Każdego ranka oprogramowanie do kopii zapasowych wysyła raport z zielonym znaczkiem. Dysk się zapełnia, więc coś jest kopiowane. Osoba odpowiedzialna za IT jest spokojna, prezes też. Potem psuje się serwer księgowy i okazuje się, że kopie przez pół roku robiono z dysku, na którym nie było już bazy danych, bo przeniesiono ją na inną partycję.
Takich historii znamy więcej niż jedną. Łączy je to, że nikt nigdy nie próbował odtworzyć danych. Kopia, której odtwarzania nie przetestowano, nie jest ochroną, tylko założeniem, że ochrona istnieje. Różnicę poznaje się w najgorszym możliwym momencie.
Dobra wiadomość: test przywracania nie jest tygodniowym projektem. Podstawowa procedura mieści się w godzinie, a jej wynikiem jest dokument, który można pokazać zarządowi, audytorowi lub ubezpieczycielowi. Poniżej opisujemy, jak to robimy.
Dlaczego zielony znaczek niczego nie dowodzi
Oprogramowanie do kopii zapasowych potwierdza tylko, że zadanie zakończyło się bez błędów. Nie sprawdza, czy:
- kopiowane jest to, co trzeba (baza danych, a nie pusty folder na nią);
- kopia jest spójna (baza nie została skopiowana w trakcie zapisu);
- system operacyjny ze wszystkimi sterownikami i licencjami uruchomi się z kopii;
- odtworzenie mieści się w przestoju, na który firmę stać;
- ktokolwiek poza jednym administratorem wie, jak przeprowadzić odtworzenie.
W naszej praktyce każdy z tych punktów był kiedyś przyczyną prawdziwego incydentu. Żaden nie widnieje w raporcie.
Jest też drugi, mniej techniczny argument. Dopóki odtwarzania nie przetestowano, wie o nim jedna osoba, i to tylko teoretycznie. W dniu incydentu ta osoba może być na urlopie, chora albo już nie pracować w firmie. Test zmusza do spisania procedury i wykonania jej choć raz przez innego członka zespołu, co bywa cenniejsze niż sam wynik.
Trzy rodzaje testów odtwarzania
Testy różnią się zakresem, czasem i tym, co dowodzą. Potrzebujesz wszystkich trzech, ale nie równie często.
Test na poziomie plików
Wybierz losowy plik lub e-mail z kopii z zeszłego tygodnia, odtwórz go do osobnego folderu i otwórz. Zajmuje to kilka minut. Dowodzi, że łańcuch kopii działa, a dane są czytelne. Nadaje się do cotygodniowej rutyny, którą może wykonać każdy członek zespołu IT.
Test maszyny wirtualnej
Cała maszyna wirtualna (na przykład serwer księgowy) jest odtwarzana z kopii do izolowanej sieci, uruchamiana, następuje logowanie i sprawdzenie: czy aplikacja startuje i czy dane są z wczoraj? Zajmuje od 20 minut do godziny, zależnie od rozmiaru maszyny. Dowodzi, że z kopii powstaje działający system, a nie tylko zestaw plików. To główny test i to o nim jest ten artykuł.
Test całego systemu
Odtwarzana jest cała infrastruktura: kontroler domeny, serwer plików, księgowość, poczta i połączenia między nimi. Zajmuje pół dnia do dnia. Dowodzi, że firma może działać z kopii zapasowych, a nie tylko że każda maszyna osobno się uruchamia. To już nie test, lecz ćwiczenie odtwarzania, i firmy objęte NIS2 lub DORA powinny je przeprowadzać co najmniej raz w roku.
Procedura, która mieści się w godzinie
Oto test maszyny wirtualnej, tak jak przeprowadzamy go u naszych klientów.
- Przygotowanie (10 min). Wybierz jeden ważny system, najlepiej ten, bez którego firma stanęłaby najpierw. Zapisz czas rozpoczęcia. Przygotuj izolowaną sieć: osobną sieć wirtualną bez połączenia z produkcją, aby odtworzony kontroler domeny lub serwer księgowy nie kolidował z działającym.
- Odtwarzanie (20 do 30 min). Odtwórz maszynę wirtualną z wczorajszej kopii do izolowanej sieci. Veeam potrafi to zrobić bezpośrednio z repozytorium kopii, bez czekania na przeniesienie danych do magazynu produkcyjnego. Zapisz, ile trwało samo odtwarzanie.
- Weryfikacja (10 do 15 min). Zaloguj się do odtworzonej maszyny. Uruchom aplikację. Otwórz wczorajszy dokument lub rekord. Sprawdź stan usług i dzienniki pod kątem błędów uruchamiania. Jeśli to serwer bazy danych, wykonaj proste zapytanie.
- Zakończenie (5 min). Usuń odtworzoną maszynę z izolowanej sieci. Napisz raport.
Wynikiem nie jest tylko odpowiedź „działa” lub „nie działa”, ale rzeczywisty czas odtworzenia, który możesz porównać z przestojem uznanym przez firmę za dopuszczalny.
Dlaczego środowisko musi być izolowane
Częsty błąd to odtworzenie serwera prosto do sieci produkcyjnej „tylko żeby sprawdzić”. Dwa kontrolery domeny o tej samej nazwie, dwa serwery DHCP, system księgowy odtworzony z wczorajszymi danymi, który zaczyna wysyłać klientom przypomnienia: widzieliśmy to wszystko. Test, który powoduje incydent, jest gorszy niż brak testu.
Izolowana sieć to osobna sieć wirtualna bez trasy do produkcji, dostępna tylko ze stanowiska administratora. W naszej chmurze takie środowisko utrzymujemy na stałe. To to samo miejsce, którego używamy do odtwarzania infrastruktury PlanB, więc test potwierdza też, że zaplecze odtwarzania działa.
Raport, który przyjmie audyt
Test bez dokumentu dla audytora nie istnieje. Raport nie musi być długi, ale musi odpowiadać na konkretne pytania:
- Data, godzina i kto wykonał test.
- Który system testowano i z kopii z którego dnia.
- Rodzaj testu: plik, maszyna wirtualna lub cały system.
- Ile trwało odtwarzanie i ile weryfikacja.
- Co sprawdzono i jaki jest wynik: zaliczony, zaliczony z uwagami lub niezaliczony.
- Znalezione problemy i kto odpowiada za ich usunięcie.
- Kiedy zaplanowano kolejny test.
Jedna strona. Tego samego szablonu używamy, przygotowując firmy do wymagań NIS2. Dla audytora najważniejsze jest zobaczenie, że testy odbywają się regularnie, a znalezione problemy są rozwiązywane, a nie to, że każdy test się udał.
Jak często testować
Nasze zalecenie dla firmy bez odrębnych wymagań regulacyjnych:
- Test na poziomie plików: co tydzień, na zmianę dla różnych systemów.
- Test maszyny wirtualnej: co miesiąc, za każdym razem inny system, tak aby w ciągu sześciu miesięcy objąć wszystkie ważne.
- Ćwiczenie całego systemu: raz w roku lub po każdej większej zmianie infrastruktury, takiej jak nowy serwer, migracja czy zmiana rozwiązania do kopii zapasowych.
Dla firm objętych DORA częstotliwość wynika z ich własnej polityki zarządzania ryzykiem ICT, ale coroczne ćwiczenie to minimum. Jeśli Twoje rozwiązanie do kopii zapasowych obsługuje automatyczną weryfikację odtwarzania (Veeam nazywa ją SureBackup), włącz ją. Nie zastępuje testu ręcznego, ale co noc sprawdza, czy maszyna w ogóle uruchomi się z kopii.
Co zrobić z wynikami
Niezaliczony test nie jest porażką, lecz najlepszym możliwym wynikiem: znalazłeś problem, a nie ransomware. Przypisz każdemu znalezionemu problemowi osobę odpowiedzialną i termin, a po naprawie powtórz test na tym samym systemie. Czasy z udanych testów zapisuj w tabeli. Po kilku miesiącach zobaczysz, które systemy odtwarzają się dłużej, niż firma może sobie pozwolić, i podejmiesz świadomą decyzję o częstszych kopiach lub szybszym magazynie.
Od czego zacząć
- Wybierz jeden system, bez którego firma by stanęła, i w tym tygodniu odtwórz go do izolowanej sieci według powyższej procedury.
- Zapisz wynik na jednej stronie i wpisz kolejny test do kalendarza.
- Jeśli test się nie udał albo nie masz gdzie odtwarzać w izolacji, nie zwlekaj: to już jest ustalenie, a nie rutyna.
- Jeśli chcesz, żebyśmy przeprowadzali i dokumentowali testy, jest to standardowa część usługi kopii zapasowych Veeam. Napisz do nas przez formularz kontaktowy, a pierwszy test wykonamy razem.
