Dlaczego kopie zapasowe NAS zawodzą podczas ataków ransomware: wyjaśnienie RAID, migawek i współdzielonego dostępu

NAS może mieć sprawną macierz RAID, zaplanowane migawki i pomyślnie wykonywane kopie zapasowe, a mimo to nie zapewniać skutecznej ścieżki odzyskiwania danych po ataku ransomware. Decydujące pytania brzmią: czy zachował się wcześniejszy, czysty stan danych, czy atakujący może go zmienić i czy można go przywrócić bez polegania na przejętych poświadczeniach lub systemach.

Doniesienia o ransomware w systemach Synology z października 2026 roku to dobry punkt wyjścia, ale ten tekst analizuje architekturę pamięci masowej i nie sugeruje, że problem dotyczy każdej ofiary. RAID, migawki, synchronizacja i niezależne kopie zapasowe rozwiązują różne problemy. Odzyskiwanie danych nie powiedzie się, jeśli ich granice zostaną błędnie zrozumiane lub pozornie odrębne kopie będą podlegać tym samym uprawnieniom.

Zdjęcie w nagłówku: Korrupt / Wikimedia Commons, CC BY 4.0. Wykadrowane i przeskalowane; kadrowanie zdjęcia zachowuje tę licencję. Zdjęcie przedstawiające sprzęt NAS dla kontekstu, a nie zweryfikowane urządzenie objęte atakiem ani miejsce incydentu.

Dlaczego pamięć NAS jest celem ransomware?

NAS udostępnia informacje przez sieć, zwykle kilku osobom, aplikacjom lub komputerom. Do tego właśnie służy. Oznacza to również, że niepożądane zmiany mogą dotrzeć do plików na wiele sposobów. Atakujący może przejąć sam NAS, przejąć konto z uprawnieniami albo kontrolę nad stacją roboczą z udziałem sieciowym, do którego można zapisywać pliki.

Te ścieżki nie wymagają identycznych zabezpieczeń. Załatanie luki w usłudze zarządzania nie odbiera zainfekowanej stacji roboczej istniejących uprawnień do udziału. Z kolei ograniczenie folderów, w których użytkownik może zapisywać pliki, nie naprawi podatnej aplikacji do zarządzania. Analiza incydentu w towarzyszącym artykule o C3RB3R i DSM wyjaśnia, dlaczego ważne jest rozróżnienie ścieżki dostępu.

Przy odzyskiwaniu pojawia się drugie pytanie: czy ta sama tożsamość lub płaszczyzna kontroli może uszkodzić kopie, które mają później pomóc? Jeśli tak, liczba dysków, obudów lub lokalizacji w chmurze może wyolbrzymiać faktyczny stopień odseparowania. Licz niezależne granice awarii równie starannie jak kopie.

Czy RAID chroni dane przed ransomware?

Nadmiarowe konfiguracje RAID są zaprojektowane tak, by tolerować określoną liczbę awarii dysków. Nie rozstrzygają, czy zapis wyglądający na prawidłowy zawiera przydatny dokument, czy zaszyfrowane śmieci. W przykładzie RAID 1 aplikacja z uprawnieniami, nadpisując plik, powoduje zapisy, które zachowuje również lustro. Macierz może nadal działać poprawnie, choć plik staje się bezużyteczny.

Mechanizm ten nie stanowi specjalnego sposobu na obejście ochrony przed ransomware. Dublowanie działa normalnie: utrzymuje aktualny stan pamięci masowej na wszystkich dyskach. Samo w sobie nie zachowuje możliwej do wybrania czystej wersji z poprzedniego dnia. RAID 0 w ogóle nie zapewnia nadmiarowości; nie należy zakładać, że różne poziomy RAID oferują taką samą tolerancję awarii.

RAID nadal jest przydatny. Awaria dysku podczas zwykłej pracy nie musi powodować przerwy w działaniu usługi, jeśli konfiguracja nadmiarowa działa prawidłowo. Błędem jest oczekiwanie, że odporność na awarie dysków zapewni odzyskiwanie wcześniejszych wersji, rozdzielenie dostępu lub ochronę przed utratą całej obudowy. Przewodnik porównujący RAID i kopie zapasowe dokładniej omawia tę różnicę. Wytyczne Synology dotyczące tworzenia kopii zapasowych NAS również traktują kopie odzyskiwania jako odrębny element planowania.

Czy ransomware może usunąć lub zaszyfrować migawki na NAS?

Migawka może skutecznie chronić przed niepożądanymi zmianami plików. W wielu implementacjach modyfikacja aktywnych plików nie nadpisuje starszych bloków zachowanych na potrzeby migawki. Nie należy więc zakładać, że złośliwe oprogramowanie mające zwykłe uprawnienia do udziału plików ma również uprawnienia administratora migawek.

Ważne jest rozróżnienie między zmianą plików a kontrolowaniem mechanizmu zachowującego ich wcześniejsze stany. Zwykłe migawki może usunąć administrator z odpowiednio wysokimi uprawnieniami. Inne mają dodatkową ochronę. Synology opisuje niezmienne migawki dla obsługiwanych systemów, z ograniczeniami czasowymi, które w danym okresie chronią przed usunięciem również struktury pamięci masowej zawierające migawki. Twierdzenie, że administratorzy zawsze mogą usunąć każdą migawkę, byłoby nieprawdziwe.

Sprawdź, jakie istnieją migawki, jakie mechanizmy je chronią i kiedy ochrona wygasa. Krótki okres przechowywania może sprawić, że w chwili wykrycia szkód pozostaną tylko wersje utworzone po zaszyfrowaniu. Lokalne migawki nie tworzą też dodatkowego urządzenia fizycznego: kradzież, fizyczne zniszczenie lub utrata nośnika danych to odrębne problemy z odzyskiwaniem danych.

Dlaczego kopie zapasowe w sieci mogą zostać naruszone jednocześnie?

Załóżmy, że podstawowy NAS kopiuje pliki co noc na drugi NAS. Jeśli system podstawowy przechowuje dane logowania pozwalające nadpisywać miejsce docelowe i usuwać jego starsze wersje, zaatakowanie tego systemu może zagrozić obu kopiom. Inna obudowa zapewnia odrębność sprzętową, ale niekoniecznie odrębność administracyjną.

To samo dotyczy pamięci masowej w chmurze. Repozytorium może znajdować się daleko geograficznie, a dane logowania umożliwiające jego usunięcie mogą być zapisane na zaatakowanym hoście. Wytyczne brytyjskiego NCSC dotyczące kopii zapasowych offline omawiają podłączone lokalne i chmurowe kopie oraz znaczenie kontrolowania dostępu klientów. Sama odległość fizyczna nie ogranicza tego, co może usunąć autoryzowane żądanie API.

Segmentacja sieci może pomóc ograniczyć liczbę usług dostępnych z zewnątrz, ale dozwolone połączenie z szerokimi uprawnieniami nadal może być niebezpieczne. Oceń tożsamość używaną przez zadanie oraz uprawnienia do zarządzania repozytorium i okresu przechowywania. „Inna sieć” i „inne konto” to przydatne określenia na początek, ale nie dowodzą, że żądanie powodujące zniszczenie danych zostanie odrzucone.

Synchronizacja a kopia zapasowa: czym się różnią?

Synchronizacja zazwyczaj ma sprawić, by miejsca docelowe odzwierciedlały zmiany w źródle. Wyobraź sobie folder na laptopie synchronizowany z NAS-em. Złośliwe oprogramowanie szyfruje pliki na laptopie, a klient synchronizacji przesyła zmienioną zawartość. Status informujący o pomyślnej synchronizacji może trafnie opisywać nieudaną próbę odzyskania danych: miejsce docelowe zawiera teraz wierną kopię uszkodzonych, aktualnych plików.

Historia wersji lub możliwość odzyskiwania usuniętych plików mogą pomóc, ale tylko wtedy, gdy odpowiednie wcześniejsze wersje pozostają dostępne. Sprawdź okres przechowywania, sposób obsługi szybkich zmian, możliwość usunięcia historii przez atakującego oraz to, czy aplikacja chroni konkretne foldery, na których Ci zależy. Samo określenie „synchronizacja” nie odpowiada na żadne z tych pytań.

Przydatny system tworzenia kopii zapasowych celowo zachowuje stan, który można odzyskać i który może różnić się od dzisiejszego stanu źródła. Musi przetrwać wystarczająco długo, by umożliwić wykrycie problemu i reakcję. Skopiowany folder, którego zawartość jest stale nadpisywana, nie jest równoważny repozytorium, w którym starsze wersje są zachowywane z zastosowaniem odrębnych zabezpieczeń.

Dlaczego strategia tworzenia kopii zapasowych 3-2-1 ma znaczenie?

Dokument CISA „Opcje tworzenia kopii zapasowych danych” opisuje powszechnie znaną podstawową zasadę: trzy kopie ważnych danych, w tym kopię roboczą; dwa rodzaje nośników; oraz jedną kopię poza siedzibą. Celem jest uniknięcie sytuacji, w której jedna lokalna awaria niszczy wszystkie kopie. To przydatne ramy do sporządzenia wykazu, a nie gwarancja ochrony przed każdym atakiem.

Poza siedzibą opisuje lokalizację. Offline opisuje łączność. Niezmienność oznacza ograniczenia wprowadzania zmian przez określony czas. Repozytorium w chmurze może znajdować się poza siedzibą i być stale dostępne; odłączony dysk USB może być offline, ale przechowywany obok serwera NAS. Żadne z tych określeń nie zastępuje drugiego.

W przypadku ransomware uzupełnij wykaz o pytania dotyczące tego, kto może modyfikować każdą kopię oraz czy czysta wersja przetrwa incydent. Wytyczne CISA dotyczące ransomware zalecają przechowywanie kopii zapasowych offline, ich szyfrowanie oraz regularne testowanie odzyskiwania. Szyfrowanie kopii zapasowej chroni poufność, ale samo w sobie nie uniemożliwia uprawnionemu napastnikowi usunięcia zaszyfrowanego repozytorium.

Co sprawia, że kopia zapasowa jest naprawdę niezależna?

Niezależność określa relację między kopią odzyskiwania a konkretnym rodzajem awarii, a nie cechę, którą zapewnia zakup kolejnego dysku. Zacznij od założenia, że uprawnienia administratora systemu produkcyjnego zostały przejęte. Czy taki administrator może usunąć repozytorium, skrócić okres przechowywania, odebrać dostęp do odzyskiwania lub usunąć jedyną kopię klucza szyfrowania?

Oddzielne dane uwierzytelniające i egzekwowane uprawnienia mogą ograniczyć ten zasięg. Zapisujący kopie zapasowe może mieć prawo tworzyć nowe punkty odzyskiwania, ale nie usuwać chronionych starszych. Zarządzanie repozytorium i dane uwierzytelniające do odzyskiwania można przechowywać oddzielnie od systemu produkcyjnego. Sprawdź rzeczywisty model uprawnień produktu; nie każdy protokół obsługuje taki podział.

Pobieranie danych z serwera kopii zapasowych może utrzymać część danych uwierzytelniających poza produkcyjnym serwerem NAS, ale „pobieranie” nie jest samo w sobie bezpieczne, a „wysyłanie” nie jest samo w sobie niebezpieczne. Sprawdź, gdzie przechowywane są dane uwierzytelniające i do czego uprawniają. Rotacja nośników offline wymaga też kontrolowanej procedury ponownego podłączania: wcześniej odłączony dysk staje się dostępny podczas kolejnej sesji tworzenia kopii zapasowej.

Skąd wiadomo, czy można przywrócić kopię zapasową?

Zakończone zadanie potwierdza wykonanie operacji, ale nie dowodzi, że można odzyskać planowaną usługę. Przetestuj przywracanie w czystym środowisku docelowym. Otwórz przykładowe dokumenty, przywróć ważne uprawnienia i potwierdź, że baza danych aplikacji jest spójna z jej plikami. Ustal też, czy wybrany punkt pochodzi sprzed niepożądanych zmian.

Cel punktu odzyskiwania, czyli RPO, określa dopuszczalny przedział utraty danych. Cel czasu odzyskiwania, czyli RTO, określa dopuszczalny czas przywrócenia usługi. Harmonogram godzinny nie gwarantuje RPO wynoszącego godzinę, jeśli najnowsze punkty odzyskiwania są uszkodzone lub niedostępne. Szybkie przywrócenie pliku nie dowodzi, że cała usługa spełnia wymagania RTO.

Jako orientacyjna dolna granica: przesłanie 2 TB danych dziesiętnych przez łącze 1 Gbit/s zajmuje około 4,4 godziny przy pełnym wykorzystaniu przepustowości. Rzeczywiste odzyskiwanie wymaga dodatkowo uwzględnienia narzutu, weryfikacji, obsługi małych plików i pracy nad aplikacją. To obliczenie nie jest testem wydajności NAS. Pokazuje, dlaczego cel odzyskiwania należy mierzyć w odniesieniu do całego procesu.

Publikacja NIST dotycząca planowania kopii zapasowych podkreśla, że należy je tworzyć, utrzymywać i testować. Przewodnik odzyskiwania integralności danych również wskazuje odzyskanie wiarygodnych informacji jako cel. Dostępność bajtów i pewność co do ich wiarygodności to powiązane, lecz odrębne rezultaty.

Jak wygląda architektura NAS odporna na ransomware?

Praktyczny projekt łączy różne warstwy, zamiast uznawać jedną funkcję za wystarczającą. Dostęp do zapisu w udziałach produkcyjnych jest ograniczony. Obsługiwany nadmiarowy RAID radzi sobie z odpowiednimi awariami dysków. Migawki zapewniają dostęp do wcześniejszych stanów, a tam, gdzie to możliwe, chroniona jest ich retencja. Osobno kontrolowane repozytorium kopii zapasowych oraz odizolowana lub odpowiednio niezmienna kopia zapewniają dodatkowe możliwości odzyskiwania.

W hipotetycznym małym biurze można używać lokalnych migawek tworzonych w krótkich odstępach czasu, by cofnąć przypadkowe zmiany, osobnego repozytorium z wersjonowaniem zarządzanego przez inny podmiot oraz rotacyjnej, odłączonej kopii przechowywanej w innym miejscu. To przykład rozwiązania do oceny, a nie twierdzenie dotyczące jakiejkolwiek ofiary z października ani uniwersalna recepta. Szczegóły zależą od wrażliwości danych, dostępności personelu i celów odzyskiwania.

Prześledź jeden ważny zbiór danych przez cały projekt. Określ ostatni znany dobry punkt, dane uwierzytelniające potrzebne do jego przywrócenia, lokalizację kluczy oraz czystą maszynę, która może go odczytać. Następnie powtórz ćwiczenie, zakładając, że produkcyjny NAS jest niedostępny. Brakujące kroki ujawniają więcej niż pulpit nawigacyjny pokazujący kilka zielonych zadań tworzenia kopii zapasowych.

FAQ

Czy RAID 1 zachowuje nieszyfrowaną kopię, gdy ransomware zmienia plik?

Nie. Replikacja zwykle odzwierciedla bieżące zapisy, w tym niepożądane zmiany wprowadzone przez osoby z wystarczającymi uprawnieniami. Nie jest automatyczną kopią historyczną. Przywrócenie wcześniejszego stanu wymaga zachowanej migawki, wersjonowanej kopii zapasowej lub innego odpowiedniego źródła.

Czy migawki są bezużyteczne wobec ransomware?

Nie. Mogą zachowywać wcześniejsze stany i umożliwiać szybkie odzyskiwanie. Ich skuteczność zależy od uprawnień, okresu przechowywania, sposobu wdrożenia i dostępnych mechanizmów niezmienności danych. Lokalna migawka jest też fizycznie zależna od systemu pamięci masowej, co stanowi inną granicę ochrony niż zabezpieczenie na poziomie plików.

Czy kopia zapasowa w chmurze poza siedzibą jest automatycznie odizolowana?

Nie. Kopia poza siedzibą znajduje się w innej lokalizacji, ale niekoniecznie podlega innym uprawnieniom ani jest odłączona od sieci. Sprawdź, kto może usuwać wersje, czy produkcyjne środowisko przechowuje te poświadczenia i czy chroniona historia pozostaje dostępna po przejęciu konta.

Czy szyfrowanie kopii zapasowej chroni ją przed usunięciem przez ransomware?

Nie. Szyfrowanie chroni poufność zawartości kopii zapasowej. Uprawnienia do usuwania to osobna kwestia. Zabezpiecz uprawnienia i okres przechowywania w repozytorium, a klucze odzyskiwania przechowuj w sposób, który nie zależy wyłącznie od przejętego systemu.

Jak długo przechowywać migawki i wersje kopii zapasowych?

Nie ma uniwersalnego czasu. Okres przechowywania musi obejmować czas, przez jaki niepożądane zmiany mogłyby pozostać niezauważone, czas potrzebny na analizę oraz potrzeby związane z odzyskiwaniem, z uwzględnieniem ograniczeń pojemności. Zobacz poradnik dotyczący przechowywania wersji plików po ataku ransomware, który omawia problem planowania wyboru czystego punktu przywracania. Sprawdź, czy wybrana polityka zapewnia dostęp do czystego punktu odzyskiwania, a nie tylko do nowszych, uszkodzonych wersji.

Jaki jest najprzydatniejszy pierwszy test odzyskiwania?

Przywróć ważny zbiór danych w czystej lokalizacji, używając poświadczeń i narzędzi, które byłyby dostępne podczas rzeczywistej awarii. Sprawdź zawartość plików, uprawnienia, spójność aplikacji i czas przywracania. Następnie sprawdź, czy wynik spełnia przyjęte cele dotyczące utraty danych i przestoju.

Podsumowanie

RAID, migawki i kopie zapasowe pozostają przydatne, gdy wiadomo, jaką pełnią rolę. Głębszy problem polega na tym, że działające dane i wszystkie opcje odzyskiwania podlegają jednej destrukcyjnej władzy albo na zbyt późnym odkryciu, że zachowanej kopii nie da się przywrócić. Licz kopie, ale sprawdzaj też uprawnienia, izolację, okres przechowywania i przetestowane odzyskiwanie. Analiza incydentu Synology omawia drugą stronę problemu: co publicznie dostępne dowody potwierdzają, a czego nie, w kwestii początkowego dostępu.