Стратегії резервного копіювання: 3-2-1, реплікація даних, Snapshot-резервування та Immutable backups
Матеріал підготовлений на основі виступу керівника IT-підрозділу Shadow Speaker на «NG-CISO» (Next Generation CISO)
Резервне копіювання є наріжним каменем забезпечення безперервності бізнес-процесів. У контексті кібербезпеки існує базове правило: є системи, які вже зламали, і є системи, які будуть зламані. Тому стратегія резервного копіювання стає рятівною паличкою для організацій.
Український досвід наочно демонструє критичність якісного резервного копіювання. Атаки на національні реєстри призвели до зупинки процедур, включно з реєстрацією життєво важливих подій. Випадок 2017 року з вірусом Petya зупинив бухгалтерські процедури компаній і банків, унеможливив використання банківських терміналів. Резервне копіювання дозволяє мінімізувати фінансові втрати, зберегти репутацію та уникнути правових наслідків.
Сучасні організації стикаються з широким спектром загроз: кібератаки (випадки NotPetya фіксувалися до 2019 року), руйнування фізичної інфраструктури, людські помилки, природні катаклізми та внутрішній саботаж. В Україні саботаж з боку ворожої держави робить наявність надійних резервних копій питанням національної безпеки. Recovery Point Objective (RPO) та Recovery Time Objective (RTO) є ключовими показниками, що визначають, скільки даних організація може втратити та як швидко має відновити критичні системи.
Стратегія 3-2-1 – золотий стандарт захисту даних
Стратегія 3-2-1 є визнаним галузевим стандартом.
- Цифра «3» означає наявність трьох копій даних: оригінал плюс дві резервні копії. Така кількість базується на математичній імовірності відмов обладнання. Жорсткі диски рекомендується заміняти раз на три роки, оскільки після цього каскадно збільшується ймовірність незворотних пошкоджень. Одночасна відмова двох дисків складна, трьох – майже неможлива. Важлива рекомендація: обладнання для резервних копій не повинно належати до однієї виробничої партії.
- Цифра «2» означає два різних типи носіїв. Це може бути комбінація внутрішнього диска, зовнішнього диска та хмарного сховища, або локального сервера, мережевого сховища та хмари. Кожна технологія має переваги та недоліки, які мають взаємно перекриватися. Якщо використовується локальне сховище, хмарне рішення компенсує його обмеження, адже відмовостійкість стає відповідальністю вендора.
- Цифра «1» – одна резервна копія поза основним місцем інфраструктури. Саме це допомогло відновити національні реєстри України після кібератак. При цьому необхідно враховувати обмеження хмарних рішень: пропускну здатність каналів та політики провайдера. Розширена модель 3-2-1-1-0 додає immutable backup (незмінну копію) та нуль помилок через регулярне тестування.
Автоматизація процесу є критично важливою. Інструменти типу Veeam дозволяють налаштувати автоматичне резервне копіювання. Проте деякі мережеві рішення з внутрішньою реплікацією порушують правило 3-2-1, оскільки всі копії зберігаються в одному кластері. Найважливіший аспект – регулярна перевірка можливості відновлення. Існує чимало випадків, коли копії створювалися роками, але виявлялися непрацездатними. В одному прикладі база копіювалася сім років, але всі копії були пошкодженими з початку.
Міжнародні стандарти ISO 27007 визначають необхідність процедур перевірки стану резервних копій. Рекомендується щомісячне тестування критичної інфраструктури та квартальний повний тест відновлення системи.
Snapshot – швидке відновлення системи
Snapshot-технологія створює миттєві знімки стану системи без зупинки роботи. Різні системи реалізують це по-різному: Btrfs у Linux використовує інкрементний підхід (лише зміни), тоді як системи віртуалізації можуть створювати повні копії.
Варіанти створення включають апаратний рівень (NetApp, EMC), Windows VSS, Linux LVM та VMware з вбудованими інструментами. Основні сценарії використання: точка відновлення перед оновленням, тестування та експерименти, резервне копіювання «на ходу» та контрольні точки перед інсталяцією ПЗ.
Проте snapshot не є повноцінною резервною копією. Snapshot – це інструмент для миттєвих операцій, тоді як резервні копії призначені для захисту від тривалих збоїв. Ключові відмінності: snapshot створюється швидко (секунди), займає мало місця, забезпечує миттєве відновлення, але залежить від вихідної системи. Резервна копія повільніша, займає багато місця, але незалежна від вихідної системи та забезпечує справжній захист даних.
Недоліки snapshot: велика кількість уповільнює систему, активна робота збільшує обсяг, існує залежність від цілісності вихідного тому, втрата фізичного носія означає втрату всіх snapshot. Важливе обмеження: зазвичай не копіюється стан оперативної пам’яті, що критично для баз даних типу Oracle. Критично важливо: snapshot завжди використовувати разом з класичним резервним копіюванням!
Незмінні резервні копії – захист від ransomware
Immutable backups працюють за моделлю WORM (Write-Once-Read-Many): дані записуються лише один раз і не можуть бути видалені або перезаписані. Класичний приклад – стрічкові сховища LTO Tape з функціональністю WORM. Типи включають хмарні рішення (Amazon S3, Azure Blob), Linux з командою chattr та стрічкові системи. Стратегія 3-2-1-1 додає до класичної моделі одну незмінну копію.
У великих інфраструктурах автоматизовані ферми зі стрічковими системами самостійно замінюють касети, запам’ятовують розташування файлів та позиціонують головку для читання. Хоча швидкість низька (близько 8 МБ/с), така система надійно захищає від ransomware.
Переваги: практична неможливість несанкціонованого видалення або шифрування даних, будь-яка операція зі стрічковим обладнанням генерує алерти, випадкове видалення практично неможливе, внутрішні загрози мінімізуються через специфіку роботи. Особливо важливі для урядових установ, охорони здоров’я та нотаріальних систем, де дані мають залишатися автентичними.
Додаткові функції захисту: шифрування, RBAC, тестування
Шифруваннярезервних копій є обов’язковою вимогою стандартів ISO 27037 та ISO 27003. Застосовується шифрування AES-256 з парольним захистом. Втрата пароля означає безповоротну втрату доступу, тому управління ключами має бути ретельно продуманим.
Контроль доступу на основі ролей (RBAC) критично важливий. Адміністратори робочих систем та систем резервного копіювання не повинні мати одночасного доступу до обох типів систем. Така сегрегація запобігає одночасному знищенню робочих систем та резервних копій при компрометації.
Концепція Air Gap передбачає ізоляцію носія резервних копій від мережі. Система резервного копіювання не має прямого з’єднання з робочою інфраструктурою, що створює повітряний проміжок. Така архітектура гарантує, що скомпрометована система не матиме прямого впливу на резервні копії.
Моніторинг має включати відстеження показників для SOC або аутсорсингової команди. Якщо резервна копія не створилася або процес не завершився успішно, система має негайно генерувати алерти.
Реплікація та масштабування – різні підходи
Реплікація даних виникла як форма прискорення обробки інформації та підвищення надійності. Може існувати на рівні файлових систем (RAID-масиви), на рівні баз даних (первинна база та репліки) або на інфраструктурному рівні з дублюванням конфігурації.
У моделі Master-Slave існує чітке розділення ролей: майстер-вузол записує на підлеглі вузли, зворотний шлях заблокований. Переваги: простота налаштування, відсутність конфліктів за відсутності збоїв. Недоліки: якщо при виході майстра реплікація не завершилася, виникають складності з перемиканням ролей.
При конфігурації Master-Master обидві репліки мають статус master, що створює відмовостійкий кластер з високою доступністю та балансуванням навантаження. Проте архітектура значно складніша та має підвищений ризик втрати даних через конфлікти запису.
Масштабування баз даних: партиціювання та шардінг
Партиціювання розміщує частини бази даних на різних носіях, зменшуючи навантаження. Приклад – кластери Elasticsearch, де декілька нод обробляють окремі записи. Переваги: зменшення запитів до кластера, покращене кешування, паралельне виконання запитів. Складність виникає при об’єднанні даних з усіх нод та ускладнюються транзакції для географічно розподілених нод.
Шардінг додатково дробить дані кожної ноди на фрагменти, які розподіляються по різних нодах для підвищення надійності. Сучасна практика відходить від класичної третьої нормальної форми – надмірна фрагментація ускладнює роботу систем.
Матеріал підготовлений на основі виступу керівника IT-підрозділу Shadow Speaker на «NG-CISO» (Next Generation CISO)
Резервне копіювання є наріжним каменем забезпечення безперервності бізнес-процесів. У контексті кібербезпеки існує базове правило: є системи, які вже зламали, і є системи, які будуть зламані. Тому стратегія резервного копіювання стає рятівною паличкою для організацій.
Український досвід наочно демонструє критичність якісного резервного копіювання. Атаки на національні реєстри призвели до зупинки процедур, включно з реєстрацією життєво важливих подій. Випадок 2017 року з вірусом Petya зупинив бухгалтерські процедури компаній і банків, унеможливив використання банківських терміналів. Резервне копіювання дозволяє мінімізувати фінансові втрати, зберегти репутацію та уникнути правових наслідків.
Сучасні організації стикаються з широким спектром загроз: кібератаки (випадки NotPetya фіксувалися до 2019 року), руйнування фізичної інфраструктури, людські помилки, природні катаклізми та внутрішній саботаж. В Україні саботаж з боку ворожої держави робить наявність надійних резервних копій питанням національної безпеки. Recovery Point Objective (RPO) та Recovery Time Objective (RTO) є ключовими показниками, що визначають, скільки даних організація може втратити та як швидко має відновити критичні системи.
Стратегія 3-2-1 – золотий стандарт захисту даних
Стратегія 3-2-1 є визнаним галузевим стандартом.
- Цифра «3» означає наявність трьох копій даних: оригінал плюс дві резервні копії. Така кількість базується на математичній імовірності відмов обладнання. Жорсткі диски рекомендується заміняти раз на три роки, оскільки після цього каскадно збільшується ймовірність незворотних пошкоджень. Одночасна відмова двох дисків складна, трьох – майже неможлива. Важлива рекомендація: обладнання для резервних копій не повинно належати до однієї виробничої партії.
- Цифра «2» означає два різних типи носіїв. Це може бути комбінація внутрішнього диска, зовнішнього диска та хмарного сховища, або локального сервера, мережевого сховища та хмари. Кожна технологія має переваги та недоліки, які мають взаємно перекриватися. Якщо використовується локальне сховище, хмарне рішення компенсує його обмеження, адже відмовостійкість стає відповідальністю вендора.
- Цифра «1» – одна резервна копія поза основним місцем інфраструктури. Саме це допомогло відновити національні реєстри України після кібератак. При цьому необхідно враховувати обмеження хмарних рішень: пропускну здатність каналів та політики провайдера. Розширена модель 3-2-1-1-0 додає immutable backup (незмінну копію) та нуль помилок через регулярне тестування.
Автоматизація процесу є критично важливою. Інструменти типу Veeam дозволяють налаштувати автоматичне резервне копіювання. Проте деякі мережеві рішення з внутрішньою реплікацією порушують правило 3-2-1, оскільки всі копії зберігаються в одному кластері. Найважливіший аспект – регулярна перевірка можливості відновлення. Існує чимало випадків, коли копії створювалися роками, але виявлялися непрацездатними. В одному прикладі база копіювалася сім років, але всі копії були пошкодженими з початку.
Міжнародні стандарти ISO 27007 визначають необхідність процедур перевірки стану резервних копій. Рекомендується щомісячне тестування критичної інфраструктури та квартальний повний тест відновлення системи.
Snapshot – швидке відновлення системи
Snapshot-технологія створює миттєві знімки стану системи без зупинки роботи. Різні системи реалізують це по-різному: Btrfs у Linux використовує інкрементний підхід (лише зміни), тоді як системи віртуалізації можуть створювати повні копії.
Варіанти створення включають апаратний рівень (NetApp, EMC), Windows VSS, Linux LVM та VMware з вбудованими інструментами. Основні сценарії використання: точка відновлення перед оновленням, тестування та експерименти, резервне копіювання «на ходу» та контрольні точки перед інсталяцією ПЗ.
Проте snapshot не є повноцінною резервною копією. Snapshot – це інструмент для миттєвих операцій, тоді як резервні копії призначені для захисту від тривалих збоїв. Ключові відмінності: snapshot створюється швидко (секунди), займає мало місця, забезпечує миттєве відновлення, але залежить від вихідної системи. Резервна копія повільніша, займає багато місця, але незалежна від вихідної системи та забезпечує справжній захист даних.
Недоліки snapshot: велика кількість уповільнює систему, активна робота збільшує обсяг, існує залежність від цілісності вихідного тому, втрата фізичного носія означає втрату всіх snapshot. Важливе обмеження: зазвичай не копіюється стан оперативної пам’яті, що критично для баз даних типу Oracle. Критично важливо: snapshot завжди використовувати разом з класичним резервним копіюванням!
Незмінні резервні копії – захист від ransomware
Immutable backups працюють за моделлю WORM (Write-Once-Read-Many): дані записуються лише один раз і не можуть бути видалені або перезаписані. Класичний приклад – стрічкові сховища LTO Tape з функціональністю WORM. Типи включають хмарні рішення (Amazon S3, Azure Blob), Linux з командою chattr та стрічкові системи. Стратегія 3-2-1-1 додає до класичної моделі одну незмінну копію.
У великих інфраструктурах автоматизовані ферми зі стрічковими системами самостійно замінюють касети, запам’ятовують розташування файлів та позиціонують головку для читання. Хоча швидкість низька (близько 8 МБ/с), така система надійно захищає від ransomware.
Переваги: практична неможливість несанкціонованого видалення або шифрування даних, будь-яка операція зі стрічковим обладнанням генерує алерти, випадкове видалення практично неможливе, внутрішні загрози мінімізуються через специфіку роботи. Особливо важливі для урядових установ, охорони здоров’я та нотаріальних систем, де дані мають залишатися автентичними.
Додаткові функції захисту: шифрування, RBAC, тестування
Шифруваннярезервних копій є обов’язковою вимогою стандартів ISO 27037 та ISO 27003. Застосовується шифрування AES-256 з парольним захистом. Втрата пароля означає безповоротну втрату доступу, тому управління ключами має бути ретельно продуманим.
Контроль доступу на основі ролей (RBAC) критично важливий. Адміністратори робочих систем та систем резервного копіювання не повинні мати одночасного доступу до обох типів систем. Така сегрегація запобігає одночасному знищенню робочих систем та резервних копій при компрометації.
Концепція Air Gap передбачає ізоляцію носія резервних копій від мережі. Система резервного копіювання не має прямого з’єднання з робочою інфраструктурою, що створює повітряний проміжок. Така архітектура гарантує, що скомпрометована система не матиме прямого впливу на резервні копії.
Моніторинг має включати відстеження показників для SOC або аутсорсингової команди. Якщо резервна копія не створилася або процес не завершився успішно, система має негайно генерувати алерти.
Реплікація та масштабування – різні підходи
Реплікація даних виникла як форма прискорення обробки інформації та підвищення надійності. Може існувати на рівні файлових систем (RAID-масиви), на рівні баз даних (первинна база та репліки) або на інфраструктурному рівні з дублюванням конфігурації.
У моделі Master-Slave існує чітке розділення ролей: майстер-вузол записує на підлеглі вузли, зворотний шлях заблокований. Переваги: простота налаштування, відсутність конфліктів за відсутності збоїв. Недоліки: якщо при виході майстра реплікація не завершилася, виникають складності з перемиканням ролей.
При конфігурації Master-Master обидві репліки мають статус master, що створює відмовостійкий кластер з високою доступністю та балансуванням навантаження. Проте архітектура значно складніша та має підвищений ризик втрати даних через конфлікти запису.
Масштабування баз даних: партиціювання та шардінг
Партиціювання розміщує частини бази даних на різних носіях, зменшуючи навантаження. Приклад – кластери Elasticsearch, де декілька нод обробляють окремі записи. Переваги: зменшення запитів до кластера, покращене кешування, паралельне виконання запитів. Складність виникає при об’єднанні даних з усіх нод та ускладнюються транзакції для географічно розподілених нод.
Шардінг додатково дробить дані кожної ноди на фрагменти, які розподіляються по різних нодах для підвищення надійності. Сучасна практика відходить від класичної третьої нормальної форми – надмірна фрагментація ускладнює роботу систем.
