Sikkerhetskopieringsstrategier: 3-2-1-regelen og uforanderlige sikkerhetskopier

Sikkerhetskopier er ikke bare et operativt IT-ansvar — de er et kritisk sikkerhetstiltak som direkte muliggjør gjenoppretting etter løsepengevirus, utilsiktet sletting, maskinvarefeil og sabotasje fra interne aktører. Uten testede og pålitelige sikkerhetskopier har aktørene bak løsepengevirus all makt: betal eller mist dataene Deres. Med robuste og beskyttede sikkerhetskopier kan organisasjoner gjenopprette data uten å betale løsepenger. Security+-eksamenen inkluderer uttrykkelig strategier for sikkerhetskopiering som en del av kravene til forretningskontinuitet og databeskyttelse.

3-2-1-regelen for sikkerhetskopiering er bransjestandarden som utgangspunkt for robust sikkerhetskopiering. Det må finnes 3 kopier av dataene (originalen + 2 sikkerhetskopier). Det må brukes 2 ulike typer lagringsmedier (for eksempel lokal disk og tape, eller lokal NAS og skyen). 1 kopi må lagres eksternt eller på et geografisk separat sted. Denne konfigurasjonen sikrer at ingen enkeltstående feil — diskfeil, en katastrofe på stedet eller tyveri — eliminerer alle kopier av dataene. 3-2-1-regelen har vært gullstandarden for sikkerhetskopiering i to tiår.

Løsepengevirus har avdekket svakheter ved den klassiske 3-2-1-regelen: Hvis alle tre kopiene er tilgjengelige via nettverket, krypterer løsepengeviruset alle sammen. Den forbedrede 3-2-1-1-0-regelen legger til følgende: én kopi må være frakoblet eller air-gapped (koblet fra nettverket og fysisk isolert), og det skal være null sikkerhetskopieringsfeil (alle sikkerhetskopier må testes, uten feil i gjenopprettingstestene). Den frakoblede kopien sikrer at løsepengevirus — selv med tilgang som domeneadministrator — ikke kan nå og kryptere alle sikkerhetskopiene.

Uforanderlige sikkerhetskopier lagres på en måte som gjør det umulig å endre eller slette dem i en angitt oppbevaringsperiode — selv for administratorer med full tilgang. Skyleverandører implementerer uforanderlighet gjennom retningslinjer for object lock (WORM — Write Once, Read Many). AWS S3 Object Lock, Azure Blob immutable storage og tilsvarende funksjoner hindrer API-kall i å slette eller overskrive objekter før låseperioden utløper. Grupper som sprer løsepengevirus og får tilgang som domeneadministrator, kan ikke slette uforanderlige sikkerhetskopier, selv med det høyeste nivået av skylegitimasjon.

Tre typer sikkerhetskopiering balanserer fullstendighet mot lagringskostnad og varigheten på sikkerhetskopieringsvinduet. En full sikkerhetskopi kopierer alle data hver gang — gir den raskeste gjenopprettingen, men bruker mest lagringsplass. En inkrementell sikkerhetskopi kopierer bare data som er endret siden siste sikkerhetskopi av en hvilken som helst type — raskest å opprette og minst lagringskrevende, men gjenoppretting krever den siste fulle sikkerhetskopien samt alle inkrementelle sikkerhetskopier. En differensiell sikkerhetskopi kopierer alle data som er endret siden den siste fulle sikkerhetskopien — middels økning i lagringsbehovet, og gjenoppretting krever bare den siste fulle sikkerhetskopien samt den nyeste differensielle sikkerhetskopien.

Sikkerhetskopifiler må være kryptert — sikkerhetskopieringstaper som sendes til ekstern lagring, og sikkerhetskopier i skyen, er mål for angripere som er ute etter sensitive data. Bruk AES-256-kryptering for sikkerhetskopierte data i hvile. Det er avgjørende at krypteringsnøklene lagres separat fra selve sikkerhetskopiene: Hvis sikkerhetskopiene krypteres med en nøkkel som også sikkerhetskopieres på samme sted, undergraver det hensikten. Lagre krypteringsnøkler i en Hardware Security Module (HSM) eller en nøkkeladministrasjonstjeneste som er uavhengig av sikkerhetskopieringssystemet.

Sikkerhetskopieringssystemer må være isolert fra produksjonsnettverket. Hvis sikkerhetskopieringsservere er koblet til samme Active Directory-domene som produksjonsserverne, kan løsepengevirus med legitimasjon som domeneadministrator nå og kryptere sikkerhetskopilagringen. Anbefalte fremgangsmåter er å plassere sikkerhetskopieringsservere i et separat nettverkssegment uten tilgang fra produksjonsservere, bruke dedikert legitimasjon for sikkerhetskopiering som ikke er domeneadministratorkontoer, implementere MFA for sikkerhetskopieringsservere ved administrativ tilgang og vurdere et separat sikkerhetskopieringsdomene uten tillitsforhold til produksjonsdomenet.

Sikkerhetskopieringstjenester i skyen tilbyr ekstern lagring med alternativer for uforanderlighet og forenkler implementeringen av 3-2-1-regelen. AWS Backup, Azure Backup og Google Cloud Backup and DR integreres med skytjenester og tilbyr sentralisert policyadministrasjon. Tredjepartstjenester som Veeam, Rubrik og Cohesity tilbyr skybasert sikkerhetskopiering med uforanderlige repositorier, frakoblede hvelvkopier og deteksjon av løsepengevirus som analyserer sikkerhetskopierte data for unormale endringer i krypteringsentropien — og varsler før et fullstendig angrep med løsepengevirus er gjennomført.

Mange organisasjoner oppdager under et angrep med løsepengevirus at sikkerhetskopiene er ødelagt eller ikke kan gjenopprettes — en katastrofal oppdagelse på verst tenkelige tidspunkt. Testing av sikkerhetskopier må være en planlagt og regelmessig aktivitet. Testmetoder omfatter: automatisert verifisering av gjenoppretting (gjenopprett et utvalg filer daglig og kontroller kontrollsummene), periodisk full gjenoppretting til et isolert testmiljø (kvartalsvis gjenoppretting av databasen og test av oppstart av applikasjonen) og DR-øvelser der teamet følger DRP fra sikkerhetskopi til kjørende produksjon på alternativ infrastruktur. Dokumenter resultatet av hver test.

Grandfather-Father-Son (GFS)-ordningen for oppbevaring organiserer oppbevaring av sikkerhetskopier over ulike tidsperioder. Son-sikkerhetskopier tas daglig (oppbevares i én uke og overskrives deretter). Father-sikkerhetskopier er ukentlige fulle sikkerhetskopier (oppbevares i én måned). Grandfather-sikkerhetskopier er månedlige fulle sikkerhetskopier (oppbevares i ett år eller lenger). GFS gjør det mulig å gjenopprette fra i går, forrige uke eller forrige måned — og balanserer fleksibilitet ved gjenoppretting mot lagringskostnad. Mange rammeverk for samsvar krever GFS-lignende oppbevaring av hensyn til revisjonsspor.

Feil i sikkerhetskopieringen er stille katastrofer — en sikkerhetskopieringsjobb som mislykkes uten varsel i flere uker, betyr at det ikke finnes noen beskyttelse når den trengs mest. Overvåking av sikkerhetskopier må kontrollere: om hver planlagte sikkerhetskopieringsjobb ble fullført, om størrelsen på sikkerhetskopien er innenfor forventet område (en mistenkelig liten sikkerhetskopi kan tyde på en delvis feil), om tilgangen til krypteringsnøkkelen var vellykket, og om sikkerhetskopien ble overført til alle nødvendige mål (lokalt + eksternt). Varsler bør utløses umiddelbart ved alle mislykkede jobber, med eskalering hvis feilene vedvarer utover ett enkelt forsøk. Behandle en mislykket sikkerhetskopiering som en hendelse med prioritet 2.

I denne leksjonen har De lært at 3-2-1-regelen krever 3 kopier på 2 medietyper, der 1 kopi lagres eksternt, at den forbedrede 3-2-1-1-0-regelen legger til en frakoblet/uforanderlig kopi og krever null feil ved gjenoppretting, og at uforanderlig/WORM-lagring hindrer løsepengevirus i å ødelegge sikkerhetskopier, selv med full administrativ legitimasjon. Deretter skal vi se på testing av failover gjennom diskusjonsøvelser og DR-øvelser for å validere at gjenopprettingsplanene fungerer i praksis.