Varför NAS-säkerhetskopior misslyckas vid ransomware-attacker: RAID, ögonblicksbilder och delad åtkomst förklaras

En NAS kan ha ett felfritt RAID, schemalagda ögonblicksbilder och lyckade säkerhetskopieringar, men ändå sakna en fungerande återställningsväg efter ransomware. De avgörande frågorna är om ett rent tidigare tillstånd finns kvar, om angriparen kan ändra det och om du kan återställa utan att förlita dig på komprometterade inloggningsuppgifter eller system.

Ransomware-rapporterna om Synology från oktober 2026 är en aktuell utgångspunkt, men detta är en analys av lagringsarkitektur, inte ett påstående om alla drabbade. RAID, ögonblicksbilder, synkronisering och oberoende säkerhetskopior löser olika problem. Återställningen misslyckas när deras gränser missförstås eller när kopior som verkar separata delar samma behörigheter.

Omslagsfoto: Korrupt / Wikimedia Commons, CC BY 4.0. Beskuret och storleksändrat; beskärningen av fotot omfattas fortfarande av samma licens. Kontextuellt foto av NAS-maskinvara, inte en verifierad drabbad enhet eller plats för en incident.

Varför är NAS-lagring ett mål för ransomware?

En NAS gör information tillgänglig över ett nätverk, vanligtvis för flera personer, applikationer eller datorer. Det är dess syfte. Det innebär också att det finns flera sätt för oönskade ändringar att nå filer. En angripare kan kompromettera själva NAS-enheten, ta över ett auktoriserat konto eller ta kontroll över en arbetsstation med en skrivbar nätverksresurs.

De här angreppsvägarna kräver inte identiska skydd. Att åtgärda en sårbarhet i en hanteringstjänst tar inte bort en infekterad arbetsstations befintliga behörigheter till utdelade mappar. Omvänt reparerar det inte en sårbar hanteringsapplikation att begränsa vilka mappar en användare får skriva till. Incidentanalysen i den relaterade artikeln om C3RB3R och DSM förklarar varför det är viktigt att skilja mellan åtkomstvägarna.

Återställning väcker en andra fråga: kan samma identitet eller kontrollplan skada kopiorna som är tänkta att hjälpa till efteråt? I så fall kan antalet diskar, kapslingar eller molnlagringsmål ge en överdriven bild av den faktiska separationen. Räkna oberoende felgränser lika noggrant som kopior.

Skyddar RAID data mot ransomware?

Redundanta RAID-konfigurationer är utformade för att tåla ett visst antal diskfel. De avgör inte om en till synes legitim skrivning innehåller ett användbart dokument eller krypterat skräp. I ett RAID 1-exempel gör en auktoriserad applikation en skrivning när den skriver över en fil, och spegeln bevarar också den skrivningen. Arrayen kan fortfarande vara felfri samtidigt som filen blir oanvändbar.

Mekanismen är ingen särskild förbikoppling av ransomware. Spegling gör det den normalt ska: upprätthåller det aktuella lagringstillståndet på alla enheter. Den bevarar inte automatiskt en valbar, ren version från igår. RAID 0 är inte redundant alls; olika RAID-nivåer får inte behandlas som om de erbjuder samma feltålighet.

RAID är fortfarande användbart. Ett diskfel under vanligt arbete behöver inte leda till avbrott i tjänsten med en korrekt fungerande redundant konfiguration. Misstaget är att förvänta sig att disktålighet även ger historisk återställning, separering av åtkomst eller skydd mot att hela chassit går förlorat. Guiden om RAID kontra säkerhetskopiering går igenom den skillnaden mer ingående. Synologys vägledning om säkerhetskopiering av NAS behandlar också återställningskopior som en separat planeringsfråga.

Kan ransomware radera eller kryptera ögonblicksbilder på en NAS?

En ögonblicksbild kan vara ett effektivt skydd mot oönskade filändringar. I många implementationer av ögonblicksbilder skriver ändringar av aktiva filer inte över de äldre block som bevarats i en ögonblicksbild. Därför ska man inte automatiskt anta att skadlig programvara med vanliga behörigheter för fildelning även har administratörsbehörighet för ögonblicksbilder.

Den viktiga skillnaden är mellan att ändra filer och att styra mekanismen som bevarar tidigare tillstånd. Vanliga ögonblicksbilder kan raderas av en administratör med tillräckliga behörigheter. Andra har ytterligare skydd. Synology dokumenterar oföränderliga ögonblicksbilder för system som stöds, med tidsbegränsade restriktioner som också skyddar lagringsstrukturerna som innehåller dem från att raderas under den aktuella perioden. Det vore felaktigt att påstå att administratörer alltid kan radera alla ögonblicksbilder.

Ta reda på vilka ögonblicksbilder som finns, vilka kontroller som skyddar dem och när skyddet upphör. En kort lagringsperiod kan innebära att det bara finns versioner som skapats efter krypteringen när skadan upptäcks. Lokala ögonblicksbilder skapar inte heller en extra fysisk enhet: stöld, fysisk förstörelse eller förlust av den underliggande lagringen innebär fortfarande andra återställningsproblem.

Varför kan nätverksbaserade säkerhetskopior komprometteras samtidigt?

Tänk dig en primär NAS som kopierar filer till en andra NAS varje natt. Om det primära systemet lagrar behörighetsuppgifter som kan skriva över målet och radera dess gamla versioner, kan en kompromettering av det primära systemet hota båda kopiorna. Ett annat hölje innebär fysisk separation, men inte nödvändigtvis administrativ separation.

Samma resonemang gäller molnlagring. Ett arkiv kan finnas geografiskt långt bort, samtidigt som behörigheterna för att radera det lagras på en komprometterad värd. Storbritanniens NCSC:s vägledning om offline-säkerhetskopior tar upp anslutna lokala kopior och molnkopior samt vikten av att kontrollera klientåtkomst. Fysiskt avstånd begränsar inte i sig vad en behörig API-begäran kan radera.

Nätverkssegmentering kan bidra till att minska antalet tjänster som går att nå, men en tillåten anslutning med omfattande behörigheter kan fortfarande vara farlig. Utvärdera den faktiska identiteten för jobbet, administrationen av arkivet och behörigheterna för lagringstid. ”Annat nätverk” och ”annat konto” är användbara utgångspunkter, inte bevis för att en destruktiv begäran kommer att avvisas.

Synkronisering kontra säkerhetskopiering: Varför är de olika?

Synkronisering försöker vanligtvis få målen att spegla ändringarna i källan. Tänk dig en katalog på en bärbar dator som synkroniseras med en NAS. Skadlig kod krypterar filerna på datorn, och synkroniseringsklienten laddar upp det ändrade innehållet. En status som visar att synkroniseringen lyckades kan korrekt beskriva ett misslyckat återställningsresultat: målet innehåller nu troget de skadade, aktuella filerna.

Versionshistorik eller återställning av borttagna filer kan förbättra situationen, men bara om de relevanta äldre versionerna fortfarande är tillgängliga. Kontrollera lagringstiden, hur snabba ändringar hanteras, om angriparen kan radera historiken och om programmet skyddar de mappar du faktiskt bryr dig om. Beteckningen ”synkronisering” besvarar inte i sig någon av dessa frågor.

En användbar säkerhetskopieringslösning behåller medvetet ett återställningsbart tillstånd som kan skilja sig från källan i dag. Det måste finnas kvar tillräckligt länge för att ge tid att upptäcka och hantera problemet. En kopierad mapp som skrivs över kontinuerligt är inte likvärdig med ett arkiv där äldre versioner sparas med separat skyddade behörigheter.

Varför är en 3-2-1-säkerhetskopieringsstrategi viktig?

CISA:s alternativ för säkerhetskopiering av data beskriver den välbekanta grundregeln: tre kopior av viktig information, inklusive arbetskopian; två typer av medier; och en kopia utanför platsen. Målet är att undvika att ett enda lokalt fel förstör alla kopior. Det är ett användbart ramverk för inventering, inte en garanti mot alla attacker.

Lagring utanför platsen beskriver var kopian finns. Offline beskriver anslutningen. Oföränderlig beskriver begränsningar av ändringar under en angiven period. Ett molnarkiv kan finnas utanför platsen och vara kontinuerligt åtkomligt; en frånkopplad USB-enhet kan vara offline men förvaras intill NAS-enheten. Ingen av beskrivningarna ersätter den andra.

Vid utpressningsprogram bör du komplettera inventeringen med frågor om vem som kan ändra varje kopia och om en ren version finns kvar efter incidenten. CISA:s vägledning om utpressningsprogram rekommenderar offline-säkerhetskopior med kryptering och regelbundna återställningstester. Kryptering av säkerhetskopior skyddar sekretessen, men hindrar inte i sig en behörig angripare från att radera det krypterade lagringsarkivet.

Vad gör en säkerhetskopia verkligt oberoende?

Oberoende är en relation mellan en återställningskopia och ett specifikt fel, inte en egenskap man får genom att köpa ytterligare en disk. Börja med att anta att produktionsadministrationen har komprometterats. Kan den administratören radera lagringsplatsen, förkorta lagringstiden, återkalla återställningsåtkomst eller ta bort den enda kopian av en krypteringsnyckel?

Separata identiteter och framtvingade behörigheter kan begränsa åtkomsten. En skribent för säkerhetskopior kan få skapa nya återställningspunkter utan behörighet att rensa skyddade äldre versioner. Administrations- och återställningsuppgifter för lagringsplatsen kan hållas åtskilda från produktionen. Kontrollera produktens faktiska behörighetsmodell; alla protokoll stöder inte denna separation.

Att hämta data från en säkerhetskopieringsserver kan hålla vissa autentiseringsuppgifter borta från den primära NAS-enheten, men ”hämtning” är inte automatiskt säkert och ”skickning” är inte automatiskt osäkert. Undersök var autentiseringsuppgifterna finns och vad de ger behörighet att göra. En offline-rotation kräver också en kontrollerad återanslutningsprocedur: en tidigare isolerad enhet blir åtkomlig under nästa säkerhetskopieringssession.

Hur vet du om en säkerhetskopia går att återställa?

Ett slutfört jobb visar att en åtgärd har slutförts, inte att den tjänst du avser att återställa faktiskt går att återställa. Testa återställning till en ren destination. Öppna representativa dokument, återställ viktiga behörigheter och bekräfta att eventuell applikationsdatabas är konsekvent med sina filer. Ta också reda på om den valda tidpunkten ligger före de oönskade ändringarna.

Återställningspunktmål, eller RPO, beskriver det godtagbara intervallet för dataförlust. Återställningstidsmål, eller RTO, beskriver den godtagbara tiden för att återställa tjänsten. Ett schema per timme bevisar inte att RPO är en timme om de senaste återställningspunkterna är skadade eller otillgängliga. En snabb filåterställning bevisar inte att hela tjänsten uppfyller sitt RTO.

Som ett illustrativt minimivärde tar det ungefär 4,4 timmar att överföra 2 TB decimaldata via en 1 Gbit/s-länk vid perfekt utnyttjande. En verklig återställning innebär dessutom extra tidsåtgång för verifiering, hantering av små filer och arbete med applikationer. Den här beräkningen är inte ett NAS-riktmärke. Den visar varför ett återställningsmål bör mätas mot hela arbetsflödet.

NIST:s publikation om planering av säkerhetskopiering betonar att säkerhetskopior ska skapas, underhållas och testas. Dess guide för återställning av dataintegritet anger också tillförlitlig återställd information som ett mål. Tillgång till byte och tilltron till dessa byte hänger ihop, men är skilda resultat.

Hur ser en arkitektur för en ransomware-resilient NAS ut?

En praktisk utformning kombinerar flera lager i stället för att hävda att en enda funktion räcker. Produktionsdelningar har begränsad skrivåtkomst. RAID med redundans som stöds hanterar lämpliga diskfel. Ögonblicksbilder ger användbara tidigare tillstånd, med skyddad lagringstid där det är möjligt. Ett separat kontrollerat säkerhetskopieringsarkiv och en isolerad eller på lämpligt sätt oföränderlig kopia bevarar fler återställningsmöjligheter.

Ett tänkt litet kontor skulle kunna använda lokala ögonblicksbilder med korta intervall för att hantera oavsiktliga ändringar, ett separat administrerat versionshanterat arkiv och en roterande, frånkopplad kopia som förvaras på annan plats. Den lösningen är ett exempel att utvärdera, inte ett påstående om något offer i oktober eller en universell rekommendation. Datakänslighet, tillgänglig personal och återställningsmål avgör detaljerna.

Följ ett viktigt dataset genom utformningen. Identifiera dess senast kända fungerande punkt, de inloggningsuppgifter som krävs för att återställa det, var nycklarna finns och vilken ren maskin som kan läsa det. Upprepa sedan övningen med antagandet att produktions-NAS:en inte är tillgänglig. Saknade steg avslöjar mer än en kontrollpanel som visar flera gröna säkerhetskopieringsjobb.

Vanliga frågor

Behåller RAID 1 en okrypterad kopia om ransomware ändrar en fil?

Nej. Spegling för normalt vidare aktuella skrivningar, inklusive oönskade ändringar som gjorts med tillräcklig åtkomst. Det är inte automatiskt en historisk kopia. För att återställa ett tidigare tillstånd krävs en bevarad ögonblicksbild, en versionshanterad säkerhetskopia eller en annan lämplig källa.

Är ögonblicksbilder värdelösa mot ransomware?

Nej. De kan bevara tidigare tillstånd och möjliggöra snabb återställning. Skyddet beror på behörigheter, lagringstid, implementering och tillgängliga funktioner för oföränderlig lagring. En lokal ögonblicksbild är också fysiskt beroende av samma lagringssystem, vilket är en annan skyddsgräns än filbaserat skydd.

Är en säkerhetskopia i molnet på en annan plats automatiskt isolerad?

Nej. Offsite betyder en annan plats, inte nödvändigtvis en annan behörighet eller en frånkopplad anslutning. Kontrollera vem som kan radera versioner, om produktionen har dessa inloggningsuppgifter och om skyddad historik fortfarande är tillgänglig efter att ett konto har komprometterats.

Förhindrar kryptering av en säkerhetskopia att ransomware raderar den?

Nej. Kryptering skyddar innehållets konfidentialitet i säkerhetskopior. Raderingsbehörighet är en separat fråga. Skydda lagringsplatsens behörigheter och lagringstid, och se till att återställningsnycklar finns tillgängliga genom en process som inte enbart är beroende av det komprometterade systemet.

Hur länge bör ögonblicksbilder och säkerhetskopieringsversioner sparas?

Det finns ingen universell tidsperiod. Lagringstiden måste täcka hur länge oönskade ändringar kan förbli oupptäckta, utredningstiden och återställningsbehoven, inom lagringsbegränsningarna. Se guiden om hur länge filversioner bör sparas efter en ransomware-attack för hur man planerar för en ren återställningspunkt. Testa att den valda policyn ger en tillgänglig, ren återställningspunkt och inte bara nyligen skadade versioner.

Vilket är det mest användbara första återställningstestet?

Återställ en viktig datamängd till en ren plats med de inloggningsuppgifter och verktyg du skulle ha tillgång till vid ett verkligt driftavbrott. Kontrollera filinnehåll, behörigheter, programmets datakonsistens och hur lång tid det tar. Kontrollera sedan om resultatet uppfyller de accepterade målen för dataförlust och avbrottstid.

Slutsats

RAID, ögonblicksbilder och säkerhetskopior är fortsatt värdefulla när man förstår deras roller. Det allvarligare problemet är att låta arbetsdata och alla återställningsalternativ lyda under samma destruktiva behörighet, eller att upptäcka för sent att en sparad kopia inte går att återställa. Räkna kopiorna, men granska också behörigheter, isolering, lagringstid och testad återställning. Analysen av Synology-incidenten undersöker den andra delen av problemet: vad offentliga belägg visar och inte visar om den ursprungliga åtkomsten.