Gdy znamy metodykę ataku malware i mamy świadomość, że celem pierwszoplanowym są kopie zapasowe, motywacji do aktywnej ochrony infrastruktury backupu zwykle nie brakuje. Pozostaje kwestia, jak się do tego zabrać, aby osiągnąć zadowalający efekt i jakie to wygeneruje nakłady? Warto pamiętać, że bezpieczeństwo kopii zapasowych jest funkcją wielu działań, a nie jednego czynnika. Mimo to przedstawię drogę na skróty, która na początek daje najwięcej korzyści. Mowa będzie o nienaruszalnych repozytoriach na kopie zapasowe.
Czym jest nienaruszalność kopii zapasowych?
„NIENARUSZALNOŚĆ backupu to zdolność systemu kopii zapasowych do zagwarantowania, że utworzone kopie pozostaną integralne (niezmienione), nieusuwalne i gotowe do odtworzenia przez cały wymagany okres retencji (przechowywania) – niezależnie od awarii sprzętowych, błędów ludzkich czy celowych ataków.”
Źródło definicji: https://viability.pl/blog/nienaruszalna-kopia-zapasowa/
Skoro kopie zapasowe mają być de facto nietykalne przez zadany czas, pozostaje pytanie, jak to w praktyce zrealizować?
Kluczowe czynniki sukcesu w bezpieczeństwie backupu
Bezpieczeństwo backup osiąga się poprzez synergię 4 obszarów:
- Architektura systemu. Właściwe zaprojektowanie i wykonanie systemu backupu zgodnie z podejściem Secure by Design, gdzie bezpieczeństwo jest fundamentem projektu, a nie dodatkiem po fakcie. Kluczowa jest segmentacja, czyli wydzielenie systemu backupu i repozytorium do osobnych stref sieciowych, tak by zminimalizować powierzchnię ataku i ograniczyć zasięg ewentualnego włamania.
- Bezpieczne repozytorium. Czyli pamięć masowa, którą dzisiaj może być serwer lub usługa chmurowa, honorująca politykę retencji naszych zadań backupu. Istotne w tym jest, by mechanizm niezmienności był natywny, a więc wbudowany w system plików, storage lub API, a nie zapewniony wyłącznie przez oprogramowanie backupowe (które można odinstalować).
- Ograniczanie uprawnień. Stosowanie zasady minimalnych przywilejów i polityki Zero Trust. W praktyce oznacza, że tworzymy konta z uprawnieniami wystarczającymi do działania. Nadto, zakładamy z góry, że naruszenie bezpieczeństwa nastąpi, więc każdy dostęp wymaga weryfikacji, a krytyczne operacje jak usunięcie kopii powinny wymagać zgody dwóch osób (zasada czterech oczu).
- Testowanie backupu. Cykliczne odtwarzanie kopii zapasowych i weryfikacja integralności danych plus profilaktyczne skanowanie silnikiem antywirusowym.
Bezpieczne repozytorium, czyli co?
Repozytorium dla backupu musi zapewniać niezmienność danych najczęściej przez mechanizm WORM (Write Once Read Many) lub równoważny. Rzecz jasna, nie w nieskończoność, lecz zgodnie z naszą polityką backupu. A konkretnie to retencja określa nam jak długo mamy przechowywać kopie zapasowe. Jeśli masz 30-dniową retencję, możesz wrócić do stanu danych sprzed miesiąca. Jeśli incydent bezpieczeństwa lub błąd wykryjesz po 31 dniach, tego stanu danych już nie ma.
No dobrze, to teraz jakie repozytorium najlepiej, przy rozsądnym budżecie zrealizuje nasze cele. Oto przykłady, które różnią się modelem kosztowym: lokalne to głównie CapEx (sprzęt i licencje), a chmurowe to OpEx (subskrypcja). Obie ścieżki prowadzą do tego samego celu.
- Repozytorium lokalne (on-prem):
- Veeam Hardened Repository (uniwersalne).
- Scality ARTESCA (uniwersalne).
- Repozytorium chmurowe (cloud):
- Object Storage – AWS S3 lub Azure Blob (uniwersalne),
- Veeam Data Cloud Vault (dla Veeam).
- Veeam Cloud Connect (dla Veeam).
Jak zacząć, żeby szybko zyskać dużo?
Najwięcej rezultatów przy minimalnych nakładach osiągniesz przechowując backup lokalnie na niezmiennym repozytorium (immutable storage), a dodatkowo kopiując backup do repozytorium poza siedzibą (Off-site Backup). W ten sposób dane będą zabezpieczone przed sporą grupą typowych wektorów ataków.
Gdy Twój system backupu pochodzi od Veeam, masz do wyboru natywnie wspierany Veeam Cloud Connect (usługi realizowane przez partnerów Veeam), albo Veeam Data Cloud Vault (usługa oparta na AWS i Azure oferowana przez Veeam). Jeżeli masz system backupu od innego producenta, to zawsze możesz skorzystać ze zdalnego magazynu obiektowego w chmurze (S3 Object Storage). Która opcja jest najtańsza i którą warto wybrać? O tym w następnym akapicie.
Ile kosztuje bezpieczeństwo backupu?
Backup to de facto nadmiarowość w zakresie danych, czyli tworzenie kopii zapasowych to dublowanie stanu danych produkcyjnych i obsługujących je systemów. Jeżeli uwzględnić czas przechowywania, a nawet osiągnięte oszczędności z tytułu deduplikacji i kompresji kopii to może okazać się, że backup i tak wymagał będzie 2 lub nawet 3 razy więcej miejsca na pamięci masowej niż dane podstawowe.
Czas na wyliczenia. Przyjmijmy założenie, że mamy 20 TB danych produkcyjnych, co przy retencji 30 dni pozwala przyjąć, że wystarczy nam 50 TB repozytorium na backup. Poniżej opcje spełniające te warunki.
- Repozytoria lokalne (on-prem):
- Veeam Hardened Repository | Podstawowy serwer z kontrolerem macierzowym (RAID6) z 5 dyskami SAS 18 TB, co daje nam 54 TB przestrzeni na backup. Licencja na system jest bezpłatna | Przeciętny koszt: 43 000 zł netto, co przy amortyzacji na 3 lata daje 22 zł/1 TB/ m-c + koszt energii*.
- Scality ARTESCA (S3 Object Storage) | W przypadku tego magazynu obiektowego musimy zastosować 12 dysków SAS 6 TB, aby zagwarantować dalszą rozbudowę oraz o wiele droższą konfigurację sprzętową (między innymi – 256 GB RAM) ze względu na technologię zapisu danych (erasure-coding). Miejsce na backup ok. 55 TB. Licencjonowanie rozliczane jest za każdy TB | Przeciętny koszt: 87 000 zł netto, co przy amortyzacji na 3 lata daje 44 zł/1 TB/m-c + koszt energii*.
- Repozytoria chmurowe (cloud):
- Object Storage – AWS S3 / Azure Blob (uniwersalne) | Oferta w zakresie obiektowej pamięci masowej jest bardzo bogata. Analizując ceny przyjąłem usługi typu „rzadki dostęp”, co limituje wolumen odtworzeni danych z backupu i przyjąłem, że nie nastąpi rozliczenie za egress. | Średni koszt usługi: 45 zł netto/1 TB/m-c.
- Veeam Data Cloud Vault (dla Veeam) | Natywnie rozwiązanie dla Veeam Backup & Replication w dwóch wariantach:
- Veeam Data Cloud Vault Foundation (Core Region) | Niezawodność na poziomie „11 dziewiątek”. Odtwarzanie limitowane, więc mogą się pojawić koszty dodatkowe. | Koszt usługi: 34 599 zł netto za rok, co daje ok. 58 zł/1 TB/m-c.
- Veeam Data Cloud Vault Advanced (Core Region) Niezawodność na poziomie „12 dziewiątek”. Odtwarzanie bez limitów. | Koszt usługi: 59 199 zł netto za rok, co daje 99 zł/1 TB/m-c.
- Veeam Cloud Connect (dla Veeam) | Ceny są zróżnicowane, bo zależne są od polityki cenowej partnerów programu VCSP. Zwykle mamy dwa składniki cenowe: storage i licencja połączeniowa rozliczana za VM/serwer (do kalkulacji przyjąłem 50 VM i 50 TB). | Koszt usługi: 5 150 zł netto/m-c, czyli 103 zł /1 TB/m-c.
Jak widać, najtańszą formułą na pozyskanie nienaruszalnego repozytorium jest lokalny Veeam / Linux Hardened Repository. W dodatku, gdy użyjemy jakiegoś starszego, wycofanego z użytkowania serwera, inwestycja sprowadzić się wyłącznie do kosztu zakupu dysków HDD + koszt energii elektrycznej. Uzyskanie immutable storage w cenie 22 zł/1 TB jest najtańszą możliwą opcją (dla block storage).
Jeżeli Capex odpada albo zależy nam na uruchomieniu nienaruszalnego repozytorium w ciągu godziny, wówczas do wyboru mamy chmurę z dość powszechną ofertą w zakresie S3 Object Storage. Cena repozytorium tego typu, przyjmując typowe użytkowanie pod backup nie powinna przekroczyć 45 zł/1TB m-c.
* Mały serwer może generować 250W ciągłego poboru, co przy polskich cenach prądu (~1,00 zł/kWh) daje ok. 108 zł/miesiąc (w przykładzie podnosi to cenę storage o ok. 2 zł / 1 TB / m-c).
O pozostałych środkach, które prowadzą do wzmocnienia bezpieczeństwa backupu, a więc zwiększenia cyberodporności poczytać można w moim artykule na blogu firmowym.
