Como isolar backups locais no Linux de ransomware

Question

Eu uso o recurso de backup criptografado local de Backintime no debian 8.3 para fazer backup de meus arquivos em uma unidade externa. Faz backup automaticamente a cada 30 minutos. Minha unidade externa está sempre conectada. Eu sou o único usuário deste computador.

Recentemente eu ouço freqüentemente sobre o pesadelo do ransom-ware histórias . Como meu local de backup está sempre acessível, estou pensando em uma forma de tornar meu local de backup seguro e isolado de tais ataques, por precaução.

Eu pensei que se eu rodasse o Backintime como um "usuário de backup" ou root especial e usasse um local de backup no qual apenas "usuário de backup" ou root tivesse acesso de gravação, eu conseguiria isso. Eu acho que é aconselhável usar o root apenas quando é inevitável, então eu acho que prefiro criar um "usuário de backup" para este trabalho.

Gostaria de saber se posso usar permissões de arquivo para essa finalidade ou se há uma maneira melhor.

Minhas perguntas:

1. É uma boa ideia tornar o meu local de backup seguro?
2. Como posso executar o Backintime automaticamente como "usuário de backup" enquanto uso o computador com uma conta diferente ao mesmo tempo?
3. Como posso atribuir "usuário de backup" como o único usuário que tem acesso de gravação no meu local de backup?

Answer 1

1. Armazene seus backups em mídia que não esteja fisicamente conectada ou que esteja normalmente ligada.

2. Tenha várias mídias de backup (unidades / fitas) que são rotacionadas regularmente. Pontos de bônus para armazená-los fora do local (pelo menos a alguns quilômetros de distância). Eu recomendo um mínimo de (3) drives / fitas, com apenas 1 ou 2 unidades do conjunto sendo mantido no local.

3. As permissões para escrever ou acessar o diretório de backup devem ser limitadas à conta raiz.

4. Sua conta de usuário do dia a dia não deve ter sudo de permissões. Use uma segunda conta no nível do usuário para administrar o sistema via sudo . Se você não tiver a capacidade de elevar privilégios, não poderá ser enganado para elevar privilégios.

5. Desmonte o diretório de backup quando não estiver em uso, usando ferramentas como autofs . Isso também dá a vantagem de poder desconectar a unidade sem se preocupar se o sistema de arquivos está montado. A ferramenta autofs pode ser configurada para montar automaticamente o diretório de backup e, em seguida, desmontá-lo após alguns minutos de inatividade.

6. Use uma ferramenta de backup que seja eficiente para armazenar muitos incrementais ( Duplicidade , borg-backup ). Isso permitirá que você mantenha um ano de backups em cada unidade, oferecendo mais possibilidades de restaurar as coisas como estavam antes do evento.