Hoe maak je back-ups die bestand zijn tegen ransomware?

Je maakt back-ups die bestand zijn tegen ransomware door ze onveranderlijk (immutable) op te slaan, minstens één kopie offline of air-gapped te bewaren, de back-upomgeving apart te beveiligen en herstel regelmatig te testen. Alleen een kopie maken is niet genoeg: aanvallers richten zich bewust op back-ups om je zonder herstelmogelijkheid te laten betalen. Hieronder beantwoorden we de belangrijkste vragen over een ransomwarebestendige back-upstrategie.

Waarom worden back-ups zelf doelwit van ransomware?

Back-ups zijn doelwit omdat ze je belangrijkste alternatief voor het betalen van losgeld vormen. Als aanvallers back-ups versleutelen of verwijderen, heb je geen herstelroute meer en neemt de druk om te betalen toe. Moderne ransomware zoekt daarom actief naar back-upservers, netwerkshares en cloudopslag.

Aanvallers verblijven vaak dagen of weken in een netwerk voordat ze de versleuteling starten. In die periode brengen ze de infrastructuur in kaart, stelen ze beheerdersgegevens en zoeken ze naar back-upsoftware. Ze verwijderen schaduwkopieën, wissen herstelpunten en versleutelen back-upbestanden.

Back-ups die permanent bereikbaar zijn vanaf het productienetwerk, bijvoorbeeld via een gekoppelde netwerkschijf, zijn extra kwetsbaar. Hetzelfde geldt voor back-ups die draaien onder dezelfde accounts als de rest van de omgeving. Zodra een aanvaller die accounts overneemt, kan hij ook bij je back-ups.

Wat is de 3-2-1-1-0-regel voor back-ups?

De 3-2-1-1-0-regel is een uitbreiding van de klassieke 3-2-1-regel: bewaar 3 kopieën van je data, op 2 verschillende soorten opslag, met 1 kopie op een andere locatie, 1 kopie offline of onveranderlijk, en 0 fouten bij geteste herstelacties. Deze aanvulling maakt de regel geschikt tegen ransomware.

Zo vertaal je elk onderdeel naar de praktijk:

• 3 kopieën: de productiedata plus minimaal twee back-ups.
• 2 opslagsoorten: bijvoorbeeld een disksysteem en tape of cloudopslag, zodat één storing of aanval niet alles raakt.
• 1 offsite kopie: op een andere fysieke of logische locatie, zodat brand, diefstal of een gecompromitteerd datacenter niet al je kopieën treft.
• 1 offline of immutable kopie: een kopie die niet door ransomware gewijzigd of verwijderd kan worden.
• 0 fouten: je hebt aantoonbaar gecontroleerd dat het herstel zonder fouten werkt.

Het laatste cijfer wordt het vaakst vergeten. Een back-up die nooit is getest, is een aanname en geen zekerheid.

Wat is het verschil tussen immutable, offline en air-gapped back-ups?

Het verschil zit in hoe de back-up wordt beschermd. Een immutable back-up kan binnen een ingestelde bewaartermijn niet worden gewijzigd of verwijderd. Een offline back-up is fysiek of logisch losgekoppeld van het netwerk. Een air-gapped back-up is volledig geïsoleerd, zonder enige actieve verbinding met andere systemen.

Immutable back-ups

Bij een immutable back-up schrijft het opslagsysteem de data weg met een vergrendeling (WORM, write once read many). Binnen de bewaartermijn kan niemand de data aanpassen, ook geen beheerder met volledige rechten. Veel cloudopslagdiensten en moderne back-upsystemen bieden dit als functie. Het voordeel is dat de back-up online beschikbaar blijft voor snel herstel.

Offline en air-gapped back-ups

Een offline back-up is niet continu verbonden, bijvoorbeeld een tapecassette in een kluis of een externe schijf die na de back-up wordt losgekoppeld. Een air-gapped back-up gaat een stap verder: er is geen netwerkpad dat een aanvaller kan gebruiken. Deze opties zijn zeer robuust, maar herstel kost doorgaans meer tijd en vraagt om goede procedures voor wisselen en opslag.

In de praktijk combineren organisaties vaak immutable opslag voor snel herstel met een offline of air-gapped kopie als laatste vangnet.

Hoe beveilig je de back-upomgeving zelf?

Je beveiligt de back-upomgeving door haar te behandelen als een apart, streng afgeschermd systeem: gescheiden accounts, meervoudige verificatie, netwerksegmentatie, versleuteling en beperkte toegang. Wie de productieomgeving overneemt, mag daarmee nog niet bij de back-ups kunnen.

Belangrijke maatregelen zijn:

• Aparte beheeraccounts: gebruik voor de back-upomgeving eigen accounts die niet aan het gewone domein gekoppeld zijn.
• Multifactorauthenticatie: verplicht dit voor alle toegang tot back-upconsoles en cloudopslag.
• Netwerksegmentatie: plaats back-upservers in een eigen netwerksegment met strikte firewallregels.
• Versleuteling: versleutel back-upgegevens tijdens transport en opslag, en bewaar de sleutels apart.
• Minimale rechten: geef alleen beheerders toegang die dit echt nodig hebben, en pas het vierogenprincipe toe voor het verwijderen van back-ups.
• Updates en monitoring: houd back-upsoftware actueel en let op ongebruikelijke acties, zoals het massaal verwijderen van herstelpunten.

Technische maatregelen werken alleen als de mensen die ze beheren de juiste kennis hebben. Een goede opleiding in cybersecurity en systeembeheer helpt om deze instellingen correct toe te passen.

Hoe test je of een back-up echt te herstellen is?

Je test een back-up door regelmatig een daadwerkelijk herstel uit te voeren in een geïsoleerde testomgeving en te controleren of data, applicaties en afhankelijkheden correct werken. Een geslaagde back-uptaak in de logboeken bewijst alleen dat er iets is weggeschreven, niet dat het herstel lukt.

Volg deze stappen voor een betrouwbare test:

1. Kies representatieve systemen: test niet alleen bestanden, maar ook databases, applicaties en kritieke servers.
2. Herstel in een geïsoleerde omgeving: voorkom dat een test het productienetwerk beïnvloedt.
3. Controleer de integriteit: open bestanden, start applicaties en valideer of gegevens volledig en actueel zijn.
4. Meet de hersteltijd: vergelijk deze met de tijd die je bedrijf maximaal kan missen (RTO) en de hoeveelheid data die je mag verliezen (RPO).
5. Leg de uitkomsten vast: noteer fouten en verbeter de procedure voor de volgende test.

Plan deze tests periodiek en na elke grote wijziging in de infrastructuur. Oefen ook het volledige herstelscenario, zodat teamleden hun rol kennen wanneer het echt nodig is.

Wat te doen met back-ups tijdens een ransomware-aanval?

Tijdens een ransomware-aanval isoleer je als eerste de back-ups, zodat ze niet ook worden versleuteld. Koppel back-upsystemen los van het netwerk, stop lopende back-uptaken die geïnfecteerde data kunnen overschrijven, en herstel pas zodra je zeker weet dat de aanvaller niet meer in je omgeving zit.

Een praktische aanpak ziet er zo uit:

• Isoleer direct: haal back-upservers en opslag van het netwerk en schakel externe toegang uit.
• Pauzeer back-uptaken: voorkom dat goede herstelpunten worden overschreven door besmette data.
• Zet het incidentplan in gang: betrek beheer, directie en eventueel externe specialisten, en meld het incident waar dat verplicht is.
• Bepaal het laatste schone herstelpunt: aanvallers zitten soms lang in het systeem, dus een recente back-up kan al besmet zijn.
• Herstel in een schone omgeving: bouw systemen opnieuw op, wijzig alle wachtwoorden en sluit de toegangsroute van de aanvaller af voordat je terugzet.

Zonder vooraf opgesteld en geoefend plan verlies je kostbare tijd. Leg daarom rollen, contactgegevens en herstelvolgorde vast voordat er iets misgaat.

Hoe Startel helpt met ransomwarebestendige back-ups

Een goede back-upstrategie staat of valt met kennis in je team. Wij zijn een Nederlandse aanbieder van IT-opleidingen en certificeringen met meer dan 25 jaar ervaring, en leren je hoe je dit in de praktijk aanpakt. Meer over onze achtergrond lees je op onze pagina over ons.

• Opleidingen in security en beheer: van basisvaardigheden tot geavanceerde trainingen en certificeringen, onder meer met partners als Microsoft, Linux, Mile2 en EC-Council.
• Flexibele leervormen: klassikaal, live online of via zelfstudie, passend bij jouw agenda.
• Trainingen op maat: afgestemd op de systemen en risico’s van jouw organisatie.
• Examenvoorbereiding en certificering: als geautoriseerd examencentrum begeleiden we je tot en met het officiële examen.

Wil je weten welke training past bij jouw team of jouw back-upomgeving? Neem dan gerust contact met ons op, dan denken we graag met je mee.