Zálohy máme. Tak proč výroba stále stojí?

Je pondělí, sedm ráno. Ve výrobní firmě se nedaří spustit část systémů. Sklad nevidí objednávky, expedice čeká a výrobní linky nemají potřebné podklady. IT tým zjišťuje, že servery zasáhl ransomware. Na krizové poradě zazní očekávaná otázka: „Máme přece zálohy. Kdy pojedeme dál?“

Zálohy skutečně existují, poslední vznikla v noci. Jenže nikdo zatím neví, kdy útočník do prostředí pronikl. A právě na tom může záviset, co se po obnově vrátí do provozu.

Při poruše serveru obvykle dává smysl obnovit nejaktuálnější data. Po kybernetickém incidentu je situace jiná. Útočník mohl být v síti celé týdny, změnit oprávnění, vytvořit další účty nebo upravit konfiguraci. Některé změny se mohly dostat i do záloh.

Obnova poslední kopie tak může vrátit nejen data, ale i část kompromitovaného prostředí. Starší záloha zase znamená větší ztrátu aktuálních informací. Rozhodnutí proto nemůže stát pouze na datu jejího vytvoření.

Při vyšetřování se ukáže, že několik dní před útokem došlo k neobvyklému přihlášení správce. Následovala změna oprávnění a přístup k zálohovacímu serveru. Jednotlivé události nemusí nic dokazovat. V souvislostech však mohou napovědět, odkdy je potřeba prostředí prověřovat.

Pomáhají bezpečnostní logy, tedy záznamy o dění v systémech. Pokud jsou chráněné a dostupné i po incidentu, lze je porovnat s jednotlivými body obnovy. Bezpečnostní skenování záloh navíc může odhalit podezřelé soubory. Ani jedno samo o sobě nezaručuje bezpečnou obnovu, společně ale poskytují důležitější podklady pro rozhodnutí.

Právě na tento problém reaguje IXTRUST od společnosti IXPERTA. Propojuje bezpečné zálohování, bezpečnostní skenování záloh a práci s logy. Rozšířené možnosti zahrnují také jejich chráněné uchovávání a analýzu bezpečnostních událostí.

Cílem není automaticky označit jednu zálohu za bezpečnou. IXTRUST pomáhá odborníkům lépe pochopit, co se stalo, a vybrat vhodný postup obnovy.

V našem modelovém příkladu se provoz nakonec obnoví postupně. Některé systémy se vrátí ze záloh, jiné je potřeba nejprve prověřit. Podstatné ale je, že otázky, kde jsou logy a které záloze lze věřit, se měly řešit dávno před pondělním ránem.

Zálohování je základ. Skutečná připravenost začíná ve chvíli, kdy firma dokáže vysvětlit, proč se rozhodla obnovit právě konkrétní data a systémy.