Podstawy Bezpieczeństwa: Jak robić kopie zapasowe w systemie Windows

Nieraz pewnie słyszeliście, że ludzie dzielą się na tych, którzy robią kopie zapasowe i tych, którzy dopiero będą je robić. No dobrze, ale jak je robić bez zbytniego komplikowania sobie życia i co w tym zakresie oferuje nam Windows? Przeczytacie w tym artykule.

Zacznijmy od tego, dlaczego warto robić kopie zapasowe. Z czasów studenckich możecie sobie kojarzyć historie o tym, jak padł komuś dysk i niemal już skończoną pracę dyplomową trzeba było pisać od nowa, bo poszkodowanemu nie przyszło na myśl, że można by tworzone z mozołem rozdziały przechowywać także na pendrivie albo wysyłać sobie na maila. Żeby daleko nie szukać – autorka tego artykułu też co nieco w ten sposób straciła, na szczęście, towarzysząca pracy aplikacja webowa śmigała już na uczelnianym serwerze. Zabezpieczenie danych na wypadek nagłej awarii sprzętu to jeden z najczęstszych powodów robienia kopii zapasowych. Drugim – nie mniej istotnym – może być próba pokrzyżowania szyków operatorom ransomware’u, czyli złośliwego oprogramowania, które przenikając na urządzenie ofiary, szyfruje pliki i wymusza okup w zamian za możliwość ich odszyfrowania.

Słyszeliście o majowych problemach Amerykanów z dostawami paliwa na wschodnim wybrzeżu? Ceny niemiłosiernie wzrosły, na stacjach benzynowych zapanował chaos, władze kilku stanów, m.in. Florydy, Georgii i Wirginii, postanowiły ogłosić stan wyjątkowy – a wszystko to z powodu ataku na Colonial Pipeline, czyli operatora rurociągów, które transportują 2,5 mln baryłek produktów rafinowanych dziennie. Firma padła ofiarą rosyjskiej grupy przestępczej DarkSide, a właściwie jednego z jej partnerów, grupa ta działa bowiem w modelu ransomware-as-a-service, dostarczając stosowne narzędzia i infrastrukturę wszystkim zainteresowanym. Inny atak, o którym było głośno w ostatnich miesiącach, polegał na dodaniu złośliwego skryptu do aktualizacji oprogramowania Kaseya VSA, używanego chętnie przez dostawców usług zarządzanych (ang. Managed Service Provider, MSP). Zdaniem ekspertów incydent mógł dotknął 5 tys. firm i agencji publicznych w 22 krajach, a stali za nim operatorzy ransomware’u REvil. Warto też wspomnieć o ataku na systemy informatyczne włoskiego regionu Lacjum ze stolicą w Rzymie, wskutek którego został wyłączony serwis pozwalający mieszkańcom zarejestrować się na szczepienia przeciwko COVID-19. Pierwsze doniesienia medialne powiązały incydent z grupą RansomEXX, kolejne przypisały go operatorom ransomware’u LockBit 2.0. Dochodzeniem w tej sprawie zajęli się antyterroryści. O atakach na użytkowników domowych mówi się ostatnio niewiele, co jednak nie znaczy, że do nich nie dochodzi (kwoty wymuszane przez szantażystów od pojedynczych osób są o wiele mniejsze niż w przypadku korporacji, media skupiają się więc na tych ostatnich). Tworząc kopie zapasowe, powinniśmy zadbać, by co najmniej jedna z nich była odporna na ransomware. Jak to osiągnąć?

Zasada 3-2-1

Dobrym podejściem do wykonywania kopii zapasowych jest stosowanie się do zasady 3-2-1:

3 – warto mieć trzy backupy – jeden będą stanowić dane na komputerze, którego używamy, dwa kolejne możemy przechowywać na pendrive’ach, dodatkowych dyskach twardych podłączanych do komputera lub instalowanych w urządzeniach typu NAS (ang. Network Attached Storage), a także w usługach chmurowych;

2 – tworząc kopie bezpieczeństwa, powinniśmy użyć co najmniej dwóch różnych typów nośników – prawdopodobieństwo, że oba ulegną awarii w tym samym czasie, jest raczej nikłe; warto przy tym zadbać, by chociaż jeden z nich nie był stale podłączony do komputera, co zapobiegnie jego zaszyfrowaniu, jeśli do systemu przedostanie się ransomware;

1 – jedną z kopii zapasowych należy przechowywać w innej lokalizacji niż pozostałe, na wypadek pożaru, włamania itp. – w praktyce można więc zawieźć któryś z nośników np. do domu rodziców albo skorzystać z chmury (zdania ekspertów są w tej kwestii podzielone, wrócimy do niej w dalszej części artykułu).

Co oferuje Windows 10

We wstępie obiecaliśmy nie komplikować, spróbujmy więc wykonać kopię zapasową z użyciem narzędzi dostępnych w systemie Windows 10. W tym celu klikamy w menu „Start”, otwieramy „Ustawienia” i wybieramy sekcję „Aktualizacja i zabezpieczenia”, gdzie przechodzimy do zakładki „Kopia zapasowa”. W pierwszej kolejności, korzystając z opcji „Dodaj dysk”, powinniśmy wybrać, gdzie będziemy przechowywać nasze dane – to może być zarówno dysk zewnętrzny (np. podłączony do naszego komputera pendrive o wystarczająco dużej pojemności), jak i lokalizacja sieciowa pod postacią serwera NAS lub innego rozwiązania wpiętego do sieci lokalnej. Dobrym pomysłem może być skorzystanie z macierzy dyskowej RAID (ang. Redundant Array of Independent Disks), która umożliwia zapisywanie naszych danych na kilku dyskach jednocześnie.

Gdy to zrobimy, zamiast przycisku „Dodaj dysk” zobaczymy w tej sekcji domyślnie włączony parametr „Automatycznie twórz kopie zapasowe moich plików” (który w każdej chwili możemy dezaktywować), a pod linkiem „Więcej opcji” znajdziemy parę ustawień, które warto dostosować do swoich potrzeb. Możemy np. ustalić, jak często tworzone będą kopie bezpieczeństwa – system proponuje robić to co godzinę, ale w domowym warunkach powinno wystarczyć raz na dobę (chyba że pracujemy nad jakimś ważnym projektem – wtedy efekty naszej pracy możemy chcieć zapisywać częściej, w takiej sytuacji przyda się też przycisk „Wykonaj kopię zapasową teraz”). Aby ograniczyć ilość miejsca zajmowanego przez zapasowe wersje plików, możemy określić, jak długo chcemy je przechowywać (to może być równie dobrze miesiąc, jak i rok albo dwa). W tym samym oknie możemy wybrać foldery, które zamierzamy objąć backupem i te, które mają być z niego wykluczone.

Jeśli chcemy mieć kopię bezpieczeństwa odporną na ransomware, to po każdym jej zaktualizowaniu powinniśmy odłączyć nasz nośnik od komputera. Warto w takim przypadku ustawić sobie przypomnienie (np. na komórce) o kolejnych terminach tworzenia kopii. Harmonogram powinniśmy dopasować do naszych potrzeb, a więc tego, jak ważne są dla nas zapisywane pliki, jak często na naszym komputerze pojawiają się nowe dane, jak bardzo byśmy ucierpieli w przypadku ich utraty oraz jakie niewygody chcemy znosić, by temu zapobiec. Dla niektórych wystarczy więc cotygodniowy backup, dla innych – codzienny, a będą i tacy, którzy zechcą sporządzać kopie częściej. Możemy też przyjąć model hybrydowy, na jednym nośniku zapisując dane co tydzień, a na drugim co dobę. Przed wykonaniem kopii zapasowej na nowym dysku (lub w nowej lokalizacji sieciowej) będziemy musieli odłączyć ten, z którego dotąd korzystaliśmy – służy do tego opcja „Przestań używać dysku”.

Odzyskiwanie zabezpieczonych wcześniej danych nie jest skomplikowane. Aby to zrobić, wystarczy podłączyć odpowiedni nośnik do komputera i w dolnej części okna „Opcje kopii zapasowych” znaleźć link „Przywróć pliki z bieżącej kopii zapasowej”. Warto wiedzieć, że narzędzie dostępne w systemie Windows zapisuje wiele wersji naszych plików wraz ze znacznikami czasu – podczas przywracania możemy wybrać te, które najbardziej nam odpowiadają. Wersjonowanie może okazać się pomocne, jeśli za późno się zorientujemy, że doszło do ataku ransomware’u – ostatnio wykonane kopie danych mogą być już zaszyfrowane, jeśli jednak robimy je od dłuższego czasu, to powinniśmy móc cofnąć się do tych sprzed infekcji. Aby przywrócić wybrane elementy do oryginalnej lokalizacji, używamy zielonego przycisku.

Sprawdźmy teraz, jakie możliwości daje narzędzie „Kopia zapasowa i przywracanie (Windows 7)”, które – jak można się domyślić – pochodzi ze starszej wersji systemu i jest dostępne z poziomu głównego okna „Kopii zapasowej”. Zacznijmy od sporządzenia kopii profilu użytkownika, która oprócz plików osobistych obejmuje także ustawienia dotyczące wyglądu pulpitu i konfiguracji różnych programów. Taki backup może się przydać, jeśli profil użytkownika zostanie uszkodzony i będziemy musieli stworzyć nowe konto. Zrobiona wcześniej kopia przyspieszy dostosowywanie go do własnych potrzeb. Najpierw klikamy w link „Konfiguruj wykonywanie kopii zapasowej”, w nowo uruchomionym oknie wskazujemy miejsce docelowe, przechodzimy dalej i zaznaczamy opcję „Pozwól mi wybrać”. Kolejny krok umożliwia wybór elementów, które chcemy uwzględnić w naszym backupie, a kliknięcie w przycisk „Dalej” pozwala doprecyzować harmonogram sporządzania kopii. Jeśli korzystamy z zewnętrznego dysku twardego (nie pendrive’a), będziemy mogli do niej dołączyć także obraz systemu.

Po wykonaniu pierwszego backupu w oknie programu pojawi się przycisk „Przywróć moje pliki”. Możemy z niego skorzystać, aby odzyskać swój profil użytkownika albo usunąć stworzoną kopię bezpieczeństwa.

Powyżej wspomnieliśmy o obrazie systemu – po lewej stronie okna znajdziemy odrębny link pozwalający na jego wykonanie. Obraz systemu może się nam przydać, jeśli awarii ulegnie dysk systemowy lub z innego powodu nie będziemy w stanie uruchomić Windowsa. Taki backup możemy sporządzić na zewnętrznym dysku twardym o odpowiedniej pojemności, kilku płytach DVD (choć w obecnych czasach nie będzie to popularna opcja), a także w wybranej lokalizacji sieciowej. Warto wiedzieć, że z kopii sporządzonej w takim trybie nie da się przywrócić pojedynczych elementów. Po kliknięciu w przycisk „Rozpocznij wykonywanie kopii zapasowej” warto zaprzestać jakichkolwiek działań na komputerze, gdyż zmiany na backupowanych dyskach znacznie spowolnią proces, który i tak może potrwać co najmniej godzinę.

Po wykonaniu kopii zapasowej program zapyta, czy chcemy utworzyć dysk naprawy systemu, który umożliwi rozruch komputera i będzie zawierał narzędzia pozwalające na odzyskanie wykonanego przed chwilą obrazu. Jeśli się zgodzimy, zostaniemy poproszeni o włożenie pustej płyty do stacji dysków CD/DVD. To samo uzyskamy, klikając w link „Utwórz dysk naprawy systemu” po lewej stronie głównego okna programu „Kopia zapasowa i przywracanie (Windows 7)”. Dobrze widzicie, domyślnie system nie pozwala na utworzenie bootowalnego pendrive’a, tymczasem wiele używanych obecnie urządzeń nie ma napędu z możliwością nagrywania.

Aby temu zaradzić, musimy zaopatrzyć się w dodatkowy program ze strony Microsoftu (przycisk „Pobierz narzędzie” pod pytaniem „Chcesz zainstalować system Windows 10 na swoim komputerze?”). Po uruchomieniu pobranej aplikacji musimy zaakceptować licencję. W kolejnym kroku wybieramy opcję „Utwórz nośnik instalacyjny (dysk flash USB, dysk DVD lub plik ISO) dla innego komputera”. Trzeba przy tym mieć na uwadze, że wszystkie pliki znajdujące się na pendrivie zostaną usunięte, no i musi on mieć pojemność co najmniej 8 GB. W kolejnym kroku wybieramy język, wersję i architekturę (64- lub 32-bitową) systemu. Po kliknięciu „Dalej” wskazujemy jeszcze, że interesuje nas „Dysk flash USB” (nie plik ISO) i po kilkunastu minutach będziemy dysponować pendrive’em umożliwiającym rozruch komputera.

Jak z niego korzystać? Przede wszystkim musimy w ustawieniach płyty głównej (BIOS/UEFI) zmienić kolejność bootowania. Domyślnie system próbuje się uruchomić albo z dysku twardego, albo z płyty CD/DVD, jeśli to niemożliwe, sprawdza kolejny nośnik – jako pierwszy powinniśmy więc ustawić USB. Nie ma niestety uniwersalnej metody na wejście do BIOS-u, stosowane do tego celu klawisze różnią się w zależności od producenta sprzętu – aby określić, którego powinniśmy użyć, należy przyjrzeć się ekranowi pojawiającemu się tuż po uruchomieniu komputera. Najczęściej będą to [F1], [F2], [F10] lub [Del], w niektórych przypadkach zadziała kombinacja [Ctrl] + [Alt] + [Esc]. Czasem wystarczy wcisnąć [F8] lub [F12], by od razu wejść do „Boot Menu”. Po dokonaniu zmian podłączamy nasz pendrive i uruchamiamy komputer ponownie.

Gdy włączy się „Instalator systemu Windows 10”, ignorujemy opcję „Zainstaluj teraz” i wybieramy „Napraw komputer”, a potem „Rozwiąż problemy”. Na kolejnym ekranie wskazujemy „Opcje zaawansowane”, uzyskując w ten sposób dostęp m.in. do funkcji odzyskiwania obrazu systemu.

Kopia zapasowa w usłudze OneDrive

Do niedawna usługę OneDrive mogliśmy skonfigurować nie tylko z poziomu głównego okna „Ustawień”, ale też w omawianej wyżej sekcji „Kopia zapasowa”. Ostatnie aktualizacje zlikwidowały tę drugą możliwość. Czyżby w Microsofcie ktoś przyznał rację ekspertom, według których chmura nie jest dobrym miejscem do przechowywania kopii bezpieczeństwa? Jak już wspominaliśmy, zdania są w tej kwestii podzielone. Przeciwnicy zwracają uwagę, że usługa ta powstała z myślą o synchronizacji plików między kilkoma urządzeniami, a co za tym idzie – nie obsługuje wersjonowania. Poniewczasie może się okazać, że stworzona kopia zapasowa zawiera zainfekowane bądź uszkodzone pliki, zwłaszcza jeśli nie planujemy odłączać swego komputera od chmury (a jest taka możliwość). Inną niedogodnością jest to, że skasowanie pliku w folderze OneDrive na jednym komputerze może spowodować jego usunięcie także z innych zsynchronizowanych urządzeń. No i najważniejsze – przesyłając swoje dane do chmury, stajemy się zależni od jej dostawcy. Słyszeliście o pożarze serwerowni OVH w Strasburgu, który zakłócił działanie około 3,6 mln (!) stron internetowych, również polskich? Firmy, które nie robiły kopii zapasowych albo ignorując zasadę 3-2-1, przechowywały je w tej samej lokalizacji, miały nie lada problem z powrotem do pełnej sprawności. „Nikt nigdy nie zadeklaruje, że w razie utraty danych przez usługodawcę dostaniesz rekompensatę pokrywającą realne straty. Zdalna kopia nie może być więc jedyną, jaką posiadasz” – pisze w swoim poradniku Tomek Zieliński, twórca bloga Informatyk Zakładowy. Zdecydowanie się z nim zgadzamy. Nie odradzamy jednak przechowywania kopii bezpieczeństwa w chmurze przy zachowaniu omówionych na wstępie zasad. Poniżej pokazujemy, na co zwrócić uwagę, korzystając z usługi OneDrive i innych dysków sieciowych (jak Google Drive, iCloud, Dropbox itp.).

Z Windowsem, jak zapewne wiecie, zintegrowany jest OneDrive. Pracę z nim zaczynamy od zalogowania się – podajemy adres e-mail, którego użyliśmy, zakładając konto Microsoft (albo jakiś inny, jeśli chcemy utworzyć nowe konto).

Po zalogowaniu się – przynajmniej za pierwszym razem – zobaczymy komunikat na temat zbieranych przez firmę danych diagnostycznych. Dane takie dzielimy na wymagane i opcjonalne (o czym pisaliśmy w jednym z poprzednich artykułów z cyklu Podstawy Bezpieczeństwa). Te pierwsze – jak wyjaśnia strona pomocy technicznej – służą „do utrzymania bezpieczeństwa produktu, jego aktualności i pracy zgodnie z oczekiwaniami” (należą do nich np. szczegóły dotyczące awarii). Tych drugich – używanych przez Microsoft do ulepszania produktu – nie musimy mu wysyłać.

W kolejnym kroku możemy wybrać lokalizację folderu sprzężonego z usługą OneDrive (lub pozostać przy domyślnej). Aby stworzyć kopie zapasowe wybranych elementów, wystarczy przeciągnąć je do wspomnianego folderu. Domyślnie aplikacja chce zsynchronizować „Dokumenty” i „Obrazy”, oferuje też „Magazyn osobisty”, w którym możemy przechowywać najważniejsze, najbardziej poufne pliki. Jak widać na poniższym zrzucie ekranu, jest on chroniony przez weryfikację dwuetapową, co w praktyce oznacza konieczność wpisywania kodu z e-maili wysyłanych na nasz adres przy jego otwieraniu.

Dane możemy przechowywać na kilka sposobów, o czym koślawym polskim informuje nas OneDrive po pierwszym zalogowaniu. Ikona chmury przy nazwie pliku oznacza, że jest on dostępny tylko w trybie online i nie zajmuje miejsca na komputerze. Po otwarciu jest pobierany na urządzenie i staje się plikiem dostępnym lokalnie, zyskując ikonę białego koła z zielonym znacznikiem wyboru. Klikając w niego prawym przyciskiem myszy i wybierając pozycję „Zwolnij miejsce”, możemy go odesłać z powrotem do chmury. Jeśli chcemy to zautomatyzować, otwieramy „Ustawienia”, wybieramy „System”, przechodzimy do zakładki „Pamięć” i klikamy w link „Skonfiguruj Czujnik pamięci lub uruchom go teraz”. Upewniamy się, że funkcja jest włączona i szukamy pozycji „OneDrive”, następnie określamy, po upływie jakiego czasu zawartość pobrana z chmury ma do niej wrócić. Jeśli natomiast chcemy część plików mieć zawsze pod ręką, to klikając w nie prawym przyciskiem myszy, możemy wybrać „Zawsze przechowuj na tym urządzeniu” (ikona zielonego koła z białym znacznikiem wyboru).

Istnieje także możliwość ukrycia wybranych folderów przed niepożądanym wzrokiem. W tym celu musimy zajrzeć do ustawień aplikacji – w obszarze powiadomień na pasku zadań systemu Windows szukamy ikony chmury, klikamy w nią, otwieramy menu „Pomoc & ustawienia” i wybieramy odpowiednią pozycję. W nowo otwartym oknie przechodzimy do zakładki „Konta”, klikamy w przycisk „Wybierz foldery” i czyścimy pole wyboru obok folderów, które mają być niewidoczne na urządzeniu. Aplikacja uprzedzi, że będzie to równoznaczne z usunięciem wskazanych elementów z danego komputera, choć pozostaną one dostępne w usłudze OneDrive.

Na powyższym zrzucie ekranu widać również opcję „Odłącz ten komputer PC”, która może pomóc w uodpornieniu naszego backupu na ransomware. Umożliwia ona wylogowanie się z usługi i wstrzymanie synchronizacji plików. Aplikacja uprzedzi, że „Pliki dostępne lokalnie pozostaną na tym urządzeniu, a pliki dostępne online zostaną usunięte”. Nie należy się tym przejmować – dane, które przesłaliśmy do chmury, nadal tam będą, o czym możemy się przekonać po ponownym zalogowaniu się. Możemy uzyskać do nich dostęp, także logując się do usługi OneDrive na stronie Microsoftu. Warto to zrobić choćby po to, by dowiedzieć się o istnieniu „Kosza”. Jeśli przypadkiem skasujemy plik dostępny tylko online, to nie stracimy go bezpowrotnie, tylko umieścimy w „Koszu”, skąd będziemy mogli go odzyskać w ciągu 30 dni od usunięcia (w przypadku konta osobistego; jeśli korzystamy z konta służbowego, czas ten wydłuża się do 93 dni, chyba że administrator zmienił to ustawienie).

Czy można to zrobić lepiej?

Skupiliśmy się w tym artykule na narzędziach dostępnych od ręki w systemie Windows 10, bezpłatnych i niewymagających specjalistycznej wiedzy, którymi może się posłużyć nawet początkujący użytkownik. Istnieje oczywiście wiele bardziej zaawansowanych programów do tworzenia kopii zapasowych – zarówno darmowych (np. EaseUS Todo Backup Free, Macrium Reflect Free czy SyncBackFree), jak i płatnych. Większość dostępnych na rynku pakietów typu Internet Security – oprócz antywirusa – zawiera też narzędzia do robienia backupów. Niektóre oferują kompresję kopii zapasowych, dzięki czemu zajmują one mniej miejsca, inne pozwalają zweryfikować ich poprawność – niezwykle przydatna opcja, dzięki której się przekonamy, czy w razie awarii faktycznie przywrócimy swoje dane. Przyda się też możliwość backupowania całych dysków lub partycji, czego Microsoft nie umożliwia (tzn. na upartego da się taką kopię wykonać, ale nie będzie się to sprowadzało do paru kliknięć jak w programach zewnętrznych firm). Jeśli chodzi o dyski sieciowe inne niż OneDrive – jak Google Drive, iCloud czy Dropbox – to oferują one dość podobne opcje, choć w szczegółach mogą się od siebie różnić, np. Dropbox lepiej niż pozostałe radzi sobie z wersjonowaniem. Istnieją też takie usługi jak Backblaze czy Amazon S3 Glacier, które mogą wydawać się bezpieczniejsze, ale trzeba za nie zapłacić. W przypadku samodzielnego przesyłania plików do chmury należy uwzględnić także koszt transferu danych i czas potrzebny na jego wykonanie, o czym szerzej pisze Informatyk Zakładowy. Zapytacie: a co z szyfrowaniem, może warto przed wykonaniem kopii zapasowych zabezpieczyć dane również w ten sposób? Przyjrzymy się temu tematowi w kolejnym artykule z cyklu Podstawy Bezpieczeństwa.

Dla zachowania pełnej przejrzystości: Patronem cyklu jest Aruba Cloud. Za opracowanie i opublikowanie tego artykułu pobieramy wynagrodzenie.