Beveik kiekviena įmonė, kurios paklausiame apie atsargines kopijas, atsako, kad jas daro. Dažniausiai – pagal 3-2-1 taisyklę arba bent jau „į išorinį diską ir į debesį“. Tai gera pradžia. Bet incidentai, kuriuos teko tvarkyti pastaraisiais metais, rodo tą patį vaizdą: kopijos buvo, o atkurti nebuvo iš ko.
Priežastis paprasta. 3-2-1 taisyklė gimė tais laikais, kai pagrindinė grėsmė buvo sugedęs diskas ar gaisras serverinėje. Šiandien pagrindinė grėsmė – žmogus kitoje pusėje, kuris prieš šifruodamas jūsų sistemas pirmiausia suranda ir sunaikina kopijas. Nuo tokio scenarijaus trys kopijos dviejose laikmenose nesaugo, jei visas tris galima pasiekti iš to paties tinklo tomis pačiomis prieigomis.
Šiame straipsnyje paaiškinsime, ką 3-2-1 taisyklė reiškia iš tikrųjų, kaip išpirkos virusai pasiekia kopijas, ką keičia nekeičiamos ir atskirtos kopijos ir kaip tai atrodo praktikoje, kai kopijas saugome mes.
Ką 3-2-1 taisyklė reiškia ir ko ji nesako
Taisyklė trumpa:
- 3 – turėkite bent tris duomenų egzempliorius: originalą ir dvi kopijas.
- 2 – laikykite juos bent dviejose skirtingose laikmenose ar sistemose, kad vienas gedimas nesunaikintų abiejų.
- 1 – bent vieną kopiją laikykite kitoje vietoje, ne tame pačiame pastate.
Ji vis dar teisinga. Jei serverio diskas sugenda, atkuriate iš vietinės kopijos. Jei biure kyla gaisras ar užliejimas, atkuriate iš nutolusios. Lietuvos įmonėse dažniausiai matome tokį variantą: serveris, NAS įrenginys tame pačiame kabinete ir kopija debesyje arba pas IT tiekėją.
Taisyklė nieko nesako apie du dalykus. Pirma – kas gali kopijas ištrinti arba pakeisti. Antra – ar kopijos pasiekiamos iš to paties tinklo, kuriame veikia originalas. O būtent čia ir vyksta šiuolaikinės atakos.
Kaip išpirkos virusas pasiekia kopijas
Šiuolaikinė išpirkos ataka nėra vienas failas, kurį kas nors netyčia atidarė. Tai kelių savaičių procesas, kurį atlieka žmonės. Tipinė eiga mūsų praktikoje atrodo taip:
- Pradinė prieiga – suklastotas laiškas, nutekėjęs slaptažodis arba neatnaujinta VPN įranga.
- Žvalgyba – užpuolikas tyliai žiūri, kokie serveriai yra, kur laikomos kopijos, kas turi administratoriaus teises.
- Teisių perėmimas – gaunamos domeno administratoriaus arba kopijų serverio prieigos. Dažnai tai tas pats administratorius, kurio slaptažodis tinka visur.
- Kopijų naikinimas – ištrinamos kopijų užduotys, suformatuojamas NAS, ištrinami debesies saugyklos objektai per tą pačią paskyrą, kuria kopijos buvo keliamos.
- Šifravimas – tik dabar paleidžiamas pats virusas, dažniausiai penktadienio vakarą arba prieš šventes.
Atkreipkite dėmesį į ketvirtą žingsnį. NAS tame pačiame tinkle, prijungtas kaip tinklo diskas, yra tiesiog dar vienas diskas, kurį virusas užšifruos. Debesies kopija, kurią serveris kelia savo paskyra, ta pačia paskyra pasiekiama ir ištrynimui. Formaliai 3-2-1 įvykdyta. Praktiškai – užpuolikas turi raktus nuo visų trijų kopijų.
Ką keičia nekeičiamos ir atskirtos kopijos
Atsakymas į šią problemą turi du sluoksnius, kurie vienas kitą papildo.
Nekeičiamos (immutable) kopijos
Nekeičiama kopija – tai kopija, kurios nustatytą laiką negali ištrinti ar perrašyti niekas: nei administratorius, nei kopijų programinė įranga, nei užpuolikas, perėmęs abiejų teises. Techniškai tai realizuojama saugyklos lygmenyje: objektas užrakinamas, pavyzdžiui, 30 dienų, ir saugykla tiesiog atmeta bet kokią trynimo komandą iki termino pabaigos. Veeam tai vadina sustiprinta saugykla (hardened repository), o debesies saugyklose tai objektų užraktas (object lock).
Svarbus niuansas – užraktas turi būti ne kopijų programoje, o saugykloje. Jei užpuolikas perima kopijų serverį, programos nustatymus jis pakeis. Saugyklos užrakto – ne.
Atskirtos (air-gapped) kopijos
Atskirta kopija – tai kopija, kurios iš gamybinio tinklo apskritai nematyti. Ji nėra prijungtas diskas, nėra bendrinamas aplankas, neturi IP adreso, kurį būtų galima rasti žvalgybos metu. Duomenys į ją patenka vienpusiu kanalu, o atkūrimą inicijuoja ne tie patys žmonės ir ne tomis pačiomis prieigomis, kuriomis valdomas gamybinis tinklas.
Seniau tai buvo juostos, kurias kas vakarą kas nors išveždavo namo. Šiandien tą patį principą galima įgyvendinti debesijoje, bet reikia sąmoningai suprojektuoti, kad kopijų pusė nematytų gamybinės pusės prieigų, o gamybinė pusė – kopijų.
3-2-1-1-0: taisyklė, kuri atitinka 2026 metus
Praktikoje naudojame išplėstą variantą, kurį rekomenduoja ir Veeam:
| Skaičius | Reikalavimas | Nuo ko saugo |
|---|---|---|
| 3 | Trys duomenų egzemplioriai | Vieno egzemplioriaus praradimas |
| 2 | Dvi skirtingos laikmenos ar sistemos | Įrangos gedimas |
| 1 | Viena kopija kitoje vietoje | Gaisras, vagystė, užliejimas |
| 1 | Viena kopija nekeičiama arba atskirta nuo tinklo | Išpirkos virusas, piktavalis administratorius |
| 0 | Nulis klaidų atkūrimo teste | Kopija, iš kurios neįmanoma atkurti |
Pirmieji trys punktai – klasika. Ketvirtasis atsako į klausimą „kas, jei užpuolikas turi administratoriaus prieigą“. Penktasis – į klausimą, kurį dažniausiai užduodame pirmą kartą susitikę su nauju klientu: kada paskutinį kartą bandėte atkurti? Kopija, kurios niekas netestavo, yra prielaida, ne apsauga. Nulis klaidų reiškia reguliarų, dokumentuotą bandymą, o ne žalią varnelę kopijų programoje.
Kaip tai atrodo MDP CLOUD
Kai kopijas saugome mes, taisyklė įgyvendinama taip:
- Pirmoji kopija – jūsų serveryje arba pas mus debesyje, greitam kasdieniam atkūrimui: vienas failas, vienas laiškas, viena virtuali mašina.
- Antroji kopija – mūsų duomenų centre Lietuvoje, atskiroje saugykloje ir atskiroje tinklo zonoje nuo jūsų gamybinių sistemų.
- Trečioji kopija pagal poreikį – Amazon duomenų centre Vokietijoje, kai reikalavimai (pavyzdžiui, DORA arba įmonių grupės politika) numato kopiją kitoje šalyje.
- Slaptoji kopija – nekeičiama ir iš jūsų tinklo nematoma. Ji keliama vienpusiu kanalu, jos per nustatytą saugojimo terminą negali ištrinti nei jūsų administratorius, nei jūsų IT tiekėjas, nei mes vienašališkai. Atkūrimą inicijuoja įgaliotas jūsų atstovas per atskirą, su jūsų tinklu nesusijusį kanalą.
Visa tai įgyvendinama su Veeam atsarginėmis kopijomis. Kai įmonei reikia ne tik duomenų, bet ir vietos, kur juos paleisti po incidento, pridedame PlanB infrastruktūros atstatymą – paruoštą aplinką mūsų debesijoje, kurioje serveriai keliami iš kopijų, kol jūsų biuro infrastruktūra tvarkoma.
Nuo ko pradėti
- Nubraižykite, kur šiandien yra kiekviena jūsų kopija ir kas turi teisę ją ištrinti. Jei visas tris gali ištrinti viena paskyra, turite vieną kopiją, ne tris.
- Atjunkite kopijų saugyklą nuo gamybinio tinklo: atskira tinklo zona, atskiros prieigos, jokių bendrinamų aplankų.
- Įjunkite nekeičiamumą saugykloje, ne programoje, ir nustatykite terminą, ne trumpesnį nei laikas, per kurį pastebėtumėte įsilaužimą. Mūsų praktikoje tai bent 30 dienų.
- Atkurkite vieną serverį į izoliuotą aplinką ir užfiksuokite, kiek tai užtruko ir ar viskas veikė.
- Jei norite šiuos žingsnius atlikti kartu su mumis, pradėkite nuo slaptųjų rezervinių kopijų aprašymo arba parašykite mums per kontaktų formą – per pirmą pokalbį kartu įvertinsime, kurią iš 3-2-1-1-0 dalių jūsų įmonė šiandien praleidžia.
