Sieć kopii zapasowych nie musi być stale osiągalna tylko dlatego, że zadania backupowe uruchamiają się regularnie. W wielu środowiskach transfer trwa przez ograniczoną część doby, a repozytorium przez resztę czasu pozostaje dostępne bez potrzeby. Kontrolowane fizyczne rozłączenie może skrócić ten okres ekspozycji i utrudnić atakującemu jednoczesne naruszenie produkcji oraz zasobów odtwarzania.
Samo odłączenie kabla nie tworzy jednak kompletnej strategii. Projekt musi uwzględniać cele RPO i RTO, oddzielne tożsamości, niezmienność danych, retencję, monitoring oraz sposób bezpiecznego odtwarzania. Najważniejszym rezultatem nie jest „offline backup”, lecz pewność, że organizacja potrafi odzyskać właściwe dane w wymaganym czasie, również podczas poważnego incydentu.
Najważniejsze wnioski
W skrócie
- Projekt backupu powinien wynikać z wymaganych punktów i czasów odtwarzania, nie z samej technologii izolacji.
- Ścieżki zapisu, zarządzania i odtwarzania mają inne ryzyka i powinny być analizowane oddzielnie.
- Okno transferu wymaga autoryzacji, monitoringu, ograniczonego czasu i potwierdzenia zamknięcia.
- Niezmienność, retencja i regularne testy restore pozostają konieczne również przy fizycznym rozłączeniu.
Zacznij od wymagań odtwarzania
Określ maksymalną dopuszczalną utratę danych, czyli RPO, oraz czas potrzebny na wznowienie działania, czyli RTO. Zmapuj systemy według krytyczności i zależności: odtworzenie aplikacji bez usług tożsamości, DNS lub konfiguracji sieci może nie przywrócić procesu biznesowego. Harmonogram połączeń musi pozwalać na wykonanie kopii z częstotliwością zgodną z tymi wymaganiami.
Ustal również scenariusze zagrożeń. Inaczej projektuje się ochronę przed przypadkowym usunięciem, inaczej przed przejęciem konta administratora backupu, a jeszcze inaczej przed ransomware obecnym w środowisku przez kilka tygodni. Retencja powinna zachowywać punkty sprzed momentu kompromitacji, a testy muszą sprawdzać nie tylko pojedynczy plik, ale cały łańcuch odtworzenia usługi.
Oddziel trzy rodzaje ścieżek
Pierwsza jest ścieżka danych, którą źródła przesyłają kopie do repozytorium. Druga to ścieżka zarządzania używana do konfiguracji zadań, retencji i urządzeń. Trzecia służy do odtwarzania danych z powrotem do środowiska produkcyjnego lub wydzielonej strefy recovery. Założenie, że jedna granica chroni wszystkie trzy, często pozostawia niewidoczny kanał administracyjny.
Każda ścieżka powinna mieć osobne dozwolone źródła, protokoły i tożsamości. Interfejs zarządzania nie powinien być dostępny ze zwykłych stacji użytkowników. Proces odtwarzania może wymagać innej decyzji niż codzienny zapis i powinien móc skierować dane do czystego środowiska testowego. Sprawdź też łączność chmurową, replikację, modem serwisowy i dostęp producenta.
- Ścieżka zapisu: minimalny zestaw źródeł i protokołów backupowych.
- Ścieżka zarządzania: oddzielne stacje i silne uwierzytelnianie administratorów.
- Ścieżka restore: kontrolowany kierunek do zweryfikowanego środowiska docelowego.
Utwórz kontrolowane okno transferu
Okno powinno otwierać się możliwie blisko rozpoczęcia zadania i zamykać po jego zweryfikowanym zakończeniu. Harmonogram może inicjować standardowe operacje, lecz zespół potrzebuje mechanizmu wstrzymania połączenia podczas incydentu. Maksymalny czas powinien działać niezależnie od aplikacji backupowej, aby błąd zadania nie pozostawił ścieżki otwartej bezterminowo.
W trakcie połączenia ogranicz ruch do znanych agentów lub serwerów pośredniczących i monitoruj wolumen, kierunek oraz nietypowe próby dostępu. Rejestruj osobno decyzję o otwarciu, rzeczywisty stan granicy i wynik backupu. Dzięki temu audyt może odróżnić planowane zadanie od połączenia, które trwało dłużej niż uzasadniona potrzeba.
Chroń integralność i retencję
Fizyczne rozłączenie ogranicza osiągalność, ale nie zatrzyma usunięcia danych przez przejęte konto w czasie aktywnego okna. Repozytorium powinno egzekwować niezmienność lub blokadę retencji na poziomie niezależnym od zwykłego administratora produkcji. Krytyczne punkty można dodatkowo replikować na odrębny nośnik lub do innej domeny zaufania.
Weryfikuj kopie przed zamknięciem okna, ale nie polegaj wyłącznie na statusie „success” z aplikacji. Kontrole powinny obejmować spójność katalogu, możliwość odczytu, oczekiwany zakres danych i wykrywanie nietypowych zmian. Jeżeli zaszyfrowane lub uszkodzone dane zostaną poprawnie skopiowane, technicznie udany backup nie zapewni użytecznego odtworzenia.
Zaprojektuj proces odtwarzania
Odtwarzanie podczas incydentu nie może zależeć od usług, które mogły zostać przejęte. Zachowaj offline dokumentację, konta awaryjne, konfigurację sieci oraz sposób uruchomienia czystego środowiska. Określ kolejność przywracania usług podstawowych i kryteria, które musi spełnić system przed ponownym dołączeniem do produkcji.
Regularne testy powinny mierzyć realny czas od decyzji do działającej usługi. Wybieraj losowe punkty retencji, a okresowo wykonuj pełne ćwiczenie obejmujące brak centralnej tożsamości lub konsoli zarządzania. Po każdym teście aktualizuj procedury, kontakty, szacowany czas i wymagane zasoby. Kopia bez sprawdzonego restore jest tylko założeniem.
Prosty wzorzec referencyjny
Praktyczny wzorzec może składać się z wydzielonego serwera pośredniczącego po stronie produkcyjnej, kontrolowanej fizycznej granicy, repozytorium w osobnej domenie administracyjnej oraz niezależnej kopii objętej retencją. Serwer pośredniczący buforuje lub koordynuje zadania, a granica otwiera się tylko na czas transferu. Ruch jest dodatkowo ograniczony przez reguły sieciowe po obu stronach.
AIRGAPNET może realizować fizycznie rozłączane okno Ethernet w takim wzorcu. Konkretne umiejscowienie zależy od przepustowości, zachowania aplikacji, bezpieczeństwa funkcjonalnego i sposobu zarządzania. Przed wdrożeniem trzeba przetestować przerwanie transferu, ponowienie zadania, utratę zasilania i odtwarzanie w warunkach awaryjnych.
Lista decyzyjna
Pytania, na które trzeba odpowiedzieć przed wdrożeniem
- Ustal RPO i RTO osobno dla każdej krytycznej usługi.
- Zmapuj ścieżki zapisu, zarządzania i odtwarzania wraz z alternatywną łącznością.
- Oddziel tożsamości produkcyjne od administracji repozytorium.
- Wymuś maksymalny czas połączenia i możliwość awaryjnego wstrzymania.
- Połącz izolację z niezmiennością, retencją i niezależną kopią.
- Regularnie wykonuj pełne testy restore i aktualizuj procedury.
Najczęstsze pytania
Pytania zadawane na początku
Czy backup air gap musi być wykonywany na taśmie?
Nie. Taśma może zapewniać fizyczne odłączenie, ale podobny cel osiąga się również przez kontrolowane rozłączanie repozytorium dyskowego, niezmienną pamięć obiektową lub odrębną domenę zaufania. Każdy model ma inne wymagania dotyczące odtwarzania.
Czy harmonogram automatyczny jest bezpieczny?
Może być częścią rozwiązania, jeżeli istnieje możliwość wstrzymania podczas incydentu, maksymalny czas połączenia i niezależna weryfikacja stanu. Sam harmonogram otwierający ścieżkę niezależnie od kondycji środowiska może zwiększać ryzyko.
Jak często testować odtwarzanie?
Częstotliwość powinna odpowiadać krytyczności i tempu zmian. Testy pojedynczych danych mogą odbywać się często, a pełne ćwiczenia okresowo. Ważne, aby wyniki potwierdzały rzeczywiste RTO i obejmowały scenariusz niedostępności podstawowych narzędzi.
Źródła oficjalne