Backup strategi för att minska risken för ransomware?

Jag har en lösning hemma där min huvud-NAS kopplar upp sig via en SSH-tunnel till en sekundär NAS för att göra backup.

Jag tänker att lagring som uppträder som en disk med enhetsbokstav i datorn är ju de lättaste att hitta för viruset, särskilt om de inte har något lösenordsskydd.

Japp. Den sköter sig själv. HuvudNAS'en är en Synology och jag använder Synologys inbyggda backupverktyg och schemaläggare.

Jag kör backup en gång per dag från alla väsentliga maskiner, där filerna lagras i upp till tre versioner bakåt på min filserver.

En gång per vecka tar jag backup på backupen till en av mina två externa diskar, där den senast uppdaterade förvaras på jobbet och den andra i brandskåp hemma.

Så i praktiken har jag backup åtminstone två veckor bakåt.

Ska man vara så säker som möjligt från ransonware tror jag en USB-disk är det bästa skyddet. Är disken inte fysiskt inkopplad kan det inte sprida sig till den eller kryptera den. Men helt säker kan man aldrig bli. Ransonware kan ju t.ex. ligga latent på datorn, så även USB-disken blir infekterad utan att man märker det innan det är för sent.

En NAS är ingen garanti eftersom den finns på samma nätverk som din dator. Har du mappat upp shares från NAS på din dator är det ingen match för något ransonware att kryptera även de nätverksmapparna. Det finns ju även ransonware som är speciellt utvecklad för NAS, t.ex. SynoLocker. Men man kan delvis skydda sig genom att konfigurera rättigheter, så att t.ex. din "vanliga" NAS-användare inte har tillgång till mappar som endast är avsedd som backup.

Såhär ser i alla fall min lösning ut:
-Alla Shares på min QNAP NAS är utdelade med en speciell användare som inte har mer rättigheter än vad som behövs.

-Viktiga mappar backas med QNAP:s RTRR-replikering plus Versioning i 30 dagar, till en annan disk i samma NAS, dit den vanliga användaren inte har någon åtkomst (går även att köra mot en annan NAS över SSH, men jag har bara en än så länge).

-De viktigaste mapparna skickar jag också till Dropbox som i sig har inbyggt stöd för versioning

-Pluggar då och då in en USB disk och kör backup till den

-Själva datorn backar jag med EaseUS ToDo Backup, dels till en annan intern HDD, dels till en mapp på NAS (med en speciell backup-användare som endast har tillgång till just den mappen).

En metod jag funderat en del över är att ha en NAS som hämtar filerna (pull) på de datorerna som ska backas istället för den mer vanliga metoden när klienterna skickar till NASen (push).
Datorerna som behöver backup har alltså inte skrivrättigheter till NASen utan enkom läsrättigheter.

Givetvis ska NASen ha inkrementell backup.

Vad händer om en dator får ransomware? Filerna på den drabbade daton blir låsta men denna dator har inte rättigheter att skriva till NASen så där är filerna safe.
Vad händer om NASen får ransomware då? NASen har inte skrivrättigheter till de andra datorerna heller utan bara läsrättigheter så det är bara backupen på NASen som blir låsta i så fall.

Färdiga NASlösningar med denna funktion har jag inte sett så mycket av däremot så hemsnickrad NAS med nån linuxdist är mig veterligen lösningen. Kanske har utbudet för dessa lösningar på små färdiga system ökat senaste tiden? Upplys mig gärna i så fall ;).

Värt att nämna är att lösningen bygger på att alla filer finns på respektive dator och på NASen. Ska man ha alla filer bara på NASen så ja... då är det väl manuell offlinebacckup som gäller på NASen.

Det var som fanken! Jag trodde crashplan bara var en molntjänst så jag har inte ens försökt kolla närmre där innan. Men det ska göras! Tack tack!

Skickades från m.sweclockers.com

Att tillägga är ju att Crashplan är ju gratis om du istället för att lagra din backup hos företaget bakom gör det i en annan burk hemma, eller mycket bättre, hos bekanta eller släktingar.

Jag fick ransomware på ett system för ett tag sedan (okunniga klickar på alla mail!) men allt fanns oskadat på Crashplan från dagen innan, bara att hämta igen. Kör även separata backups för varje dag senaste veckan, 14e dag, månad, halvår och år, bara att ställa in i klienten.