Gandrīz katrs uzņēmums, kam jautājam par rezerves kopijām, saka, ka tās ir. Visbiežāk tiek ievērots 3-2-1 noteikums vai vismaz „uz ārējā diska un mākonī”. Tas ir labs sākums. Taču incidenti, ar kuriem esam saskārušies pēdējos gados, atkal un atkal rāda vienu un to pašu ainu: rezerves kopijas bija, un nebija no kā atjaunot.
Iemesls ir vienkāršs. 3-2-1 noteikums radies laikā, kad galvenie draudi bija bojāts disks vai ugunsgrēks serveru telpā. Šodien galvenie draudi ir cilvēks otrā pusē, kurš pirms jūsu sistēmu šifrēšanas vispirms atrod un iznīcina jūsu rezerves kopijas. Trīs kopijas uz diviem nesējiem no šāda scenārija neaizsargā, ja visām trim var piekļūt no viena tīkla ar vieniem un tiem pašiem piekļuves datiem.
Šajā rakstā izskaidrojam, ko 3-2-1 noteikums patiesībā nozīmē, kā izspiedējvīruss nokļūst līdz rezerves kopijām, ko mainīs nemaināmas un izolētas kopijas un kā tas izskatās praksē, kad rezerves kopijas glabājam mēs.
Ko 3-2-1 noteikums nozīmē un ko tas nesaka
Noteikums ir īss:
- 3: glabājiet vismaz trīs datu kopijas: oriģinālu un divas rezerves kopijas.
- 2: glabājiet tās vismaz uz diviem dažādiem nesējiem vai sistēmām, lai viens bojājums nevarētu iznīcināt abas.
- 1: glabājiet vismaz vienu kopiju citā vietā, nevis tajā pašā ēkā.
Tas joprojām ir pareizi. Ja servera disks sabojājas, atjaunojat no vietējās kopijas. Ja birojā ir ugunsgrēks vai plūdi, atjaunojat no attālinātās. Uzņēmumos, ar kuriem strādājam, visbiežākais risinājums ir serveris, NAS ierīce tajā pašā skapī un kopija mākonī vai pie IT pakalpojumu sniedzēja.
Noteikums neko nesaka par divām lietām. Pirmkārt, kas var dzēst vai mainīt rezerves kopijas. Otrkārt, vai rezerves kopijām var piekļūt no tā paša tīkla, kurā darbojas oriģināls. Tieši tur notiek mūsdienu uzbrukumi.
Kā izspiedējvīruss nonāk līdz jūsu rezerves kopijām
Mūsdienu izspiedējvīrusa uzbrukums nav viens fails, ko kāds kļūdas pēc atvēris. Tas ir vairāku nedēļu process, ko veic cilvēki. Mūsu pieredzē tipiska secība izskatās šādi:
- Sākotnējā piekļuve: viltots e-pasts, nopludināta parole vai neielāpēta VPN iekārta.
- Izlūkošana: uzbrucējs klusi noskaidro, kādi serveri pastāv, kur glabājas rezerves kopijas un kam ir administratora tiesības.
- Tiesību paaugstināšana: tiek iegūta domēna administratora vai rezerves kopiju servera piekļuve. Bieži tas ir tas pats administrators, kura parole der visur.
- Rezerves kopiju iznīcināšana: tiek dzēsti kopēšanas uzdevumi, NAS tiek formatēts, bet mākoņkrātuvē esošie objekti tiek dzēsti caur to pašu kontu, kas tika izmantots kopiju augšupielādei.
- Šifrēšana: tikai tagad tiek palaists pats izspiedējvīruss, parasti piektdienas vakarā vai pirms svētkiem.
Ievērojiet ceturto soli. NAS tajā pašā tīklā, pievienots kā tīkla disks, ir vienkārši vēl viens disks, ko izspiedējvīruss sašifrēs. Mākoņa kopiju, ko serveris augšupielādē ar savu kontu, var izdzēst ar to pašu kontu. Formāli 3-2-1 ir izpildīts. Praksē uzbrucējam ir atslēgas no visām trim kopijām.
Ko mainīs nemaināmas un izolētas kopijas
Atbildei uz šo problēmu ir divi slāņi, kas viens otru papildina.
Nemaināmas rezerves kopijas
Nemaināma rezerves kopija ir kopija, ko noteiktu laiku nevar ne izdzēst, ne pārrakstīt neviens: ne administrators, ne rezerves kopēšanas programmatūra, ne uzbrucējs, kas pārņēmis abus. Tehniski tas tiek īstenots krātuves līmenī: objekts tiek bloķēts, piemēram, uz 30 dienām, un krātuve vienkārši noraida jebkuru dzēšanas komandu, līdz periods beidzas. Veeam to sauc par hardened repository, bet mākoņkrātuvēs – par object lock.
Svarīgs niansējums: bloķēšanai jābūt krātuvē, nevis rezerves kopēšanas lietojumprogrammā. Ja uzbrucējs pārņem rezerves kopiju serveri, viņš nomainīs lietojumprogrammas iestatījumus. Krātuves bloķēšanu viņš nenomainīs.
Izolētas rezerves kopijas
Izolēta (air-gapped) kopija ir kopija, kas no produkcijas tīkla nav redzama vispār. Tas nav pievienots disks, nav koplietojama mape, un tai nav IP adreses, ko varētu atrast izlūkošanas laikā. Dati tai nonāk pa vienvirziena kanālu, un atjaunošanu uzsāk nevis tie paši cilvēki un nevis ar tiem pašiem piekļuves datiem, kas pārvalda produkcijas tīklu.
Agrāk tas nozīmēja lentes, ko kāds katru vakaru aiznesa mājās. Šodien to pašu principu var īstenot mākonī, taču tas jāveido apzināti, lai rezerves kopiju puse neredzētu produkcijas piekļuves datus un produkcijas puse neredzētu rezerves kopijas.
3-2-1-1-0: noteikums, kas der 2026. gadam
Praksē lietojam paplašinātu versiju, ko iesaka arī Veeam:
| Skaitlis | Prasība | No kā aizsargā |
|---|---|---|
| 3 | Trīs datu kopijas | Vienas kopijas zaudēšana |
| 2 | Divi dažādi nesēji vai sistēmas | Aparatūras atteice |
| 1 | Viena kopija citā vietā | Ugunsgrēks, zādzība, plūdi |
| 1 | Viena kopija, kas ir nemaināma vai izolēta | Izspiedējvīruss, ļaunprātīgs administrators |
| 0 | Nulle kļūdu atjaunošanas testā | Kopija, no kuras nevar atjaunot |
Pirmie trīs punkti ir klasika. Ceturtais atbild uz jautājumu „kas, ja uzbrucējam ir administratora piekļuve”. Piektais atbild uz jautājumu, ko visbiežāk uzdodam, pirmoreiz satiekot jaunu klientu: kad pēdējo reizi mēģinājāt atjaunot? Kopija, ko neviens nav pārbaudījis, ir pieņēmums, nevis aizsardzība. Nulle kļūdu nozīmē regulāru, dokumentētu testu, nevis zaļu ķeksīti rezerves kopēšanas programmā.
Kā tas izskatās MDP CLOUD
Kad rezerves kopijas glabājam mēs, noteikums tiek īstenots šādi:
- Pirmā kopija: uz jūsu servera vai mūsu mākonī, ātrai ikdienas atjaunošanai: viens fails, viens e-pasts, viena virtuālā mašīna.
- Otrā kopija: mūsu datu centrā Lietuvā (ES), atsevišķā krātuvē un atsevišķā tīkla zonā no jūsu produkcijas sistēmām.
- Trešā kopija pēc vajadzības: Amazon datu centrā Vācijā, kad prasības (piemēram, DORA vai korporatīvās grupas politika) pieprasa kopiju citā valstī.
- Slepenā kopija: nemaināma un no jūsu tīkla neredzama. Tā tiek augšupielādēta pa vienvirziena kanālu, un noteiktajā glabāšanas periodā to nevar izdzēst ne jūsu administrators, ne jūsu IT pakalpojumu sniedzējs, ne mēs vienpusīgi. Atjaunošanu uzsāk jūsu pilnvarots pārstāvis pa atsevišķu kanālu, kas nav saistīts ar jūsu tīklu.
Viss tas tiek īstenots ar Veeam rezerves kopijām. Kad uzņēmumam nepieciešami ne tikai dati, bet arī vieta, kur tos palaist pēc incidenta, pievienojam PlanB infrastruktūras atjaunošanu: gatavu vidi mūsu mākonī, kur serveri tiek startēti no rezerves kopijām, kamēr tiek labota jūsu biroja infrastruktūra.
No kā sākt
- Uzzīmējiet, kur šodien atrodas katra jūsu rezerves kopija un kam ir tiesības to dzēst. Ja viens konts var dzēst visas trīs, jums ir viena kopija, nevis trīs.
- Atvienojiet rezerves kopiju krātuvi no produkcijas tīkla: atsevišķa tīkla zona, atsevišķi piekļuves dati, nekādu koplietojamo mapju.
- Ieslēdziet nemainamību krātuvē, nevis lietojumprogrammā, un iestatiet periodu, kas nav īsāks par laiku, kāds jums būtu vajadzīgs, lai pamanītu uzlaušanu. Mūsu pieredzē tās ir vismaz 30 dienas.
- Atjaunojiet vienu serveri izolētā vidē un pierakstiet, cik ilgi tas aizņēma un vai viss darbojās.
- Ja šos soļus vēlaties veikt kopā ar mums, sāciet ar slepeno rezerves kopiju aprakstu vai rakstiet mums, izmantojot kontaktu formu. Pirmajā sarunā kopā novērtēsim, kuru no 3-2-1-1-0 daļām jūsu uzņēmumam šodien trūkst.
