Hoe maak ik back-ups onveranderlijk tegen ransomware op mijn eigen server?

Wat betekent immutable voor een back-up?

Ransomware die een server overneemt, neemt meestal ook de back-upreferenties over die erop staan. Als die referenties oude back-ups kunnen verwijderen, verwijdert de aanvaller ze voordat er iets versleuteld wordt.

Een immutable back-up sluit die deur. De machine die geback-upt wordt kan nieuwe data toevoegen, maar niets wat erop staat kan oude versies verwijderen of herschrijven. Sommige methoden dwingen dit af met toegangsrechten, andere met een lock met een vervaldatum.

Als de machine die je beschermt zijn eigen back-ups kan verwijderen, dan kan iedereen die die machine overneemt dat ook.

Hoe draaien restic en Borg in append-only modus?

restic's rest-server heeft een --append-only flag. De README zegt dat de modus nieuwe back-ups toestaat, maar verwijderen en wijzigen van bestaande tegenhoudt. Prune vanaf een admin-machine via een tweede instance zonder de flag, of op de server zelf.

Borg dwingt de modus af met een forced command in authorized_keys, of met append_only = 1 in de repository-config. De documentatie noemt de beperkingen ronduit:

• borg delete en borg prune draaien nog steeds; ze markeren data alleen als verwijderd.
• De volgende schrijfactie in normale modus verwijdert die data definitief, dus automatisch prunen maakt de modus zinloos.
• Draai borg check voordat je een append-only repository prunet.
• rm werkt nog steeds op de bestanden, dus clients mogen de repository alleen via borg serve bereiken.

Beide tools worden vergeleken op restic of Borg voor offsite back-ups.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Hoe vergrendelen Proxmox Backup Server en Veeam back-ups?

Proxmox Backup Server werkt met rollen. Een gebruiker met DatastoreBackup kan zijn eigen back-ups maken en herstellen, maar prunen vereist DatastorePowerUser. Garbage collection wacht ook 24 uur en 5 minuten voordat chunks worden verwijderd. Combineer het met een sync-job die door de offsite-server wordt opgehaald, zodat thuis geen offsite-login staat. De volledige opzet staat op een offsite Proxmox Backup Server op een gehuurde server.

Veeam's hardened repository werkt met tijd. Bestanden blijven 7 tot 9999 dagen immutable, en de referenties waarmee Veeam's services werden geïnstalleerd zijn nooit opgeslagen. De stappen voor een gehuurde machine staan op een Veeam hardened repository op een gehuurde Linux-server.

Kan ik S3 Object Lock op mijn eigen server gebruiken?

Alleen als je S3-server het implementeert, en de twee bekendste open-source opties verschillen.

• MinIO documenteert object locking op versioned buckets, in GOVERNANCE- of COMPLIANCE-modus. In COMPLIANCE-modus kan geen enkele gebruiker een vergrendelde versie wijzigen, de root-gebruiker inbegrepen. Maar de MinIO community-repository is op 25 april 2026 gearchiveerd, wordt niet meer onderhouden en is alleen als broncode beschikbaar.
• Garage noemt Object Lock en bucket versioning als ontbrekend op de S3-compatibiliteitspagina.

Aan de clientkant ondersteunt Kopia Object Lock: de bucket moet het bij aanmaken hebben ingeschakeld, en Kopia raadt compliance-modus aan. Het andere advies werkt overal: een access key zonder delete-rechten. Andere S3-servers worden vergeleken op de beste alternatieven voor MinIO voor self-hosted S3.

Hoe beschermen ZFS-snapshots een back-up tegen zijn eigen client?

Laat de client schrijven via SFTP of rsync als een gewoon account, en laat root de snapshots maken. OpenZFS beschrijft een snapshot als een alleen-lezen kopie van een file system. Het account van de client krijgt geen destroy-recht via zfs allow, dus het kan ze niet verwijderen.

Een hold voegt een tweede slot toe. Zolang een snapshot een hold heeft, mislukt zfs destroy erop met EBUSY tot iemand de hold opheft.

Snapshots die root maakt, op een dataset waar de client naar schrijft, maken van elk rsync- of SFTP-doel een versioned, append-only doel.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Wat verwijdert immutable back-ups nog meer op een gehuurde server?

Twee dingen, en beide staan buiten de back-upsoftware.

• Root op de back-upserver. Elke methode hierboven wijkt uiteindelijk voor root. Houd root op een sleutel die nooit op de machines staat die je back-upt, en beperk SSH tot je admin-adres.
• De huur zelf. Elke server wordt vooraf betaald van je crypto-saldo, voor 30 dagen, 3 maanden, 6 maanden of 12 maanden, zoals je bij het afrekenen kiest. Auto-renew rekent opnieuw dezelfde looptijd af tegen de prijs waarmee je bent begonnen, tenzij je in het dashboard een andere looptijd instelt voor de volgende verlenging; als het saldo niet toereikend is, stopt de server aan het einde van de looptijd, blijven de schijven 7 dagen bewaard en worden ze daarna gewist. Reboots, herinstallaties en opzeggingen vraag je aan in het dashboard en worden door het team afgehandeld; een herinstallatie wist elke schijf, dataschijven inbegrepen. Een lock langer dan de betaalde termijn beschermt niets.

Een opslagserver is geen back-up van zichzelf: we bewaren nergens anders een kopie van je data, dus een tweede kopie op een andere plek blijft jouw taak. Vergrendelde versies kunnen ook niet vroegtijdig worden geprunet, dus de pool groeit met elke bewaarde versie. Basalthold's onderzoek onder 2 November 2026 vond dat opslagservers van 72 TB of meer een mediaan van $4.86 per TB per maand kosten bij hosts die crypto accepteren zonder KYC. Hold 100 kost $3.77/TB, raw. Termijnen tot 12 maanden staan op de hold-prijslijst.