Veeam ile S3'e Değiştirilemez (Immutable) Yedekleme Nasıl Kurulur?

Fidye yazılımı saldırılarında artık ilk hedef çoğu zaman yedeklerdir. Saldırgan ağa sızdıktan sonra yedekleme sunucusunu bulur, yönetici yetkisini ele geçirir ve önce yedekleri siler, sonra sunucuları şifreler. Yedeği olan ama yedeği silinmiş bir şirket, yedeği hiç olmayan bir şirketten farksızdır.

Değiştirilemez (immutable) yedekleme bu senaryoya karşı geliştirilmiş bir korumadır. Bu yazıda Veeam Backup and Replication ile S3 uyumlu nesne depolama üzerinde değiştirilemez yedeklemenin nasıl kurulduğunu kavramsal olarak, adım adım anlatıyoruz.

Değiştirilemez Yedekleme Nedir?

Değiştirilemez yedek, belirlediğiniz süre boyunca hiç kimsenin silemediği, üzerine yazamadığı ya da şifreleyemediği yedektir. "Hiç kimse" ifadesi önemlidir: yedekleme yöneticisinin şifresi çalınsa bile süre dolmadan yedek silinemez.

Konunun genel çerçevesini fidye yazılımına karşı değiştirilemez yedekleme yazımızda anlattık. Burada odağımız, bu korumanın Veeam ve S3 ile pratikte nasıl kurulduğu.

S3 Object Lock Nasıl Çalışır?

S3 uyumlu nesne depolamada değiştirilemezliği sağlayan özelliğin adı Object Lock, yani nesne kilididir. Kilitlenen bir nesne, saklama süresi bitene kadar silinemez ve değiştirilemez. Nesne depolamanın temellerini merak ediyorsanız nesne depolama rehberimize göz atabilirsiniz.

Object Lock'un genellikle iki modu vardır:

• Yönetişim (governance) modu: Özel bir yetkiye sahip kullanıcılar kilidi kaldırabilir ya da süreyi kısaltabilir. Test ve geçiş dönemlerinde işe yarar, ama yetkili hesap ele geçirilirse koruma da delinebilir.
• Uyum (compliance) modu: Süre dolana kadar hiç kimse, depolama sağlayıcısının yöneticileri dahil, nesneyi silemez ya da süreyi kısaltamaz. Fidye yazılımına karşı gerçek koruma bu moddur.

Bilinmesi gereken teknik ayrıntılar:

• Object Lock çalışması için bucket'ta sürümleme (versioning) açık olmalıdır.
• Object Lock genellikle bucket oluşturulurken etkinleştirilir. Mevcut bir bucket'ta sonradan açmak her sağlayıcıda mümkün olmayabilir.
• Veeam, nesnelerin kilit süresini kendisi yönetir. Bu yüzden bucket seviyesinde ayrıca varsayılan bir saklama kuralı tanımlanmaması önerilir; aksi halde yedek zincirleriyle uyumsuz kilitler oluşabilir.

Veeam Tarafında Temel Kavramlar

Nesne depolama deposu (object storage repository)

Veeam'de S3 uyumlu bir bucket, nesne depolama deposu olarak eklenir. Bunun için endpoint adresi, erişim anahtarı, gizli anahtar, bucket ve klasör bilgisi yeterlidir. Depoyu eklerken "son yedekleri belirli gün boyunca değiştirilemez yap" seçeneğini işaretleyip süreyi belirlersiniz.

Güncel Veeam sürümleri, yedekleme işlerinin doğrudan nesne depolamaya yazılmasını destekler. Ama yaygın ve önerilen yapı, hızlı geri dönüş için yerel bir depo tutup bir kopyayı nesne depolamaya göndermektir.

Ölçeklenebilir yedek deposu (SOBR) ve kapasite katmanı

Scale-out Backup Repository, yani ölçeklenebilir yedek deposu, birden fazla depoyu tek bir mantıksal depo gibi yöneten Veeam yapısıdır. İçinde iki temel katman bulunur:

• Performans katmanı: Yerel diskler ya da yerel bir yedekleme cihazı. Son yedekler burada durur ve geri dönüş en hızlı buradan yapılır.
• Kapasite katmanı: S3 uyumlu nesne depolama. Yedekler buraya iki şekilde gönderilebilir: kopyalama modunda her yeni yedek oluşur oluşmaz bir kopyası nesne depolamaya gider; taşıma modunda belirli bir yaşı geçen yedekler yerel diskten nesne depolamaya taşınır ve yerelde yer açılır.

Fidye yazılımına karşı korumada kopyalama modu daha güçlüdür, çünkü en yeni yedeğin de değiştirilemez bir kopyası hemen oluşur. Alternatif olarak, ayrı bir yedek kopyalama işi (backup copy job) ile de nesne depolamaya kopya gönderebilirsiniz.

Adım Adım Kurulum Akışı

1. Bucket'ı hazırlayın. Sürümleme ve Object Lock açık bir bucket oluşturun ya da sağlayıcınızdan bu ayarlarla hazırlanmasını isteyin.
2. Ayrı erişim anahtarı oluşturun. Veeam için yalnızca bu bucket'a yetkili, başka hiçbir işte kullanılmayan bir anahtar tanımlayın.
3. Depoyu Veeam'e ekleyin. Nesne depolama deposu olarak ekleyip değiştirilemezlik süresini belirleyin.
4. SOBR ya da kopyalama işini yapılandırın. Yerel depoyu performans katmanı, S3 deposunu kapasite katmanı olarak tanımlayın ve kopyalama modunu açın.
5. Şifrelemeyi etkinleştirin. Nesne depolamaya giden yedeklerde Veeam şifrelemesini açın ve şifreyi yedekleme sunucusundan bağımsız, güvenli bir yerde saklayın.
6. İlk yedeği izleyin. İlk tam yedeğin yüklenmesi bant genişliğinize göre uzun sürebilir. Sonraki artımlı yedekler çok daha küçük olacaktır.

Saklama Süresini Doğru Planlamak

En sık yapılan hata, değiştirilemezlik süresini saklama süresiyle karıştırmaktır. İkisi farklı şeylerdir:

• Saklama süresi: Yedeklerin toplamda ne kadar tutulacağı. Örneğin 30 günlük günlük yedek, 12 aylık aylık yedek.
• Değiştirilemezlik süresi: Bu sürenin ne kadarlık kısmının kilitli olacağı. Örneğin son 14 gün.

Değiştirilemezlik süresini belirlerken şu soruyu sorun: Bir saldırgan ağda fark edilmeden kaç gün kalabilir? Saldırganlar çoğu zaman şifrelemeden önce bir süre ağda dolaşır. Süre çok kısa olursa, saldırı fark edildiğinde temiz yedekler kilidi çoktan açılmış olabilir.

Veeam, kilit sürelerini performans için bloklar halinde uzatır. Bu nedenle bazı yedekler, belirlediğiniz süreden birkaç gün daha uzun kilitli kalabilir. Kapasite planlarken bu ek payı hesaba katın.

Uzun süreli GFS (haftalık, aylık, yıllık) yedekleriniz varsa, bunların da kendi saklama süreleri boyunca değiştirilemez tutulabildiğini unutmayın. Yasal saklama yükümlülüğü olan veriler için bu önemli bir avantajdır.

3-2-1-1-0 Kuralı

Klasik 3-2-1 yedekleme kuralı, fidye yazılımı çağında iki ek maddeyle genişletildi:

• 3 kopya veri (biri üretim verisi),
• 2 farklı ortam,
• 1 kopya başka bir lokasyonda,
• 1 kopya çevrim dışı ya da değiştirilemez,
• 0 hata: yedekler doğrulanmış ve geri dönüş testinden geçmiş.

Yerel Veeam deposu ve S3 üzerinde değiştirilemez bir kopya, bu kuralın ilk dört maddesini karşılar. Sıfır hata maddesi ise ancak düzenli testle sağlanır. Kuralın temelini KOBİ yedekleme rehberimizde ayrıntılı anlattık.

Maliyet Planlaması

Değiştirilemez yedeklemenin maliyetini hesaplarken üç noktaya dikkat edin:

• Kilit süresince silinemeyen veri: Kilitli yedekler süre dolmadan silinemediği için, depolama ihtiyacınız klasik bir depoya göre biraz daha yüksek olur.
• Değişim oranı: Günlük artımlı yedeklerin boyutu, verinizin ne kadar değiştiğine bağlıdır. Veritabanı ağırlıklı ortamlar dosya sunucularına göre daha fazla değişim üretir.
• Geri dönüş trafiği: Felaket anında tüm veriyi geri indirmeniz gerekebilir. Çıkış trafiği ücretli bir sağlayıcıda en kötü gün en pahalı gün olur.

CloudRUX'ta Standart S3 GB başına aylık 0,015 $'dır (1 TB için 14,90 $). Değiştirilemez Veeam yedekleri için tasarlanan Kurumsal S3 ise 1 TB için aylık 49 $ olup Object Lock, iki veri merkezi arasında replikasyon, Veeam'e hazır kurulum, SLA ve aylık rapor içerir. Fiyatlar KDV hariçtir.

Geri Dönüş Testi: Yedeğin Gerçek Sınavı

Test edilmemiş bir yedek, bir umuttan ibarettir. Değiştirilemez yedeklemeyi kurduktan sonra şunları düzenli yapın:

• Ayda en az bir kez nesne depolamadaki bir yedekten tek bir dosyayı ve tam bir sanal makineyi geri yükleyin.
• Veeam'in SureBackup özelliğiyle yedeklerin açılabildiğini otomatik olarak doğrulayın.
• Kilitli bir yedeği silmeyi deneyin ve işlemin reddedildiğini görün. Bu, korumanın gerçekten çalıştığının en net kanıtıdır.
• Geri dönüş sürelerini kaydedin ve iş birimlerinin beklentisiyle karşılaştırın. Bu konuda RPO ve RTO rehberimiz yol gösterici olabilir.

Sık Yapılan Hatalar

• Veeam anahtarını başka işlerde kullanmak: Aynı erişim anahtarı birden fazla sistemde kullanılırsa, birinin ele geçirilmesi hepsini riske atar.
• Yönetişim modunda kalmak: Test bittikten sonra uyum moduna geçilmezse, yetkili bir hesabın ele geçirilmesi korumayı ortadan kaldırabilir.
• Şifreleme parolasını yedekleme sunucusunda saklamak: Sunucu kaybedildiğinde parola da kaybolur ve bulut kopyası açılamaz.
• Yedekleme sunucusunu etki alanına üye yapmak: Yedekleme altyapısını üretim ortamının kimlik sisteminden ayırmak, saldırganın yedeklere ulaşmasını zorlaştırır.
• Kapasite artışını izlememek: Kilitli veri süre dolmadan silinemediği için kapasite planı düzenli gözden geçirilmelidir.

Sık Sorulan Sorular

Mevcut S3 bucket'ımda Object Lock'u sonradan açabilir miyim?

Bu sağlayıcıya göre değişir. En güvenli yol, sürümleme ve Object Lock açık yeni bir bucket oluşturup Veeam'i bu bucket'a yönlendirmektir.

Değiştirilemezlik süresi ne kadar olmalı?

Tek bir doğru cevap yoktur, ama birkaç günlük süreler genellikle yetersiz kalır. Çoğu kurum için iki ila dört hafta makul bir başlangıçtır. Yasal saklama gereksinimi olan veriler için daha uzun süreler planlanabilir.

Yerel bir yedekleme cihazım varken buluta neden ihtiyacım var?

Yerel cihaz hızlı geri dönüş sağlar ama yangın, su baskını, hırsızlık ya da ağın tamamını ele geçiren bir saldırıda aynı riski paylaşır. Başka bir lokasyondaki değiştirilemez kopya, bu senaryolarda son savunma hattıdır.

Veeam şifrelemesi ile Object Lock aynı şey mi?

Hayır. Şifreleme verinin okunmasını engeller, Object Lock ise silinmesini ve değiştirilmesini engeller. İkisini birlikte kullanmanızı öneririz.

CloudRUX Kurumsal S3 ve BaaS

S3 depolamayı herkes satın alabilir; önemli olan doğru kurulması, izlenmesi ve felaket günü yanınızda bir mühendis olmasıdır. CloudRUX Kurumsal S3, Veeam'e hazır değiştirilemez depolamayı Türkiye'deki iki veri merkezinde, sabit aylık fiyatla sunar. Yedekleme sürecinin tamamını bize bırakmak isterseniz yönetilen yedekleme hizmetimizle Veeam işlerinizi Türkçe konuşan mühendislerimiz işletir. Detaylar için S3 sayfamıza ve BaaS sayfamıza göz atabilir, mevcut yedekleme yapınızı birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.