Bloqueia o acesso de gravação a uma unidade do Windows?

Question

Eu tenho uma unidade de backup na minha caixa que só uso para armazenar backups diferenciais de minhas outras unidades. Atualmente, não tenho dinheiro para comprar uma solução externa e gostaria de garantir que minha unidade de backup seja o mais segura possível de itens como o ransomware.

Existe uma maneira de bloquear o acesso de gravação à unidade através do Windows sem primeiro exigir alguma forma de autenticação adicional? Isso mitigaria algo como o ransomware de criptografar a unidade?

    

Answer 1

Assumindo que qualquer ransomware esteja rodando sob sua própria conta de usuário, porque você acidentalmente fez o download e executou, ou usou uma falha em qualquer software que esteja executando, então você pode fazer o seguinte:

• Verifique se sua conta de usuário normal não é membro do grupo de administradores
• Não confie apenas nos prompts do UAC, não use uma conta de administrador para o trabalho do dia a dia.
• Mantenha sempre seu sistema operacional Windows atualizado com os patches mais recentes.
• Verifique se sua conta de usuário normal não é membro do grupo de administradores

Se você seguir isso, o ransomware só poderá criptografar arquivos aos quais você tem acesso.

Na sua unidade de backup, você pode obter acesso de leitura, mas nenhum acesso de gravação a todos os arquivos. Portanto, é fácil obter uma cópia de backup de um arquivo, se necessário, mas não é possível alterar o arquivo, e o ransomware não pode criptografá-lo.

Defina as permissões de NTFS na sua unidade de backup da seguinte forma:

 NT AUTHORITY\SYSTEM:(OI)(CI)(F)
 BUILTIN\Administrators:(OI)(CI)(F)
 BUILTIN\Backup Operators:(OI)(CI)(M)
 BUILTIN\Users:(OI)(CI)(RX)

• Crie um novo usuário usado exclusivamente para fazer backup de arquivos e adicionar essa conta ao grupo Backup Operators .
• Configure o software responsável pela execução do backup nessa nova conta. Portanto, o software / script / tarefa pode gravar arquivos na unidade de backup.
• Verifique se o processo de backup não substitui arquivos no backup com muita frequência. Se algum ransomware entrar em ação e criptografar arquivos, você não desejará que o processo de backup copie esses arquivos criptografados para a unidade de backup com muita rapidez. Ter pastas separadas com backups diferenciais durante o dia pode funcionar.
• Idealmente, seu processo de backup teria uma opção para impedir a cópia de arquivos criptografados.
• Certifique-se de que o processo de backup não copie permissões de NTFS com os arquivos, isso fornecerá a você e ao ransomware acesso de gravação aos arquivos novamente.
• Certifique-se de que o que disparar seu processo de backup não possa ser acionado pela sua conta de usuário normal.

Estou fazendo exatamente essa configuração por um bom tempo agora, ainda faço backups em unidades externas e na nuvem, mas os backups mais frequentes são em uma unidade interna.

Isso também evita a exclusão acidental de arquivos de backup.