3-2-1 dublējumu likums biznesa datu aizsardzībai

Ko nozīmē 3-2-1 dublējumu likums

3-2-1 likums ir vienkāršākais uzticamais standarts, kas pasargā biznesa datus no aparatūras kļūmēm, ransomware, nejaušas dzēšanas un objekta katastrofām. Tas nosaka, ka tev vienmēr jāglabā:

• 3 kopijas katram svarīgam datu kopumam (aktīvā kopija plus divi dublējumi).
• 2 dažādi datu nesēju veidi, lai vienas tehnoloģijas defekts nevar iznīcināt visas kopijas.
• 1 kopija ārpus objekta, fiziski atdalīta no tava biroja vai galvenā servera.

Loģika balstās uz varbūtību. Ja katrai kopijai ir neatkarīga iespēja tikt zaudētai, trīs kopijas uz diviem nesējiem divās vietās padara vienlaicīgu kļūmi ārkārtīgi maz ticamu.

Kāpēc viens dublējums nav pietiekams

Viena dublējuma kopija uz NAS tajā pašā telpā ir bezjēdzīga, tiklīdz notiek ugunsgrēks, zādzība, plūdi, strāvas pārspriegums vai ransomware, kas sasniedz tīkla mapi. Lielākā daļa reālu datu zudumu nav viens bojāts disks, bet gan korelēts notikums, kas skar oriģinālu un dublējumu vienlaikus. 3-2-1 likums pastāv tieši tāpēc, lai šo korelāciju pārrautu.

Kā piemērot likumu soli pa solim

1. kopija: produkcijas dati

Tas ir tavs aktīvais serveris, darbstacija vai datubāze. Tā neskaitās kā dublējums, lai cik dublēts būtu RAID masīvs. RAID pasargā no bojāta diska, bet ne no dzēšanas, korupcijas vai šifrēšanas.

2. kopija: lokālais dublējums

Glabā otro kopiju uz atsevišķas aparatūras savā tīklā ātrai atjaunošanai. Der NAS, atsevišķs dublējumu serveris vai ārējais disks. Automatizē to, lai tas darbojas bez atgādinājuma. Tipisks ikvakara dublējums ar restic:

restic -r /mnt/backup/repo backup /var/www /etc /home
restic -r /mnt/backup/repo forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune

3. kopija: kopija ārpus objekta

Nosūti vienu kopiju ārpus ēkas: uz otru datu centru, objektu krātuvi vai rotētu šifrētu disku, kas glabājas citur. Šifrē datus, pirms tie pamet tavu kontroli. Piemērs sinhronizācijai ar attālu serveri caur SSH:

restic -r sftp:backup@offsite.example.net:/srv/repo backup /var/www
# vai ar rsync vienkāršai failu spoguļošanai
rsync -avz --delete /var/www/ backup@offsite:/srv/mirror/www/

Divu nesēju prasība praksē

"Divi nesēji" mūsdienās reti nozīmē lenti plus disku. Parasti tas nozīmē divus neatkarīgus kļūmju domēnus: piemēram, vienu kopiju uz lokāla SSD un vienu attālā objektu krātuvē, vai NAS plus mākoņa dublējumu kontu. Būtība ir tāda, ka viena un tā pati firmware kļūda, viens un tas pats kontrolieris vai vienas un tās pašas ransomware akreditācijas nevar sasniegt abas.

Paplašinājums līdz 3-2-1-1-0

Mūsdienu prakse pievieno divus ciparus:

• 1 kopija bezsaistē vai nemaināma (fiziski atvienots disks vai objektu krātuve ar nemaināmības slēdzeni), lai ransomware to nevar pārrakstīt.
• 0 atjaunošanas kļūdu, kas nozīmē, ka katrs dublējums ir pārbaudīts un verificēts, nevis tikai pieņemts par derīgu.

Vienmēr testē atjaunošanu

Dublējums, ko tu nekad neesi atjaunojis, ir tikai cerība. Plāno reālas atjaunošanas pārbaudes vismaz reizi ceturksnī. Verificē integritāti automātiski pēc katras darbības:

restic -r /mnt/backup/repo check --read-data-subset 10%
restic -r /mnt/backup/repo restore latest --target /tmp/restore-test

Pēc tam pārliecinies, ka atjaunotie faili atveras, datubāze importējas un aplikācija startē.

Glabāšanas periods un 3-2-1 likums

Saglabā pietiekami daudz vēstures, lai vari atgriezties pirms problēmas, ko nepamanīji uzreiz. Klusa korupcija vai lēna ransomware šifrēšana var parādīties tikai pēc vairākām dienām. Vecvectēva-tēva-dēla shēma (katru dienu nedēļu, katru nedēļu mēnesi, katru mēnesi gadu) ir saprātīgs noklusējums un apmierina lielāko daļu GDPR un NIS2 atjaunošanas prasību.

Praktiskais secinājums

Pieraksti, kur atrodas tavas trīs kopijas, kurus divus nesējus tās izmanto un kura viena ir ārpus objekta. Automatizē visas trīs, šifrē visu, kas pamet ēku, glabā vienu kopiju nemaināmu un testē reālu atjaunošanu jau šajā ceturksnī. Ja tu tagad nevari nosaukt šīs lietas, tev vēl nav dublējuma, tev ir viens kļūmes punkts.