Резервная копия и программа-вымогатель: что она может, а чего нет

Хорошая резервная копия — самый надёжный способ вернуть файлы после атаки программы-вымогателя (шифровальщика): вам не придётся торговаться за них. Но копия не предотвращает заражение, а неаккуратно настроенная копия может сохранить уже повреждённые файлы. В этом руководстве объясняется, как копии помогают восстановиться, где их пределы и что делать, если атака произошла. Здесь же прямо сказано, что Tornova делает и чего не делает сегодня: Tornova не обнаруживает и не блокирует программы-вымогатели.

Что программа-вымогатель делает с файлами

Программа-вымогатель (шифровальщик) — вредоносная программа, которая делает файлы непригодными, обычно шифруя их, а затем требует деньги за ключ. Она может затронуть файлы на ПК, на подключённых внешних дисках и в общих или сетевых папках, куда ПК может записывать данные. Папки, синхронизируемые с облачным диском, могут перенести повреждение туда же.

Для резервного копирования важно, что ущерб — это изменение ваших файлов. Всё, что хранит чистую более раннюю копию там, куда вредоносная программа не дотянется, даёт выход. Всё, что просто зеркалирует текущие файлы, повторит и повреждение.

Чем помогает резервная копия

Резервная копия — это уровень восстановления. Она не предотвращает атаку программы-вымогателя, а позволяет оправиться от неё. Копию делают полезной в такой ситуации следующие вещи:

Копия, отделённая от ПК. Резервную копию, которая хранится в другом месте и доступна только через контролируемый процесс, вредоносной программе на ПК изменить труднее, чем папку рядом с документами.
Больше одной точки во времени. Если можно вернуться к версии до заражения, вы восстановите чистые файлы, даже если последняя копия повреждена.
Копия офлайн или в другом месте. Отключённый диск или облачная копия добавляют расстояние между вредоносной программой и вашим способом восстановления. См. правило резервного копирования 3-2-1.
Проверенное восстановление. Когда вы под давлением, важно знать, что восстановление работает и сколько оно занимает.

И всё же резервная копия не даёт гарантии. Она уменьшает ущерб и давление, а насколько — зависит от того, как она была настроена до происшествия.

Ограничения, о которых нужно знать

Об ограничениях лучше честно узнать до того, как копия понадобится, а не после.

Копия может сохранить повреждённые файлы. Если копирование выполняется после шифрования файлов, зашифрованные файлы могут быть сохранены как новая версия. Если хранится только последняя версия, хорошая копия может быть заменена.
Сроки хранения конечны. Версии хранятся до определённого предела. Если заражение долго остаётся незамеченным, старых чистых версий может уже не быть.
Защищено только то, что вы выбрали. Файлы вне резервной копии не защищены.
Копия не удаляет вредоносную программу. Восстановление файлов на всё ещё заражённый ПК может привести к повторному шифрованию.
Украденные данные остаются украденными. Некоторые атаки копируют данные до шифрования. Резервная копия помогает вернуть доступ к файлам, но не отменяет утечку.

Почему важны версии Версии превращают резервную копию в машину времени. Если можно хранить несколько предыдущих версий файла, зашифрованную последнюю версию можно обойти. Если нельзя, повреждённая копия может оказаться единственной. Руководство Версии файлов и облачная корзина: как это работает разбирает компромиссы, включая место, которое занимают версии.

Привычки, которые делают копию полезнее против шифровальщиков

Храните хотя бы одну копию, которая не подключена к ПК постоянно.
Включите версии для важных папок и решите, сколько версий вы можете себе позволить.
Защитите сам аккаунт резервного копирования надёжным уникальным паролем и двухфакторной аутентификацией (MFA, двухэтапная проверка).
Регулярно смотрите на результаты копирования, чтобы заметить, если что-то перестало работать.
Проверяйте восстановление настоящих файлов и тренируйтесь восстанавливать в отдельную папку, а не поверх оригиналов.
Обновляйте Windows, браузер и защитное ПО: см. Как защитить важные файлы на компьютере с Windows.

Что Tornova делает сегодня, а что нет

Этот раздел намеренно отделён от общих советов выше, чтобы было видно, что относится именно к Tornova.

Tornova не обнаруживает и не блокирует программы-вымогатели (что она предлагает, см. на странице «Возможности»). Сканирования на программы-вымогатели, оповещений об аномалиях и блокировки в продукте сегодня нет. Обнаружение запланировано на одну из следующих версий, и ничто здесь не следует читать как утверждение, что оно уже существует. Tornova — это уровень восстановления. Защитное ПО на ПК вам по-прежнему нужно своё.

Что Tornova предоставляет такого, что важно для восстановления:

Необязательные версии файлов. По умолчанию выключены. Если включить, можно хранить 3, 10 или 50 версий, а версии занимают место в хранилище резервных копий.
Trash (облачная корзина Tornova). Когда данные облачной резервной копии удаляются, они остаются в Trash 1 день и в течение этого дня их можно восстановить, после чего они удаляются безвозвратно. Smart Cleanup ничего не удаляет, пока вы не отметите файлы, не введёте CLEAN UP и не подтвердите.
Удаление на ПК не удаляет файл в облаке. Файл, исчезнувший с ПК, сохраняет облачную копию.
Неудачное копирование не портит последнюю удачную копию. Прерванное или частичное копирование никогда не перезаписывает последнюю заведомо хорошую копию.
Контролируемый доступ к хранилищу. Хранилище резервных копий никогда не открыто публично, а доступ использует краткосрочную авторизацию. У каждого Windows Agent есть собственные учётные данные устройства, отдельные от вашего входа.
Необязательная двухфакторная аутентификация (MFA). Если она включена, для начала восстановления нужна дополнительная проверка.
Контроль восстановления. В аккаунте «Организация» право на восстановление отделено от права на резервное копирование, Restore Lock может блокировать восстановление, а Emergency Stop позволяет администратору остановить копирование.

Ограничения, которые относятся именно к Tornova: непрерывного копирования или копирования в реальном времени нет, поэтому изменения после последнего копирования не защищены; копирование, выполненное после шифрования файлов, может сохранить зашифрованные файлы как новую версию; версии хранятся только в том количестве, которое вы выбрали. Выход из приложения Tornova не останавливает копирование по расписанию, поэтому не рассчитывайте на это как на способ поставить его на паузу.

Опубликованные сведения о безопасности — на странице «Безопасность».

Если вы думаете, что программа-вымогатель поразила ПК: спокойный чек-лист

Отключите ПК от сети и отсоедините внешние диски
Не перезагружайте ПК раз за разом и ничего не удаляйте
Остановите копирование по расписанию с этого ПК
Очистите или сбросьте ПК
Смените пароли с чистого устройства
Проверьте, какие версии копий чистые
Сначала восстановите файлы в отдельную папку

Изолируйте. Отключите Wi-Fi, выньте сетевой кабель и отсоедините все внешние и резервные диски. Это ограничит распространение.
Не спешите платить. Оплата не гарантирует, что вы получите работающие файлы, и может сделать вас мишенью. Обратитесь за советом к надёжному ИТ-специалисту или в национальный орган по кибербезопасности.
Остановите копирование с заражённого ПК. Вы не хотите, чтобы свежие копии повреждённых файлов вытеснили из срока хранения более старые чистые версии. Узнайте, что ваша программа позволяет поставить на паузу. В Tornova выход из приложения не останавливает копирование по расписанию.
Очистите ПК. Восстановление на компьютер, где всё ещё есть вредоносная программа, может привести к повторению. Безопасный путь — профессиональная очистка или чистая установка Windows.
Смените пароли с другого, чистого устройства. Это относится к почте, аккаунту резервного копирования и всему остальному, куда был выполнен вход на заражённом ПК.
Найдите чистый момент во времени. Выберите версию до изменения файлов.
Восстановите несколько файлов в отдельную папку и откройте их, чтобы убедиться, что они целы, а затем восстановите остальное. Когда файл с таким именем уже существует, Tornova предлагает Keep both (сохранить обе версии), Skip (пропустить) или Replace (заменить); по умолчанию выбрано Keep both.

Полное пошаговое описание восстановления — в руководстве Как восстановить файлы из облачной резервной копии.

Часто задаваемые вопросы

Защищает ли Tornova Backup от шифровальщиков?

Tornova — это уровень восстановления, а не щит от программ-вымогателей. Сегодня она не обнаруживает и не блокирует их. Она помогает восстановиться, храня облачные копии выбранных вами файлов, при желании с версиями.

Может ли вирус-шифровальщик зашифровать и мою облачную копию?

Копию, которая отделена от ПК и доступна только через контролируемый доступ, достать труднее, чем локальные файлы, но никто не может обещать, что она недосягаема. Копирование после заражения может сохранить зашифрованные файлы как новую версию, поэтому важны версии и чистый момент во времени.

Платить ли выкуп, если нет хорошей резервной копии?

Решение за вами, но оплата не гарантирует, что вы получите работающие файлы. Прежде чем решать, обратитесь за советом к ИТ-специалисту или в национальный орган по кибербезопасности.

Сколько версий хранить?

Достаточно, чтобы вернуться к моменту до заражения, которое могло остаться незамеченным, с учётом места, которое занимают версии. Tornova позволяет хранить 3, 10 или 50 версий.

Безопасна ли копия на внешнем диске против шифровальщиков?

Только если диск не был подключён, когда работала вредоносная программа. Диск, который всегда подключён, может быть зашифрован вместе с ПК. Держите одну копию отключённой.