รู้หรือไม่ว่า ปัจจุบันแฮกเกอร์มุ่งโจมตีระบบสำรองข้อมูลโดยตรง ไม่ได้มุ่งเป้าเพียงเซิร์ฟเวอร์ ระบบภายในองค์กร หรือแอปพลิเคชันที่มีความสำคัญต่อธุรกิจอีกต่อไป จากผลการศึกษาของ Sophos พบว่า ผู้โจมตีพยายามเจาะระบบสำรองข้อมูลในกว่า 94% ของการโจมตีด้วยแรนซัมแวร์ และกว่าครึ่งหนึ่งของความพยายามดังกล่าว (57%) ประสบความสำเร็จ ซึ่งส่งผลกระทบอย่างมากต่อความสามารถขององค์กรในการกู้คืนข้อมูล
การรักษาความปลอดภัยของข้อมูลสำรองจึงกลายเป็นหนึ่งในภารกิจสำคัญอันดับต้นๆ ขององค์กร และนี่คือบทบาทของการสำรองข้อมูลแบบออฟไลน์ (Offline Backup) ซึ่งแยกข้อมูลออกจากเครือข่ายทางกายภาพ ทำให้แรนซัมแวร์ไม่สามารถเข้าถึงข้อมูลสำรองได้ และช่วยสร้างแนวป้องกันจากการโจมตีด้วยแรนซัมแวร์
การแยกข้อมูลทางกายภาพ (Physical isolation) เป็นวิธีที่มีประสิทธิภาพในการรักษาความปลอดภัยของข้อมูล แต่มีข้อจำกัดทั้งด้านความคุ้มค่าและความสะดวกในการเข้าถึงข้อมูล เมื่อความต้องการด้านข้อมูลของธุรกิจเปลี่ยนแปลงไป วิธีการสำรองข้อมูลแบบออฟไลน์สมัยใหม่จึงได้รับการพัฒนาขึ้น โดยการวางแผนโครงสร้างพื้นฐานสำหรับการสำรองข้อมูลจำเป็นต้องสร้างสมดุลระหว่างความปลอดภัยและความสะดวกในการใช้งาน
การเปลี่ยนผ่านจาก Physical isolation สู่ Logical isolation
ในอดีต องค์กรใช้การแยกทางกายภาพเพื่อจัดเก็บข้อมูลสำรองแบบออฟไลน์และรักษาความปลอดภัยของข้อมูล
การทำ Physical Air Gap หมายถึงการตัดการเชื่อมต่อเครือข่ายหรือปิดอุปกรณ์ด้วยตนเอง เพื่อให้อุปกรณ์อยู่ในสถานะออฟไลน์อย่างสมบูรณ์ นอกจากนี้ยังครอบคลุมถึงการจัดเก็บสื่อสำรองข้อมูล เช่น เทป ไว้ในสถานที่อื่น ซึ่งเป็นการแยกข้อมูลออกจากระบบหลักทางกายภาพอย่างสิ้นเชิง ผู้โจมตีจึงไม่สามารถเข้าถึงข้อมูลได้ เว้นแต่จะสามารถเข้าถึงอุปกรณ์ดังกล่าวโดยตรง
อย่างไรก็ตาม Physical isolation ก็มาพร้อมกับความท้าทายหลายประการ ไม่ว่าจะเป็นความยุ่งยากในการบำรุงรักษา การพึ่งพาการดำเนินงานโดยเจ้าหน้าที่ ความเสี่ยงจากข้อผิดพลาดของมนุษย์ และความยากในการตรวจสอบว่าข้อมูลสำรองสามารถกู้คืนได้จริง
เพื่อรับมือกับความท้าทายเหล่านี้ การสำรองข้อมูลแบบออฟไลน์สมัยใหม่จึงเริ่มเปลี่ยนมาใช้การแยกเชิงตรรกะ (Logical Isolation) แม้ว่าระบบสำรองข้อมูลจะยังคงเชื่อมต่อกับเครือข่าย แต่จะมีการปกป้องหลายชั้นเพื่อรักษาความปลอดภัยของข้อมูล เช่น กลไกการยืนยันตัวตน การควบคุมสิทธิ์การเข้าถึง และการเข้ารหัสเพื่อป้องกันข้อมูลรั่วไหล นอกจากนี้ ข้อมูลสำรองแบบ Immutable ยังช่วยป้องกันการแก้ไขหรือลบข้อมูล ขณะที่ Firewall จำกัดการเข้าถึงข้อมูลจากภายนอก การทำ Logical Air Gap จึงมีความยืดหยุ่น บริหารจัดการได้ง่าย และรองรับการขยายระบบได้ดีกว่าการแยกทางกายภาพ
| Physical isolation | Logical isolation | |
|---|---|---|
| Isolation method | Physical disconnection: ถอดสายเครือข่าย นำเทปออก หรือปิดอุปกรณ์ เพื่อแยกข้อมูลออกจากเครือข่ายอย่างสมบูรณ์ |
Logical disconnection: อุปกรณ์ยังคงเชื่อมต่อกับเครือข่าย แต่ข้อมูลจะถูกแยกและปกป้องด้วยการควบคุมสิทธิ์การเข้าถึง การเข้ารหัส หรือ Firewal |
| Security | Complete isolation: ผู้โจมตีต้องเข้าถึงอุปกรณ์ทางกายภาพจึงจะสามารถแก้ไขหรือทำลายข้อมูลได้ |
ใช้การรักษาความปลอดภัยหลายชั้นเพื่อปกป้องข้อมูลอย่างรัดกุม |
| Management | ไม่สามารถบริหารจัดการจากระยะไกลได้ ทำให้เข้าถึงอุปกรณ์ที่อยู่ต่างสถานที่ได้ยาก | สามารถบริหารจัดการจากระยะไกลผ่านอินเทอร์เน็ตได้ ช่วยเพิ่มประสิทธิภาพในการดูแลระบบ |
| Maintenance | ต้องบำรุงรักษาด้วยตนเอง ทำให้การดำเนินงานมีความซับซ้อนและต้องใช้บุคลากรเฉพาะทาง | ระบบอัตโนมัติช่วยลดภาระของเจ้าหน้าที่ IT |
วิธีการแบบเดิมที่แยกข้อมูลออกจากระบบทางกายภาพช่วยให้ข้อมูลถูกแยกและปกป้องอย่างสมบูรณ์ แต่ต้องแลกมาด้วยความสะดวกและประสิทธิภาพในการดำเนินงาน เมื่อเปรียบเทียบกันแล้ว การแยกข้อมูลเชิงตรรกะในปัจจุบันช่วยให้องค์กรสร้างสมดุลระหว่างความสะดวกในการบริหารจัดการและการปกป้องข้อมูลได้ดียิ่งขึ้น อย่างไรก็ตาม ในการวางกลยุทธ์การสำรองข้อมูลแบบออฟไลน์ที่มีประสิทธิภาพ ธุรกิจไม่จำเป็นต้องเลือกใช้เพียงวิธีใดวิธีหนึ่ง แต่สามารถผสานทั้งสองแนวทางได้อย่างยืดหยุ่นเพื่อให้สอดคล้องกับความต้องการในการดำเนินงาน
ใช้ประโยชน์จากการแยกข้อมูลทั้งแบบ Physical และ Logical ด้วย ActiveProtect
สำหรับองค์กรที่ต้องการทั้งความปลอดภัยของข้อมูลและประสิทธิภาพในการดำเนินงาน Synology ActiveProtect รองรับทั้ง Physical Air Gap และ Logical Air Gap เพื่อมอบโซลูชันการแยกข้อมูลที่ครอบคลุมสำหรับธุรกิจ
ActiveProtect มอบการป้องกันสามชั้นเพื่อแยกและปกป้องข้อมูลอย่างเข้มงวด แม้ระบบจะยังคงเชื่อมต่อกับเครือข่าย
การยืนยันตัวตนของผู้ใช้ (User authentication): ผสานการทำงานกับ Windows AD และ LDAP เพื่อรวมศูนย์การจัดการผู้ใช้ พร้อมใช้กลไกการยืนยันตัวตนหลายระดับ เช่น SSO, Two-Factor Authentication (2FA) และ Multi-Factor Authentication (MFA) เพื่อยกระดับความปลอดภัยในการเข้าสู่ระบบและป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต
การควบคุมสิทธิ์ตามบทบาท (Role-based access controls): ใช้ Role-Based Access Control เพื่อกำหนดสิทธิ์อย่างละเอียดตามบทบาทและความจำเป็นของพนักงาน ป้องกันการใช้สิทธิ์ในทางที่ไม่เหมาะสม และดูแลให้เฉพาะผู้ที่ได้รับอนุญาตเท่านั้นที่สามารถดำเนินการตามสิทธิ์ที่กำหนดไว้
การปกป้องข้อมูลแบบ Immutable (Immutable data protection): ด้วยเทคโนโลยี Write Once, Read Many (WORM) ในตัว และการล็อกข้อมูลอัจฉริยะในระดับเวอร์ชัน ข้อมูลจะไม่สามารถถูกแก้ไข ลบ หรือเข้ารหัสได้จนกว่าจะสิ้นสุดระยะเวลาการเก็บรักษา แม้เผชิญกับการโจมตีด้วยแรนซัมแวร์ ข้อมูลก็ยังคงสมบูรณ์และพร้อมใช้งาน
ActiveProtect เพิ่มประสิทธิภาพให้ Physical isolation ได้อย่างไร
ในด้านการแยกทางกายภาพ ActiveProtect มาพร้อมกลไกการแยกข้อมูลที่มีประสิทธิภาพ เพื่อมอบการปกป้องในระดับสูงสุด พร้อมแก้ไขข้อจำกัดของวิธีการแยกข้อมูลทางกายภาพแบบเดิม ด้วยการควบคุมการรับส่งข้อมูลและความสามารถในการแยกข้อมูลโดยอัตโนมัติ ActiveProtect ช่วยให้องค์กรปกป้องข้อมูลได้อย่างรัดกุมยิ่งขึ้น
เมื่อมีการส่งข้อมูลจากเซิร์ฟเวอร์สำรองข้อมูลไปยังสถานที่จัดเก็บนอกองค์กร ระบบจะจำกัดสิทธิ์ตั้งแต่ต้นทาง โดยอนุญาตให้เฉพาะเซิร์ฟเวอร์ที่ได้รับสิทธิ์เท่านั้นสามารถส่งข้อมูลได้ ส่วนเซิร์ฟเวอร์ที่ไม่ได้รับอนุญาตจะไม่สามารถเข้าถึงข้อมูลได้ ทำให้ข้อมูลยังคงปลอดภัยและถูกแยกออกจากระบบอื่น
ต่างจากการแยกข้อมูลทางกายภาพแบบเดิมที่ต้องตัดการเชื่อมต่อและปิดอุปกรณ์ด้วยตนเอง ActiveProtect ช่วยให้องค์กรสามารถใช้กระบวนการแยกข้อมูลที่ทำงานโดยอัตโนมัติได้อย่างเต็มรูปแบบ
ธุรกิจสามารถกำหนดช่วงเวลาการรับส่งข้อมูลให้เหมาะกับตารางการทำงานของตนเองได้ นอกช่วงเวลาที่กำหนด อุปกรณ์สำรองข้อมูลจะถูกแยกออกจากเครือข่ายอย่างสมบูรณ์ด้วยการปิด Network Interface หรือปิดตัวอุปกรณ์ และหากการสำรองข้อมูลเสร็จสิ้นก่อนกำหนด อุปกรณ์จะกลับเข้าสู่โหมดแยกข้อมูลโดยอัตโนมัติ วิธีนี้ช่วยลดระยะเวลาที่ระบบเปิดรับการเชื่อมต่อ และลดโอกาสที่แฮกเกอร์จะเข้าโจมตี
ข้อจำกัดสำคัญของ Physical Air Gap แบบเดิมคือ ผู้ใช้จะไม่สามารถเข้าถึงฟังก์ชันการจัดการได้เมื่อสภาพแวดล้อมถูกตัดขาดจากเครือข่ายอย่างสมบูรณ์ แต่ ActiveProtect แยกพอร์ตสำหรับการจัดการออกจากพอร์ตสำหรับรับส่งข้อมูล โดยพอร์ตสำหรับการจัดการจะอยู่ภายในเครือข่ายที่ปลอดภัยและแยกเป็นสัดส่วน ดังนั้น แม้ว่าพอร์ตข้อมูลจะถูกปิดและข้อมูลถูกแยกออกจากระบบอย่างสมบูรณ์ ทีม IT ก็ยังสามารถดำเนินการอัปเดต บำรุงรักษา และทดสอบการกู้คืนข้อมูลเป็นประจำได้ภายในสภาพแวดล้อมที่ได้รับการปกป้อง
ในยุคที่มัลแวร์มุ่งโจมตีระบบสำรองข้อมูลมากขึ้น ActiveProtect ช่วยให้ธุรกิจใช้ประโยชน์จากการแยกข้อมูลทั้งทางกายภาพและเชิงตรรกะ เพื่อสร้างโครงสร้างพื้นฐานด้านการปกป้องข้อมูลที่ปลอดภัยและแข็งแกร่งยิ่งขึ้น
คลิกที่นี่เพื่อดูข้อมูลเพิ่มเติมเกี่ยวกับ Synology ActiveProtect