En gendannelse fra nul kan kun lykkes, hvis rækkefølgen er kendt, og hvis de ting, gendannelsen selv afhænger af, kan skaffes uden de systemer, der er væk. Gennemgangen ser derfor på afhængighedskæden: katalogtjeneste, navneopslag, adgangskoder, nøgler til backuppen, installationsfiler og hardware. Den ser efter det første led, der ikke kan startes uden et andet, der også er nede.
De fleste gendannelsestest gendanner ét system ind i et miljø, der ellers virker. Katalogtjenesten svarer, navneopslag virker, og adgangskoderne ligger i den sædvanlige boks. Efter et større nedbrud eller et ransomwareangreb er det hele væk på én gang, og så viser det sig, hvad der hænger sammen med hvad.
Hvad kilderne siger
Efter punkt 4.1.2 i bilaget til forordning 2024/2690 omfatter planen for driftskontinuitet, hvis det er relevant, en rækkefølge for genopretning af driften (litra e) og de nødvendige ressourcer, herunder backup og reserver (litra g). Forordningen gælder kun de enheder, der er nævnt i dens artikel 1. Andre kan bruge punktet som målestok.
SAMSIK beskriver i vejledningen om ransomware en kontrolleret reetablering. Infrastruktur, styresystemer og applikationer geninstalleres eller genopbygges helt. Berørte systemer startes enkeltvis på et isoleret net. Konfigurationer og data indlæses fra backup. Systemerne kontrolleres, der køres antivirus, og der tages ny backup, før de overføres til produktion. Dekrypteringsnøglen til backuppen opbevares adskilt fra katalogtjenesten. Det er anbefalinger.
CISA m.fl. anbefaler i #StopRansomware Guide gyldne aftryk af kritiske systemer, offline kopier af skabelonerne til infrastruktur som kode, installationsfiler eller kildekode gemt sammen med de offline kopier, reservehardware og gendannelse efter en prioritering af de kritiske tjenester.
For finansielle enheder kræver artikel 26, stk. 2, litra a, i forordning 2024/1774, at scenarierne omfatter cyberangreb og omstilling til redundant kapacitet og sikkerhedskopier.
Afhængighedskæden
Ingen af de læste kilder beskriver selve kæden. Det følgende er teknisk praksis og en tolkning af, hvad “rækkefølge” og “nødvendige ressourcer” betyder i et typisk miljø.
Katalogtjenesten. Mange systemer kræver login fra katalogtjenesten. Det kan også gælde backupsystemet selv. Kan backupsystemet ikke startes uden katalogtjenesten, og ligger katalogtjenestens kopi i backupsystemet, er kæden lukket i en ring.
Navneopslag. Systemer finder hinanden via navne. Er navneservicen væk, kan servere ikke finde katalogtjenesten, lageret eller licensserveren, selv om de er gendannet.
Adgangskoder. Adgangskoder til administratorkonti, hypervisor, lager og netværksudstyr kan ligge i et system, der selv skal gendannes. Kan boksen kun åbnes med en konto fra katalogtjenesten, er den utilgængelig, når katalogtjenesten er væk.
Nøglen til backuppen. SAMSIK’s anbefaling om at holde dekrypteringsnøglen adskilt fra katalogtjenesten handler om netop dette. En krypteret backup uden nøgle kan ikke bruges.
Licenser, installationsfiler og hardware. Nogle systemer kræver aktivering mod en licensserver eller installationsfiler, der ligger på et drev, der også er væk. Hardware kan være beslaglagt eller ødelagt.
Sådan gennemgås kæden
Det er almindelig praksis at tegne kæden som en liste i den rækkefølge, gendannelsen skal ske, med en kolonne for hvert systems afhængigheder og en kolonne for, hvor afhængigheden kan skaffes, hvis alt andet er væk.
- (1) · System: (Netværk og firewall) · Afhænger af: (Konfiguration) · Kan skaffes fra: (Offline kopi af konfigurationen)
- (2) · System: (Hypervisor) · Afhænger af: (Lokal administratorkonto) · Kan skaffes fra: (Forseglet kuvert i pengeskab)
- (3) · System: (Backupsystem) · Afhænger af: (Lokal konto, nøgle) · Kan skaffes fra: (Nøgle opbevaret uden for katalogtjenesten)
- (4) · System: (Katalogtjeneste og navneopslag) · Afhænger af: (Backup af katalogserver) · Kan skaffes fra: (Backupsystemet fra trin 3)
Rækkerne er tænkte. Gennemgangen tjekker for hvert trin, om afhængigheden faktisk kan skaffes uden et senere trin. Finder den en ring, er det et fund med høj alvorlighed. Konfigurationerne i trin 1 er gennemgået i backup af konfigurationer.
Afprøvning
Kæden er en tegning, indtil den er afprøvet. En fuld gendannelse fra nul er en stor øvelse, men dele af den kan afprøves enkeltvis: kan backupsystemet startes og logges ind på uden katalogtjenesten, kan nøglen hentes, og kan adgangskoderne til hypervisoren findes? Hver afprøvning protokolleres som andre gendannelsestest. Over tid giver de enkelte afprøvninger et billede af hele kæden, uden at hele miljøet skal tages ned på én gang.
Beredskabsplanens organisatoriske side, og hvordan den indgår i reglerne for det offentlige, hører til beredskab og tilsyn i den offentlige sektor.
Mennesker er også et led
Kæden afhænger også af mennesker. Kender kun én person adgangskoden til hypervisoren eller rækkefølgen for opstart, er den person et led i kæden. Gennemgangen spørger, om vejledningen til gendannelse fra nul er skrevet ned, hvor den ligger, og om den kan læses, når filserveren og dokumentbibliotekerne er væk. En udskrevet udgave et sikkert sted er en almindelig løsning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen, der kender miljøet, tegner kæden, og at de enkelte led afprøves. Tegningen tager en dag. Afprøvningerne kan spredes over tid.
Uden gennemgangen opdages ringen i kæden, når alt er nede. Så skal den brydes under pres, og det kan tage længere end selve gendannelsen.
Det skal I lade være med
- At lade backupsystemets login afhænge af katalogtjenesten alene · hav en lokal vej ind.
- At opbevare backupnøglen i det miljø, den skal genskabe · læg den adskilt.
- At forveksle en gendannelsestest af ét system med en gendannelse fra nul · afhængighederne er anderledes.
Det skal gennemgangen kunne vise
- ☐ En tegnet rækkefølge for gendannelse med afhængigheder for hvert trin.
- ☐ For hver afhængighed: hvor den kan skaffes, hvis alt andet er væk.
- ☐ Login til backupsystemet uden katalogtjenesten, afprøvet.
- ☐ Placering af backupnøglen og adgangskoder til hypervisor og netværk.
- ☐ Installationsfiler, aftryk og reservehardware, og hvor de ligger.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 4.1.2, litra e og g, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave april 2023, s. 11 og 13, læst 13. november 2026.
- CISA, MS-ISAC, NSA og FBI, #StopRansomware Guide, september 2023, læst 13. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1774, artikel 26, stk. 2, litra a, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg, om backupsystemet kan startes og logges ind på, hvis katalogtjenesten er væk, og bed om at se det.
Læs også: Domænecontrollere som særligt kontrolpunkt · Virtualiseringsplatformen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
