Back-ups zijn het laatste vangnet bij ransomware en daardoor een aantrekkelijk doelwit. Een omgeving is niet veilig omdat herstelpunten bestaan; zij is veilig wanneer een aanvaller die productie beheert de kopieën niet eenvoudig kan versleutelen, verwijderen of onbruikbaar maken. Dat vraagt meerdere onafhankelijke barrières.
De hoofdpagina over download Veeam Backup & Replication geeft bredere productcontext. Hier behandelen we uitsluitend verdedigingsprincipes en herstelvoorbereiding voor bevoegde beheerders.
Scheid het back-upbeveiligingsdomein
Gebruik niet automatisch dezelfde domeinbeheerders voor productie en back-up. Een gecompromitteerd account mag niet rechtstreeks repositories, configuratie en herstelpunten kunnen wissen. Maak afzonderlijke rollen voor ontwerp, dagelijkse controle, herstel en opslagbeheer en geef rechten alleen wanneer ze nodig zijn.
Beperk netwerktoegang tot expliciete componenten en beheerpoorten. Een repository hoeft niet vanaf iedere werkplek bereikbaar te zijn. Gebruik een gecontroleerde beheerhost, log beheeraanmeldingen en sluit ongebruikte services. Documenteer tijdelijke uitzonderingen met eigenaar en vervaldatum.
Bescherm iedere identiteit
Activeer multifactorauthenticatie waar ondersteund en gebruik unieke accounts. Serviceaccounts krijgen geen interactieve rechten en worden niet hergebruikt voor andere toepassingen. Bewaar noodcredentials buiten de normale identiteitspaden, verzegel het gebruiksproces en test periodiek of ze nog werken.
Een wachtwoordkluis verlaagt risico alleen wanneer toegang tot de kluis zelf goed is beschermd. Gebruik goedkeuringsprocessen voor zeer krachtige accounts en waarschuw bij onverwachte aanmelding, privilegewijziging of uitschakeling van beveiligingsfuncties.
Maak herstelpunten onveranderlijk
Immutable opslag voorkomt dat bestanden gedurende een vastgestelde periode worden gewijzigd of verwijderd. Hardened Linux repositories en geschikte objectopslag kunnen hierbij helpen. Stel de periode af op de tijd die nodig is om een aanval te ontdekken plus de gewenste herstelhistorie.
Test de grensvoorwaarden. Wie kan retentie veranderen, de systeemklok beïnvloeden, sleutels intrekken of het opslagaccount sluiten? Bescherm ook capaciteit: een aanvaller kan proberen opslag te vullen zodat nieuwe herstelpunten mislukken. Monitoring moet daarom zowel verwijderpogingen als groeiversnelling zien.
Versleuteling en sleutelbeheer
Versleutel back-updata tijdens transport en waar passend in rust. Bewaar encryptiesleutels en wachtwoorden onafhankelijk van de getroffen omgeving. Maak een gecontroleerde export of escrowprocedure en oefen herstel wanneer de oorspronkelijke managementserver ontbreekt.
Versleuteling beschermt vertrouwelijkheid, maar voorkomt geen verwijdering. Combineer haar met immutability, toegangscontrole en kopieën in verschillende storingsdomeinen. Leg vast wie een sleutel mag herstellen en hoe dubbele controle plaatsvindt.
Detecteer afwijkend gedrag
Normaal back-upgedrag heeft patronen in wijzigingsvolume, duur, compressie, capaciteit en fouten. Een plotselinge stijging kan passen bij versleuteling of grootschalige wijziging. Correlatie met endpoint-, identity- en netwerkdetectie maakt een waarschuwing betekenisvoller.
Stuur kritieke meldingen naar een kanaal dat niet volledig afhankelijk is van dezelfde infrastructuur. Een waarschuwing zonder eigenaar en responstijd is alleen registratie. Definieer wanneer taken worden gepauzeerd, wanneer extra kopieën worden beschermd en wie incidentrespons activeert.
Werk vanaf een schone beheerroute
Bij een incident is de normale beheerwerkplek mogelijk besmet. Bereid een geïsoleerde herstelomgeving voor met gecontroleerde media, documentatie en minimale netwerktoegang. Herstel niet direct naar een productiezone voordat oorzaak en toegangspaden zijn onderzocht.
Controleer herstelpunten op bekende indicatoren en kies een tijdstip van vóór de eerste compromittering. Een oudere schone kopie kan veiliger zijn dan het nieuwste herstelpunt. Stem deze keuze af met incidentrespons en gegevenseigenaren.
Test applicatieketens, niet alleen machines
Een gestart besturingssysteem bewijst niet dat de dienstverlening veilig is. Controleer databases, identity-afhankelijkheden, certificaten, DNS, applicatieconfiguratie en externe koppelingen. Gebruik een geïsoleerd netwerk om te voorkomen dat mogelijk besmette systemen met productie communiceren.
Leg acceptatiecriteria vooraf vast: welke transacties moeten werken, welke data moet aanwezig zijn en wie keurt het resultaat goed? Meet de tijd vanaf besluit tot functionele dienst. Dat is de werkelijke hersteltijd waarop management kan sturen.
Oefen rollen en communicatie
Ransomwareherstel is een organisatieproces. Security bepaalt wanneer systemen veilig kunnen terugkeren, applicatie-eigenaren stellen prioriteit vast en back-upbeheerders voeren herstel uit. Juridische, privacy- en communicatieteams kunnen aanvullende verplichtingen hebben.
Organiseer tafeloefeningen en technische tests met scenario’s waarin credentials, primaire repository of volledige locatie wegvallen. Noteer onduidelijke beslissingen en ontbrekende toegang. Verbeter daarna runbooks, monitoring en bevoegdheden.
Controlelijst voor continue weerbaarheid
- Afzonderlijke beheeridentiteiten en MFA zijn actief.
- Minimale netwerkpaden en rollen zijn aantoonbaar.
- Minstens één kopie is offline of immutable.
- Sleutels en noodcredentials zijn onafhankelijk beschikbaar.
- Afwijkingen hebben een eigenaar en responstijd.
- Schone herstelomgeving en applicatietests zijn geoefend.
Belangrijk uitgangspunt
Ontwerp alsof productie-identiteit al is gecompromitteerd. Alleen dan wordt zichtbaar welke back-upcomponenten werkelijk onafhankelijk zijn.