Neměnné úložiště: co chrání a co ne

Neměnné (immutable) úložiště záloh je dnes standardní odpověď na ransomware. Chrání velmi dobře jednu věc: aby zálohu v době retence nikdo nesmazal, nepřepsal ani nezašifroval, ani správce samotného úložiště. Rozdíl mezi řešeními přitom není v tom, zda neměnnost „mají“, ale kdo a jak ji dokáže obejít.

Co neměnnost znamená

Kopie je neměnná, když ji do uplynutí stanovené doby nedokáže změnit ani smazat nikdo, včetně toho, kdo úložiště spravuje. Neměnnost nepřináší zálohovací software, ale cílové úložiště: objektové úložiště se zámkem objektů, zabezpečený linuxový repozitář, deduplikační zařízení, diskové pole, cloudová služba nebo páska WORM (Write Once Read Many).

Měkký a tvrdý režim

Většina řešení má měkčí a tvrdší režim, jen je jinak pojmenovává: governance a compliance, v cloudu „zapnuto“ a „uzamčeno“. V měkkém režimu může účet se zvláštním oprávněním zámek zrušit. Chrání tedy před omylem, ne před ukradeným účtem, a právě kvůli němu se neměnnost nasazuje. V tvrdém režimu lhůtu nezkrátí nikdo, ani správce. Z konzole přitom rozdíl na první pohled vidět není.

Kdo ji přesto obejde

root na linuxovém repozitáři, ať se k serveru dostane jakkoli,
správce zařízení, pokud je zámek v měkkém režimu,
kdokoli, kdo posune čas. Retence se počítá podle hodin úložiště, a když se posunou dopředu, lhůta vyprší dřív.

Co neměnnost nechrání

Data poškozená už při zálohování. Uzamkne se zdravá i zašifrovaná záloha.
Katalog. Když jde změnit katalog zálohovacího softwaru, data sice zůstanou, ale nikdo neví, co v nich je.
Nové zálohy. Kdo ovládne zálohovací software, existující kopie nezničí, ale může zastavit vytváření nových.
Krátkou retenci. Pokud útok odhalíte za šest týdnů a retence je čtrnáct dní, chráníte už jen stav po průniku.

Tvrdý režim má i svou cenu. Špatně nastavenou retenci nejde vzít zpět, kapacita se neuvolní a právo na výmaz podle GDPR nelze splnit smazáním. Patří to do návrhu, ne do reakce.

Neměnnost chrání data před změnou, ne přístup k nim. Proto se doplňuje s oddělením, viz článek o air-gapu.

Na co se zeptat

V jakém režimu je váš zámek a kdo ho může zrušit?
Čím je vynucený čas, podle kterého se retence počítá?
Kdy jste z neměnné zálohy naposledy obnovili celou službu?

Neměnnost, kterou nikdo nezkusil obejít, je jen deklarovaná. Ověří ji pokus o obejití a obnova z uzamčené kopie, ne pohled do konfigurace.

Souvisí se službou Posouzení a návrh.

Všechny články