Świat IT boryka się z coraz ciekawszymi atakami typu ransomware, które propagują się np. poprzez złośliwy link w wiadomości e-mail. Samo oprogramowanie szyfrujące ma na celowniku krytyczne dane w organizacji, czyli w większości przypadków „pulpit” komputera pracownika i wszystkie podłączone do niego foldery. Dowiedz się co to jest zasada backupu 3-2-1 i dlaczego jest tak ważna.
W branży informatycznej zawrzało po ataku o nazwie Petya, który potrafił propagować się po całych klastrach wirtualizacyjnych, czyli rozsyłał się po serwerach przechowujących maszyny wirtualne. Wystarczyło kilka minut, żeby całe środowiska zostały zaszyfrowane. W przypadku takiego ataku nie pomoże ani wysoka dostępność usług, ani kopia opóźniona do zewnętrznego data center – głównie dlatego, że wszystkie usługi w środowisku mogą przestać odpowiadać. Jeśli ktoś robił wyłącznie kopie on-line i zostały one zaszyfrowane, to stracił wszystko.
Firmy wyniosły z tego doświadczenia ważną lekcję: dane nie powinny pozostawać tylko na stacji użytkownika, a zasoby serwerowe powinny być odpowiednio kopiowane mechanizmami backupu do lokalizacji zdalnych. Co ważne, dane serwerowe nie powinny móc być w żaden sposób nadpisane – tutaj przywołany ransomware, który zaszyfrował zasoby zdalne (kopie zapasowe w innych data center). Czy jest zatem złota zasada, jak należy podejść do zapewnienia odpowiedniej kopii zapasowej, żeby odtworzyć środowisko po awarii jednej końcówki, pojedynczego serwera, całego klastra lub całej lokalizacji? Odpowiedź jest jedna – zasada backupu 3-2-1.
Czym jest zasada backupu 3-2-1?
Zasada backupu 3-2-1 jest dosyć prosta i mówi:
- Przechowuj 3 kopie / repliki danych / egzemplarze danych.
- Wykorzystaj co najmniej 2 technologie/nośniki przechowywania danych.
- Zastanów się nad przechowywaniem danych w 1 lokalizacji wyniesionej/zdalnej poza głównym centrum przetwarzania danych.
Dobra praktyka – 3 kopie / repliki / egzemplarze danych
Najlepszym przykładem zastosowania 3 replik danych jest technologia znana z Windows Server, czyli Windows Fabric. Polega ona na tym, że serwer ma co najmniej 2 kopie aktywne oraz 1 kopię pasywną na wypadek awarii usługi. Takie podejście przyświeca zasadzie backupu 3-2-1, która zakłada, że posiadamy 3 kopie zapasowe tego samego zestawu danych, gdzie ostatecznie jedna z trzech replik danych może zostać wykorzystana do odtworzenia usługi, aplikacji, danych czy całej maszyny. To podejście pozwala zminimalizować ryzyko związane z utratą jednego z dysków, gdzie przechowana jest jedna z kopii, bo zawsze będą dostępne dwie kolejne repliki przechowywane w innym miejscu.
Wykorzystaj co najmniej 2 nośniki przechowywania danych
Często utrata danych wynika z uszkodzenia całej macierzy – uszkodzenie kontrolerów itp., awarii półki dyskowej lub jest spowodowana przez wadliwe partie dysków. Wszystko to prowadzi do wniosku, że dane nie mogą być przechowywane tylko w ramach jednej technologii. Oprócz przykładowego rozwiązania typu storage należałoby zapewnić chociażby backup do innego nośnika danych. Zazwyczaj są to taśmy, rozwiązania BaaS (Backup as a Service), blob (przestrzeń dyskowa) w chmurze obliczeniowej czy dodatkowe niezależne półki dyskowe z brakiem możliwości modyfikacji danych (tylko do odczytu). W swojej książce Edward Snowden opowiada, że w bunkrze CIA pracuje maszyna, która dalej nagrywa kluczowe dane na taśmę analogową i jest tylko jeden specjalista, który potrafi ją obsłużyć. Może nie jest to takie złe rozwiązanie…? ?
Przechowuj dane w 1 lokalizacji wyniesionej poza główne centrum przetwarzania danych
Wspomniany na początku atak z wykorzystaniem ransomware Petya powodował zaszyfrowanie danych w całej lokalizacji atakowanej firmy – wszystkie kluczowe usługi w ułamku sekundy stały się niedostępne. W sytuacji, kiedy obawiamy się, że możemy paść ofiarą ataku hakerów, pojawia się pytanie, co zrobić, żeby zabezpieczyć kopie naszych danych. W takim wypadku warto przemyśleć kwestię replikacji danych i wykonania kopii do zapasowego centrum przetwarzania danych, czyli wynieść przykładową taśmę z kopią poza naszą podstawową lokalizację. Można także skopiować zasoby do rozwiązań backup jako usługa.
Co doradza ekspert ESKOM w kontekście reguły backupu 3-2-1?
- Twórz co najmniej 3 kopie / repliki danych na różnych zasobach. Kopie nie powinny być trzymane w ramach jednego nośnika.
- Zapewnij lokalizację wyniesioną poza swoje centrum dla kopii zapasowej danych.
- Nie pozwól, żeby dane z kopiami zapasowymi danych były łatwo dostępne bez zastosowania odpowiedniego modelu uprawnień. Jeśli ktoś wykradnie z Twojej firmy kopię Active Directory, wrzuci ją na pendrive i zabierze do domu, to możesz stracić dane logowania wszystkich użytkowników z Active Directory.
- Kopie opóźnione danych i repliki danych w zapasowym centrum przechowywania danych nie powinny umożliwiać zapisu. W przypadku katastroficznych rozważań należy przyjąć zasadę, że uprawnienia powinny pozwalać tylko na odczyt i nie powinno być możliwości nadpisania kopii zapasowej (przykładowe zaszyfrowanie).
- Niektórzy dostawcy narzędzi kopii zapasowej stosują zasadę 3-2-1-0. „Zero” tutaj oznacza brak błędów przy odtwarzaniu kopii zapasowej, dzięki zastosowaniu odpowiednich technologii weryfikujących spójność i poprawność odtworzenia.
- Przygotuj politykę częstotliwości kopii zapasowych danych (backup retention).
- Przygotuj procedury odtworzenia usług w momencie awarii pojedynczego komponentu, całej usługi lub aplikacji czy też awarii całego ośrodka. Bardzo ważne w przypadku ataków ransomware są również procedury odzyskiwania całego ośrodka z kopii zapasowej umieszczonej w lokalizacji wyniesionej.
- Korzystaj z wiedzy ekspertów ESKOM, jak wdrożyć zasadę kopii zapasowej 3-2-1 w organizacji.