С ростом требований к бесперебойности работы систем увеличивается и объём данных, которые нужно хранить. Для IT-инфраструктуры компании это может стать проблемой. Чем больше компания зависит от стабильности работы своих IT-систем, тем большие убытки ей грозят при утрате даже части данных и вынужденного простоя в течение времени восстановления работоспособности систем.

Долгое время главным способом защиты данных от повреждения или утери являлось использование систем хранилищ данных (СХД), что требовало покупки лицензий на ПО и штата IT-специалистов. Теперь вопросы обслуживания инфраструктуры можно поручить провайдеру облачных услуг, а компании достаточно следовать нескольким базовым правилам, чтобы обеспечить своевременное создание резервных копий данных без лишних временных и финансовых затрат.

Что это за правила?

Виды резервного копирования

Не существует какого-то одного универсального вида резервного копирования, который можно было бы использовать повсеместно и любых условиях. Скорость работы, стоимость, объём занимаемого бэкапом места, нагрузка на оборудование — технологии имеют свои достоинства и недостатки, которые нужно учитывать. Поэтому компании используют разные механизмы создания бэкапов. В этой статье мы перечислим наиболее известные методы создания резервных копий, назовём их особенности и отличия.

Полное резервное копирование

Охватывает всю систему и существующие в ней файлы, так как создаёт полную копию всех данных. С точки зрения управления бэкапами и скорости восстановления данных — это наиболее простой и надёжный способ. Но достоинства полного резервного копирования оборачиваются двумя важными недостатками. Во-первых, для создания полного backup системы требуется очень много времени. Во-вторых, процесс создания дубликата системы серьёзно увеличивает нагрузку на сеть. В связи с этим существует рекомендация уменьшить частоту создания полных backup-ов, делая их не чаще одного-двух раз в неделю. А в остальные дни создавать инкрементальные или дифференциальные резервные копии. Это разумно, поскольку такой частоты достаточно большинстве компаний. Безусловно, существуют ситуации, когда по каким-то причинам скриптам и ПО для создания бэкапов доверять нельзя. Тогда нужно позаботиться о более частом бэкапировании. Но если таких проблем нет, стоит ли лишний раз перегружать сетевую инфраструктуру и занимать лишнее место на диске объёмными backup-ми всей системы?

Преимущества: быстрое восстановление данных, простота администрирования, одна копия содержит все необходимые данные.
Недостатки: занимает много места на диске, создаёт излишнюю нагрузку на сеть, очень долго создаётся резервная копия.

Дифференциальное резервное копирование

При использовании этого метода копируются все файлы, которые изменялись с момента последнего полного резервного копирования. Восстановление системы производится путём загрузки последнего полного бэкапа вместе с актуальной дифференциальной копией.

Этот метод позволяет быстрее осуществлять копирование системы, так как полный backup выполняется реже. Но для восстановления нужно больше времени, поскольку приходится поочерёдно загружать сначала последний полный backup, и лишь затем — дифференциальный блок.

Преимущества: более удобный способ восстановления, снижает сетевую нагрузку, быстрее создаются бэкапы.
Недостатки: каждая последующая копия создаётся всё дольше, а её объём неизменно увеличивается.

Инкрементальное резервное копирование

Метод, который считается наиболее технологичным. Регулярно создаются резервные копии с файлами, которые были изменены с момента последнего backup-а. Остальная часть системы не затрагивается. То есть в каждом новом бэкапе хранятся только новые изменения.

Это довольно быстрый метод резервного копирования, поскольку копируется меньшее количество данных. Да и нагрузка на сеть незначительна. Но с точки зрения восстановления он сложнее, ведь сначала нужно восстановить данные из последнего полного бэкапа, а после этого шаг за шагом накатывать каждую последующую инкрементальную копию. Если одна из них повреждена или удалена, могут возникнуть проблемы.

Преимущества: высокая скорость создания бэкапов, файлы занимают меньше места, обеспечивает больше точек восстановления.
Недостатки: затянутая процедура восстановления данных из-за необходимости последовательного восстановления всех резервных копий, недостаточная надёжность из-за зависимости от целостности всех бэкапов в цепочке.

Синтетическое резервное копирование

Метод, который часто называют гибридным или смешанным, так как он объединяет усилия трёх способов создания копий: полного, инкрементального и дифференциального. В жизни это выглядит следующим образом: к полной резервной копии регулярно добавляются дифференциальные или инкрементальные блоки. В какой-то момент все эти блоки «склеиваются» с полный копией, образуя новый файл — актуальный полный backup. Он же становится исходным для бэкапов, которые будут созданы позднее.

Преимущества: резервное копирование и восстановление выполняются быстрее. Проще управлять данными, снижается нагрузка на сеть.
Недостатки: повышенная нагрузка на backup-сервер, может обходиться дороже.

Как правильно делать бэкапы

Как часто делать бэкапы

Конечно, в идеале делать резервные копии надо как можно чаще. Однако надо понимать, что данные бывают разные и обновляемость их может существенно отличаться. Например, архив, куда раз в месяц скидывают устаревшие документы, не требует ежедневного бэкапа. База данных крупного магазина, напротив, обновляется постоянно, по несколько раз в час. Следовательно, потеря информации даже за один рабочий день – критична.

Поэтому выбирать частоту создания резервных копий следует, исходя из разумной потребности. Главное, чтобы копии создавались регулярно. Лучше всего, если данный процесс будет автоматизирован.

Где хранить резервные копии

Самое главное, хранить бэкап на отдельном сервере. Если он будет располагаться там же, где основная система, то в случае выхода из строя оборудования или пожара вы потеряете и данные, и бэкап. Идеальный вариант, если сервер будет находиться в другом здании.
Если объём данных небольшой, хранить их можно на флэшке или внешнем жёстком диске. Крупные базы данных держат в сетевых хранилищах или в облаке.

Как делать бэкапы

Лучше всего автоматизировать процесс. Для этого есть множество программ, которые можно скачать в Интернете. Главное, использовать доверенные сайты. Вы сможете выбрать, что именно копировать, с какой регулярностью, куда именно копировать.
Единожды сделав настройки, вам больше не придётся возвращаться к данному вопросу. Бэкапы будут делаться регулярно, защищая ваши данные от возможного уничтожения.

Типичные ошибки

Системные администраторы – тоже люди, а значит, им свойственно ошибаться. Приводим 5 типичных ошибок резервного копирования:

• Зависимость от одного специалиста. Обычно такая проблема существует в компании, где бэкапы делаются вручную. И занимается этим один человек. Он может банально забыть о своевременном копировании данных. А если он уволится или просто надолго заболеет, никто не будет знать, где хранится резервная копия и как из неё восстановить систему в случае необходимости.
• Устаревшие технологии. Некоторые считают, что под бэкап можно использовать старые жёсткие диски, проработавшие десяток лет. Это может показаться рациональным, ведь бэкап требуется нечасто. Но что, если в тот самый критический момент, когда все данные компании будут под угрозой, старое оборудование откажет?
• Недоверие к облаку. Многие владельцы компаний считают, что лучше держать всю инфраструктуру у себя, что это безопасно. Но на деле именно облако позволяет обеспечить защиту от внешних вторжений, сбоев оборудования и других проблем. Облачные провайдеры берут на себя заботу о своевременных бэкапах и восстановлении системы в случае сбоя.
• Редкие бэкапы. Некоторые считают, что еженедельного копирования достаточно. Но для компании, которая постоянно генерирует новые важные данные даже ежедневного бэкапа может быть мало.
• Отсутствие тестирования. Просто делать бэкапы недостаточно. Важно убедиться, что восстановление из них пройдёт успешно. Периодически стоит проверять их функциональность.

Грамотно выполненное резервное копирование может спасти бизнес от огромных потерь. Если вы не уверены, что своими силами можете обеспечить работоспособный регулярный бэкап, имеет смысл делегировать эту задачу облачному провайдеру.

Резервное копирование c помощью Veeam Backup & Replication

Многолетний опыт и множество историй с печальным концом напоминают техническим специалистам компаний о том, как важно создавать резервные копии. Вирусы-шифровальщики, программные сбои, физические повреждения или утрата съёмных носителей данных могут привести к утечке информации. А это способно затруднить или вовсе остановить бизнес-процессы. Кроме того, необходимо учитывать и человеческий фактор: сотрудник может намеренно либо нечаянно удалить отдельные документы к и целые базы данных.

Совершенствование технологий позволило перейти от концентрации на процессе резервного копирования к обеспечению бесперебойной работы бизнеса. И теперь создание резервных копий и репликация данных являются значимой составляющей целого направления, призванного обеспечить стабильную работу всех систем, без длительных простоев и с возможностью быстрого переключения на работающую инфраструктуру при крупных сбоях.

Одним из самых известных инструментов, которые используются в этом направлении, является Veeam Backup & Replication. Этот продукт обладает широким набором опций, позволяющих обеспечить высокий уровень стабильности работы ИТ-инфраструктуры, решая задачи резервного копирования и восстановления данных.

Резервное копирование на базе Veeam Backup & Replication

Veeam интегрирован с VMware, что позволяет делать бэкапы без установки дополнительного ПО — быстро и просто. Продукт обладает внушительным списком возможностей:

Преимущества использования Veeam Backup & Replication для резервного копирования

Veeam Backup & Replication представляет собой решение, которое эффективно обеспечивает создание резервных копий, репликацию и восстановление виртуализованных приложений и данных. С помощью этого решения можно быстро и надежно делать резервные копии виртуальных машин VMware и Hyper-V без использования агентов внутри виртуальных машин.

Veeam Backup & Replication позволяет ускорить процесс создания резервных копий и снизить расходы на хранение данных.

Можно назвать три основные выгоды, которые получают компании от использования облачных решений и технологий Veeam Backup & Replication:

• Снижение RTO и RPO (подробнее об этом рассказали здесь) благодаря высокой скорости восстановления и уменьшения риска потерь в случае сбоя.
• Снижение капитальных издержек на оборудование и его эксплуатацию за счёт использования облачной платформы.
• Снижение расходов на ПО благодаря арендной схеме использования лицензий.

В целом же Veeam Backup & Replication — это удобный и понятный инструмент, позволяющий подключаться к удалённым мощностям облачного провайдера и выполнять резервное копирование в облако.

Автор:
Лебедев А.В.

Согласно исследованию Sophos*, посвященному ситуации с программами-вымогателями, после их атак удается восстановить лишь 65% данных. Сегодня мы подробно рассмотрим самые частые вопросы о восстановлении данных после атаки программы- вымогателя, а также расскажем, что необходимо знать до атаки.

В чем заключается восстановление данных после атаки программы-вымогателя?

Восстановление данных после атаки — это процесс, направленный на возобновление работы ИТ-систем после атаки программы-вымогателя. Восстановление может быть простым, оно может следовать одному из процессов послеаварийного восстановления, при условии, что ваши планы послеаварийного восстановления хорошо задокументированы, а также тщательно (и недавно) протестированы*.

В вопросе защиты данных ведущую роль играет восстановление, особенно восстановление зашифрованных ВМ из резервных копий.  Оно не только помогает восстановить системы после атаки программы-вымогателя, но также оказывает более широкое влияние на всю ИТ-среду.

В ходе реагирования на инцидент в области кибербезопасности выполняется ретроспективная экспертиза, которая позволяет определить, каким путем программа-вымогатель проникла в среду и какие системы подверглись ее воздействию. После этого можно принять меры для ликвидации программы-вымогателя, устранения уязвимостей, которые привели к ее проникновению, а также восстановления поврежденных систем.

Можно ли удалить программу-вымогатель?

В ходе реагирования на инцидент в области кибербезопасности принимаются меры для выявления того, как программа-вымогатель проникла в среду и какие системы подверглись воздействию, помимо шифрования данных.

Вредоносный код должен быть удален с зашифрованных машин, но также необходимо выявить пути его проникновения в среду и устранить эти факторы риска. После атаки программы-вымогателя вы сможете обеспечить антивредоносные системы соответствующими дефинициями, которые позволят выявлять вредоносный код, атаке которого вы подверглись.

Можно ли восстановить системы, подвергшиеся атаке программы-вымогателя?

Самый насущный вопрос для ИТ-организаций сегодня — это “Можно ли восстановить данные после атаки программы-вымогателя?” Восстановление возможно почти всегда.  К сожалению, многие организации совсем в этом не уверены, поэтому важно принять меры, которые обеспечат восстановление среды после атаки программы-вымогателя.

Важнейшая мера защиты данных от программ-вымогателей ― наличие резервной копии, успешно созданной совсем недавно.  В случае шифрования машин эта резервная копия станет критически важной, так как именно из нее вы будете восстанавливать данные.

В зависимости от того, как долго вредоносный код находился в вашей системе, может быть необходимо просканировать восстановленную систему, чтобы убедиться, что в ней не содержится инфекция.

Как выглядит восстановление данных после атаки программы-вымогателя?

Часто возникает вопрос ― что именно происходит после атаки программы-вымогателя? Первым делом необходимо задействовать команду ИТ-безопасности, чтобы она начала процесс реагирования на инцидент.  Этот процесс может отличаться от процесса, которым администраторы резервного копирования пользуются для восстановления данных.

Перед тем, как восстановить данные, необходимо выполнить ряд других шагов, которые входят в план реагирования на инцидент. Это такие шаги, как выявление и анализ, локализация, и только затем ликвидация вредоносного кода и восстановление данных. МЕТОД восстановления данных после атаки программы-вымогателя зависит от того, что будет обнаружено на стадии выявления и анализа. Поэтому важно иметь в запасе несколько стратегий восстановления, причем каждая из них должна быть тщательно протестирована.

Вы ничего не знаете о реагировании на инциденты в области кибербезопасности? Тогда вам необходимо ознакомиться со сценариями реагирования на инциденты в области кибербезопасности и уязвимостей, недавно изданными CISA*.

Какие бывают типы атак программ-вымогателей?

Существует несколько разных типов атак, из них самым классическим является шифрование данных.  Бывают атаки с двойным и тройным вымогательством. При двойном вымогательстве данные не только шифруются, но и похищаются. При тройном вымогательстве шифруются машины, а данные похищаются. Злоумышленники предпринимают дополнительные шаги, чтобы обнаружить данные о заказчиках и поставщиках компании, а найдя эти данные, направляют на них атаку.

Похищают ли программы-вымогатели данные?

Обычно при атаке программы-вымогателя данные шифруются. Другим типом атаки, который приобретает все большее распространение, является эксфильтрация. При этом злоумышленники похищают ваши данные и обещают вернуть их только после уплаты выкупа.

Как распространяются программы-вымогатели?

Программы-вымогатели могут распространяться различными способами. Чаще всего это происходит с помощью фишинговых электронных сообщений.  Проникнув в вашу среду, вредоносный агент получает безграничные возможности.  Помните, что точка входа ― это единственное, что требуется злоумышленникам для выведения вашей среды из строя.

Какое решение лучше всего поможет защитить важные файлы от атак программ-вымогателей?

Многие хотели бы полностью защититься от атак программ-вымогателей, но правда заключается в том, что необходимо приготовиться к их воздействию. Есть несколько групп, управляющих программами-вымогателями, которые постоянно ищут новые способы проникновения в вашу среду и размещения в ней своего ПО. Хотя надежная стратегия ИТ-безопасности поможет защитить вашу среду от программ-вымогателей, ничто не может гарантированно предотвратить атаку.

Лучшее решение ― надежная стратегия резервного копирования с использованием неизменных резервных копий, которые не могут быть зашифрованы или удалены злоумышленниками.

Сколько существует типов программ-вымогателей?

Существует много разных типов программ-вымогателей, при этом постоянно появляются новые. Чаще всего в новостях упоминаются такие типы программ-вымогателей, как: REvil, Conti и DarkSide.

Важно знать, что операторы разных типов программ-вымогателей работают так же, как любая другая ИТ-организация.  У них есть собственные разработчики, которые постоянно совершенствуют программы-вымогатели, делая их более опасными для ИТ-систем.

Сколько времени занимает восстановление данных после атаки программы-вымогателя?

Существует много ужасных рассказов о том, как много времени занимает восстановление данных после атаки (если оно вообще возможно). Периодически можно слышать о восстановлении, которое длится несколько недель или месяцев, но так не должно быть.

Восстановление после атаки программы-вымогателя ― это процесс, для которого требуется регулярное тестирование, так же, как и для плана послеаварийного восстановления.  Когда речь заходит о восстановлении данных после атаки программы-вымогателя, отличное место, с которого можно начать ― это план послеаварийного восстановления. Конечно, при условии, что такой план актуален и тщательно протестирован.

Протестировав восстановление, вы сможете принять меры для повышения его скорости согласно требованиям бизнеса. Для этого, например, можно установить дополнительную инфраструктуру в вашей среде.

Восстановление после атаки программы-вымогателя не должно занимать много времени, но тестирование процессов восстановления критически важно для обеспечения соответствия показателям RTO.

Как быстро происходит шифрование данных при атаке программы-вымогателя?

Скорость шифрования данных при атаке программы-вымогателя зависит от того, какой именно вредоносный код проник в вашу среду. Помните, что операторы программ-вымогателей постоянно улучшают свое ПО, максимально повышая его быстродействие. Это позволяет ему нанести максимальный ущерб, прежде чем ИТ-специалисты на местах поймут, что происходит.

Например, программа-вымогатель REvil использует многопоточные процессы, чтобы задействовать все ресурсы целевой системы для ее шифрования.

Можно ли расшифровать данные, зашифрованные программой-вымогателем?

Хотя операторы программ-вымогателей утверждают, что они могут расшифровать зашифрованные данные после уплаты выкупа, на самом деле не все данные могут быть успешно расшифрованы.  Что еще хуже, после такой расшифровки полностью отсутствует целостность данных.  Даже если вы расшифруете сервер после атаки программы-вымогателя, все равно его необходимо будет восстанавливать из резервной копии.

Поможет ли переустановка Windows избавиться от программы-вымогателя?

Простая переустановка Windows на инфицированной машине не поможет удалить программу-вымогателя. Полное удаление всех данных и переустановка Windows гарантирует удаление программы-вымогателя, но вы также потеряете все свои данные, если предварительно не создали их резервную копию.

Могут ли программы-вымогатели похищать персональные данные?

Программы-вымогатели умеют находить уязвимости для проникновения в среду.  Это позволяет им атаковать самые важные данные, которые они могут найти в среде.  К таким данным относятся персональные данные сотрудников и заказчиков, финансовые сведения и проприетарная информация.  Помните, что операторы программы-вымогателя сделают все возможное, чтобы заставить вас уплатить выкуп.

Перед тем, как приступить к восстановлению данных после атаки программы-вымогателя, необходимо продумать несколько вопросов. Самое важное ― убедиться в том, что вы делаете все необходимое для обеспечения безопасности вашей среды.  Это включает не только повышение уровня защищенности среды, которое позволяет устранить уязвимости, но также информирование пользователей о киберугрозах. Необходимо, чтобы сотрудники не переходили по подозрительным ссылкам, которые могут открыть доступ в среду вредоносному коду.

И последняя линия обороны — это надежное резервное копирование данных.  Обеспечив неизменность резервных копий, вы защищаете их от шифрования или удаления программой-вымогателем. Кроме того, важно протестировать возможность восстановления. Тестирование возможности восстановления позволяет убедиться не только в работоспособности резервных копий, но также в соответствии показателям допустимого времени восстановления (RTO) в случае атаки.

Автор:
Мелисса Палмер