كثير من الشركات التي تأتي إلينا تظن أن لديها نسخاً احتياطياً. في الواقع لديها مجلد يتزامن مع السحابة أو قرص خارجي متصل بالخادم طوال الوقت. برامج الفدية تشفّر كليهما. النسخ الاحتياطي الذي يعمل هو نسخة لا تستطيع البرمجيات الخبيثة الوصول إليها، وسبق أن تمت الاستعادة منها بنجاح.
قاعدة 3-2-1، بلغة بسيطة
قاعدة 3-2-1 هي أول ما نتحقق منه لدى أي عميل جديد. ويمكن تطبيقها في شركة من أي حجم.
- ثلاث نسخ لكل ما هو مهم. النسخة الأصلية، ونسختان احتياطيتان منفصلتان إضافيتان.
- نوعان من الوسائط على الأقل، مثلاً تخزين محلي وسحابة. قرصان في خزانة الاتصالات نفسها يُعدّان نوعاً واحداً.
- نسخة واحدة خارج المكتب. إذا وقع حريق أو فيضان أو اختراق للشبكة، فلن تكون هذه النسخة موجودة هناك.
نضيف إلى هذه القاعدة بندًا رابعًا: نسخة واحدة لا يمكن حذفها أو تشفيرها، حتى لو حصل المهاجم على كلمة مرور مدير الشبكة.
عمليًا يبدو ذلك هكذا: نسخة احتياطية محلية سريعة تُستعاد منها ملفات فردية في دقائق، ونسخة في السحابة للاستعادة بعد حادث، ونسخة مقفلة لا يمكن المساس بها خلال فترة الاحتفاظ. الثلاث تعمل تلقائيًا، ولا يحتاج أي موظف إلى توصيل قرص بنفسه.
فحص الاستعادة: كيف تعرفون أن النسخ الاحتياطي يعمل
في سنوات عملنا في الميدان رأينا ذلك مرارًا. مهمة النسخ الاحتياطي تعمل والتقرير يصل بالبريد، لكن في اليوم الذي تحتاجون فيه إلى الاستعادة يتبيّن أن المهمة تعمل على مجلد نُقل قبل سنة، أو أن الملف مشفّر بكلمة مرور لا يتذكرها أحد.
النسخة الاحتياطية التي لم تفحصوها ليست تأميناً، بل أمنية.
لا يُعتبر النسخ الاحتياطي سليمًا إلا بعد استخراج ملف منه فعليًا وبعد تشغيل خادم كامل من نسخة. نوثّق الفحص: من فحص، ومتى، وكم استغرق.
التقرير الأخضر في البريد يعني فقط أن المهمة انتهت. رأينا نسخًا احتياطية عملت بنجاح نصف سنة على قاعدة بيانات مفتوحة، والملف الناتج عنها لم يُفتح أصلًا. لدينا، فحص الاستعادة مشمول في الخدمة المستمرة.
ماذا يفعل برنامج الفدية بأقراص الشبكة ومجلدات المزامنة
برنامج الفدية لا يتوقف عند الحاسوب المصاب. بل يمسح الشبكة ويبحث عن كل ما يمكن لهذا المستخدم الكتابة إليه.
- الأقراص المعيَّنة على الشبكة. القرص المشترك على الخادم يُشفَّر كأنه مجلد محلي. فإذا كانت للموظف صلاحية الكتابة، فهي متاحة أيضاً لبرنامج الفدية.
- مجلدات المزامنة. OneDrive أو Dropbox أو Google Drive ترفع الملفات المشفّرة إلى السحابة خلال دقائق. المزامنة ليست نسخاً احتياطياً.
- نسخة احتياطية متصلة دائمًا. القرص الخارجي الذي يبقى موصولًا بالخادم، أو مجلد النسخ الاحتياطي على الشبكة، هو أول ما يحذفه المهاجم.
- النسخ الاحتياطية للنظام. نسخ الظل والنسخ الاحتياطية المحلية تُحذف بأمر واحد، حتى قبل أن يبدأ التشفير أصلاً.
يبحث المهاجمون عن النسخة الاحتياطية ويحذفونها قبل التشفير. لذلك يجب وجود نسخة واحدة على الأقل لا يمكن حذفها أو مفصولة فعلياً عن الشبكة.
RPO وRTO، بلغة الشركات
رقمان يحددان النسخ الاحتياطي لديكم، والإدارة هي التي تحدد كليهما. RPO هو حجم العمل الذي تقبلون خسارته. RTO هو المدة التي يستطيع العمل أن يصمد خلالها.
| نوع البيانات | حجم العمل الذي يمكن خسارته | خلال أي مدة تعودون إلى العمل |
|---|---|---|
| نظام المحاسبة أو ERP | حتى 15 دقيقة | حتى ساعتين |
| صناديق البريد والمستندات | حتى ساعة | حتى أربع ساعات |
| محطة عمل موظف | حتى يوم | حتى يوم عمل واحد |
| الأرشيف والمشاريع المنتهية | حتى 24 ساعة | حتى أسبوع |
الجدول مثال. في مكتب محاسبين خلال موسم التقارير تكون الأرقام أضيق، وفي استوديو تصميم يكون الأرشيف هو الأصل الأغلى. نملؤه معكم قبل اختيار حل النسخ الاحتياطي.
هذا الترتيب يوفّر المال أيضاً. عندما تعرفون أن أرشيف سنوات يمكنه الانتظار أسبوعاً، لا داعي للدفع مقابل استرجاعه الفوري. وعندما تعرفون أن نظام التحصيل لا يحتمل التوقف أكثر من ساعتين، تستثمرون في نسخه الاحتياطي.
ماذا ننسخ احتياطياً غير الملفات
نسخ الملفات احتياطيًا جزء فقط من العمل. هذه هي العناصر التي عادةً لا ينسخها أحد احتياطيًا، ومن دونها تتعثر الاستعادة.
- صناديق البريد وMicrosoft 365. السحابة تحمي من أعطال العتاد. لكنها لا تحمي من الحذف، أو من موظف غادر، أو من حساب مخترق. لذلك تحتاجون نسخاً احتياطياً منفصلاً للبريد والملفات المشتركة وTeams.
- خوادم كاملة. نسخة كاملة لجهاز الخادم، يمكن تشغيلها على عتاد آخر دون إعادة تثبيت كل شيء.
- الإعدادات والتكوين. جدار الحماية، والمبدّل، وطابعات الشبكة، وساعة الحضور، والهاتف. من دون إعداداتها يتوقف الاسترجاع.
- الاشتراكات والنطاقات وصناديق البريد. مَن يملك النطاق، ومَن يدفع الاشتراك، وأين رمز التحقق. في لوحة التحكم لإدارة IT التي نبنيها، تجتمع هذه المعلومات في شاشة واحدة، إلى جانب معدات كل موظف.
- كلمات المرور والتوثيق. نسخة من التوثيق تُحفظ خارج الخادم، لأن التوثيق الموجود فقط على الخادم الذي تم تشفيره لا يكون متاحاً وقت الاستعادة.
عمليات الاستعادة تتعثر عادةً عند تفاصيل تقنية صغيرة: طابعة لا تجد برنامج التشغيل، نظام ينتظر ترخيصاً، واجهة ربط مع البنك تتطلب مصادقة من جديد. الملفات تعود خلال ساعة، والمكتب يعود للعمل بعد يومين. لذلك ننسخ احتياطياً ونوثّق الإعدادات أيضاً.
تمرين استعادة، مرة في السنة
تمرين الاستعادة يستغرق نحو ساعتين في السنة، في وقت يناسبكم. في نهايته تعرفون إن كان بالإمكان الاستعادة من النسخة الاحتياطية.
- نختار مسبقًا ما سنسترجعه: صندوق بريد واحد، مجلد عمل وخادم واحد.
- نُخرج النسخة الاحتياطية المحلية من المعادلة ونسترجع من النسخة البعيدة، كما في الحالة الحقيقية.
- نقيس كم من الوقت مرّ حتى تمكّن الموظفون من العودة إلى العمل على النظام.
- نتحقق من صحة البيانات، ومن أن المستخدمين يسجلون الدخول، ومن أن الطابعات وواجهات الربط تعمل.
- نسجل ما تعطل ونصلحه قبل التمرين التالي.
في كل تمرين تقريباً يتبيّن أمر صغير كان سيوقف استرجاعاً حقيقياً: ترخيص، أو كلمة مرور، أو عنوان شبكة، أو واجهة ربط مع مزوّد. نصلحه قبل أن يقع حادث.
الساعة الأولى، عندما يحدث ذلك
إذا رأيتم ملفات بامتداد غريب أو رسالة فدية على الشاشة، فترتيب الخطوات مهم. هذا ما نقوله لعملائنا عبر الهاتف.
- نفصل المحطات والخوادم المشبوهة عن الشبكة، سواء بالكابل أو لاسلكيًا. لا نطفئها، لأن الإطفاء يفقدنا معلومات تساعد في التشخيص.
- نفصل النسخة الاحتياطية. القرص الخارجي نخرجه، وحساب النسخ الاحتياطي السحابي نجمّده قبل أن تستمر المزامنة.
- نغيّر كلمات مرور مديري النظام من محطة نظيفة، ونتحقق ممن اتصل من الخارج.
- اتصلوا بمن يتولى IT لديكم. لدينا نرد على كل طلب خلال 10 دقائق، والعطل المعطِّل يُعالج خلال 30 دقيقة.
- لا ندفع ولا نتراسل مع المهاجم بمفردنا. نوثّق كل شيء، ونبلّغ هيئة الأمن السيبراني الوطنية الإسرائيلية وشركة التأمين إن كانت لديكم وثيقة تأمين سيبراني.
من هنا تستغرق العملية وقتاً. أولاً نتأكد أن المهاجم لم يعد داخل الشبكة، ثم نبني بيئة نظيفة، وبعدها فقط نعيد البيانات حسب الأولويات التي حددتموها مسبقاً. الاستعادة إلى شبكة لا تزال مصابة تعني البدء بكل شيء من جديد. يمكنكم الاتصال بنا على 050-8271299.
الأسئلة الشائعة
كل ملفاتنا في Microsoft 365، هل نحتاج إلى نسخة احتياطية إضافية؟
نعم. Microsoft مسؤولة عن توفّر الخدمة. لكن الحذف من قبل موظف، أو حساب مخترق، أو برامج فدية تزامن ملفات مشفّرة، كلها تضر بالمعلومات الموجودة في السحابة أيضاً. لذلك نضيف نسخاً احتياطياً خارجياً للبريد والملفات المشتركة وTeams.
ما الفرق بين المزامنة والنسخ الاحتياطي؟
المزامنة تعكس الحالة الحالية على جميع الأجهزة، بما فيها الأخطاء. إذا حُذف ملف أو شُفِّر، تنقل المزامنة ذلك إلى بقية الأجهزة خلال دقائق. النسخ الاحتياطي يحفظ إصدارات سابقة، وبه تعودون إلى النقطة التي تسبق الضرر.
كم مرة يجب إجراء النسخ الاحتياطي؟
يتحدد ذلك حسب مقدار العمل الذي تقبلون خسارته. النظام الذي تعمل عليه الشركة كلها يُنسخ احتياطياً عادةً كل 15 دقيقة إلى ساعة، أما الأرشيف فيمكن نسخه مرة في اليوم. نحدد ذلك معكم لكل نظام على حدة.
دفعنا ثمن نسخ احتياطي قبل عامين، هل يكفي ذلك؟
ليس بالضرورة. يجب التحقق من أن المهام ما زالت تعمل على المجلدات الصحيحة، ومن وجود نسخة لا يمكن حذفها، ومن أن أحداً استرجع منها فعلاً. نجري هذا الفحص في تقييم IT والأمن لمدة 30 دقيقة، بلا تكلفة وبلا التزام.
إذا تعرضنا لهجوم، كم يستغرق العودة إلى العمل؟
يعتمد على ما تم تجهيزه مسبقاً. الشركة التي لديها نسخ كاملة للأجهزة ونسخة مفصولة تعود للعمل عادةً خلال يوم أو يومين. الشركة التي تعتمد على نسخة احتياطية حُذفت مع الخادم قد تخسر أسابيع، وأحياناً معلومات لا تعود.
المزيد حول الموضوع: خدمات تكنولوجيا المعلومات المُدارة وأمن المعلومات · لوحة تحكم إدارة تكنولوجيا المعلومات · خوادم وتخزين بأسعار المستورد · طلب فني