НОЯБРЬ. Защита backup от ransomware: отдельные credentials, immutable/offline copy, restore test и administrative separation

Наличие backup и возможность восстановиться — разные вещи. Если резервные копии управляются теми же учётными данными, доступны из того же administrative plane и никогда не проверялись на восстановление, ransomware может уничтожить и production, и последнюю надежду на recovery.

 

Проверьте самый неприятный сценарий

Представьте, что учётная запись администратора домена скомпрометирована. Может ли она удалить backup jobs, репозитории, snapshots, hypervisor snapshots и cloud copies? Если да, резервная копия находится в той же зоне риска, что и production.

 

DeadLock: сначала ломают восстановление

В материалах по DeadLock отмечалось отключение защитных, backup- и database-служб и удаление Volume Shadow Copies перед шифрованием. Microsoft в августе 2026 подробно описала DeadLock и его децентрализованную инфраструктуру. Для темы календаря важен не необычный blockchain-C2, а базовый урок: атакующий целенаправленно уменьшает ваши варианты восстановления.

 

Какая изоляция действительно полезна

Отдельные credentials, отдельный административный контур, immutable или offline copy, ограничение delete, задержка удаления, отдельный MFA и сеть, из которой backup infrastructure не управляется обычными production admins. Конкретная комбинация зависит от платформы, но хотя бы одна точка восстановления должна пережить компрометацию основного контура.

 

Проверка пройдена, если

Есть хотя бы одна протестированная точка восстановления, которую нельзя удалить теми же credentials, что управляют production. Команда знает реальное RTO/RPO не из презентации, а из последнего restore test.

 

Restore важнее зелёного статуса job

Успешный backup job доказывает только запись данных. Он не доказывает, что данные читаются, ключи доступны, application-consistent recovery возможен и инфраструктура для восстановления не зависит от уже скомпрометированных компонентов. Поэтому восстановление нужно проверять регулярно.

 

Как это связано с решениями Смарт-Софт

Отказоустойчивая сетевая архитектура и кластеризация уменьшают зависимость от одной точки отказа, но не являются backup и не заменяют recovery strategy. Это разные задачи: availability — про непрерывность работы, recovery — про возможность восстановиться после инцидента. Backup должен иметь независимый контур, недоступный тем же credentials, что управляют production.

 

Что сделать сегодня

• Выбрать один критичный backup.
• Проверить, может ли production admin его удалить.
• Выполнить восстановление хотя бы одного объекта и замерить реальное время.

 

Источники

• Microsoft Threat Intelligence. DeadLock ransomware: Breaking down a Rust-based encryptor with decentralized recovery infrastructure. Более 80 заявленных жертв DeadLock и география, 10.08.2026.
• Cisco Talos reporting on DeadLock activity. Остановка security/backup/database services и удаление Volume Shadow Copies.

 
Последняя техническая проверка: 14.10.2026.