Quy tắc sao lưu 3-2-1 vẫn có thể thua ransomware nếu ổ dự phòng luôn kết nối

Ba bản sao dữ liệu, trên hai loại phương tiện và có một bản đặt ngoài địa điểm chính là nền tảng tốt, nhưng ransomware có thể mã hóa cả ổ sao lưu và thư mục mạng đang gắn với máy bị nhiễm. Lỗ hổng nằm ở quyền truy cập: nếu máy tính có thể ghi vào bản sao, mã độc chạy trên máy đó cũng có thể thử làm điều tương tự.

Bản sao ngoài địa điểm vẫn có thể nằm trong tầm với của máy nhiễm

Chữ “ngoài địa điểm” mô tả vị trí, không đảm bảo cách ly. Một ổ NAS ở nhà khác hoặc máy chủ từ xa sẽ không giúp nhiều nếu máy tính chính vẫn kết nối liên tục bằng ổ mạng SMB hay tài khoản đồng bộ có quyền ghi và xóa.

Một thiết lập thường gặp là đồng bộ dữ liệu hằng đêm bằng rsync sang ổ khác trong cùng hệ thống, đồng thời gắn bản sao ở ngoài địa điểm như một ổ mạng. Cách bố trí đó xử lý được sự cố hỏng ổ cứng, nhưng không ngăn được phần mềm độc hại ghi lên những đích đang khả dụng. Lịch đồng bộ tự động còn có thể truyền trạng thái đã bị mã hóa lên bản sao sạch nếu không giữ các phiên bản độc lập.

Snapshot cũng không mặc nhiên an toàn. Nếu bản snapshot nằm trên thiết bị mà tài khoản bị xâm nhập có thể quản lý hoặc xóa, nó không phải lớp khôi phục đáng tin trước một cuộc tấn công có quyền cao. Cần phân biệt “có nhiều bản” với “có bản mà máy đang bị tấn công không thể sửa”.

Ổ cứng rời chỉ tạo thành bản sao cách ly khi được rút ra

Với gia đình hoặc người tự quản lý NAS, ổ cứng ngoài được cắm khi sao lưu rồi tháo ra là cách ít phụ thuộc vào dịch vụ và cấu hình phức tạp. Một phương án là dùng ổ ngoài, chạy đồng bộ định kỳ rồi ngắt kết nối vật lý; trong khoảng thời gian ổ được cất riêng, máy tính không thể tiếp tục ghi lên đó qua mạng.

Đổi lại, bản sao ngoại tuyến không cập nhật liên tục. Nếu lần sao lưu gần nhất đã cách vài ngày, dữ liệu phát sinh sau đó có thể mất khi phải khôi phục. Tần suất phù hợp tùy mức độ quan trọng của tệp và mức mất dữ liệu chấp nhận được; lịch dày hơn giảm khoảng trống nhưng cũng đòi hỏi cắm ổ thường xuyên hơn.

Cẩn trọng với lệnh đồng bộ có tùy chọn xóa như rsync --delete. Nó có thể làm cho thư mục đích giống hệt nguồn, kể cả việc xóa tệp đích đã bị xóa ở nguồn. Nếu nguồn bị mã hóa trước lần chạy, đồng bộ một chiều không tự biết đâu là bản lành mạnh. Hãy giữ các phiên bản theo thời gian hoặc dùng phần mềm sao lưu có lưu lịch sử, và kiểm tra kỹ đường dẫn nguồn/đích trước khi chạy lệnh.

Bản sao bất biến phù hợp hơn khi cần tự động hóa liên tục

Ổ cứng rời hợp với người chấp nhận thao tác thủ công; doanh nghiệp nhỏ hoặc người vận hành dữ liệu quan trọng thường cần một bản sao luôn nhận dữ liệu mà vẫn khó bị sửa. Mô hình 3-2-1-1-0 bổ sung một bản ngoại tuyến hoặc bất biến, cùng việc xác minh không có lỗi trước khi tin rằng dữ liệu khôi phục được.

Tính bất biến ở tầng lưu trữ khóa dữ liệu trong thời hạn lưu giữ, không thể bị ghi đè hay xóa trong thời gian đó, kể cả khi tài khoản có quyền cao. Các lựa chọn gồm phương tiện WORM hoặc lưu trữ đám mây có khóa đối tượng như Amazon S3 Object Lock và chính sách bất biến của Azure Blob Storage. Đây không phải miễn phí: dữ liệu khóa có thể tiếp tục chiếm dung lượng đến hết thời hạn, nên cần tính thời gian lưu và chi phí trước khi bật.

Với NAS cá nhân, nên tránh để ổ sao lưu luôn được ánh xạ trên máy tính dùng hằng ngày. Tách tài khoản sao lưu khỏi tài khoản đăng nhập thông thường, giới hạn quyền xóa, bật snapshot có khóa nếu hệ thống hỗ trợ, và giữ thêm bản sao mà NAS không thể truy cập thường trực. Snapshot hữu ích trước lỗi thao tác hoặc mã hóa, nhưng chỉ khi tài khoản và thiết bị bị tấn công không có quyền xóa chúng.

Trạng thái “sao lưu thành công” chưa chứng minh khôi phục được

Một tác vụ báo hoàn tất chỉ cho biết quy trình đã chạy theo điều kiện của nó, không chứng minh mọi tệp còn nguyên và có thể mở lại. Nên xác minh tính toàn vẹn bằng checksum hoặc hash sau khi ghi và trong các lần kiểm tra định kỳ; với hệ thống quan trọng, cần thử khôi phục thực tế thay vì chỉ xem nhật ký công việc.

Người dùng gia đình có thể chọn vài thư mục quan trọng để khôi phục thử sang vị trí khác, mở tệp và kiểm tra phiên bản. Doanh nghiệp nên thử cả dữ liệu lẫn ứng dụng phụ thuộc vào nó, đồng thời xác nhận bản sao ngoại tuyến hoặc bất biến không nằm chung quyền truy cập với hệ thống chính. Bản sao lưu chỉ đáng tin sau khi đã chứng minh rằng có thể lấy dữ liệu ra.

Quy tắc 3-2-1 vẫn là điểm khởi đầu hữu ích, nhưng “một bản ở nơi khác” không đồng nghĩa với “một bản nằm ngoài tầm với”. Với thiết lập tại nhà, rút ổ ngoài sau khi sao lưu là bước đơn giản; với hệ thống chạy liên tục, cần thêm quyền tách biệt, tính bất biến và các lần khôi phục thử.

Nguồn tham khảo: XDA Developers; NinjaOne