Gần như mọi doanh nghiệp đều có bản sao lưu. Rất ít doanh nghiệp có khả năng khôi phục đã được kiểm chứng. Khoảng cách giữa hai điều này là nơi phần lớn các sự cố mất dữ liệu nghiêm trọng thực sự xảy ra.
Lý do nằm ở giả định mà mô hình sao lưu truyền thống được xây dựng trên đó. Sao lưu cổ điển được thiết kế cho sự cố ngẫu nhiên: ổ đĩa hỏng, người dùng xóa nhầm tệp, một bản nâng cấp phần mềm làm hỏng cơ sở dữ liệu. Trong các tình huống đó, không có ai chủ động tìm cách vô hiệu hóa chính bản sao lưu. Với sự cố có chủ đích, giả định này không còn đúng, và hệ thống sao lưu trở thành mục tiêu đầu tiên chứ không phải phương án cuối cùng.
Vì sao bản sao lưu thông thường không đủ
Một hệ thống sao lưu thông thường thường có các đặc điểm sau, và mỗi đặc điểm là một điểm yếu khi đối mặt với sự cố có chủ đích:
- Nằm trong cùng miền xác thực. Máy chủ sao lưu tham gia cùng hệ thống quản lý danh tính với môi trường sản xuất. Quyền quản trị ở một nơi dẫn tới quyền quản trị ở nơi kia.
- Cho phép xóa. Bản chất của quản trị sao lưu là có thể xóa dữ liệu cũ để giải phóng dung lượng. Nếu thao tác đó tồn tại, nó có thể bị lạm dụng.
- Kết nối liên tục. Kho lưu trữ được gắn thường trực để phục vụ lịch sao lưu tự động, nghĩa là nó có thể tiếp cận được từ môi trường mà nó bảo vệ.
- Sao chép cả trạng thái hỏng. Bản sao lưu tăng dần trung thành sao chép mọi thay đổi, kể cả những thay đổi độc hại, và nếu chu kỳ lưu giữ ngắn thì các phiên bản sạch sẽ bị đẩy ra khỏi vòng lưu trữ.
- Cùng thông tin xác thực. Tài khoản dịch vụ dùng để chạy tác vụ sao lưu thường được lưu ngay trên hệ thống đang được sao lưu.
Bất biến nghĩa là gì
Bất biến nghĩa là sau khi dữ liệu được ghi, nó không thể bị sửa hoặc xóa cho đến khi hết thời hạn lưu giữ đã định, và điều này được bảo đảm bởi tầng lưu trữ chứ không phải bởi chính sách vận hành. Sự khác biệt quan trọng nằm ở chỗ này: một quy tắc nội bộ nói rằng không ai được xóa bản sao lưu là chính sách. Một hệ thống lưu trữ từ chối lệnh xóa kể cả khi lệnh đó đến từ tài khoản quản trị cao nhất là cơ chế kỹ thuật.
Object lock
Trên kho lưu trữ đối tượng của các nền tảng cloud, object lock cho phép đặt thời hạn lưu giữ cho từng phiên bản đối tượng. Có hai chế độ với mức bảo vệ rất khác nhau, và việc chọn nhầm chế độ là sai lầm phổ biến nhất trong lĩnh vực này.
- Chế độ quản trị. Người dùng thông thường không thể xóa, nhưng một danh tính có quyền đặc biệt có thể rút ngắn thời hạn hoặc gỡ khóa. Chế độ này hữu ích để chống thao tác nhầm, nhưng không chống được một danh tính quản trị bị chiếm quyền.
- Chế độ tuân thủ. Không ai có thể rút ngắn thời hạn hoặc xóa dữ liệu trước hạn, kể cả tài khoản gốc của nền tảng. Đây là chế độ mang lại bảo vệ thực sự, và cũng là chế độ đòi hỏi kỷ luật vận hành, vì một cấu hình sai sẽ khóa dữ liệu và chi phí lưu trữ đi kèm trong toàn bộ thời hạn.
WORM trên thiết bị lưu trữ
Ghi một lần, đọc nhiều lần là mô hình có từ trước cloud, được triển khai trên thiết bị lưu trữ chuyên dụng, hệ thống băng từ hoặc bộ lưu trữ có phần mềm hỗ trợ. Trên hệ thống hiện đại, WORM thường được thực thi ở tầng phần mềm của thiết bị, nên câu hỏi cần đặt cho nhà cung cấp là: quản trị viên của chính thiết bị này có thể vô hiệu hóa cơ chế đó không, và bằng cách nào.
Khóa thời hạn lưu giữ
Đây là lớp bảo vệ đặt lên chính cấu hình bảo vệ. Không có nó, một kẻ đã chiếm quyền không cần xóa dữ liệu; chỉ cần giảm thời hạn lưu giữ xuống mức tối thiểu rồi chờ hệ thống tự dọn dẹp theo đúng thiết kế. Khóa thời hạn lưu giữ khiến việc rút ngắn trở nên bất khả thi, thường kèm theo một khoảng thời gian trì hoãn bắt buộc trước khi bất kỳ thay đổi nào có hiệu lực.
Cách ly
Cách ly là việc tạo ra một khoảng trống mà một kết nối mạng không tự vượt qua được. Dạng tuyệt đối là băng từ được tháo ra và cất giữ ngoài hệ thống. Trên cloud, dạng thực tế hơn là bản sao nằm trong một tài khoản riêng biệt, với hệ thống danh tính riêng, được ghi vào theo mô hình chỉ cho phép đẩy dữ liệu ra mà không cho phép truy cập ngược lại từ môi trường nguồn.
So sánh các cơ chế
| Cơ chế | Chống được gì | Điểm yếu chính |
|---|---|---|
| Object lock chế độ quản trị | Xóa nhầm, quy trình lỏng lẻo | Danh tính quản trị bị chiếm quyền có thể gỡ khóa |
| Object lock chế độ tuân thủ | Xóa có chủ đích ở mọi cấp quyền | Không thể sửa sai; chi phí bị khóa theo thời hạn |
| WORM trên thiết bị | Sửa đổi dữ liệu đã ghi | Phụ thuộc vào việc quản trị thiết bị có bị kiểm soát không |
| Khóa thời hạn lưu giữ | Rút ngắn thời hạn để dữ liệu tự hết hạn | Không bảo vệ dữ liệu ghi sau thời điểm bị chiếm quyền |
| Cách ly tài khoản hoặc vật lý | Lan truyền qua đường mạng và danh tính chung | Khôi phục chậm hơn; vận hành phức tạp hơn |
Những kiểu thất bại mà bất biến không xử lý được
Bất biến là một biện pháp mạnh, nhưng nó thường được trình bày như một giải pháp trọn vẹn. Dưới đây là các kiểu thất bại thực tế cần được tính đến ngay từ khi thiết kế.
Bị chiếm quyền trước khi khóa được đặt
Bất biến chỉ bảo vệ dữ liệu đã được ghi và đã được khóa. Nếu môi trường đã bị xâm nhập từ trước, các bản sao lưu tạo ra sau thời điểm đó có thể đã chứa dữ liệu ở trạng thái không sạch, hoặc chứa chính cơ chế cho phép quay lại. Việc khóa chúng chỉ đảm bảo rằng bạn không thể xóa một bản sao lưu không dùng được. Hệ quả thực tế: cần giữ đủ chiều sâu lịch sử để có thể quay về một thời điểm trước khi sự cố bắt đầu, và cần khả năng xác định thời điểm đó, tức là cần nhật ký được lưu ở nơi tách biệt.
Chọn chế độ có thể ghi đè
Đây là kiểu thất bại phổ biến nhất trên thực tế. Tổ chức bật object lock ở chế độ quản trị vì nó an toàn hơn về mặt vận hành và dễ sửa sai, rồi ghi trong tài liệu rằng bản sao lưu đã bất biến. Về mặt kỹ thuật thì đúng, nhưng đúng ở mức chống thao tác nhầm chứ không phải chống hành động có chủ đích. Hãy kiểm tra chính xác chế độ đang dùng, và ai là những danh tính có khả năng gỡ khóa.
Thời hạn lưu giữ ngắn hơn thời gian tồn tại của kẻ tấn công
Nếu một sự cố diễn ra âm thầm trong thời gian dài trước khi bị phát hiện, mà thời hạn lưu giữ chỉ có mười bốn ngày, thì mọi bản sao lưu còn tồn tại đều thuộc giai đoạn đã bị ảnh hưởng. Bản sao lưu bất biến trong trường hợp này bảo vệ đúng những dữ liệu không giúp ích được gì. Giải pháp là mô hình lưu giữ nhiều tầng: điểm khôi phục dày đặc cho thời gian gần, kèm các bản lưu giữ dài hạn theo tuần và theo tháng.
Xóa ở tầng tài khoản hoặc tầng thanh toán
Đây là lỗ hổng bị bỏ qua nhiều nhất. Object lock ngăn xóa đối tượng, nhưng nó không ngăn việc đóng toàn bộ tài khoản cloud, không ngăn việc ngừng thanh toán dẫn tới thu hồi tài nguyên, và không ngăn việc gỡ bỏ khóa mã hóa mà dữ liệu phụ thuộc vào. Nếu bản sao lưu bất biến nằm trong cùng tổ chức cloud và cùng quan hệ thanh toán với môi trường sản xuất, thì tồn tại một tầng phía trên nơi mọi biện pháp bảo vệ đều có thể bị vô hiệu cùng lúc. Biện pháp đối phó gồm: đặt bản sao lưu trong một tài khoản tách biệt với quyền quản trị riêng, bảo vệ tài khoản gốc bằng xác thực đa yếu tố dạng phần cứng, cảnh báo trên các thay đổi ở cấp tổ chức và cấp thanh toán, và quản lý khóa mã hóa với chính sách xóa có thời gian chờ.
Không bao giờ kiểm chứng bằng khôi phục thật
Một bản sao lưu chưa từng được khôi phục là một giả thuyết. Các vấn đề chỉ xuất hiện khi khôi phục thật gồm: thiếu khóa giải mã, thiếu một thành phần cấu hình không nằm trong phạm vi sao lưu, thứ tự khôi phục giữa các hệ thống phụ thuộc lẫn nhau không được xác định, băng thông tải dữ liệu về thấp hơn nhiều so với ước tính, và không ai trong đội trực biết quy trình vì người viết nó đã nghỉ việc.
Diễn tập khôi phục nên bao gồm: khôi phục vào một môi trường tách biệt, kiểm chứng tính đúng đắn của dữ liệu chứ không chỉ việc tệp tồn tại, đo thời gian thực tế từ lúc bắt đầu đến lúc dịch vụ hoạt động trở lại, và ít nhất một lần thực hiện bởi người không phải tác giả của quy trình.
Thiết kế tối thiểu hợp lý
Với phần lớn doanh nghiệp, một thiết kế đủ dùng gồm các thành phần sau:
- Bản sao gần để khôi phục nhanh, nằm cùng vùng với hệ thống sản xuất, tối ưu cho tốc độ.
- Bản sao bất biến với chế độ không thể ghi đè, đặt trong một tài khoản riêng có hệ thống danh tính tách biệt, ghi theo mô hình chỉ đẩy ra.
- Bản sao ở vùng địa lý khác hoặc ngoài hệ thống, phục vụ tình huống mất toàn bộ một vùng hoặc mất quyền kiểm soát tài khoản.
- Lịch lưu giữ nhiều tầng, đủ dài để vượt qua khoảng thời gian phát hiện sự cố thông thường.
- Cảnh báo trên mọi thay đổi đối với cấu hình bảo vệ, gửi tới kênh mà đội vận hành theo dõi hằng ngày.
- Lịch diễn tập khôi phục cố định, với kết quả được ghi lại và so sánh với mục tiêu đã cam kết.
HiTechCloud có thể hỗ trợ gì
HiTechCloud là đối tác của AWS và Google Premier Partner, đồng thời vận hành hạ tầng đặt trong nước. Chúng tôi hỗ trợ doanh nghiệp thiết kế mô hình sao lưu nhiều lớp với bản sao bất biến đặt trong tài khoản tách biệt, cấu hình thời hạn lưu giữ theo tầng, thiết lập cảnh báo cho các thay đổi đối với cấu hình bảo vệ, và tổ chức diễn tập khôi phục để xác nhận thời gian khôi phục thực tế. Liên hệ với chúng tôi nếu bạn muốn rà soát hiện trạng sao lưu của mình.
