Sao lưu 3-2-1 chống ransomware: bản online có thể bị xóa

Hướng dẫn của HHS mô tả sao lưu 3-2-1 là giữ ba bản dữ liệu, gồm bản chính và hai bản dự phòng, trên hai loại phương tiện, với ít nhất một bản ở ngoài địa điểm; tài liệu cũng cảnh báo ransomware có thể xóa hoặc làm gián đoạn bản sao trực tuyến. Muốn còn đường khôi phục khi hệ thống chính bị chiếm quyền, hãy đặt ít nhất một bản ngoài tầm xóa của tài khoản trong hệ thống đó, đồng thời thử khôi phục định kỳ.

Vị trí lưu không quyết định toàn bộ rủi ro: kho ở địa điểm khác vẫn có thể bị xóa nếu kẻ tấn công lấy được quyền quản trị kho. Cẩm nang của Cục An toàn thông tin mô tả cách kẻ tấn công dùng thông tin xác thực để xóa hoặc mã hóa bản sao lưu và khuyến nghị giữ bản ngoại tuyến. Cẩm nang này gọi ba bản là ba bản sao lưu dự phòng, nhiều hơn cách đếm của HHS; khi lập kế hoạch, cần ghi rõ bản chính có được tính vào tổng số hay không.

Kiểm kê thứ cần phục hồi

Bắt đầu bằng từng dịch vụ cần đưa trở lại hoạt động, không chỉ bằng danh sách ổ đĩa. Một dòng kiểm kê nên có tên dịch vụ, người phụ trách, nơi giữ bản chính và các bản dự phòng, loại dữ liệu, tần suất thay đổi, thứ tự phục hồi và những thành phần cần để mở dữ liệu. Hãy ghi riêng mức dữ liệu mới phát sinh có thể chấp nhận mất và thời gian dịch vụ có thể ngừng; hai giới hạn này quyết định lịch sao lưu và cách thử khôi phục.

Chẳng hạn, một bản chép cơ sở dữ liệu có thể vô dụng nếu thiếu khóa giải mã hoặc không thể ghép với cấu hình ứng dụng tương ứng. Với mỗi dịch vụ, hãy ghi nơi giữ bản cài đặt, cấu hình, thông tin cấp phép và khóa cần thiết, cùng người có quyền lấy chúng khi hệ thống quản trị thông thường không hoạt động. Bản kiểm kê cũng nên chỉ ra thành phần nào dùng chung giữa nhiều dịch vụ: nếu thành phần đó phải phục hồi trước, thứ tự khôi phục cần phản ánh sự phụ thuộc ấy.

Chọn bản ngoài địa điểm và bản tách khỏi mạng

Một cấu hình tham khảo gồm dữ liệu đang dùng, bản dự phòng để khôi phục nhanh và bản dự phòng tách khỏi môi trường vận hành. Bản khôi phục nhanh có thể ở NAS hoặc kho trực tuyến; bản còn lại có thể ở phương tiện tháo rời và được cất tại địa điểm khác. Đây là ví dụ thiết kế. Hãy vẽ đường truy cập từ máy chủ và các tài khoản quản trị đến từng kho: nếu cùng một tài khoản có thể xóa cả hai bản dự phòng, việc đặt chúng ở hai nơi chưa giải quyết được nguy cơ đang xét.

Bản ngoài địa điểm giúp xử lý sự cố tại nơi đặt dữ liệu chính; bản ngoại tuyến giảm đường truy cập của kẻ tấn công qua mạng. Nếu dùng ổ tháo rời, lịch phải ghi ai kết nối ổ để sao lưu, ai xác nhận tác vụ hoàn tất, thời điểm ngắt kết nối và nơi cất ổ. Ổ vẫn cắm vào máy sao lưu sau tác vụ là bản còn truy cập được qua máy đó. Cũng cần tính cách vận chuyển và giữ phương tiện an toàn để có thể lấy lại khi cần phục hồi.

Nếu phải duy trì bản dự phòng trực tuyến, hãy xem kho có giữ được phiên bản không thể sửa hoặc xóa trong thời hạn đã định, có trì hoãn thao tác xóa và có báo động khi chính sách lưu giữ thay đổi hay không. Kiểm tra cả quyền rút ngắn thời hạn ấy: một tính năng bất biến sẽ kém giá trị nếu tài khoản bị chiếm có thể tắt nó trước khi xóa dữ liệu. Kế hoạch nên chỉ rõ phiên bản cũ được lấy ra bằng đường nào khi giao diện quản trị thông thường không còn đáng tin cậy.

Tách quyền gửi dữ liệu khỏi quyền xóa kho

Nguyên tắc của NCSC khuyến nghị dùng thông tin xác thực quản trị sao lưu riêng với tài khoản quản trị mạng, áp dụng xác thực nhiều yếu tố cho yêu cầu sửa hoặc hủy dữ liệu, và cảnh báo khi có thao tác xóa hàng loạt hoặc thay đổi thời hạn lưu. Từ đó, sơ đồ quyền tối thiểu nên phân biệt tài khoản gửi bản sao, tài khoản quản trị kho và người được phép phê duyệt thay đổi có thể phá hủy bản dự phòng.

Tài khoản gửi dữ liệu chỉ cần quyền cần thiết để hoàn tất tác vụ; quyền xóa hàng loạt, đổi chính sách lưu giữ hoặc quản lý khóa giải mã thuộc phạm vi riêng. Kênh nhận cảnh báo phải còn hoạt động khi mạng chính gặp sự cố, nếu không việc trì hoãn xóa có thể hết hạn trước khi có người xử lý. Với bản ngoại tuyến, ghi rõ người giữ phương tiện và người được phép lấy ra; mật khẩu và phương thức xác thực để phục hồi cũng không nên phụ thuộc hoàn toàn vào một tài khoản quản trị của hệ thống chính.

Ấn định lịch sao lưu và thời hạn giữ phiên bản

Lịch sao lưu nên đi từ giới hạn mất dữ liệu đã ghi trong bản kiểm kê. Dữ liệu thay đổi nhanh cần khoảng cách giữa các lần sao lưu phù hợp với giới hạn đó; dịch vụ ít thay đổi có thể dùng lịch thưa hơn. Với từng bản, ghi thời điểm chạy, người theo dõi kết quả, thời điểm bản ngoại tuyến được cập nhật và ngày dự kiến hết hạn của phiên bản. Nếu một bản an toàn nhưng quá cũ để đáp ứng nhu cầu phục hồi, phải điều chỉnh lịch hoặc chấp nhận rõ khoảng dữ liệu có thể mất.

Giữ phiên bản theo một khoảng thời gian đã chọn giúp quay về trước lúc dữ liệu bắt đầu hỏng. Nếu kho chỉ giữ một số lượng bản cố định, các lần sao lưu mới chứa dữ liệu lỗi có thể lần lượt đẩy hết bản tốt ra ngoài. Vì vậy, cần chọn thời hạn dựa trên khả năng phát hiện sự cố và dung lượng kho, rồi theo dõi tác vụ thất bại, dung lượng gần đầy và thay đổi chính sách lưu giữ. Sau khi đổi lịch, hãy xác nhận bản tách biệt vẫn được tạo đúng hạn.

Thử khôi phục để phát hiện bản hỏng trước sự cố

Đặt lịch thử khôi phục định kỳ và thử lại sau thay đổi lớn ở ứng dụng hoặc cấu hình sao lưu. Mỗi lần thử cần chọn một phiên bản cụ thể, phục hồi vào môi trường sạch, rồi xác nhận dữ liệu mở được và dịch vụ chạy với cấu hình cần thiết. Ghi thời gian thực tế, dữ liệu phát sinh sau thời điểm của bản được chọn và mọi bước phải nhờ đến tài khoản, khóa hoặc nhà cung cấp bên ngoài. Trạng thái tác vụ sao lưu thành công chỉ cho biết tác vụ đã chạy, chưa chứng minh dịch vụ phục hồi được.

Đừng chỉ thử phiên bản mới nhất. Hãy chọn thêm một phiên bản cũ và thực hiện trọn đường phục hồi từ bản tách biệt: lấy phương tiện hoặc truy cập kho, giải mã, dựng dịch vụ và đối chiếu dữ liệu quan trọng. Bài thử này có thể lộ ra khóa không dùng được, bản chép thiếu thành phần, kho không đủ dung lượng hoặc thời gian phục hồi vượt giới hạn đã đặt. Ghi lỗi theo từng dịch vụ trong bản kiểm kê và thử lại sau khi sửa; đó là cách biết bản dự phòng thực sự dùng được trước khi phải dựa vào nó.

Đọc thêm: