Євген СЕРЕДОВИЧ, ДП "ЕС ЕНД ТІ УКРАЇНА"
Подібно до незмінності та постійності законів фізики, хакерські атаки в наші дні вже також здаються неминучими. Останні кілька років стали рекордними за здобутками для кіберзлочинців, які завдавали шкоди підприємствам та порушували повсякденне життя за допомогою різноманітних шкідливих програм. Нажаль, розвиток кіберзагроз не демонструє жодних ознак уповільнення, та можна очікувати, що і далі ця ситуація буде лише погіршуватись.
Яких заходів можуть вжити корпоративні ІТ-фахівці та фахівці з безпеки, щоб підготуватися до неминучого? Не є таємницею, що дані – це ключовий актив для будь-якого бізнесу, який може бути досить важко захистити. На щастя, завдяки резервному копіюванню даних бізнес може захистити свої критично важливі дані від можливих катастроф, збоїв системи та атак програм-вимагачів, щоб була можливість продовжувати повсякденну роботу без будь-яких перерв.
Превентивне запобігання атаці є найкращим захистом, і багато рекомендацій наголошують на важливості правильної стратегії резервного копіювання даних. Вона допомагає ІТ-фахівцям гарантувати, що заходи захисту даних ефективні, надійні та працюватимуть належним чином, коли це необхідно.
Однак, з урахуванням зростання складності та різноманітності ІТ-систем і кіберзагроз, сьогодні досить складно обрати ефективну стратегію резервного копіювання даних, яка б захищала всі критично важливі дані компанії та мінімізувала втрати даних і час простою.
Стратегія «3-2-1»
Найпопулярнішою і, можливо, найстарішою є стратегія резервного копіювання «3-2-1». Стратегія резервного копіювання 3-2-1 – «золоте правило» захисту бізнес-даних. Вона виникла ще до бурхливого сплеску розвитку хмарних технологій та була орієнтована на використання доступних технологій (серверів резервного копіювання, стрічкових масивів, тощо) для створення максимально надійної системи захисту даних від більшості ІТ-ризиків: стихійні лиха, перебої в подачі електроенергії, віруси або шкідливі програми, а також пошкодження чи втрата даних.
Це недороге і просте рішення, яке потребує трьох (3) копій даних та використовує як мінімум два (2) типи носіїв; причому одна (1) копія знаходиться за межами центру обробки даних. Для більшості організацій, продуктивні дані – це Копія №1; дані резервної копії в локальному репозиторії – Копія №2; а Копія № 3 – знаходиться за межами майданчика, для аварійного відновлення (зазвичай «стрічка», диск або хмарне сховище).
Але, чи захищена ця стратегія резервного копіювання від програм-вимагачів (ransomware)? Відповідь очевидна – жодна стратегія резервного копіювання не забезпечує 100% захист від кіберзагроз. Існує безліч способів оминути стратегію 3-2-1. Крім того, сьогодні атаки програм-вимагачів націлені вже на самі системи резервного копіювання. Це робиться з метою унеможливити будь-які засоби та можливості аварійного відновлення. Резервні копії можуть бути зашифровані разом з рештою даних.
Враховуючи ці нові виклики, експерти з безпеки рекомендують використовувати додатковий захист від програм-вимагачів, такий як незмінність (immutability) та/або ізоляція резервних копій, за допомогою так званого повітряного зазору (air-gapping).
Стратегія «3-2-1-1-0»
Ізоляція даних не є чимось новим, і багато організацій вже зробили її частиною своєї класичної («3-2-1») стратегії резервного копіювання та відновлення. Традиційно дані ізолювалися на магнітних стрічках, а потім поверталися на місце у разі збою даних. Цей підхід забезпечує чудову безпеку, але відновлення часто займає багато часу, що призводить до недотримання угод про рівні обслуговування SLA, що є неприйнятним у контексті сучасних вимог до безперервності бізнесу. Тому, щоб залишатися гнучкими та одночасно захищати дані, організації оновлюють свої правила резервного копіювання до більш надійної та сучасної стратегії «3-2-1-1-0».
Схема «3-2-1-1-0» розширює стратегію «3-2-1» – додані до правила номери «1-0» передбачають, що:
- Одна, додаткова резервна копія має бути «автономною» – незмінною, або недоступною до змін, через так званий «повітряний зазор»
- 0 – відсутність помилок (ця копія не повинна мати помилок). Тобто, наявність перевірки цілісності резервних копій даних.
Ці додаткові опції допомагають забезпечити найвищий рівень можливості відновлення даних після будь-якого типу катастрофи.
Ізоляція резервних копій
Впровадження автономної ізольованої резервної копії (з т. зв. «повітряним зазором») є мірою захисту даних від атак програм-вимагачів та гарантує, що критичні резервні копії та репліки залишаться відключеними та неушкодженими, навіть якщо все продуктивне середовище та центр обробки даних будуть скомпрометовані. Перевірки цілісності даних допомагають знизити ризик людських помилок та пошкодження резервних копій.
Концепція «повітряного зазору», або повітряної ізоляції, в даному випадку, яскраво описує бар'єр, зведений між самими даними резервного копіювання та доступом до цих даних. Це розширена функція захисту даних, що використовується для ізоляції та відключення цільових пристроїв зберігання від незахищених мереж, виробничих середовищ та хостингових платформ.
Існує два основних типи ізоляції резервних копій:
- Фізична ізоляція – коли цільове сховище/репозиторій фізично ізольовано/відключено від продуктивної мережі. Цей тип являє собою реальну ізоляцію даних на фізичному рівні, які повністю відключені від мережі і знаходяться в автономному режимі. Його часто пов'язують із зовнішніми носіями інформації, наприклад, резервними копіями на стрічці, автономними стрічковими масивами/бібліотеками або додатковими системами зберігання, які підключаються та відключаються вручну. Тобто, одержати дані з таких носіїв можна лише через фізичний контакт. А цей процес забирає багато часу і здатний привести до помилок. Звідси відсутність коротких RTO's та гарантованих RPO's.
- Логічна ізоляція – коли цільове сховище/репозиторій фізично підключене, але логічно ізольоване або відключене від мережі. Це означає, що носій даних фізично перебуває у підключеному стані, але доступ до даних має певні обмеження.
Варто відзначити, що у порівнянні з фізичною, логічна ізоляція резервного копіювання вимагає менше часу для налаштування та управління, і не схильна до впливу людських помилок, що дозволяє автоматизувати робочий процес. Також, вона має більш високу частоту створення резервних копій та можливість практично миттєвого відновлення даних.
З огляду на вищезгадане, сучасні системи резервного копіювання та відновлення (РКіВ) в більшості випадків починають відходити від використання повністю фізичної ізоляції резервних копій. А стратегія «3-2-1-1-0» передбачає використання в якості автономної копії даних переважно логічної моделі ізоляції, або різноманітні комбінації цих двох типів.
З практичної точки зору реалізація даної моделі ізоляції полягає в тому, що для зберігання резервних копій, знімків та реплік, системи РКіВ використовують не реальні окремі пристрої, а так звані ізольовані томи/розділи зберігання. Важливо відзначити, що для створення невидимого бар'єру між даними та самим доступом до даних, логічна ізоляція більше покладається на технології безпеки: управління доступом на основі ролей, шифрування та хешування, використання програмно-конфігурованої мереж та інші.
Томи/розділи зберігання підключаються до основного репозиторію резервних копій тільки для збереження критично важливих даних, а потім відключаються. В залежності від програмного забезпечення та виробника, можливість підключення та відключення ізольованих томів може здійснюватися вручну або автоматично, за допомогою налаштованих політик. Вбудоване програмне забезпечення автоматизує синхронізацію даних між продуктивними системами та сховищем, та може створювати незмінні резервні копії із заблокованими політиками зберігання. У разі збою на основному майданчику, ізольовані томи можна увімкнути, а дані, що зберігаються на них, можна використовувати для операцій швидкого і безперешкодного відновлення.
Оскільки ізольовані томи за замовченням «відключені» і недоступні для додатків, баз даних, користувачів та робочих навантажень, що працюють у виробничому середовищі, вони захищають резервні копії, що зберігаються, від будь-яких збоїв, які можуть вплинути на основне продуктивне середовище.
На ринку з'являється все більше спеціалізованих продуктів, які поєднують кілька рівнів захисту та безпеки в одне готове рішення, що забезпечує максимальний захист критично важливих даних. Це спеціально розроблені пристрої резервного копіювання з функціями «повітряного зазору», з вбудованими мережевими компонентами та контролерами живлення, які автоматично ізолюють та відключають пристрій від продуктивного середовища відповідно до політик, визначених користувачем.
Такі рішення переважно орієнтовані на великі підприємства, з великими об’ємами даних та, відповідно, великими бюджетами. Здебільшого ці рішення є компонентами більш складних та комплексних систем кіберзахисту та кібервідновлення, наприклад Dell PowerProtect Cyber Recovery.
Налаштування та впровадження таких систем вимагає додаткових знань, відповідного досвіду та детального аналізу інфраструктури – тому такі роботи краще довірити сервісним компаніям, які мають відповідну кваліфікацію, таким як ДП «ЕС ЕНД ТІ УКРАЇНА».
Малому та середньому бізнесу краще акцентувати увагу на більш доступних рішеннях. А саме – в межах вже існуючих систем резервного копіювання, зробити легку модернізацію деяких компонентів РКіВ або додати окремі елементи незмінності/ізоляції даних резервних копій. Рекомендації можуть бути різноманітними, наприклад:
- якщо сервер резервного копіювання виводиться з доменної інфраструктури організації – це вже додатковий рівень безпеки. А далі, якщо до цього сервера, на окремий мережевий порт, що не має доступу до корпоративної мережі та Інтернету, підключити будь-який NAS-пристрій (як сховище для ізольованих резервних копій) – то ви вже отримаєте деякий «повітряний зазор», у тому сенсі, що решта мережі не може отримати доступ до файлів; лише резервний сервер.
- до основних локальних репозиторіїв резервних копій можна додати захищений репозиторій, який може забезпечити незмінність даних, що там зберігаються (тобто резервних копій). Його можна розгорнути на будь-якому фізичному сервері під управлінням ОС Linux та відповідних компонентів ПЗ, що вже можуть бути у складі існуючої системи РКіВ (наприклад, Veeam Hardened Repository).
- Ще один шлях підвищити безпеку – створити частковий повітряний проміжок, запустивши в інфраструктурі тимчасові сценарії, що вимикають мережеві порти для пристроїв репозиторію або мережевих комутаторів і вмикають лише на час, коли заплановано повторення нових резервних копій. Це зменшує вікно можливостей для атаки.
- Нарешті – використовуйте публічні та приватні хмарні сховища в якості автономних репозиторіїв резервних копій. Зокрема, Amazon і Microsoft Azure мають можливості налаштування політик, які не дозволяють жодному файлу змінюватись чи видалятися протягом певного часу, після чого вони автоматично видаляються політикою сегмента або продовжують зберігатись більш тривалий час, за допомогою можливостей архівування.
І хоча такі окремі приклади не можуть в повному обсязі забезпечити ізольованість та незмінність резервних копій, але комбінуючи їх разом можна максимально наблизитись до бажаних результатів.
Як уже зазначалося, основними перевагами використання стратегії резервного копіювання 3-2-1-1-0 – є захист від програм-вимагачів та інших шкідливих програм, оскільки резервні копії недоступні з сервера резервного копіювання або іншого місця в мережі. Резервні дані залишаються в автономному режимі та захищені від таких атак завдяки ізольованому сховищу, забезпечуючи таким чином ще й довгострокове збереження даних.
Висновки
Незмінність резервних копій є найважливішим аспектом надійної стратегії захисту даних. Об'єднавши її із ізольованим сховищем, організації можуть підвищити безпеку та цілісність своїх резервних копій, гарантуючи, що дані залишаються у безпеці від онлайн-загроз, забезпечуючи безцінний рівень захисту. Оскільки цифрове середовище продовжує розвиватися, потреба в незмінних резервних копіях із ізольованим сховищем стає все більш очевидною, як для підприємств, так і для приватних осіб.
Проте, сьогодні найкраща практика — реалістично ставитися до цієї технології. Вона може працювати і дійсно бути дуже ефективною за певних обставин, як частина стратегії резервного копіювання та відновлення. Однак важливо не приймати спрощене мислення та не думати: «Мої резервні копії ізольовані, тож – вони у безпеці». Це вже не так. Тому, вам необхідно використовувати декілька рівнів безпеки, якщо ви хочете захистити свої дані від програм-вимагачів та інших кіберзагроз.