Ransomware-skydd för NAS:en – immutable snapshots och air-gap-backup

Ransomware har gått från att vara ett problem för stora företag till ett hot mot varje hushåll med en NAS. När krypteringsprogrammet väl tar sig in krypterar det inte bara datorn – det letar sig systematiskt fram till nätverksresurserna och krypterar dina foton, dokument och säkerhetskopior. Den goda nyheten är att en välinställd NAS kan stå emot attacken, förutsatt att du har byggt försvaret i förväg. Den här guiden visar hur immutable snapshots och air-gap-backup ger dig ett ransomware-skydd som faktiskt fungerar.

Hur ransomware angriper NAS:en

De flesta ransomware-varianter som drabbar hemmiljöer sprider sig via en infekterad dator i nätverket. När skadlig programvara väl körs på en dator med åtkomst till NAS:en händer följande:

• Den kartlägger nätverksresurser – SMB- och NFS-delningar som datorn har tillgång till.
• Den krypterar fil efter fil på delningarna, ofta med början i dokument och foton.
• Den försöker radera lokala säkerhetskopior, återställningspunkter och shadow copies.
• Vissa varianter letar aktivt efter NAS-administrationsgränssnitt för att radera snapshots inifrån.

Det avgörande insikten är att allt som den infekterade datorn kan nå – och allt som NAS:en själv kan radera på kommando – är i farozonen. Skyddet måste därför bygga på kopior som varken datorn eller NAS:ens normala processer kan förstöra.

Immutable snapshots – den första försvarslinjen

Ett snapshot är en ögonblicksbild av filsystemet som kan återställa filer till ett tidigare tillstånd. Problemet är att vanliga snapshots ofta kan raderas från NAS:ens gränssnitt – och avancerad ransomware vet exakt hur man gör det. Immutable snapshots (även kallade WORM – Write Once, Read Many) låser bilden under en bestämd tid. Under låsningsperioden kan ingen – inte ens administratören – radera eller ändra den.

Så konfigurerar du det

• Använd ett filsystem med snapshot-stöd: Btrfs och ZFS är de vanligaste valen på hemmets NAS-enheter.
• Aktivera snapshot-låsning: i TrueNAS kallas funktionen för snapshot retention med “hold”; i Synology DSM finns WORM-skydd för delade mappar.
• Sätt en rimlig låsningsperiod: 7–30 dagar är en bra balans hemma – tillräckligt långt för att upptäcka en attack, tillräckligt kort för att inte slösa disk.
• Schemalägg täta snapshots: varje timme för aktiva delningar, dagligen för arkiv.
• Skydda administratörskontot: använd ett starkt, unikt lösenord och aktivera tvåfaktorsautentisering – om angriparen får adminåtkomst kan låsningen i värsta fall kringgås.

Immutable snapshots skyddar mot kryptering av själva filerna, men de bor fortfarande på samma fysiska enhet. En brand, ett åsknedslag eller ett totalt hårdvarufel tar dem med sig. Därför behövs nästa lager.

Air-gap-backup – kopian som inte går att nå

Air-gap betyder att säkerhetskopian är fysiskt eller logiskt frånkopplad från nätverket när den inte används. Om den skadliga koden inte kan nå kopian kan den inte kryptera den – så enkelt är det. Hemma finns tre praktiska varianter:

Metod	Så fungerar det	Kostnad	Nackdel
Extern USB-disk (rotation)	Kopiera till USB-disk, koppla ur och förvara separat	Låg	Kräver manuell rutin
NAS som bara är på vid backup	Andra NAS-enhet som startas på schema, tar backup och stängs av	Medel	Mer hårdvara
Molnlagring med object lock	Backup till S3-kompatibel lagring med oföränderlighetslås	Löpande	Uppladdningshastighet, månadskostnad

USB-rotation i praktiken

Den enklaste air-gap-lösningen är två externa USB-diskar i rotation: den ena sitter inkopplad och tar nattens säkerhetskopia, den andra förvaras på en annan plats (hos en släkting, på jobbet). Byt varje vecka. Om ransomware slår till har du alltid en kopia som inte varit inkopplad på flera dagar – långt utanför attackens räckvidd.

Moln med object lock

För den som vill slippa manuell rotation erbjuder S3-kompatibla tjänster (till exempel Backblaze B2 eller Wasabi) object lock: uppladdade objekt kan inte raderas eller skrivas över under låsningsperioden, även med fullständiga inloggningsuppgifter. Kombinera med kryptering på klientsidan så är kopian skyddad både mot ransomware och mot nyfikna blickar hos leverantören.

Bygg en komplett strategi

Inget enskilt lager räcker – det är kombinationen som gör skyddet robust. En beprövad struktur för hemmet ser ut så här:

• Lager 1 – daglig drift: dina filer på NAS:en, skyddade av täta immutable snapshots.
• Lager 2 – lokal backup: nattlig säkerhetskopiering till en andra enhet eller USB-disk i hemmet.
• Lager 3 – air-gap: veckovis kopia till frånkopplad USB-disk eller moln med object lock.

Detta är 3-2-1-regeln i praktiken: tre kopior av dina data, på två olika medier, varav en är offline eller offsite. Lägg därtill några hygienregler: håll NAS:ens operativsystem uppdaterat, stäng av tjänster du inte använder (särskilt fjärråtkomst som UPnP och portvidarebefordran du inte behöver), och ge varje användare bara åtkomst till de delningar de faktiskt behöver.

Glöm inte återställningstestet

Den vanligaste missen i hemmets backup-strategier är att aldrig testa återställningen. En säkerhetskopia som visar “lyckad” i loggen kan ändå vara obrukbar – korrupta filer, fel behörigheter eller ett glömt krypteringslösenord upptäcks först när du försöker återställa. Schemalägg ett återställningstest varje kvartal: plocka ut några filer från varje lager och verifiera att de går att öppna.

Slutsats

Ransomware mot NAS:en är inte längre en teoretisk risk utan en fråga om när, inte om – men det är också ett hot du kan neutralisera med rätt arkitektur. Immutable snapshots ger dig en återställningspunkt som ingen skadlig kod kan radera, och air-gap-backup ger dig en kopia som ingen skadlig kod ens kan nå. Bygg båda lagren, följ 3-2-1-regeln och testa din återställning regelbundet. Då blir ett ransomware-angrepp en olägenhet på några timmar, inte en katastrof som raderar år av foton och dokument.