kopia zapasowa

Kopia zapasowa (backup) to kopia plików i programów wykonana po to, żeby w razie potrzeby umożliwić odtworzenie danych ^[1]. W bezpieczeństwie stron internetowych oznacza regularnie tworzoną kopię plików i bazy danych, przechowywaną poza serwerem strony i odizolowaną od reszty infrastruktury, razem z przetestowaną procedurą odtworzenia. Kopia, której nie da się przywrócić, nie spełnia swojej funkcji, dlatego CERT Polska zaleca sprawdzanie przywracania w praktyce, a nie tylko na papierze ^[5].

Jak działa

Kopia zapasowa ma sens tylko razem z odtworzeniem. Cykl obejmuje wykonanie kopii, przeniesienie jej w bezpieczne miejsce, sprawdzenie i próbne przywrócenie. Każdy etap może zawieść osobno: kopia może być niepełna, zapisana obok oryginału albo niemożliwa do rozpakowania.

RYS. 1Cykl kopii zapasowej

Dwa parametry opisują, czego oczekuje się od kopii. RPO określa, ile danych wolno stracić, czyli jak stara może być ostatnia kopia. RTO określa, jak szybko usługa ma wrócić do działania. Oba należą do szerszego planu, jakim jest disaster recovery (DR) i plan ciągłości działania.

Składniki i odmiany

Najbardziej znaną regułą jest 3-2-1, opisana w poradniku US-CERT z 2012 roku: trzy kopie każdego ważnego pliku (jedna podstawowa i dwie zapasowe), na dwóch różnych rodzajach nośników, z czego jedna przechowywana poza siedzibą ^[3]. Ten sam poradnik zwraca uwagę na ryzyko kopii nadpisywanych na bieżąco: uszkodzenie albo złośliwe oprogramowanie w plikach podstawowych może bez ostrzeżenia przejść do kopii ^[3].

CISA zaleca przechowywanie kopii krytycznych danych offline i w postaci zaszyfrowanej oraz regularne sprawdzanie ich dostępności i integralności ^[4]. Dla kopii w chmurze wskazuje rozwiązania wielochmurowe i przechowywanie niezmienne ^[4], czyli kopia niezmienna (immutable backup). Kopia nie musi obejmować wyłącznie danych. CISA radzi utrzymywać i aktualizować tak zwane złote obrazy krytycznych systemów, czyli gotowe do wdrożenia obrazy z systemem operacyjnym i oprogramowaniem ^[4]. Zaleca też przechowywać offline szablony infrastruktury jako kodu, kod źródłowy lub pliki wykonywalne aplikacji i licencje, żeby w razie potrzeby szybko odbudować środowisko ^[4]. W przypadku strony internetowej odpowiada temu zachowanie konfiguracji serwera i wersji komponentów obok samych plików i bazy. Szyfrowanie kopii chroni ją przed odczytem, jeśli trafi w niepowołane ręce.

W WordPressie

Strona WordPress składa się z dwóch części, które trzeba zabezpieczyć osobno. Dokumentacja WordPress.org wymienia pliki: rdzeń, wtyczki, motywy, obrazy i inne pliki, kod JavaScript i PHP oraz dodatkowe strony statyczne ^[2]. Baza danych zawiera wpisy i wiele danych generowanych przez stronę, ale nie te elementy ^[2]. W typowej instalacji kopia katalogu nie obejmuje bazy, bo baza znajduje się poza nim; trzeba ją wyeksportować do pliku .sql, .gz albo .bz2 ^[2].

Dokumentacja zaleca kopię raz w tygodniu dla mniejszych stron i codziennie dla stron o dużej aktywności ^[2]. Radzi trzymać co najmniej 3–5 ostatnich kopii w różnych miejscach, na przykład na serwerze, w chmurze i na komputerze lokalnym ^[2]. Kopia katalogu powinna objąć rdzeń, motywy, wtyczki, katalog uploads, plik wp-config.php i .htaccess ^[2]. Przed każdą aktualizacją, także przy aktualizacji rdzenia WordPressa, dokumentacja zaleca wykonanie kopii, żeby w razie problemów przywrócić stronę ^[8].

Wtyczki do kopii nie zawsze zapisują je bezpiecznie. UpdraftPlus domyślnie przechowuje kopie na serwerze hostingu, w folderze wewnątrz wp-content, a jego dokumentacja zaleca przechowywanie ich poza serwerem ^[6]. Kopia leżąca w katalogu WWW jest sama zagrożeniem, o czym niżej.

# eksport bazy i archiwum plików (ilustracja)
mysqldump -u uzytkownik -p baza > baza.sql
tar -czf strona.tar.gz /var/www/example.com

Znaczenie i zagrożenia

Kopia zapasowa jest ostatnią linią obrony przed utratą danych. Po włamaniu pozwala wrócić do stanu sprzed ataku w ramach przywrócenia działania i czyszczenia przejętej strony. Trzeba jednak wybrać kopię sprzed pierwszych śladów włamania, bo kopia wykonana po nim zawiera już tylną furtkę.

Ransomware. CISA podkreśla, że kopie muszą być offline, bo wiele odmian ransomware szuka dostępnych kopii i je kasuje albo szyfruje ^[4]. CERT Polska w lutym 2022 roku zalecał, żeby kopie były odizolowane i nie ucierpiały przy ataku na resztę infrastruktury ^[5].

Wyciek przez kopię. Kopia zawiera wszystko, co strona: bazę, konta użytkowników i dane dostępowe. MITRE opisuje jako słabość CWE-530 plik kopii przechowywany tam, gdzie mają do niego dostęp nieuprawnione osoby ^[7]. Kto pobierze taką kopię, ma wszystkie zapisane w niej informacje ^[7]. To prowadzi do wycieku danych, a przy danych osobowych do naruszenia ochrony danych osobowych w rozumieniu RODO.

RYS. 2Kopia jako źródło wycieku

Dobre praktyki

• Przechowywać kopie poza serwerem strony, zgodnie z regułą 3-2-1 ^[3], z co najmniej jedną kopią offline ^[4].
• Regularnie testować procedury tworzenia i odtwarzania kopii ^[4], w praktyce na wybranych systemach ^[5].
• Nie zostawiać archiwów w katalogu WWW; polityka zakazująca trzymania kopii kodu w katalogu WWW to zabezpieczenie wskazane w CWE-530 ^[7]. Takie pliki wykrywa parametr publicznie dostępnych plików wrażliwych.
• Szyfrować kopie i ograniczać dostęp do nich według zasady najmniejszych uprawnień.
• Przenosić kopie bezpiecznym kanałem, na przykład przez SFTP.