kopia niezmienna (immutable backup)

Kopia niezmienna (immutable backup) to kopia zapasowa (backup) zapisana tak, że przez zadany czas nie da się jej nadpisać ani usunąć, nawet z konta administratora. Mechanizmy tego typu opierają się na modelu WORM (write once, read many): dane zapisuje się raz, a potem można je tylko odczytywać ^[2]. Celem jest kopia, która przetrwa atak ransomware. CISA ostrzega, że wiele odmian ransomware szuka dostępnych kopii zapasowych, a potem je usuwa albo szyfruje, aby odtworzenie danych bez okupu było niemożliwe ^[1].

Jak działa

Niezmienność zapewnia system przechowywania, a nie program tworzący kopię. Przy zapisie obiekt dostaje blokadę z datą, do której nie można go usunąć ani zmienić. W Amazon S3 funkcja Object Lock chroni obiekty przed usunięciem lub nadpisaniem na stały lub zmienny okres, albo bezterminowo ^[2]. W Azure Blob Storage dane objęte polityką retencji można tworzyć i odczytywać, ale nie modyfikować ani usuwać; okres retencji wynosi od jednego dnia do 146 000 dni ^[3].

RYS. 1Cykl życia kopii niezmiennej

Blokada działa na poziomie wersji obiektu. Object Lock wymaga włączonego wersjonowania, a zapis pliku o tej samej nazwie tworzy nową wersję, podczas gdy chroniona wersja pozostaje zablokowana ^[2]. Zwykłe żądanie usunięcia bez numeru wersji dodaje tylko znacznik usunięcia; próba trwałego usunięcia chronionej wersji kończy się błędem 403 ^[2].

Odmiany

Kopia niezmienna ma kilka postaci, różniących się tym, kto może zdjąć ochronę.

Tryb governance chroni przed większością użytkowników, ale nie przed napastnikiem, który przejmie konto z uprawnieniem obejścia. Tryb compliance i zablokowana polityka Azure chronią także przed administratorem. Niebezpiecznik opisuje migawki jako ochronę bloków pamięci przed nadpisaniem: każda edycja jest zapisywana w innych blokach ^[4]. Pokrewna, ale nie tożsama, jest kopia fizycznie odłączona od sieci, czyli air gap.

W WordPressie

Dokumentacja WordPressa przypomina, że kopia strony ma dwie części, bazę danych i pliki, i do pełnego odtworzenia potrzebne są obie ^[6]. Zaleca trzymanie od trzech do pięciu ostatnich kopii w różnych miejscach, na przykład na serwerze, w chmurze i na komputerze lokalnym ^[6]. Kopia na tym samym serwerze nie jest jednak niezmienna. Napastnik, który przejmie konto administratora albo wgra webshell, może ją usunąć razem ze stroną.

W praktyce wtyczka do kopii zapasowych wysyła archiwum do zewnętrznego magazynu obiektów, na którym włączono blokadę. Ważne są dwa szczegóły. Po pierwsze, klucz dostępu zapisany we wtyczce powinien pozwalać tylko na zapis nowych obiektów, bez prawa do obejścia blokady i zmiany polityki; to zastosowanie zasady najmniejszych uprawnień. Po drugie, okres retencji musi być dłuższy niż czas, w którym włamanie może pozostać niewykryte. Kopia zablokowana na siedem dni nie pomoże, jeśli tylna furtka działała na stronie od miesiąca i trafiła do każdej kopii.

Znaczenie

Kopia niezmienna wypełnia lukę, którą zostawiają zwykłe kopie. Niebezpiecznik opisuje ransomware szyfrujący nie tylko lokalne dane, ale też zasoby sieciowe dostępne dla zalogowanego użytkownika, w tym składowane na nich kopie bezpieczeństwa ^[4]. Cytowany przez Niebezpiecznika ekspert ESET zauważa, że kopie bywają niekompletne, przestarzałe albo same padają ofiarą ataku ^[5]. Przy podwójnym wymuszeniu kopia przywraca dane, ale nie cofa ich wycieku.

Wymogi prawne idą w tym samym kierunku. Rozporządzenie wykonawcze (UE) 2024/2690 do dyrektywy NIS2 wymaga przechowywania kopii online lub offline w bezpiecznym miejscu poza siecią chronionego systemu, kontroli dostępu do kopii, regularnych kontroli ich integralności i regularnych testów odzyskiwania ^[7]. Kopia niezmienna jest jednym ze sposobów spełnienia tych wymogów, ale rozporządzenie jej nie nakazuje.

CISA zaznacza ograniczenia: niezmienny magazyn w chmurze nie spełnia kryteriów zgodności niektórych regulacji, a błędna konfiguracja może generować znaczne koszty ^[1]. Okresu retencji w trybie compliance nie da się skrócić ani zmienić trybu, więc pomyłki w konfiguracji nie można cofnąć do końca tego okresu ^[2].

Dobre praktyki

• Stosowanie reguły 3-2-1, którą Niebezpiecznik przytacza jako trzy kopie ważnych danych, z czego dwie na różnych nośnikach i jedna poza centrum przetwarzania danych ^[5]; jedną z kopii może być kopia niezmienna.
• Szyfrowanie kopii i trzymanie ich offline, jak zaleca CISA ^[1].
• Regularne testy odtwarzania, bo zablokowana kopia, której nie da się przywrócić, nie ma wartości; CISA zaleca sprawdzanie dostępności i integralności kopii w scenariuszu awarii ^[1].
• Dopasowanie okresu retencji do RPO i planu disaster recovery (DR), a testy konfiguracji najpierw w trybie governance ^[2] lub z odblokowaną polityką ^[3].