Prawie każda firma, którą pytamy o kopie zapasowe, mówi, że je ma. Najczęściej stosuje zasadę 3-2-1 albo przynajmniej „na dysk zewnętrzny i do chmury”. To dobry początek. Ale incydenty, którymi zajmowaliśmy się w ostatnich latach, pokazują wciąż ten sam obraz: kopie istniały, a nie było z czego odtwarzać.
Powód jest prosty. Zasada 3-2-1 powstała w czasach, gdy głównym zagrożeniem była awaria dysku lub pożar w serwerowni. Dziś głównym zagrożeniem jest człowiek po drugiej stronie, który przed zaszyfrowaniem Twoich systemów najpierw znajduje i niszczy Twoje kopie zapasowe. Trzy kopie na dwóch nośnikach nie chronią przed takim scenariuszem, jeśli wszystkie trzy są osiągalne z tej samej sieci tymi samymi poświadczeniami.
W tym artykule wyjaśniamy, co naprawdę oznacza zasada 3-2-1, jak ransomware dociera do kopii zapasowych, co zmieniają kopie niezmienialne i air-gapped oraz jak to wygląda w praktyce, gdy to my przechowujemy kopie.
Co oznacza zasada 3-2-1 i czego nie mówi
Zasada jest krótka:
- 3: przechowuj co najmniej trzy kopie danych: oryginał i dwie kopie zapasowe.
- 2: trzymaj je na co najmniej dwóch różnych nośnikach lub systemach, aby jedna awaria nie zniszczyła obu.
- 1: miej co najmniej jedną kopię w innej lokalizacji, nie w tym samym budynku.
Nadal jest słuszna. Gdy padnie dysk serwera, odtwarzasz z kopii lokalnej. Gdy w biurze wybuchnie pożar lub dojdzie do zalania, odtwarzasz z kopii zdalnej. W firmach, z którymi pracujemy, najczęstszy układ to serwer, urządzenie NAS w tej samej szafie i kopia w chmurze lub u dostawcy IT.
Zasada nie mówi nic o dwóch sprawach. Po pierwsze, kto może usuwać lub modyfikować kopie. Po drugie, czy kopie są osiągalne z tej samej sieci, w której działa oryginał. A właśnie tu dochodzi do współczesnych ataków.
Jak ransomware dociera do kopii zapasowych
Współczesny atak ransomware to nie pojedynczy plik, który ktoś otworzył przez pomyłkę. To trwający kilka tygodni proces prowadzony przez ludzi. Typowa sekwencja z naszego doświadczenia wygląda tak:
- Dostęp początkowy: sfałszowany e-mail, wyciekłe hasło lub niezałatane urządzenie VPN.
- Rozpoznanie: atakujący po cichu sprawdza, jakie serwery istnieją, gdzie trzymane są kopie zapasowe i kto ma uprawnienia administratora.
- Eskalacja uprawnień: uzyskuje dostęp administratora domeny lub serwera kopii zapasowych. Często to ten sam administrator, którego hasło działa wszędzie.
- Zniszczenie kopii: zadania kopii są usuwane, NAS jest formatowany, a obiekty w chmurze są kasowane przez to samo konto, którym kopie wgrywano.
- Szyfrowanie: dopiero teraz uruchamiane jest samo ransomware, zwykle w piątek wieczorem lub przed świętami.
Zwróć uwagę na krok czwarty. NAS w tej samej sieci, zamontowany jako dysk sieciowy, to po prostu kolejny dysk, który ransomware zaszyfruje. Kopię w chmurze, którą serwer wgrywa własnym kontem, można usunąć tym samym kontem. Formalnie 3-2-1 jest spełnione. W praktyce atakujący trzyma klucze do wszystkich trzech kopii.
Co zmieniają kopie niezmienialne i air-gapped
Odpowiedź na ten problem ma dwie warstwy, które się uzupełniają.
Niezmienialne kopie zapasowe
Niezmienialna kopia zapasowa (immutable backup) to kopia, której przez ustalony okres nikt nie może usunąć ani nadpisać: ani administrator, ani oprogramowanie do kopii, ani atakujący, który przejął obu. Technicznie realizuje się to na poziomie magazynu: obiekt jest zablokowany, na przykład na 30 dni, a magazyn po prostu odrzuca każde polecenie usunięcia do końca tego okresu. Veeam nazywa to hardened repository, a w magazynach chmurowych funkcja nazywa się object lock.
Ważne zastrzeżenie: blokada musi być w magazynie, a nie w aplikacji do kopii. Jeśli atakujący przejmie serwer kopii zapasowych, zmieni ustawienia aplikacji. Blokady magazynu nie zmieni.
Kopie air-gapped
Kopia air-gapped to kopia, której z sieci produkcyjnej nie widać w ogóle. Nie jest zamontowanym dyskiem ani udziałem sieciowym i nie ma adresu IP, który dałoby się znaleźć podczas rozpoznania. Dane trafiają do niej jednokierunkowym kanałem, a odtwarzanie inicjują inne osoby i innymi poświadczeniami niż te, które zarządzają siecią produkcyjną.
Dawniej oznaczało to taśmy, które ktoś co wieczór zabierał do domu. Dziś tę samą zasadę można zrealizować w chmurze, ale trzeba ją zaprojektować świadomie, tak aby strona kopii nie widziała poświadczeń produkcyjnych, a strona produkcyjna nie widziała kopii.
3-2-1-1-0: zasada na rok 2026
W praktyce stosujemy rozszerzoną wersję, którą zaleca też Veeam:
| Liczba | Wymaganie | Przed czym chroni |
|---|---|---|
| 3 | Trzy kopie danych | Utrata jednej kopii |
| 2 | Dwa różne nośniki lub systemy | Awaria sprzętu |
| 1 | Jedna kopia w innej lokalizacji | Pożar, kradzież, zalanie |
| 1 | Jedna kopia niezmienialna lub air-gapped | Ransomware, złośliwy administrator |
| 0 | Zero błędów w teście odtwarzania | Kopia, z której nie da się odtworzyć |
Pierwsze trzy punkty to klasyka. Czwarty odpowiada na pytanie „co, jeśli atakujący ma dostęp administratora”. Piąty odpowiada na pytanie, które najczęściej zadajemy przy pierwszym spotkaniu z nowym klientem: kiedy ostatnio próbowaliście odtworzyć dane? Kopia, której nikt nie przetestował, to założenie, a nie ochrona. Zero błędów oznacza regularny, udokumentowany test, a nie zielony znaczek w oprogramowaniu do kopii.
Jak to wygląda w MDP CLOUD
Gdy to my przechowujemy kopie zapasowe, zasadę realizujemy tak:
- Pierwsza kopia: na Twoim serwerze lub w naszej chmurze, do szybkiego codziennego odtwarzania: jeden plik, jeden e-mail, jedna maszyna wirtualna.
- Druga kopia: w naszym centrum danych na Litwie (UE), w osobnym magazynie i w osobnej strefie sieciowej niż Twoje systemy produkcyjne.
- Trzecia kopia w razie potrzeby: w centrum danych Amazon w Niemczech, gdy wymagania (na przykład DORA lub polityka grupy kapitałowej) przewidują kopię w innym kraju.
- Kopia tajna: niezmienialna i niewidoczna z Twojej sieci. Jest wgrywana jednokierunkowym kanałem, a w ustalonym okresie przechowywania nie może jej usunąć ani Twój administrator, ani Twój dostawca IT, ani my jednostronnie. Odtwarzanie inicjuje upoważniony przedstawiciel Twojej firmy osobnym kanałem, niezwiązanym z Twoją siecią.
Wszystko to realizujemy w oparciu o kopie zapasowe Veeam. Gdy firma potrzebuje nie tylko danych, ale też miejsca, w którym uruchomi je po incydencie, dodajemy odtwarzanie infrastruktury PlanB: gotowe środowisko w naszej chmurze, w którym serwery startują z kopii, podczas gdy infrastruktura biurowa jest naprawiana.
Od czego zacząć
- Narysuj, gdzie dziś znajduje się każda z Twoich kopii i kto ma prawo ją usunąć. Jeśli jedno konto może usunąć wszystkie trzy, masz jedną kopię, a nie trzy.
- Odłącz magazyn kopii od sieci produkcyjnej: osobna strefa sieciowa, osobne poświadczenia, brak wspólnych udziałów.
- Włącz niezmienialność w magazynie, nie w aplikacji, i ustaw okres nie krótszy niż czas, w którym zauważyłbyś włamanie. Z naszego doświadczenia to co najmniej 30 dni.
- Odtwórz jeden serwer w izolowanym środowisku i zapisz, ile to trwało i czy wszystko działało.
- Jeśli chcesz wykonać te kroki razem z nami, zacznij od opisu tajnych kopii zapasowych lub napisz do nas przez formularz kontaktowy. W pierwszej rozmowie wspólnie ocenimy, których elementów 3-2-1-1-0 Twojej firmie dziś brakuje.
