Защита от потери данных: резервное копирование и регулярные тесты восстановления

Строим защиту данных от того, что случается чаще всего: шифровальщика, ошибочного удаления, действий сотрудника перед увольнением, отказа оборудования. Делаем архивы недоступными для изменения из рабочей сети и регулярно проверяем восстановление на практике, с замером фактического времени и протоколом.

Коротко о задаче

Резервное копирование настроено почти у всех. Защита от современных угроз — далеко не у всех, и разница в том, что раньше копия защищала от поломки, а теперь должна защищать от целенаправленного уничтожения.

Шифровальщики изменились. Современная атака не начинается с шифрования. Сначала злоумышленник закрепляется в сети, изучает её и находит резервные копии. Их удаляют или шифруют первыми, и только потом берутся за рабочие данные. Расчёт простой: без архива компания заплатит.

Отсюда следует неприятный вывод. Копия, лежащая на сетевой папке или на подключённом хранилище, доступном на запись из рабочей сети, от шифровальщика не защищает вообще. Она будет уничтожена вместе с остальным. То же касается копий, которые пишутся учётной записью с административными правами: получив её, злоумышленник получает и архив.

Вторая частая ситуация проще и обиднее: копии есть, они целы, но восстановление никто не пробовал. В день аварии выясняется, что база в архив не попадала, что восстановление занимает не четыре часа, а трое суток, или что архив не читается.

Мы закрываем оба сценария.

Что входит в услугу

• Оценка критичности данных

Определяем, что защищаем в первую очередь и какая потеря допустима по каждой системе. Требование не потерять ничего и требование не потерять больше дня — разные схемы и разные бюджеты.

• Схема с изоляцией копий

Несколько независимых копий на разных носителях, минимум одна вне основной площадки, минимум одна недоступная из рабочей сети. Смотрите {{ссылка: Системы резервного копирования и восстановления}}.

• Неизменяемое хранение

Настройка хранилищ с запретом изменения и удаления архивов в течение установленного срока. Даже администратор не может стереть копию раньше времени.

• Отдельные учётные записи для копирования

Задания работают под учётной записью с минимальными правами, не совпадающей с административной. Компрометация администратора не даёт доступа к архиву.

• Защита от внутренних действий

Разделение прав на создание и на удаление копий, журналирование операций с архивом, оповещение при попытках досрочного удаления.

• Регулярные тесты восстановления

Плановое восстановление на изолированный контур с замером фактического времени и оформлением протокола. Проверка находит проблемы до того, как они станут аварией.

• Отработка сценария шифрования

Порядок действий при обнаружении: изоляция, оценка охвата, поиск точки входа, восстановление в чистое окружение. Импровизировать в этот момент нельзя. Смотрите {{ссылка: Планы обеспечения непрерывности и восстановления (BCP, DRP)}}.

• Контроль и оповещение

Ежедневная проверка выполнения заданий, оповещение при сбое и при отсутствии успешной копии за период. Молчание не должно означать «всё хорошо».

• Регламент и отчётность

Порядок восстановления, роли, периодичность проверок, отчёты о состоянии. Для регулируемых отраслей — доказательная база на аудите.

Что это даёт заказчику

• Архив переживает шифровальщика. Копию нельзя переписать или удалить из скомпрометированной сети.
• Восстановление проверено. Фактическое время известно, потому что его замеряли.
• Компрометация администратора не фатальна. Задания работают под отдельной учётной записью.
• Сценарий отработан. В день инцидента есть инструкция, а не совещание.
• Сбой не остаётся незамеченным. Отсутствие успешной копии само сообщает о себе.
• Доказательство для аудита. Протоколы восстановления закрывают вопрос проверяющего.

Как мы работаем

Начинаем с вопроса, что произойдёт при потере данных за час, за день и за неделю. От ответа зависит вся схема.

Проверку восстановления встраиваем в график с фиксированной периодичностью и оформляем протоколом. Проверка без протокола через полгода не отличима от непроведённой.

Отдельно проговариваем изоляцию. Она неудобна: копия, до которой нельзя дотянуться из рабочей сети, требует отдельной процедуры доступа. Это плата за то, что архив останется, когда всё остальное будет зашифровано.

Наш опыт

Мы отвечаем за сохранность данных систем, которые обслуживаем по договорам сопровождения, включая платформы с непрерывным режимом работы. Через одну из них прошло более сорока тысяч сообщений о нежелательных реакциях на лекарственные препараты: потеря таких данных означала бы не только остановку работы, но и нарушение регуляторных требований.

В регулируемых отраслях проверка восстановления обязательна и предъявляется на аудите. На системах нашей разработки заказчики прошли более тридцати аудитов клиентов и более десяти проверок регуляторов.

Расскажите, что у вас копируется и когда последний раз восстанавливали. С проверки восстановления и начнём.