Стратегии резервного копирования: правило 3-2-1 и неизменяемые резервные копии

Резервное копирование — это не просто операционная задача IT, а критически важное средство защиты, непосредственно обеспечивающее восстановление после атак программ-вымогателей, случайного удаления, отказа оборудования и саботажа со стороны сотрудников. Без проверенных и надёжных резервных копий операторы программ-вымогателей получают полный контроль: заплатить или потерять данные. При наличии надёжных и защищённых резервных копий организации могут восстановиться, не выплачивая выкуп. Экзамен Security+ прямо включает стратегию резервного копирования в требования к обеспечению непрерывности бизнеса и защите данных.

Правило резервного копирования 3-2-1 — это отраслевой стандартный минимум для обеспечения устойчивости резервных копий. Должно существовать 3 копии данных (оригинал и 2 резервные копии). Необходимо использовать 2 разных типа носителей (например, локальный диск и ленту либо локальный NAS и облако). 1 копия должна храниться за пределами основной площадки или в географически обособленном месте. Такая конфигурация гарантирует, что ни один отказ — отказ диска, авария на площадке или кража — не уничтожит все копии данных. Правило 3-2-1 остаётся золотым стандартом резервного копирования уже два десятилетия.

Программы-вымогатели выявили слабые места классического правила 3-2-1: если все три копии доступны по сети, программа-вымогатель зашифрует их все. Усиленное правило 3-2-1-1-0 добавляет два требования: одна копия должна быть в автономном режиме или изолирована физически (отключена от сети и физически обособлена), а количество ошибок резервного копирования должно быть равно нулю (все резервные копии необходимо проверять, и при тестах восстановления не должно быть ни одного сбоя). Автономная копия гарантирует, что программа-вымогатель — даже получив доступ администратора домена — не сможет найти и зашифровать все резервные копии.

Неизменяемые резервные копии хранятся таким образом, чтобы их нельзя было изменить или удалить в течение заданного периода хранения — даже администраторам с полным доступом. Облачные провайдеры реализуют неизменяемость с помощью политик object lock (WORM — однократная запись, многократное чтение). AWS S3 Object Lock, Azure Blob immutable storage и аналогичные функции не позволяют удалять или перезаписывать объекты через вызовы API до истечения периода блокировки. Группы, использующие программы-вымогатели и получившие доступ администратора домена, не могут удалить неизменяемые резервные копии даже при наличии облачных учётных данных самого высокого уровня.

Три типа резервного копирования позволяют сбалансировать полноту, стоимость хранения и продолжительность окна резервного копирования. Full backup каждый раз копирует все данные — это обеспечивает самое быстрое восстановление, но требует больше всего места. Incremental backup копирует только данные, изменившиеся после последнего резервного копирования любого типа, — создаётся быстрее всего и занимает меньше всего места, но для восстановления требуются последняя полная копия и все инкрементальные копии. Differential backup копирует все данные, изменившиеся после последней полной копии, — объём хранения растёт умеренно, а для восстановления нужны только последняя полная копия и последняя дифференциальная копия.

Файлы резервных копий необходимо шифровать — резервные ленты, отправленные на хранение за пределы основной площадки, и облачные резервные копии являются целью атакующих, стремящихся получить конфиденциальные данные. Используйте шифрование AES-256 для данных резервных копий в состоянии покоя. Крайне важно хранить ключи шифрования отдельно от самих резервных копий: если ключ, которым зашифрованы резервные копии, также сохранён в том же месте, смысл защиты теряется. Храните ключи шифрования в Hardware Security Module (HSM) или в службе управления ключами, независимой от системы резервного копирования.

Системы резервного копирования необходимо изолировать от производственной сети. Если серверы резервного копирования включены в тот же домен Active Directory, что и производственные серверы, программа-вымогатель с учётными данными администратора домена сможет получить доступ к хранилищу резервных копий и зашифровать его. Рекомендуемые методы: размещайте серверы резервного копирования в отдельном сетевом сегменте, недоступном с производственных серверов; используйте выделенные учётные данные для резервного копирования, не являющиеся учётными записями администраторов домена; включите MFA для сервера резервного копирования при административном доступе; рассмотрите отдельный домен резервного копирования, не имеющий отношений доверия с производственным доменом.

Облачные службы резервного копирования обеспечивают хранение за пределами основной площадки, поддерживают параметры неизменяемости и упрощают реализацию правила 3-2-1. AWS Backup, Azure Backup и Google Cloud Backup and DR интегрируются с облачными службами и предоставляют централизованное управление политиками. Сторонние службы, такие как Veeam, Rubrik и Cohesity, предлагают облачное резервное копирование с неизменяемыми репозиториями, изолированными хранилищами и обнаружением программ-вымогателей, анализирующим данные резервных копий на аномалии энтропии шифрования и подающим оповещение до завершения масштабной атаки.

Многие организации во время инцидента с программой-вымогателем обнаруживают, что их резервные копии повреждены или не подлежат восстановлению, — это катастрофическое открытие в самый неподходящий момент. Проверка резервных копий должна проводиться регулярно и по расписанию. Методы проверки включают: автоматизированную проверку восстановления (ежедневное восстановление выборки файлов и проверка контрольных сумм), периодическое полное восстановление в изолированной тестовой среде (ежеквартальное восстановление базы данных и проверка запуска приложения) и учения DR, в ходе которых команда выполняет DRP — от восстановления из резервной копии до запуска Production на альтернативной инфраструктуре. Документируйте результаты каждого теста.

Схема хранения GFS «дед—отец—сын» организует хранение резервных копий на разных временных горизонтах. Резервные копии «сына» создаются ежедневно (хранятся 1 неделю, затем перезаписываются). Резервные копии «отца» представляют собой еженедельные полные копии (хранятся 1 месяц). Резервные копии «деда» представляют собой ежемесячные полные копии (хранятся 1 год или дольше). GFS позволяет восстановить данные за вчерашний день, за прошлую неделю или за прошлый месяц, сочетая гибкость восстановления с экономией места. Многие стандарты соответствия требованиям требуют хранения по схеме GFS для ведения журнала аудита.

Сбои резервного копирования — это незаметные катастрофы: задание резервного копирования, которое незаметно завершается с ошибкой в течение нескольких недель, означает отсутствие защиты именно тогда, когда она нужнее всего. Мониторинг резервного копирования должен отслеживать: успешно ли завершилось каждое запланированное задание; соответствует ли размер резервной копии ожидаемому диапазону (подозрительно маленькая копия может указывать на частичный сбой); успешно ли выполнен доступ к ключу шифрования резервной копии; а также передана ли резервная копия во все требуемые места назначения (локальное и удалённое). Оповещения должны немедленно срабатывать при любом сбое задания, а при сохранении сбоев дольше одной попытки необходимо повышать уровень эскалации. Рассматривайте неудачное резервное копирование как инцидент приоритета 2.

Проверьте своё понимание концепций CompTIA «Безопасность+» (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что правило 3-2-1 требует 3 копии на 2 типах носителей, одна из которых хранится за пределами основной площадки; усиленное правило 3-2-1-1-0 добавляет автономную или неизменяемую копию и требует отсутствия сбоев восстановления; а неизменяемое хранилище WORM не позволяет программам-вымогателям уничтожить резервные копии даже при наличии полных административных учётных данных. Далее мы рассмотрим проверку переключения на резервную систему с помощью настольных упражнений и учений DR, чтобы убедиться, что планы восстановления работают на практике.