# Kopie zapasowe i odtwarzanie (FAQ)

> 25 pytań o temat: Kopie zapasowe i odtwarzanie, prostym językiem: co sprawdzić, co pokazuje NetSenX i czego czujnik nie widzi.

Source page: https://netsenx.com/pl/faq/backups

## Czym jest zasada kopii zapasowych 3-2-1?

To prosta zasada, dzięki której przetrwasz utratę dowolnej jednej rzeczy: trzymaj trzy kopie danych, na dwóch różnych rodzajach nośników, z czego jedną poza siedzibą. Oryginał plus dwie kopie, na przykład jedna na lokalnym urządzeniu do backupu, a druga w osobnej chmurze lub w innej lokalizacji, sprawiają, że pożar, awaria macierzy czy kradzież serwera nie zabierają wszystkiego. Ponieważ napastnicy z ransomware szukają dziś kopii zapasowych i próbują je usunąć, wiele poradników rozszerza zasadę do 3-2-1-1-0: jedna kopia offline lub niezmienialna, której nie da się zmienić ani usunąć nawet z uprawnieniami administratora, i zero błędów przy weryfikacji i testowym odtworzeniu. Dla małej firmy praktyczna wersja to lokalna kopia do szybkiego odtwarzania, niezmienialna kopia w chmurze z osobnymi danymi logowania i regularny, udokumentowany test odtworzenia.

https://netsenx.com/pl/faq/what-is-the-3-2-1-backup-rule

## Czym jest niezmienialna kopia zapasowa?

Niezmienialna kopia zapasowa to kopia, której nie da się zmienić ani usunąć przed upływem ustalonego okresu przechowywania, nawet z konta administratora. Zwykle osiąga się to przez nośniki jednokrotnego zapisu: magazyn obiektowy z blokadą retencji w trybie compliance, utwardzone repozytorium backupu, które odmawia usuwania, albo taśmę fizycznie wyjętą z systemu. Chodzi o ransomware: napastnicy, którzy zdobędą uprawnienia administratora, rutynowo próbują usunąć lub zaszyfrować kopie zapasowe, zanim zaszyfrują systemy produkcyjne, żeby ofiara nie miała innej drogi niż zapłata. Przy niezmienialnej kopii ten krok się nie udaje. Gdy dostawca mówi o niezmienialności, sprawdź trzy rzeczy: czy blokadę można skrócić lub zdjąć z tej samej konsoli, do której mógłby dotrzeć napastnik, jak długo trwa retencja i czy wsparcie dostawcy magazynu może ją obejść. Niezmienialność chroni przed usunięciem, ale nie przed zapisaniem w kopii już zainfekowanych danych, więc trzymaj kilka punktów przywracania.

https://netsenx.com/pl/faq/what-is-an-immutable-backup

## Czym jest kopia zapasowa offline, odizolowana od sieci?

To kopia zapasowa, która nie ma stałego połączenia sieciowego z Twoimi systemami, więc napastnik w sieci nie może do niej dotrzeć. Klasyczne przykłady to taśmy lub dyski wymienne, które się zapisuje, odłącza i przechowuje gdzie indziej, oraz dedykowane sejfy backupowe, które otwierają połączenie tylko w krótkim, kontrolowanym oknie. Niektóre usługi chmurowe nazywają niezmienialną, osobno zarządzaną kopię logiczną izolacją: nie jest fizycznie odłączona, ale jest poza zasięgiem Twoich zwykłych kont administracyjnych. Kopie offline odtwarza się wolniej i wymagają dyscypliny, bo ktoś musi rzeczywiście wymieniać nośniki, sprawdzać, czy zadanie się wykonało, i pilnować, co gdzie jest. Dla większości małych firm realistyczny cel to jedna kopia fizycznie offline albo niezmienialna z osobnymi danymi logowania, regularnie sprawdzana odtworzeniem. Kopia leżąca na stałe w udziale, do którego dociera cała sieć, nie jest offline, niezależnie od tego, jak ją nazwano.

https://netsenx.com/pl/faq/what-is-an-offline-or-air-gapped-backup

## Jak często testować odtwarzanie z kopii zapasowej?

Co najmniej raz na kwartał dla wybranych systemów, po każdej istotnej zmianie w konfiguracji backupu i co najmniej raz w roku jako pełne ćwiczenie odtworzenia krytycznego systemu od zera. Kopia, z której nigdy niczego nie odtworzono, to założenie, a nie kopia zapasowa: zadania raportujące sukces mogą i tak tworzyć pliki niekompletne, zaszyfrowane utraconym kluczem albo bez bazy danych, która była w użyciu. Dobry test wybiera prawdziwe systemy, odtwarza je w odizolowanym środowisku, sprawdza, czy aplikacja faktycznie startuje, a dane są aktualne, i zapisuje, ile to trwało. Ten czas to Twój realistyczny czas odtworzenia, często znacznie dłuższy, niż się wydawało. Zanotuj, co poszło źle, i napraw to przed następnym testem. Zmieniaj testowane systemy tak, by w ciągu roku każdy krytyczny został odtworzony co najmniej raz.

https://netsenx.com/pl/faq/how-often-should-we-test-a-restore

## Czy gangi ransomware najpierw atakują kopie zapasowe?

Bardzo często tak. Zanim zaczną szyfrować, napastnicy szukają serwera kopii zapasowych, konsoli oprogramowania do backupu oraz migawek i kopii w tle, a potem je usuwają, szyfrują lub uszkadzają, żeby ofiara nie mogła się odtworzyć bez płacenia. MITRE ATT&CK opisuje to jako Inhibit System Recovery (T1490), a usuwanie kopii w tle pojawia się w wielu komunikatach CISA o ransomware. Częstymi słabymi punktami są konta administratorów backupu i serwery kopii zapasowych przyłączone do tej samej domeny co cała reszta. Obrona: miej co najmniej jedną kopię niezmienialną lub offline, uruchamiaj system backupu z osobnymi danymi logowania i uwierzytelnianiem wieloskładnikowym, w miarę możliwości trzymaj go poza główną domeną i ogranicz, które maszyny mogą się z nim łączyć. Po stronie sieci sygnałem ostrzegawczym są połączenia z serwerem kopii zapasowych z maszyn, które normalnie nigdy się z nim nie łączą. Mapa sieci NetSenX pokazuje, które hosty docierają do każdego serwera, a nietypowe połączenia wewnętrzne są oznaczane jako możliwy ruch boczny.

https://netsenx.com/pl/faq/do-ransomware-gangs-go-after-backups-first

## Dlaczego kopia zapasowa zmapowana jako dysk sieciowy to ryzyko?

Bo ransomware szyfruje każdy dysk, do którego dociera, a zmapowany dysk wygląda dla niego jak każdy inny folder. Jeśli miejsce docelowe kopii jest na stałe zmapowane na serwerze lub stacji roboczej albo dostępne przez udział z tymi samymi danymi logowania, ransomware na tej maszynie zaszyfruje pliki kopii razem z całą resztą i kopie znikną dokładnie wtedy, gdy będą potrzebne. To samo dotyczy zewnętrznego dysku USB, który stale jest podłączony, i narzędzi synchronizujących, które odwzorowują każdą zmianę, także szyfrowanie, w miejscu kopii. Lepiej: niech oprogramowanie do backupu zapisuje dane z własnego konta usługi, którego nie mają zwykli użytkownicy ani serwery, trzymaj miejsce docelowe poza listą przeglądanych udziałów i dodaj kopię niezmienialną lub offline. Szybka kontrola na dziś: sprawdź, które maszyny mają literę dysku lub udział wskazujący na magazyn kopii, i usuń te, którym nie jest to potrzebne.

https://netsenx.com/pl/faq/why-is-a-backup-mapped-as-a-network-drive-a-risk

## Które komputery powinny móc łączyć się z serwerem kopii zapasowych?

Jak najmniej: sam serwer kopii, systemy, które kopiuje, w oknie wykonywania kopii, oraz stacja robocza administratorów do zarządzania. Zwykłe stacje robocze nie mają powodu otwierać na serwerze kopii udziałów plików, pulpitu zdalnego ani portów zarządzania. Zapisz to jako krótki zestaw reguł i egzekwuj go regułami zapory lub segmentacją sieci, najlepiej umieszczając system backupu w osobnym segmencie. Potem sprawdź, czy rzeczywistość się zgadza. Dane o przepływach sieciowych pokazują, które hosty faktycznie rozmawiają z serwerem kopii, na jakich portach i kiedy; w NetSenX mapa sieci pokazuje to w każdym planie, więc laptop z działu sprzedaży, który zaczyna łączyć się z serwerem kopii, od razu się wyróżnia. Takie połączenie nie zawsze jest atakiem, ale zawsze wymaga wyjaśnienia, bo dotarcie do kopii zapasowych to typowy krok tuż przed szyfrowaniem przez ransomware.

https://netsenx.com/pl/faq/which-computers-should-connect-to-the-backup-server

## Czy kopie zapasowe mogą zostać zainfekowane ransomware?

Tak, na dwa różne sposoby. Same pliki kopii mogą zostać zaszyfrowane lub usunięte, jeśli ransomware albo napastnik dotrze do magazynu kopii, i dlatego liczą się kopie niezmienialne i offline. Mniej oczywiste jest to, że kopie mogą wiernie zawierać obecność napastnika: napastnicy często są w sieci przez dni lub tygodnie, zanim zaszyfrują dane, więc niedawne kopie mogą zawierać ich tylne furtki, zadania zaplanowane, nowe konta administratorów lub złośliwe pliki, gotowe ożyć po odtworzeniu. Dlatego trzymasz kilka punktów przywracania z dłuższego okresu, najpierw odtwarzasz w odizolowanym środowisku, skanujesz odtworzone systemy i sprawdzasz, czy nie ma kont i narzędzi zdalnego dostępu, których być nie powinno. Wiedza o tym, kiedy włamanie naprawdę się zaczęło, z logów i historii sieci, mówi Ci, który punkt przywracania jest prawdopodobnie czysty.

https://netsenx.com/pl/faq/can-backups-be-infected-with-ransomware

## Jak bezpiecznie odtworzyć dane z kopii zapasowej po ataku ransomware?

Nie zaczynaj odtwarzania, dopóki nie wiesz, jak napastnicy weszli, i nie zamknąłeś tej drogi, bo inaczej odtworzysz systemy w sieci, którą wciąż kontrolują. Potem działaj po kolei: najpierw odbuduj lub zweryfikuj czysty serwer kopii i konsolę odtwarzania, z nowymi danymi logowania; zmień hasła wszystkich kont administratorów i kont usług, także tych używanych przez oprogramowanie do backupu; odtwarzaj systemy w odizolowanym segmencie sieci, a nie od razu na produkcji; wybierz punkt przywracania sprzed początku włamania, a nie tylko sprzed szyfrowania; przeskanuj odtworzone systemy i sprawdź, czy nie ma nieoczekiwanych kont, zadań zaplanowanych i narzędzi zdalnego dostępu; podłączaj je krok po kroku, obserwując ich zachowanie w sieci. Zostaw zaszyfrowane oryginały nietknięte, dopóki nie masz pewności, jako dowód i na wypadek, gdyby pojawił się deszyfrator. Z NetSenX odtworzone hosty, które zaczynają regularne połączenia wychodzące lub nietypowe połączenia wewnętrzne, pojawiają się w alertach.

https://netsenx.com/pl/faq/how-to-restore-from-backup-safely-after-ransomware

## W jakiej kolejności odtwarzać systemy po ataku?

Najpierw fundamenty, potem to, czego firma potrzebuje najbardziej, a na końcu resztę. Typowa kolejność: podstawy sieci i bezpieczeństwa, czyli zapora, przełączniki, DNS, DHCP i monitoring, na którym będziesz polegać; tożsamość, czyli kontrolery domeny lub tożsamość w chmurze, odbudowane albo zweryfikowane jako czyste, bo od nich zależy każdy inny system; sama infrastruktura kopii zapasowych; potem aplikacje krytyczne dla biznesu w kolejności ustalonej z góry, na przykład obsługa zamówień, sterowanie produkcją czy płace; na końcu zwykłe udziały plików, stacje robocze i mniej ważne usługi. Każdy krok powinien obejmować weryfikację, zanim zacznie się następny. Kolejność należy do planu odtworzenia, uzgodnionego z kierownictwem przed jakimkolwiek incydentem, razem z czasem odtworzenia dopuszczalnym dla każdego systemu. Bez takiego uzgodnienia pierwsze dni po ataku zamieniają się w spory o to, czyj system jest najważniejszy, a czas płynie.

https://netsenx.com/pl/faq/in-what-order-should-systems-be-restored

## Czym są RPO i RTO?

To dwie liczby, które zamieniają plan kopii zapasowych w decyzję biznesową. Docelowy punkt odtworzenia (RPO) to ilość danych, jaką możesz stracić, mierzona w czasie: przy kopiach wykonywanych co noc RPO wynosi do 24 godzin, czyli może przepaść dzień pracy. Docelowy czas odtworzenia (RTO) to czas, przez jaki system może nie działać, zanim szkody staną się nie do przyjęcia, liczony od incydentu do ponownego uruchomienia systemu. Ustal oba dla każdego systemu z osobami odpowiedzialnymi za dany proces biznesowy, a nie tylko z IT: system księgowy może znieść dwudniową przerwę, ale żadnej utraty danych, a sklep internetowy odwrotnie. Potem sprawdź, czy Twoje kopie i testy odtwarzania rzeczywiście je spełniają. Odtworzenie, które w teście trwa trzy dni, nie spełni RTO wynoszącego cztery godziny, niezależnie od tego, jak dobre jest oprogramowanie do backupu.

https://netsenx.com/pl/faq/what-are-rpo-and-rto

## Czy synchronizacja plików w chmurze, na przykład OneDrive lub Dropbox, to kopia zapasowa?

Sama w sobie nie. Narzędzia do synchronizacji mają utrzymywać wszystkie kopie identyczne, więc gdy pliki zostaną usunięte, nadpisane albo zaszyfrowane przez ransomware na jednym urządzeniu, zmiana trafia w ciągu minut do chmury i na wszystkie inne urządzenia. Większość usług przechowuje historię wersji i kosz, a niektóre pozwalają przywrócić całą bibliotekę do wcześniejszego punktu w czasie, co może uratować sytuację po incydencie. Ta historia ma jednak ograniczony czas przechowywania, kontroluje ją to samo konto, które mógł przejąć napastnik, i nikt jej nie testuje jak kopii zapasowej. Traktuj synchronizację jako wygodę i narzędzie współpracy. Dla ważnych danych dodaj prawdziwą kopię zapasową: osobną kopię, z osobnymi danymi logowania, z wybranym przez siebie okresem przechowywania i z przetestowanym odtwarzaniem. To samo dotyczy serwerów plików synchronizowanych z chmurą.

https://netsenx.com/pl/faq/is-cloud-file-sync-a-backup

## Czy trzeba robić kopie zapasowe danych w Microsoft 365 i innych usługach SaaS?

Zwykle tak. Dostawcy SaaS działają w modelu współdzielonej odpowiedzialności: dbają o dostępność usługi i chronią ją przed awariami własnego sprzętu, ale ochrona Twoich danych przed usunięciem, nieuczciwym pracownikiem, przejętym kontem czy upływem okresu przechowywania to w dużej mierze Twoje zadanie. Sama umowa o świadczenie usług Microsoftu zaleca klientom regularne tworzenie kopii zapasowych ich treści. Wbudowane zabezpieczenia, takie jak foldery elementów usuniętych, kosze i historia wersji, mają ograniczony czas przechowywania i może je opróżnić ktoś z odpowiednim dostępem. Kopia zapasowa skrzynek pocztowych, SharePoint i OneDrive wykonana zewnętrznym narzędziem, albo jej odpowiednik dla Google Workspace, CRM i systemów księgowych, daje niezależną kopię z okresem przechowywania pod Twoją kontrolą. Sprawdź też proces odtwarzania: odtworzenie jednej skrzynki i odtworzenie całego tenanta po ataku to zupełnie różne zadania.

https://netsenx.com/pl/faq/do-we-need-to-back-up-microsoft-365-and-other-saas-data

## Czy system kopii zapasowych powinien mieć osobne konta administratorów?

Tak. Jeśli to samo konto administratora domeny, które zarządza wszystkim innym, może też usuwać kopie zapasowe, to napastnik, który ukradnie to jedno konto, kontroluje zarówno Twoje systemy, jak i drogę powrotu. Daj systemowi kopii własne konta administratorów, które nie należą do głównej domeny ani katalogu, chroń je uwierzytelnianiem wieloskładnikowym, najlepiej odpornym na phishing, i używaj ich tylko z dedykowanej stacji do zarządzania. Konta usług, którymi oprogramowanie do backupu odczytuje dane z serwerów, powinny mieć tylko niezbędne uprawnienia, a ich hasła powinny być długie, unikalne i bezpiecznie przechowywane. Jeśli produkt to obsługuje, wymagaj zatwierdzenia przez drugą osobę przy usuwaniu kopii lub skracaniu retencji, czyli zasady czterech oczu. Przeglądaj, kto ma uprawnienia administratora backupu, co najmniej dwa razy w roku i po każdym odejściu pracownika. Te kroki kosztują niewiele i zamykają jedną z luk najczęściej wykorzystywanych przez napastników z ransomware.

https://netsenx.com/pl/faq/should-backup-admin-accounts-be-separate

## Jak długo przechowywać kopie zapasowe?

Na tyle długo, by móc wrócić do punktu sprzed początku włamania i spełnić wymogi prawne i biznesowe, ale nie dłużej, niż to konieczne w przypadku danych osobowych. Napastnicy często siedzą w sieci tygodniami, zanim zaczną działać, a uszkodzone lub usunięte pliki bywają zauważane dopiero po miesiącach, więc kilka dni retencji rzadko wystarcza. Częsty schemat to kopie dzienne przechowywane przez kilka tygodni, tygodniowe przez kilka miesięcy i miesięczne lub kwartalne przez rok lub dłużej, przy czym co najmniej najnowsza część jest niezmienialna. Przepisy o przechowywaniu, na przykład dokumentów księgowych, wyznaczają minimum dla niektórych danych, a zasada ograniczenia przechowywania z RODO oznacza, że danych osobowych nie trzyma się w nieskończoność tylko dlatego, że są w kopii; opisz, jak obsługujesz żądania usunięcia w odniesieniu do kopii zapasowych. Spisz plan retencji i sprawdź, czy system backupu naprawdę go egzekwuje.

https://netsenx.com/pl/faq/how-long-should-backups-be-kept

## Czy kopie zapasowe powinny być szyfrowane?

Tak, zwłaszcza kopie, które opuszczają siedzibę firmy lub leżą u dostawcy chmury. Skradziona taśma, dysk czy zasobnik w chmurze to inaczej pełna kopia danych firmy, a szyfrowanie zamienia ją dla złodzieja w bezużyteczne bajty; w RODO szyfrowanie jest jednym ze środków bezpieczeństwa wymienionych w art. 32 i może mieć wpływ na to, czy o utraconej kopii trzeba zawiadomić osoby, których dane dotyczą. Najtrudniejszy jest klucz. Jeśli klucz szyfrowania jest zapisany tylko na serwerze kopii, a ten serwer zostanie zniszczony lub zaszyfrowany przez ransomware, Twoje kopie będą nieczytelne także dla Ciebie. Trzymaj klucz lub klucz odzyskiwania w osobnym, udokumentowanym miejscu, które nie zależy od kopiowanych systemów, na przykład w menedżerze haseł z dostępem offline albo w zapieczętowanej kopii w sejfie, i włącz jego pobranie do testów odtwarzania. Szyfrowanie kopii chroni poufność, ale nie zastępuje niezmienialności.

https://netsenx.com/pl/faq/should-backups-be-encrypted

## Jak chronić serwery kopii zapasowych w sieci?

Traktuj je jak najcenniejsze systemy, jakie masz, bo po ataku nimi właśnie są. Umieść system kopii we własnym segmencie sieci i zezwalaj tylko na niezbędne połączenia: ruch kopii z chronionych systemów i dostęp administracyjny z niewielkiej liczby stacji administratorów. Zamknij na serwerze kopii pulpit zdalny i udostępnianie plików, chyba że są absolutnie potrzebne, i nigdy nie używaj go do przeglądania stron ani poczty. Szybko łataj system operacyjny i oprogramowanie do backupu; same produkty do backupu miewały poważne podatności wykorzystywane przez grupy ransomware. Używaj osobnych kont administratorów z MFA, w miarę możliwości trzymaj serwer poza główną domeną i miej co najmniej jedną kopię niezmienialną lub offline. Na koniec obserwuj go: nowe hosty, które się z nim łączą, połączenia o nietypowych porach i duże odczyty z magazynu kopii przez maszyny inne niż serwer kopii to sygnały warte zbadania, a wszystkie widać w ruchu sieciowym.

https://netsenx.com/pl/faq/how-to-protect-backup-servers-on-the-network

## Czym różni się plan kopii zapasowych od planu odtwarzania po awarii?

Plan kopii zapasowych odpowiada na pytania, co jest kopiowane, jak często, gdzie i jak długo przechowywane. Plan odtwarzania po awarii odpowiada na pytanie, jak przywrócić działanie firmy, gdy zepsuje się coś dużego: kto decyduje, które systemy wracają pierwsze, gdzie działają, jeśli pierwotna lokalizacja lub sprzęt przepadły, ile może trwać każdy krok, jak informuje się pracowników i klientów oraz skąd wiadomo, że skończyliśmy. Kopie zapasowe to jeden składnik odtworzenia, a nie cały przepis. Firmy z doskonałymi kopiami i tak tracą tygodnie po ataku ransomware, bo nikt nie znał kolejności odtwarzania, konsola backupu wymagała domeny, która już nie istniała, albo jedyna osoba znająca hasła była na urlopie. Spisz plan odtworzenia, trzymaj jego kopię poza własnymi systemami, także na papierze, i testuj go realistycznym ćwiczeniem co najmniej raz w roku, tak jak testujesz odtwarzanie.

https://netsenx.com/pl/faq/difference-between-a-backup-plan-and-a-disaster-recovery-plan

## Jak robić kopie zapasowe maszyn wirtualnych i hiperwizorów?

Kopiuj maszyny wirtualne narzędziem, które rozumie hiperwizor, żeby szybko odtworzyć całą maszynę, i chroń też samą warstwę hiperwizora. Wiele obecnych rodzin ransomware ma wersje przygotowane do bezpośredniego szyfrowania hostów VMware ESXi, co naraz wyłącza wszystkie działające na nich maszyny wirtualne. W praktyce: trzymaj interfejsy zarządzania hiperwizorem poza ogólną siecią i dostępne tylko ze stacji administratorów; używaj osobnych, chronionych MFA kont do administrowania hiperwizorem i backupem; wyłącz niepotrzebne usługi, takie jak SSH na hostach poza oknami serwisowymi; szybko łataj hiperwizory; i upewnij się, że co najmniej jedna kopia leży poza środowiskiem wirtualnym, które chroni, jako niezmienialna lub offline. Migawki hiperwizora przydają się do szybkiego wycofania zmian, ale nie są kopiami zapasowymi: leżą na tym samym magazynie i znikają razem z nim. Przetestuj odtworzenie pełnej maszyny wirtualnej na innym sprzęcie, bo po ataku pierwotny host może być niedostępny.

https://netsenx.com/pl/faq/how-to-back-up-virtual-machines-and-hypervisors

## Czym jest odtwarzanie w odizolowanym środowisku, tzw. clean room?

To odtwarzanie systemów najpierw w osobnym, odizolowanym środowisku, odciętym od sieci produkcyjnej i internetu, gdzie można je sprawdzić, zanim znów uzna się je za zaufane. Po ataku ransomware rzadko od razu wiadomo, czy kopie zawierają narzędzia lub konta napastnika ani czy napastnik nadal ma dostęp do sieci. W clean roomie buduje się od zera niewielki zestaw sprawdzonej infrastruktury, często z nowymi usługami tożsamości; odtworzone systemy są skanowane, ich konta i zadania zaplanowane przeglądane, a zachowanie obserwowane i dopiero potem przenosi się je na produkcję. Większe firmy przygotowują takie środowisko z wyprzedzeniem, czasem z pomocą dostawcy backupu; mniejsze mogą zaplanować zapasowy serwer albo konto w chmurze trzymane w tym celu. Nie chodzi o perfekcję, tylko o uniknięcie najczęstszego błędu przy odtwarzaniu: odtworzenia systemów prosto w przejętej sieci i ponownego zaszyfrowania.

https://netsenx.com/pl/faq/what-is-isolated-or-clean-room-recovery

## Skąd wiadomo, że kopia zapasowa jest czysta, zanim się ją odtworzy?

Pewności mieć nie można, ale można znacznie zmniejszyć ryzyko. Zacznij od osi czasu: z logów, danych ze stacji końcowych i historii sieci ustal, kiedy włamanie naprawdę się zaczęło, a nie kiedy nastąpiło szyfrowanie, i dla krytycznych systemów wybieraj punkt przywracania sprzed tej daty. Odtwarzaj w odizolowanym środowisku i skanuj wynik aktualnymi narzędziami bezpieczeństwa, także pod kątem wskaźników kompromitacji z Twojego dochodzenia lub z właściwego komunikatu CISA. Szukaj rzeczy, których być nie powinno: nowych kont lokalnych lub domenowych, zadań zaplanowanych, usług i elementów autostartu, narzędzi zdalnego dostępu oraz web shelli na serwerach stron internetowych. Porównaj odtworzoną konfigurację z dokumentacją lub sprawdzoną kopią. Potem obserwuj zachowanie odtworzonego systemu w sieci, zanim mu zaufasz. NetSenX tu pomaga: odtworzony host, który zaczyna regularne połączenia wychodzące albo skanuje inne maszyny, pojawia się w alertach, a kilka spokojnych dni to przydatny, choć nie bezwzględny, sygnał.

https://netsenx.com/pl/faq/how-to-know-a-backup-is-clean-before-restoring

## Kto powinien móc usuwać kopie zapasowe?

Prawie nikt i nikt w pojedynkę. Usunięcie kopii lub skrócenie ich retencji to działanie, które napastnicy najbardziej chcą wykonać przed szyfrowaniem, więc powinno być trudniejsze niż każde zwykłe zadanie administracyjne. Praktyczne zasady: to uprawnienie ma tylko kilku imiennie wskazanych administratorów backupu, korzystających z kont oddzielonych od głównej domeny i chronionych MFA odpornym na phishing; usunięcie lub zmiana retencji wymaga zatwierdzenia przez drugą osobę, jeśli produkt to obsługuje; kopii niezmienialnych nie może usunąć nikt przed wygaśnięciem blokady; każde usunięcie jest zapisywane w miejscu, którego administratorzy backupu nie mogą edytować. Zwykli pracownicy IT mogą uruchamiać i monitorować kopie oraz odtwarzać pliki bez możliwości ich usuwania. Regularnie przeglądaj listę osób z tymi uprawnieniami i od razu usuwaj tych, którzy odchodzą. Jeśli usunięcie jest naprawdę wymagane, na przykład nakazem sądu albo żądaniem usunięcia danych z RODO, udokumentuj decyzję i zatwierdzenie.

https://netsenx.com/pl/faq/who-should-be-allowed-to-delete-backups

## Czy NetSenX robi kopie zapasowe naszych danych?

Nie. NetSenX to usługa wykrywania zagrożeń sieciowych i reagowania na nie (NDR): obserwuje, jak komunikują się urządzenia w Twojej sieci, i ostrzega przed oznakami włamania, takimi jak beaconing, skanowanie, ruch boczny i nietypowe wolumeny danych wychodzących. Nie kopiuje Twoich plików, baz danych, skrzynek pocztowych ani serwerów i nie odtworzy ich po incydencie. NetSenX przechowuje własne dane o Twojej sieci: spis urządzeń, metadane połączeń i historię alertów, z okresem przechowywania zależnym od planu. Ta historia przydaje się przy odtwarzaniu, bo pomaga ustalić, kiedy zaczęło się włamanie i których hostów dotyczyło, a więc który punkt przywracania jest prawdopodobnie czysty. Do samych kopii zapasowych potrzebujesz osobnego rozwiązania, najlepiej z kopią niezmienialną lub offline. NetSenX je uzupełnia, pokazując nietypowy dostęp do serwera kopii i podejrzane zachowanie odtworzonych systemów.

https://netsenx.com/pl/faq/does-netsenx-back-up-our-data

## Czy robić kopie zapasowe konfiguracji zapór, przełączników i routerów?

Tak, a często się o tym zapomina. Urządzenia sieciowe przechowują konfigurację budowaną latami: reguły zapory, ustawienia VPN, sieci VLAN, routing i listy dostępu. Jeśli zapora ulegnie awarii, zostanie wyczyszczona przez napastnika albo trzeba ją wymienić po kompromitacji, odtwarzanie konfiguracji z pamięci trwa dni i zwykle wprowadza błędy. Eksportuj konfigurację automatycznie po każdej zmianie i co najmniej raz w tygodniu, przechowuj kopie poza samymi urządzeniami, najlepiej w systemie kontroli wersji, żeby widzieć, co i kiedy się zmieniło, i trzymaj co najmniej jedną kopię offline. Chroń eksporty, bo zawierają wrażliwe szczegóły, a czasem dane logowania lub klucze. Historia konfiguracji daje też korzyść dla bezpieczeństwa: nieoczekiwana nowa reguła, konto albo przekierowanie portu to klasyczny znak, że ktoś majstrował przy urządzeniu brzegowym. Uwzględnij odtworzenie konfiguracji urządzenia w testach odtwarzania, najlepiej na urządzeniu zapasowym.

https://netsenx.com/pl/faq/should-we-back-up-network-device-configurations

## Czy migawka (snapshot) to kopia zapasowa?

Sama w sobie nie. Migawka na macierzy, maszynie wirtualnej lub w systemie plików zapisuje stan danych w danym momencie, zwykle śledząc zmienione bloki zamiast wykonywać pełną kopię. Jest szybka i bardzo przydatna do wycofania nieudanej aktualizacji czy odzyskania usuniętego pliku. Zwykle jednak leży na tym samym systemie pamięci co dane oryginalne, jest zarządzana z tej samej konsoli tymi samymi danymi logowania i znika, gdy ta pamięć ulegnie awarii albo napastnik ją usunie, a operatorzy ransomware rutynowo próbują to zrobić. Migawka staje się częścią prawdziwej strategii kopii zapasowych, gdy jest replikowana na osobny magazyn, chroniona przed usunięciem i sprawdzana odtworzeniem. Używaj migawek do szybkiego naprawiania codziennych pomyłek, a niezależne kopie, niezmienialne lub offline, trzymaj na dzień, w którym problemem jest sam magazyn.

https://netsenx.com/pl/faq/is-a-snapshot-a-backup

FAQ: https://netsenx.com/pl/faq