نسخ احتياطي مقاوم لبرامج الفدية: لماذا نسخك الاحتياطية هي الهدف الأول

أدرك مشغّلو برامج الفدية منذ سنوات أن تشفير أنظمة الإنتاج لا يكفي. فالمنشأة التي تملك نسخاً احتياطية عاملة تستعيد، وترفض الدفع، وتعامل الحادث بوصفه انقطاعاً لا ابتزازاً.

ولهذا تذهب النسخ الاحتياطية أولاً.

فحين يبدأ التشفير، يكون المهاجم الكفء قد أمضى أسابيع داخل البيئة عادةً. وخلال تلك المدة يحدّد موقع بنية النسخ الاحتياطي، ويحصل على بيانات اعتمادها، ويحذف المستودعات أو يفسدها، ويعدّل إعدادات الاحتفاظ لتنتهي صلاحية النسخ الأقدم، ثم يُطلق التشفير بعد ذلك فقط. فتكتشف المنشأة أن قدرتها على التعافي زالت في اللحظة نفسها التي تحتاجها فيها.

وهذا يغيّر ما ينبغي أن يحقّقه تصميم النسخ الاحتياطي. فحماية البيانات من أعطال العتاد والحذف العرضي مسألة محلولة. أما حماية القدرة على التعافي من خصم يملك وصولاً إدارياً إلى البيئة فمشكلة أخرى، وأغلب بنى النسخ الاحتياطي لم تُصمَّم لها قطّ.

كيف يجري الهجوم

فهم التسلسل يفسّر أهمية ضوابط بعينها.

الوصول الأولي يأتي عبر التصيّد، أو خدمة وصول عن بُعد مكشوفة، أو طرف ثالث مخترَق. ولا شيء في هذه المرحلة يخصّ النسخ الاحتياطي.

تصعيد الصلاحيات والاستطلاع يتبعان، على مدى أسابيع غالباً. فيرسم المهاجم خريطة البيئة، وبنية النسخ الاحتياطي هدف ذو أولوية تحديداً لأنها تحدّد نجاح الابتزاز من عدمه.

حصد بيانات الاعتماد يستهدف حسابات خدمة النسخ الاحتياطي خصوصاً. وهذه الحسابات كثيراً ما تكون مفرطة الصلاحيات، ونادرة التدوير، ومشتركة أحياناً، وعضواً في مجموعات مديري النطاق لأن ذلك كان أسهل في التهيئة.

تدمير النسخ الاحتياطية يأتي تالياً. فتُحذف المستودعات، وتُقصَّر سياسات الاحتفاظ لتنتهي صلاحية النسخ التاريخية في موعدها، وفي بعض الحالات تُستخدم برمجية النسخ نفسها للكتابة فوق النسخ السليمة بأخرى مشفّرة. وتُحذف وجهات النسخ السحابية عبر بيانات الاعتماد نفسها التي تكتب إليها.

التسريب يسبق التشفير عادةً، فيمنح المهاجم ورقة ضغط حتى تجاه منشأة تنجح في التعافي.

التشفير هو الخطوة الأخيرة وأول ما تلاحظه المنشأة.

وسؤال التصميم إذن بسيط الصياغة. عند النقطة التي يملك فيها المهاجم بيانات اعتماد إدارية عبر البيئة، ما الذي يبقى مما لا يستطيع تدميره؟

الضوابط التي تجيب عنه

الحصانة. فالنسخ المكتوبة بصورة لا يمكن تعديلها أو حذفها طوال مدة محدّدة تنجو من الوصول الإداري، لأن القيد مُنفَّذ في طبقة التخزين لا عبر الصلاحيات. وهذا أعلى الضوابط المتاحة قيمةً، وينبغي أن تتجاوز مدةُ الحصانة المدةَ الواقعية لبقاء الاختراق. فنافذة حصانة من سبعة أيام لا تحمي شيئاً من مهاجم موجود منذ ستة أسابيع.

العزل. ينبغي أن تقع نسخة واحدة على الأقل حيث لا تستطيع بيئة الإنتاج بلوغها. والفجوة الهوائية الفيزيائية، أو شبكة معزولة منطقياً بلا مسار موجَّه من الإنتاج، أو وجهة سحابية محصّنة تحت بيانات اعتماد منفصلة، تحقّق ذلك بطرق مختلفة. والاختبار: هل يستطيع مهاجم يملك كل بيانات اعتماد الإنتاج بلوغَ النسخة؟ إن كان الجواب نعم، فهي ليست معزولة.

فصل بيانات الاعتماد. ينبغي أن تُوثَّق بنية النسخ الاحتياطي بصورة مستقلة عن دليل الإنتاج. فحين تكون حسابات خدمة النسخ أعضاءً في النطاق، يكون اختراق النطاق اختراقاً للنسخ الاحتياطي. توثيق منفصل، ونموذج صلاحيات منفصل، واشتراط تحقّق متعدّد العوامل منفصل.

تحصين بنية النسخ الاحتياطي. فخوادم النسخ أنظمةُ إنتاج بحدّ ذاتها، وكثيراً ما تُعامَل بوصفها أجهزة لا تحتاج انتباهاً. وهي تحتاج ترقيعاً وضبطَ وصول ومراقبةً وإدراجاً في برنامج إدارة الثغرات شأنها شأن سواها.

مراقبة بيئة النسخ الاحتياطي. فالحذف الجماعي، وتغييرات سياسة الاحتفاظ، والتوثيق غير المعتاد على أنظمة النسخ، وإخفاق المهام عبر مستودعات متعدّدة، مؤشّرات عالية الدقة. وقليل جداً من المنشآت ينبّه عليها، ما يعني أن تدمير النسخ يجري صامتاً.

كشف معدّلات التغيّر الشاذة. فارتفاع مفاجئ في البيانات المتغيّرة عبر المنظومة قد يدلّ على تشفير جارٍ. وبيانات النسخ الاحتياطي ترى ذلك أبكر من أغلب أدوات الكشف، لأن نظام النسخ يقيس هذا تحديداً.

القدرة على الاستعادة هي ما لا يختبره أحد

معدّلات نجاح النسخ تقيس ما إذا كُتبت البيانات. ولا تقول شيئاً عن قدرة المنشأة على استعادة بيئة عاملة تحت الضغط.

وينبغي أن يُثبت اختبار التعافي أكثر من استرجاع ملف. هل يمكن استعادة نظام كامل، وكم يستغرق ذلك. هل تبدأ التطبيقات بترتيب الاعتماديات الصحيح بعد الاستعادة. هل بيانات الاعتماد اللازمة لتنفيذ التعافي متاحة إن كان الدليل نفسه غير متاح. هل يوجد دليل التعافي بصورة تنجو من الحادث، أم يقيم على مشاركة ملفات داخل البيئة المراد استعادتها.

والسؤال الأخير يوقع المنشآت باستمرار. فخطة تعافٍ محفوظة على الشبكة المشفّرة وحدها خطةٌ لا يستطيع الفريق قراءتها.

وتستحقّ سرعة الاستعادة قياساً صادقاً كذلك. فالمنشأة القادرة على استعادة تيرابايتين في الساعة وتحتفظ بأربعمئة تيرابايت من البيانات الحرجة تنظر إلى أسبوع من الاستعادة، مهما نصّ هدف زمن التعافي لديها على الورق. وينبغي إجراء هذا الحساب قبل الحادث لا أثناءه.

أين يتّصل ذلك بالالتزام التنظيمي

تُدرج أطر ضوابط الأمن السيبراني السعودية إدارةَ النسخ الاحتياطية ضمن تدابير الدفاع الأساسية، وعلى المنشآت الخاضعة لها إثباتُ أن الضابط يعمل لا الاكتفاء بوجوده.

ويشمل ملفّ الأدلة نطاقَ النسخ ووتيرته موثّقين، وتهيئة الاحتفاظ، وسجلات اختبار الاستعادة بنتائجها ومعالجاتها، وإثبات أن أهداف التعافي جرى التحقّق منها لا افتراضها. والمنشآت التي تشغّل نسخاً احتياطياً موثوقاً ولا تستطيع إبراز سجلات اختبار استعادة تُعامَل بوصفها ذات فجوة، لأن النسخة غير المختبَرة والنسخة المعطّلة لا تفترقان من موضع المقيّم.

أسئلة شائعة

هل يوفّر النسخ السحابي حماية أصيلة؟ ليس تلقائياً. فالتخزين السحابي الذي يمكن بلوغه ببيانات اعتماد محفوظة في بيئة الإنتاج يمكن حذفه بمن يملك تلك البيانات. وإعدادات الحصانة والتوثيق المنفصل والحماية من الحذف هي ما يوفّر الصمود، لا الموضع السحابي نفسه.

كم ينبغي أن تكون مدة الحصانة؟ أطول من المدة التي قد يبقى فيها اختراق دون كشف داخل البيئة. والمدد المقيسة بالأيام تقدّم حماية محدودة، إذ تُقاس مدد البقاء عادةً بالأسابيع.

هل ما تزال الفجوة الهوائية الفيزيائية ضرورية؟ هي إحدى طرق تحقيق العزل وتبقى شديدة الفعالية. والتخزين المحصّن تحت بيانات اعتماد منفصلة يحقّق نتيجة مماثلة بسرعة تعافٍ أفضل، ولهذا تجمع أغلب المنشآت اليوم بين المنهجين بدل الاختيار بينهما.

ما أشيع فجوة؟ حسابات خدمة النسخ الاحتياطي التي تحمل صلاحيات مدير النطاق. فهي تبسّط النشر وتسلّم المهاجمَ القدرةَ على التعافي كاملةً مع البيئة.

كيف تدعم بناة الأنظمة النسخ الاحتياطي والتعافي

تصمّم بناة الأنظمة بنية النسخ الاحتياطي والتعافي وتشغّلها للبيئات المؤسسية، شاملةً الحصانة والعزل وفصل بيانات الاعتماد واختبار الاستعادة المنظّم. ولأن الفريق نفسه يبني مراكز البيانات والمنصات السحابية الأساسية، يراعي تصميمُ التعافي ترتيبَ الاعتماديات وسرعةَ الاستعادة التي تستطيع البيئة تحقيقها فعلاً.

لمناقشة صمود النسخ الاحتياطي، تواصل مع بناة الأنظمة على 920-020-750 أو itbuilders.com.sa

خدمات ذات صلة

مراكز البيانات · الخدمات المُدارة · خدمات الأمن السيبراني