Резервные копии есть почти у всех. Проблемы начинаются в момент, когда из них нужно восстановиться: выясняется, что копия недельной давности, что она лежала на том же сервере и зашифрована вместе с ним или что на восстановление 5 ТБ по имеющемуся каналу уйдут часы, а то и дни. Бэкап сам по себе не гарантирует, что бизнес быстро вернётся в работу.

Разберём, как построить резервное копирование, из которого действительно можно быстро восстановиться, и что делать, если основная система уже недоступна.

RAID и репликация закрывают только первую строку. От ошибок, сбоев программ и шифровальщиков защищает только резервная копия, отделённая от основной системы.

Прежде чем выбирать программы и хранилища, нужно ответить на два вопроса.

RPO (Recovery Point Objective) — сколько данных компания может позволить себе потерять. Если копия делается раз в сутки ночью, а сбой случился вечером, пропадёт вся дневная работа. RPO в этом случае — 24 часа.

RTO (Recovery Time Objective) — за какое время система должна снова заработать после сбоя.

Эти значения определяют для каждой системы отдельно. Пример:

Чем меньше RPO и RTO, тем дороже решение. Поэтому их определяют вместе с руководством: сколько стоит час простоя и день потерянной работы для каждой системы.

Типичная схема — полная копия раз в неделю и инкрементные каждый день или каждый час. Многие современные системы резервного копирования периодически собирают из цепочки новую полную копию на стороне хранилища, не нагружая рабочие серверы.

Классическое правило 3-2-1: три копии данных, на двух разных типах носителей, одна — вне основной площадки.

Сегодня его часто дополняют до 3-2-1-1-0: плюс одна копия изолированная или неизменяемая (immutable) и ноль ошибок при проверке восстановления.

Почему изоляция стала обязательной? Шифровальщики давно ищут в сети резервные копии и уничтожают их в первую очередь. Если хранилище копий подключено как сетевой диск или доступно под той же учётной записью администратора, его зашифруют вместе с серверами. Защищают от этого:

• неизменяемые копии — хранилище не позволяет изменить или удалить копию до окончания заданного срока, даже администратору;
• изоляция — хранилище копий недоступно из основной сети, копии забираются, а не отправляются;
• отдельные учётные записи — доступ к системе резервного копирования не совпадает с учётными записями домена;
• хранение на другой площадке — копия в другом здании или ЦОДе переживёт аварию в офисе.

Снимки (snapshots) позволяют за секунды откатить виртуальную машину или том к состоянию на определённый момент — например, перед обновлением. Но снимки хранятся на том же хранилище, что и данные. Если хранилище выходит из строя или шифруется, снимки пропадают вместе с ним.

Репликация на резервный сервер или в другой ЦОД позволяет быстро переключиться при аварии. Но реплика повторяет все изменения, в том числе удаление и шифрование. Снимки и репликация отвечают за скорость восстановления, а резервная копия — за то, чтобы было из чего восстанавливаться.

RTO часто срывается не из-за программ, а из-за канала связи и хранилища.

Расчёт теоретический, на практике добавляются накладные расходы. Но разница видна: если резервные копии хранятся у провайдера, а офис подключён каналом 100 Мбит/с, восстановление крупного файлового сервера займёт дни.

Сократить время восстановления помогают:

• быстрый канал между основной площадкой и хранилищем копий;
• запуск виртуальной машины прямо из резервной копии, который поддерживают многие системы резервного копирования, — сервис работает, пока данные в фоне переносятся на основное хранилище;
• заранее подготовленная резервная площадка, где можно поднять сервисы, пока основная недоступна;
• отработанный порядок действий, чтобы в момент аварии не выяснять, где лежат копии и какие пароли от них.

Порядок действий при сбое стоит зафиксировать в плане аварийного восстановления (disaster recovery plan) заранее. В общем виде он выглядит так:

• Остановите распространение. Если подозреваете шифровальщик — отключите заражённые машины от сети. Не удаляйте и не форматируйте диски: они понадобятся для разбора.
• Оцените масштаб. Какие системы недоступны, какие данные затронуты, работает ли инфраструктура резервного копирования.
• Сообщите ответственным. Руководству, IT-подрядчику, при атаке — службе безопасности.
• Выберите точку восстановления. Для шифровальщика — копию, сделанную до заражения, а не последнюю.
• Восстановите в первую очередь критичное. Порядок систем определяется заранее: обычно учётная система, почта, CRM, затем остальное.
• Проверьте восстановленное. Откройте базы, проверьте целостность данных, убедитесь, что вредоносная программа не восстановлена вместе с данными.
• Разберите инцидент. Что стало причиной, как не допустить повторения, укладывается ли фактическое время восстановления в RTO.

Когда бэкапа нет, остаются менее надёжные способы.

• Программа для восстановления данных может вернуть случайно удалённые файлы, если после удаления на диск ничего не записывали. Такую программу ставят и запускают с другого носителя, чтобы не перезаписать нужные данные.
• Восстановление данных с жёсткого диска с физическими повреждениями — стук, диск не определяется — выполняют только в специализированной лаборатории. Самостоятельные попытки часто делают восстановление невозможным.
• Файлы, зашифрованные современными шифровальщиками, без ключа, как правило, не восстановить. Выплата выкупа не гарантирует получения ключа.

Все эти варианты дороже, медленнее и ненадёжнее, чем восстановление из копии. Поэтому правильный бэкап — самый дешёвый способ восстановления данных.

Резервная копия, из которой ни разу не восстанавливались, — это предположение, а не защита. Проверку стоит проводить регулярно:

• раз в месяц восстанавливать выборочные файлы и базы в тестовую среду;
• раз в квартал или полгода проводить полное учебное восстановление критичной системы и замерять время;
• после изменений в инфраструктуре — проверять, что новые серверы попали в задания резервного копирования;
• следить за отчётами об ошибках резервного копирования и разбирать каждую.

Интерфоника — технологический провайдер из Иркутска с собственной оптической сетью и двумя ЦОДами в городе. У компании есть отдельное направление по защите данных и восстановлению после сбоев и атак.

• Резервное копирование с изолированными копиями. Копии недоступны из основной сети, хранятся географически разнесённо, восстановление регулярно тестируется.
• Комплексная защита от остановки бизнеса. Резервные копии, защищённое облако по 152-ФЗ, зеркальный ЦОД и снимки — в зависимости от требований к скорости восстановления.
• Гибридная схема. Критичные данные остаются у вас, а резервные копии размещаются на ресурсах Интерфоники. Данные предварительно шифруются, поэтому провайдер не может их прочитать.
• Быстрое восстановление за счёт канала. Собственная оптическая сеть до 100 Гбит/с и бесплатное прямое подключение к ЦОДу позволяют переносить большие объёмы данных за часы и сокращать время простоя.
• Услуги безопасности данных — от 1 000 ₽: диагностика IT-инфраструктуры на уязвимости, хранение, резервное копирование и восстановление данных.
• Инженеры, а не боты. Связь с технической поддержкой круглосуточно, в сложных инцидентах подключаются ведущие инженеры и руководство.

Результат заранее выстроенной защиты виден на реальном случае. Вирус-шифровальщик полностью остановил работу одного из клиентов Интерфоники. Изолированное хранилище было развёрнуто заранее, и через 15 минут после звонка в Интерфонику компания продолжила работу.

Интерфоника проводит бесплатную инженерную проверку инфраструктуры за 40 минут. Инженер разбирает текущую архитектуру, показывает уязвимости, если они есть, рассчитывает реальное время восстановления бизнеса после инцидента и даёт рекомендации с планом — даже если компания не будет работать с Интерфоникой.

Что такое RPO и RTO простыми словами?
RPO — сколько данных компания может потерять при сбое: например, работу за последний час. RTO — за какое время система должна снова заработать. Эти два показателя определяют, как часто делать копии и где их хранить.

Как часто нужно делать резервное копирование?
Зависит от допустимой потери данных. Для учётной системы, где за день вносятся сотни операций, копии делают каждый час или чаще. Для архива достаточно еженедельной копии.

Почему шифровальщик уничтожает и резервные копии?
Если хранилище копий доступно из основной сети или под той же учётной записью администратора, вирус шифрует его вместе с серверами. Защищают изолированные и неизменяемые копии на отдельной площадке.

Что делать, если основная система недоступна?
Изолировать заражённые или повреждённые системы, оценить масштаб, выбрать точку восстановления до инцидента, восстановить критичные системы в заранее определённом порядке и проверить целостность данных. Действовать лучше по заранее подготовленному плану.

Можно ли восстановить данные без резервной копии?
Иногда. Удалённые файлы можно попробовать вернуть специальной программой, физически повреждённый диск — в лаборатории. Файлы, зашифрованные шифровальщиком, без ключа обычно не восстановить.

Где хранить резервные копии в Иркутске?
Хотя бы одна копия должна находиться вне офиса, изолированно от основной сети и с быстрым каналом до основной площадки. Интерфоника хранит резервные копии клиентов в собственных ЦОДах в Иркутске и подключает офисы к ним по оптике до 100 Гбит/с.