Шифровальщик изменил требования к резервным копиям сильнее, чем любые аппаратные сбои. Раньше копия защищала о

Шифровальщик изменил требования к резервным копиям сильнее, чем любые аппаратные сбои. Раньше копия защищала от поломки, теперь она должна пережить злоумышленника, который получил те же права, что и администратор, и первым делом идёт удалять архивы.
Отсюда правило: хотя бы одна копия должна быть недоступна для изменения из рабочей среды. Варианты разные — хранилище с защитой от перезаписи, доступ только на добавление, отдельный аккаунт с собственными ключами, физически отключаемый носитель. Общий смысл в том, чтобы учётные данные с боевого сервера не давали права стереть архив.
Второе правило — глубина хранения. Если заражение обнаружено через неделю, а копии хранятся три дня, то все они уже содержат проблему. Длинная история важнее, чем кажется.
И третье: сам процесс восстановления не должен зависеть от инфраструктуры, которая может лежать. Пароли и инструкции, доступные только через сервис, который сейчас недоступен, превращают восстановление в тупик 📉