Peaaegu iga ettevõte, kellelt varukoopiate kohta küsime, ütleb, et need on olemas. Kõige sagedamini järgitakse 3-2-1 reeglit või vähemalt põhimõtet „välisele kettale ja pilve“. See on hea algus. Kuid intsidendid, mida oleme viimastel aastatel lahendanud, näitavad ikka ja jälle sama pilti: varukoopiad olid olemas ja polnud millest taastada.
Põhjus on lihtne. 3-2-1 reegel sündis ajal, mil peamine oht oli rikkis ketas või tulekahju serveriruumis. Täna on peamine oht inimene teisel pool, kes enne teie süsteemide krüpteerimist leiab ja hävitab esmalt teie varukoopiad. Kolm koopiat kahel kandjal ei kaitse teid selle stsenaariumi eest, kui kõik kolm on samast võrgust samade volitustega kättesaadavad.
Selles artiklis selgitame, mida 3-2-1 reegel tegelikult tähendab, kuidas lunavara varukoopiateni jõuab, mida muutumatud ja õhuvahega koopiad muudavad ning kuidas see praktikas välja näeb, kui hoiame varukoopiaid ise.
Mida 3-2-1 reegel tähendab ja mida see ei ütle
Reegel on lühike:
- 3: hoidke vähemalt kolme koopiat oma andmetest: originaal ja kaks varukoopiat.
- 2: hoidke neid vähemalt kahel erineval kandjal või süsteemis, et üks rike ei saaks hävitada mõlemat.
- 1: hoidke vähemalt üks koopia teises asukohas, mitte samas hoones.
See on endiselt õige. Kui serveri ketas läheb rikki, taastate kohalikust koopiast. Kui kontoris on tulekahju või üleujutus, taastate kaugest koopiast. Ettevõtetes, millega töötame, on kõige tavalisem lahendus server, samas kapis olev NAS-seade ning koopia pilves või IT-teenusepakkuja juures.
Reegel ei ütle kahe asja kohta midagi. Esiteks, kes saab varukoopiaid kustutada või muuta. Teiseks, kas varukoopiad on kättesaadavad samast võrgust, kus originaal töötab. Ja just seal toimuvadki tänapäevased rünnakud.
Kuidas lunavara varukoopiateni jõuab
Tänapäevane lunavararünnak ei ole üks fail, mille keegi kogemata avas. See on mitu nädalat kestev protsess, mida teevad inimesed. Tüüpiline jada meie kogemuse järgi näeb välja selline:
- Esmane ligipääs: võltsitud e-kiri, lekkinud parool või paikamata VPN-seade.
- Luure: ründaja uurib vaikselt, millised serverid on olemas, kus varukoopiaid hoitakse ja kellel on administraatoriõigused.
- Õiguste tõstmine: saadakse domeeni administraatori või varundusserveri ligipääs. Sageli on see sama administraator, kelle parool töötab kõikjal.
- Varukoopiate hävitamine: varundustööd kustutatakse, NAS vormindatakse ja pilvesalvestuse objektid kustutatakse sama kontoga, millega varukoopiad üles laaditi.
- Krüpteerimine: alles nüüd käivitatakse lunavara ise, tavaliselt reede õhtul või enne pühi.
Pange tähele neljandat sammu. Samas võrgus olev NAS, mis on ühendatud võrguketta, on lihtsalt veel üks ketas, mille lunavara krüpteerib. Pilvekoopia, mida server oma kontoga üles laeb, saab sama kontoga ka kustutada. Formaalselt on 3-2-1 täidetud. Praktikas hoiab ründaja kõigi kolme koopia võtmeid.
Mida muutumatud ja õhuvahega koopiad muudavad
Vastusel sellele probleemile on kaks teineteist täiendavat kihti.
Muutumatud varukoopiad
Muutumatu varukoopia on koopia, mida ei saa kindlaksmääratud aja jooksul keegi kustutada ega üle kirjutada: ei administraator, ei varundustarkvara ega ründaja, kes on võtnud üle mõlemad. Tehniliselt realiseeritakse see salvestuse tasemel: objekt lukustatakse näiteks 30 päevaks ja salvestus lükkab iga kustutamiskäsu lihtsalt tagasi, kuni periood lõpeb. Veeam nimetab seda kaitstud hoidlaks (hardened repository), pilvesalvestuses nimetatakse seda objektilukuks (object lock).
Oluline nüanss: lukk peab olema salvestuses, mitte varundusrakenduses. Kui ründaja võtab üle varundusserveri, muudab ta rakenduse seadeid. Salvestuse lukku ta ei muuda.
Õhuvahega varukoopiad
Õhuvahega (air-gapped) koopia on koopia, mida tootmisvõrgust üldse ei näe. See ei ole ühendatud ketas ega jagatud kaust ning sel pole IP-aadressi, mida luure käigus leida saaks. Andmed jõuavad sinna ühesuunalise kanali kaudu ning taastamise algatavad teised inimesed ja teiste volitustega kui need, kes tootmisvõrku haldavad.
Varem tähendas see lintidega, mille keegi iga õhtu koju viis. Täna saab sama põhimõtet teostada pilves, kuid see tuleb sihipäraselt projekteerida nii, et varukoopia pool ei näe tootmise volitusi ja tootmise pool ei näe varukoopiaid.
3-2-1-1-0: 2026. aastasse sobiv reegel
Praktikas kasutame laiendatud versiooni, mida soovitab ka Veeam:
| Number | Nõue | Mille eest kaitseb |
|---|---|---|
| 3 | Kolm koopiat andmetest | Ühe koopia kadu |
| 2 | Kaks erinevat kandjat või süsteemi | Riistvararike |
| 1 | Üks koopia teises asukohas | Tulekahju, vargus, üleujutus |
| 1 | Üks koopia, mis on muutumatu või õhuvahega | Lunavara, pahatahtlik administraator |
| 0 | Null viga taastetestis | Varukoopia, millest ei saa taastada |
Esimesed kolm punkti on klassika. Neljas vastab küsimusele „mis siis, kui ründajal on administraatoriõigused“. Viies vastab küsimusele, mida uue kliendiga kohtudes kõige sagedamini esitame: millal te viimati proovisite taastada? Varukoopia, mida keegi pole testinud, on eeldus, mitte kaitse. Null viga tähendab regulaarset, dokumenteeritud testi, mitte rohelist linnukest varundustarkvaras.
Kuidas see MDP CLOUDis välja näeb
Kui hoiame varukoopiaid, teostame reegli nii:
- Esimene koopia: teie serveris või meie pilves, kiireks igapäevaseks taastamiseks: üks fail, üks e-kiri, üks virtuaalmasin.
- Teine koopia: meie andmekeskuses Leedus (EL), eraldi salvestuses ja teie tootmissüsteemidest eraldi võrguvööndis.
- Kolmas koopia vajaduse korral: Amazoni andmekeskuses Saksamaal, kui nõuded (näiteks DORA või kontserni poliitika) näevad ette koopia teises riigis.
- Salakoopia: muutumatu ja teie võrgust nähtamatu. See laaditakse üles ühesuunalise kanali kaudu ning kindlaksmääratud säilitusaja jooksul ei saa seda kustutada teie administraator, teie IT-teenusepakkuja ega meie ühepoolselt. Taastamise algatab teie volitatud esindaja eraldi kanali kaudu, mis teie võrguga seotud ei ole.
Kõik see on realiseeritud Veeam varukoopiatega. Kui ettevõte vajab mitte ainult andmeid, vaid ka kohta, kus neid pärast intsidenti käitada, lisame PlanB taristu taastamise: valmis keskkonna meie pilves, kus serverid käivitatakse varukoopiatest, kuni teie kontoritaristut parandatakse.
Kust alustada
- Joonistage üles, kus iga teie varukoopia täna asub ja kellel on õigus seda kustutada. Kui üks konto saab kustutada kõik kolm, on teil üks koopia, mitte kolm.
- Ühendage varundussalvestus tootmisvõrgust lahti: eraldi võrguvöönd, eraldi volitused, ühtegi jagatud kausta.
- Lülitage muutumatus sisse salvestuses, mitte rakenduses, ning seadke periood mitte lühemaks kui aeg, mis teil läheks rikkumise märkamiseks. Meie kogemuse järgi on see vähemalt 30 päeva.
- Taastage üks server isoleeritud keskkonda ning pange kirja, kui kaua see võttis ja kas kõik töötas.
- Kui soovite neid samme koos meiega teha, alustage salakoopiate kirjeldusest või kirjutage meile kontaktivormi kaudu. Esimeses vestluses hindame koos, millised 3-2-1-1-0 osad teie ettevõttel täna puudu on.
