Sprawdź czy jesteś gotowy do NIS2!

Podcast – Jak zamienić Twoją organizacje w cyfrowy bunkier? – Veeam vs ransomware

Zapraszamy do wysłuchania odcinka podcastu, w którym zanurzamy się w świat backupu i nowoczesnych technologii zabezpieczania danych. Andrzej Buszmicz gości dziś Tomasza Turka, inżyniera Veeam, który podzieli się swoją wiedzą na temat kluczowych aspektów ochrony systemów IT. Dowiemy się, dlaczego backup stał się jeszcze ważniejszy niż kilka lat temu, jak wygląda współczesne podejście do zabezpieczania danych oraz jakie wyzwania i możliwości niesie za sobą wykorzystanie chmury w procesach backupowych. Poruszymy również zagadnienia związane z zasadą 3-2-1, cyfrowym bunkrem oraz automatyzacją procesów backupowych. To rozmowa pełna praktycznych wskazówek i eksperckiej wiedzy, której nie możecie przegapić!

Andrzej Buszmicz: Witam, mamy okazję dzisiaj spotkać się z Tomkiem Turkiem, inżynierem firmy Veeam. A ponieważ Veeam no, to będziemy mieli okazję porozmawiać o backupuach. Witaj Tomku!

Tomasz Turek: Cześć! Dzień dobry!

Andrzej Buszmicz: Dzień dobry. Współcześnie backup cały czas jest bardzo ważnym elementem zabezpieczenia systemów. Zgodzisz się?

Tomasz Turek: Zdecydowanie, tak. Tutaj się nic nie zmieniło, by nie powiedzieć, że jest to jeszcze bardziej krytyczny element niż był kilka lat temu.

Andrzej Buszmicz: A co możesz powiedzieć o tym, jak współcześnie wygląda kwestia backupów? Co w tej chwili jest najważniejsze w technologiach backupowych?

Tomasz Turek: Przede wszystkim dziś zmieniło się podejście do samego backupu. Kiedyś backup był, można powiedzieć, że polisą ubezpieczeniową – wykonywaliśmy backup z nadzieją, że nigdy nie będzie wykorzystany na potrzeby disaster recovery. Dzisiaj mamy zupełnie inne zagrożenia. Dzisiaj przede wszystkim mówimy o malware, mówimy o ransomware, mówimy o backupie, który będzie ratował ciągłość działania organizacji. Tak więc ten backup nie tylko jest tą polisą ubezpieczeniową, jak był kiedyś, ale też jest wykorzystywany do pracy, do działań audytowych, do data miningu, do testowania oczywiście samych kopii, do testowania nowych łatek na produkcji, zmian rekonfiguracyjnych także ten backup wykonuje dużo więcej pracy niż wykonywał te X lat temu.

Andrzej Buszmicz: Jasne. A jak w tym momencie wygląda kwestia chmury? Jak się odnajduje backup w rozwiązaniach chmurowych? Jak on służy tutaj do zabezpieczeń, jak on używa chmury?

Tomasz Turek: To jest bardzo szeroki temat. Jeśli mówimy o chmurze, oczywiście chmura stała się teraz nieodzownym elementem backupu i myślę, że my Veeam, jako firma, również staramy się, żeby ta chmura była wykorzystana. Samą chmurę możemy wykorzystać na kilka sposobów. Najczęściej spotykanym jest, myślę, wykorzystanie środowiska chmurowego jako dodatkowej lokalizacji do przechowywania backupu. Jest to lokalizacja bardzo ciekawa, ponieważ jest ona wyseparowana. To nie jest lokalizacja zależna od nas tylko jakiś service provider jakiś dostawca, takiego hyperscalera, zarządza tą infrastrukturą, więc przechowujemy dane w zupełnie wyizolowanej lokalizacji, niezależnej od tych samych czynników, na które wpływ ma nasza serwerownia, nasza oryginalna lokalizacja. Do tego, jeśli popatrzymy na sposoby przechowywania danych w chmurze, to zwyczajowo jest to storage obiektowy, inny niż storage blokowy, który widzimy w naszej lokalizacji. Czyli też jest to inny format przechowywania danych, co już zwiększa bezpieczeństwo, ponieważ mieszamy protokoły, mieszamy sposoby przechowywania tych danych. Później, jeśli mówimy o scenariuszach disaster recovery, tutaj chmura jest tym elementem. Można powiedzieć, że nie idealnym, nie perfekcyjnym, ale musimy znać jej plusy, musimy znać jej minusy. Ponieważ jeśli myślimy o takiej strategii backupowej archiwalnej, no historycznie myśleliśmy pewnie o taśmie, prawda? Taśma jako to medium do długotrwałego przechowywania backupu. Dzisiaj od tej taśmy odeszło właśnie na rzecz chmury. Teraz, zależnie od tego, jaki typ awarii nas spotka, może się okazać, że taśma będzie lepszym rozwiązaniem, jeśli mówimy o takim pełnym disaster recovery, ponieważ po prostu będzie szybsza. Lub też w przypadku ataku, celowanego ataku na konkretną aplikację, na konkretne dane krytyczne, okaże się, że to chmura jest lepszym rozwiązaniem. Dlaczego? Dlatego że chmura, w przeciwieństwie do taśmy, daje nam opcję granularnego odzysku danych, gdzie możemy wyciągnąć tego jednego krytycznego maila, ten jeden krytyczny plik, nie wiem, bazę danych, która jest nam potrzebna do tego, żeby przywrócić działanie firmy. Poza tym jeszcze, bo to oczywiście nie koniec, jeśli mówimy o chmurze, chmura coraz częściej jest wykorzystywana jako lokalizacja disaster recovery w momencie, kiedy nasza oryginalna serwerownia zostanie z jakiegoś powodu utracona, czy to przez jakieś zdarzenie, nazwijmy to katastrofalne dla infrastruktury, czy będzie to właśnie atak, który spowoduje, że nie możemy zaufać naszej infrastrukturze. Możemy odzyskać dane, które standardowo były przechowywane on premise, w tej naszej lokalizacji, do środowiska znajdującego się w hyperscalerze i tam kontynuować pracę do czasu odzyskania naszego podstawowego środowiska.

Andrzej Buszmicz: Sprawy związane z chmurą chyba całkiem nieźle wpisują się w pomysł firmy Veeam, czyli regułę 3-2-1. Mógłbyś może coś więcej o tym powiedzieć i o tym, jak to się właśnie odnajduje w wykorzystaniu tych różnych technologii?

Tomasz Turek: Tak, sama reguła 3-2-1 to jest… Ja to nazywam taką złotą regułą backupową, dlatego że, no, może tutaj skanibalizuje Veeama czy też funkcjonalności backupowe spełnienie tej zasady 3-2-1 daje już nam bardzo duży poziom bezpieczeństwa danych od wszelkich zagrożeń. Co w ogóle oznacza ta zasada? Tutaj też warto wspomnieć, że my jako Veeam rozszerzamy tę zasadę o kolejną jedynkę, kolejną zero, czyli tak naprawdę mamy 3-2-1-1-0. Ale po kolei, tak: pierwsza trójka w tej zasadzie 3-2-1 to są trzy egzemplarze danych. Dlaczego? Trzy egzemplarze to są dane produkcyjne, to są dane, na których działamy na co dzień. Mamy pierwszy egzemplarz backupowy, drugi egzemplarz backupowy. Dlaczego? Oczywiście redundancja to po pierwsze. Po drugie, w dobie ransomware, i to jest, myślę, dość kontrowersyjne, ale musimy być tego świadomi. Pierwszy egzemplarz backup, który znajduje się blisko produkcji, bardzo często ulega zniszczeniu, zazwyczaj w przypadku ataku ransomware sięgamy po ten drugi backup, który w domyśle będzie wyniesiony. Tak, i tutaj przechodzimy do dwójki, czyli znowu zasada 3-2-1: dwa różne media przechowywania backupu. Jeśli rzucam tutaj z głowy mój podstawowy backup przechowywany był na serwerze Microsoft z podpiętymi dyskami, czy chcę, żeby moja kopia dodatkowa, ten drugi egzemplarz backupowy, był przechowywany na tej samej konfiguracji serwera, na tym samym systemie operacyjnym? Z perspektywy wygody oczywiście jest to świetny pomysł, z perspektywy bezpieczeństwa już nie bardzo, dlatego że jeśli ten oryginalny serwer zostaje zaatakowany, to co stoi na przeszkodzie, żeby ten serwer zapasowy, który jest identycznie skonfigurowany, również uległ tego samego typu atakowi? Dlatego tutaj ważne jest, żeby mieszać sposoby przechowywania danych. Niech to będzie serwer Windowsowy w jednej lokalizacji, Linuxowy w drugiej, niech to będzie na przykład duplikator, który wykorzystuje swoje własne protokoły, niech to będzie właśnie chmura, niech to będzie taśma. Ale nie miejmy dwóch identycznych mediów przechowywania backupu dla tych dwóch egzemplarzy, które gdzieś tam powinny być w tej infrastrukturze. Dalej mamy pierwszą jedynkę, czyli ta część jeszcze tej złotej zasady 3-2-1 tej jeszcze nie Veeamowej. Czyli jedna kopia powinna się znajdować off site. Teraz off site to jest bardzo trudne słowo do zdefiniowania, ponieważ każdy off site definiuje sobie inaczej. Dla jedno off sitem będzie szafa serwerowa obok dla innego będzie to budynek obok, dla jeszcze kogoś innego to będzie inny kontynent. Tutaj no, nie ma jednej definicji, każdy musi sobie odpowiedzieć, co jest dla niego bezpiecznym off site. Taka uproszczona definicja, którą ja bardzo lubię, ponieważ wyczerpuje ona znamiona definicji, jednocześnie nic nie wnosząc do tematu: to jest lokalizacja, na którą nie mają wpływu te same czynniki co na lokalizację podstawową. Teraz jak to osiągniemy, to jest oczywiście zupełnie inna historia, ale tak to powinno w idealnym świecie wyglądać. No i teraz, w dobie malware, ransomware, coraz częstszych ataków, dodaliśmy właśnie jeszcze jedyn i zera, czyli rozszerzyliśmy tę zasadę do 3-2-1-1-0. Teraz ta druga jedynka to są kopie offlinowe. Offline, jeśli popatrzymy historycznie w przypadku backupu, to znowu myślimy o taśmie, tak? Taśma zostaje zapisana, prawdopodobnie wywieziona do sejfu. Jest to bezpieczne medium przechowywania backupu, ponieważ nikt nam tego nie skasuje, nikt nam tego nie zmodyfikuje, o ile nie zostanie to oczywiście wyciągnięte gdzieś tam z sejfu i być może uszkodzone. I teraz, co ważne, mimo że mamy 24 rok, technologia taśmowa ma już, no, 30 praktycznie lat, można myślę, że powiedzieć. Nadal jest to bardzo dobre medium do przechowywania backupu bezpiecznie. Tylko że musimy być świadomi ograniczeń, mianowicie takich, że taśma to jest narzędzie sekwencyjne, więc jeśli mamy awarię, która wymaga od nas granularnego odzyskiwania danych, to być może po prostu nie będzie to najszybszy sposób, żeby te dane gdzieś tam odzyskać. No i tutaj wchodzą, jakby, te nowsze technologie, te bardziej, właśnie lata 2020, właśnie 24, czyli chmura, storage obiektowy, repozytoria typu immutable. I ostatnim elementem tej zasady 3-2-1-1-0 jest zero, czyli tak zwane zero błędów przy odzyskiwaniu, czyli nic innego jak testowanie backupów, które oczywiście może być automatyczne, może być manualne, ale jednak historycznie dość nieduża liczba klientów faktycznie ma czas, żeby je sprawdzać manualnie.

Andrzej Buszmicz: Mówiąc o zasadzie 3-2-1, sporo powiedziałeś tak naprawdę o praktykach, które należy realizować wykonując kopię bezpieczeństwa. W ogóle w branży IT częstym pojęciem jest coś takiego jak dobre praktyki, niektóre standardy wręcz bazują na czymś takim jak dobre praktyki. Czy mógłbyś w takim razie powiedzieć coś o tym, jak te klasyczne, tradycyjne do tej pory występujące zasady dobrych praktyk odnajdują się teraz, w roku 2024? Na co powinniśmy zwracać uwagę organizując cały proces związany z realizacją kopii bezpieczeństwa?

Tomasz Turek: Sama praktyka powiedziała, że nie uległa zmianie, ponieważ dobra praktyka jest na tyle ogólnym, można powiedzieć, że pojęciem, że dostosowując nowoczesną technologię, cały czas spełniamy tę samą praktykę, po prostu w nieco inny sposób. To, co widzę jako takie dzisiejsze wyzwanie, na które ciężko sobie odpowiedzieć u naszych klientów, to jest sklasyfikowanie danych, które powinny zostać odzyskane, ponieważ mówimy już teraz o aplikacjach, no, rozproszonych. To już nie jest pojedynczy serwer, który wymaga odzyskania. Tylko… No, widziałem nawet dość duże instytucje, gdzie kilkuletni projekt z mapowania powiązań między aplikacjami właśnie na potrzeby disaster recovery tak naprawdę zakończył się fiaskiem, ponieważ trwa nadal, tak od ponad trzech lat, staramy się zdefiniować, w jakiej kolejności, jakie maszyny z jakimi parametrami powinny zostać odzyskane, żeby takie disaster recovery było wykonane poprawnie. Ponieważ samo odzyskanie maszyny w dzisiejszych czasach, przy obecnym poziomie oprogramowania backupowego, to rzecz prosta: powiedzmy sobie szczerze, już oczekujemy, że to będzie odzyskane. Ale ta polityka odzyskiwania danych, ten plan, ta automatyzacja, skryptowanie tego procesu, to jest, powiedziałbym, że takie dzisiejsze wyzwanie, które powinniśmy dopisać do dobrej praktyki, o których pewnie kiedyś nie myśleliśmy, że ze względu na to, że te aplikacje po prostu były prostsze.

Andrzej Buszmicz: Z tego co mówisz, wygląda na to, że współcześnie backup, tak jak i wiele innych aspektów IT, stało się czymś dużo bardziej zmiennym. Mówię tu o tym, że de facto stało się to czymś bardziej… Kiedyś traktowaliśmy backup jako coś dość stałego. Backupowaliśmy odtwarzamy, to sobie istnieje, może sobie być przechowywane bardzo długo. A w tej chwili, na podstawie tego, co przed chwilą powiedziałeś, gdzie od trzech lat jest ten problem, o którym mówiłeś, mamy taką sytuację, że de facto jest to jakiś proces, w którym po prostu trzeba się znaleźć, to musi jakoś działać, a jednocześnie to się cały czas zmienia.

Tomasz Turek: Tak, tak, to się cały czas zmienia. W ogóle, nawet sama technologia pod spodem backupów się zmienia, ona też wymaga nieco innego podejścia, ponieważ, no, kiedyś wykonywaliśmy backup z wnętrza maszyny – agentowy, plikowy oczywiście ze środka. Teraz już oczekujemy, że backup będzie rozumiał zarówno maszynę jako obiekt, który jesteśmy w stanie odtworzyć na podstawie czy to bare metal, czy na przykład całej maszyny wirtualnej, czy maszyny chmurowej, jednocześnie zachowując konsystencję plikową, jednocześnie zachowując konsystencję aplikacyjną. A jeśli aplikacja okaże się sklastrowana, to również, że ta konsystencja zostanie zachowana pomiędzy kolejnymi maszynami. Tak, czyli to jest coś, o czym też nie myśleliśmy. To jest coś, co, no, wymaga znowu pewnego zaplanowania, wymaga też pewnego rozumienia pomiędzy oprogramowaniem backupowym a dostawcami aplikacji. Więc to jest cały czas płynne, ponieważ cały czas mamy nowe aplikacje, nowe wymagania, no i przez to też te technologie backupowe muszą ulegać zmianie. Też teraz backup backupowi jest nierówny, ponieważ oczywiście backupujemy całe maszyny, backupujemy aplikacje, ale też dochodzą nam technologie takie jak migawki. Tutaj nie mówimy o migawkach wirtualizacyjnych, ponieważ do dzisiaj będę twierdził, że to nie jest backup. To jest sposób na wykonanie backupu, ale na przykład migawki, czy to na podstawie dostawcy chmurowego, jeśli patrzymy na maszyny znajdujące się na hyperscalerach, czy na przykład na migawki z poziomu macierzy, które już tak, intruzywne jak migawki wirtualizacyjna, nie jest, a daje nam taki poziom zerowy, można powiedzieć, backupu, czyli bardzo szybki, bardzo wydajny. No i jednocześnie, jeśli coś potrzebujemy odzyskać, to mamy tę dodatkową kopię, którą nawet w godzinach produkcyjnych jesteśmy w stanie wykonać.

Andrzej Buszmicz: No więc mamy z jednej strony niezwykle zmienne środowisko, które musimy backupować i cały system, w którym ten backup musi się odnaleźć, i mamy jednocześnie wzrastające zagrożenia, właśnie to, o czym wspomnieliśmy kilka razy, z poziomu ransomware, z poziomu takiego, gdzie intencjonalnie następują próby w jakiś sposób zniszczenia, uszkodzenia, zafałszowania tego, co my mamy w naszym backupie. Veeam wchodzi z koncepcją cyfrowego bunkra. Czy mógłbyś coś o tym powiedzieć? Na czym ta koncepcja polega i jak ona może odpowiadać na zagrożenie?

Tomasz Turek: Tutaj bardzo mi się podobało to, co powiedziałeś, że w przypadku Veeam cyfrowy bunkier to jest koncepcja, ponieważ bardzo często, gdy myślimy właśnie o takim bunkrze, to myślimy być może o konkretnym produkcie. W przypadku Veeama cyfrowy bunkier to jest tak naprawdę zestaw funkcjonalności, które możemy dopasować właściwie niezależnie od infrastruktury, która znajduje się pod spodem. Czyli tak naprawdę do tych klocków, które znajdziemy w serwerowni, możemy dopasować funkcjonalności Veeama na tyle, żeby taki cyfrowy bunkier został utworzony. Taką nie chciałbym powiedzieć, że podstawą, ale chyba najprostszym, najbardziej wdzięcznym elementem do wdrożenia jest tak zwana opcja immutability na backupie, która zapewnia nam niezmienność kopii zapasowej. To jesteśmy w stanie osiągnąć na repozytoriach typu hard and repository, na urządzeniach deduplikacyjnych, na storage obiektowym i nie pozwala to na usunięcie czy też modyfikację backupu przez określony przez administratora czas. Więc w momencie, kiedy ransomware próbuje uszkodzić czy też skasować tego typu dane, dostaje odmowę dostępu. Oczywiście ten cyfrowy bunkier to jest znacznie więcej. Już na etapie tworzenia kopii zapasowej, odczytywania danych, mamy silniki, które mają analizować, czy ten backup w ogóle ma sens, ponieważ zdarza się nierzadko, że maszyna zostaje zainfekowana, być może już zostaje zaszyfrowana pod spodem, o czym jeszcze nie wiemy, dopóki taka maszyna nie zostanie zrebootowana. Więc backupując taką maszynę, w przypadku odtworzenia, mamy tak naprawdę bezużyteczny plik backupu. Więc ma silniki oparte o sztuczną inteligencję, uczenie maszynowe, tak naprawdę analiza entropii, patrzenie na te zmiany wewnątrz maszyn, które mają determinować, czy mamy podejrzane zachowania wewnątrz takiej maszyny lub też czy widzimy zachowania, które są znane z tego, jak działają konkretne malware, konkretne ransomware. Jeśli tak, od razu zostajemy powiadomieni: „Słuchaj, może drogi administratorze, ten backup fizycznie nie ma sensu”. Później oczywiście ten backup trafia na repozytorium właśnie w tym trybie immutable, czyli nawet jeśli ktoś spróbuje nas zaatakować repozytorium, nie ma do niego dostępu. No i tutaj dochodzi nam oczywiście skopiowanie danych do tej lokalizacji wyizolowanej. I do tego można powiedzieć, że bunkra. Teraz, jeśli chodzi o kopiowanie danych, też to można zrobić na kilka sposobów. W przypadku bunkra powinniśmy to zrobić jakimś zamkniętym protokołem. I teraz, jeśli nie mamy zunifikowanego dostawcy, na przykład macierzy czy rozwiązań do przechowywania backupu, można to zrobić protokołem Veeamowym tak zwanym Veeam Transport Agent – protokół zamknięty. Jeśli mamy urządzenia deduplikacyjne one się bardzo często między sobą replikują – zamkniętymi protokołami danego dostawcy. Jeśli mamy storage obiektowy, to mamy protokół S3, który też nie jest jednak tak popularny wśród ransomware, jak na przykład, nie wiem, NFS, SMB, tego typu sposoby przesyłu danych. Teraz takie dane trafiają na repozytorium zapasowe, czyli to jest to, przypomnijmy sobie zasadę 3-2-1, to jest ta dodatkowa kopia na offsite. I tam również mamy założenie, że jest to repozytorium w trybie immutable, czyli znowu z dodatkowymi zabezpieczeniami. I tam również wykonujemy sobie testy na backup, czyli analizujemy, czy ta kopia zapasowa się faktycznie odtwarza, ponieważ to, że wiemy, że dane zostały backupowane poprawnie, to jest jedno. I teraz sprawdzamy, czy ta maszyna wirtualna faktycznie, czy fizyczna, czy też chmurowa, faktycznie się odtworzy, tak? Czy system operacyjny jest w stanie, czy aplikacje zostają zainicjalizowane? Czy jestem w stanie podłączyć taką maszynę do sieci? Dodatkowo weryfikuję jeszcze najnowszą sygnaturą mojego antywirusa, czy znajdę zagrożenie, które być może jest już znane.

Andrzej Buszmicz: Czyli te sprawdzenia, o których ty mówisz, to nie są tylko sprawdzenia wykonywane przez administratora systemu, który po prostu uruchamia system i patrzy, czy wszystko jest okej. Ale dodatkowo ma jeszcze narzędzia wspierające go w tym, żeby identyfikować, czy tam się coś nie wydarzyło, czy tam nie ma jakichś potencjalnych zagrożeń.

Tomasz Turek: Tak, tak, to jest. Nie dość, że sprawdzenie samej odzyskiwalności backupu to jest to, jeszcze zweryfikowanie właśnie najnowszymi sygnaturami antywirusów, najnowszą logiką, która została zaimportowana, czy zachowanie tej maszyny nie wzbudza naszych podejrzeń. Tutaj powiedziałeś jeszcze, że to jest coś, co administrator powinien manualnie zrobić. Oczywiście można, nie trzeba. Są też sposoby, żeby to zautomatyzować. Tak, w przypadku Veeama to się Sure Backup nazywa, czyli ustawiamy sobie scheduler i tego typu testy wykonują się automatycznie w takiej wyizolowanej strefie sieciowej. Więc też tak naprawdę tworzymy takie środowisko sandboxowe, które ma na celu wyseparowanie od produkcji, gdyby się okazało, że jednak w tym backupie znajduje się coś cp potencjalnie może się rozprzestrzenić.

Andrzej Buszmicz: Jest przy okazji cyfrowego bunkra i działań związanych z backupem takie pojęcia jak Air Gap, które chyba mówi o czymś takim jak właśnie o oddzieleniu pewnych obszarów, mógłbyś coś więcej o tym powiedzieć?

Tomasz Turek: Tak, w przypadku Air Gapa, właśnie mamy na celu zniwelowanie tego niebezpieczeństwa, że ransomware, malware, który dostał się do lokalizacji A, zaatakuje nasze backupy w lokalizacji B. Można powiedzieć, tak, ta lokalizacja B właśnie powinna być wyseparowana. Ta separacja jest wykonywana na bardzo różne sposoby. To może być na zasadzie takiej, że dane z lokalizacji B zostały zaciągnięte, a nie wypchnięte, czyli tak naprawdę to lokalizacja zapasowa wymusza nam synchronizację danych, po czym zamyka ten ruch. Lokalizacja A nie ma tak naprawdę dostępu do tych danych. Niektórzy wykonują to skryptowo, na zasadzie takiej, że jeśli synchronizujemy dane między lokalizacjami, mamy skrypty przedzadaniowe, które otwierają nam dopiero zasady na firewallu, dopuszczają w ogóle do takiego ruchu sieciowego transfer danych backupowych, po czym następuje znowu zamknięcie komunikacji, komunikacji sieciowej. Tak, i to jest tak zwyczajowo w ten sposób, jest to wykonane. Oczywiście, jeszcze samego Air Gapa możemy tworzyć poprzez offlinowe media, jeśli popatrzymy ponownie na taśmy, choćby, czy też na wysłanie takich danych do storage chmurowego archiwalnego, który de facto pod spodem też jest taśmą, ale nie daje nam takiego prostego dostępu do tego, żeby te dane zostały zmodyfikowane.

Andrzej Buszmicz: A czy mógłbyś nam w takim razie powiedzieć coś więcej o tych procesach automatyzujących pracę? Jak one pomagają administratorom, tym ludziom, którzy zarządzają backupem? W jaki sposób? Bo ja domyślam się, że z jednej strony gdy coś automatyzujemy to musimy włożyć trochę pracy w wykonanie konfiguracji automatyzującej, a potem ma to nam spowodować, że tej pracy w przyszłości będzie mniej. Czy mógłbyś trochę o tym powiedzieć? O tym procesie przygotowania tej automatyzacji, na ile to jest skomplikowane, na ile administratorzy sobie z tym łatwo mogą dać radę, na ile narzędzia ich wspierają i jak to potem się przekłada na to, że oni mogą po prostu pić kawę zamiast siedzieć ciężko klepać w klawiaturę?

Tomasz Turek: Jasne, jasne. Jeśli mówimy o automatyzacji w przypadku Veeame, to jest to tak zwany Recovery Orchestrator, czyli to jest właśnie kawałek softwaru, który jest nakładką, można powiedzieć, na warstwę backupową, na warstwę monitoringu, który ma na celu przygotowanie planu disaster recovery. I teraz bardzo, bardzo dobrze, że o tym wspomniałeś. Wymaga to pewnego nakładu pracy i nie jest to tak naprawdę nakład pracy technicznej. To jest nakład pracy koncepcyjno-politycznej, bym powiedział, ponieważ przelanie koncepcji disaster recovery do softwaru wydaje mi się jest relatywnie proste. Zdefiniowanie tego, co chcemy osiągnąć w przypadku awarii, to jest zdecydowanie bardziej skomplikowany proces. Także powiedziałbym, że najbardziej skomplikowanym właśnie elementem jest to, żebyśmy my mieli w głowie zdefiniowaną faktycznie politykę disaster recovery. Później oczywiście przelewamy to na język zrozumiały przez software, to mi się wydaje, że jest dość proste, ponieważ tam możemy tworzyć grupy maszyn, możemy tworzyć całe środowiska, możemy tworzyć zależności między maszynami, definiować testy, które mają się automatycznie wykonać na maszynach. I później dostajemy tak naprawdę trzy elementy automatyzujące. Po pierwsze, dostajemy automatycznie generowaną dokumentację naszego procesu disaster recovery, co jest zawsze przydatne w przypadku jakiejś awarii. Dostajemy opcję testowego przełączenia środowiska, czyli mamy nasz plan i jednocześnie z separacją sieciową, która jest zapewniona w tym momencie przez Veeama, wykonujemy ten plan, sprawdzamy, czy to wszystko się wykonuje, czy to wszystko ma sens. No i oczywiście ten trzeci element to już faktyczny disaster recovery, czyli robimy takie produkcyjne, można powiedzieć, że przełączenie. Tych planów możemy tworzyć dowolnie wiele, to może być per całe środowisko, to może być per konkretna aplikacja, jakaś subgrupa maszyn. Ale tutaj no tak naprawdę musimy po prostu wiedzieć co chcemy osiągnąć.

Andrzej Buszmicz: Ale wiesz z drugiej strony gdy robimy tyle elementów potem automatyzujących w których wszystko sobie już samo działa to my potrzebujemy jeszcze przynajmniej dwóch ważnych obszarów, które powinniśmy zaglądać. Jeden to jest kwestia, że powinniśmy to cały czas monitorować, żeby wiedzieć, że to działa zgodnie z tym, co założyliśmy. A drugi to musimy mieć jakąś pewność, że to wszystko jest integralne, spójne, że tam się nic nie wydarzyło, że my w każdej chwili jesteśmy w stanie skorzystać z materiału, który tam zgromadziliśmy. Jak w tym momencie te narzędzia odpowiadają na właśnie problemy z integralnością, z monitorowaniem? Jak to działa?

Tomasz Turek: Jeśli zacznijmy może od integralności, ponieważ to jest element, który jest sprawdzany kilkukrotnie. Oczywiście, za pierwszym razem na etapie wykonywania samego zadania backupu weryfikujemy na każdym komponencie Veeamowym czy dane są dokładnie takie same jak były wcześniej czy gdzieś tam nie nastąpiło przechwycenie takiego ruchu, uszkodzenie takiego ruchu. Później przy każdej kolejnej iteracji zadania mamy możliwość wykonania Health Checka na całym łańcuchu backupowym. Czyli znowu weryfikacja czy jakieś bloki nam nie wyleciały. Szczególnie, że ransomware dość popularnie atakuje nie cały plik przykładowo backupowy tylko i wyłącznie nagłówki takiego pliku. Więc możemy nie zauważyć inicjalnie, że coś tam poszło nie tak. No i oczywiście ten Sure Backup o którym już wspominaliśmy, czyli to testowanie samej kopii zapasowej, które nie dość, że weryfikuje nam, czy ta maszyna się poprawnie podnosi, czy zostaje zainicjalizowana, weryfikuje nam sumę kontrolną całego pliku backupowego, znowu, żeby się upewnić, że tam żadnego uszkodzenia danych po prostu nie było. Tak, także to jest weryfikowane w tych trzech momentach wykonywania backupu. Do tego oczywiście monitoring i monitoring na dwa sposoby: jedno to jest monitorowanie samych maszyn wirtualnych pod kątem też podejrzanych zachowań, ponieważ malware może być wykryty nawet w tak prosty sposób jak analiza procesora, dysku i wykorzystania sieci. Jeśli mamy podejrzany trend, no to być może coś tam właśnie zostaje zaszyfrowane, a sieciówka to dlatego, że coraz częściej ransomware też wykradają te dane, więc też warto o tym wiedzieć. A dodatkowo monitorowanie samego backupu, nie tyle pod kątem może, czy ten backup się wykonuje, bo to wiemy, to wiemy z takiej konsoli centralnej, ale pod kątem na przykład zmian, ponieważ również widzimy celowane ataki, które wyłączają nam polityki backupowe, modyfikują nam polityki backupowe, zmniejszają nam okresy retencji, po to żebyśmy w przypadku awarii nie mogli się odtworzyć, ponieważ coś nam wcześniej zepsuło politykę backupową i w tym momencie ten mój backup jest nieodzyskiwalny. Albo jest na tyle nieoptymalnie zrobiony, że nie ma sensu po prostu go odzyskać.

Andrzej Buszmicz: Mówimy o bardzo wielu aspektach, bardzo wielu elementach związanych z całym procesem zarządzania backupem. A wspomniałeś przed chwilą o centralnej konsoli. Czy jest jakieś rozwiązanie, które powoduje, że dostajemy jakiś sposób ujednolicenia, jakiś sposób takiego podejścia, żebyśmy mogli to może niekoniecznie w jednym miejscu, ale w jakiś spójny sposób to widzieć, w jakiś spójny sposób tym zarządzać, żeby to nie było tak, że musimy opanować kilkadziesiąt różnych interfejsów i tak dalej, żeby sobie z tym poradzić? Jak w przypadku rozwiązań Veeama jest to realizowane?

Tomasz Turek: W przypadku Veeama taką centralną konsolę jest Veeam Backup and Replication. Tak, to jest to, co znamy historycznie jako podstawowy produkt Veeamowy. Inicjalnie dla środowisk wirtualnych potem fizycznych i później nastąpiło takie delikatne można powiedzieć, że rozejście interfejsów ale już mówię na czym ono polegało. Powstały nowe wirtualizatory, powstała integracja z Nutanixem, z Proxmoxem niedawno wypuszczona, z rozwiązaniami RedHatowymi. Doszła integracja z backupem maszyn chmurowych w Azure, w AWS, w Google Cloudzie. I to są interfejsy, które też częściowo mogą działać zupełnie niezależnie, ponieważ mamy też pewną grupę klientów, na przykład, które mają maszyny działające tylko i wyłącznie w oparciu o Azure, którzy nie potrzebują dużej centralnej konsoli. Ale jednocześnie, jeśli ktoś posiada zarówno środowisko lokalne, jak i środowisko chmurowe, nie ma problemu, żeby ten interfejs azurowy teraz zintegrować z tą centralną konsolą i wszystko widzieć w jednym miejscu, wszystko zarządzać z jednego miejsca. Także ja bym to nazwał, że interfejsy są modularne z jednej strony, ale z drugiej jesteśmy w stanie to wszystko złączyć w taką jedną dużą konsolę.

Andrzej Buszmicz: Dobrze. Tak, trochę już podsumowując, jakie byłyby twoje zalecenia dla osób, które są odpowiedzialne za backup, za to, żeby ten backup był zrobiony, żeby ten backup dał się odzyskać? Teraz mamy 2024 rok i oni muszą podejmować jakieś decyzje, muszą coś wybierać, muszą coś konstruować. Jakie byłyby twoje takie podsumowanie zaleceń? Jak podejść do tego, żeby ten backup był właśnie realizowany i bezpiecznie, i żeby była pewność, że te dane zawsze będziemy mogli uzyskać?

Tomasz Turek: Tutaj niestety się cofnę do tego, o czym zawsze mówimy, czyli tej zasady 3-2-1. Ona jest o tyle ważna, że tutaj naprawdę nie zależy, czy mówimy o Veeamie, czy mówimy o ręcznym kopiowaniu danych. Jeśli dobrze zrobimy zasadę 3-2-1, jesteśmy bezpieczni. Od strony takiej technologicznej, powiedzmy nowoczesnej. Przyjrzałbym się zdecydowanie przestrzeniom obiektowym, object storage, tak zwany, ponieważ wydaje się to być przyszłością, jeśli chodzi o przechowywanie danych backupowych właśnie ze względu na inny format przechowywania danych, ze względu na opcję Object Locka, który daje nam immutability na samych kopiach zapasowych. No i też warto, niestety, zaakceptować to, że poświęcamy wygodę versus bezpieczeństwo. Kiedyś backup musiał być bardzo wygodny, dziś separacja komponentów, najniższe możliwe uprawnienia, role helpdeskowe, tak, ograniczanie portów, mieszanie systemów operacyjnych, mieszanie protokołów – to wszystko wzmaga bezpieczeństwo, oczywiście kątem wygody, ale jednak patrząc na to, o czym dzisiaj rozmawiamy, mówiąc o backupie, my już nie mówimy o backupie maszyn, nie mówimy o odtwarzaniu maszyn, mówimy właśnie o tym, jak się chronić przed ransomware. Więc wydaje mi się, że poświęcenie tej wygody jest po prostu tego warte.

Andrzej Buszmicz: Czyli z tego, co mówisz, wygląda na to, że bezpieczeństwo tak mocno również wchodzi w obszar tego, co miało być bezpieczeństwem, i samo teraz wymaga zabezpieczeń, że musimy trochę poświęcić naszej użyteczności, ergonomii na rzecz tego bezpieczeństwa. No, co w systemach IT współcześnie wydaje się po prostu konieczne. No, nie można inaczej.

Tomasz Turek: Dokładnie, dokładnie tak. I tak naprawdę ostatni, myślę, że rok, półtora, być może nawet więcej, mówimy tak naprawdę właśnie o bezpieczeństwie systemu bezpieczeństwa, a nie o jego funkcjonalnościach, ponieważ, no, to jest tak naprawdę ten najważniejszy element dzisiaj.

Andrzej Buszmicz: Tomku, bardzo ci dziękuję. Sporo nam dzisiaj powiedziałeś, sporo się dowiedzieliśmy, bardzo cenna wiedza. Mam nadzieję, że może jeszcze w przyszłości będziemy mieli okazję porozmawiać. Dziękuję ci bardzo.

Tomasz Turek: Dziękuję bardzo, do zobaczenia.