Неизменяемые резервные копии в S3 с Veeam

При атаках программ-вымогателей резервные копии теперь часто становятся первой целью. Проникнув в сеть, злоумышленник находит сервер резервного копирования, захватывает учётную запись администратора, сначала удаляет бэкапы и только потом шифрует серверы. Компания, чьи резервные копии удалены, оказывается в том же положении, что и компания, у которой их никогда не было.

Неизменяемое резервное копирование — это защита, созданная именно для такого сценария. В этой статье мы концептуально и пошагово разберём, как настроить неизменяемые резервные копии в Veeam Backup and Replication на S3-совместимом объектном хранилище.

Что такое неизменяемая резервная копия?

Неизменяемая резервная копия — это копия, которую никто не может удалить, перезаписать или зашифровать в течение заданного вами срока. Ключевое слово здесь — «никто»: даже если пароль администратора резервного копирования украден, копию нельзя удалить до истечения этого срока.

Общая идея проста. Здесь мы сосредоточимся на том, как эта защита реализуется на практике с Veeam и S3.

Как работает S3 Object Lock

В S3-совместимом объектном хранилище неизменяемость обеспечивает функция Object Lock. Заблокированный объект нельзя удалить или изменить до окончания срока его хранения.

Обычно у Object Lock есть два режима:

• Режим Governance: пользователи с особым правом могут снять блокировку или сократить срок. Это удобно для тестирования и переходных периодов, но если такая привилегированная учётная запись скомпрометирована, защиту можно обойти.
• Режим Compliance: никто, включая администраторов провайдера хранилища, не может удалить объект или сократить срок до его окончания. Именно этот режим действительно защищает от программ-вымогателей.

Технические детали, которые стоит знать:

• Для работы Object Lock на бакете должно быть включено версионирование.
• Object Lock обычно включается при создании бакета. Включить его позже для уже существующего бакета можно не у каждого провайдера.
• Veeam сам управляет сроком блокировки объектов. Поэтому рекомендуется не задавать отдельное правило хранения по умолчанию на уровне бакета — иначе могут появиться блокировки, не соответствующие вашим цепочкам резервных копий.

Ключевые понятия на стороне Veeam

Репозиторий объектного хранилища

В Veeam S3-совместимый бакет добавляется как репозиторий объектного хранилища (object storage repository). Вам понадобятся адрес endpoint, access key, secret key, бакет и папка. При добавлении репозитория вы отмечаете опцию, делающую последние резервные копии неизменяемыми на заданное число дней, и выбираете этот срок.

Актуальные версии Veeam поддерживают запись заданий резервного копирования напрямую в объектное хранилище. Однако распространённая и рекомендуемая схема — держать локальный репозиторий для быстрого восстановления и отправлять копию в объектное хранилище.

Scale-out Backup Repository (SOBR) и capacity tier

Scale-out Backup Repository — это конструкция Veeam, которая управляет несколькими репозиториями как одним логическим. У неё два основных уровня:

• Performance tier: локальные диски или локальное устройство резервного копирования. Здесь хранятся последние копии, и отсюда восстановление происходит быстрее всего.
• Capacity tier: S3-совместимое объектное хранилище. Копии могут попадать сюда двумя способами: в режиме копирования (copy mode) каждая новая резервная копия копируется в объектное хранилище сразу после создания; в режиме перемещения (move mode) копии старше заданного возраста переносятся с локального диска в объектное хранилище, чтобы освободить место.

Режим копирования надёжнее защищает от программ-вымогателей, поскольку неизменяемая копия самой свежей резервной копии появляется сразу. В качестве альтернативы можно отправлять копии в объектное хранилище отдельным заданием backup copy.

Пошаговая настройка

1. Подготовьте бакет. Создайте бакет с включёнными версионированием и Object Lock или попросите провайдера подготовить его с такими настройками.
2. Создайте отдельный ключ доступа. Заведите для Veeam ключ, у которого есть права только на этот бакет и который больше нигде не используется.
3. Добавьте репозиторий в Veeam. Добавьте его как репозиторий объектного хранилища и задайте срок неизменяемости.
4. Настройте SOBR или задание копирования. Назначьте локальный репозиторий в performance tier, а репозиторий S3 — в capacity tier, и включите режим копирования.
5. Включите шифрование. Включите шифрование Veeam для копий, отправляемых в объектное хранилище, и храните пароль в надёжном месте, независимом от сервера резервного копирования.
6. Проконтролируйте первую резервную копию. Первая полная выгрузка может занять много времени в зависимости от пропускной способности канала. Последующие инкрементальные копии будут гораздо меньше.

Правильное планирование сроков хранения

Самая частая ошибка — путать срок неизменяемости со сроком хранения. Это разные вещи:

• Срок хранения: сколько всего времени хранятся резервные копии, например 30 ежедневных и 12 ежемесячных.
• Срок неизменяемости: какая часть этого времени находится под блокировкой, например последние 14 дней.

Выбирая срок неизменяемости, задайте себе вопрос: сколько дней злоумышленник может оставаться в сети незамеченным? Атакующие часто какое-то время перемещаются по сети, прежде чем что-либо зашифровать. Если срок слишком короткий, к моменту обнаружения атаки чистые копии уже могут оказаться разблокированными.

Ради производительности Veeam продлевает сроки блокировки блоками. В результате некоторые копии могут оставаться заблокированными на несколько дней дольше заданного срока. Учитывайте этот дополнительный запас при планировании ёмкости.

Если вы храните долгосрочные копии GFS (еженедельные, ежемесячные, ежегодные), помните, что их тоже можно сделать неизменяемыми на собственный срок хранения. Это реальное преимущество для данных с установленными законом сроками хранения.

Правило 3-2-1-1-0

Классическое правило резервного копирования 3-2-1 в эпоху программ-вымогателей дополнилось двумя пунктами:

• 3 копии данных (одна из них — рабочая),
• 2 разных носителя,
• 1 копия в другом месте,
• 1 копия офлайн или неизменяемая,
• 0 ошибок: резервные копии проверены, восстановление протестировано.

Локальный репозиторий Veeam плюс неизменяемая копия в S3 закрывают первые четыре пункта. Пункт «ноль ошибок» выполняется только при регулярном тестировании.

Планирование затрат

Оценивая стоимость неизменяемого резервного копирования, обратите внимание на три момента:

• Данные, которые нельзя удалить во время блокировки: поскольку заблокированные копии нельзя удалить досрочно, места потребуется несколько больше, чем в обычном репозитории.
• Скорость изменения данных: размер ежедневных инкрементальных копий зависит от того, насколько сильно меняются ваши данные. Среды с большим количеством баз данных генерируют больше изменений, чем файловые серверы.
• Трафик при восстановлении: в случае аварии может понадобиться скачать все данные. У провайдера, взимающего плату за исходящий трафик, худший день становится самым дорогим.

В CloudRUX Standard S3 стоит 0.015 USD за GB в месяц (14.90 USD за 1 TB). Enterprise S3, созданное для неизменяемых резервных копий Veeam, стоит 49 USD в месяц за 1 TB и включает Object Lock, репликацию между двумя дата-центрами, готовую настройку под Veeam, SLA и ежемесячный отчёт. Цены указаны без НДС.

Тестирование восстановления: настоящий экзамен для бэкапа

Непроверенная резервная копия — всего лишь надежда. После внедрения неизменяемого резервного копирования регулярно делайте следующее:

• Не реже раза в месяц восстанавливайте отдельный файл и целую виртуальную машину из копии в объектном хранилище.
• Используйте функцию Veeam SureBackup для автоматической проверки того, что резервные копии запускаются.
• Попробуйте удалить заблокированную копию и убедитесь, что операция отклонена. Это самое наглядное доказательство того, что защита действительно работает.
• Фиксируйте время восстановления и сравнивайте его с ожиданиями бизнеса. Здесь помогут чётко заданные цели RPO и RTO.

Распространённые ошибки

• Использование ключа Veeam в других местах: если один и тот же ключ доступа используется в нескольких системах, компрометация одной ставит под угрозу все.
• Работа в режиме Governance: если после тестирования не перейти в режим Compliance, скомпрометированная привилегированная учётная запись сможет снять защиту.
• Хранение пароля шифрования на сервере резервного копирования: если сервер потерян, вместе с ним теряется и пароль, и облачную копию открыть не удастся.
• Ввод сервера резервного копирования в домен: отделение инфраструктуры резервного копирования от системы идентификации рабочей среды затрудняет злоумышленнику доступ к бэкапам.
• Отсутствие контроля за ростом объёма: заблокированные данные нельзя удалить досрочно, поэтому план ёмкости нужно регулярно пересматривать.

Часто задаваемые вопросы

Можно ли включить Object Lock на существующем бакете S3 позже?

Это зависит от провайдера. Самый надёжный подход — создать новый бакет с включёнными версионированием и Object Lock и направить Veeam на него.

Каким должен быть срок неизменяемости?

Единственно верного ответа нет, но нескольких дней обычно недостаточно. Для большинства организаций разумная отправная точка — от двух до четырёх недель. Для данных с установленными законом сроками хранения можно запланировать более длительные периоды.

У меня есть локальное устройство резервного копирования. Зачем мне облако?

Локальное устройство обеспечивает быстрое восстановление, но подвержено тем же рискам при пожаре, наводнении, краже или атаке, захватывающей всю сеть. Неизменяемая копия в другом месте — последняя линия обороны в таких сценариях.

Шифрование Veeam — это то же самое, что Object Lock?

Нет. Шифрование не позволяет прочитать данные, а Object Lock — удалить или изменить их. Мы рекомендуем использовать оба механизма вместе.

CloudRUX Enterprise S3 и BaaS

Купить хранилище S3 может любой; важно, чтобы оно было правильно настроено, находилось под мониторингом, а в день аварии рядом с вами был инженер. CloudRUX Enterprise S3 предоставляет готовое к работе с Veeam неизменяемое хранилище в двух дата-центрах в Турции по фиксированной ежемесячной цене. Если вы предпочитаете передать весь процесс резервного копирования, в рамках нашей услуги управляемого резервного копирования ваши задания Veeam ведут инженеры, говорящие на русском и турецком языках. Подробности — на странице S3 и странице BaaS; также вы можете связаться с нами, чтобы вместе проанализировать вашу текущую схему резервного копирования.