Wie lange sollten Sie Dateiversionen nach einem Ransomware-Angriff aufbewahren?

Bewahren Sie tägliche Dateiversionen mindestens 30 bis 90 Tage als praktischen Ausgangsbereich nach einem Ransomware-Angriff auf, behandeln Sie dies jedoch nicht als universelle Löschfrist. Die Aufbewahrung sollte über das frühestmögliche plausible Kompromittierungsdatum hinausgehen, ausgewählte wöchentliche oder monatliche saubere Wiederherstellungspunkte bewahren und Vorfallbeweise separat aufbewahren, bis Wiederherstellung, Untersuchung, Versicherung, rechtliche und Compliance-Arbeiten abgeschlossen sind.

Ein praktischer Ausgangsbereich sind 30 bis 90 Tage

Viele Backup-Konzepte verwenden 30 bis 90 Tage tägliche unveränderliche Historie für die operative Wiederherstellung nach Ransomware. Eine Übersicht zu unveränderlichen Backups weist darauf hin, dass 30 bis 90 Tage ein üblicher täglicher Aufbewahrungszeitraum für Ransomware-Schutz sind. Betrachten Sie dies als Ausgangspunkt, nicht als Garantie, dass die älteste aufbewahrte Version sauber ist.

Das untere Ende ist nur dann vernünftig, wenn die Infektion schnell erkannt wird, ältere Kopien isoliert sind und eine saubere Wiederherstellung bereits nachgewiesen wurde.

Starten Sie die Zeit vor dem Erscheinen der Lösegeldforderung

Das sichtbare Verschlüsselungsereignis kann Tage oder Wochen nach dem ersten Zugriff auftreten. Eine Backup-Strategie gegen Ransomware sollte die Verweildauer zwischen dem ersten Kompromiss und dem sichtbaren Ransomware-Ereignis berücksichtigen. Wenn der früheste verdächtige Login, ein Skript, die Nutzung von Zugangsdaten oder eine Dateiänderung 45 Tage vor der Verschlüsselung stattfand, kann ein 30-tägiges Versionsfenster keinen sauberen Wiederherstellungspunkt enthalten.

Verwenden Sie das frühestmögliche plausible Kompromittierungsdatum aus Protokollen, Endpunktwarnungen, Identitätsaufzeichnungen und Erkenntnissen aus der Vorfallreaktion. Fügen Sie dann eine Sicherheitsmarge für unvollständige Beweise hinzu. Das Aufbewahrungsfenster sollte dieses Datum abdecken, nicht nur das Datum, an dem Benutzer erstmals verschlüsselte Dateien gesehen haben.

Verwenden Sie gestaffelte Aufbewahrung anstelle eines einzigen rollierenden Fensters

Ein flaches Rollfenster kann jeden älteren sauberen Punkt im gleichen Zeitplan löschen. Gestufte Aufbewahrung behält dichte aktuelle Versionen bei und bewahrt gleichzeitig weniger Langzeit-Checkpoints.

Eine aktuelle Aufbewahrungsanalyse zeigt, warum ausgewählte wöchentliche und monatliche Wiederherstellungspunkte die Wiederherstellung über ein kompromittiertes kurzes Rollfenster hinaus verlängern können. Die genauen Stufen sollten Ihrem Datenwert, Speicherbudget und Erkennungsfähigkeit folgen.

Bewahren Sie Kopien aus der Vorfallzeit außerhalb der normalen Rotation auf

Lassen Sie nicht zu, dass normales Bereinigen die Versionen, Protokolle, Backup-Kataloge, Lösegeldnotizen, betroffene Dateibeispiele und Konfigurationsaufzeichnungen löscht, die zum Verständnis des Ereignisses benötigt werden. Erstellen Sie eine Vorfall-Sperre oder exportieren Sie diese Artefakte an einen geschützten Ort mit dokumentiertem Zugriff.

Beweismittel bei Vorfällen und betriebliche Backup-Aufbewahrung lösen unterschiedliche Probleme. Die Backup-Historie bietet Wiederherstellungsoptionen; die Vorfall-Sperre unterstützt Umfangsanalyse, Versicherung, rechtliche Prüfung und Lessons Learned. Koordinieren Sie das Löschen mit den Verantwortlichen für diese Verpflichtungen. Dieser Artikel ist eine betriebliche Anleitung, keine Rechtsberatung.

Länger aufbewahren für langsam ändernde und selten geöffnete Dateien

Ransomware kann eine Datei lange verändern, bevor jemand es bemerkt, wenn diese Datei selten geöffnet wird. Archive, Steuerunterlagen, Design-Assets, Projektmaster, Familienfotos und historische Dokumente benötigen oft eine längere Versionshistorie als aktive Arbeitsordner.

Finden Sie die neueste saubere Version, bevor Sie ältere löschen

Die neueste Version vor der Verschlüsselung ist nicht automatisch sicher. Cyber-Wiederherstellung erfordert die Identifikation eines Punktes, der frei von Kompromittierungsindikatoren ist und ohne erneute Verbindung zum Angreifer ausgeführt werden kann. Ein Wiederherstellungsworkflow sollte davon ausgehen, dass der neueste saubere Backup-Punkt unbekannt ist, bis Wiederherstellungspunkte gescannt und validiert wurden.

Validieren Sie Kandidatversionen an einem isolierten Ort. Prüfen Sie die Lesbarkeit der Dateien, Hashes, wo sinnvoll, Anwendungskonsistenz, Malware-Indikatoren, Benutzerberechtigungen und die Fähigkeit, repräsentative alte Dateien zu öffnen. Bewahren Sie ältere Versionen auf, bis mindestens ein sauberer Punkt diese Tests bestanden hat.

Wiederherstellungstests setzen die tatsächliche Aufbewahrungsschwelle

Eine Aufbewahrungsrichtlinie ist nur nützlich, wenn die Versionen wiederhergestellt werden können. Die Wiederherstellungsplanung empfiehlt geplante Wiederherstellungstests, um zu beweisen, dass die Dateiwiederherstellung tatsächlich möglich ist.

Testen Sie mindestens drei Punkte: eine aktuelle Version, eine nahe der vermuteten Kompromittierungsgrenze und einen älteren wöchentlichen oder monatlichen Anker. Wenn nur der neueste Punkt getestet wird, wissen Sie nicht, ob die für die Ransomware-Wiederherstellung benötigten Langzeitversionen vollständig, entschlüsselbar und korrekt indexiert sind.

Stellen Sie sicher, dass ältere Versionen den Angriffsweg überleben

Eine lange Aufbewahrung auf einem beschreibbaren Share bietet keinen langfristigen Schutz, wenn dasselbe kompromittierte Konto es löschen kann. Ältere Versionen sollten durch Berechtigungen, Speicherkonto, Verwaltungsdomäne, Netzwerkpfad oder Offline-Rotation getrennt werden. Unveränderlichkeit verhindert eine vorzeitige Löschung während eines konfigurierten Zeitraums, während Offline-Kopien den Live-Angriffsweg entfernen.

Der ZimaSpace-Leitfaden zum Schutz von Backup-Steuerungsebenen und unveränderlichen Wiederherstellungskopien erklärt, warum Aufbewahrungseinstellungen, Repositorien, Zugangsdaten und Backup-Konsolen gemeinsam geschützt werden müssen.

Überprüfen Sie, ob der Speicher die Aufbewahrungsrichtlinie unterstützen kann

Schätzen Sie die Kapazität anhand der täglichen Änderungsrate, nicht nur anhand der Größe der aktiven Dateien. Ein einfaches Planungsmodell ist:

Erforderliche Versionskapazität ≈ Basiskopie + täglich beibehaltene Änderungen + wöchentliche/monatliche Anker + temporärer Wiederherstellungs- und Verifizierungsplatz.

Messen Sie das tatsächliche Repository-Wachstum über mehrere Wochen. Berücksichtigen Sie Kompression, Deduplizierung, Datenbankumschlag, Aufbewahrung gelöschter Dateien, unveränderliche Sperrfristen und den Arbeitsraum, der für Zusammenführungen oder Wiederherstellungstests benötigt wird. Wenn die Kapazität zu gering ist, reduzieren Sie die Versionshäufigkeit für wenig wertvolle Ordner, bevor Sie das gesamte saubere Punktfenster verkürzen.

Verkürzen Sie die Aufbewahrung nur, wenn bestimmte Bedingungen erfüllt sind

Sie können die dichte tägliche Historie reduzieren, nachdem alle folgenden Bedingungen erfüllt sind:

• Das frühestmögliche Datum einer Kompromittierung wurde mit angemessener Sicherheit festgestellt.
• Mindestens ein sauberer Wiederherstellungspunkt wurde isoliert validiert.
• Vorfallbeweise wurden außerhalb der normalen Backup-Rotation gesichert.
• Kritische Systeme und Dateien wurden von ihren Eigentümern wiederhergestellt und überprüft.
• Sicherheits-, Rechts-, Versicherungs- und Compliance-Verantwortliche haben die normale Löschung freigegeben.
• Wöchentliche und monatliche Anker decken weiterhin verzögerte Entdeckungen und saisonale Daten ab.

Wenn eine Bedingung nicht erfüllt ist, bewahren Sie die älteren Punkte auf. Speicherplatzmangel ist kein sicherer Grund, die einzigen Versionen zu löschen, die vor dem Angriff liegen könnten.

Handeln Sie schnell, wenn Versionen von einem Cloud-Synchronisierungsdienst gespeichert werden

Cloud-Dateiverlauf und Papierkorbfenster können kürzer sein als Ihre Backup-Richtlinie, und Ransomware-Änderungen können in die Cloud synchronisiert werden. Die Wiederherstellungsanleitung warnt, dass ältere Dateiversionen und gelöschte Elemente verschwinden können, wenn eine Dienstaufbewahrungsfrist abläuft.

Frieren Sie von einem sauberen Gerät aus die Synchronisierung ein, wo es angebracht ist, bewahren Sie das Konto, exportieren Sie kritische Versionen und dokumentieren Sie den frühesten verfügbaren sauberen Punkt. Gehen Sie nicht davon aus, dass der Cloud-Anbieter unbegrenzte Historie speichert.

Häufig gestellte Fragen

Wann können Versionen gelöscht werden, die möglicherweise verschlüsselte Dateien enthalten?

Löschen Sie sie erst, nachdem der Umfang des Vorfalls verstanden, saubere Versionen wiederhergestellt und getestet, Beweise gesichert und alle rechtlichen oder versicherungstechnischen Sperren aufgehoben wurden. Isolieren Sie verdächtige Versionen, anstatt sie wieder in die Produktion einzumischen.

Sind mehr Versionen immer sicherer?

Nein. Mehr Versionen helfen nur, wenn sie vollständig, vor Löschung geschützt, indexiert, entschlüsselbar und regelmäßig getestet sind. Hunderte von Versionen, die vom selben kompromittierten Konto verwaltet werden, können trotzdem gemeinsam ausfallen.

Sollten Snapshots und unabhängige Backups dieselbe Aufbewahrungsdauer verwenden?

Normalerweise nicht. Lokale Snapshots sind nützlich für dichte kurzfristige Rollbacks, während unabhängige oder unveränderliche Backups längere Zeiträume für Ransomware- und Katastrophenfälle abdecken sollten. Verwenden Sie unterschiedliche Aufbewahrungsstufen, damit ein Speicherfehler oder eine Kontokomprimittierung nicht jeden Wiederherstellungspunkt löscht.