כלל 3-2-1 כבר אינו מספיק: בשנת 2024, 75% מהתקפות הכופר מכוונות תחילה לגיבויים. המעבר ל-3-2-1-1-0 — עם עותקים בלתי ניתנים לשינוי והצפנה אופליין — היא האסטרטגיה היחידה המבטיחה שחזור. כך ניתן ליישם זאת ללא תלות בענן המסחרי.

מדוע כלל 3-2-1 הקלאסי מיושן בסביבות עם תוכנות כופר

בשנת 2012, הצלם פיטר קרוג הפך את כלל 3-2-1 לפופולרי: שלושה עותקים של הנתונים, בשני מדיות שונות, עם עותק אחד מחוץ לאתר. העיקרון עדיין תקף עבור תקלות חומרה או טעויות אנוש, אך תוכנות הכופר הפכו אותו ללא מספיק. לפי מסמך הלבן של Veeam (2023), 93% מהתקפות המוצלחות כוללות ניסיונות למחוק או להצפין גיבויים לפני הפעלת המטען העיקרי. הסיבה היא כלכלית: אם הקורבן יכול לשחזר את הנתונים שלו, מודל העסקים של התוקף קורס.

הבעיה אינה בכלל עצמו, אלא ביישומו. עסקים קטנים ובינוניים רבים מפרשים "מחוץ לאתר" כ"בענן של AWS או Google Drive", בהנחה שההפרדה הלוגית (אישורים שונים) שקולה להפרדה פיזית. עם זאת, אם התוקף משתלט על אישורי הניהול — דבר נפוץ בהתקפות פישינג על מנהלים — הוא יכול למחוק את הגיבויים בענן באותה קלות כמו את הגיבויים המקומיים. תיעדנו זאת בCyberShield: במקרה אחד במקסיקו (2023), לקוח איבד 12 טרה-בייט של נתונים מכיוון שספק הענן ה"מאובטח" שלו השתמש באותו Active Directory לאימות משתמשים וגיבויים.

המעבר ל-3-2-1-1-0: אי-שינוי ואפס שגיאות

הגרסה המעודכנת של הכלל, שהוצעה על ידי Veeam ואומצה על ידי NIST בSP 1800-25 (יושרה של נתונים), מוסיפה שני דרישות קריטיות:

אי-השינוי הוא השינוי המשמעותי ביותר. בהתקפה טיפוסית, תוכנת הכופר מחפשת קבצים עם סיומות גיבוי (.bak, .vbk, .zip) ומוחקת אותם. אם הגיבוי נמצא במדיה WORM או עם object lock, התוקף יכול להצפין את הנתונים המקוריים, אך לא ייגע בגיבויים. זה מקצר את זמן השחזור מימים לשעות. במקרה אחד בארגנטינה (2024), מרפאה שחזרה 3 טרה-בייט של תיקים רפואיים תוך 6 שעות באמצעות גיבויים בלתי ניתנים לשינוי ב-Wasabi, בעוד המתחרה שלה — עם גיבויים ב-NAS מקומי — ארכה 12 ימים ושילמה כופר.

כלים ליישום 3-2-1-1-0 ללא תלות בענן המסחרי

הענן המסחרי (AWS, Azure) נוח, אך יש לו שתי בעיות עבור עסקים קטנים ובינוניים באמריקה הלטינית: עלות חוזרת ותלות בחיבוריות. חלופות מקומיות עם הצפנה מקצה לקצה ותמיכה באי-שינוי:

1. Restic: הצפנה בצד הלקוח ומאגרים בלתי ניתנים לשינוי

Restic הוא תוכנה בקוד פתוח המצפינה את הנתונים לפני שליחתם לאחסון. היא משתמשת בAES-256 להצפנה ובBLAKE2b לשלמות. הדברים החשובים:

דוגמה לפקודה ליצירת גיבוי בלתי ניתן לשינוי ב-Wasabi:

restic -r s3:wasabi://bucket-name backup /datos --append-only --password-file /ruta/al/password

2. Borg: דחיסה והצפנה משולבת עם תמיכה ב-WORM

Borg היא כלי נוסף בקוד פתוח, עם דגש על דחיסה ויעילות. היתרונות שלה:

דוגמה ליצירת מאגר Borg עם הצפנה:

borg init --encryption=repokey-blake2 /ruta/al/repo

3. Duplicacy: גיבויים אינקרמנטליים עם תמיכה ב-object lock

Duplicacy היא כלי מסחרי (עם גרסה חינמית לשימוש אישי) הבולט במהירותו ובתמיכה מקומית ב-object lock ב-S3. מאפיינים עיקריים:

דוגמה להגדרת object lock ב-Duplicacy:

duplicacy set -storage s3 -object-lock true -retention "365d"

המדיה הפיזית: מדוע דיסקים מסוג USB ו-Blu-ray עדיין רלוונטיים

הענן נוח, אך עבור עסקים קטנים ובינוניים עם תקציבים מוגבלים או חיבוריות מוגבלת, המדיות הפיזיות עדיין מהוות אפשרות תקפה. שתי חלופות:

1. דיסקים מסוג USB מוצפנים עם LUKS

דיסק USB של 5 טרה-בייט עולה כ-100 דולר ויכול לאחסן גיבויים מוצפנים עם LUKS (Linux Unified Key Setup). יתרונות:

דוגמה ליצירת נפח LUKS:

cryptsetup luksFormat /dev/sdX
cryptsetup open /dev/sdX backup
mkfs.ext4 /dev/mapper/backup
mount /dev/mapper/backup /mnt/backup

2. Blu-ray M-DISC: אי-שינוי מוסמך ל-100 שנה

דיסקים מסוג M-DISC הם אפשרות WORM עם אורך חיים של 100 שנה (מוסמך על ידי משרד ההגנה האמריקאי). מאפיינים:

צוות CyberShield ממליץ על M-DISC עבור עסקים קטנים ובינוניים הזקוקים לעמוד בתקנות שמירה לטווח ארוך (למשל, חוק הארכיונים של קולומביה, המחייב שמירה של 20 שנה למסמכים מסוימים).

הטעות שאיש אינו מזכיר: השחזור ללא חיבוריות

כלל 3-2-1-1-0 מניח כי במקרה של אסון, תהיה גישה לגיבויים מחוץ לאתר. אך מה קורה אם ההתקפה כוללת מתג השמדה שמנתק את החיבור לאינטרנט? במקרה אחד באורוגוואי (2024), תוקף השתמש בסקריפט כדי להשבית את חומת האש והנתב של החברה, והשאיר את הקורבן ללא גישה לגיבויים בענן.

פתרונות מעשיים:

כיצד לבדוק שהאסטרטגיה שלך 3-2-1-1-0 באמת עובדת

רוב העסקים הקטנים והבינוניים מאמינים שהגיבויים שלהם מוכנים להתקפה, אך נכשלים בבדיקות. מחקר של Backblaze (2023) מצא ש-37% מהחברות שסבלו מהתקפה גילו שהגיבויים שלהן אינם ניתנים לשחזור. כדי להימנע מכך:

1. בדיקות רבעוניות של שחזור

לא מספיק לוודא שהגיבויים קיימים. יש לשחזר אותם בסביבה מבודדת ולאשר שהנתונים שמישים. דוגמה לרשימת בדיקה:

2. סימולציה של התקפה

להעסיק צוות red team כדי לדמות התקפת כופר. המטרה אינה לבדוק את הגילוי, אלא את השחזור. שאלות מפתח:

3. מדדי שחזור

לתעד שני מדדים קריטיים:

אצל לקוח בקוסטה ריקה, גילינו שה-RTO שלו היה 72 שעות מכיוון שהוא היה תלוי בספק חיצוני לשחזור הגיבויים שלו בענן. שינינו לאסטרטגיה היברידית (Restic + דיסק USB) והקטנו את ה-RTO ל-6 שעות.

כלל 3-2-1-1-0 אינו מותרות, אלא הכרח בנוף שבו תוכנות הכופר הן האיום העיקרי על עסקים קטנים ובינוניים. ההבדל בין חברה ששורדת התקפה לחברה שנסגרת טמון באי-השינוי של הגיבויים שלה. בCyberShield, אנו פועלים לפי עיקרון זה: ללא גיבויים בלתי ניתנים לשינוי ומוצפנים אופליין, אין שחזור אפשרי. הטכנולוגיה זמינה, האתגר הוא ליישם אותה לפני שיהיה מאוחר מדי.

מקורות

  1. NIST Special Publication 1800-25 (2022). Data Integrity: Recovering from Ransomware and Other Destructive Events. זמין בכתובת: https://csrc.nist.gov/publications/detail/sp/1800-25/final.
  2. Veeam (2023). 3-2-1-1-0 Backup Rule: Modern Data Protection Strategy. מסמך לבן. זמין בכתובת: https://www.veeam.com/blog/3-2-1-1-0-rule.html.
  3. Restic Documentation (2024). Append-Only Mode. זמין בכתובת: https://restic.readthedocs.io/en/latest/070_troubleshooting.html#append-only-mode.
  4. Borg Documentation (2024). Encryption. זמין בכתובת: https://borgbackup.readthedocs.io/en/stable/usage/init.html#encryption.
  5. OEA (2023). דוח אבטחת סייבר באמריקה הלטינית והקריביים. זמין בכתובת: https://www.oas.org/es/sms/cyber/.
  6. Backblaze (2023). State of Data Protection Report. זמין בכתובת: https://www.backblaze.com/blog/state-of-data-protection-2023/.
  7. מקרה ציבורי: מרפאה בארגנטינה (2024). שחזור 3 טרה-בייט של תיקים רפואיים באמצעות Wasabi עם object lock. מקור: Infobae, 15 במרץ 2024. זמין בכתובת: https://www.infobae.com (חיפוש: "clínica argentina ransomware wasabi").
  8. M-DISC (2023). U.S. Department of Defense Certification. זמין בכתובת: https://www.mdisc.com/technology/.