Если резервную копию можно удалить той же учётной записью, которая управляет рабочими серверами, авария или атака может затронуть оба уровня. WORM и неизменяемое хранение ограничивают изменение уже записанных данных. Их ценность — сохранить точку возврата, когда обычных прав доступа недостаточно.
Сохранить точку
Ограничить изменение и удаление уже записанных данных.
Разделить права
Не давать одной учётной записи управлять всеми уровнями защиты.
Выиграть время
Оставить пригодную историю для возврата после обнаружения инцидента.
Проверить защиту
Подтвердить ограничения и восстановление на отдельном тестовом наборе.
WORM, неизменяемость и отключённая копия
WORM
Write Once Read Many — однократная запись с многократным чтением. Реализация может быть физической или программной.
- Защищает уже записанное содержимое в предусмотренных границах
- Условия повторного использования зависят от технологии
Неизменяемость · immutability
Свойство системы: защищённые данные нельзя изменить или удалить в течение заданного периода либо при выполнении определённых условий.
- Нужно знать, какие объекты защищены
- Проверяют права администратора и исключения
Отключение · offline
Копия недоступна системе через подключённый канал, например картридж извлечён и хранится отдельно.
- Снижает зависимость от сетевого управления
- Не гарантирует качество записанных данных
Эти свойства не заменяют распределение копий по площадкам. Неизменяемый репозиторий в одном помещении может погибнуть вместе с оборудованием. Нужны также внешнее хранение, защита ключей и проверка восстановления.
Где реализуется защита
Object Lock в объектном хранилище
Защита применяется к версиям объектов, сроку удержания и режиму доступа.
- Нужны совместимые хранилище и СРК
- Проверяют именно защищённые версии, включая зависимости
Защищённый дисковый репозиторий
Специализированный механизм СРК ограничивает операции над файлами копий.
- Нужно выполнить требования ОС, файловой системы и настройки
- Доступ к хосту и администрирование также входят в модель угроз
WORM-картриджи LTO
Специальные носители предназначены для неизменяемой записи при поддержке привода и программы.
- Обычный перезаписываемый картридж не становится WORM по названию задания
- Нужны каталог, ключи, совместимый привод и учёт носителей
WORM и защищённые снимки в СХД
Массив или устройство может иметь свой механизм удержания данных.
- Проверяют режим, прошивку, лицензии и границы администрирования
- Не переносят свойства одной модели на все NAS и СХД
Примеры механизмов: Amazon S3 Object Lock, блокировки Yandex Object Storage, Veeam Hardened Repository и WORM-носители LTO. Конкретная совместимость определяется документацией продукта.
Как защита сохраняет точку возврата
Условный пример: выбранная версия копии защищена до дня 31. Компания обнаруживает инцидент на день 12. Срок взят для иллюстрации, а не как универсальная настройка.
Подтверждены данные, срок и режим блокировки.
Защита отклоняет запрещённую операцию в рамках выбранного режима и прав.
Выбирают пригодную точку, читают данные и проверяют приложение.
Дальнейшая очистка определяется политикой продукта; сама дата не означает автоматического удаления.
Governance, compliance и legal hold
В Object Lock различают защиту с особыми правами обхода, строгий период удержания и бессрочное удержание. Названия режимов похожи у провайдеров, но права проверяют в их документации.
Таблица прокручивается по горизонтали на телефоне.
| Режим | Как задаётся удержание | Кто может снять или обойти | Что проверить |
|---|---|---|---|
| Governance | Срок защиты версии | Пользователь со специальным разрешением обхода при выполнении условий API | Нет ли таких прав у скомпрометированной или повседневной учётной записи |
| Compliance | Строгий срок | Защищённую версию нельзя удалить, а срок сократить штатным действием пользователя до окончания | Срок, стоимость, границы сервиса и последствия ошибочной блокировки |
| Legal hold | До явного снятия, без даты окончания | Пользователь с соответствующим правом управления удержанием | Кто вправе снимать hold и как это контролируется |
В Amazon S3 блокируется версия объекта. Новая версия или delete marker могут появиться, не уничтожая защищённую старую версию. Блокировка не делает весь аккаунт неуязвимым. Механика Object Lock.
В Yandex Object Storage управляемую блокировку может обойти storage.admin с явным подтверждением, а строгую временную блокировку до окончания нельзя сократить или снять. Включение поддержки блокировок не защищает ранее загруженные версии автоматически. Права и режимы Yandex Cloud. Слово compliance в интерфейсе не является самостоятельным подтверждением выполнения всех требований проекта.
Как это связано с программой резервного копирования
Veeam: защищённый Linux-репозиторий
В Veeam Hardened Repository задаётся период неизменяемости файлов. Для подключения предусмотрены защищённые способы аутентификации, включая одноразовые учётные данные, которые не хранятся в инфраструктуре после развёртывания. Механизм работает при выполнении требований продукта, а не от установки флага на произвольной папке. Описание Veeam 13.
Нужно проверить допустимые ОС и файловую систему, роли хоста, цепочку копий, ресурсы и ограничения. У разных файлов в структуре копии может быть разное назначение: например, документация отдельно отмечает изменяемые метаданные VBM. Требования и ограничения.
Кибер Бэкап: выбирать поддерживаемый механизм
Производитель описывает логическую и физическую изоляцию, неизменяемые хранилища и защиту инфраструктуры копирования. Режим выбирают по версии и хранилищу; проверяют, какие новые копии он охватывает. Обзор средств защиты. Для лент WORM — отдельный тип носителя, который используют для неизменяемых архивов по правилам продукта. Типы лент в Кибер Бэкап.
Для любой СРК сначала проверяют точную комбинацию версии, хранилища, режима и прав. Поддержка S3 API сама по себе не подтверждает корректную работу Object Lock. Политику жизненного цикла на хранилище и очистку цепочек в СРК согласуют, чтобы не потерять нужные зависимости.
Как выбрать срок и рассчитать место
История и обнаружение
Нужно сохранить пригодную точку до ошибки или атаки, в том числе если проблему заметят не сразу.
- Согласовать глубину истории и частоту копий
- Учесть время расследования и проверки
Цепочки и удержание
Срок хранения точки и запрет удаления её данных — связанные, но разные настройки.
- Проверить полную базу, инкременты и зависимые блоки
- Уточнить продление блокировок и поведение очистки
Ёмкость и расходы
Заблокированные данные занимают место до разрешённого освобождения.
- Учесть изменения, новые версии и срок
- Добавить расходы операций, выдачи и резерв на рост
Строгий режим на долгий срок может не позволить исправить ошибочный период или удалить ненужный тестовый объём. До применения к рабочим данным проверяют поддержку, расходы, очистку и восстановление в изолированном тестовом хранилище.
От чего неизменяемость не защищает сама по себе
- Потеря ключа. Сохранённые зашифрованные данные могут оказаться нечитаемыми. Object Lock не защищает ключ шифрования от потери или удаления.
- Повреждение до копирования. Можно надолго защитить уже испорченную или заражённую точку.
- Потеря площадки. Нужны независимое размещение и проверенный путь получения данных.
- Ошибки доступа. В режиме с обходом избыточные права могут разрушить выбранную модель защиты.
- Отсутствие среды возврата. Каталог, ПО, ключи и целевые ресурсы должны быть доступны после аварии.
О ключах, версиях и delete markers: ограничения Amazon S3 Object Lock.
Порядок внедрения без случайной блокировки рабочих данных
- 1
Описать сценарий
Определить важные сервисы, срок истории, RPO/RTO и событие, которое должна пережить копия.
- 2
Выбрать реализацию
Сверить СРК, версию, хранилище, режим, зависимости и поддержку. Отделить права записи от управления защитой.
- 3
Создать тестовый набор
Выделить отдельные ресурсы, небольшой объём и согласованный срок; записать ожидаемые разрешённые и запрещённые операции.
- 4
Проверить ограничения
На тестовых данных проверить удаление, изменение срока, новые версии, уведомления и предусмотренные права обхода.
- 5
Подтвердить возврат и очистку
Восстановить данные и приложение; проверить доступ к ключам и штатное поведение после окончания удержания.
- 6
Перенести проверенную схему
Согласовать рабочие сроки и бюджет, настроить мониторинг, регламент и повторные проверки. Сохранить протокол приёмки.
Что должно быть в протоколе проверки
- Какая копия, версия или набор защищены и до какого момента.
- Какая роль выполнила операцию и соответствует ли результат выбранному режиму.
- Можно ли прочитать защищённую точку и все необходимые зависимости.
- Доступны ли каталог, ключи и программа без рабочей инфраструктуры.
- Как фиксируются попытки изменения, ошибки заданий и заполнение хранилища.
- Как выполняются восстановление приложения и штатная очистка после удержания.
Проверки операций проводят на специально выделенных данных. В рабочем хранилище результат сначала проверяют чтением статуса, настроек и журналов, а не пробным удалением единственной копии.
Подбор уровней хранения описан в статье о дисках, NAS и облаке, организация физического ленточного уровня — в руководстве по LTO и библиотекам.
Две формы для внедрения
Частые вопросы
WORM и резервное копирование — одно и то же?
Нет. Резервное копирование создаёт точки возврата, а WORM ограничивает изменение записанных данных. Нужны и пригодная копия, и защита её хранения.
Может ли администратор удалить неизменяемую копию?
Ответ зависит от реализации, роли и режима. Governance может предусматривать специальные права обхода; строгий режим запрещает штатное удаление защищённой версии до срока. Отдельно проверяют ключи, аккаунт, управление хостом и физические риски.
Защитит ли это от шифровальщика полностью?
Ограничение изменения копий помогает сохранить путь восстановления, но не предотвращает все виды атак. Важны изоляция, история пригодных точек, контроль доступа, обнаружение и тестирование возврата.
Зашифрованная копия уже неизменяемая?
Нет. Шифрование ограничивает чтение содержимого без ключа. Если у пользователя остаётся право удалить файл или объект, шифрование само по себе этому не мешает.
Нужна ли неизменяемость, если ленты вынесены?
Это разные свойства. Обычная вывезенная лента недоступна по сети, а WORM-носитель ограничивает изменение записанного. Нужное сочетание зависит от рисков, ротации и требований к истории.
Какой срок блокировки выбрать?
Срок выбирают по важным данным, глубине истории, времени обнаружения инцидента, зависимостям и бюджету. Универсальное число дней не подтверждает пригодность схемы; нужен согласованный тест и расчёт ресурсов.
Определим, какие копии и от чего защищать
Обсудим ваши данные, инфраструктуру, права и сроки хранения. Подберём поддерживаемый механизм неизменяемости и сценарий проверки, чтобы защита помогала восстановлению.
Обсудить защиту резервных копий