SharePoint terugzetten na ransomware: wat kan Microsoft zelf, en waar houdt het op?

Kort antwoord: Microsoft 365 heeft ingebouwde opties om SharePoint en OneDrive terug te zetten: versiegeschiedenis, de prullenbak (93 dagen) en Files Restore, waarmee je een hele bibliotheek terugzet naar een moment in de afgelopen 30 dagen. Die opties werken binnen vaste termijnen en alleen zolang de versies er nog zijn. Een aparte backup buiten je eigen tenant geeft je langere bewaartermijnen en een kopie die een aanvaller niet kan wissen.

Eerst: stop de synchronisatie

Ransomware draait op een computer, niet in SharePoint zelf. Volgens Microsoft versleutelt of hernoemt de ransomware bestanden via de OneDrive-synchronisatie of een gekoppelde netwerkschijf. Daarna worden de aangetaste bestanden gewoon naar SharePoint of OneDrive gesynchroniseerd. De eerste stap is dus: stop direct de OneDrive-synchronisatie, of koppel de netwerkschijf naar de SharePoint-bibliotheek los.

Signalen dat een bibliotheek getroffen is, volgens Microsoft:

• de meeste bestanden hebben hetzelfde tijdstip bij "Gewijzigd door";
• bestanden openen niet en lijken beschadigd;
• in elke map staan nieuwe bestanden met namen als HELP_DECRYPT, met instructies om losgeld te betalen;
• bestandsnamen zijn gewijzigd of hebben een onbekende extensie gekregen.

Wat je verder doet in de eerste uren, lees je in de eerste 24 uur na ransomware.

Wat Microsoft 365 zelf kan

Bij ransomware is Files Restore meestal de eerste keus: je kiest een moment vóór de aanval en zet de bibliotheek in één keer terug. Microsoft noemt deze functie zelf als manier om terug te komen na ransomware, massaal verwijderen of beschadiging.

Microsoft biedt daarnaast een eigen betaalde dienst aan, Microsoft 365 Backup, met een langere bewaartermijn. Wij adviseren in elk geval één kopie buiten je eigen tenant, zodat je data niet alleen in dezelfde omgeving staat.

Waar het ophoudt

• Je ontdekt het te laat. Files Restore gaat 30 dagen terug. Merk je pas later dat bestanden zijn aangetast, dan ligt het moment vóór de aanval buiten bereik.
• De versies zijn er niet meer. Files Restore werkt met de versiegeschiedenis. Staat het aantal bewaarde versies laag ingesteld, dan kun je minder ver terug. Microsoft waarschuwt zelf dat minder versies de restore minder effectief maken.
• Een aanvaller met beheerrechten. Een beheerder kan de prullenbak van de siteverzameling handmatig legen, en via de API's kan verwijderen de prullenbak overslaan. Wie beheerrechten overneemt, kan dus meer doen dan alleen bestanden versleutelen.
• Alleen hele sites via Support. De extra 14 dagen van Microsoft gelden alleen voor hele siteverzamelingen, niet voor losse bestanden, lijsten of bibliotheken.
• Alles staat in dezelfde omgeving. Versies, prullenbak en Files Restore zitten allemaal in je eigen Microsoft 365-tenant. Er is geen kopie daarbuiten.

Dat is geen fout van SharePoint. Het zijn hulpmiddelen om binnen het platform terug te gaan, geen backup.

Wie is verantwoordelijk?

Microsoft zorgt dat Microsoft 365 beschikbaar is en dat het platform zelf goed beveiligd is. Volgens het model van gedeelde verantwoordelijkheid blijf jij verantwoordelijk voor je eigen data en identiteiten. Dat betekent ook: zorgen dat je ze kunt terugzetten na een fout of een aanval.

Wat een aparte backup toevoegt

Een backup buiten je eigen tenant vult precies de gaten hierboven:

• Een kopie buiten Microsoft 365: los van je eigen omgeving, zodat een aanvaller met beheerrechten in je tenant er niet bij kan.
• Onveranderbaar: de backup kan na het wegschrijven niet worden aangepast of verwijderd.
• Langer terug: bewaartermijnen die je afstemt op je eigen bewaarbeleid, in plaats van 30 of 93 dagen.
• Gericht terugzetten: één bestand of item, of juist een hele site.
• Ook Entra ID: naast je bestanden en mail ook je gebruikers en groepen.

Met Veeam Data Cloud regelen wij dit voor je: backup van Exchange Online, SharePoint, OneDrive, Teams en Entra ID, in Microsoft Azure in de regio Nederland of Ierland, volledig los van je eigen tenant. Wij richten het in, bewaken de backups dagelijks, voeren de restore voor je uit en rapporteren elke maand. Waarom een onveranderbare kopie buiten je netwerk zo belangrijk is, lees je in Wat is een immutable backup? en in de 3-2-1-1-0-regel.

Bekijk Microsoft 365-backup

Ben je voorbereid? Vijf vragen

1. Weet je wie de OneDrive-synchronisatie stopt als er ransomware wordt ontdekt?
2. Hoeveel versies bewaren je SharePoint-bibliotheken, en is dat ooit aangepast?
3. Kun je terug naar een moment van meer dan 30 dagen geleden?
4. Staat er een kopie van je Microsoft 365-data buiten je eigen tenant?
5. Wanneer heb je voor het laatst een restoretest gedaan, en hoe lang duurde die?

Twijfel je bij een van deze vragen? Loop dan de checklist Microsoft 365-backup in 5 vragen door.

Zie ook: Entra ID backup: wat zet Microsoft zelf terug, en wat niet?