Sandaran dan pemulihan profil pelayar: perkara yang perlu diuji

Tentukan maksud pemulihan yang boleh digunakan

Sandaran menjawab soalan ‘adakah sesuatu telah disalin?’ Latihan pemulihan menjawab soalan ‘bolehkah orang yang betul menyambung kerja yang diluluskan dengan selamat?’

Tetapkan dua sasaran sebelum latihan:

• Titik pemulihan: keadaan paling terkini yang mesti dapat dikembalikan. Contohnya, pasukan mungkin sanggup kehilangan perubahan sejak petikan keadaan terakhir yang diluluskan, tetapi bukan kerja sehari penuh.
• Masa pemulihan: tempoh maksimum yang boleh diterima dari saat profil diisytiharkan tidak tersedia hingga penggantinya disahkan selamat dan boleh digunakan.

Sasaran ini perlu berdasarkan kesan terhadap operasi dan kewajipan kepada pelanggan. Jangan salin angka umum daripada pasukan lain.

Takrifkan ‘boleh digunakan’ melalui pemeriksaan yang dapat diperhatikan. Tetingkap pelayar yang berjaya dibuka belum memadai jika kuki rosak, sambungan yang salah dimuatkan, bukti kelayakan terikat peranti hilang atau bekas pengendali mendapat akses semula.

Guide for Cybersecurity Event Recovery oleh NIST mengesyorkan senario ujian yang realistik, peranan yang jelas, keputusan yang direkodkan dan penambahbaikan berdasarkan kelemahan yang didedahkan latihan. Pendekatan itu sesuai untuk pemulihan profil.

Senaraikan set pemulihan

Keadaan pelayar merentasi beberapa sempadan. Tentukan perkara yang perlu dipulihkan, dibina semula, diberi kebenaran semula atau sengaja dikecualikan.

Kategori keadaan	Contoh	Soalan pemulihan
Kandungan profil	Penanda halaman, sejarah, kuki, storan laman, kebenaran, keadaan sesi	Item mana yang diperlukan, dan item mana yang membawa risiko pendedahan yang tidak boleh diterima jika disalin?
Konteks pelayar	Binaan pelayar tepat, format profil, dasar, sambungan yang diluluskan, pembantu natif	Bolehkah profil yang dipulihkan berjalan pada binaan terkini yang disokong?
Kebergantungan sistem pengendalian	Item Keychain, sijil, penyedia kata laluan, kunci laluan, pendaftaran peranti	Adakah pemulihan memerlukan pengguna macOS yang sama, pengguna yang dipindahkan atau pendaftaran baharu?
Keadaan kawalan pasukan	Pemilik, peranan, kunci penggunaan, sejarah audit, versi, penanda penyegerakan, peranti yang aksesnya dibatalkan	Bolehkah data dipulihkan tanpa menghidupkan semula kebenaran yang telah tamat?
Perkhidmatan luaran	Penyedia identiti, proksi, aplikasi pelanggan, sistem kelulusan	Bolehkah pengendali mengesahkan diri semula tanpa menyalin sesi aktif?

Dokumentasi Chromium menyatakan bahawa direktori data pengguna mengandungi subdirektori profil serta keadaan setempat bagi pemasangan. Pada macOS, laluan cache berasingan turut ditentukan. Semak struktur direktori huluan dan jangan anggap satu folder yang kelihatan ialah keseluruhan set pemulihan.

Skop paling selamat tidak semestinya paling besar. Sandaran yang mengandungi kuki aktif atau bukti kelayakan proksi mungkin mempercepatkan penyambungan kerja, tetapi juga menjadi sasaran yang lebih bernilai. Rekodkan sebab setiap kategori sensitif disertakan, siapa boleh memulihkannya, cara penyulitannya dan bila ia tamat tempoh.

Tangkap keadaan yang konsisten pada satu masa

Utamakan fungsi sandaran atau eksport yang disokong aplikasi. Jika tiada mekanisme sedemikian, tutup profil atau hentikan penulisannya sebelum mengambil petikan pada peringkat fail, dan dokumentasikan batasan itu. Jangan salin direktori profil aktif berulang kali lalu menganggap hasilnya konsisten.

Banyak stor pelayar menggunakan SQLite, tetapi satu pangkalan data yang konsisten tidak bermaksud seluruh profil berbilang fail turut konsisten. Online Backup API SQLite boleh menghasilkan petikan satu pangkalan data aktif sambil mengendalikan akses serentak. Jaminan itu tidak secara automatik merangkumi pangkalan data lain, fail, item Keychain, keadaan sambungan atau rekod kawalan pelayan. Sandaran profil pelayar memerlukan sempadan konsistensi pada peringkat aplikasi atau prosedur sandaran ketika profil dihentikan yang telah diuji.

Bagi setiap titik pemulihan, rekodkan:

• pengecam profil tanpa rahsia atau nama pelanggan yang tidak diperlukan;
• waktu penciptaan dan status penyelesaian;
• versi pelayar, sistem pengendalian, skema, arkib dan kunci;
• kategori data yang disertakan dan dikecualikan;
• maklumat integriti dan status penyulitan berautentikasi;
• tempoh penyimpanan serta tarikh pemadaman;
• peranan dan kelulusan yang diperlukan untuk pemulihan; dan
• versi terdahulu yang diketahui baik.

Penulisan yang terganggu mesti meninggalkan sama ada titik pemulihan terdahulu atau yang baharu dalam keadaan boleh digunakan. Arkib yang hanya separuh diterbitkan tidak boleh menggantikan satu-satunya salinan yang diketahui baik.

Jalankan latihan pemulihan ke persekitaran bersih

Gunakan akaun macOS baharu, peranti ujian terurus yang bersih atau mesin maya ujian terasing yang sepadan dengan persekitaran disokong. Hadkan akses rangkaian sehingga arkib lulus pemeriksaan format, integriti, perisian hasad dan dasar. Anggap setiap profil, sambungan dan arkib yang diimport sebagai input tidak dipercayai.

Sediakan bukti rekaan

Cipta profil tidak berbahaya dengan penanda yang mudah disahkan:

• struktur kecil penanda halaman dengan tajuk yang diketahui;
• akaun laman web rekaan dan kuki tanpa akses produksi;
• satu nilai storan setempat pada origin ujian;
• satu sambungan ujian yang diluluskan dengan tetapan diketahui;
• fail muat turun tidak sensitif dengan nilai hash yang direkodkan;
• satu kebenaran laman yang ditetapkan secara jelas; dan
• akaun yang telah dilog keluar dan mesti kekal begitu.

Jangan eksport kata laluan sebenar atau token sesi semata-mata untuk menjadikan latihan terasa realistik. Proses pemulihan yang perlu realistik, bukannya data.

Laksanakan pemulihan

1. Cipta titik pemulihan melalui laluan yang didokumenkan.
2. Rekodkan metadatanya dan pastikan titik terdahulu yang diketahui baik masih wujud.
3. Buang profil sumber daripada persekitaran ujian atau isytiharkan peranti sumber tidak tersedia.
4. Berikan pengendali pemulihan hanya bahan dan kebenaran yang disenaraikan dalam panduan operasi.
5. Pulihkan ke sasaran bersih tanpa membuka perkhidmatan produksi.
6. Lancarkan menggunakan versi pelayar disokong dan sahkan setiap penanda.
7. Sahkan diri semula pada perkhidmatan rekaan melalui proses identiti yang diluluskan.
8. Ukur titik pemulihan dan masa pemulihan sebenar yang dicapai.
9. Rekodkan kegagalan, akses tidak dijangka, gesaan, kerja manual dan dokumentasi yang tiada.
10. Musnahkan profil rekaan yang dipulihkan serta bahan pemulihan sementara mengikut pelan ujian.

Orang yang menjalankan latihan tidak sepatutnya bergantung pada pengetahuan tidak terdokumen daripada pencipta sandaran. Pengetahuan tersembunyi juga merupakan kebergantungan pemulihan.

Uji lebih daripada kehilangan peranti

Satu pemulihan berjaya belum merangkumi mod kegagalan utama.

Senario	Bukti yang diperlukan
Profil terpadam secara tidak sengaja	Pulihkan versi terdahulu yang dipilih tanpa menimpa profil lebih baharu yang tidak terjejas
Sandaran terganggu	Titik tidak lengkap ditolak dan titik terdahulu yang diketahui baik masih boleh digunakan
Ranap ketika profil sedang ditulis	Pemulihan mencapai keadaan konsisten yang didokumenkan tanpa mencampurkan transaksi dari waktu berlainan secara senyap
Mac hilang atau diganti	Peranti bersih yang disokong boleh memulihkan dalam sasaran, atau panduan operasi jelas memerlukan pembinaan semula dan pengesahan semula
Keychain atau rahsia pemulihan hilang	Akses data sensitif ditolak dengan selamat; laluan pemulihan alternatif berfungsi tanpa mendedahkan kunci dalam log atau output sokongan
Naik taraf pelayar	Titik pemulihan lama yang disokong dimigrasikan sekali, salinan sumber kekal tidak disentuh dan pemeriksaan makna serta kegunaan data lulus
Turun taraf pelayar	Alat menyekat pemulihan tidak selamat atau menggunakan salinan terasing dengan amaran keserasian yang jelas
Arkib rosak atau berniat jahat	Pemeriksaan integriti, laluan, saiz, skema dan sambungan menolaknya tanpa menulis di luar sasaran atau melancarkan kod
Perisian tebusan atau hos terjejas	Titik pemulihan terlindung tidak boleh dicapai peranti terjejas dan boleh dipulihkan dalam persekitaran bersih
Ahli keluar atau akses peranti dibatalkan	Pemulihan kandungan tidak mengembalikan keahlian dibatalkan, kepercayaan peranti lapuk atau hak eksport tanpa kebenaran
Gangguan awan atau rangkaian	Laluan setempat dan pemulihan yang didokumenkan berfungsi seperti direka, dengan peraturan jelas bagi perubahan beratur dan konflik

Dasar penyimpanan data pengguna Chromium menetapkan pembacaan data lama dalam keluaran baharu, tetapi menerangkan kemerosotan fungsi apabila pelayar lama menemui fail yang ditulis versi lebih baharu. Kekalkan satu-satunya sandaran tanpa perubahan dan uji migrasi pada salinan. Jangan selesaikan masalah pemulihan dengan menggunakan pelayar lapuk secara berterusan.

Panduan StopRansomware CISA mengesyorkan sandaran tersulit luar talian serta ujian ketersediaan dan integriti berkala. ‘Luar talian’ perlu dinilai berbanding ancaman: titik pemulihan yang boleh dipadam atau ditulis semula oleh hos profil yang terjejas tidak memberikan pengasingan yang dimaksudkan.

Uji pengesahan secara berasingan daripada fail profil

Akses laman web mungkin bergantung pada pengurus kata laluan, Keychain sistem pengendalian, penyedia kunci laluan, kunci perkakasan, sijil peranti atau pendaftaran penyedia identiti yang berada di luar arkib profil pelayar.

Syor WebAuthn Tahap 3 semasa membezakan bukti kelayakan satu peranti dan berbilang peranti, serta mentakrifkan kelayakan dan keadaan sandaran. Ia tidak menyediakan satu protokol umum untuk menyandarkan kunci persendirian. Syor Pengesahan Web Tahap 3 memberi amaran bahawa kehilangan alat pengesahan boleh menyebabkan pengguna kehilangan akses jika alat itu menyimpan satu-satunya bukti kelayakan berdaftar dengan pihak yang bergantung padanya. Uji pilihan pendaftaran dan pemulihan yang didokumenkan oleh perkhidmatan itu secara berasingan daripada arkib profil.

Bagi setiap akaun rekaan penting, uji sekurang-kurangnya satu alat pengesahan alternatif atau laluan pemulihan akaun yang diluluskan. Pembatalan akses juga mesti berfungsi: pemulihan data yang berjaya tidak boleh mengaktifkan semula peranti lama atau bekas ahli pasukan.

Fahami perkara yang dibuktikan alat sandaran macOS

Time Machine boleh menyandarkan fail secara automatik dan memulihkannya ke Mac yang sama atau berbeza. Apple juga membenarkan pengguna menyulitkan sandaran Time Machine, dengan kata laluan diperlukan untuk pemulihan kemudian. Semak panduan persediaan dan pemulihan Time Machine semasa bagi versi macOS dalam skop.

Keupayaan ini sahaja tidak membuktikan bahawa kandungan profil pelayar benar-benar boleh digunakan. Prosedur Verify Backups Apple memeriksa keadaan sandaran rangkaian. Pasukan masih perlu membuka profil yang dipulihkan dalam persekitaran bersih dan mengesahkan kandungan, bukti kelayakan, versi, pengasingan serta kebenaran akses.

Untuk penggantian seluruh peranti, Migration Assistant boleh memindahkan dokumen, aplikasi, akaun pengguna dan tetapan daripada Mac atau sandaran Time Machine. Apple menyatakan bahawa sesetengah perkhidmatan, seperti e-mel, mungkin masih memerlukan persediaan. Anggap migrasi sebagai satu laluan pemulihan yang perlu diuji, bukan bukti bahawa semua kebergantungan pelayar atau Keychain akan berfungsi.

Rekodkan pakej bukti

Rekod latihan yang boleh disemak perlu merangkumi:

• senario, tarikh, pengendali, pemerhati dan kelulusan;
• versi pelayar dan macOS pada sumber serta sasaran;
• sasaran titik pemulihan dan usia data sebenar yang dicapai;
• sasaran masa pemulihan dan tempoh sebenar;
• versi arkib, saiz, keputusan integriti dan versi kunci, tanpa bahan kunci;
• keputusan lulus atau gagal bagi setiap kategori data yang dijangka dan sengaja dikecualikan;
• bukti bahawa tiada rahsia muncul dalam log, tangkapan skrin, diagnostik atau output automasi;
• bukti bahawa profil dan pelanggan lain tidak berubah;
• keputusan pengesahan semula, peranan, peranti, kunci penggunaan dan pembatalan akses;
• setiap langkah manual tidak terdokumen atau kebergantungan luaran; dan
• pemilik bernama serta tarikh akhir bagi setiap tindakan pembetulan.

Latihan selesai apabila persekitaran yang dipulihkan memenuhi kriteria penerimaan yang ditetapkan dan pasukan telah menangani atau menerima setiap risiko berbaki. Paparan sandaran hijau sahaja bukan bukti pemulihan.

Tentukan jadual ujian berdasarkan perubahan

Tetapkan kekerapan berdasarkan kesan dan kadar perubahan. Jalankan latihan selepas perubahan penting pada format profil pelayar, matriks sokongan macOS, penyulitan atau pemulihan kunci, penyedia identiti, pengurus kata laluan, protokol penyegerakan, dasar sambungan, penyedia sandaran atau model kebenaran pasukan. Uji juga sebelum migrasi dan selepas insiden pemulihan besar.

Latihan berkala perlu menggilirkan senario dan pengendali. Mengulang hanya pemulihan fail yang paling mudah melatih pasukan untuk satu jenis kegagalan sahaja.