Храним бэкапы правильно: основные способы оставить их «живыми»
Резервные копии (РК) долгое время считались надежной страховкой от потери данных. Однако сегодня компании всё чаще становятся жертвами вирусов-шифровальщиков или просто теряют данные. Этого можно избежать, если организовать правильное хранение бэкапов. Разбираемся на примерах реальных ситуаций, как потеря резервных копий разрушала целые бизнесы и как защитить свои данные, чтобы шифровальщики до них не добрались.
Риски для резервных копий растут каждый год
Компании всегда больше боялись потерять «живые» данные — те, что используются ежедневно: базы данных клиентов, финансовые отчеты и другие важные файлы. Со временем бизнес начал лучше защищать свои основные данные от взлома и шифрования. Уже у всех есть антивирусы, межсетевые экраны и системы обнаружения вторжений. В ответ шифровальщики стали атаковать резервные копии, чтобы сделать восстановление невозможным без выкупа.
Согласно исследованию компании Veeam за 2023 год, 93% атак программ-вымогателей нацелены на бэкапы, причем в 75% случаев пострадавшим не удается восстановить данные. В 2024-м число группировок, которые занимаются запуском программ-вымогателей, выросло на 30% по сравнению с 2023 годом.
Одна из главных причин потери данных — неправильное хранение резервных копий. Если бэкапы находятся на том же сервере, что и основные данные, или доступ к ним плохо защищен, их легко найти и уничтожить. Это делает восстановление данных невозможным, даже если компания регулярно делала РК.
Как потеря бэкапов портит жизнь компаниям
Атаки шифровальщиков на резервные копии могут полностью остановить работу компании. Вот несколько примеров, которые показывают, как неправильное хранение бэкапов приводит к катастрофическим последствиям.
Code Spaces. В 2014 году компания Code Spaces стала жертвой атаки, которая привела к ее закрытию. Шифровальщики получили доступ к панели управления Amazon Web Services (AWS). А когда компания отказалась платить за дешифровку, вирус уничтожил не только основные данные, но и все резервные копии, включая те, что хранились в других регионах. Это сделало восстановление невозможным — Code Spaces прекратили свою деятельность.
VFEmail. В 2019 году с атакой столкнулся почтовый сервис VFEmail. Шифровальщики полностью стерли все данные, включая архивные копии. Восстановить данные оказалось невозможно: все РК оказались уничтожены, а изолированных архивов, которые могли бы быть использованы для восстановления, у компании не было. Инцидент привел к остановке работы сервиса, потере доверия клиентов и серьезным финансовым убыткам.
MediSecure. В 2024 году австралийская компания MediSecure, которая работала с электронными рецептами, столкнулась с масштабной утечкой данных из резервных копий. Были зашифрованы личные и медицинские данные пациентов: имена, даты рождения, адреса, названия лекарств и дозировки — вся информация, сохраненная в системах компании до ноября 2023 года. Общий объем данных — 6,5 ТБ. Атака затронула 12,9 миллиона человек, что делает ее одной из крупнейших в истории Австралии.
За расшифровку и возврат данных требовали большие деньги. Точная сумма неизвестна, но MediSecure сообщили, что выкуп потребовал бы «значительных затрат, которые компания не могла себе позволить». После взлома часть информации была опубликована на одном из форумов даркнета, а более крупный набор данных выставили на продажу за 50 000 долларов. В результате инцидента MediSecure перешла в состояние «администрирования» — процесс, при котором компания передается в управление независимому управляющему. В случае MediSecure это означало, что бизнес буквально умер.
Как видим, если резервные копии уничтожены или зашифрованы, у организаций остается только два варианта: выплатить выкуп или потерять данные навсегда. Угроза особенно актуальна для компаний, которые хранят бэкапы в той же инфраструктуре, что и основные данные. Такая практика создает единую точку отказа: в случае атаки на основную инфраструктуру под удар попадают и резервные копии, что делает восстановление невозможным. Поэтому важно хранить их отдельно от основных данных и использовать базовые и дополнительные меры защиты.
Базовые методы защиты резервных копий
Чтобы защитить бэкапы от шифровальщиков, начните с анализа текущего состояния. Проверьте ключевые моменты, которые влияют на безопасность резервных копий, и определите, что уже работает, а что нуждается в доработке.
Физическое и логическое разделение данных. Если РК хранятся на тех же серверах или в той же среде, что и основные данные, это значительно увеличивает риск их компрометации. Шифровальщики, попавшие в систему, могут легко найти и уничтожить резервные копии. Храните РК на отдельном оборудовании или в изолированной облачной среде.
Сложность определения мест хранения резервных копий. Если резервные копии хранятся в папке с явным названием Backup на общем сетевом ресурсе, шифровальщики могут быстро их обнаружить. Используйте зашифрованные и скрытые хранилища, а также маскируйте названия папок и файлов, чтобы усложнить задачу вредоносным программам.
Обучение сотрудников. Фишинговые атаки — один из самых распространенных способов проникновения шифровальщиков в систему. Если сотрудники не обучены распознавать подозрительные письма и вложения, это может привести к компрометации резервных копий. Регулярно проводите обучение и симуляции фишинга, чтобы снизить риски.
Обновления ПО и сканирование уязвимостей. Устаревшее программное обеспечение и неисправленные уязвимости — это открытые двери для шифровальщиков. Регулярно обновляйте системы и сканируйте их на уязвимости, чтобы закрыть потенциальные точки входа для вредоносных программ.
Многофакторная аутентификация и контроль доступа. MFA добавляет дополнительный уровень безопасности. Она требует от пользователей ввода одноразового кода, например, через Google Authenticator.
Контроль доступа на основе ролей (RBAC). Технология позволяет реализовать политику избирательного доступа к РК в зависимости от того, какие задачи выполняют сотрудники. Например, администраторы могут иметь полный доступ, а операторы — только право на создание и управление резервными копиями.
Как еще повысить безопасность бэкапов
Чтобы защитить резервные копии от шифровальщиков, важно использовать не только базовые, но и более продвинутые методы. Вот несколько способов, которые помогут значительно повысить уровень защиты:
Изоляция данных. Изоляция данных — это ключевой метод защиты РК. Для локальной инфраструктуры это означает хранение резервных копий в физически изолированной среде, недоступной для шифровальщиков.
Например, можно использовать ленты LTO (Linear Tape-Open), которые физически отключаются от сети после записи. Современные ленты LTO-9 уже поддерживают до 45 ТБ сжатых данных, а с выходом LTO-10 ожидается увеличение емкости до 90 ТБ. Мы расскажем подробнее о возможностях лент в следующей статье — подписывайтесь на наш блог :)
Технология WORM (Write Once, Read Many). Она позволяет создавать резервные копии, недоступные для изменения или удаления в течение заданного срока. В этом режиме никто, даже системный администратор тенанта, не может перезаписать или удалить версию данных, пока не закончился период защиты.
Технология позволяет компаниям соблюдать строгие нормативные требования, которые предъявляются, например, к хранению юридических документов, медицинских записей и других критически важных данных, которые должны оставаться неизменными. Например, в финансовой сфере WORM-хранилища помогают доказать подлинность данных при аудитах, а в здравоохранении — сохранять конфиденциальность пациентов.
Мультиоблачное хранение резервных копий. Чтобы повысить надежность хранения РК, рекомендуется размещать их в нескольких облачных средах, если вы уже работаете с облаками. Тогда в случае сбоя получится восстановить данные из резервных копий, которые хранятся у другого провайдера.
Мультиоблачность — один из трендов в развитии облачных технологий. Компании выбирают эту модель, чтобы снизить зависимость от одного провайдера, повысить гибкость IT-инфраструктуры и устойчивость к атакам. В России около 20–30% компаний уже используют такое решение. Подробнее о преимуществах и рисках модели мы писали в статье, почему мультиоблако подходит не всем.
Шифрование данных. Шифрование — еще один дополнительный способ обезопасить бэкапы в облаке. Даже если данные утекут, они останутся недоступными для шифровальщиков.
Однако шифрование может снизить скорость создания и восстановления РК. Кроме того, оно не защищает данные от уничтожения — понадобятся дополнительные меры. Например, можно внедрить аппаратные модули безопасности (HSM) для хранения ключей, оптимизировать процессы через мультипоточность и аппаратное ускорение.
Регулярное тестирование восстановления. Даже с защищенными резервными копиями важно убедиться, что их можно использовать в любой момент, когда понадобится. Регулярное тестирование восстановления поможет выявить проблемы до того, как они станут критическими.
Частота тестирования определяется внутренней политикой компании исходя из темпа обновления данных и их критичности. Для динамично изменяющихся данных рекомендуется проверять восстановление не реже одного раза в месяц. Во время тестов зафиксируйте время восстановления и убедитесь, что все данные доступны и корректны.
Также важно оптимизировать целевое время восстановления (RTO) и целевую точку восстановления (RPO):
RTO (Recovery Time Objective) — это максимальное время, за которое данные и системы должны быть восстановлены после сбоя. RTO рассчитывается на основе анализа влияния простоя на бизнес (BIA) и зависит от критичности системы. Например, если максимально допустимый простой системы составляет 6 часов, RTO следует установить на уровне 4–5 часов, чтобы учесть возможные задержки.
RPO (Recovery Point Objective) — это максимальный период, за который данные могут быть потеряны без критических последствий для бизнеса. Например, если ваш RPO составляет 1 час, это означает, что бэкапы нужно делать как минимум каждый час.
Когда размещаете резервные копии в облаке, то учитывайте тип хранилища, так как это напрямую влияет на RTO и RPO. Архивные (холодные) хранилища дешевле, но их низкая скорость чтения и записи увеличивает время восстановления. Если нужно восстановить большой объем данных за короткий срок, например в течение часа или двух, лучше использовать более производительные типы дисков, даже если их стоимость выше. Мы рекомендуем тестировать и скорость создания копий и скорость их восстановления с того типа дисков, которые вы выбрали для их хранения.
Также если время на резервное копирование ограничено, то создание копий на медленных хранилищах может не успеть завершиться. Например, такое случается, если на бэкап отведено слишком узкое ночное окно. В этом случае данные могут быть неактуальными.
Как сэкономить на резервном копировании без увеличения рисков
Сомнительно делать десять резервных копий для всех данных компании (в разных облаках, на лентах LTO, в собственных СХД) — это дорого и неэффективно. Вместо этого лучше распределить данные по важности и критичности для бизнеса:
Критически важные данные, например личные данные клиентов, финансовые отчеты, — нужно хранить в нескольких копиях в разных местах, использовать частые резервные копии и строгие RTO/RPO.
Менее важные данные, например архивные файлы, — можно хранить дешевле и копировать реже, с более длительными RTO/RPO.
Защита данных — это непрерывный процесс. Регулярно обновляйте систему, обучайте сотрудников и тестируйте восстановление, чтобы минимизировать риски и обеспечить стабильную работу бизнеса даже в случае атаки шифровальщика на бэкапы. Если вы работаете по модели on-premise и резервные копии тоже размещаете локально, не храните их на тех же серверах, СХД или NAS, что и основные продуктивные данные. Иначе в случае выхода оборудования из строя вы рискуете потерять доступ и до рабочих данных и до бэкапов.
А как вы защищаете свои резервные копии? Делитесь своим опытом в комментариях ↓
