Uma estratégia à prova de vírus (ransomware ...) para backup em um NAS?

12

Comprei um NAS para compartilhar arquivos e como solução de backup.

Recentemente, meu netbook foi infectado por um ransomware. Todos os arquivos no netbook e a maior parte do arquivo no NAS foram destruídos (o vírus embaralha os primeiros bits dos arquivos). Felizmente, meu PC principal não foi atacado e, como faço backups manuais no disco rígido portátil, perdi qualquer coisa.

Ainda assim, isso me assustou, pois acho que poderia perder muitos dados se eles aparecessem no meu PC principal. De fato, se um backup estiver sendo executado quando os arquivos estiverem sendo corrompidos, eu faria o backup dos dados corrompidos no NAS!

Então, minha pergunta: existe uma estratégia de backup à prova de vírus?

Obrigado pela ajuda.


Então, depois de ler suas respostas, agora entendo que preciso de duas soluções:

  1. Sincronize meus dados em um local que PODE ser acessado pelos clientes para que eu possa compartilhar dados entre computadores (eu chamaria de área sincronizada )
  2. Em seguida, faça backup dessa área sincronizada em um local que NÃO PODE ser acessado pelos clientes

Finalmente minhas perguntas:

  1. Essas duas afirmações acima são suficientes para serem seguras?
  2. Como configurar esta solução com computadores no Windows e um Synology NAS?

Daniel Beck pediu mais detalhes sobre o meu ambiente:

Eu tenho 2 PCs:

  1. O principal PC de mesa com o qual faço a maioria das coisas (classificação de fotos, contabilidade etc.) Ele possui HDDs grandes o suficiente para conter todos os dados que eu preciso compartilhar e fazer backup.
  2. O segundo é um netbook. Ele possui um pequeno HDD, portanto não contém todos os dados (por exemplo, sem fotos). Mas é frequentemente usado para editar alguns documentos da área compartilhada . Às vezes, criarei novos dados que salvarei manualmente na área compartilhada .

No momento, faço todas as cópias manualmente no NAS (não tenho software de backup).

Meu NAS é o Synology DS211j, hospeda os dados compartilhados.

Então eu gostaria de:

  1. conceder acesso ao netbook a todos os dados que estão no PC de mesa, mesmo se ele estiver desligado
  2. Tenha uma solução para proteger meus dados contra vírus.
  3. Configure uma solução automatizada para tudo isso.

Graças ao último comentário de Liori, eis o que eu gostaria de tentar:

  1. Redefina meu NAS configurado de RAID com 2 HDDs para 2 volumes separados .
  2. Configure uma sincronização de dados no volume 1 que será vista pelo usuário .
  3. Use o software de backup em tempo Synology NAS , para fazer backup do volume compartilhado 1 no volume de backup 2 . O volume 2 NÃO será visto pelos usuários .

Se for seguro, vejo muitas vantagens:

  • Mesmo que não seja tão bom, mantenho o acesso aos meus dados pela Internet.
  • O backup dos dados seria agendado no NAS, não preciso deixar meu computador ligado para backups.
  • Eu teria meus dados em 3 locais: PC principal + volume compartilhado + volume de backup (4 na verdade com o backup manual no disco rígido USB). Por isso, perdi o RAID inútil e recebo backups seguros no HDD dedicado.

Você acha que funcionaria?

Obrigado novamente!

Plouff
fonte
1
O backup é diferente da sincronização. Por favor, explique como os dois estão relacionados no seu caso.
Daniel Beck
Ok, é mais complicado do que eu pensava. Vou atualizar a resposta novamente.
Plouff

Respostas:

14

A solução é manter um histórico de backups.

Você pode armazenar um backup diário, digamos nos últimos sete dias. Em seguida, um backup por semana, quatro vezes por mês. Dessa forma, se o backup de ontem tiver sido salvo em um estado ruim, você o fará no dia anterior. Ou você pode fazer o backup da semana passada.

Para economizar espaço, você pode usar um sistema de arquivos com suporte à desduplicação, usar links físicos ou armazenar apenas a diferença entre o backup. Qual a melhor solução, depende das suas necessidades, configuração e software que você executa.

EDIT: Você atualizou sua pergunta e adicionou informações adicionais.

Como você já sabe, você precisa separar os dados do backup. Um backup é sempre redundante, se possível, mais de uma cópia. Não conheço sua solução NAS e o software de backup deles. Mas posso lhe dizer como resolvi isso.

Eu uso um sistema antigo de 300 MHz como servidor de backup, que está conectado ao servidor de arquivos (que seria o seu NAS na sua configuração). Uma vez por dia, o servidor de backup liga e extrai o backup do servidor de arquivos e grava os dados em seus próprios discos rígidos. Como software de backup, eu uso o rsnapshot . Nenhum computador cliente tem acesso ao servidor de backup de forma alguma. E está funcionando apenas por um curto período de tempo por dia.

Essa é apenas uma solução possível dentre muitas. Os pontos principais de uma boa solução são:

  • Mantenha um histórico de backups
  • Um backup é sempre redundante
  • Um backup é armazenado em hardware diferente (por exemplo, uma segunda unidade, não uma segunda partição na mesma unidade)
  • Os computadores clientes não devem ter acesso ao backup
  • O backup deve ser o mais fácil possível, na melhor das hipóteses, totalmente automático
  • Dependendo da frequência com que as restaurações são esperadas, não deve ser muito difícil restaurar os dados
Marco
fonte
Entendo a necessidade do histórico de backups, mas, infelizmente, não acho que isso impediria o ransomware de destruir dados. Talvez eu não tenha sido suficientemente preciso. Mas o ransomware teve acesso ao NAS através do netbook. E destruiu os arquivos no NAS!
Plouff
3
Faça o contrário. Os clientes (possivelmente infectados) não devem ter acesso de gravação arbitral no NAS. O servidor de backup (também pode ser executado no NAS) deve extrair os dados dos clientes e salvá-los no NAS.
Marco Marco
OK! Eu entendo agora! É possível fazer coisas assim com um NAS de sinologia?
Plouff
1
Receio que sua resposta perca um ponto-chave dessa estratégia: se você deseja proteger contra alterações de backup por software malicioso, precisa usar diferentes mídias físicas para os backups antigos. Se o usuário, como neste caso, não pode garantir a integridade do software em seu computador, por que as permissões de gravação no NAS são confiáveis? O malware pode apenas roubar as credenciais de login do armazenamento de senhas de um navegador ou similar.
Jstarek
Eu concordo com você. Demorei um pouco para entender que preciso separar os dados compartilhados dos backups. Você poderia me dizer o que achou da última atualização da pergunta? Obrigado!
Plouff 6/08/2012
7

A única maneira de ter backups livres de vírus é ter algum tipo de histórico: você precisa armazenar seus backups por vários dias / semanas / meses.

Isso não garante a ausência de vírus, mas você pode recuperar arquivos antes de descobrir uma infecção recente.

Uma coisa muito importante sobre os backups: o computador "cliente" não deve ter acesso aos backups.
Isso significa que este é o computador "servidor" que se conecta ao cliente e faz o backup. A maioria dos programas de backup não é projetada dessa maneira.
Outro método é remover os backups da vista do cliente, uma vez feito. Mas isso geralmente é feito de maneira ruim, levando a nenhum aumento de segurança.

Gregory MOUSSAT
fonte
Depois que fui atingido pelo ransomware, tentei remover os backups da vista do cliente removendo o NAS como unidade de rede em todas as máquinas Windows. Então, no momento, eu acesso o meu NAS através da barra de endereços do Windows e não salvo a senha. Mas não sei se um ransomware é capaz de escanear a rede para encontrar outro local. Se ele puder fazer isso, como o Windows salva a senha durante a sessão ativa (mesmo que você peça para não salvar a senha para sempre), o ransomware poderá acessar o NAS. Existe uma maneira simples de aplicar o que você disse no Windows?
Plouff
4

O que você menciona parece ser vários problemas separados. Um é mais fácil de superar (exclusões acidentais ou backup de dados incorretos) do que o outro (malware direcionado).

Em ordem crescente de gravidade / esforço para salvar seus dados:

  1. Corrupção (despercebida) dos dados de um de seus sistemas, chegando à unidade de backup, excluindo todos os bons dados ou substituindo-os por lixo. Outros respondentes mencionados anteriormente mantêm várias gerações. Isso evita que você tenha problemas muito mais comuns, como softwares que escrevem incorretamente (conheço pessoas cujo software de escritório criou arquivos quebrados e irrecuperáveis) sem que você perceba.

  2. Malware que quebra todos os arquivos em todas as unidades conectadas. Esse é mais difícil, porque o malware pode excluir ou inutilizar todas as gerações de backup, com acesso programático a elas. Mantenha várias unidades de backup e alterne regularmente entre elas. Nunca conecte-os ao mesmo tempo.

  3. Incêndios, roubos, descargas elétricas ou alguém importante que goste de jogar (de preferência caro) coisas em você. Mantenha várias unidades físicas. Mantenha um deles fora do local o tempo todo. Alterne regularmente entre eles para garantir que ambos estejam razoavelmente atualizados. Opcionalmente, adicione uma solução de backup online em que você confia à mistura.


Obviamente, você pode tentar evitar alguns problemas, por exemplo, mantendo várias gerações de backup e removendo todas as permissões de gravação nos arquivos após a gravação, para que o malware não possa substituí-los. Eu não confiaria nisso, especialmente se você já tiver problemas com malware.

Daniel Beck
fonte
Acho que você definitivamente identificou e separou os problemas. Assim, vou atualizar minha pergunta acima.
Plouff
3

Eu gostaria de sugerir outra solução.

Use uma instalação de sistema diferente apenas para backups - de preferência uma que seja realmente um sistema operacional diferente. Por exemplo, você pode criar uma unidade USB (ou realmente instalar o sistema operacional secundário na unidade de backup) com um pouco de Linux e usá-lo para fazer backup do sistema operacional principal, que eu acho que é o Windows.

Conecte apenas o armazenamento de backup quando esse sistema operacional secundário estiver carregado.

Dessa forma, um malware poderia destruir seus backups apenas se estivesse preparado para funcionar em dois sistemas operacionais diferentes, e esse nível de sofisticação é muito raro (pense na sofisticação no nível do Stuxnet ).

liori
fonte
Se você implementar uma solução excessivamente complicada, como a proposta, não é improvável que você não faça backup com a frequência necessária. Um backup deve ser o mais fácil possível, na melhor das hipóteses, totalmente automático. Uma solução mais simples seria exportar o disco rígido e deixar o servidor de backup simplesmente pegar os dados via LAN. Dessa forma, o cliente (e seu malware) não precisa ter acesso de gravação no servidor de backup.
Marco
Fiz uma vez e não considero complicado. No meu caso, acabei de preparar o sistema operacional de backup no disco rígido externo. Um dos scripts de inicialização iniciou o próprio backup e, quando o backup terminou, desligou o computador. Então, tudo que eu precisava fazer era conectar o disco rígido, reiniciar o computador e dormir. No meu caso, as partições no disco rígido foram preparadas para não serem montadas automaticamente no sistema operacional principal, para que eu pudesse conectar a unidade de backup sem me preocupar muito com a segurança dos backups. Era a solução mais segura que eu pudesse realizar mais barato com apenas um disco rígido, e nenhum computador externo
Liori
Eu não mencionei que estou falando de uma solução de backup em casa. Além disso, eu não sou tão fluente em TI. Sua solução parece ótima, mas difícil de configurar. Não tenho certeza se entendi tudo.
Plouff
1
@ Plouff: pode ser bom o suficiente. Se essa coisa: synology.com/dsm/home_backup_desktop_backup.php?lang=enu funciona mesmo se o NAS não está montado diretamente para o seu PC (e em vez disso usa o que for compartilhado a partir do PC), então você terá um espaço de backup que é não diretamente acessível pelo PC. Ah, btw, você escreveu que queria usar o NAS também para "compartilhar arquivos" - eu desaconselharia fazê-lo por segurança, mas se você ainda quiser fazê-lo, crie um volume distinto dentro do NAS para compartilhar dados, como na imagem aqui: synology.com/dsm/home_easy_setup_home_storage.php?lang=enu
Liori
1
@ Plouff: Parece bom. Uma coisa: parece que você não precisa parar de usar o RAID. De acordo com esta documentação: ukdl.synology.com/ftp/ds/userguide/x11-Series/… , capítulo 4. - você pode configurar um "Grupo de Discos" que executa o RAID e, em seguida, criar vários volumes dentro dele.
Liori 7/08
-1

A única verdadeira defesa é clonar seu NAS regularmente e manter pelo menos 2 cópias offline dos dados, caso o NAS seja atacado ou falhe ao cloná-lo. Considerando o quão barato você pode obter unidades com vários terabytes, isso é realmente muito mais viável do que costumava ser, especialmente se você estiver usando um compartimento de troca a quente com unidades nuas em vez de externas pré-fabricadas

Mike Loeven
fonte
Parece ser mais um comentário do que uma resposta real.
Ramhound 17/10