Ransomware-Erkennung

Wenn Ransomware einen Dateiserver verschlüsselt, sieht die nächste Sicherung Tausende Dateien auf einmal sich ändern, Dateien, die in .locked umbenannt wurden, Lösegeldforderungen in jedem Ordner und Dateiinhalte, die plötzlich wie Zufallsbytes aussehen. Seit 0.4.0 beurteilt Restow jeden neuen Sicherungsstand anhand dieser Spuren, markiert die verdächtigen, meldet einmal je Angriff, verweist jede Wiederherstellungsansicht auf den neuesten Sicherungsstand ohne Befund und hält die Aufbewahrung des Objekts an, bis eine Administration den Befund klärt, damit die unauffälligen alten Sicherungsstände nicht weggeräumt werden, während verschlüsselte sich häufen.

Was sie beurteilt, und wann

Jeden neuen Sicherungsstand von Rechnern (Servern und Clients), Freigaben, Proxmox-VE-Containern und -VMs, Postfächern, OneDrives, SharePoint-Websites, Microsoft-365-Gruppen und IMAP-Konten.
Alle zwei Minuten beurteilt ein Worker jede abgeschlossene Sicherung der letzten 72 Stunden, die noch kein Urteil hat, die älteste zuerst. Läufe, die älter als 72 Stunden sind, werden später nicht mehr beurteilt, sodass ein Ausfall oder ein Update Sie nicht überflutet; die Beurteilung protokolliert solche Sicherungsstände als unbeurteilt.
Aus Daten, die die Sicherung ohnehin hat: den Statistiken des Laufs, der Liste dessen, was sich gegenüber dem vorigen Sicherungsstand geändert hat, Dateinamen und Endungen und einigen kleinen Stichproben (die ersten und letzten 64 KiB von bis zu 8 neuen oder geänderten Dateien). Sie liest die gesicherten Daten nicht ein zweites Mal, blockiert nie eine Sicherung und sucht nicht nach Schadsoftware.
Jedes Objekt wird mit sich selbst verglichen. Die Vergleichsbasis sind die letzten 14 Sicherungsstände des Objekts, die als unauffällig zählen (ohne Befund beurteilt, als Fehlalarm bezeichnet oder vor der Erkennung entstanden). Ein verdächtiger, den niemand als Fehlalarm bezeichnet hat, bleibt draußen, sodass ein Angriff über mehrere Sicherungen die Vergleichsbasis nicht lehrt, Verschlüsselung sei normal. Ein Objekt, das vor dem Update gesichert wurde, wird ab dem ersten Durchlauf beurteilt, weil die Vergleichsbasis aus dem Laufverlauf gelesen wird. Eine neue Sicherungskette beginnt eine neue Vergleichsbasis (seit 0.4.6): Fehlte das Repository eines Containers oder wurde es zurückgesetzt (Neue Sicherungskette und Repository zurücksetzen), fügt seine erste Sicherung im leeren Repository jede Datei als neu hinzu, was für die Zahlen der alten Kette wie ein Angriff aussieht. Vor 0.4.6 wurde diese erste Sicherung an der alten Kette gemessen und als verdächtig markiert; jetzt beginnt die Vergleichsbasis mit der neuesten Kette, und diese Sicherung heißt Erste Sicherung, nicht Inkrementell.

Die Signale

Ein Sicherungsstand ist verdächtig, wenn mindestens ein Signal auslöst. Jeder Befund trägt die Zahlen, die ihn ausgelöst haben (den gemessenen Wert, den überschrittenen Schwellenwert, den üblichen Wert des Objekts), sodass Sie sehen, wie weit daneben er liegt. Die Standardwerte unten sind so gewählt, dass gewöhnliche Tage gewöhnlicher Objekte ruhig bleiben: Ein Dateiserver, auf dem sich jede Nacht ein Viertel der Dateien ändert, hat eine hohe übliche Änderungsmenge, und nur ein Sprung weit darüber löst aus.

Signal	Löst aus, wenn (Standardwerte)
Menge der Änderungen	Neue und geänderte Dateien (oder Elemente) oder hinzugekommene Bytes liegen mehr als 8 mittlere absolute Abweichungen über dem Median des Objekts, sind mindestens das 5-Fache des Medians und erreichen 500 Dateien oder 1 GiB
Löschungen	Mindestens 1.000 Dateien gelöscht und mindestens 25 % der Dateien, die der vorige Sicherungsstand hatte
Umbenannte Endungen	Mindestens 100 Dateien mit angehängter oder ersetzter Endung umbenannt (`a.docx` zu `a.docx.locked`), mindestens 2 % der Dateien
Bekannte Namen	Mindestens 20 neue oder geänderte Dateien tragen eine bekannte Ransomware-Endung, oder mindestens 2 neue Dateien heißen wie eine Lösegeldforderung
Verschlüsselt wirkende Dateien (Entropie)	Von den geprüften neuen oder geänderten Dateien, die kein komprimiertes Format haben, wirken mindestens 3 und mindestens die Hälfte verschlüsselt (7,9 Bit pro Byte oder mehr)
Komprimierung und Deduplizierung	Der Lauf hat mindestens 256 MiB neue Daten hinzugefügt, und die neuen Daten lassen sich kaum komprimieren (gespeicherter Anteil 0,95 oder mehr) oder kaum deduplizieren (neuer Anteil 0,8 oder mehr), deutlich über dem üblichen Wert des Objekts

Einzelheiten:

Die Menge der Änderungen sagt Lernt noch, bis das Objekt mindestens 5 unauffällige Sicherungsstände hat. Die Schranke ist der größere Wert aus Median plus 8 Streuungen, dem 5-Fachen des Medians und der Untergrenze. Median und Streuung sind robust: Ein großer Monatsjob im Verlauf verschiebt sie nicht so, wie es ein Mittelwert täte.
Bekannte Namen nutzen versionierte Listen, auf dem Server abgeglichen, sodass eine Listenaktualisierung kein Agent-Update braucht. Die Endungsliste enthält etwa 100 Endungen bekannter Familien und lässt Endungen aus, die gewöhnliche Software nutzt (zum Beispiel .enc). Eine Lösegeldforderung ist ein fester Name oder eine Text- oder Webseite, deren Name ein Aktionswort (decrypt, restore) mit einem Gegenstandswort (readme, files) verbindet. Forderungen werden in jeden Ordner gelegt, sodass der Standardwert von zwei Kopien Ihre eigene how_to_restore.txt nicht auslösen lässt. Ein Name, der in den Listen fehlt, macht nie etwas unbedenklich.
Entropie: Verschlüsselte Daten sehen aus wie Zufallsbytes. Der Agent oder Runner misst die ersten und die letzten 64 KiB einer Handvoll neuer oder geänderter Dateien und sonst nichts von ihnen. Komprimierte oder verschlüsselte Formate (ZIP und Office-Dateien, JPEG, PNG, Video, PDF, Datenträgerabbilder, KeePass) werden nie beurteilt, weil ihre Entropie nichts aussagt.
Komprimierung und Deduplizierung: Verschlüsselte Daten lassen sich weder komprimieren noch deduplizieren. Beide Verhältnisse der neuen Daten werden an der eigenen Vorgeschichte des Objekts gemessen, sodass ein Objekt, dessen neue Daten immer unkomprimierbar sind (Mediendateien, eine VM mit BitLocker oder LUKS darin), bei diesem Signal nie auslöst. Seine Menge der Änderungen wird weiterhin beurteilt. Restows eigener Chunk-Store komprimiert nicht; bei Postfächern, OneDrives, SharePoint-Websites, IMAP-Konten und VM-Disks schätzt der Chunk-Schreiber deshalb, wie gut sich die neuen Daten komprimieren ließen, indem er die ersten 16 KiB jedes neuen Chunks deflatet.

Welche Objekte welche Signale haben

Objekt	Menge der Änderungen	Löschungen, Umbenennungen, Namen, Entropie	Komprimierung und Deduplizierung
Rechner (Server, Client)	Ja	Braucht den Agenten 0.4.0 oder neuer	Braucht für die Komprimierung den Agenten 0.4.0 oder neuer
Freigabe	Ja	Braucht den Runner 0.4.0 (kommt mit dem Server)	Ja
Proxmox-VE-Container	Hinzugekommene Bytes; Dateien von Knoten mit restow-pve 0.4.0	Nicht verfügbar	Braucht restow-pve 0.4.0 oder neuer
Proxmox-VE-VM	Hochgeladene Bytes (geänderte Blöcke)	Nicht verfügbar	Ja, auf dem Server beurteilt
OneDrive	Elemente und Bytes	Ja	Ja
SharePoint-Website	Elemente und Bytes	Nicht verfügbar	Ja
Postfach, IMAP-Konto	Elemente und Bytes	Nicht verfügbar	Ja
Microsoft-365-Gruppe (seit 0.4.5)	Elemente und Bytes	Nicht verfügbar	Ja

Ein Signal ohne Daten sagt Nicht verfügbar, nie „unauffällig“. Das gilt für einen älteren Agenten, der keinen Aktivitätsbericht sendet, für eine erste Sicherung (es gibt nichts zum Vergleichen), für einen vorigen Sicherungsstand, den die Aufbewahrung entfernt hat, und für Arten von Objekten, die solche Daten nicht haben. Der Dialog mit den Gründen eines Sicherungsstands listet jedes Signal mit seinem Zustand: Befund, kein Befund, lernt noch, nicht verfügbar oder ausgeschaltet.

Wo Sie es sehen

Kennzeichen Verdächtig (rot) am Sicherungsstand und am Objekt in jeder Wiederherstellungsansicht: den Seiten der Rechner und Freigaben, der Gastseite einer VM oder eines Containers, der Datei-Wiederherstellung, dem Explorer von Postfächern, OneDrives und SharePoint-Websites. Ein Sicherungsstand ohne Befund bekommt kein Kennzeichen, weil kein Befund kein Beweis ist.
Der neueste Sicherungsstand ohne Befund. Ist der neueste Sicherungsstand verdächtig, sagen die Wiederherstellungsansichten, seit wann Sicherungsstände Anzeichen von Ransomware zeigen, und bieten Letzten unauffälligen Sicherungsstand wählen an. Ein Sicherungsstand, der vor der Erkennung entstand, zählt als ohne Befund.
Was ein Klick zeigt. Das Kennzeichen öffnet die Gründe (Gründe anzeigen): jeden Befund mit seinen Zahlen, den Zustand jedes Signals und was die Erkennung nicht sehen kann.

Einen Fehlalarm markieren

Ein geplanter Umzug der Projektordner sieht für die Zahlen wie ein Angriff aus. Als Fehlalarm markieren, mit einer optionalen Notiz, sagt Restow, dass der Sicherungsstand in Ordnung ist: Er zählt als unauffällig, seine Zahlen gehen in die Vergleichsbasis ein (sodass dieselbe Menge an Änderungen nicht mehr auslöst) und die Episode endet. Der nächste Befund wird wieder gemeldet. Fehlalarm zurücknehmen nimmt es zurück.

Provider-Techniker und höher sowie Mandanten-Administrationen können markieren und zurücknehmen. Beides wird im Audit-Log festgehalten (suspicion.false_alarm, suspicion.false_alarm_revoked).

Ein Sicherungsstand, der vor dem Update auf 0.4.6 markiert wurde, bleibt markiert. Stammt die Markierung von der ersten Sicherung der neuen Sicherungskette eines Containers, markieren Sie ihn als Fehlalarm; solange der Aufbewahrungs-Halt an ist, wartet die Aufbewahrung des Containers, bis Sie es tun.

Die Aufbewahrung anhalten

Der eigentliche Schaden ist nicht der verschlüsselte Sicherungsstand. Es ist die Aufbewahrung, die die unauffälligen alten wegräumt, während verschlüsselte sich häufen: Nach einer Woche täglicher verschlüsselter Sicherungen und sieben behaltenen Tagesständen ist nichts Unauffälliges mehr übrig. Solange ein Objekt einen verdächtigen Sicherungsstand hat, den niemand geklärt hat, löschen Aufbewahrung, restic forget und Prune daher keinen Sicherungsstand dieses Objekts, und damit nichts, worauf er verweist. Das Objekt zeigt Aufbewahrung angehalten und ein Banner „Aufbewahrung angehalten: verdächtiger Sicherungsstand seit …“.

Was weiterläuft. Sicherungen des Objekts laufen weiter, sein Speicher wächst also, und Speicherkontingente und ihre Warnungen gelten weiterhin: Eine Sicherung, die ein aufgebrauchtes Kontingent ablehnt, schlägt wie üblich fehl. Die Aufbewahrung anderer Objekte läuft weiter; der gemeinsame Chunk-Store sammelt nur Chunks ein, auf die nichts mehr verweist, sodass ein angehaltener Sicherungsstand jeden Chunk behält, den er braucht.
Wann sie anhält. Ein Sicherungsstand hält die Aufbewahrung an, solange er als verdächtig beurteilt ist, nicht als Fehlalarm bezeichnet wurde und die Anhaltung nicht freigegeben wurde. Bei eingeschalteter Erkennung hält auch eine Sicherung des Objekts aus den letzten sechs Stunden, die noch nicht beurteilt ist: Eine Sicherung, die der Durchlauf nicht beurteilen kann, hält die Aufbewahrung höchstens sechs Stunden an, nicht Tage.
Wann sie endet. Nur eine Administration beendet die Anhaltung, nie ein späterer unauffälliger Sicherungsstand: Ransomware, die beseitigt wurde, hinterlässt trotzdem ihre verschlüsselten Sicherungsstände, und ein Angreifer, der für einen Tag aufhört zu verschlüsseln, darf das Löschen nicht wieder anstoßen. Zwei Wege:
- Als Fehlalarm markieren: Jeder Befund, der sie hält, zählt als unauffällig.
- Aufbewahrung freigeben: Die Befunde bleiben markiert, die Aufbewahrung läuft mit ihrem nächsten Lauf weiter und löscht, was ihre Regeln nicht mehr behalten, verdächtige Sicherungsstände eingeschlossen. Geben Sie die Aufbewahrung erst frei, wenn das System sauber ist. Das ist Administrationen vorbehalten (Provider-Administrationen ab der Rolle Administrator und Mandanten-Administrationen) und braucht eine Anmeldung aus den letzten 10 Minuten; es wird im Audit-Log festgehalten (suspicion.hold_released, mit jedem freigegebenen Sicherungsstand und der Notiz).
Es geht nie still weiter. Eine Anhaltung, die nach 14 Tagen noch offen ist, wird mit einer Warnung erneut gemeldet, und danach alle 14 Tage, auch bei ausgeschalteter Erkennung.

Eine Freigabe beendet auch die Episode, sodass der nächste Befund gemeldet wird und die Aufbewahrung wieder anhält. Ist das Repository unveränderbar, verhindert der Speicher zusätzlich, dass jemand anderes den Verlauf löscht; das Anhalten hindert nur Restows eigene Aufbewahrung am Löschen.

Benachrichtigungen

Ereignis	Schwere	Wann
Verdächtige Sicherung (Anzeichen von Ransomware) (`backup.suspicious`)	Fehler	Einmal je Angriffsepisode, beim ersten verdächtigen Sicherungsstand nach einem unauffälligen. Sagt, dass die Aufbewahrung angehalten ist. Die Mail listet jeden Befund mit seinen Zahlen
Aufbewahrung nach verdächtiger Sicherung weiter angehalten (`backup.suspicious_hold`)	Warnung	Wenn eine Anhaltung nach 14 Tagen noch offen ist, und danach alle 14 Tage. Sagt, seit wann und wie viele Sicherungsstände sie auslösen

Eine Episode endet mit einem Sicherungsstand ohne Befund, einem Fehlalarm oder der Freigabe der Anhaltung. Die nächsten verdächtigen Sicherungsstände desselben Angriffs werden markiert, aber nicht erneut gemeldet. Benachrichtigungsregeln drosseln zusätzlich je Objekt.

Beide Ereignisse erreichen die Glocke, die Benachrichtigungsregeln (Mail) und die Webhooks wie jedes andere Ereignis, so wie es in der Benachrichtigungsmatrix unter Integrationen → Benachrichtigungen eingestellt ist. Siehe Benachrichtigungen und Berichte.

Schwellenwerte und Schalter

Installation → Ransomware-Erkennung enthält die Schwellenwerte jedes Signals, den Schalter jedes Signals, den Schalter für das Anhalten der Aufbewahrung und seine Erinnerungstage. Der Provider-Inhaber ändert sie, jede Provider-Administration liest sie. Jede Änderung wird im Audit-Log festgehalten (settings.ransomware.updated). Auf die Standardwerte zurücksetzen setzt sie zurück. Ein Wert außerhalb seines Bereichs wird abgelehnt.

Einstellung (wie die Seite sie nennt)	Standard	Bereich
Sicherungsstände auf Anzeichen von Ransomware prüfen	an	(aus: nichts wird beurteilt)
Frühere unauffällige Sicherungsstände in der Vergleichsbasis	14	3 bis 60
Nötige Sicherungsstände, bevor die Menge der Änderungen beurteilt wird	5	2 bis 30
Menge der Änderungen: Abweichungen über dem Median	8	2 bis 50
Vielfaches des Medians	5	1,5 bis 100
Mindestens neue oder geänderte Dateien	500	10 bis 10.000.000
Mindestens hinzugekommen	1 GiB	1 MiB bis 10 TiB
Massenhafte Löschungen: Mindestens gelöschte Dateien	1.000	10 bis 10.000.000
Mindestanteil der vorherigen Dateien	25 %	1 bis 100 %
Umbenannte Endungen: Mindestens umbenannte Dateien	100	5 bis 10.000.000
Mindestanteil der Dateien	2 %	0,1 bis 100 %
Bekannte Namen: Dateien mit einer Ransomware-Endung	20	1 bis 1.000.000
Kopien einer Lösegeldforderung	2	1 bis 1.000
Verschlüsselt wirkende Dateien: Mindestens verschlüsselt wirkende Stichproben	3	1 bis 16
Entropie ab (Bit pro Byte)	7,9	7 bis 8
Mindestanteil der Stichproben	50 %	10 bis 100 %
Komprimierung und Deduplizierung: Mindestens neue Daten	256 MiB	1 MiB bis 10 TiB
Abweichungen über dem Median	6	2 bis 50
Gespeicherter Anteil der neuen Daten ab	95 %	50 bis 100 %
Über dem üblichen gespeicherten Anteil um mindestens	15 Prozentpunkte	1 bis 90
Neuer Anteil der gelesenen Daten ab	80 %	10 bis 100 %
Über dem üblichen neuen Anteil um mindestens	30 Prozentpunkte	1 bis 90
Aufbewahrung anhalten: Aufbewahrung von Objekten mit verdächtigem Sicherungsstand anhalten	an	(aus: nichts hält die Aufbewahrung an)
Ungeklärte Anhaltung erneut melden nach (Tagen)	14	1 bis 365

Jedes Signal lässt sich auch einzeln ausschalten (der Schalter Prüfen seiner Gruppe).

Nach dem Update auf 0.4.0

Die Ransomware-Erkennung und das Anhalten der Aufbewahrung sind beide an, und die Erkennung beurteilt die Sicherungen der letzten 72 Stunden. Ein verdächtiger Sicherungsstand hält daher die Aufbewahrung seines Objekts an, bis eine Administration ihn klärt. Schwellenwerte und beide Schalter stehen unter Installation → Ransomware-Erkennung, und jede Provider-Administration kann sie lesen. Ein Objekt mit weniger als 5 unauffälligen Sicherungsständen sagt bei der Menge der Änderungen Lernt noch.

Was sie nicht erkennen kann

Langsame oder teilweise Verschlüsselung. Ransomware, die täglich nur wenige Dateien oder nur Teile großer Dateien verschlüsselt, bleibt innerhalb der Vergleichsbasis. Eine abschnittsweise Verschlüsselung, die die ersten und letzten 64 KiB einer Datei unangetastet lässt, ist für die Entropie-Stichproben unsichtbar.
Verschlüsselung ohne Spur in den Namen (gleiche Endung, keine Forderung): Nur die Menge der Änderungen, die Entropie sowie die Komprimierung und Deduplizierung der neuen Daten können sie sehen.
Kleine oder gemischte Läufe. Unter 256 MiB neuer Daten werden die Verhältnisse nicht beurteilt, und verschlüsselte Daten, die in eine große Menge gewöhnlicher neuer Daten gemischt sind, verschieben sie nur teilweise.
Daten, die die Sicherung nicht sieht: ausgeschlossene Ordner, Dateien über einer Größengrenze, nach der Sicherung geänderte Daten, VMs (nur die Menge geänderter Blöcke), Postfächer (nur die Menge neuer Elemente).
Ein Angreifer, der die Erkennung kennt, kann unter den Schwellenwerten bleiben, in komprimierte Formate verschlüsseln (die Entropie-Stichproben beurteilen sie nie) oder zuerst den Sicherungsverlauf verschlüsseln. Unveränderbarer Speicher schützt den Verlauf. Das Anhalten der Aufbewahrung hindert nur Restows eigene Aufbewahrung am Löschen, und ein Administratorkonto in der Hand des Angreifers kann sie freigeben (das braucht eine frische Anmeldung und wird im Audit-Log festgehalten).
Schadsoftware, die nicht verschlüsselt (Datendiebstahl, Hintertüren), hinterlässt in diesen Signalen keine Spur.
Die erste Sicherung und Objekte mit kurzer Vorgeschichte haben nichts zum Vergleichen.

Bekannte Grenzen in 0.4.7

Die Signale und Standardwerte sind aus dem veröffentlichten Verhalten von Ransomware-Familien gebaut und wurden mit simulierten Angriffen getestet, nicht mit echter Ransomware. Betrachten Sie die Standardwerte als Ausgangspunkt und passen Sie sie an Ihre Objekte an.
Die Beurteilung liest neue Sicherungsstände Stapel für Stapel, bis zu einer Minute je Durchlauf. In sehr großen Installationen bleibt ein Sicherungsstand, der sein 72-Stunden-Fenster verlässt, bevor ein Durchlauf ihn erreicht, unbeurteilt und wird so protokolliert.
Die bekannten Probleme von 0.4.0 gelten insgesamt, siehe die Roadmap.

Weiterlesen

Unveränderbare Backups: den Verlauf vor dem Löschen schützen.
Benachrichtigungen und Berichte: wer die beiden Ereignisse bekommt.
Backups und Zeitpläne: Aufbewahrung, der tägliche Lauf, den das Anhalten betrifft.
Wie Restow prüft, ob eine Sicherung wiederherstellbar ist: die Restore-Prüfung, die etwas anderes ist als diese Erkennung.