Beschermt continue back-up je tegen ransomware?

Wat is continue back-up, en wat is het verschil met een nachtelijke back-up?

Continue back-up, vaak continuous data protection (CDP) genoemd, legt elke wijziging kort nadat ze is weggeschreven vast. Er is dus geen losse kopie op een vast tijdstip. Een nachtelijke back-up geeft je één herstelpunt per dag. Continue back-up geeft je er veel.

Het verschil zie je in je recovery point objective. NIST omschrijft het recovery point objective als "het tijdstip waarnaar data na een storing moet worden hersteld". Kort gezegd: de RPO is hoeveel werk je kunt missen. Maak je 's avonds om 22.00 uur een back-up en slaat ransomware de volgende dag om 15.00 uur toe? Dan ben je 17 uur aan facturen, tekeningen en e-mail kwijt.

Frequentie is één laag van een back-upopzet, niet de hele opzet. Op onze pagina over Backup as a Service leggen we de andere lagen uit die bepalen of herstel na een aanval werkt.

Waarom is back-upfrequentie belangrijk bij een ransomware-aanval?

Omdat aanvallers hun moment kiezen. Hoe langer geleden je laatste goede kopie, hoe meer werk je kwijt bent. Ransomwaregroepen slaan vaak toe als je het slechtst kunt reageren.

De FBI en CISA waarschuwden in een gezamenlijke waarschuwing over ransomware tijdens feestdagen en weekenden dat aanvallers die periodes aantrekkelijk vinden. Volgens hen hebben "netwerkverdedigers en IT-support van slachtofferorganisaties langere tijd beperkte capaciteit". De waarschuwing noemt aanvallen op Mother's Day, Memorial Day en de Fourth of July in 2021, waaronder de Kaseya-aanval die meerdere managed service providers trof.

Timing is niet de enige tactiek. In het onderzoek van Sophos uit 2024 onder organisaties die door ransomware zijn getroffen zei 94% dat de criminelen hun back-ups probeerden te compromitteren. Bij 57% van die pogingen lukte dat. Organisaties met gecompromitteerde back-ups meldden mediane herstelkosten van 3 miljoen dollar. Bij organisaties waarvan de back-ups het overleefden was dat 375.000 dollar.

Ransomware blijft de grootste dreiging in Europa. De ENISA Threat Landscape 2025 noemt het "de meest impactvolle dreiging in de EU". De vraag is dus niet alleen hoe vaak je een back-up maakt, maar ook of die kopieën een aanvaller overleven.

Kan continue back-up herstel na ransomware moeilijker maken?

Ja, als hij is ingericht als replicatie zonder beschermde historie. Een systeem dat elke wijziging binnen enkele minuten kopieert, kopieert versleutelde bestanden ook binnen enkele minuten.

De documentatie van Microsoft over Azure Site Recovery is een duidelijk voorbeeld van continue replicatie. Schrijfacties naar schijf worden "direct overgedragen", elke vijf minuten ontstaan crashconsistente herstelpunten en de standaardbewaartermijn van herstelpunten is één dag. Dat ontwerp is bedoeld voor disaster recovery na een storing. Was een aanvaller langer actief dan je bewaartermijn, dan bevat elk herstelpunt mogelijk al zijn werk.

Het probleem van de dwell time

Aanvallers versleutelen zelden op dag één. Het M-Trends 2026-rapport van Mandiant noemt een wereldwijde mediane dwell time van 14 dagen. Dat is de tijd die een indringer binnen zit voordat hij wordt gevonden. Mandiant beschrijft ook hoe aanvallers opslaglocaties in kaart brengen "voordat ze systematisch back-upobjecten uit cloudopslag en van lokale systemen verwijderen".

MITRE ATT&CK beschrijft dit gedrag als T1490 Inhibit System Recovery: schaduwkopieën en back-upcatalogi verwijderen, snapshots van virtuele machines versleutelen en versiebeheer uitzetten. Een continue back-up met twee dagen historie helpt niet als de laatste schone staat drie weken oud is.

• Bewaar de historie langer dan de waarschijnlijke dwell time: weken aan herstelpunten, geen uren.
• Bescherm die historie: een aanvaller met beheerrechten mag de bewaartermijn niet kunnen inkorten of herstelpunten kunnen verwijderen.
• Weet welk punt schoon is: een scan op malware en hersteltests laten zien tot welk punt je terug moet. Ons artikel over anomaliedetectie in back-ups laat zien hoe MSP's het moment opsporen waarop de versleuteling begon.

Wat heeft een ransomwarebestendige back-up nodig naast frequentie?

Onveranderbaarheid, isolatie, aparte toegang en bewijs dat herstel werkt. Frequentie bepaalt hoeveel je verliest. Deze vier bepalen of je kunt herstellen.

De principes voor ransomwarebestendige cloudback-ups van het Britse National Cyber Security Centre beschrijven hoe dat eruitziet. Back-ups moeten bestand zijn tegen verwijderen en wijzigen. Klanten moeten kunnen terugzetten vanuit versies van vóór de beschadiging. En er moet een melding komen als "belangrijke wijzigingen worden doorgevoerd of bevoorrechte acties worden geprobeerd".

1. Onveranderbare kopieën. Write-once-opslag, zoals Object Lock, voorkomt dat back-ups een ingestelde periode worden verwijderd of overschreven. In de compliance mode van AWS kan zelfs de rootgebruiker de bewaartermijn niet verkorten.
2. Een air-gapped kopie. Eén kopie zonder verbinding met je netwerk staat buiten het bereik van je productie-inloggegevens. Dit is de extra "1" in de 3-2-1-1-0-regel.
3. Aparte beheertoegang met MFA. Met MFA (meervoudige authenticatie) log je in met meer dan alleen een wachtwoord. Wie je domeinbeheerder overneemt, mag daarmee nog geen controle krijgen over de back-ups.
4. Gecontroleerd herstel. De "0" in 3-2-1-1-0 staat voor nul fouten na een gecontroleerd herstel.

Zo bouwen we onze dienst. Back-ups staan alleen in onze eigen Tier III-datacenters in Nederland en Duitsland. Ze zijn onveranderbaar dankzij Object Lock plus een air-gapped kopie. Elke back-uptaak wordt automatisch gecontroleerd, back-ups worden gescand op malware, voor beheeracties is MFA nodig en het platform wordt 24/7 bewaakt. Moeten systemen snel weer draaien, dan herstellen we kritieke workloads met een SLA van 4 uur. Met instant VM boot starten servers in een geïsoleerde herstelomgeving op een apart, schoon netwerk.

Hoe vaak moet je van elk systeem een back-up maken?

Zo vaak als de kosten van verloren werk rechtvaardigen, per systeem. Een gedeelde drive vol dagelijks ontwerpwerk vraagt een kortere RPO dan een archief dat één keer per maand verandert.

1. Maak een lijst van je systemen en wie erin werkt: mailboxen, bestandsshares, databases, bedrijfsapplicaties, laptops.
2. Schat per systeem wat een uur verloren werk kost: personeelstijd om het opnieuw te doen, gemiste bestellingen, contractuele boetes. Onze gids over de kosten van downtime laat de berekening zien.
3. Stel per systeem een RPO en een RTO in (recovery time objective: hoe snel je het terug moet hebben). Onze uitleg over RTO en RPO helpt je realistische doelen te kiezen.
4. Kies de methode die bij het doel past. Drukke fileservers en databases rechtvaardigen misschien meerdere taken per dag of continue bescherming. Stabiele systemen kunnen op een dagelijks schema blijven.
5. Kies een bewaartermijn die langer is dan de waarschijnlijke dwell time, zodat je weken terug kunt, niet alleen uren.
6. Test tegen het doel. Zet een echt bestand en een echte server terug en meet de tijd. Lees hoe je controleert of je back-up werkt.

Wat je nu kunt doen

Continue back-up is een nuttige manier om het werk te beperken dat een ransomware-aanval je kost. Op zichzelf is het geen bescherming tegen ransomware. Combineer de juiste frequentie per systeem met onveranderbare, geïsoleerde kopieën, een historie die langer is dan de dwell time van een aanvaller en regelmatige hersteltests.

Valt je organisatie onder NIS2, dan is dit ook een wettelijke eis en niet alleen goede praktijk. NIS2-artikel 21(2)(c) van Richtlijn (EU) 2022/2555 noemt bedrijfscontinuïteit, waaronder back-upbeheer, disaster recovery en crisisbeheer, als maatregel die je moet nemen. Hoe de lagen samenhangen, zie je op onze pagina over Backup as a Service.

Wil je zien hoe snel een schoon herstelpunt terugkomt uit een datacenter in de EU? Plan een gratis demo van 15 minuten en praat met een mens, in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.