Quy tắc 3-2-1 và các biến thể hiện đại của chiến lược sao lưu

Quy tắc 3-2-1 tồn tại lâu đến mức nhiều đội kỹ thuật nhắc lại nó như một câu khẩu quyết mà không còn hỏi mỗi con số đang mua cho họ điều gì. Nó xuất hiện trong tài liệu kiến trúc, trong phần trả lời hồ sơ thầu, trong slide báo cáo nội bộ. Rồi một ngày hệ thống vẫn mất dữ liệu, vì bản sao thứ ba nằm trong cùng một tài khoản đám mây với hai bản đầu tiên, hoặc vì chưa ai từng thử khôi phục từ nó.

Giá trị thật của quy tắc không nằm ở ba chữ số. Nó nằm ở nguyên tắc phía sau: một sự cố đơn lẻ, dù là hỏng phần cứng, xóa nhầm do thao tác, mã độc tống tiền hay mất nguyên một cơ sở vật lý, không được phép chạm tới mọi bản sao dữ liệu của bạn cùng lúc. Mọi biến thể hiện đại đều chỉ là nỗ lực giữ cho nguyên tắc đó còn đúng trong một thế giới mà cụm từ phương tiện lưu trữ và cụm từ ngoài site đã mang nghĩa rất khác so với thời điểm quy tắc ra đời.

Mỗi chữ số mua cho bạn điều gì

Nếu bạn không biết chữ số nào đang phòng vệ trước rủi ro nào, bạn sẽ không biết chữ số nào có thể bỏ bớt cho dữ liệu ít quan trọng, và chữ số nào tuyệt đối không được bỏ cho dữ liệu quan trọng nhất.

Ba bản sao: phòng vệ trước hỏng hóc ngẫu nhiên

Ba bản sao nghĩa là dữ liệu gốc đang chạy cộng với hai bản 备份 độc lập. Con số này xử lý dạng rủi ro đơn giản nhất và cũng phổ biến nhất: một thiết bị hỏng, một tệp sao lưu bị lỗi khối, một tác vụ chạy dở dang để lại bản sao không dùng được. Nếu chỉ có một bản sao lưu duy nhất, mọi lỗi âm thầm trên bản đó đều biến thành mất dữ liệu toàn phần. Bản thứ hai không phải sự thừa thãi, nó là biên độ để bạn còn lựa chọn khác khi bản đầu tiên không mở được.

Hai loại phương tiện: phòng vệ trước lỗi hệ thống của một công nghệ

Hai loại phương tiện lưu trữ khác nhau xử lý một rủi ro tinh vi hơn: lỗi không ngẫu nhiên mà mang tính hệ thống. Một dòng firmware có khiếm khuyết, một lỗi trong phần mềm điều khiển mảng đĩa, một sai sót cấu hình được sao chép sang toàn bộ thiết bị cùng loại. Khi hai bản sao nằm trên hai thiết bị giống hệt nhau, được cấu hình bởi cùng một quy trình tự động, chúng không thực sự độc lập. Chúng chỉ trông có vẻ độc lập.

Một bản ngoài site: phòng vệ trước sự kiện phạm vi rộng

Chữ số cuối cùng dành cho những sự kiện không phân biệt thiết bị: cháy, ngập, mất điện kéo dài, sự cố hạ tầng ở cấp tòa nhà hoặc cấp khu vực. Đây cũng là chữ số hay bị làm cho vô nghĩa nhất, khi bản ngoài site thực chất là một thư mục đồng bộ tự động từ site chính và do đó thừa hưởng mọi thao tác xóa xảy ra tại site chính, gần như tức thời.

Bối cảnh đã thay đổi thế nào

Quy tắc hình thành trong thời kỳ mà phương tiện lưu trữ là vật thể cầm nắm được: đĩa cứng, băng từ, đĩa quang. Ngoài site nghĩa là ai đó thực sự mang một hộp băng ra khỏi tòa nhà, và sự độc lập giữa các bản sao là thuộc tính vật lý, kiểm chứng được bằng mắt thường.

Trong môi trường đám mây, sự độc lập trở thành thuộc tính logic và vì thế khó nhìn thấy hơn nhiều. Hai kho lưu trữ có thể cách nhau hàng nghìn cây số nhưng vẫn chung một mặt phẳng điều khiển, một tài khoản, một bộ khóa truy cập. Một thông tin 身份验证 bị lộ có thể xóa cả hai trong cùng một phút. Về mặt địa lý thì đó là ngoài site; về mặt rủi ro thì không.

Đây là lý do các biến thể hiện đại không thêm chữ số vì thích phức tạp. Chúng thêm chữ số vì hai loại rủi ro mới đã trở thành nguyên nhân mất dữ liệu thường gặp: hành động phá hoại nhắm thẳng vào kho sao lưu, và niềm tin sai lầm rằng một bản sao tồn tại thì đồng nghĩa với khôi phục được.

Các biến thể hiện đại

Thêm một bản bất biến

Biến thể được nhắc tới nhiều nhất bổ sung yêu cầu rằng ít nhất một bản sao phải bất biến, tức là không thể sửa hay xóa trong một khoảng thời gian đã định, kể cả bởi tài khoản quản trị đã tạo ra nó. Cơ chế này có thể là khóa lưu trữ theo thời hạn trên dịch vụ đối tượng, băng từ đã tháo khỏi ổ đọc ghi, hoặc một kho lưu trữ do một bên khác vận hành mà hệ thống nguồn không có quyền ghi đè.

Điểm mấu chốt không phải là công nghệ mà là ranh giới quyền hạn. Một kẻ tấn công chiếm được quyền quản trị trên hệ thống sản xuất thường sẽ tìm đến kho sao lưu trước khi mã hóa dữ liệu chính, vì kho sao lưu chính là thứ khiến nạn nhân không cần trả tiền. Nếu bộ thông tin xác thực đang chạy các tác vụ sao lưu cũng đủ quyền để xóa lịch sử sao lưu, thì bạn có bản sao thứ ba nhưng không có lớp phòng vệ thứ ba.

Bất biến cũng có mặt trái cần cân nhắc trước. Dữ liệu đã ghi vào kho bất biến sẽ nằm đó hết thời hạn dù bạn nhận ra đã ghi nhầm, dù chi phí lưu trữ tăng ngoài dự tính, dù nội dung đó lẽ ra không nên được giữ lại. Thời hạn khóa nên được chọn theo nhu cầu khôi phục thực tế chứ không theo phản xạ chọn con số lớn nhất có thể.

Thêm yêu cầu khôi phục đã kiểm chứng

Biến thể thứ hai bổ sung một điều kiện mà nhiều tổ chức vẫn coi là tùy chọn: số lỗi khôi phục phải bằng không, tức là bản sao chỉ được tính là hợp lệ sau khi đã có một lần khôi phục thành công và được xác nhận. Không phải xác nhận rằng tác vụ chạy xong, mà xác nhận rằng dữ liệu sau khi phục hồi mở được, ứng dụng khởi động được, và người dùng nghiệp vụ nhìn thấy đúng thứ họ mong đợi.

Đây là thay đổi có tác động lớn nhất trong tất cả các biến thể, và cũng là thay đổi bị bỏ qua nhiều nhất, vì nó đòi hỏi thời gian con người chứ không chỉ dung lượng lưu trữ. Một bản sao chưa từng được khôi phục là một giả định, không phải một tài sản.

Tách rời sâu hơn giữa các bản sao

Một số đội mở rộng theo hướng khác: tăng số bản sao và trải ra nhiều nhà cung cấp hoặc địa điểm hơn, chấp nhận chi phí quản trị cao hơn để loại bỏ điểm phụ thuộc chung cuối cùng. Cách này hợp lý với dữ liệu mà mất đi thì doanh nghiệp không thể tiếp tục hoạt động, nhưng áp dụng đại trà sẽ tạo ra một hệ thống phức tạp đến mức chính sự phức tạp đó trở thành rủi ro.

Đọc lại hai khái niệm cũ trong bối cảnh đám mây

Nếu bạn giữ lại đúng một ý từ bài viết này, hãy giữ ý sau: hãy đánh giá tính độc lập của bản sao theo câu hỏi một sự cố duy nhất có thể phá hủy những bản nào, chứ không theo nhãn dán của dịch vụ.

• Phương tiện khác nhau trong môi trường đám mây nên được hiểu là lớp lưu trữ khác, mặt phẳng điều khiển khác, hoặc nhà cung cấp khác, chứ không chỉ là hai vùng lưu trữ khác tên trong cùng một tài khoản.
• Ngoài site nên được hiểu là ngoài phạm vi quyền hạn hiện tại, không chỉ ngoài phạm vi địa lý. Bản sao mà thông tin xác thực sản xuất có thể xóa được thì chưa thực sự nằm ngoài tầm với.
• Độc lập bao gồm cả độc lập về vận hành. Nếu cùng một tập lệnh tự động tạo và dọn dẹp mọi bản sao, thì một lỗi trong tập lệnh đó là một sự cố đơn lẻ chạm tới tất cả.
• Sao chép không phải sao lưu. Cơ chế nhân bản đồng bộ tồn tại để chống hỏng hạ tầng, nó truyền cả thao tác xóa và cả dữ liệu đã bị mã hóa bởi mã độc, và nó không cho bạn quay lại thời điểm trước sự cố.

Cái giá của việc áp dụng quá mức

Phần ít được nói tới của quy tắc 3-2-1 là nó tốn kém, và chi phí không chỉ nằm ở hóa đơn lưu trữ. Mỗi bản sao thêm vào đều sinh ra chi phí truyền dữ liệu, cửa sổ thời gian chạy tác vụ, công sức giám sát, và thêm một thứ có thể hỏng lúc nửa đêm mà ai đó phải xử lý.

Áp dụng đồng loạt cho mọi thứ là một dạng lãng phí âm thầm. Không phải dữ liệu nào cũng xứng đáng với ba bản sao và một bản bất biến. Những thứ thường bị bảo vệ quá mức gồm máy chủ môi trường phát triển dựng lại được từ mã nguồn, tệp tạm và bộ nhớ đệm sinh ra lại được, bản sao của dữ liệu vốn đã có bản gốc được bảo vệ đầy đủ ở nơi khác, và nhật ký chi tiết đã hết giá trị phân tích.

Vấn đề nghiêm trọng hơn tiền bạc: khi mọi thứ đều được đối xử như nhau, không còn gì thực sự được ưu tiên. Cửa sổ sao lưu bị lấp đầy bởi dữ liệu không quan trọng, khiến dữ liệu quan trọng chạy muộn hoặc chạy thưa hơn. Cảnh báo từ những tác vụ không đáng bận tâm làm đội vận hành mất phản xạ với cảnh báo thật. Và ngân sách kiểm thử khôi phục, vốn luôn hạn hẹp, bị chia đều thay vì dồn vào nơi thất bại sẽ gây thiệt hại thực sự.

Phân tầng dữ liệu trước khi áp dụng quy tắc

Cách làm bền vững là chia dữ liệu thành vài tầng theo hậu quả của việc mất nó, rồi áp dụng mức bảo vệ tương ứng. Bảng dưới đây là khung tham khảo để bắt đầu thảo luận, không phải cấu hình khuyến nghị cho mọi tổ chức.

Tầng	特点	Mức bảo vệ tương ứng
Trọng yếu	Mất đi thì hoạt động kinh doanh dừng lại hoặc không thể tái tạo	Đủ ba bản sao, có bản bất biến, kiểm chứng khôi phục theo lịch cố định
Quan trọng	Gây gián đoạn đáng kể nhưng có thể tái tạo với chi phí chấp nhận được	Đủ ba bản sao, một bản tách khỏi quyền hạn sản xuất, kiểm chứng định kỳ
支持	Tái tạo được từ nguồn khác trong thời gian ngắn	Một bản sao lưu, kiểm chứng khi có thay đổi lớn về kiến trúc
Tạm thời	Sinh ra lại được, không có giá trị lịch sử	Không sao lưu, ghi rõ quyết định này trong tài liệu

Bắt đầu từ đâu

Ba việc sau cho kết quả nhanh nhất. Thứ nhất, liệt kê các bản sao của một hệ thống quan trọng và trả lời thẳng thắn xem một bộ thông tin xác thực bị chiếm quyền xóa được bao nhiêu bản. Thứ hai, khôi phục thật một hệ thống vào môi trường tách biệt, ghi lại thời gian và mọi trở ngại. Thứ ba, tìm ra thứ đang được sao lưu mà không ai còn cần đến.

Quy tắc 3-2-1 vẫn là điểm khởi đầu tốt sau nhiều năm, với điều kiện bạn coi nó là câu hỏi cần trả lời chứ không phải ô cần đánh dấu. Ba bản sao của thứ không ai khôi phục được vẫn là con số không.

HiTechCloud có thể hỗ trợ gì

HiTechCloud là đối tác của AWS và Google Premier Partner, đồng thời vận hành hạ tầng đặt trong nước. Chúng tôi hỗ trợ doanh nghiệp rà soát hiện trạng sao lưu, phân tầng dữ liệu theo mức độ ảnh hưởng, thiết kế cấu trúc bản sao có tách biệt về quyền hạn và bổ sung lớp lưu trữ bất biến khi cần, cũng như xây dựng quy trình kiểm chứng khôi phục định kỳ có ghi nhận kết quả. Nếu bạn muốn đối chiếu chiến lược hiện tại với các rủi ro thực tế của mình, đội ngũ của chúng tôi có thể cùng bạn thực hiện một đợt rà soát.