如何保护数据备份服务器远离勒索软件攻击

一直以来，对重要数据进行备份被认为是有效应对勒索软件攻击的最后一道防线，但大量真实事件表明，在不断变化的勒索攻击面前，数据备份也绝非“万灵丹”！一方面，“双重勒索”、“三重勒索”等新攻击模式不断涌现，让传统数据备份的作用不断降低；另一方面，由于备份系统普遍缺乏完善的安全保护机制，很多攻击者也把攻击目标从服务器系统转向了数据备份系统。

因此，企业需要更加积极地保护现有的数据备份系统，以避免其成为安全体系中最薄弱的环节。以下9个建议可以帮助组织更好地提升备份服务器的安全性。

严格的补丁策略

严格的补丁管理对保护备份服务器安全性非常关键。在许多情况下，当供应商发布补丁时，网络犯罪分子其实早已了解该漏洞并已利用其开展攻击。为了尽可能的减少损失，企业应该确保备份服务器的操作系统始终处于最新版本更新状态。此外，也可以订阅备份软件提供的自动更新服务，以便及时利用其中包含的安全保护新机制。

禁用入站端口

备份服务器受到的攻击方式主要有两种：利用漏洞或使用受损的凭据登录。因此，除必要的入站端口外，企业应该禁用所有入站端口来同时阻止这两种攻击方式。组织应该确保只允许备份软件执行备份和恢复所需的端口保持开放，并且只能通过备份服务器专用的VPN访问这些端口，即使是网络内部的用户也应该使用VPN来实现访问。

限制出站DNS请求

研究人员发现，勒索软件感染备份服务器后做的第一件事，就是请求连接它的命令和控制（C&C）服务器。如果它不这样做，就不能接收到下一步该做什么的指令。组织可以考虑使用本地主机文件或不支持外部查询的受限DNS系统。这可能看起来有些难以理解，但这是一种阻止勒索软件感染系统的有效方法。

禁止备份服务器与LDAP连接

备份服务器不应连接到轻型目标访问协议（LDAP）或任何其他集中式认证系统。勒索软件通常利用这些信息获取备份服务器本身或其备份应用程序的用户名和密码。安全专家认为，企业不应该将管理员账户存放在LDAP中，而是应该配置一个单独的密码管理系统，以确保只允许在需要访问权限的人之间共享密码。

启用多因素身份验证

多因素身份验证（MFA）可以提高备份服务器的安全性，但不建议使用SMS或电子邮件认证的方式，因为这两者都是经常被攻击的目标。企业可以考虑第三方身份验证应用程序，如谷歌Authenticator、Authy或其他一些商业性验证服务产品。

限制root和管理员账户

数据备份服务器系统应该严格限制管理员账户的授权和使用。例如，如果在Windows上将一个用户账户设置为管理员账户，那么该用户不应该登录它来管理备份系统。该账户只能用于更新操作系统或添加存储等任务，这些任务不需要经常访问，而且第三方应用程序可能会对过度使用特权账户进行严格监控。

使用SaaS备份模式 

使用软件即服务（SaaS），将备份服务器放置到企业网络环境之外的地方。这意味着，企业不需要不断更新备份服务器，也不需要使用防火墙将其与网络的其他部分分隔开来。同时，企业也不需要在为备份系统的特权账户维护配置单独的密码管理系统。

使用最小特权原则

确保需要访问备份系统的人员只拥有完成授权任务所需的特权。例如，删除备份、缩短保留期和执行存储的能力应该限制在一小部分人，并且应该对这些行为进行大量的日志记录和监控。如果攻击者获得了对备份系统的过多访问权限，他们就有可能将所有数据传输到未加密的位置，并进行窃取或其他破坏活动。

创建一个单独的root账户

创建一个相当于root级别的单独账户，并且只管理需要的时候才访问它，这样可以有效限制因其泄露而造成损害的可能性。考虑到这种特权账户可能对备份系统和敏感数据造成的损害，这样做是非常有必要的。