در بسیاری از حمله‌های باج‌افزاری، مهاجم پیش از رمزگذاری سرورها مدتی در شبکه می‌ماند، دسترسی مدیر به دست می‌آورد و سراغ کنسول بکاپ می‌رود. اول بکاپ‌ها را پاک یا رمزگذاری می‌کند و بعد سرورها را. نتیجه این است که شرکت هم اطلاعات اصلی را از دست داده و هم بکاپ را، و گزینه‌های بسیار کمی برایش باقی می‌ماند.
بکاپ غیرقابل‌تغییر برای همین سناریو طراحی شده است.
Immutable یعنی چه؟
بکاپ Immutable نسخه‌ای است که پس از نوشته شدن، تا پایان یک دوره تعیین‌شده نه تغییر می‌کند و نه پاک می‌شود؛ حتی اگر کسی با حساب مدیر نرم‌افزار بکاپ وارد شود. این مفهوم با نام WORM (یک‌بار نوشتن، چندبار خواندن) هم شناخته می‌شود.
فرقش با «بکاپ معمولی با رمز قوی» این است که حفاظت در لایه ذخیره‌ساز اعمال می‌شود، نه فقط در سطح دسترسی کاربر. اگر حساب مدیر لو برود، رمز قوی دیگر کمکی نمی‌کند، اما قفل Immutable همچنان سر جایش است.
روش‌های رایج پیاده‌سازی
- مخزن سخت‌شده لینوکسی: نرم‌افزارهایی مثل Veeam می‌توانند روی یک سرور لینوکس، فایل‌های بکاپ را برای مدت مشخص قفل کنند. این سرور باید حداقل سرویس‌ها را داشته باشد و دسترسی SSH پس از راه‌اندازی بسته شود.
- Object Storage با Object Lock: ذخیره‌سازهای سازگار با S3 که از Object Lock پشتیبانی می‌کنند، اجازه حذف داده را تا پایان دوره نگهداری نمی‌دهند. در حالت Compliance حتی مدیر حساب هم نمی‌تواند قفل را بردارد؛ در حالت Governance کاربران دارای مجوز ویژه می‌توانند.
- ذخیره‌سازهای دارای اسنپ‌شات قفل‌شونده: برخی NASها و ذخیره‌سازها اسنپ‌شات‌هایی می‌سازند که تا مدت تعیین‌شده قابل حذف نیستند. میزان واقعی این حفاظت به مدل و نسخه دستگاه بستگی دارد.
- رسانه آفلاین: نوار یا دیسکی که بعد از بکاپ از سیستم جدا و در جای امن نگهداری می‌شود. این روش به معنای فنی Immutable نیست، اما چون از شبکه در دسترس نیست، همان هدف را تأمین می‌کند.
Immutable جایگزین بکاپ‌های دیگر نیست. معمولاً یک نسخه سریع و معمولی برای بازیابی روزمره دارید و یک نسخه Immutable به‌عنوان نسخه نجات.
نکات کلیدی هنگام پیاده‌سازی
- دوره قفل را درست انتخاب کنید. باج‌افزار ممکن است دیر کشف شود. دوره‌ای انتخاب کنید که دست‌کم چند نسخه سالم از پیش از نفوذ احتمالی باقی بماند؛ برای بسیاری از شرکت‌ها چند هفته نقطه شروع معقولی است.
- فضای ذخیره‌سازی را حساب کنید. نسخه‌های قفل‌شده را نمی‌توان زودتر پاک کرد؛ اگر فضا پر شود، بکاپ‌های جدید شکست می‌خورند.
- خود سرور را ایمن کنید. سرور مخزن را عضو دامین نکنید، حساب‌های جدا با ورود دومرحله‌ای بسازید و دسترسی مدیریتی سخت‌افزار مثل iLO یا IPMI را محدود کنید؛ کسی که به کنسول سخت‌افزار برسد، ممکن است دیسک‌ها را پاک کند.
- ساعت سرور را محافظت کنید. قفل زمانی به ساعت سیستم وابسته است. منبع NTP را مطمئن انتخاب و امکان تغییر زمان را محدود کنید.
- بازیابی از نسخه Immutable را تست کنید. این نسخه برای روز بحران است و باید مطمئن باشید واقعاً قابل استفاده است.
اشتباه‌های رایج
- راه‌اندازی مخزن Immutable روی همان سروری که نرم‌افزار بکاپ، دامین یا سرویس‌های دیگر هم روی آن است.
- انتخاب دوره قفل خیلی کوتاه، مثلاً چند روز، که در عمل قبل از کشف حمله تمام می‌شود.
- تصور اینکه اسنپ‌شات معمولی ماشین مجازی یا Recycle Bin ذخیره‌ساز همان Immutable است.
- پایش نکردن فضای مخزن و از دست رفتن بکاپ‌های جدید به خاطر پر شدن فضا.
چک‌لیست
- دست‌کم یک نسخه از بکاپ‌ها Immutable یا آفلاین است.
- دوره قفل با زمان احتمالی کشف حمله متناسب است.
- سرور مخزن از دامین جداست و دسترسی مدیریتی آن محدود است.
- منبع زمان سرور مخزن کنترل‌شده است.
- فضای مخزن پایش می‌شود و برای رشد داده جا دارد.
- بازیابی از نسخه Immutable در چند ماه اخیر تست شده است.
بکاپ Immutable یکی از مؤثرترین اقدام‌ها در برابر باج‌افزار است، به شرط اینکه درست طراحی شود. کارشناسان ITPlus724 می‌توانند مخزن غیرقابل‌تغییر را متناسب با زیرساخت فعلی شما طراحی و راه‌اندازی کنند.