Хранилище «черного дня»: зачем оно нужно и как его построить

В каждой компании есть данные, без которых бизнес-процессы могут остановиться. Финансовые отчеты, проектная документация, базы клиентов, конфигурации ИТ-систем – их потеря может парализовать бизнес, обернуться простоями и убытками. Насколько эффективно резервное копирование решит эту проблему, зависит от защищенности самих копий данных. Если злоумышленник получит доступ к инфраструктуре, он может зашифровать или удалить и оригиналы, и бэкапы.

Почему бэкапы становятся главной целью атак вымогателей

Программы-вымогатели развиваются быстрее, чем успевают адаптироваться антивирусы. Преступники часто начинают не с шифрования рабочих данных, а с уничтожения резервных копий, чтобы компания лишилась возможности восстановить данные. Проблема в том, что в большинстве организаций хранилище бэкапов связано с корпоративной сетью. Если взломана одна система, злоумышленник часто получает доступ к резервным копиям. Это и есть та самая «точка невозврата», после которой полноценное восстановление данных становится крайне затруднительным.

Что нужно защищать в первую очередь

Резервное копирование – это не «скопировать данные на диск». Это процесс, в котором важно продумать:

• Где будут храниться резервные копии?
• Кто будет иметь доступ к резервным копиям?
• Как будет организована их защита от угроз из основной сети?

Физическая изоляция

Самый надежный способ защиты – хранить резервные копии вне основной инфраструктуры. Простой пример: компания делает резервные копии на внешний диск или ленточный накопитель, который после процедуры отключается от рабочей среды. Этот принцип называют «air-gap» – физическое «отсоединение» хранилища от инфраструктуры.

Современные организации также применяют более продвинутый подход – хранилище «черного дня». В таком случае технология однонаправленной передачи данных, основанная на принципах физической изоляции более доверенного сегмента от менее доверенных, обеспечивает возможность передачи информации в одном направлении и нивелирует риски эксплуатации злоумышленником двунаправленного канала для организации атаки.

Шифрование

Если резервные копии все-таки оказались в руках злоумышленников, шифрование становится последней линией защиты. Оно превращает данные в бессмысленный набор символов, который невозможно расшифровать без ключа. Хорошая практика – хранить ключи отдельно, например, в аппаратных модулях HSM (Hardware Security Module). И не забывать шифровать файлы до отправки их в облако или на удаленный сервер.

Контроль доступа

Доступ к системе резервного копирования должен быть ограничен на основе ролевой модели (RBAC). Например, оператор может создавать задания, но не удалять копии, а администратор – управлять хранилищем, но не видеть содержимое резервной копии.

Дополнительные уровни защиты – многофакторная аутентификация (МФА) и журналы аудита, где фиксируются все действия пользователей.

Защита от вредоносного ПО

Современные программы-вымогатели сразу целятся на бэкап-файлы. Чтобы предотвратить это, используются защищенные от изменений (immutable) хранилища и программные решения, такие как, например, модуль «Активная защита» в решении Кибер Бэкап. 

Модуль «Активная защита» эффективно работает с угрозами нулевого дня: выявляет операции с файловой системой, типичные для вредоносного ПО, отслеживает модификации файловой системы, сравнивает с известными паттернами. Модуль автоматически восстанавливает поврежденные данные, блокирует процессы, разрывает соединения и отправляет уведомления.

Существуют разные варианты реализации неизменяемого хранилища. Один из распространенных – использование механизма S3 Object Lock. Этот интерфейс обеспечивает работу по принципу «однократной записи». После сохранения копия блокируется на заданный срок. Даже если злоумышленник получит административный доступ к хранилищу, он не сможет повредить защищенные данные. Примером программно-определяемого хранилища, подерживающего данный механизм, может быть Кибер Хранилище. На базе этого решения можно построить надежное и защищенное хранилище резервных копий.

Как работает хранилище «черного дня» на практике

Представим типовой сценарий. Компания регулярно делает резервные копии рабочих серверов. В один день сеть заражает шифровальщик. Системы парализованы, доступ к данным утрачен. 

Но ИТ-команда загружает резервные копии из хранилища «черного дня», которое представляет собой интегрированные программно-аппаратные решения. Данные размещены в хранилищах, отделенных физически однонаправленным каналом. Такие хранилища позволяют восстановить инфраструктуру и данные в случае наиболее серьезных атак.

Технология «однонаправленного канала»

Такой канал называют «диодом данных». Он создает защищенный шлюз для доступа к хранилищу «черного дня». Это позволяет организовать непрерывную, надежную и безопасную загрузку резервных копий в изолированный сегмент. Доступ к такому сегменту строго ограничен, а значит вектор атаки локализован. В итоге действия злоумышленников становится слишком долгими, дорогими и попросту бесполезными.

Заключение

Резервное копирование – это страховка бизнеса. Но как и любая страховка, она работает только тогда, когда продуманы все ее детали.

Главные принципы защиты бэкапов:

• Изоляция – резервные копии не должны быть связаны с рабочей сетью
• Шифрование – защита даже в случае утечки
• Контроль доступа и мониторинг
• Использование технологий физической изоляции, например, «диодов данных»

Эти меры не дадут компании прекратить работу даже в «черный день».