracovaný. Útočníkům se podařilo kompromitovat administrátorské účty. V ten moment by za běžných okolností nastal konec – útočník s právy administrátora by smazal cokoliv, co by chtěl. Naštěstí pro ně měli v síti nasazenou technologii Immutable Storage (neměnné úložiště) na platformách Dell PowerStore a Dell PowerProtect DD. Díky tomu firma nemusela zaplatit ani korunu výkupného a systémy se podařilo bezpečně obnovit.
Proč zrovna Immutable storage?
Immutable storage zásadně mění pravidla hry. Funguje na principu WORM (Write Once, Read Many). Jakmile se záloha zapíše na úložiště, aplikuje se na ni časový zámek (retention period).
Během této doby data nelze modifikovat, přepsat ani smazat. A to je klíčové: tento zámek nedokáže zrušit ani administrátor s nejvyššími právy.
Když se útočníci pod ukradenou identitou správce sítě pokusili smazat zálohovaná data a vyčistit zálohovací appliance, operační systém úložiště jejich příkazy jednoduše ignoroval. Útok ransomwaru ztroskotal přímo na úrovni „železa“.
Jak zafungovala kombinace DELL PowerStore a Dell PowerProtect DD
Při záchraně nového zákazníka, který k nám přišel doslova „za pět minut dvanáct“, hrály klíčovou roli dvě bezpečnostní vrstvy:
1. Rychlá obnova: Dell PowerStore
PowerStore drží tzv. Immutable Snapshots (neměnné lokální snímky dat). Ransomware sice zašifroval živá data na serverech, ale lokální snapshoty na poli PowerStore zůstaly absolutně nedotčené. Výsledek: Nemuseli jsme složitě stahovat terabajty dat ze sítě. Část kritických systémů jsme dokázali „přetočit“ zpět do stavu před útokem během několika minut přímo na primárním poli.
2. Rychlá ochrana: Dell PowerProtect DD s Retention Lock
Dell PowerProtect DD byla cílovým místem, kam zálohovací software ukládal pravidelné denní a týdenní zálohy. Zde byla aktivována technologie DD Retention Lock. Útočníci se pokusili napadnout samotný zálohovací server a skrze něj zálohy smazat. Dell PowerProtect DD však díky systémovým hodinám chráněným proti manipulaci (Compliance Clock) a striktní politice uzamčení odmítla data uvolnit. Výsledek: Celá historie záloh byla uchována. Měli jsme k dispozici spolehlivý zdroj pro obnovu i těch systémů, kde ransomware napáchal největší škody.
Ponaučení z útoku
Tato zkušenost, kterou jsme společně řešili s novým klientem hned zkraje našeho kontaktu, nám opět ukázala tři zásadní věci:
- Klasické zálohování je nefunkční: Pokud lze vaše zálohy smazat z konzole administrátora, je bezpečí vašich data pouhou iluzí. Útočníci mohou tyto přístupy získat kdykoli.
- Immutable storage je vysoce spolehlivé řešení: Zákazník měl díky němu jistotu, že má svá data pod kontrolou. Útočníci ztratili jakoukoliv šanci a vyjednávání o výkupném vůbec nenastalo.
- RTO (čas obnovy) je kritický: Díky architektuře Dellu jsme neobnovovali týdny, ale firma byla zpátky v provozu v řádu hodin, což minimalizovalo ztráty.
Závěr: immutable storage vs. Ransomware 1:0
Ransomware už dávno není hrozba, která by se týkala jen několika málo firem. V ARIONu důvěřujeme moderním technologiím a Immutable Storage – a právě proto je aktivně prosazujeme a stavíme do našich návrhů pro zákazníky. Tato situace z praxe ukázala, že to má obrovský smysl.
Výrobní firma, která k nám přišla a ze které se stal náš zákazník, přežila masivní útok jen díky tomu, že měla správně postavenou architekturu dat na platformách Dell PowerStore a Dell PowerProtect DD. A jak by takový útok dopadl u vás? Pokud si nejste jistí, zda máte své zálohy opravdu v bezpečí, rádi s vámi vše probereme, kontaktujte nás a domluvte si konzultaci s našimi odborníky.
