Vì sao sao lưu dữ liệu 3-2-1 giúp bạn chiến thắng mã độc tống tiền

Nguyên tắc sao lưu 3-2-1 nghĩa là giữ ít nhất 3 bản dữ liệu (bản gốc và hai bản sao), trên 2 loại phương tiện lưu trữ khác nhau, trong đó 1 bản ở nơi khác tách biệt khỏi nơi làm việc. Khi ransomware mã hóa máy tính, bạn không cần trả tiền chuộc mà chỉ cần xóa sạch máy và khôi phục từ bản sao lưu. Điều kiện để chiến thắng là ít nhất một bản sao lưu nằm ngoài tầm với của mã độc: ngoại tuyến, không thể sửa đổi, hoặc có lịch sử phiên bản.

Ransomware thắng khi bạn không còn lựa chọn

Mã độc tống tiền mã hóa tệp của bạn và đòi tiền để đổi lấy khóa giải mã. Sức ép của chúng đến từ một điều: nạn nhân không có cách nào khác để lấy lại dữ liệu. Khi có bản sao lưu sạch, cán cân đảo ngược. Bạn mất thời gian khôi phục, nhưng không mất dữ liệu và không phải đặt niềm tin vào lời hứa của tội phạm.

Ransomware hiện đại cũng biết điều này. Nhiều biến thể chủ động tìm và mã hóa ổ sao lưu đang gắn vào máy, xóa bản sao bóng (Volume Shadow Copy) của Windows, tấn công máy chủ sao lưu trong mạng. Một số nhóm còn đánh cắp dữ liệu trước khi mã hóa để đe dọa công bố. Vì vậy sao lưu không chỉ cần "có", mà cần được thiết kế để sống sót.

Giải mã từng con số

3 bản dữ liệu

Bản gốc trên máy và hai bản sao. Một bản sao là chưa đủ, vì chính bản sao đó có thể hỏng, bị mã hóa hoặc mất cùng lúc với bản gốc.

2 loại phương tiện

Ví dụ ổ cứng trong máy và ổ cứng ngoài, hoặc ổ NAS và dịch vụ đám mây. Mỗi loại phương tiện có kiểu hỏng hóc riêng; dùng hai loại giảm nguy cơ cả hai cùng hỏng vì một nguyên nhân.

1 bản ở nơi khác

Một bản nằm ngoài văn phòng hoặc ngoài nhà: trên đám mây, hoặc ổ cứng mang về nhà người quản lý. Bản này bảo vệ trước cháy, ngập, trộm, và trước ransomware lan khắp mạng nội bộ.

Biến thể 3-2-1-1-0 cho thời ransomware

Nhiều tổ chức mở rộng nguyên tắc thành 3-2-1-1-0:

• Thêm 1: ít nhất một bản ngoại tuyến (offline, ngắt kết nối vật lý) hoặc bất biến (immutable, không thể sửa hay xóa trong thời gian quy định).
• 0: không lỗi khi kiểm tra khôi phục. Bản sao lưu chưa từng thử khôi phục chỉ là giả định.

Áp dụng cho gia đình và người dùng cá nhân

Lưu ý: dịch vụ đồng bộ như OneDrive, Google Drive không phải sao lưu thuần túy. Khi tệp trên máy bị mã hóa, bản mã hóa cũng được đồng bộ lên đám mây. Bạn chỉ an toàn nếu dịch vụ có lịch sử phiên bản hoặc tính năng khôi phục tệp về thời điểm trước, và bạn biết cách dùng nó.

Áp dụng cho văn phòng nhỏ

1. Xác định dữ liệu quan trọng: phần mềm kế toán, hồ sơ khách hàng, hợp đồng, email.
2. Bản sao 1, tại chỗ: NAS hoặc máy chủ sao lưu, tự động hằng ngày, có nhiều phiên bản. Dùng tài khoản sao lưu riêng, không dùng chung mật khẩu với tài khoản quản trị Windows, không gắn thư mục sao lưu như ổ đĩa mạng trên máy người dùng.
3. Bản sao 2, ở nơi khác: sao lưu đám mây có tính năng bất biến hoặc khóa xóa, hoặc ổ cứng luân phiên mang ra khỏi văn phòng hằng tuần.
4. Kiểm tra khôi phục: mỗi tháng, chọn ngẫu nhiên vài tệp và một cơ sở dữ liệu để khôi phục thử. Mỗi năm, thử khôi phục cả một máy.
5. Ghi lại quy trình: ai khôi phục, theo thứ tự nào, mật khẩu sao lưu cất ở đâu.

Các tùy chọn khi chọn dịch vụ sao lưu đám mây, như mã hóa phía máy khách, lưu giữ phiên bản và khóa bất biến, được phân tích chi tiết trong bài cấu hình sao lưu dữ liệu đám mây an toàn.

Sai lầm khiến bản sao lưu vô dụng

• Ổ sao lưu luôn cắm vào máy: ransomware mã hóa luôn cả ổ này.
• Sao lưu ghi đè: chỉ giữ một phiên bản mới nhất, nên khi phát hiện bị mã hóa thì bản sao lưu cũng đã là tệp mã hóa.
• Thông tin đăng nhập sao lưu nằm trên máy bị nhiễm: kẻ tấn công dùng chính nó để xóa bản sao lưu.
• Chưa bao giờ thử khôi phục: đến lúc cần mới phát hiện bản sao lưu lỗi hoặc thiếu.
• Chỉ sao lưu tệp, quên cấu hình: phần mềm kế toán, máy chủ email cần cả cơ sở dữ liệu và cấu hình để chạy lại.

Khi ransomware tấn công, sao lưu phát huy thế nào

Đầu tiên là cô lập máy nhiễm khỏi mạng để ngăn lây lan. Tiếp theo, xác nhận bản sao lưu chưa bị ảnh hưởng và xác định thời điểm lây nhiễm, để chọn phiên bản trước đó. Cài lại hệ điều hành sạch, vá lỗ hổng là nguyên nhân, đổi mật khẩu, rồi mới khôi phục dữ liệu. Khôi phục vào máy chưa làm sạch chỉ khiến dữ liệu bị mã hóa lần nữa.

Sao lưu không ngăn được ransomware xâm nhập, nhưng biến nó từ thảm họa thành sự cố có thể xử lý. Kết hợp với lớp phòng ngừa như bật Controlled folder access trong Defender, bạn có cả lá chắn lẫn đường lui.