Waarom NAS-back-ups mislukken tijdens ransomwareaanvallen: uitleg over RAID, snapshots en gedeelde toegang

Een NAS kan een gezonde RAID, geplande snapshots en geslaagde back-uptaken hebben en toch na ransomware geen bruikbare herstelmogelijkheid bieden. De doorslaggevende vragen zijn of een schone eerdere staat bewaard blijft, of de aanvaller die kan wijzigen en of je die kunt herstellen zonder te vertrouwen op gecompromitteerde inloggegevens of systemen.

De berichten over ransomware bij Synology in oktober 2026 vormen een actueel vertrekpunt, maar dit is een analyse van opslagarchitectuur en geen bewering over elk slachtoffer. RAID, snapshots, synchronisatie en onafhankelijke back-ups lossen verschillende problemen op. Herstel mislukt wanneer hun grenzen verkeerd worden begrepen of wanneer schijnbaar aparte kopieën dezelfde bevoegdheden delen.

Headerfoto: Korrupt / Wikimedia Commons, CC BY 4.0. Bijgesneden en van een ander formaat voorzien; de uitsnede van de foto behoudt die licentie. Contextuele foto van NAS-hardware, geen geverifieerd getroffen apparaat of incidentlocatie.

Waarom is NAS-opslag een doelwit voor ransomware?

Een NAS maakt informatie beschikbaar via een netwerk, meestal voor meerdere mensen, toepassingen of computers. Dat is het doel ervan. Het betekent ook dat ongewenste wijzigingen bestanden op verschillende manieren kunnen bereiken. Een aanvaller kan de NAS zelf binnendringen, een geautoriseerd account overnemen of een werkstation met een schrijfbare netwerkshare onder controle krijgen.

Voor deze routes zijn niet dezelfde verdedigingsmaatregelen nodig. Een kwetsbaarheid in een beheerdienst patchen neemt de bestaande machtigingen voor gedeelde mappen van een geïnfecteerd werkstation niet weg. Omgekeerd verhelpt het beperken van de schrijfbare mappen van een gebruiker geen kwetsbare beheertoepassing. De incidentanalyse in het bijbehorende artikel over C3RB3R en DSM legt uit waarom het belangrijk is om onderscheid te maken tussen toegangsroutes.

Bij herstel speelt nog een tweede vraag: kan dezelfde identiteit of hetzelfde controleplatform de kopieën beschadigen die later zouden moeten helpen? Zo ja, dan kunnen het aantal schijven, behuizingen of cloudbestemmingen de werkelijke scheiding overdrijven. Tel onafhankelijke foutgrenzen net zo zorgvuldig als kopieën.

Beschermt RAID gegevens tegen ransomware?

Redundante RAID-configuraties zijn ontworpen om een bepaald aantal schijfstoringen op te vangen. Ze kunnen niet bepalen of een legitiem ogende schrijfactie een bruikbaar document bevat of versleutelde rommel. In een RAID 1-voorbeeld worden schrijfacties waarmee een geautoriseerde toepassing een bestand overschrijft, ook door de spiegelkopie bewaard. De array kan gezond blijven terwijl het bestand onbruikbaar wordt.

Het mechanisme is geen speciale omweg voor ransomware. Spiegeling doet gewoon waarvoor het bedoeld is: de huidige opslagtoestand op alle schijven bijhouden. Het bewaart niet automatisch een selecteerbare schone versie van gisteren. RAID 0 is helemaal niet redundant; verschillende RAID-niveaus mogen niet worden beschouwd als systemen met dezelfde fouttolerantie.

RAID blijft nuttig. Een schijfstoring tijdens normaal gebruik hoeft bij een goed werkende redundante configuratie niet tot een onderbreking van de dienstverlening te leiden. De fout is te verwachten dat schijftolerantie ook historisch herstel, gescheiden toegangsrechten of bescherming tegen verlies van de hele behuizing biedt. De gids over RAID versus back-ups gaat dieper in op dat onderscheid. Ook de back-uprichtlijnen voor NAS-systemen van Synology behandelen herstelkopieën als een afzonderlijk aandachtspunt bij de planning.

Kan ransomware NAS-snapshots verwijderen of versleutelen?

Een snapshot kan een effectieve reactie zijn op ongewenste wijzigingen in bestanden. Bij veel snapshotimplementaties worden de oudere blokken die voor een snapshot zijn bewaard, niet overschreven wanneer live bestanden worden gewijzigd. Je mag er daarom niet automatisch van uitgaan dat malware met gewone rechten voor bestandsshares ook rechten heeft om snapshots te beheren.

Het belangrijke onderscheid is dat tussen bestanden wijzigen en het mechanisme beheren dat eerdere toestanden bewaart. Gewone snapshots kunnen worden verwijderd door een beheerder met voldoende rechten. Andere snapshots bieden extra bescherming. Synology documenteert onveranderlijke snapshots voor ondersteunde systemen, met tijdgebonden beperkingen die ook voorkomen dat de opslagstructuren waarin ze zijn opgeslagen, tijdens de geldende periode worden verwijderd. Het zou onjuist zijn te beweren dat beheerders altijd elke snapshot kunnen verwijderen.

Vraag welke snapshots er bestaan, welke maatregelen ze beschermen en wanneer die bescherming verloopt. Bij een korte bewaartermijn zijn er mogelijk alleen versies van na de versleuteling over tegen de tijd dat de schade wordt opgemerkt. Lokale snapshots vormen ook geen ander fysiek apparaat: diefstal, fysieke vernietiging of verlies van de onderliggende opslag vereisen een andere aanpak voor herstel.

Waarom kunnen netwerkback-ups tegelijk worden gecompromitteerd?

Stel je voor dat een primaire NAS elke nacht bestanden naar een tweede NAS kopieert. Als het primaire systeem inloggegevens heeft waarmee de bestemming kan worden overschreven en oude versies kunnen worden verwijderd, kan een inbreuk op dat primaire systeem beide kopieën in gevaar brengen. Een andere behuizing zorgt voor hardwarematige scheiding, maar niet noodzakelijk voor scheiding van beheer.

Dezelfde redenering geldt voor cloudopslag. Een opslagplaats kan geografisch ver weg zijn, terwijl de inloggegevens voor verwijdering op een gecompromitteerde host opgeslagen blijven. De NCSC-richtlijnen voor offline back-ups van het VK gaan over verbonden lokale en cloudkopieën en het belang van het beheren van clienttoegang. Fysieke afstand alleen beperkt niet wat een bevoegd API-verzoek kan verwijderen.

Netwerksegmentatie kan helpen het aantal bereikbare services te beperken, maar een toegestane verbinding met ruime machtigingen kan nog steeds gevaarlijk zijn. Beoordeel de daadwerkelijke identiteit van de taak, het beheer van de opslagplaats en de machtigingen voor bewaartermijnen. ‘Ander netwerk’ en ‘ander account’ zijn nuttige uitgangspunten, geen bewijs dat een destructief verzoek wordt geweigerd.

Synchronisatie versus back-up: waarom zijn ze verschillend?

Synchronisatie probeert doorgaans bestemmingen de wijzigingen in de bron te laten weerspiegelen. Stel je een laptopmap voor die met een NAS wordt gesynchroniseerd. Malware versleutelt de bestanden op de laptop en de synchronisatieclient uploadt de gewijzigde inhoud. Een succesvolle synchronisatiestatus kan nauwkeurig een mislukt herstelresultaat beschrijven: de bestemming bevat nu trouw de beschadigde, actuele bestanden.

Versiegeschiedenis of herstel van verwijderde bestanden kan dit resultaat verbeteren, maar alleen als de betreffende eerdere versies toegankelijk blijven. Controleer de bewaartermijn, hoe snelle wijzigingen worden afgehandeld, of een aanvaller de geschiedenis kan wissen en of de toepassing de mappen beschermt die voor jou belangrijk zijn. Het label ‘synchronisatie’ geeft op zichzelf geen antwoord op deze vragen.

Een goede back-upopstelling bewaart bewust een herstelbare toestand die kan verschillen van de huidige bron. Die moet lang genoeg behouden blijven om ontdekking en reactie mogelijk te maken. Een gekopieerde map die voortdurend wordt overschreven, is niet hetzelfde als een opslagplaats waarin oudere versies behouden blijven en met afzonderlijk beveiligde toegangsrechten worden beschermd.

Waarom is een 3-2-1-back-upstrategie belangrijk?

De back-upopties voor gegevens van CISA beschrijven een bekende basisregel: drie kopieën van belangrijke informatie, inclusief de werkkopie; twee soorten media; en één kopie offsite. Het doel is te voorkomen dat één lokale storing alle kopieën vernietigt. Dit is een bruikbaar kader voor inventarisatie, geen garantie tegen elke aanval.

Offsite beschrijft de locatie. Offline beschrijft de verbinding. Immutable beschrijft beperkingen op wijzigingen gedurende een bepaalde periode. Een cloudopslagplaats kan offsite zijn en voortdurend bereikbaar; een losgekoppelde USB-schijf kan offline zijn, maar naast de NAS liggen. Geen van beide beschrijvingen is een vervanging voor de andere.

Breid de inventaris voor ransomware uit met vragen over wie elke kopie kan wijzigen en of een schone versie de aanval zal overleven. De ransomware-richtlijnen van CISA bevelen offline, versleutelde back-ups en regelmatige hersteltests aan. Versleuteling van back-ups beschermt de vertrouwelijkheid, maar voorkomt op zichzelf niet dat een bevoegde aanvaller de versleutelde opslagplaats verwijdert.

Wat maakt een back-up echt onafhankelijk?

Onafhankelijkheid is een relatie tussen een herstelkopie en een specifieke storing, geen eigenschap die je krijgt door een extra schijf te kopen. Ga er eerst van uit dat het productiebeheer is gecompromitteerd. Kan die beheerder de opslagplaats wissen, de bewaartermijn verkorten, de toegang tot herstel intrekken of de enige kopie van een encryptiesleutel verwijderen?

Afzonderlijke identiteiten en afgedwongen machtigingen kunnen dat bereik beperken. Een back-upschrijver kan toestemming krijgen om nieuwe herstelpunten aan te maken, zonder toestemming om oudere, beschermde versies te verwijderen. Beheer van de opslagplaats en herstelgegevens kunnen gescheiden worden gehouden van de productieomgeving. Controleer het daadwerkelijke machtigingsmodel van het product; niet elk protocol ondersteunt die scheiding.

Gegevens ophalen van een back-upserver kan sommige inloggegevens buiten de productienas houden, maar 'pull' is niet inherent veilig en 'push' is niet inherent onveilig. Onderzoek waar inloggegevens worden bewaard en wat ermee kan worden gedaan. Ook voor een offline rotatie is een gecontroleerde procedure voor opnieuw verbinden nodig: een eerder geïsoleerde schijf wordt weer bereikbaar tijdens de volgende back-upsessie.

Hoe weet u of een back-up kan worden hersteld?

Een voltooide taak is bewijs dat een bewerking is voltooid, niet dat de beoogde dienstverlening kan worden hersteld. Test het herstel naar een schone bestemming. Open representatieve documenten, herstel belangrijke machtigingen en bevestig dat elke toepassingsdatabase consistent is met de bijbehorende bestanden. Stel ook vast of het gekozen herstelpunt van vóór de ongewenste wijzigingen dateert.

De herstelpuntdoelstelling, of RPO, beschrijft het aanvaardbare interval van gegevensverlies. De hersteltijddoelstelling, of RTO, beschrijft de aanvaardbare tijd om de dienstverlening te herstellen. Een schema per uur bewijst geen RPO van één uur als recente herstelpunten beschadigd of niet beschikbaar zijn. Een snel herstel van bestanden bewijst niet dat de volledige dienstverlening aan de RTO voldoet.

Als illustratieve ondergrens duurt het ongeveer 4,4 uur om 2 TB aan decimale gegevens via een verbinding van 1 Gbit/s over te zetten, bij perfecte benutting. Bij echt herstel komen daar overhead, verificatie, verwerking van kleine bestanden en toepassingswerk bij. Deze berekening is geen NAS-benchmark. Ze laat zien waarom een hersteldoel moet worden getoetst aan de volledige workflow.

De publicatie van NIST over back-upplanning benadrukt dat back-ups moeten worden uitgevoerd, onderhouden en getest. In de gids voor gegevensintegriteitsherstel wordt betrouwbare herstelde informatie eveneens als doel beschouwd. Beschikbaarheid van bytes en vertrouwen in die bytes zijn verwante, maar verschillende resultaten.

Hoe ziet een ransomwarebestendige NAS-architectuur eruit?

Een praktisch ontwerp combineert lagen in plaats van te verklaren dat één functie volstaat. Shares in productie hebben beperkte schrijftoegang. Ondersteunde redundante RAID vangt passende schijfstoringen op. Snapshots bieden bruikbare eerdere toestanden, met beschermde bewaartermijnen waar die beschikbaar zijn. Een back-uprepository onder apart beheer en een geïsoleerde of voldoende onveranderlijke kopie bieden extra herstelmogelijkheden.

Een hypothetisch klein kantoor zou snapshots op korte intervallen lokaal kunnen gebruiken voor onbedoelde bewerkingen, een versiebeheerrepository onder apart beheer en een geroteerde, losgekoppelde kopie die elders wordt bewaard. Die opzet is een voorbeeld om te beoordelen, geen bewering over slachtoffers in oktober of een universeel voorschrift. De gevoeligheid van de gegevens, het beschikbare personeel en de hersteldoelstellingen bepalen de details.

Volg één belangrijke dataset door het ontwerp. Bepaal het laatst bekende goede punt, welke inloggegevens nodig zijn om de dataset te herstellen, waar de sleutels zich bevinden en welke schone machine de gegevens kan lezen. Herhaal de oefening vervolgens in de veronderstelling dat de productie-NAS niet beschikbaar is. Ontbrekende stappen zeggen meer dan een dashboard met meerdere geslaagde back-uptaken.

Veelgestelde vragen

Bewaart RAID 1 een onversleutelde kopie als ransomware een bestand wijzigt?

Nee. Spiegeling bewaart doorgaans de huidige schrijfbewerkingen, inclusief ongewenste wijzigingen die met voldoende toegangsrechten zijn aangebracht. Het is geen automatische historische kopie. Om een eerdere toestand te herstellen, heb je een bewaarde momentopname, een back-up met versiebeheer of een andere geschikte bron nodig.

Zijn momentopnamen nutteloos tegen ransomware?

Nee. Ze kunnen eerdere toestanden bewaren en snel herstel mogelijk maken. De bescherming hangt af van machtigingen, bewaartermijn, implementatie en beschikbare opties voor onveranderlijkheid. Een lokale momentopname is ook fysiek afhankelijk van het opslagsysteem, wat een andere beveiligingsgrens vormt dan bestandsbeveiliging.

Is een offsite cloudback-up automatisch geïsoleerd?

Nee. Offsite betekent een andere locatie, niet noodzakelijk een andere autoriteit of een offlineverbinding. Controleer wie versies kan verwijderen, of productieomgevingen over die inloggegevens beschikken en of de beveiligde versiegeschiedenis beschikbaar blijft na een accountcompromittering.

Voorkomt het versleutelen van een back-up dat ransomware deze verwijdert?

Nee. Versleuteling beschermt de vertrouwelijkheid van de back-upinhoud. De bevoegdheid om deze te verwijderen is een aparte kwestie. Beveilig de machtigingen en bewaartermijn van de opslaglocatie en zorg dat de herstelsleutels beschikbaar blijven via een proces dat niet uitsluitend afhankelijk is van het gecompromitteerde systeem.

Hoe lang moeten momentopnamen en back-upversies worden bewaard?

Er is geen universele bewaartermijn. De bewaartermijn moet lang genoeg zijn om de periode te overbruggen waarin ongewenste wijzigingen onopgemerkt kunnen blijven, plus de tijd voor onderzoek en herstel, binnen de opslagbeperkingen. Raadpleeg de gids voor het bewaren van bestandsversies na een ransomware-aanval voor het plannen van een schoon herstelpunt. Test of het gekozen beleid een toegankelijk, schoon herstelpunt oplevert en niet alleen recente beschadigde versies.

Wat is de nuttigste eerste hersteltest?

Zet een belangrijke dataset terug naar een schone locatie met de inloggegevens en tools die je bij een echte storing tot je beschikking zou hebben. Controleer de bestandsinhoud, machtigingen, consistentie van de applicatie en de benodigde tijd. Ga vervolgens na of het resultaat voldoet aan de geaccepteerde doelen voor gegevensverlies en downtime.

Conclusie

RAID, momentopnamen en back-ups blijven waardevol als je begrijpt welke functie ze hebben. Het grotere probleem is dat je werkgegevens en alle herstelmogelijkheden onder hetzelfde destructieve gezag laat vallen, of er pas te laat achter komt dat een bewaarde kopie niet kan worden teruggezet. Tel de kopieën, maar controleer ook de machtigingen, isolatie, bewaartermijnen en geteste herstelprocedures. De analyse van het Synology-incident onderzoekt de andere kant van dat probleem: wat openbaar bewijsmateriaal wel en niet aantoont over de initiële toegang.