Categories
Database Backup

** Learn how to protect enterprise database archives from ransomware using immutable storage. Discover technical implementation steps for AWS S3 Object Lock, ZFS, PostgreSQL, and SQL Server.

U modernom okruženju prijetnji, ransomware je evoluirao od oportunističke enkripcije do visoko ciljanih kampanja višestruke iznude. Napredne trajne prijetnje (APT) i ransomware sindikati sada aktivno traže infrastrukturu za sigurnosno kopiranje i arhive baza podataka tokom svog vremena boravka u sistemu. Ako napadač kompromituje vašu primarnu bazu podataka i istovremeno izbriše ili šifrira vaše repozitorije sigurnosnih kopija, vaša organizacija se suočava s katastrofalnim gubitkom podataka.

Za administratore baza podataka (DBA) i DevOps inženjere, tradicionalna 3-2-1 strategija sigurnosnog kopiranja više nije dovoljna. Kako bi se garantovala preživljavanje podataka, infrastrukturni timovi moraju usvojiti pravilo 3-2-1-1, gdje konačna „1“ predstavlja nepromjenjivu (immutable) pohranu.

Ovaj članak pruža sveobuhvatan, tehnički dubinski pregled projektovanja, implementacije i upravljanja nepromjenjivom pohranom za arhive baza podataka kako bi se osigurala apsolutna otpornost na ransomware.

Mehanika nepromjenjive pohrane

Nepromjenjiva pohrana se oslanja na arhitekturu “piši jednom, čitaj mnogo” (WORM). Jednom kada se podaci zapišu na nepromjenjivu metu, nijedan korisnik ih ne može modificirati, šifrirati ili izbrisati—uključujući administratore s root privilegijama ili kompromitovane servisne račune—sve dok ne istekne matematički nametnuto vremensko zaključavanje.

Način usklađenosti (Compliance Mode) naspram načina upravljanja (Governance Mode)

Prilikom implementacije nepromjenjivosti, posebno u objektnoj pohrani u oblaku kao što su AWS S3, Azure Blob ili S3-kompatibilni lokalni SAN-ovi, morate razumjeti razliku između načina zadržavanja:

  • Način upravljanja (Governance Mode): Sprječava standardne korisnike da brišu ili mijenjaju objekte. Međutim, korisnici s određenim IAM dozvolama (npr. s3:BypassGovernanceRetention) mogu zaobići zaključavanje. Ovo je korisno za testiranje, ali nedovoljno za zaštitu od ransomwarea, jer napadači često eskaliraju privilegije na nivo domenskog administratora ili root korisnika.
  • Način usklađenosti (Compliance Mode): Zlatni standard za odbranu od ransomwarea. Jednom kada je objekt zaključan u načinu usklađenosti, njegov period zadržavanja se ne može skratiti, a objekt ne može izbrisati niko, uključujući AWS root račun. Zaključavanje se provodi na nivou klastera za pohranu.

Projektovanje cjevovoda za nepromjenjive sigurnosne kopije

Robusna arhitektura arhiviranja baza podataka odvaja aktivne operacije baze podataka od nepromjenjivog nivoa arhive. Ne možete primijeniti nepromjenjivost na aktivne datoteke baze podataka (poput .mdf/.ldf u SQL Serveru ili pg_data direktorija u PostgreSQL-u) jer baze podataka zahtijevaju stalan pristup čitanja/pisanja.

Umjesto toga, nepromjenjivost se primjenjuje na:
1. Datoteke punih i diferencijalnih sigurnosnih kopija: Osnovne snimke baze podataka.
2. Transakcijske logove / WAL datoteke: Kontinuirani tok promjena baze podataka potreban za oporavak do određene tačke u vremenu (PITR).

Ciljevi pohrane za nepromjenjivost

Možete implementirati nepromjenjivu pohranu na različitim nivoima infrastrukture:
* Objektna pohrana u oblaku: AWS S3 Object Lock, Azure Blob Immutable Storage, Google Cloud Storage Retention Policies.
* Lokalna objektna pohrana: MinIO, Cloudian ili Pure Storage FlashBlade koji podržavaju S3 Object Lock API-je.
* Blok/datotečna pohrana: ZFS sa snimcima samo za čitanje i delegiranom administracijom, ili Linux atributi datoteka.

Implementacija nepromjenjive pohrane: Tehnički vodiči

1. Objektna pohrana u oblaku: AWS S3 Object Lock

Da biste zaštitili dumpove baza podataka i transakcijske logove u AWS-u, morate omogućiti Object Lock u trenutku kreiranja bucket-a.

Prvo, kreirajte bucket s omogućenim Object Lock-om:

aws s3api create-bucket 
    --bucket prod-db-archive-immutable 
    --region us-east-1 
    --object-lock-enabled-for-bucket

Zatim, konfigurišite zadanu politiku zadržavanja. Za arhive baza podataka, 30-dnevno zaključavanje usklađenosti je standardna osnova, osiguravajući da imate mjesec dana nepromjenjivih sigurnosnih kopija.

aws s3api put-object-lock-configuration 
    --bucket prod-db-archive-immutable 
    --object-lock-configuration '{
        "ObjectLockEnabled": "Enabled",
        "Rule": {
            "DefaultRetention": {
                "Mode": "COMPLIANCE",
                "Days": 30
            }
        }
    }'

Kada vaša skripta ili agent za sigurnosno kopiranje baze podataka pošalje datoteku u ovaj bucket, S3 automatski izračunava Retain Until Date na osnovu vremenske oznake kreiranja objekta plus 30 dana.

2. Lokalna nepromjenjivost: ZFS i Linux atributi

Ako arhivirate baze podataka na lokalni Linux server za sigurnosne kopije, možete postići pseudo-nepromjenjivost koristeći chattr komandu, ili pravu nepromjenjivost koristeći ZFS snimke.

Korištenje Linux chattr:
Oznaka +i (immutable) sprječava modifikaciju, brisanje ili preimenovanje datoteke.

# Dump baze podataka
pg_dump -U postgres -Fc mydb > /backups/mydb_$(date +%F).dump

# Učinite sigurnosnu kopiju nepromjenjivom
sudo chattr +i /backups/mydb_$(date +%F).dump

# Provjerite atribut
lsattr /backups/mydb_$(date +%F).dump
# Izlaz: ----i---------e------- /backups/mydb_2023-10-27.dump

Napomena: Iako chattr zaustavlja osnovne ransomware skripte, sofisticirani napadač s root pristupom može jednostavno pokrenuti chattr -i. Stoga se ovo mora kombinovati sa strogim RBAC-om i izolovanim mrežama za sigurnosne kopije.

Korištenje ZFS snimaka:
ZFS pruža mnogo jaču odbranu. Pravljenjem snimka i postavljanjem „zadržavanja“ (hold) na njega, sprječavate uništavanje snimka.

# Napravite snimak dataseta sigurnosnih kopija
zfs snapshot tank/db_backups@archive_$(date +%F)

# Postavite zadržavanje na snimak kako biste spriječili brisanje
zfs hold keep_30_days tank/db_backups@archive_$(date +%F)

# Čak ni root ne može uništiti ovaj snimak bez oslobađanja zadržavanja
zfs destroy tank/db_backups@archive_$(date +%F)
# Izlaz: cannot destroy 'tank/db_backups@archive_...': dataset is busy

Strategije arhiviranja specifične za baze podataka

Da biste postigli oporavak do određene tačke u vremenu (PITR), morate kontinuirano arhivirati transakcijske logove u svoju nepromjenjivu pohranu.

PostgreSQL WAL arhiviranje sa pgBackRest

pgBackRest je vrlo pouzdan alat za sigurnosno kopiranje za PostgreSQL koji izvorno podržava S3-kompatibilnu pohranu. Da biste zaštitili svoje Write-Ahead logove (WAL), konfigurišite pgBackRest da šalje podatke direktno u vaš nepromjenjivi S3 bucket.

U vašem pgbackrest.conf:

[global]
repo1-type=s3
repo1-s3-bucket=prod-db-archive-immutable
repo1-s3-region=us-east-1
repo1-s3-endpoint=s3.amazonaws.com
repo1-s3-key=AKIAIOSFODNN7EXAMPLE
repo1-s3-key-secret=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

# Osigurajte da se zadržavanje uskladi s vašom konfiguracijom S3 Object Lock
repo1-retention-full=2
repo1-retention-archive=2

[prod_cluster]
pg1-path=/var/lib/postgresql/14/main

Ključno razmatranje: Ako vaš S3 bucket nameće 30-dnevno zaključavanje usklađenosti, a pgBackRest pokuša isteći i izbrisati WAL datoteke nakon 14 dana na osnovu repo1-retention-archive, pozivi API-ja za brisanje će propasti. Morate osigurati da je politika zadržavanja vašeg softvera za sigurnosno kopiranje veća ili jednaka nepromjenjivom zaključavanju na nivou pohrane.

Microsoft SQL Server: Sigurnosna kopija na URL

SQL Server podržava izvorne sigurnosne kopije direktno na S3-kompatibilnu objektnu pohranu. Možete konfigurisati SQL Server Agent zadatak da piše .bak i .trn datoteke direktno u nepromjenjivi bucket.

CREATE CREDENTIAL [s3://prod-db-archive-immutable.s3.us-east-1.amazonaws.com]
WITH IDENTITY = 'S3 Access Key',
SECRET = 'AccessKeyID:SecretAccessKey';
GO

BACKUP DATABASE [ProductionDB]
TO URL = 's3://prod-db-archive-immutable.s3.us-east-1.amazonaws.com/ProductionDB_Full.bak'
WITH FORMAT, COMPRESSION, STATS = 10;
GO

Automatizacija i orkestracija sa CloudSave

Upravljanje oznakama nepromjenjivog zadržavanja, rotiranje pristupnih ključeva i osiguravanje sinhronizacije između politika zadržavanja baze podataka i zaključavanja pohrane putem prilagođenih skripti je vrlo podložno greškama. Jedna pogrešna konfiguracija u cron zadatku ili API pozivu može ostaviti vaše arhive izloženim ili rezultirati vrtoglavim troškovima pohrane u oblaku zbog napuštenih, zaključanih objekata.

Enterprise platforme za sigurnosno kopiranje kao što je CloudSave pojednostavljuju ovu arhitekturu. CloudSave se izvorno integriše sa AWS S3 Object Lock, Azure Blob Immutable Storage i lokalnim S3-kompatibilnim API-jima.

Prilikom konfigurisanja plana sigurnosnog kopiranja baze podataka u CloudSave:
1. Platforma automatski upravlja VSS (Volume Shadow Copy Service) mirovanjem za SQL Server ili pg_start_backup() API-jem za PostgreSQL.
2. Prenosi deduplikovane, šifrovane podatke sigurnosne kopije direktno na cilj pohrane.
3. CloudSave dinamički primjenjuje WORM API pozive (npr. PutObjectRetention) na bazi po objektu, savršeno usklađujući trajanje zaključavanja pohrane s rasporedom zadržavanja definisanim politikom.
4. Ako napadač kompromituje CloudSave konzolu za upravljanje, i dalje ne može izbrisati sigurnosne kopije, jer zaključavanje usklađenosti provodi osnovna infrastrukturna pohrana, a ne softver za sigurnosno kopiranje.

Najbolje prakse za nepromjenjive arhive baza podataka

Da biste osigurali da je vaša nepromjenjiva arhitektura zaista otporna, pridržavajte se sljedećih najboljih praksi sistemskog inženjeringa:

1. Stroga NTP sinhronizacija

Nepromjenjiva zaključavanja su matematički vezana za vremenske oznake. Ako je NTP (Network Time Protocol) servis na vašem nizu za pohranu ili serveru za sigurnosne kopije kompromitovan ili odstupa, to može uzrokovati prerano isticanje zaključavanja ili da ona nikada ne isteknu. Osigurajte da vaša infrastrukturna pohrana koristi autentifikovane, redundantne NTP izvore.

2. Izolacija IAM uloga i vjerodajnica

Vjerodajnice koje se koriste za pisanje u nepromjenjivi bucket moraju imati samo s3:PutObject i s3:PutObjectRetention dozvole. One nikada ne bi trebale imati s3:DeleteObject ili s3:PutBucketObjectLockConfiguration dozvole.

Primjer IAM politike s najmanjim privilegijama za agenta sigurnosnog kopiranja baze podataka:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetBucketObjectLockConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::prod-db-archive-immutable",
                "arn:aws:s3:::prod-db-archive-immutable/*"
            ]
        }
    ]
}

3. Određivanje perioda zadržavanja

Nemojte postavljati zaključavanja usklađenosti na pretjerano duge periode (npr. 7 godina za usklađenost) na vašem primarnom nivou za brzi oporavak. Baze podataka generišu ogromne količine WAL/transakcijskih log podataka. Zaključavanje ovih podataka godinama će rezultirati eksponencijalnim rastom troškova pohrane.
Umjesto toga, koristite nivoe:
* Nivo operativnog oporavka: 14 do 30 dana nepromjenjivog zadržavanja za pune sigurnosne kopije i logove.
* Nivo dugoročnog arhiviranja: Mjesečne pune sigurnosne kopije premještene u Glacier/Deep Archive sa Vault Lock-om na 1-7 godina.

4. Redovno testiranje oporavka u izolovanim (air-gapped) VPC-ovima

Nepromjenjivost garantuje da se podaci ne mogu izbrisati, ali ne garantuje da su podaci bez logičke korupcije. Morate automatizovati vraćanje vaših nepromjenjivih arhiva baza podataka u izolovani, air-gapped VPC ili VLAN. Pokrenite DBCC CHECKDB (SQL Server) ili pg_amcheck (PostgreSQL) na vraćenim podacima kako biste provjerili strukturni integritet.

Zaključak

Odbrana od ransomwarea je vježba u pretpostavci proboja. Do trenutka kada se aktivira upozorenje u vašem SIEM-u, napadači su vjerovatno već pokušali kompromitovati vašu infrastrukturu za sigurnosno kopiranje. Projektovanjem vaših arhiva baza podataka koristeći nepromjenjivu pohranu u načinu usklađenosti, oduzimate napadačima njihovu glavnu polugu. Bez obzira koristite li izvorne API-je u oblaku, ZFS zadržavanja ili enterprise platformu za orkestraciju kao što je CloudSave, implementacija WORM pohrane više nije opcionalna—to je obavezan stub moderne administracije baza podataka i oporavka od katastrofa.

Kategorije