Hoe herstel ik data na een ransomware-aanval in een Microsoft-cloudomgeving?

Wat is ransomware en hoe treft het Microsoft-cloudomgevingen?

Ransomware is kwaadaardige software die je gegevens versleutelt en ontoegankelijk maakt totdat je losgeld betaalt. In Microsoft-cloudomgevingen zoals Microsoft 365 en Azure zijn deze aanvallen steeds verfijnder geworden. Hackers richten zich specifiek op cloudgebaseerde diensten omdat deze vaak kritieke bedrijfsgegevens bevatten die organisaties niet kunnen missen.

De meest voorkomende aanvalsmethoden op Microsoft-clouddiensten zijn phishing-e-mails, het misbruiken van kwetsbaarheden in de beveiliging en het stelen van inloggegevens. Zodra aanvallers toegang hebben, kunnen ze zich lateraal door je systemen bewegen en gegevens versleutelen in SharePoint, OneDrive, Exchange Online en zelfs Azure Virtual Machines.

Uit recente cijfers blijkt dat ransomware-aanvallen op cloudinfrastructuur in 2023 met 37% zijn toegenomen. Het gemiddelde losgeld bedraagt nu €250.000, maar de werkelijke schade door bedrijfsonderbreking ligt vaak 5 tot 10 keer hoger. Bij een aanval worden je gegevens versleuteld met geavanceerde encryptiealgoritmen, waardoor ze zonder de juiste sleutel onleesbaar worden.

Eerste stappen direct na ontdekking van een ransomware-aanval

Wanneer je een ransomware-aanval ontdekt, is snel handelen belangrijk. Begin met het isoleren van getroffen systemen om verspreiding te voorkomen. Verbreek netwerkverbindingen, schakel gecompromitteerde gebruikersaccounts uit en zorg dat niet-geïnfecteerde systemen gescheiden blijven van de getroffen omgeving.

Maak direct melding bij de relevante autoriteiten zoals de Autoriteit Persoonsgegevens (bij datalek van persoonsgegevens) en eventueel de politie. Activeer je incident response team of schakel externe hulp in als je die niet in huis hebt. Documenteer alle stappen die je neemt voor latere analyse en mogelijke juridische procedures.

Communicatie met stakeholders is cruciaal maar moet weloverwogen gebeuren. Informeer medewerkers, klanten en partners over wat er aan de hand is zonder in paniek te raken. Wees transparant over de situatie, maar deel geen gevoelige informatie die de aanvallers kan helpen of je positie kan verzwakken. Bereid alvast een herstelplan voor terwijl je de omvang van de aanval in kaart brengt.

Microsoft’s ingebouwde herstelopties voor ransomware-aanvallen

Microsoft 365 biedt verschillende native herstelmogelijkheden die je kunnen helpen na een ransomware-aanval. De versiegeschiedenis in SharePoint en OneDrive laat je eerdere versies van bestanden terughalen voordat ze werden versleuteld. Voor SharePoint Online heb je standaard 500 versies per bestand en voor OneDrive for Business 25 versies.

Microsoft biedt ook bewaarmogelijkheden zoals bewaarbeleid en eDiscovery-bewaring, waarmee je gegevens kunt beveiligen tegen wijzigingen of verwijdering. Azure Backup is een geïntegreerde service die geautomatiseerde backups maakt van je virtuele machines, databases en andere Azure-diensten met ingebouwde bescherming tegen ransomware.

Microsoft Defender for Office 365 en Microsoft Defender for Cloud bevatten geavanceerde detectie- en herstelfuncties. Deze tools kunnen ransomware vroegtijdig detecteren, automatisch geïnfecteerde bestanden in quarantaine plaatsen en je helpen bij het herstellen van aangetaste systemen. De ingebouwde beveiligings- en compliance-centra geven je een centrale plek om incidenten te beheren en herstelwerkzaamheden te coördineren.

Stapsgewijze handleiding: Data herstellen in Microsoft 365 na een ransomware-aanval

Voor het herstellen van SharePoint-gegevens na een ransomware-aanval ga je naar de SharePoint-bibliotheek, selecteer je het versleutelde bestand, klik je op “Versiegeschiedenis” en kies je een versie van vóór de aanval. Bij grotere hoeveelheden bestanden kun je PowerShell gebruiken met commando’s zoals Restore-SPODeletedDocument om bulkacties uit te voeren.

Voor OneDrive-bestanden ga je naar onedrive.com, selecteer je de getroffen bestanden, klik je op “Versiegeschiedenis” en herstel je eerdere versies. Als je een grote hoeveelheid bestanden moet herstellen, overweeg dan het gebruik van de OneDrive Admin Center om gegevens van een specifiek moment terug te halen.

Voor Exchange Online kun je de Exchange Admin Center gebruiken of PowerShell-commando’s zoals New-MailboxRestoreRequest om mailboxen te herstellen naar een punt vóór de aanval. Voor Teams-data kun je verwijderde kanalen en berichten terughalen via het Teams Admin Center. Belangrijker nog is het herstellen van de onderliggende SharePoint-sites waar Teams-bestanden worden opgeslagen.

Stapsgewijze handleiding: Data herstellen in Azure-omgevingen na ransomware

Voor het herstellen van Azure Virtual Machines ga je naar Azure Portal, navigeer je naar “Azure Backup”, selecteer je de relevante VM en kies je “Herstellen”. Selecteer het herstelpunt (van vóór de aanval) en kies of je de hele VM wilt herstellen of alleen specifieke bestanden.

Azure SQL Databases hebben point-in-time recovery waarmee je kunt teruggaan naar een specifiek moment vóór de ransomware-aanval. Ga naar de database in Azure Portal, klik op “Herstellen” en selecteer het gewenste tijdstip voor herstel.

Voor Azure Files en Azure Blob Storage kun je gebruik maken van soft delete en momentopnamen. Ga naar je storage account, navigeer naar “Blobs” of “Bestanden”, selecteer de gewenste container of share, en gebruik “Verwijderde blobs weergeven” of herstel vanaf een momentopname. Voor Azure Cosmos DB gebruik je de automatische backups door in het Azure Portal naar je Cosmos DB-account te gaan en “Point-in-time herstellen” te selecteren.

Hoe voorkom ik dataverlies bij toekomstige ransomware-aanvallen?

Implementeer multi-factor authenticatie (MFA) voor alle gebruikers, maar vooral voor accounts met verhoogde rechten. Dit voorkomt dat gestolen inloggegevens direct toegang geven tot je omgeving. Gebruik Azure AD Conditional Access om toegang verder te beperken op basis van locatie, apparaat en risicosignalen.

Pas een zero-trust architectuur toe waarin je standaard niets vertrouwt. Geef minimale rechten aan gebruikers (least privilege principe), segmenteer je netwerk, en controleer continu of toegang terecht is. Regelmatige bewustwordingstrainingen voor medewerkers zijn ook belangrijk omdat mensen vaak de zwakste schakel vormen.

Maak regelmatig backups van je cloud-omgeving en zorg dat deze backups niet direct verbonden zijn met je productieomgeving. Test je herstelprocedures regelmatig om zeker te weten dat ze werken als je ze nodig hebt. Overweeg een gespecialiseerde cyber recovery oplossing die je data beschermt met een air-gapped, onveranderbare kopie.

Voer regelmatig beveiligingsaudits uit en pas updates direct toe. Gebruik Microsoft Defender for Cloud om continue beveiligingsbeoordelingen te krijgen en automatisch beveiligingslekken te detecteren. Als je extra bescherming wilt tegen ransomware, overweeg dan aanvullende oplossingen die verder gaan dan de standaard Microsoft-functies.

Bij e-storage weten we hoe belangrijk een goede data recovery strategie is. We helpen je niet alleen met het herstellen van gegevens na een aanval, maar ook met het opzetten van een robuuste verdedigingslinie die toekomstige aanvallen kan weerstaan of de impact ervan kan minimaliseren.