سال‌ها جملهٔ رایج این بود که اگر پشتیبان داشته باشید، از باج‌افزار نمی‌ترسید. امروز این جمله کامل نیست. مهاجمان می‌دانند پشتیبان راه نجات قربانی است و تلاش می‌کنند پیش از رمز کردن داده‌ها، پشتیبان را هم از بین ببرند. پس سؤال درست این است: آیا پشتیبان شما بعد از نفوذ کامل به شبکه هم سالم می‌ماند؟
آمار چه می‌گوید؟
اعداد را باید با احتیاط خواند، چون بسیاری از این پژوهش‌ها را شرکت‌های فروشندهٔ راهکار پشتیبانی کرده‌اند و هر کدام چیز متفاوتی را می‌سنجند. با این حال روند آن‌ها روشن است. طبق گزارش سوفوس از نظرسنجی ابتدای ۲۰۲۶، ۵۶ درصد حملات به رمز شدن داده انجامیده‌اند. در مطالعهٔ Omdia که شهریور امسال خبرش منتشر شد، فقط ۱۶ درصد شرکت‌ها سامانهٔ ذخیرهٔ پشتیبان کاملاً تغییرناپذیر داشتند.
پشتیبان تغییرناپذیر چیست؟
پشتیبان تغییرناپذیر نسخه‌ای است که تا پایان یک مدت مشخص هیچ‌کس نتواند آن را تغییر دهد یا پاک کند؛ حتی مدیر سیستم. اگر مهاجم حساب مدیر را هم در اختیار بگیرد، باز هم نباید بتواند این نسخه را از بین ببرد. این تضمین باید در لایهٔ ذخیره‌سازی اعمال شود، نه فقط در تنظیمات نرم‌افزار پشتیبان.
تغییرناپذیر با آفلاین فرق دارد
- تغییرناپذیر: دیسک متصل است، ولی محتوا تا مدت مشخص قفل است و بازیابی سریع دارد.
- آفلاین یا جداشده: نسخه از شبکه قطع است، مانند نوار یا دیسک جدا، و از راه دور قابل دسترسی نیست.
- خارج از سایت: نسخه در مکان دیگری است و از آتش‌سوزی یا سرقت هم در امان می‌ماند.
- ترکیب مناسب: بهترین نتیجه معمولاً از ترکیب چند روش به دست می‌آید، نه فقط یکی.
قاعدهٔ ۳-۲-۱ به‌روزشده
قاعدهٔ قدیمی می‌گوید سه نسخه از داده، روی دو نوع رسانه، و یکی خارج از سایت. نسخهٔ به‌روز آن ۳-۲-۱-۱-۰ است: یک نسخه هم تغییرناپذیر یا آفلاین باشد و آزمون بازیابی هم صفر خطا داشته باشد. بخش آخر از همه کمتر رعایت می‌شود، در حالی که پشتیبان بدون آزمون فقط یک امید است.
سامانهٔ پشتیبان را جدا کنید
- حساب جدا: سرور پشتیبان را به دامنهٔ اصلی وصل نکنید و حساب مدیر مشترک نداشته باشید.
- احراز چندعاملی: برای کنسول پشتیبان و حساب ابری آن فعال باشد.
- شبکهٔ جدا: فقط درگاه‌های لازم باز باشد و کنسول مدیریت از شبکهٔ کاربران در دسترس نباشد.
- هشدار: برای حذف گروهی، تغییر سیاست نگهداری یا کاهش ناگهانی حجم پشتیبان هشدار بگذارید.
- رمز کلید: کلید رمزنگاری پشتیبان را جایی بیرون از همان سامانه نگه دارید.
آزمون بازیابی را واقعی انجام دهید
بازیابی یک فایل کافی نیست. باید بازیابی کامل یک برنامهٔ مهم را تمرین کنید و زمان واقعی را اندازه بگیرید. وابستگی‌ها را هم در نظر بگیرید؛ مثلاً برنامه بدون Active Directory یا پایگاه داده بالا نمی‌آید. نتیجه را با دو هدف RTO و RPO مقایسه کنید؛ یعنی چقدر طول می‌کشد سرویس برگردد و چقدر داده از دست می‌رود. این تمرین را دست‌کم هر چند ماه یک بار تکرار کنید.
روز حادثه
پس از حمله نباید عجولانه از پشتیبان بازیابی کرد، چون ممکن است مهاجم هنوز در شبکه باشد یا بدافزار در نسخهٔ پشتیبان هم وجود داشته باشد. ابتدا سیستم‌های آلوده را جدا و مسیر ورود را پیدا کنید، رمزها را عوض کنید و نسخهٔ سالم را در محیط جدا بررسی کنید. داشتن یک برنامهٔ مکتوب با نام مسئولان و راه‌های تماس بیرون از شبکهٔ آسیب‌دیده، در همان ساعت‌های اول تفاوت بزرگی ایجاد می‌کند.
Sources
- Sophos: گزارش State of Ransomware 2026
- Omdia: مطالعهٔ نرخ بازیابی و شکاف تغییرناپذیری، گزارش‌شده در StorageReview
برای طراحی و آزمون سامانهٔ پشتیبان‌گیری سازمان خود می‌توانید با کارشناسان پارتاک گفت‌وگو کنید.
