Věděli jste, že se hackeři začali zaměřovat na zálohy? Útoky už nemíří jen na servery, systémy nebo aplikace kritické pro chod firmy – podle studie společnosti Sophos se více než 94 % ransomwarových útoků pokusilo napadnout zálohy a více než polovina těchto útoků (57 %) byla bohužel úspěšná, což výrazně oslabilo schopnost organizací obnovit data.
Zajištění bezpečnosti záloh by proto mělo být pro podniky nejvyšší prioritou a jedním z nejspolehlivějších nástrojů je v tomto ohledu tzv. air-gapping, tedy izolace záloh zcela mimo síť. Logika je prostá – pokud je záloha offline, útočník se k ní jednoduše nemá jak dostat.
Největší jistotou je fyzická izolace, která však není efektivní z hlediska nákladů ani přístupu k datům. Při plánování zálohovací infrastruktury je důležité najít rovnováhu mezi bezpečností a schůdností a v dnešní době jsou naštěstí k dispozici nástroje, které nabízejí moderní přístup k offline zálohování.
Od fyzické k logické izolaci
V minulosti se pro offline zálohování používala fyzická izolace v tom smyslu, že se úložiště obsahující zálohy ručně odpojovalo od sítě nebo zcela vypínalo. Fyzická izolace se vztahovala také na zálohovací média, jako jsou pásky, které byly fyzicky skladovány ve vzdálených lokalitách. Tímto způsobem byla data „natvrdo“ oddělena od hlavního systému, zcela mimo dosah případných útočníků, pokud by se fyzicky nevloupali do vašich prostor.
Tento způsob izolace s sebou však přináší řadu problémů – náročnou údržbu, závislost na lidských zásazích a náchylnost k lidským chybám, nesnadné ověřování obnovitelnosti záloh a v neposlední řadě také zdlouhavou obnovu, zejména pokud je třeba fyzicky dojet pro média do jiné lokality.
Moderní offline zálohování proto volí jiný přístup a přesouvá se od fyzické izolace k logické. Co to znamená v praxi? Zálohovací systémy zůstávají připojeny k síti, ale jsou zaštítěny několika ochrannými vrstvami zajišťujících bezpečnost dat. Patří mezi ně například šifrování, mechanismy ověřování a řízení přístupů, neměnné zálohy zabraňují manipulaci s daty a jejich smazání nebo firewally omezují externí přístup k datům. Logický air-gapping je tak podstatně flexibilnější, škálovatelnější a snadněji spravovatelný než fyzická izolace.
| Fyzická izolace | Logická izolace | |
|---|---|---|
| Metoda | Fyzické odpojení: Vypojení ze sítě, vyjmutí médií nebo vypnutí zařízení pro naprosté oddělení dat od sítě. |
Logické odpojení: Zařízení zůstává připojené k síti, ale data jsou izolována řízením přístupů, šifrováním a firewally. |
| Zabezpečení | Útočník musí mít fyzický přístup k zařízení nebo médiu, aby mohl manipulovat se zálohami. | Vícevrstvá bezpečnostní opatření zajišťují robustní ochranu zálohovaných dat. |
| Správa | Vzdálená správa není možná, je vyžadován fyzický přístup k zařízení nebo médiu. | Vzdálená správa přes internet je možná, což vede k podstatně vyšší efektivitě. |
| Údržba | Servis vyžaduje fyzický přístup a ruční zásahy, což prodražuje provoz a zatěžuje IT správce. | Automatizace a vzdálený přístup výrazně snižují zátěž na IT personál. |
Jestliže tradiční metody fyzické izolace dat zajišťují úplné oddělení dat za cenu vyšších nákladů a nižší efektivity, moderní metody logické izolace dat umožňují dosáhnout rovnováhy mezi snadnou správou a ochranou dat. Při zavádění účinné strategie offline zálohování se však podniky nemusejí nutně rozhodovat mezi jedním či druhým – oba přístupy lze flexibilně kombinovat tak, aby vyhovovaly potřebám podniku.
Využijte fyzickou i logickou izolaci s ActiveProtect
Vzhledem k tomu, že podniky při implementaci řešení pro izolaci dat hledají bezpečnost a efektivitu, nabízí Synology ActiveProtect jak fyzický, tak logický air-gapping, čímž poskytuje firmám komplexní řešení.
ActiveProtect nabízí tři vrstvy ochrany pro izolaci dat na té nejpřísnější úrovni, a to i v běžném síťovém prostředí.
Ověřování uživatelů: Integrujte služby Windows AD a LDAP pro centralizaci správy uživatelů. Využijte víceúrovňové metody ověřování, jako je SSO, dvoufaktorové ověřování (2FA) a vícefaktorové ověřování (MFA), k posílení bezpečnosti přihlášení a zabránění neoprávněným přístupům.
Řízení přístupů podle rolí: Využijte řízení přístupů na základě granulárních oprávnění podle rolí a potřeb zaměstnanců, zabraňte zneužití oprávnění a zajistěte, aby autorizované akce mohli provádět pouze uživatelé s příslušným přístupem.
Ochrana neměnných dat: Díky integrované technologii WORM a inteligentnímu zamykání záloh na úrovni verzí nelze data během vámi stanovené lhůty měnit, mazat ani šifrovat. I v případě útoku ransomwarem tak zůstávají neporušená a přístupná.
Jak ActiveProtect optimalizuje izolaci
Pokud jde o samotnou izolaci, ActiveProtect nabízí výkonné nástroje, jež zajišťují nejvyšší úroveň zabezpečení a současně řeší problémy spojené s tradičními metodami fyzické izolace. Díky integrovaným kontrolám přenosu dat a automatizovaným izolačním funkcím posílí ActiveProtect vaši ochranu dat.
Při přenosu dat ze záložního serveru do externího úložiště systém omezuje přístup ke zdroji a přenos tak mohou provádět pouze autorizované servery, zatímco ty neautorizované k datům nemají přístup.
Na rozdíl od tradiční metody fyzické izolace dat, která vyžaduje ruční odpojení a vypnutí zařízení, se mohou podniky u řešení ActiveProtect spolehnout na plně automatizovaný air-gapping.
Díky logické izolaci si mohou podniky nastavit časy přenosů dat podle svého a v obdobích, kdy k přenosu nedochází, lze zálohovací zařízení zcela izolovat vypnutím síťového rozhraní nebo úplným vypnutím. Pokud jsou zálohy dokončeny dříve, než bylo plánováno, zařízení se automaticky vrátí do izolačního režimu, čímž se minimalizuje doba vystavení riziku.
Hlavní nevýhodou tradičního fyzického air-gappingu je to, že odpojené či zcela vypnuté zařízení není z logiky věci snadné spravovat. ActiveProtect toto řeší tím, že nabízí oddělený administrátorský port, jenž se nachází v zabezpečené a izolované síti, což znamená, že i když jsou běžné datové porty uzavřeny, IT týmy mohou kdykoliv provádět aktualizace, údržbu nebo nácviky obnovy v chráněném prostředí.
V době, kdy malware čím dál více cílí na zálohy, umožňuje ActiveProtect firmám využívat jak fyzickou, tak logickou izolaci záloh k vytvoření bezpečnější a robustnější infrastruktury pro ochranu dat.
Vše o Synology ActiveProtect zjistíte na webu Synology.