Защита резервных копий долго считалась второстепенной задачей. Бэкап делали на случай поломки. Сгорел диск, восстановились из резерва, забыли. Шифровальщики изменили логику. Атакующий знает, что компания с рабочей копией не заплатит выкуп, поэтому сначала ищет и уничтожает копии, а уже потом шифрует серверы. По данным Veeam, 96% атак шифровальщиков нацелены на резервные копии (Veeam, 2024). Значит, вопрос уже не в том, есть ли у вас бэкап, а в том, переживёт ли он атаку.
Почему бэкап в общей сети шифруется вместе со всем
Самая распространённая схема в небольшой компании выглядит так. Сервер по расписанию пишет копии на сетевой диск, на соседний сервер или в облачную папку. Схема удобная и хорошо защищает от поломки оборудования. От атаки она не защищает совсем.
Причина простая. Сервер, который отправляет копии в хранилище, должен иметь туда доступ на запись. Атакующий, получивший права на сервере, получает и этот доступ. Дальше он делает то же, что сделал бы администратор. Удаляет старые копии, отключает задания резервного копирования и шифрует хранилище вместе с остальной сетью.
Мы регулярно видим это при расследованиях. Бэкап формально был, лежал на сетевом диске и был зашифрован одновременно с базами. Если зашифрована бухгалтерия, последствия особенно болезненны, мы разбирали их в статье о том, как восстановить 1С после шифровальщика.
Безопасное резервное копирование. Три признака хорошего бэкапа
Задайте своему ИТ-специалисту три вопроса. Ответы на них скажут о вашей защите больше любого отчёта.
Изоляция. Где лежат копии
Первый вопрос звучит так. Сможет ли атакующий, захвативший рабочий сервер, добраться до копий? Если хранилище подключено к серверу как сетевой диск или доступно по тому же паролю администратора, ответ положительный.
Хорошая копия отделена от рабочей сети. Правильная схема обратная привычной. Не сервер отправляет данные в хранилище, а хранилище само забирает их с сервера. Тогда у рабочего сервера нет доступа к месту, где лежат копии, и взлом сервера не открывает дорогу к ним.
Изоляция защищает не только от хакеров. Осенью 2025 года пожар в государственном дата-центре Южной Кореи уничтожил хранилище с 858 ТБ данных, для которого не было отдельной резервной копии (DCD, 2025). Копия в том же здании и в той же сети защищает от меньшего числа проблем, чем кажется.
Неизменяемость. Можно ли удалить копию
Второй вопрос. Может ли кто-то с правами администратора удалить или перезаписать копию? Атакующие охотятся именно за правами администратора, поэтому этот сценарий нужно считать основным, а не теоретическим.
Неизменяемые резервные копии решают эту проблему. Записанную копию нельзя изменить или удалить в течение заданного срока, даже с самыми высокими правами. Атакующий может зашифровать сервер, но не может уничтожить вчерашнюю копию.
Проверенное восстановление. Получится ли вернуть данные
Третий вопрос. Когда вы в последний раз восстанавливали систему из копии целиком, а не просто видели отчёт о том, что копия создана? Копии годами накапливаются, а в момент инцидента выясняется, что они неполные, что база не поднимается или что никто не знает пароля к архиву.
Проверка восстановления показывает реальный срок возврата к работе. Если на подъём сервера учёта из копии нужно три дня, это стоит знать заранее, а не в день атаки.
Копия есть, восстановления нет
Отчёт о создании копии не доказывает, что из неё можно восстановиться. Доказательство одно, успешное восстановление на тестовом стенде.
Почему безопасная схема со временем деградирует
Даже правильно построенная система резервного копирования портится, если за ней никто не следит. Это происходит незаметно и без злого умысла.
- Задания падают молча. Копирование перестало работать три недели назад, уведомление никто не настроил или его никто не читает.
- Новые системы не попадают в копии. Появился сервер, новая база 1С или облачный сервис, а в план резервного копирования их не добавили.
- Изоляцию нарушают ради удобства. Администратор подключил хранилище к рабочему серверу, чтобы быстрее достать один файл, и забыл отключить.
- Срок хранения выбран неудачно. Если хранить слишком мало версий, при поздно замеченной атаке все копии уже содержат зашифрованные или заражённые данные.
- Пароли расходятся по людям. Доступ к хранилищу знает бывший подрядчик или сотрудник, который давно уволился.
Поэтому безопасный бэкап это не настройка, сделанная один раз, а процесс с постоянным контролем. Кто-то должен ежедневно проверять, что копии создаются, и регулярно тестировать восстановление.
Бэкап от шифровальщика без бюджета
Когда нас спрашивают, с чего начать при ограниченном бюджете, мы отвечаем одинаково. С безопасного резервного копирования критических данных. Это то, что позволяет восстановиться за сутки вместо недель, даже если всё остальное не сработало.
Часть мер не требует денег, только дисциплины.
- Определите критические данные. Обычно это базы 1С, документы в общих папках и почта. Начните с того, без чего компания не может работать больше дня.
- Храните хотя бы одну копию вне сети. Внешний диск, который подключают только на время копирования, а затем отключают и уносят. Два диска по очереди лучше одного.
- Разделите пароли. Учётная запись для хранилища копий не должна совпадать с паролем администратора домена и не должна храниться на рабочих серверах.
- Раз в квартал восстанавливайте одну систему целиком. На отдельный компьютер, с замером времени. Это лучший тест всей схемы.
- Настройте уведомления о неудачных копиях. Письмо или сообщение в мессенджер, которое приходит конкретному человеку.
Эти шаги не сделают копии неизменяемыми, но заметно усложнят атакующему задачу. А если копий нет совсем, разговор быстро переходит к тому, платить ли выкуп хакерам, и это худшая позиция для переговоров.
Защита резервных копий как сервис
Ручная схема работает, пока о ней помнит конкретный человек. Когда он в отпуске, болеет или уволился, контроль заканчивается.
Кибер.Сейф решает задачу изоляции и неизменяемости. Это защищённый узел резервного копирования в контуре компании или агент на уже существующее хранилище. Копии в нём нельзя изменить даже администратору, поэтому атакующий с любыми правами в сети не уничтожит их. Стоимость от 20 000 ₽ в месяц.
Если в компании нет своего ИТ-отдела, облачные копии входят в Кибер.Дозор вместе с защитой серверов и контролем периметра, за 24 900 ₽ в месяц и с финансовой гарантией 1 млн ₽.
Хороший бэкап незаметен в обычные дни. Его ценность видна в один конкретный день, и к этому дню он должен быть изолированным, неизменяемым и проверенным.