วิธีป้องกัน Backup ถูก Ransomware บน Windows Server 2022

 Ransomware คือภัยคุกคามที่อันตรายที่สุดอย่างหนึ่งสำหรับองค์กรในปัจจุบัน เพราะไม่ได้โจมตีเฉพาะข้อมูลหลักเท่านั้น แต่ยังพยายามค้นหาและเข้ารหัสไฟล์ Backup เพื่อป้องกันไม่ให้องค์กรสามารถกู้คืนระบบได้

หลายองค์กรมีระบบ Backup ที่ดี แต่กลับไม่สามารถกู้คืนข้อมูลได้เมื่อถูกโจมตี เนื่องจาก Backup ถูกเข้ารหัสหรือถูกลบไปพร้อมกับข้อมูลจริง ดังนั้นการป้องกัน Backup จึงเป็นส่วนสำคัญของกลยุทธ์ Cyber Security และ Disaster Recovery บน Windows Server 2022

บทความนี้จะอธิบายแนวทางป้องกัน Backup จาก Ransomware อย่างถูกต้อง พร้อมแนวทางที่องค์กรระดับ Enterprise ใช้งานจริง

Ransomware โจมตี Backup ได้อย่างไร

Malware สมัยใหม่สามารถ

✅ ค้นหา Shared Folder

✅ ค้นหา NAS

✅ ค้นหา Backup Server

✅ ลบ Shadow Copies

✅ ลบ Backup Files

✅ เข้ารหัสข้อมูลสำรอง

หากไม่มีการป้องกันที่ดี

ทั้ง Production และ Backup อาจสูญหายพร้อมกัน

เป้าหมายของการป้องกัน Backup

ควรทำให้ Backup

✅ ถูกลบไม่ได้

✅ ถูกแก้ไขไม่ได้

✅ ถูกเข้ารหัสไม่ได้

✅ ถูกเข้าถึงได้เฉพาะผู้ดูแลระบบ

ใช้กฎ 3-2-1 Backup Rule

แนวทางแรกที่สำคัญที่สุด

คือ

3-2-1 Backup Rule

ตัวอย่าง

Production Server
NAS Backup
Cloud Backup

ช่วยลดความเสี่ยงจากการสูญหายข้อมูล

เพิ่มเป็น 3-2-1-1-0

หลายองค์กรใช้

3-2-1-1-0

ความหมาย

3 Copies
2 Media Types
1 Offsite Backup
1 Immutable Backup
0 Errors

Immutable Backup คืออะไร

Immutable Backup

คือ Backup ที่ไม่สามารถ

• ลบ

• แก้ไข

• เข้ารหัส

ได้ภายในช่วงเวลาที่กำหนด

แม้ผู้ดูแลระบบจะ Login เข้ามา

ตัวอย่าง Immutable Storage

Azure Immutable Blob

AWS S3 Object Lock

Wasabi Immutable Bucket

Synology Immutable Snapshot

แยก Backup ออกจาก Production

ไม่ควรเก็บ Backup ไว้บน Server เดียวกัน

ตัวอย่างที่ไม่ควรทำ

C:\Backup

หาก Server ติด Ransomware

Backup จะเสียหายพร้อมกัน

แนวทางที่ถูกต้อง

Production Server
↓
NAS
↓
Cloud Backup

จำกัดสิทธิ์การเข้าถึง Backup

ใช้ Principle of Least Privilege

กำหนดสิทธิ์เฉพาะผู้ที่จำเป็น

ตัวอย่าง

❌ Everyone Full Control

✅ Backup Admin Only

ตรวจสอบสิทธิ์ผ่าน PowerShell

Get-Acl D:\Backup

แยกบัญชี Backup ออกจาก Domain Admin

ไม่ควรใช้

Administrator

หรือ

Domain Admin

สำหรับงาน Backup

ควรสร้างบัญชีเฉพาะ

ตัวอย่าง

BackupService

ปิด SMB Access ที่ไม่จำเป็น

ตรวจสอบ Shared Folder

Get-SmbShare

ลบ Share ที่ไม่จำเป็น

ลดพื้นที่โจมตี

เปิด Multi-Factor Authentication

สำหรับ

• Cloud Backup

• NAS Management

• Backup Portal

ควรเปิด MFA เสมอ

ใช้ Snapshot

NAS รุ่นใหม่รองรับ Snapshot

เช่น

• Synology

• QNAP

• TrueNAS

ช่วยย้อนข้อมูลกลับไปก่อนติด Ransomware

ตัวอย่าง Snapshot Schedule

ทุก 1 ชั่วโมง
เก็บ 24 ชั่วโมง

ป้องกัน Shadow Copy ถูกลบ

Ransomware มักใช้คำสั่ง

vssadmin delete shadows

เพื่อลบ Shadow Copies

ควรจำกัดสิทธิ์ Administrator

และเฝ้าระวัง Event Logs

ตรวจสอบ Event Logs

เปิด

eventvwr.msc

ตรวจสอบ

• Security

• System

• Backup

ตรวจสอบ Backup Activity

ดูสถานะ

Get-WBSummary

ตรวจสอบ Backup Versions

wbadmin get versions

ทำ Offline Backup

แนวทางที่ปลอดภัยมาก

คือ

Backup ลง External HDD

แล้วถอดออกจากระบบ

ตัวอย่าง

Backup → Disconnect HDD

Ransomware จะไม่สามารถเข้าถึงได้

ใช้ Network Segmentation

แยก

• Production Network

• Backup Network

ออกจากกัน

ช่วยลดการแพร่กระจายของ Malware

ทดสอบ Restore เป็นประจำ

Backup ที่ไม่สามารถ Restore ได้

ถือว่าไม่มี Backup

ควรทดสอบอย่างน้อย

เดือนละ 1 ครั้ง

ตรวจสอบช่องโหว่ของ Backup Server

อัปเดต

• Windows Server 2022

• Backup Software

• NAS Firmware

อย่างสม่ำเสมอ

ใช้ Monitoring System

เช่น

• PRTG

• Zabbix

• ManageEngine

• SolarWinds

เพื่อแจ้งเตือน

• Backup Failed

• Unauthorized Access

• Storage Full

วิธีรับมือเมื่อ Backup ถูกโจมตี

① แยกเครื่องออกจาก Network

② หยุดการแพร่กระจาย

③ ตรวจสอบ Immutable Backup

④ ตรวจสอบ Cloud Backup

⑤ Restore จาก Backup ที่ปลอดภัย

ข้อผิดพลาดที่พบบ่อย

Backup อยู่ใน Server เดียวกับข้อมูลจริง

ไม่มี Immutable Backup

ใช้ Domain Admin กับ Backup

ไม่มี Offsite Backup

ไม่เคยทดสอบ Restore

แนวทางสำหรับองค์กร

Small Business

• External HDD

• Cloud Backup

Medium Business

• NAS Snapshot

• Cloud Backup

Enterprise

• Immutable Storage

• DR Site

• Zero Trust Architecture

Backup Security Checklist

✅ ใช้ 3-2-1 Backup Rule

✅ มี Immutable Backup

✅ มี Offsite Backup

✅ เปิด MFA

✅ ใช้ Snapshot

✅ ทดสอบ Restore ทุกเดือน

✅ แยก Backup Network

Best Practices

✅ ใช้ 3-2-1-1-0 Strategy

✅ จำกัดสิทธิ์ Backup

✅ แยกบัญชี Backup

✅ เปิด MFA ทุกระบบ

✅ ใช้ Immutable Storage

✅ มี Offline Backup

✅ ทดสอบ Recovery เป็นประจำ

ทีมงาน comsiam แนะนำให้ผู้ดูแลระบบ Windows Server 2022 มอง Backup เป็นทรัพย์สินสำคัญที่สุดขององค์กร เพราะเมื่อเกิด Ransomware สิ่งที่จะช่วยให้ธุรกิจกลับมาดำเนินงานได้ไม่ใช่ Antivirus หรือ Firewall แต่คือ Backup ที่ยังปลอดภัยและสามารถ Restore ได้จริง

ในสภาพแวดล้อมจริง องค์กรจำนวนมากสูญเสียข้อมูลทั้งหมดเพราะ Backup ถูกโจมตีไปพร้อมกับระบบหลัก ดังนั้นการป้องกัน Backup จึงเป็นหนึ่งในมาตรการที่ทีมงาน comsiam ให้ความสำคัญสูงสุดในการออกแบบระบบ Backup และ Disaster Recovery ระดับองค์กร