باتت برامج الفدية تستهدف النسخ الاحتياطية أيضًا. نشرح كيفية بناء نسخ احتياطية غير قابلة للتعديل باستخدام Veeam وتخزين كائنات متوافق مع S3: أوضاع Object Lock، ومستودعات تخزين الكائنات، وطبقة السعة، وتخطيط مدة الاحتفاظ، وقاعدة 3-2-1-1-0، واختبار الاستعادة.
في هجمات برامج الفدية، أصبحت النسخ الاحتياطية في كثير من الأحيان الهدف الأول. فبمجرد دخول المهاجم إلى الشبكة، يعثر على خادم النسخ الاحتياطي، ويستولي على حساب مسؤول، ويحذف النسخ الاحتياطية أولًا، ثم يشفّر الخوادم بعد ذلك. والشركة التي حُذفت نسخها الاحتياطية ليست في وضع أفضل من شركة لم تمتلك نسخًا احتياطية قط.
النسخ الاحتياطي غير القابل للتعديل هو الحماية المصممة لهذا السيناريو تحديدًا. نستعرض في هذا المقال، من الناحية المفاهيمية وخطوة بخطوة، كيفية إعداد نسخ احتياطية غير قابلة للتعديل باستخدام Veeam Backup and Replication على تخزين كائنات متوافق مع S3.
ما النسخة الاحتياطية غير القابلة للتعديل؟
النسخة الاحتياطية غير القابلة للتعديل هي نسخة لا يستطيع أحد حذفها أو الكتابة فوقها أو تشفيرها خلال مدة تحددها أنت. وكلمة "أحد" هي الأهم هنا: فحتى لو سُرقت كلمة مرور مسؤول النسخ الاحتياطي، لا يمكن حذف النسخة قبل انتهاء تلك المدة.
الفكرة العامة بسيطة، وسنركز هنا على كيفية تطبيق هذه الحماية عمليًا باستخدام Veeam وS3.
كيف يعمل S3 Object Lock
في تخزين الكائنات المتوافق مع S3، توفَّر خاصية عدم القابلية للتعديل عبر ميزة تُسمى Object Lock. فالكائن المقفل لا يمكن حذفه أو تغييره حتى تنتهي مدة الاحتفاظ به.
يتضمن Object Lock عادةً وضعين:
- وضع الحوكمة (Governance): يمكن للمستخدمين الذين يملكون صلاحية خاصة إزالة القفل أو تقصير المدة. وهو مفيد للاختبار وفترات الانتقال، لكن إذا اختُرق ذلك الحساب ذو الصلاحيات، يمكن تجاوز الحماية.
- وضع الامتثال (Compliance): لا يستطيع أحد، بمن في ذلك مسؤولو مزوّد التخزين، حذف الكائن أو تقصير المدة حتى انتهائها. وهذا هو الوضع الذي يحمي فعليًا من برامج الفدية.
تفاصيل تقنية تستحق المعرفة:
- يجب تفعيل إدارة الإصدارات (Versioning) على الحاوية (bucket) حتى يعمل Object Lock.
- يُفعَّل Object Lock عادةً عند إنشاء الحاوية، ولا يتيح كل المزوّدين تفعيله لاحقًا على حاوية قائمة.
- يدير Veeam مدة القفل على الكائنات بنفسه، لذا يُنصح بعدم ضبط قاعدة احتفاظ افتراضية منفصلة على مستوى الحاوية؛ وإلا فقد ينتهي بك الأمر بأقفال لا تتوافق مع سلاسل النسخ الاحتياطي لديك.
مفاهيم أساسية من جهة Veeam
مستودع تخزين الكائنات
في Veeam، تُضاف الحاوية المتوافقة مع S3 بوصفها مستودع تخزين كائنات. وتحتاج إلى عنوان نقطة النهاية (endpoint) ومفتاح الوصول والمفتاح السري والحاوية والمجلد. وعند إضافة المستودع، تحدد خيار جعل النسخ الاحتياطية الحديثة غير قابلة للتعديل لعدد محدد من الأيام وتختار المدة.
تدعم الإصدارات الحالية من Veeam كتابة مهام النسخ الاحتياطي مباشرة إلى تخزين الكائنات. غير أن التصميم الشائع والموصى به هو الاحتفاظ بمستودع محلي للاستعادة السريعة وإرسال نسخة إلى تخزين الكائنات.
مستودع النسخ الاحتياطي القابل للتوسع (SOBR) وطبقة السعة
مستودع النسخ الاحتياطي القابل للتوسع (Scale-out Backup Repository) بنية في Veeam تدير عدة مستودعات كمستودع منطقي واحد. وله طبقتان رئيسيتان:
- طبقة الأداء: أقراص محلية أو جهاز نسخ احتياطي محلي. تُحفظ فيها النسخ الاحتياطية الحديثة، ومنها تكون الاستعادة أسرع.
- طبقة السعة: تخزين كائنات متوافق مع S3. ويمكن إرسال النسخ الاحتياطية إليها بطريقتين: في وضع النسخ تُنسخ كل نسخة احتياطية جديدة إلى تخزين الكائنات فور إنشائها، وفي وضع النقل تُنقل النسخ الأقدم من عمر محدد من القرص المحلي إلى تخزين الكائنات لتحرير المساحة.
وضع النسخ أقوى في مواجهة برامج الفدية، لأن نسخة غير قابلة للتعديل من أحدث نسخة احتياطية تتوفر على الفور. وبدلًا من ذلك، يمكنك إرسال النسخ إلى تخزين الكائنات عبر مهمة نسخ احتياطي منفصلة (backup copy job).
خطوات الإعداد بالتفصيل
- جهّز الحاوية. أنشئ حاوية مع تفعيل إدارة الإصدارات وObject Lock، أو اطلب من مزوّدك تجهيز حاوية بهذه الإعدادات.
- أنشئ مفتاح وصول مخصصًا. عرّف مفتاحًا لـ Veeam لا يملك صلاحيات إلا على هذه الحاوية ولا يُستخدم لأي غرض آخر.
- أضف المستودع إلى Veeam. أضفه بوصفه مستودع تخزين كائنات واضبط مدة عدم القابلية للتعديل.
- اضبط SOBR أو مهمة النسخ. اجعل المستودع المحلي طبقة الأداء ومستودع S3 طبقة السعة، وفعّل وضع النسخ.
- فعّل التشفير. شغّل تشفير Veeam للنسخ الاحتياطية المتجهة إلى تخزين الكائنات، واحفظ كلمة المرور في مكان آمن مستقل عن خادم النسخ الاحتياطي.
- راقب النسخة الاحتياطية الأولى. قد يستغرق الرفع الكامل الأول وقتًا طويلًا حسب سعة النطاق الترددي لديك، بينما ستكون النسخ التزايدية اللاحقة أصغر بكثير.
التخطيط الصحيح لمدة الاحتفاظ
الخطأ الأكثر شيوعًا هو الخلط بين مدة عدم القابلية للتعديل ومدة الاحتفاظ، وهما أمران مختلفان:
- مدة الاحتفاظ: المدة الإجمالية لحفظ النسخ الاحتياطية، مثل 30 نسخة يومية و12 نسخة شهرية.
- مدة عدم القابلية للتعديل: الجزء المقفل من تلك المدة، مثل آخر 14 يومًا.
عند اختيار مدة عدم القابلية للتعديل، اسأل نفسك: كم يومًا يمكن أن يبقى المهاجم في الشبكة دون أن يُكتشف؟ فالمهاجمون كثيرًا ما يقضون وقتًا في التنقل داخل الشبكة قبل تشفير أي شيء. وإذا كانت المدة قصيرة جدًا، فقد تكون النسخ الاحتياطية السليمة قد فُك قفلها بالفعل عند اكتشاف الهجوم.
لأسباب تتعلق بالأداء، يمدد Veeam مدد القفل على شكل كتل، ونتيجة لذلك قد تبقى بعض النسخ الاحتياطية مقفلة بضعة أيام أطول من المدة التي حددتها. فاحسب هذا الهامش الإضافي عند تخطيط السعة.
إذا كنت تحتفظ بنسخ GFS طويلة الأجل (أسبوعية وشهرية وسنوية)، فتذكر أنه يمكن إبقاؤها غير قابلة للتعديل طوال مدد الاحتفاظ الخاصة بها أيضًا. وهذه ميزة حقيقية للبيانات الخاضعة لمتطلبات احتفاظ قانونية.
قاعدة 3-2-1-1-0
وُسّعت قاعدة النسخ الاحتياطي الكلاسيكية 3-2-1 بنقطتين إضافيتين لمواكبة عصر برامج الفدية:
- 3 نسخ من بياناتك (إحداها بيئة الإنتاج)،
- على 2 وسيطين مختلفين،
- 1 نسخة في موقع آخر،
- 1 نسخة غير متصلة أو غير قابلة للتعديل،
- 0 أخطاء: نسخ احتياطية تم التحقق منها واختبار استعادتها.
يغطي مستودع Veeam محلي مع نسخة غير قابلة للتعديل على S3 النقاط الأربع الأولى، أما نقطة الأخطاء الصفرية فلا تتحقق إلا بالاختبار المنتظم.
تخطيط التكلفة
عند تقدير تكلفة النسخ الاحتياطي غير القابل للتعديل، انتبه إلى ثلاثة أمور:
- البيانات التي لا يمكن حذفها خلال فترة القفل: لأن النسخ المقفلة لا يمكن إزالتها مبكرًا، ستحتاج إلى مساحة تخزين أكبر قليلًا مقارنة بالمستودع التقليدي.
- معدل التغيير: يعتمد حجم النسخ التزايدية اليومية على مقدار تغيّر بياناتك؛ فالبيئات التي تعتمد بكثافة على قواعد البيانات تولّد تغييرات أكثر من خوادم الملفات.
- حركة بيانات الاستعادة: في حالة الكارثة، قد تحتاج إلى تنزيل جميع بياناتك. ومع مزوّد يفرض رسومًا على البيانات الصادرة، يصبح أسوأ يوم هو الأعلى تكلفة.
في CloudRUX، تبلغ تكلفة Standard S3 0.015 USD لكل GB شهريًا (14.90 USD لـ 1 TB). أما Enterprise S3، المصمم لنسخ Veeam الاحتياطية غير القابلة للتعديل، فتبلغ تكلفته 49 USD شهريًا لـ 1 TB، ويشمل Object Lock والنسخ المتماثل بين مركزي بيانات وإعدادًا جاهزًا لـ Veeam وSLA وتقريرًا شهريًا. الأسعار غير شاملة ضريبة القيمة المضافة.
اختبار الاستعادة: الامتحان الحقيقي للنسخة الاحتياطية
النسخة الاحتياطية غير المختبرة مجرد أمل. وبعد تطبيق النسخ الاحتياطي غير القابل للتعديل، احرص على ما يلي بانتظام:
- مرة واحدة شهريًا على الأقل، استعد ملفًا واحدًا وجهازًا افتراضيًا كاملًا من نسخة احتياطية في تخزين الكائنات.
- استخدم ميزة SureBackup في Veeam للتحقق تلقائيًا من إمكانية تشغيل النسخ الاحتياطية.
- حاول حذف نسخة احتياطية مقفلة وتأكد من رفض العملية؛ فهذا أوضح دليل على أن الحماية تعمل فعلًا.
- سجّل أزمنة الاستعادة وقارنها بتوقعات الأعمال، ويساعد تحديد أهداف RPO وRTO واضحة في ذلك.
أخطاء شائعة
- إعادة استخدام مفتاح Veeam في مكان آخر: إذا استُخدم مفتاح الوصول نفسه على عدة أنظمة، فإن اختراق أحدها يعرّضها جميعًا للخطر.
- البقاء في وضع الحوكمة: إذا لم تنتقل إلى وضع الامتثال بعد الاختبار، يمكن لحساب ذي صلاحيات مخترَق أن يزيل الحماية.
- حفظ كلمة مرور التشفير على خادم النسخ الاحتياطي: إذا فُقد الخادم، فُقدت معه كلمة المرور، ولن يمكن فتح النسخة السحابية.
- ضم خادم النسخ الاحتياطي إلى النطاق (domain): فصل بنية النسخ الاحتياطي عن نظام الهوية في بيئة الإنتاج يصعّب على المهاجم الوصول إلى النسخ الاحتياطية.
- عدم متابعة نمو السعة: لا يمكن حذف البيانات المقفلة مبكرًا، لذا يحتاج تخطيط السعة إلى مراجعة منتظمة.
الأسئلة الشائعة
هل يمكنني تفعيل Object Lock على حاوية S3 الحالية لاحقًا؟
يعتمد ذلك على المزوّد. والنهج الأكثر أمانًا هو إنشاء حاوية جديدة مع تفعيل إدارة الإصدارات وObject Lock وتوجيه Veeam إليها.
ما المدة المناسبة لعدم القابلية للتعديل؟
لا توجد إجابة واحدة صحيحة، لكن بضعة أيام لا تكفي عادةً. وبالنسبة لمعظم المؤسسات، تُعد مدة من أسبوعين إلى أربعة أسابيع نقطة انطلاق معقولة. ويمكن التخطيط لمدد أطول للبيانات الخاضعة لمتطلبات احتفاظ قانونية.
لدي جهاز نسخ احتياطي محلي. لماذا أحتاج إلى السحابة؟
يوفر الجهاز المحلي استعادة سريعة، لكنه يتعرض للمخاطر نفسها في حالات الحريق أو الفيضان أو السرقة أو الهجوم الذي يستولي على الشبكة بأكملها. والنسخة غير القابلة للتعديل في موقع آخر هي خط الدفاع الأخير في هذه السيناريوهات.
هل تشفير Veeam هو نفسه Object Lock؟
لا. التشفير يمنع قراءة البيانات، بينما يمنع Object Lock حذفها أو تغييرها. وننصح باستخدامهما معًا.
CloudRUX Enterprise S3 وBaaS
يمكن لأي أحد شراء تخزين S3؛ لكن المهم أن يُعَدّ بشكل صحيح، وأن يخضع للمراقبة، وأن يكون إلى جانبك مهندس في يوم الكارثة. يوفر CloudRUX Enterprise S3 تخزينًا غير قابل للتعديل وجاهزًا لـ Veeam عبر مركزي بيانات في تركيا بسعر شهري ثابت. وإذا كنت تفضّل تسليم عملية النسخ الاحتياطي بالكامل، فإن خدمة النسخ الاحتياطي المُدارة لدينا تتيح لمهندسين يتحدثون العربية والتركية إدارة مهام Veeam نيابةً عنك. اطّلع على صفحة S3 وصفحة BaaS لمزيد من التفاصيل، أو تواصل معنا لمراجعة إعدادات النسخ الاحتياطي الحالية لديك.