Immutable Backup и HBR — «гигиенический минимум» для защиты данных

Предыдущие статьи по теме можно прочитать здесь и здесь. 

Развивая тему защиты данных, мы внедрили два сервиса, которые реализуют концепцию Zero Trust Data Management. Это ответ на типовой сценарий современной атаки: когда злоумышленник, скомпрометировав административную учетную запись, в первую очередь пытается уничтожить резервные копии. Традиционная архитектура, где продуктивные системы и репозитории резервных копий входят в один домен администрирования, стала слишком уязвимой. Наше решение — создание архитектурного разрыва между продуктивом и системой хранения копий. Для этого мы предлагаем два типа сервисов.

Immutable Backup — для гарантированной неизменяемости данных. Система гарантирует неизменность данных на заданный период (Retention Policy). В течение этого срока никакие операции модификации или удаления невозможны даже на наивысшем уровне привилегий. Даже если хакер получит root-права или административный доступ к консоли Veeam, он получит отказ при попытке «подчистить» архивы.

Hardened Backup Repository (HBR) - не просто «дисковое пространство», а специализированный узел (single-purpose appliance), построенный на трех принципах:

1. Изоляция прав доступа: Репозиторий работает с применением Single-use credentials. Учетные записи используются только в момент развертывания компонентов (Data Mover) и не сохраняются в системе. У злоумышленника просто нет «ключей», которые можно украсть из конфигов.
2. Блокировка векторов управления: после настройки репозиторий переводится в режим изолированного узла. Все средства удаленного администрирования, включая SSH, отключаются на уровне конфигурации и сетевого стека. Это устраняет интерактивные каналы управления — эксплуатировать уязвимости хоста становится невозможно.
3. Двухуровневый Immutability Flag: Мы используем файловую систему XFS с immutable-атрибутами, поверх которых Veeam включает собственный Retention Lock. Эта связка блокирует изменение объекта на уровне ядра системы, не позволяя даже администратору сократить срок хранения копий.

Сервис естественным образом интегрируются с экосистемой Veeam что позволяет вынести резервный контур за пределы домена безопасности клиента. В итоге, даже если Active Directory заказчика полностью скомпрометирован, резервные копии остаются в физически и логически изолированном «сейфе». В современных реалиях это тот «гигиенический минимум», который гарантирует бизнесу выживание после любой атаки шифровальщика или взлома домена администрирования.