باج‌افزارها اکنون نسخه‌های پشتیبان را هم هدف می‌گیرند. توضیح می‌دهیم چگونه با Veeam و ذخیره‌سازی اشیای سازگار با S3 پشتیبان تغییرناپذیر بسازید: حالت‌های Object Lock، مخازن ذخیره‌سازی اشیا، لایهٔ ظرفیت (capacity tier)، برنامه‌ریزی نگهداری، قاعدهٔ 3-2-1-1-0 و آزمون بازیابی.
در حملات باج‌افزاری، نسخه‌های پشتیبان اکنون اغلب نخستین هدف هستند. مهاجم پس از نفوذ به شبکه، سرور پشتیبان را پیدا می‌کند، کنترل یک حساب مدیر را به دست می‌گیرد، ابتدا نسخه‌های پشتیبان را حذف می‌کند و تنها پس از آن سرورها را رمزگذاری می‌کند. شرکتی که نسخه‌های پشتیبانش حذف شده، وضعیتی بهتر از شرکتی ندارد که هرگز پشتیبان نداشته است.
پشتیبان تغییرناپذیر (immutable) دقیقاً برای همین سناریو طراحی شده است. در این مقاله به‌صورت مفهومی و گام‌به‌گام نشان می‌دهیم که چگونه با Veeam Backup and Replication روی ذخیره‌سازی اشیای سازگار با S3 پشتیبان تغییرناپذیر راه‌اندازی می‌شود.
پشتیبان تغییرناپذیر چیست؟
پشتیبان تغییرناپذیر نسخه‌ای است که هیچ‌کس نمی‌تواند آن را در مدتی که شما تعیین می‌کنید حذف، بازنویسی یا رمزگذاری کند. واژهٔ کلیدی «هیچ‌کس» است: حتی اگر رمز عبور مدیر پشتیبان‌گیری دزدیده شود، نسخهٔ پشتیبان پیش از پایان این مدت قابل حذف نیست.
ایدهٔ کلی ساده است. در اینجا بر این تمرکز می‌کنیم که این حفاظت چگونه با Veeam و S3 در عمل پیاده می‌شود.
S3 Object Lock چگونه کار می‌کند
در ذخیره‌سازی اشیای سازگار با S3، تغییرناپذیری با قابلیتی به نام Object Lock فراهم می‌شود. شیء قفل‌شده تا پایان دورهٔ نگهداری‌اش قابل حذف یا تغییر نیست.
Object Lock معمولاً دو حالت دارد:
- حالت Governance: کاربرانی که مجوز ویژه دارند می‌توانند قفل را بردارند یا مدت آن را کوتاه کنند. این حالت برای آزمایش و دوره‌های گذار مفید است، اما اگر آن حساب ممتاز به خطر بیفتد، می‌توان حفاظت را دور زد.
- حالت Compliance: هیچ‌کس، حتی مدیران ارائه‌دهندهٔ ذخیره‌سازی، نمی‌تواند پیش از پایان مدت، شیء را حذف یا مدت را کوتاه کند. این حالتی است که واقعاً در برابر باج‌افزار محافظت می‌کند.
جزئیات فنی که بهتر است بدانید:
- برای کارکرد Object Lock، نسخه‌بندی (Versioning) باید روی باکت فعال باشد.
- Object Lock معمولاً هنگام ایجاد باکت فعال می‌شود. فعال‌کردن آن بعداً روی باکت موجود نزد همهٔ ارائه‌دهندگان امکان‌پذیر نیست.
- Veeam مدت قفل اشیا را خودش مدیریت می‌کند. بنابراین توصیه می‌شود قانون نگهداری پیش‌فرض جداگانه‌ای در سطح باکت تعریف نکنید؛ در غیر این صورت ممکن است قفل‌هایی داشته باشید که با زنجیره‌های پشتیبان شما هم‌خوانی ندارند.
مفاهیم کلیدی در سمت Veeam
مخزن ذخیره‌سازی اشیا
در Veeam، باکت سازگار با S3 به‌عنوان یک مخزن ذخیره‌سازی اشیا (object storage repository) اضافه می‌شود. به نشانی endpoint، کلید دسترسی (access key)، کلید محرمانه (secret key)، باکت و پوشه نیاز دارید. هنگام افزودن مخزن، گزینهٔ تغییرناپذیر کردن نسخه‌های پشتیبان اخیر برای تعداد روز مشخص را فعال و مدت آن را انتخاب می‌کنید.
نسخه‌های فعلی Veeam از نوشتن مستقیم کارهای پشتیبان‌گیری روی ذخیره‌سازی اشیا پشتیبانی می‌کنند. با این حال، طراحی رایج و توصیه‌شده این است که یک مخزن محلی برای بازیابی سریع نگه دارید و یک نسخه را به ذخیره‌سازی اشیا بفرستید.
Scale-out Backup Repository (SOBR) و لایهٔ ظرفیت
Scale-out Backup Repository ساختاری در Veeam است که چند مخزن را به‌عنوان یک مخزن منطقی واحد مدیریت می‌کند. این ساختار دو لایهٔ اصلی دارد:
- لایهٔ کارایی (Performance tier): دیسک‌های محلی یا یک دستگاه پشتیبان‌گیری محلی. نسخه‌های پشتیبان اخیر اینجا نگهداری می‌شوند و سریع‌ترین بازیابی از همین‌جا انجام می‌شود.
- لایهٔ ظرفیت (Capacity tier): ذخیره‌سازی اشیای سازگار با S3. نسخه‌های پشتیبان به دو روش به اینجا فرستاده می‌شوند: در حالت کپی، هر نسخهٔ پشتیبان جدید بلافاصله پس از ایجاد به ذخیره‌سازی اشیا کپی می‌شود؛ در حالت انتقال، نسخه‌هایی که از عمر مشخصی قدیمی‌ترند برای آزاد کردن فضا از دیسک محلی به ذخیره‌سازی اشیا منتقل می‌شوند.
حالت کپی در برابر باج‌افزار قوی‌تر است، چون بلافاصله یک نسخهٔ تغییرناپذیر از جدیدترین پشتیبان وجود دارد. به‌عنوان جایگزین، می‌توانید با یک کار کپی پشتیبان (backup copy job) جداگانه، نسخه‌ها را به ذخیره‌سازی اشیا بفرستید.
روند راه‌اندازی گام‌به‌گام
- باکت را آماده کنید. باکتی با نسخه‌بندی و Object Lock فعال بسازید، یا از ارائه‌دهندهٔ خود بخواهید آن را با این تنظیمات آماده کند.
- یک کلید دسترسی اختصاصی بسازید. برای Veeam کلیدی تعریف کنید که فقط به همین باکت دسترسی داشته باشد و برای هیچ کار دیگری استفاده نشود.
- مخزن را به Veeam اضافه کنید. آن را به‌عنوان مخزن ذخیره‌سازی اشیا اضافه و مدت تغییرناپذیری را تعیین کنید.
- SOBR یا کار کپی را پیکربندی کنید. مخزن محلی را به‌عنوان لایهٔ کارایی و مخزن S3 را به‌عنوان لایهٔ ظرفیت تنظیم و حالت کپی را فعال کنید.
- رمزگذاری را فعال کنید. رمزگذاری Veeam را برای نسخه‌هایی که به ذخیره‌سازی اشیا می‌روند روشن کنید و رمز عبور را در جایی امن و مستقل از سرور پشتیبان نگه دارید.
- نخستین پشتیبان‌گیری را زیر نظر بگیرید. بارگذاری کامل اولیه بسته به پهنای باند شما ممکن است زمان زیادی ببرد. پشتیبان‌های افزایشی بعدی بسیار کوچک‌تر خواهند بود.
برنامه‌ریزی درست دورهٔ نگهداری
رایج‌ترین اشتباه، یکی دانستن مدت تغییرناپذیری با دورهٔ نگهداری است. این دو با هم فرق دارند:
- دورهٔ نگهداری: مدت کل نگهداری نسخه‌های پشتیبان؛ برای مثال 30 پشتیبان روزانه و 12 پشتیبان ماهانه.
- مدت تغییرناپذیری: چه بخشی از این زمان قفل است؛ برای مثال 14 روز اخیر.
هنگام انتخاب مدت تغییرناپذیری از خود بپرسید: مهاجم چند روز می‌تواند بدون شناسایی در شبکه بماند؟ مهاجمان اغلب پیش از رمزگذاری، مدتی در شبکه جابه‌جا می‌شوند. اگر این مدت خیلی کوتاه باشد، ممکن است تا زمان کشف حمله، قفل نسخه‌های سالم برداشته شده باشد.
Veeam به دلایل کارایی، مدت قفل را به‌صورت بلوکی تمدید می‌کند. در نتیجه برخی نسخه‌ها ممکن است چند روز بیشتر از مدت تعیین‌شده قفل بمانند. این حاشیهٔ اضافه را در برنامه‌ریزی ظرفیت در نظر بگیرید.
اگر نسخه‌های پشتیبان بلندمدت GFS (هفتگی، ماهانه، سالانه) نگه می‌دارید، به یاد داشته باشید که این‌ها نیز می‌توانند در طول دورهٔ نگهداری خودشان تغییرناپذیر بمانند. این مزیتی واقعی برای داده‌هایی است که الزامات قانونی نگهداری دارند.
قاعدهٔ 3-2-1-1-0
قاعدهٔ کلاسیک پشتیبان‌گیری 3-2-1 برای عصر باج‌افزار با دو نکتهٔ اضافه گسترش یافته است:
- 3 نسخه از داده‌ها (یکی از آن‌ها نسخهٔ عملیاتی)،
- 2 رسانهٔ متفاوت،
- 1 نسخه در مکانی دیگر،
- 1 نسخهٔ آفلاین یا تغییرناپذیر،
- 0 خطا: نسخه‌های پشتیبان تأییدشده و آزمون‌شده از نظر بازیابی.
یک مخزن محلی Veeam به‌همراه یک نسخهٔ تغییرناپذیر روی S3، چهار نکتهٔ اول را پوشش می‌دهد. نکتهٔ صفر خطا فقط با آزمون‌های منظم محقق می‌شود.
برنامه‌ریزی هزینه
هنگام برآورد هزینهٔ پشتیبان تغییرناپذیر به سه نکته توجه کنید:
- داده‌هایی که در طول قفل قابل حذف نیستند: چون نسخه‌های قفل‌شده را نمی‌توان زودتر حذف کرد، به فضای ذخیره‌سازی کمی بیشتر از یک مخزن معمولی نیاز خواهید داشت.
- نرخ تغییر: حجم پشتیبان‌های افزایشی روزانه به میزان تغییر داده‌های شما بستگی دارد. محیط‌هایی که پایگاه دادهٔ زیادی دارند، نسبت به سرورهای فایل تغییرات بیشتری ایجاد می‌کنند.
- ترافیک بازیابی: در زمان فاجعه ممکن است لازم باشد همهٔ داده‌هایتان را دانلود کنید. نزد ارائه‌دهنده‌ای که برای ترافیک خروجی هزینه می‌گیرد، بدترین روز به گران‌ترین روز تبدیل می‌شود.
در CloudRUX، Standard S3 ماهانه 0.015 USD به ازای هر GB هزینه دارد (14.90 USD برای 1 TB). Enterprise S3 که برای پشتیبان‌های تغییرناپذیر Veeam طراحی شده، ماهانه 49 USD برای 1 TB هزینه دارد و شامل Object Lock، تکثیر میان دو دیتاسنتر، راه‌اندازی آماده برای Veeam، SLA و گزارش ماهانه است. قیمت‌ها بدون مالیات بر ارزش افزوده هستند.
آزمون بازیابی: امتحان واقعی یک پشتیبان
پشتیبانی که آزمون نشده، فقط یک امید است. پس از راه‌اندازی پشتیبان تغییرناپذیر، این کارها را به‌طور منظم انجام دهید:
- دست‌کم ماهی یک بار، یک فایل و یک ماشین مجازی کامل را از نسخهٔ پشتیبان موجود در ذخیره‌سازی اشیا بازیابی کنید.
- از قابلیت SureBackup در Veeam استفاده کنید تا قابل راه‌اندازی بودن نسخه‌های پشتیبان به‌طور خودکار تأیید شود.
- سعی کنید یک نسخهٔ قفل‌شده را حذف کنید و مطمئن شوید این عملیات رد می‌شود. این روشن‌ترین دلیل بر کارکرد واقعی حفاظت است.
- زمان‌های بازیابی را ثبت و با انتظارات کسب‌وکار مقایسه کنید. تعیین اهداف روشن RPO و RTO در این زمینه کمک می‌کند.
اشتباهات رایج
- استفادهٔ دوباره از کلید Veeam در جای دیگر: اگر یک کلید دسترسی در چند سیستم استفاده شود، به خطر افتادن یکی، همه را در معرض خطر قرار می‌دهد.
- ماندن در حالت Governance: اگر پس از آزمایش به حالت Compliance نروید، یک حساب ممتاز به‌خطرافتاده می‌تواند حفاظت را بردارد.
- نگهداری رمز رمزگذاری روی سرور پشتیبان: اگر سرور از دست برود، رمز هم از دست می‌رود و نسخهٔ ابری قابل باز کردن نخواهد بود.
- عضو کردن سرور پشتیبان در دامین: جدا کردن زیرساخت پشتیبان‌گیری از سیستم هویت محیط عملیاتی، دسترسی مهاجم به نسخه‌های پشتیبان را دشوارتر می‌کند.
- پیگیری نکردن رشد ظرفیت: داده‌های قفل‌شده را نمی‌توان زودتر حذف کرد، پس برنامهٔ ظرفیت باید به‌طور منظم بازبینی شود.
پرسش‌های متداول
آیا می‌توانم بعداً Object Lock را روی باکت S3 موجودم فعال کنم؟
این به ارائه‌دهنده بستگی دارد. امن‌ترین روش، ساختن باکت جدیدی با نسخه‌بندی و Object Lock فعال و هدایت Veeam به آن است.
مدت تغییرناپذیری چقدر باید باشد؟
پاسخ واحد و درستی وجود ندارد، اما چند روز معمولاً کافی نیست. برای بیشتر سازمان‌ها دو تا چهار هفته نقطهٔ شروع معقولی است. برای داده‌هایی که الزامات قانونی نگهداری دارند می‌توان دوره‌های طولانی‌تری برنامه‌ریزی کرد.
یک دستگاه پشتیبان‌گیری محلی دارم. چرا به ابر نیاز دارم؟
دستگاه محلی بازیابی سریع فراهم می‌کند، اما در آتش‌سوزی، سیل، سرقت یا حمله‌ای که کل شبکه را تصرف کند، در همان خطرها شریک است. یک نسخهٔ تغییرناپذیر در مکانی دیگر، آخرین خط دفاعی در این سناریوهاست.
آیا رمزگذاری Veeam همان Object Lock است؟
خیر. رمزگذاری مانع خوانده شدن داده می‌شود؛ Object Lock مانع حذف یا تغییر آن. توصیه می‌کنیم هر دو را با هم به کار ببرید.
Enterprise S3 و BaaS در CloudRUX
فضای S3 را هر کسی می‌تواند بخرد؛ آنچه اهمیت دارد این است که درست راه‌اندازی و پایش شود و در روز فاجعه یک مهندس کنار شما باشد. Enterprise S3 در CloudRUX، ذخیره‌سازی تغییرناپذیر و آماده برای Veeam را در دو دیتاسنتر داخل ترکیه با قیمت ثابت ماهانه فراهم می‌کند. اگر ترجیح می‌دهید کل فرایند پشتیبان‌گیری را واگذار کنید، در سرویس پشتیبان‌گیری مدیریت‌شدهٔ ما، مهندسانی که به زبان‌های فارسی و ترکی پاسخگو هستند کارهای Veeam شما را اجرا می‌کنند. برای جزئیات، صفحهٔ S3 و صفحهٔ BaaS را ببینید، یا برای بررسی ساختار فعلی پشتیبان‌گیری‌تان با ما تماس بگیرید.