Az úgynevezett „immutable”, vagyis módosíthatatlan biztonsági mentések mára a zsarolóvírusok elleni védekezés egyik legfontosabb eszközévé váltak. Nem véletlenül: ha a támadók nem tudják titkosítani vagy törölni a mentett adatokat, akkor egy sikeres kibertámadás után is megmarad a lehetőség az adatok helyreállítására.
A gyakorlatban azonban az adatok sérthetetlensége csak a történet egyik fele.
Az igazán nehéz kérdés akkor merül fel, amikor egy incidens egyszerre érinti a helyszíni infrastruktúrát és a felhős rendszereket is. Egy ilyen hibrid adatsértés során nem csupán az a kérdés, hogy rendelkezésre áll-e használható mentés, hanem az is, hogy pontosan hol történjen meg a helyreállítás.
Egy kibertámadás utáni első órák gyakran rendkívül kaotikusak. Előfordulhat, hogy a vállalat elsődleges rendszerei kompromittálódtak, a vizsgálatok miatt ideiglenesen le vannak kapcsolva, vagy egyszerűen nem használhatók. Ilyenkor a helyreállítás helyszíne és módja legalább olyan fontos tényezővé válik, mint maga a biztonsági mentés.
Ezért kulcsfontosságú, hogy a szervezetek előre kidolgozott katasztrófa-helyreállítási forgatókönyvekkel rendelkezzenek. Minél több lehetséges incidenshelyzetet modellez egy helyreállítási terv, annál nagyobb az esély arra, hogy egy váratlan esemény során is használható marad. Ugyanakkor a modern, több környezetet érintő kibertámadások gyakran olyan összetettek, hogy még a legjobban megtervezett forgatókönyveket is felülírhatják.
Egy hatékony vészhelyzeti helyreállítási stratégia ezért nem épülhet egyetlen lehetőségre. Az ideális megközelítés több alternatív útvonalat tartalmaz: egy elsődleges helyreállítási célkörnyezetet (’A’ terv), egy másodlagos tartalék megoldást (’B’ terv), valamint szükség esetén egy harmadik, végső menekülőutat is (’C’ terv).
A valódi kiberreziliencia nem csupán a biztonságos mentések meglétéről szól. Sokkal inkább arról, hogy a szervezet képes legyen adatait és szolgáltatásait több különböző környezetben is helyreállítani. Ezt a rugalmasságot már a mentési architektúra tervezésekor érdemes beépíteni, nem pedig egy válsághelyzet közepén megpróbálni kialakítani.
A hibrid valóság: amikor a hagyományos adat-helyreállítás már nem elég
Napjainkban a legtöbb szervezet nem egyetlen informatikai környezetben működik. Az üzleti rendszerek jellemzően több platform között oszlanak meg:
- Fizikai szerverek a vállalati adatközpontokban
- Virtuális gépek különböző virtualizációs platformokon
- Felhőalapú infrastruktúrában futó alkalmazások és szolgáltatások
Ez a hibrid működési modell jelentős rugalmasságot és költséghatékonyságot biztosít a mindennapokban. Ugyanez a sokszínűség azonban komoly kihívásokat teremt, amikor egy kibertámadás után helyre kell állítani a működést.
A támadók ugyanis nem tesznek különbséget a rendszerek között. Mindent célba vesznek, amit elérnek: helyszíni szervereket, virtualizációs platformokat, felhős erőforrásokat – gyakran egyszerre. Egy kifinomult zsarolóvírusos vagy adatlopási támadás során akár a teljes virtuális infrastruktúra és a felhőkörnyezet is kompromittálódhat, miközben az IT-csapatnak gyorsan kell megtalálnia a biztonságos helyreállítás lehetőségét.
Sok hagyományos mentési megoldás azonban jelentős korlátot állít a szervezetek elé: a mentett adatok visszaállítása kizárólag az eredeti környezetbe lehetséges. Egy adott virtuális platformról készült mentés csak ugyanarra a platformra állítható vissza, míg egy fizikai szerver mentéséhez ismét fizikai hardverre van szükség. Ez a szoros kötődés a mentés forrása és a helyreállítás célpontja között normál körülmények között nem feltétlenül jelent problémát, válsághelyzetben viszont komoly akadállyá válhat.
Tipikus helyzetek egy hibrid kibertámadás során
Amikor a virtualizációs platform válik kompromittálttá
Ha a támadók hozzáférést szereznek a virtualizációs infrastruktúrához, az egész környezet megbízhatatlanná válik. Hiába maradnak sértetlenek a mentések, azok visszaállítása ugyanabba a fertőzött környezetbe újabb kockázatot jelenthet. Ilyenkor létfontosságú, hogy a vállalat képes legyen egy teljesen más virtualizációs platformon újraindítani a szolgáltatásokat.
Amikor a helyszíni infrastruktúrát lefoglalja a vizsgálat
Egy súlyos incidens után a biztonsági szakemberek gyakran változatlan állapotban szeretnék megőrizni az érintett rendszereket az átfogó vizsgálatok idejére. Ez az időszak akár napokig vagy hetekig is eltarthat. A vállalkozás működése azonban nem állhat le ennyi időre. Ilyen esetekben kritikus szerepet kap az a képesség, hogy a legfontosabb rendszerek ideiglenesen a felhőben induljanak újra, miközben a helyszíni infrastruktúrán tovább zajlik a vizsgálat.
Amikor a felhőkörnyezet válik problémássá
Nem minden helyreállítási helyzetet kibertámadás okoz. Előfordulhat szolgáltatáskiesés, megfelelőségi probléma vagy akár célzott támadás egy felhőszolgáltató ellen. Ilyenkor szükségessé válhat a munkaterhelések visszaköltöztetése a helyszíni infrastruktúrába, vagy azok áthelyezése egy másik felhőszolgáltatóhoz. Ha a szervezet nem rendelkezik platformfüggetlen helyreállítási lehetőségekkel, ez egy egyszerű visszaállítás helyett hosszadalmas és költséges migrációs projektet eredményez.
A kibertámadások utáni helyreállítás során a legfontosabb erőforrás nem maga a mentés, hanem a választási lehetőség. Amikor az elsődleges infrastruktúra már nem használható, a szervezeteknek rugalmasságra van szükségük – nem pedig technológiai korlátokra.
Platformfüggetlen helyreállítás: nem kiegészítő funkció, hanem alapkövetelmény
A hibrid infrastruktúrák által teremtett helyreállítási kihívásokra egyetlen valódi megoldás létezik: el kell választani egymástól a biztonsági mentés elkészítésének helyét és a helyreállítás célkörnyezetét.
A platformfüggetlen helyreállítás lényege, hogy egy adott rendszerből készített mentés bármely kompatibilis környezetbe visszaállítható legyen, függetlenül attól, hogy eredetileg hol futott. Ez nem bonyolult konverziós folyamatokkal vagy különálló migrációs eszközökkel valósul meg, hanem egy olyan egységes adatvédelmi architektúrával, amelyben a helyreállítás célpontja csak a visszaállítás pillanatában dől el.
Másképpen fogalmazva: a mentés készítésekor még nem kell tudnunk, hogy egy incidens esetén pontosan hová fogjuk visszaállítani az adatokat. A döntést ráérünk akkor meghozni, amikor a helyzetet már pontosan látjuk.
A négy legfontosabb helyreállítási útvonal
Egy valóban rugalmas adatvédelmi rendszernek négy alapvető helyreállítási lehetőséget kell támogatnia.
Fizikairól fizikai rendszerre (P2P): A klasszikus forgatókönyv, amikor egy fizikai szerverről készült mentést egy másik fizikai kiszolgálóra állítunk vissza. Bár a virtualizáció térnyerése miatt ez egyre ritkábban kerül előtérbe, bizonyos kritikus rendszerek és speciális infrastruktúrák esetében továbbra is nélkülözhetetlen.
Fizikairól virtuális környezetbe (P2V): Ebben az esetben egy fizikai szerver mentése virtuális gépként indul újra. Ez különösen hasznos olyan helyzetekben, amikor a megfelelő hardver nem áll azonnal rendelkezésre, vagy amikor a szervezet a helyreállítás során szeretné kihasználni a virtualizáció rugalmasságát és gyorsaságát.
Virtuálisból fizikai környezetbe (V2P): Bár ritkábban használt forgatókönyv, bizonyos helyzetekben kifejezetten értékes lehet. Például akkor, ha egy kompromittálódott virtualizációs környezetből kell kimenekíteni az üzletileg kritikus rendszereket, vagy amikor egy alkalmazás teljesítményigénye miatt fizikai infrastruktúrára van szükség.
Virtuálisból virtuális környezetbe (V2V): A modern hibrid környezetekben talán ez a legfontosabb helyreállítási lehetőség. Segítségével egy virtuális gép mentése visszaállítható egy másik hypervisor platformra vagy akár egy felhőkörnyezetbe. Ez lehetővé teszi például, hogy egy helyszíni virtualizációs platformról származó munkaterhelés egy teljesen eltérő infrastruktúrán induljon újra.
Nem elég tudni róla, működnie is kell
Sok IT-szakember tisztában van azzal, hogy léteznek platformok közötti helyreállítási lehetőségek. A gyakorlatban azonban gyakran hiányzik ezek dokumentálása és rendszeres tesztelése.
Egy incidens során ugyanis már nincs idő kísérletezésre. Ha a szervezet nem tudja pontosan, hogy mely rendszereket hová és milyen lépésekkel lehet visszaállítani, akkor a helyreállítás ideje jelentősen megnőhet.
Éppen ezért érdemes rendszeresen felülvizsgálni a jelenlegi adatvédelmi megoldásokat. Ha azok nem támogatják az összes szükséges helyreállítási útvonalat, akkor indokolt lehet egy korszerűbb platform vagy akár egy új szolgáltató bevonásának megfontolása.
Arcserve UDP: Egységes architektúra a rugalmas helyreállítás szolgálatában
A platformfüggetlen helyreállítás csak akkor működik hatékonyan, ha maga a mentési architektúra is erre épül. Az Arcserve UDP ezt az elvet követi: a biztonsági mentéseket olyan formátumban tárolja, amely lehetővé teszi, hogy az adatok különböző infrastruktúrákba is visszaállíthatók legyenek, anélkül hogy bonyolult konverziókra vagy külön eszközökre lenne szükség.
Olyan funkciók, amelyek valódi előnyt jelenthetnek incidenshelyzetben:
Assured Security Scan – ellenőrzött helyreállítás
Egy sikeres kibertámadás után nem elegendő csupán visszaállítani az adatokat. Meg kell győződni arról is, hogy a mentések nem tartalmaznak rejtett rosszindulatú kódokat.
Az Assured Security Scan funkció a helyreállítás előtt átvizsgálja a mentési állományokat, és képes azonosítani a potenciális fenyegetéseket. Ez segíthet megakadályozni, hogy egy korábban fertőzött rendszer vagy fájl újra bekerüljön az éles környezetbe.
Ad-Hoc Virtual Standby – azonnal indítható tartalék rendszerek
A hagyományos katasztrófa-helyreállítási megoldások gyakran folyamatosan működő tartalék infrastruktúrát igényelnek, amely jelentős költségekkel jár.
Az Ad-Hoc Virtual Standby megközelítés ezzel szemben lehetővé teszi, hogy az előre konfigurált virtuális gépek csak akkor induljanak el, amikor valóban szükség van rájuk. Ez csökkentheti az üzemeltetési költségeket, miközben válsághelyzetben gyors helyreállítást tesz lehetővé.
One-to-Many Replication – több helyszín, nagyobb biztonság
Az adatok egyetlen helyen történő tárolása mindig kockázatot jelent. A One-to-Many Replication funkció segítségével ugyanaz a mentés több célállomásra is replikálható egyszerre.
Ez lehetővé teszi, hogy a szervezetek földrajzilag elkülönített helyszíneken is rendelkezzenek naprakész mentésekkel. Ha egy adott telephelyet vagy infrastruktúrát incidens ér, az adatok más helyszínekről továbbra is elérhetők maradnak, ami jelentősen lerövidítheti a helyreállítás idejét.
További védelmi rétegek a helyreállítás előtt
Az Arcserve UDP Premium Edition olyan további funkciókat is kínál, mint a mesterséges intelligenciára épülő anomáliaészlelés vagy a titkosítási mintázatok felismerése. Ezek a képességek segíthetnek időben észlelni, ha egy mentés gyanús módosításokon esett át vagy esetleg zsarolóvírus érintette.
Ez különösen fontos lehet hibrid környezetekben, ahol a helyreállítási döntések gyakran időnyomás alatt születnek meg.
Közel zéró leállás virtual standby technológiával
A platformfüggetlen helyreállítás rugalmasságot biztosít, de önmagában még nem oldja meg a helyreállítás sebességének kérdését.
Egy több terabájtos rendszer visszaállítása még a legjobb körülmények között is órákat vehet igénybe. Ez idő alatt az üzleti folyamatok leállhatnak, ami jelentős anyagi és működési kockázatot jelenthet.
Erre a problémára nyújt megoldást a virtual standby technológia.
Hogyan működik a virtual standby?
A koncepció egyszerű: a rendszer folyamatosan fenntart egy naprakész másolatot az éles környezetről, amely szükség esetén szinte azonnal elindítható.
Folyamatos szinkronizáció: A tartalék virtuális gép minden mentési ciklus után frissül, így a legutóbbi változások is megjelennek benne. Ez minimalizálja az esetleges adatvesztés mértékét.
Rugalmas elhelyezés: A standby példányok többféle környezetben is elhelyezhetők. Futhatnak helyszíni virtualizációs platformon a gyors átváltás érdekében, de akár felhőinfrastruktúrában is, amely további földrajzi elkülönítést biztosít.
Azonnali indulás: Incidens esetén a standby virtuális gépek perceken belül elindíthatók. Az átváltás történhet automatikusan vagy manuálisan, az adott szervezet működési modelljétől függően.
Ennek eredményeként a helyreállítási idő akár órákról percekre csökkenthető.
Miért különösen értékes ez egy hibrid kibertámadás során?
Egy összetett kibertámadás esetén gyakran nem a mentések állapota jelenti a legnagyobb problémát, hanem az idő. Minden perc, amíg a kritikus rendszerek nem működnek, közvetlen üzleti veszteséget okozhat.
A virtual standby technológia ebben a helyzetben jelentős előnyt biztosít, hiszen a tartalék környezet már rendelkezésre áll vagy néhány perc alatt aktiválható. A vállalat működése így folytatódhat, miközben a biztonsági csapatok a támadás kivizsgálására és elhárítására koncentrálnak.
Az Arcserve UDP ezt a képességet VMware, Hyper-V és felhőalapú környezetekben egyaránt támogatja. Ez lehetővé teszi, hogy a tartalék rendszerek akár teljesen eltérő infrastruktúrán működjenek, mint az éles környezet.
Ennek köszönhetően egy helyszíni VMware infrastruktúrához tartozó tartalék rendszer akár Hyper-V környezetben vagy a felhőben is rendelkezésre állhat. Ez tovább növeli a szervezet mozgásterét egy hibrid incidens során, és jelentősen javítja a sikeres helyreállítás esélyeit.
Összegzés
A modern kibertámadások elleni védekezés már nem merül ki abban, hogy rendelkezünk sérthetetlen biztonsági mentésekkel. Bár az immutable backupok kulcsszerepet játszanak az adatok védelmében, önmagukban nem garantálják a gyors és hatékony helyreállítást.
A hibrid infrastruktúrák világában a szervezeteknek olyan adatvédelmi stratégiára van szükségük, amely nemcsak az adatok integritását biztosítja, hanem a helyreállítás rugalmasságát és sebességét is. Egy kibertámadás során ugyanis gyakran nem az a kérdés, hogy van-e mentés, hanem az, hogy az üzletileg kritikus rendszerek milyen gyorsan és milyen környezetben indíthatók újra.
A platformfüggetlen helyreállítás és a virtual standby technológia lehetővé teszi, hogy a szervezetek ne legyenek egyetlen infrastruktúrához kötve, és akár percek alatt folytathassák működésüket egy incidens után. Ez a fajta rugalmasság ma már nem extra szolgáltatás, hanem a valódi kiberreziliencia egyik alapkövetelménye.
A sikeres védekezés kulcsa nem csupán az adatok megőrzése, hanem az üzletmenet folytonosságának biztosítása is. Ehhez pedig olyan helyreállítási képességekre van szükség, amelyeket már az adatvédelmi architektúra tervezésekor beépítenek a rendszerbe – nem pedig akkor próbálnak kialakítani, amikor a válság már bekövetkezett.
