Резервное копирование данных: правило 3-2-1 и защита от ransomware

94% компаний, потерявших данные на срок более 10 дней, становятся банкротами в течение года. Половина атак ransomware в 2024 году уничтожила резервные копии вместе с основными данными. Правило 3-2-1 — не теория, а минимальный стандарт, который реально работает.

Правило резервного копирования 3-2-1: суть

Правило 3-2-1 сформулировал фотограф и автор Питер Коу — и оно применимо к любым данным. Логика проста: для каждого из трёх требований нужна отдельная причина, и только вместе они дают надёжную защиту.

Почему обычный backup не защищает от ransomware

Ransomware (программы-вымогатели) стали главной угрозой для бизнеса в 2024 году. Средний выкуп — $1.54 млн, среднее время простоя после атаки — 22 дня. Но главная проблема: современный ransomware специально ищет и шифрует резервные копии.

Вот как это происходит: вредонос попадает в сеть (обычно через фишинг), несколько недель изучает инфраструктуру, находит backup-серверы, NAS, облачные хранилища — и только потом шифрует всё разом. К этому моменту в ваших «свежих» резервных копиях уже лежат зашифрованные данные или сам вымогатель.

Что реально защищает: иммутабельный backup

Иммутабельный backup — копия, которую нельзя изменить или удалить в течение заданного срока. Три способа реализации:

• WORM-хранилище (Write Once Read Many)

  Физически или программно запрещает перезапись. Данные можно только дочитать. После записи — неизменяемы на заданный срок (30, 90, 365 дней).

• Offline-копия

  Лента, внешний диск или отдельный сервер без постоянного сетевого подключения. Ransomware не может добраться до устройства, которое выключено или не в сети.

• Воздушный зазор (Air Gap)

  Физически изолированная копия в другой локации — в ЦОД, у другого провайдера, в другой стране. Без VPN-туннеля к основной сети — только физический транспорт или строго контролируемый канал.

Где хранить резервные копии: сравнение вариантов

Типичные ошибки в организации backup

• Ошибка: Backup на тот же сервер

  Если диск умрёт или сервер изъяли — потеряете и данные, и резервную копию.

• Ошибка: Backup в ту же локальную сеть

  Ransomware за минуты обходит всю доступную из заражённого узла сеть и шифрует backup.

• Ошибка: Только одна копия

  Один диск — одна точка отказа. При обнаружении повреждения восстановиться невозможно.

• Ошибка: Не проверяют восстановление

  30–40% backup оказываются неработоспособными при первой реальной попытке восстановления (по данным Gartner).

• Ошибка: Нет мониторинга заданий

  Задание backup может молча падать неделями — вы об этом узнаёте только при катастрофе.

RTO и RPO: как измерять качество backup

Два ключевых показателя, которые должны быть зафиксированы в политике резервного копирования:

Пошаговый план: внедрить правило 3-2-1 за 2 недели

1. 01

   Инвентаризация данных

   Определите, какие данные критичны и какие RPO/RTO для них допустимы. Не все данные одинаково ценны — это сэкономит бюджет на хранение.

2. 02

   Настройте локальный backup

   Ежедневный backup на локальный NAS или SAN с ротацией 7 дней. Убедитесь, что backup-сервер в отдельном VLAN без доступа к нему с рабочих станций.

3. 03

   Добавьте второй носитель

   Объектное хранилище (S3-совместимое) или лентовый архив. Разные технологии — разные риски отказа.

4. 04

   Организуйте внешнюю копию

   Ежедневная или еженедельная репликация в ЦОД или объектное хранилище вне вашей сети. Для данных, подпадающих под 152-ФЗ, убедитесь, что локация на территории РФ.

5. 05

   Включите иммутабельность

   Настройте Object Lock или WORM на внешнем хранилище. Минимальный срок — 30 дней. Это защита от ransomware, который успел добраться до backup.

6. 06

   Тест восстановления

   Восстановите тестовую базу данных или сервер из backup. Запланируйте такой тест раз в квартал и после каждого крупного изменения инфраструктуры.

Частые вопросы о резервном копировании