Hoe voorkom je dat malware je back-ups infecteert?
Back-ups zijn de laatste verdedigingslinie bij een cyberaanval. Maar wat als die back-ups zelf al besmet zijn? Ransomware-aanvallen richten zich steeds vaker specifiek op back-upomgevingen, omdat aanvallers weten dat een organisatie zonder schone back-up geen keuze heeft. In dit artikel beantwoorden we de meest gestelde vragen over hoe je back-ups beschermt, wat de beste strategieën zijn en hoe je zeker weet dat je na een incident ook echt kunt herstellen.
Hoe infecteert malware eigenlijk een back-up?
Malware infecteert een back-up door zich vanuit het productiesysteem te verspreiden naar de back-upomgeving, voordat de infectie wordt opgemerkt. Dit gebeurt doordat back-upsoftware actieve verbindingen onderhoudt met productiesystemen. Zodra malware die verbinding bereikt, kan het zich meeschrijven in nieuwe back-ups of bestaande back-upbestanden versleutelen of verwijderen.
Ransomware is hierbij bijzonder gevaarlijk. Moderne ransomware-varianten wachten bewust weken of maanden nadat ze een systeem zijn binnengedrongen. In die tijd worden dagelijkse back-ups aangemaakt, die allemaal al besmette bestanden bevatten. Wanneer de aanval uiteindelijk wordt geactiveerd, zijn de meest recente back-ups onbruikbaar. Zelfs oudere back-ups kunnen al besmet zijn.
Malware verspreidt zich naar back-ups via drie veelvoorkomende routes:
- Directe netwerktoegang: Back-upservers die bereikbaar zijn via hetzelfde netwerk als de productieomgeving zijn kwetsbaar zodra een aanvaller lateraal beweegt.
- Gecompromitteerde beheerdersaccounts: Met gestolen beheerdersinloggegevens kunnen aanvallers back-upjobs aanpassen, verwijderen of overschrijven.
- Besmette brondata: Als bestanden al geïnfecteerd zijn op het moment van de back-up, wordt de infectie meegenomen in de kopie.
Waarom zijn traditionele back-ups niet veilig genoeg tegen ransomware?
Traditionele back-ups zijn niet veilig genoeg tegen ransomware omdat ze doorgaans online, overschrijfbaar en bereikbaar zijn vanuit het netwerk. Ransomware kan deze back-ups versleutelen of verwijderen, net zoals reguliere bestanden. Een back-up die via hetzelfde netwerk toegankelijk is als de rest van de omgeving biedt geen echte isolatie.
Klassieke back-upstrategieën zijn ontworpen voor scenario’s zoals hardware-uitval of per ongeluk verwijderde bestanden. Ransomware is een fundamenteel ander type dreiging: het is een gerichte aanval waarbij de aanvaller actief probeert herstel te verhinderen. Traditionele back-ups houden geen rekening met een aanvaller die al weken in het systeem aanwezig is en bewust wacht op het juiste moment.
Daarnaast ontbreekt bij veel traditionele back-upoplossingen een mechanisme om te detecteren of de opgeslagen data al gecompromitteerd is. Er wordt wel een kopie gemaakt, maar niet gecontroleerd of die kopie schoon is. Zonder integriteitscontrole weet een organisatie pas bij herstel dat de back-up onbruikbaar is, en dat is precies het moment waarop elke seconde telt.
Wat is een immutable back-up en hoe werkt het?
Een immutable back-up is een back-up die na aanmaak niet meer gewijzigd, overschreven of verwijderd kan worden, zelfs niet door beheerders of aanvallers met beheerdersrechten. De onveranderlijkheid wordt technisch afgedwongen door het opslagsysteem zelf, voor een vooraf bepaalde periode. Dit maakt immutable back-ups bestand tegen ransomware die back-ups probeert te versleutelen of te wissen.
De technische basis ligt in het WORM-principe: Write Once, Read Many. Zodra een back-up is geschreven naar immutable opslag, blokkeert het systeem elke poging tot aanpassing. Dit geldt ook voor accounts met volledige beheerdersrechten. Sommige oplossingen voegen daar een extra laag aan toe door de back-up fysiek of logisch te isoleren van het productienetwerk, ook wel air-gapping genoemd.
Immutable back-ups zijn niet alleen relevant voor ransomware. Ze bieden ook bescherming tegen menselijke fouten, sabotage door kwaadwillende medewerkers en technische storingen die data kunnen overschrijven. Voor een robuust cyber resilience platform zijn immutable back-ups inmiddels een basisvereiste.
Wat is de 3-2-1-1-0-regel en waarom is die de standaard?
De 3-2-1-1-0-regel is een back-upstrategie die voorschrijft dat je drie kopieën van je data bewaart, op twee verschillende opslagmedia, waarvan één offsite, één offline of immutable, en nul niet-geverifieerde back-ups. Deze aanpak is de de facto standaard omdat het een combinatie van redundantie, isolatie en betrouwbaarheid biedt die traditionele strategieën missen.
De opbouw van de regel is als volgt:
- 3 kopieën van je data, inclusief het origineel.
- 2 verschillende opslagmedia, zoals een lokale server en cloudopslag, zodat één defect niet alles treft.
- 1 kopie offsite, buiten het primaire datacenter of kantoor, beschermt tegen fysieke rampen.
- 1 kopie offline of immutable, volledig geïsoleerd van het netwerk of onveranderlijk opgeslagen, zodat ransomware er niet bij kan.
- 0 niet-geverifieerde back-ups, elke back-up moet getest en bevestigd herstelbaar zijn voordat je erop vertrouwt.
De toevoeging van de extra “1” en de “0” is een directe reactie op de opkomst van ransomware. De klassieke 3-2-1-regel was al een solide basis, maar bood geen garantie op isolatie of integriteit. De uitgebreide versie dwingt organisaties om niet alleen back-ups te maken, maar ook te bewijzen dat die back-ups werken.
Hoe test je of een back-up echt herstelbaar is na een aanval?
Je test of een back-up herstelbaar is door regelmatig een gecontroleerde hersteltest uit te voeren in een geïsoleerde testomgeving. Daarin herstel je daadwerkelijk systemen en data vanuit de back-up en controleer je of applicaties correct opstarten, data volledig is en de hersteltijd binnen de gewenste grenzen valt. Een back-up die nooit is getest, is geen betrouwbare back-up.
Veel organisaties maken back-ups maar testen het herstelproces zelden of nooit. Het gevolg is dat problemen pas zichtbaar worden op het moment dat herstel echt nodig is. Denk aan corrupte back-upbestanden, ontbrekende afhankelijkheden, verkeerde configuraties of hersteltijden die veel langer zijn dan verwacht.
Een effectieve hersteltest omvat minimaal de volgende stappen:
- Herstel in een geïsoleerde omgeving, zodat de productieomgeving niet wordt beïnvloed.
- Verificatie van de integriteit van herstelde bestanden en databases.
- Functionele test van kritieke applicaties na herstel.
- Meting van de daadwerkelijke hersteltijd en vergelijking met de beoogde Recovery Time Objective (RTO).
- Documentatie van de resultaten en eventuele verbeterpunten.
Hoe vaak je test, hangt af van hoe kritiek de systemen zijn. Voor de meest essentiële processen is een kwartaaltest een minimum. Sommige organisaties kiezen voor geautomatiseerde hersteltests die continu draaien, zodat elke back-up automatisch wordt geverifieerd.
Welke maatregelen beschermen back-ups het meest effectief?
De meest effectieve maatregelen om back-ups te beschermen zijn: netwerksegmentatie, immutable opslag, strikte toegangscontrole op back-upsystemen, versleuteling van back-updata en continue monitoring op afwijkend gedrag rondom back-upprocessen. Geen enkele maatregel staat op zichzelf; de combinatie bepaalt de weerbaarheid.
Netwerksegmentatie zorgt ervoor dat back-upinfrastructuur niet direct bereikbaar is vanuit de productieomgeving of het gebruikersnetwerk. Zelfs als een aanvaller toegang krijgt tot een werkplek of server, kan hij de back-upomgeving niet zomaar bereiken. Dit beperkt de schade aanzienlijk bij een succesvolle aanval.
Toegangscontrole op basis van het principe van minimale rechten voorkomt dat gewone beheerdersaccounts back-ups kunnen verwijderen of aanpassen. Aparte, sterk beveiligde accounts voor back-upbeheer, gecombineerd met meerfactorauthenticatie, verhogen de drempel voor aanvallers die via gecompromitteerde accounts willen handelen. Meer informatie over hoe identiteitsbescherming hierbij een rol speelt, vind je op onze pagina over protection and recovery for your identity.
Monitoring is de sluitpost die veel organisaties vergeten. Afwijkingen in back-uppatronen, zoals onverwacht grote hoeveelheden gewijzigde bestanden of mislukte back-upjobs, kunnen vroege signalen zijn van een actieve aanval. Wie die signalen tijdig herkent, kan ingrijpen voordat de back-ups volledig zijn gecompromitteerd.
Hoe OpenSight helpt met het beschermen van je back-ups
Back-ups beschermen is meer dan een technische instelling. Het vraagt om een samenhangende aanpak van isolatie, toegangsbeheer, monitoring en regelmatige verificatie. Precies daar helpen wij organisaties mee.
Via ons Minimum Viable Company-concept helpen wij organisaties om te bepalen welke systemen, applicaties en data absoluut kritiek zijn, en hoe die zo snel mogelijk hersteld kunnen worden na een incident. Dat begint bij een schone, betrouwbare back-upstrategie. Concreet bieden wij onder andere:
- Beoordeling van je huidige back-uparchitectuur op kwetsbaarheden en blinde vlekken.
- Implementatie van immutable back-upoplossingen, waaronder via ons partnerschap met Commvault.
- Inrichting van geïsoleerde herstelomgevingen voor gecontroleerde hersteltests.
- Continue monitoring op afwijkend gedrag rondom back-up- en herstelprocessen.
- Begeleiding bij het opstellen van een herstelplan dat aansluit op jouw Recovery Time Objective.
Wil je weten hoe jouw organisatie er nu voor staat en waar de grootste risico’s zitten? Vraag een risk assessment aan en we brengen het samen in kaart.
Veelgestelde vragen
Hoe lang moet ik back-ups bewaren om zeker te zijn dat ik een schone versie heb?
De bewaartermijn hangt af van hoe lang ransomware gemiddeld onopgemerkt in een systeem aanwezig kan zijn, wat tegenwoordig oplopen tot 200 dagen of meer. Een bewaartermijn van minimaal 90 dagen is een gangbaar uitgangspunt, maar voor kritieke systemen adviseren veel experts 6 tot 12 maanden. Combineer dit altijd met integriteitscontroles, zodat je niet alleen oude back-ups bewaart, maar ook zeker weet welke versies schoon zijn.
Wat is het verschil tussen een offline back-up en een air-gapped back-up?
Een offline back-up is simpelweg een back-up die op een bepaald moment niet verbonden is met het netwerk, bijvoorbeeld een externe harde schijf die na gebruik wordt losgekoppeld. Een air-gapped back-up gaat verder: die is structureel en fysiek of logisch volledig geïsoleerd van elk netwerk, waardoor er geen enkel verbindingspad bestaat dat een aanvaller kan misbruiken. Air-gapping biedt de sterkste isolatie, maar vraagt ook meer beheerinspanning en planning rondom het herstelproces.
Kan cloudopslag dienen als veilige back-uplocatie, of is dat ook kwetsbaar?
Cloudopslag kan zeker een veilige back-uplocatie zijn, mits correct geconfigureerd. De kwetsbaarheid zit niet in de cloud zelf, maar in hoe de toegang is ingericht: als dezelfde gecompromitteerde beheerdersaccounts ook toegang hebben tot de cloudomgeving, biedt de cloud geen echte isolatie. Kies voor cloudproviders die immutable opslag ondersteunen (zoals object lock-functionaliteit), gebruik aparte accounts met minimale rechten en schakel meerfactorauthenticatie in op alle cloudtoegang.
Wat zijn de eerste stappen als we ontdekken dat onze back-ups mogelijk besmet zijn?
Isoleer direct de back-upomgeving van het netwerk om verdere verspreiding te stoppen en schakel je incidentresponsplan in. Probeer vervolgens in samenwerking met een specialist te achterhalen vanaf welk tijdstip de infectie aanwezig was, zodat je kunt bepalen welke back-upversies mogelijk nog schoon zijn. Herstel pas vanuit een back-up nadat de integriteit ervan is geverifieerd en de initiële aanvalsvector is gedicht, anders loop je het risico opnieuw geïnfecteerd te raken.
Hoe weet ik of mijn huidige back-upoplossing immutability echt technisch afdwingt, of alleen belooft?
Vraag je leverancier specifiek naar de technische implementatie: wordt immutability afgedwongen op opslaglaagniveau (zoals WORM-storage of S3 Object Lock), of is het slechts een softwarematige instelling die met de juiste rechten omzeild kan worden? Een echte technische afdwinging betekent dat zelfs de hoogste beheerdersaccounts binnen de retentieperiode geen data kunnen verwijderen of aanpassen. Laat dit bij twijfel onafhankelijk valideren als onderdeel van een back-uparchitectuurbeoordeling.
Wat is het verschil tussen een Recovery Time Objective (RTO) en een Recovery Point Objective (RPO), en waarom zijn beide belangrijk?
De RTO is de maximale tijd die een organisatie kan accepteren voordat systemen na een incident weer operationeel zijn; de RPO is het maximale dataverlies dat acceptabel is, uitgedrukt in tijd (bijvoorbeeld: maximaal 4 uur aan data kwijtraken). Beide doelstellingen bepalen samen hoe je back-upstrategie ingericht moet worden: een lage RTO vraagt om snelle herstelmogelijkheden en geïsoleerde testomgevingen, terwijl een lage RPO vraagt om frequentere back-ups. Zonder vastgestelde RTO en RPO is het onmogelijk om te beoordelen of je huidige back-upoplossing daadwerkelijk volstaat.
Moeten kleine en middelgrote organisaties dezelfde back-upmaatregelen nemen als grote enterprises?
De principes zijn hetzelfde, maar de schaal en complexiteit van de implementatie kunnen verschillen. Ransomware-aanvallers richten zich steeds vaker op het MKB, juist omdat de beveiliging daar vaak minder volwassen is. De basismaatregelen — immutable back-ups, netwerksegmentatie, toegangscontrole en regelmatige hersteltests — zijn voor elke organisatie relevant en tegenwoordig ook voor kleinere budgetten beschikbaar via cloudgebaseerde oplossingen en managed services.
Gerelateerde artikelen
- Hoe verhoudt cyberweerbaarheid zich tot de NIS2-richtlijn in 2026?
- Wat zijn in 2026 de meest voorkomende oorzaken van langdurige uitval?
- Welke rol speelt cloudbeveiliging in een business continuity strategie?
- Wat is business continuity en waarom is het belangrijk?
- Wat is cyber recovery en verschilt het van disaster recovery?
