Strategie tworzenia kopii zapasowych: reguła 3-2-1 i kopie niezmienne

Kopie zapasowe nie są wyłącznie kwestią operacyjną IT — stanowią krytyczny mechanizm kontroli bezpieczeństwa, który bezpośrednio umożliwia odtworzenie danych po ataku ransomware, przypadkowym usunięciu, awarii sprzętu lub sabotażu ze strony pracownika. Bez przetestowanych i niezawodnych kopii zapasowych operatorzy ransomware mają pełną przewagę: zapłacić okup albo utracić dane. Dzięki solidnym i odpowiednio chronionym kopiom zapasowym organizacje mogą odzyskać dane bez płacenia okupu. Egzamin Security+ wprost uwzględnia strategię tworzenia kopii zapasowych jako element wymagań dotyczących ciągłości działania i ochrony danych.

Reguła tworzenia kopii zapasowych 3-2-1 jest branżowym standardem bazowym zapewniającym odporność kopii zapasowych. Muszą istnieć 3 kopie danych (oryginał + 2 kopie zapasowe). Należy użyć 2 różnych typów nośników pamięci (np. dysku lokalnego i taśmy albo lokalnego urządzenia NAS i chmury). 1 kopia musi być przechowywana poza siedzibą organizacji lub w lokalizacji oddalonej geograficznie. Taka konfiguracja gwarantuje, że pojedyncza awaria — awaria dysku, katastrofa w lokalizacji lub kradzież — nie wyeliminuje wszystkich kopii danych. Reguła 3-2-1 od dwóch dekad stanowi złoty standard tworzenia kopii zapasowych.

Ransomware ujawniło słabości klasycznej reguły 3-2-1: jeśli wszystkie trzy kopie są dostępne przez sieć, ransomware zaszyfruje je wszystkie. Rozszerzona reguła 3-2-1-1-0 dodaje następujące wymagania: jedna kopia musi być offline lub odizolowana fizycznie (air-gapped) (odłączona od sieci i fizycznie izolowana), a liczba błędów kopii zapasowych musi wynosić zero (wszystkie kopie zapasowe muszą być testowane, a testy odtwarzania nie mogą wykazywać żadnych niepowodzeń). Kopia offline gwarantuje, że ransomware — nawet przy dostępie administratora domeny — nie będzie w stanie dotrzeć do wszystkich kopii zapasowych i ich zaszyfrować.

Niezmienne kopie zapasowe są przechowywane w sposób uniemożliwiający ich modyfikację lub usunięcie przez określony okres przechowywania — nawet administratorom z pełnym dostępem. Dostawcy chmury zapewniają niezmienność za pomocą zasad object lock (WORM — Write Once, Read Many). AWS S3 Object Lock, Azure Blob immutable storage i podobne funkcje uniemożliwiają usunięcie lub nadpisanie obiektów za pomocą wywołań API przed upływem okresu blokady. Grupy ransomware, które uzyskają dostęp administratora domeny, nie mogą usunąć niezmiennych kopii zapasowych, nawet dysponując poświadczeniami chmurowymi o najwyższym poziomie uprawnień.

Trzy typy kopii zapasowych pozwalają zachować równowagę między kompletnością danych a kosztem pamięci masowej i czasem trwania okna kopii zapasowej. Pełna kopia zapasowa za każdym razem kopiuje wszystkie dane — zapewnia najszybsze odtwarzanie, ale zużywa najwięcej miejsca. Przyrostowa kopia zapasowa kopiuje tylko dane zmienione od czasu utworzenia ostatniej kopii dowolnego typu — jej utworzenie jest najszybsze i wymaga najmniej miejsca, ale odtwarzanie wymaga ostatniej pełnej kopii oraz wszystkich kopii przyrostowych. Różnicowa kopia zapasowa kopiuje wszystkie dane zmienione od czasu utworzenia ostatniej pełnej kopii — zajmowane miejsce rośnie umiarkowanie, a do odtworzenia potrzebna jest tylko ostatnia pełna kopia i najnowsza kopia różnicowa.

Pliki kopii zapasowych muszą być szyfrowane — taśmy z kopiami wysyłane do zewnętrznej lokalizacji oraz kopie zapasowe w chmurze są celem atakujących poszukujących poufnych danych. Do szyfrowania danych kopii zapasowych w spoczynku należy używać algorytmu AES-256. Co najważniejsze, klucze szyfrowania kopii zapasowych muszą być przechowywane oddzielnie od samych kopii: szyfrowanie kopii kluczem, który również jest przechowywany w tej samej lokalizacji, niweczy sens całego rozwiązania. Klucze szyfrowania należy przechowywać w module bezpieczeństwa sprzętowego (HSM) lub usłudze zarządzania kluczami niezależnej od systemu kopii zapasowych.

Systemy kopii zapasowych muszą być odizolowane od sieci produkcyjnej. Jeśli serwery kopii zapasowych są przyłączone do tej samej usługi Active Directory co serwery produkcyjne, ransomware dysponujące poświadczeniami administratora domeny może dotrzeć do magazynu kopii zapasowych i go zaszyfrować. Najlepsze praktyki obejmują: umieszczenie serwerów kopii zapasowych w oddzielnym segmencie sieci, bez dostępu z serwerów produkcyjnych; używanie dedykowanych poświadczeń kopii zapasowych, które nie są kontami administratorów domeny; wdrożenie uwierzytelniania MFA na serwerze kopii zapasowych dla dostępu administracyjnego; a także rozważenie oddzielnej domeny kopii zapasowych, która nie ma relacji zaufania z domeną produkcyjną.

Usługi kopii zapasowych w chmurze zapewniają przechowywanie poza siedzibą organizacji, oferują opcje niezmienności i upraszczają wdrożenie reguły 3-2-1. AWS Backup, Azure Backup oraz Google Cloud Backup and DR integrują się z usługami chmurowymi i zapewniają scentralizowane zarządzanie zasadami. Usługi innych firm, takie jak Veeam, Rubrik i Cohesity, oferują tworzenie kopii zapasowych natywnie w chmurze, z niezmiennymi repozytoriami, kopiami w skarbcach odizolowanych fizycznie oraz wykrywaniem ransomware, które analizuje dane kopii pod kątem anomalii entropii szyfrowania i ostrzega, zanim pełny atak ransomware dobiegnie końca.

Wiele organizacji odkrywa podczas incydentu ransomware, że ich kopie zapasowe są uszkodzone lub niemożliwe do odtworzenia — jest to katastrofalne odkrycie w najgorszym możliwym momencie. Testowanie kopii zapasowych musi być zaplanowaną i regularnie wykonywaną czynnością. Podejścia do testowania obejmują: automatyczną weryfikację odtwarzania (codzienne odtwarzanie próbki plików i weryfikowanie sum kontrolnych), okresowe pełne odtwarzanie w odizolowanym środowisku testowym (kwartalne odtwarzanie bazy danych i test uruchomienia aplikacji) oraz ćwiczenia DR, podczas których zespół postępuje zgodnie z DRP — od odtworzenia z kopii zapasowej po uruchomienie produkcji na alternatywnej infrastrukturze. Należy dokumentować wyniki każdego testu.

Schemat przechowywania kopii Grandfather-Father-Son (GFS) porządkuje przechowywanie kopii zapasowych w różnych horyzontach czasowych. Kopie typu Son są tworzone codziennie (przechowuje się je przez 1 tydzień, a następnie nadpisuje). Kopie typu Father to cotygodniowe pełne kopie zapasowe (przechowuje się je przez 1 miesiąc). Kopie typu Grandfather to comiesięczne pełne kopie zapasowe (przechowuje się je przez 1 rok lub dłużej). GFS umożliwia odtworzenie danych z wczoraj, ubiegłego tygodnia lub ubiegłego miesiąca, zapewniając równowagę między elastycznością odtwarzania a kosztem pamięci masowej. Wiele standardów zgodności wymaga przechowywania kopii w stylu GFS na potrzeby ścieżki audytowej.

Awarie kopii zapasowych to ciche katastrofy — zadanie tworzenia kopii, które niepostrzeżenie kończy się niepowodzeniem przez kilka tygodni, oznacza brak ochrony właśnie wtedy, gdy jest najbardziej potrzebna. Monitorowanie kopii zapasowych musi śledzić: czy każde zaplanowane zadanie kopii zakończyło się pomyślnie, czy rozmiar kopii mieści się w oczekiwanym zakresie (podejrzanie mała kopia może wskazywać na częściowe niepowodzenie), czy dostęp do klucza szyfrowania kopii zakończył się pomyślnie oraz czy kopia została przesłana do wszystkich wymaganych miejsc docelowych (lokalnego i zewnętrznego). Alerty powinny być generowane natychmiast po każdym nieudanym zadaniu, a w przypadku utrzymywania się awarii dłużej niż przez jedną próbę należy uruchomić eskalację. Nieudaną kopię zapasową należy traktować jako incydent o priorytecie 2.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: reguła 3-2-1 wymaga 3 kopii na 2 typach nośników, z czego 1 znajduje się poza siedzibą organizacji; rozszerzona reguła 3-2-1-1-0 dodaje kopię offline/niezmienną i wymaga zerowej liczby nieudanych odtworzeń; a niezmienna pamięć masowa/WORM uniemożliwia ransomware zniszczenie kopii zapasowych nawet przy pełnych poświadczeniach administracyjnych. W następnej części omówimy testowanie przełączania awaryjnego za pomocą ćwiczeń typu tabletop i ćwiczeń DR, aby zweryfikować, czy plany odtwarzania działają w praktyce.