Một nhân viên mở một file đính kèm. Vài phút sau, các file trong thư mục chung có đuôi lạ và không mở được. Mã độc tống tiền chạy bằng quyền của người mở nó, nên mọi thư mục trên NAS mà tài khoản đó ghi được đều bị mã hoá. Bài này nói NAS Synology giúp được gì, và những điều kiện để nó giúp được.
Ba lớp, mỗi lớp chặn một việc
- Tách mạng (do router lo). Chia văn phòng thành các mạng riêng để mã độc trên một máy khó dò sang máy khác. Giữa mạng nhân viên và NAS chỉ mở đúng đường để mở file, không mở trang quản trị của NAS cho máy nhân viên.
- Giới hạn quyền ghi (do NAS lo). Mỗi tài khoản chỉ ghi được vào thư mục phòng mình. Mã độc không với tới thư mục của phòng khác.
- Bản chụp (do NAS lo). NAS chụp lại trạng thái dữ liệu theo lịch. Mã độc từ máy nhân viên mã hoá được bản đang dùng, nhưng không sửa được bản chụp đã có. Quay về bản chụp trước thời điểm bị mã hoá là lấy lại được file.
Bản chụp cần điều kiện gì
- Dòng máy và hệ thống tệp. Tính năng bản chụp trên Synology cần hệ thống tệp Btrfs (cách tổ chức dữ liệu trên ổ, giúp lưu bản sao nhanh, chọn lúc cài đặt) và chỉ có ở một số dòng máy. Cần tra danh sách trước khi mua, không mua xong mới thử.
- Lịch chụp và thời gian giữ. Chụp mỗi bao lâu, giữ bao lâu. Giữ quá ngắn thì khi phát hiện ra thì bản sạch đã bị xoá.
- Tài khoản quản trị an toàn. Nếu kẻ tấn công chiếm được tài khoản quản trị NAS, họ có thể xoá luôn bản chụp. Cần xác thực hai bước, không dùng tài khoản quản trị cho công việc hằng ngày.
Vì sao vẫn cần bản sao lưu ngoài
Bản chụp nằm trên chính NAS. Nếu NAS hỏng ổ, cháy, ngập, bị trộm, hay bị chiếm quyền quản trị, bản chụp mất theo. Cần thêm một bản ở thiết bị khác hoặc ở nơi khác văn phòng, dùng tài khoản riêng, không dùng chung mật khẩu với NAS. Nguyên tắc 3-2-1: ba bản dữ liệu, hai loại thiết bị, một bản ở ngoài.
Máy tính của nhân viên cũng có thể sao lưu về NAS theo lịch, để máy hỏng hoặc bị mã hoá thì dựng lại được. Tính năng này cũng phụ thuộc dòng máy và phiên bản phần mềm.
Ba điều kiện để giải pháp có giá trị
- Tài khoản quản trị NAS có xác thực hai bước.
- Bản chụp được giữ đủ lâu.
- Đã thử khôi phục thật ít nhất một lần. Chưa thử khôi phục thì chưa biết bản sao có dùng được hay không.
Không lớp nào chặn được mọi loại tấn công. Mục tiêu là giảm phạm vi bị ảnh hưởng, và có đường quay về khi xảy ra sự cố.
Sau sự cố
Lấy lại dữ liệu mới là một nửa việc. Cần tìm ra máy nào bị nhiễm đầu tiên, và từ khi nào. Nhật ký trên router ghi lại các kết nối bất thường, nếu đã bật ghi nhật ký từ trước. Chưa dọn sạch máy đầu tiên mà khôi phục thì có thể bị mã hoá lần nữa.
Bài liên quan
- Giải pháp mạng và lưu trữ dữ liệu cho văn phòng 20-50 người
- Chia VLAN tách mạng nhân viên, khách và camera
- Phân quyền thư mục NAS Synology theo phòng ban
Helpdesk Box làm gì
Helpdesk Box cấu hình tách mạng, phân quyền, lịch chụp và sao lưu ngoài văn phòng, rồi thử khôi phục thật trước khi bàn giao, và ghi quy trình vào hồ sơ hệ thống.
