Categories
Database Backup

** Learn how to protect enterprise database archives from ransomware using immutable storage. Discover technical implementation steps for AWS S3 Object Lock, ZFS, PostgreSQL, and SQL Server.

V sodobnem okolju groženj se je izsiljevalska programska oprema (ransomware) razvila od oportunističnega šifriranja do visoko usmerjenih kampanj z večkratnim izsiljevanjem. Napredne vztrajne grožnje (APT) in sindikati izsiljevalske programske opreme zdaj med svojim bivanjem v omrežju aktivno iščejo varnostno infrastrukturo in arhive baz podatkov. Če napadalec ogrozi vašo primarno bazo podatkov in hkrati izbriše ali šifrira vaše varnostne kopije, se vaša organizacija sooči s katastrofalno izgubo podatkov.

Za skrbnike baz podatkov (DBA) in DevOps inženirje tradicionalna strategija varnostnega kopiranja 3-2-1 ni več zadostna. Da bi zagotovili preživetje podatkov, morajo infrastrukturne ekipe sprejeti pravilo 3-2-1-1, kjer zadnja “1” predstavlja nespremenljivo (imutable) shranjevanje.

Ta članek ponuja celovit, tehnično poglobljen pregled načrtovanja, implementacije in upravljanja nespremenljivega shranjevanja za arhive baz podatkov, da se zagotovi absolutna odpornost na izsiljevalsko programsko opremo.

Mehanika nespremenljivega shranjevanja

Nespremenljivo shranjevanje temelji na arhitekturi “zapiši enkrat, beri večkrat” (WORM). Ko so podatki zapisani na nespremenljiv cilj, jih noben uporabnik – vključno s skrbniki s korenskimi (root) privilegiji ali ogroženimi servisnimi računi – ne more spremeniti, šifrirati ali izbrisati, dokler ne poteče matematično uveljavljena časovna ključavnica.

Način skladnosti (Compliance Mode) proti načinu upravljanja (Governance Mode)

Pri implementaciji nespremenljivosti, zlasti v objektno shranjevanje v oblaku, kot so AWS S3, Azure Blob ali S3-združljivi lokalni (on-premises) SAN sistemi, morate razumeti razliko med načinoma hrambe:

  • Način upravljanja (Governance Mode): Preprečuje običajnim uporabnikom brisanje ali spreminjanje objektov. Vendar lahko uporabniki s posebnimi IAM dovoljenji (npr. s3:BypassGovernanceRetention) zaobidejo ključavnico. To je uporabno za testiranje, vendar nezadostno za zaščito pred izsiljevalsko programsko opremo, saj napadalci pogosto pridobijo povišane privilegije do domenskega skrbnika ali root uporabnika.
  • Način skladnosti (Compliance Mode): Zlati standard za obrambo pred izsiljevalsko programsko opremo. Ko je objekt zaklenjen v načinu skladnosti, njegovega obdobja hrambe ni mogoče skrajšati in objekta nihče ne more izbrisati, vključno z AWS root računom. Ključavnica se uveljavlja na ravni shranjevalnega grozda.

Načrtovanje nespremenljivega cevovoda za varnostno kopiranje

Robustna arhitektura arhiviranja baz podatkov ločuje aktivne operacije baze podatkov od nespremenljive arhivske ravni. Nespremenljivosti ne morete uporabiti za aktivne datoteke baz podatkov (kot so .mdf/.ldf v SQL Serverju ali imenik pg_data v PostgreSQL), ker baze podatkov zahtevajo stalen dostop za branje/pisanje.

Namesto tega se nespremenljivost uporablja za:
1. Datoteke polnih in diferencialnih varnostnih kopij: Osnovni posnetki baze podatkov.
2. Transakcijski dnevniki / WAL datoteke: Neprekinjen tok sprememb baze podatkov, potreben za obnovitev na določen časovni trenutek (PITR).

Cilji shranjevanja za nespremenljivost

Nespremenljivo shranjevanje lahko implementirate na različnih infrastrukturnih ravneh:
* Objektno shranjevanje v oblaku: AWS S3 Object Lock, Azure Blob Immutable Storage, Google Cloud Storage Retention Policies.
* Lokalno objektno shranjevanje: MinIO, Cloudian ali Pure Storage FlashBlade, ki podpirajo S3 Object Lock API-je.
* Blokovno/datotečno shranjevanje: ZFS s posnetki (snapshots) samo za branje in delegiranim upravljanjem ali atributi datotek Linux.

Implementacija nespremenljivega shranjevanja: Tehnični primeri

1. Objektno shranjevanje v oblaku: AWS S3 Object Lock

Za zaščito izvozov baz podatkov in transakcijskih dnevnikov v AWS morate ob ustvarjanju vedra (bucket) omogočiti Object Lock.

Najprej ustvarite vedro z omogočenim Object Lock:

aws s3api create-bucket 
    --bucket prod-db-archive-immutable 
    --region us-east-1 
    --object-lock-enabled-for-bucket

Nato konfigurirajte privzeto politiko hrambe. Za arhive baz podatkov je 30-dnevna ključavnica skladnosti standardna osnova, ki zagotavlja, da imate mesec dni nespremenljivih varnostnih kopij.

aws s3api put-object-lock-configuration 
    --bucket prod-db-archive-immutable 
    --object-lock-configuration '{
        "ObjectLockEnabled": "Enabled",
        "Rule": {
            "DefaultRetention": {
                "Mode": "COMPLIANCE",
                "Days": 30
            }
        }
    }'

Ko vaš skript ali agent za varnostno kopiranje baze podatkov potisne datoteko v to vedro, S3 samodejno izračuna Retain Until Date na podlagi časovnega žiga ustvarjanja objekta plus 30 dni.

2. Lokalna nespremenljivost: ZFS in atributi Linux

Če arhivirate baze podatkov na lokalni Linux strežnik za varnostno kopiranje, lahko dosežete psevdo-nespremenljivost z ukazom chattr ali pravo nespremenljivost z uporabo ZFS posnetkov.

Uporaba Linux chattr:
Zastavica +i (nespremenljiv) preprečuje spreminjanje, brisanje ali preimenovanje datoteke.

# Izvoz baze podatkov
pg_dump -U postgres -Fc mydb > /backups/mydb_$(date +%F).dump

# Naredi varnostno kopijo nespremenljivo
sudo chattr +i /backups/mydb_$(date +%F).dump

# Preveri atribut
lsattr /backups/mydb_$(date +%F).dump
# Izpis: ----i---------e------- /backups/mydb_2023-10-27.dump

Opomba: Čeprav chattr ustavi osnovne skripte izsiljevalske programske opreme, lahko izkušen napadalec s korenskim dostopom preprosto zažene chattr -i. Zato je treba to kombinirati s strogim RBAC in izoliranimi omrežji za varnostno kopiranje.

Uporaba ZFS posnetkov:
ZFS zagotavlja veliko močnejšo obrambo. Če posnamete posnetek in nanj postavite “zadržanje” (hold), preprečite, da bi bil posnetek uničen.

# Naredi posnetek nabora podatkov varnostnih kopij
zfs snapshot tank/db_backups@archive_$(date +%F)

# Postavi zadržanje na posnetek, da preprečiš brisanje
zfs hold keep_30_days tank/db_backups@archive_$(date +%F)

# Niti root ne more uničiti tega posnetka brez sprostitve zadržanja
zfs destroy tank/db_backups@archive_$(date +%F)
# Izpis: cannot destroy 'tank/db_backups@archive_...': dataset is busy

Strategije arhiviranja za specifične baze podatkov

Za doseganje obnovitve na določen časovni trenutek (PITR) morate nenehno arhivirati transakcijske dnevnike v svoje nespremenljivo shranjevanje.

Arhiviranje PostgreSQL WAL s pgBackRest

pgBackRest je zelo zanesljivo orodje za varnostno kopiranje za PostgreSQL, ki izvorno podpira S3-združljivo shranjevanje. Za zaščito vaših Write-Ahead dnevnikov (WAL) konfigurirajte pgBackRest za neposredno pošiljanje v vaše nespremenljivo S3 vedro.

V vaši pgbackrest.conf:

[global]
repo1-type=s3
repo1-s3-bucket=prod-db-archive-immutable
repo1-s3-region=us-east-1
repo1-s3-endpoint=s3.amazonaws.com
repo1-s3-key=AKIAIOSFODNN7EXAMPLE
repo1-s3-key-secret=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

# Zagotovi, da se hramba ujema z vašo konfiguracijo S3 Object Lock
repo1-retention-full=2
repo1-retention-archive=2

[prod_cluster]
pg1-path=/var/lib/postgresql/14/main

Ključni premislek: Če vaše S3 vedro uveljavlja 30-dnevno ključavnico skladnosti, vendar pgBackRest poskuša izbrisati WAL datoteke po 14 dneh na podlagi repo1-retention-archive, bodo klici API-ja za brisanje neuspešni. Zagotoviti morate, da je politika hrambe vaše programske opreme za varnostno kopiranje večja ali enaka nespremenljivi ključavnici na ravni shranjevanja.

Microsoft SQL Server: Varnostno kopiranje na URL

SQL Server podpira izvorno varnostno kopiranje neposredno v S3-združljivo objektno shranjevanje. Opravilo SQL Server Agent lahko konfigurirate tako, da zapisuje .bak in .trn datoteke neposredno v nespremenljivo vedro.

CREATE CREDENTIAL [s3://prod-db-archive-immutable.s3.us-east-1.amazonaws.com]
WITH IDENTITY = 'S3 Access Key',
SECRET = 'AccessKeyID:SecretAccessKey';
GO

BACKUP DATABASE [ProductionDB]
TO URL = 's3://prod-db-archive-immutable.s3.us-east-1.amazonaws.com/ProductionDB_Full.bak'
WITH FORMAT, COMPRESSION, STATS = 10;
GO

Avtomatizacija in orkestracija s CloudSave

Upravljanje nespremenljivih zastavic hrambe, rotiranje dostopnih ključev in zagotavljanje sinhronizacije med politikami hrambe baz podatkov ter ključavnicami shranjevanja prek skriptov je zelo nagnjeno k napakam. Ena sama napačna konfiguracija v cron opravilu ali API klicu lahko pusti vaše arhive izpostavljene ali povzroči vrtoglave stroške shranjevanja v oblaku zaradi osirotelih, zaklenjenih objektov.

Podjetniške platforme za varnostno kopiranje, kot je CloudSave, poenostavljajo to arhitekturo. CloudSave se izvorno integrira z AWS S3 Object Lock, Azure Blob Immutable Storage in lokalnimi S3-združljivimi API-ji.

Pri konfiguraciji načrta varnostnega kopiranja baze podatkov v CloudSave:
1. Platforma samodejno obravnava VSS (Volume Shadow Copy Service) mirovanje za SQL Server ali pg_start_backup() API za PostgreSQL.
2. Pretaka deduplicirane, šifrirane podatke varnostne kopije neposredno na cilj shranjevanja.
3. CloudSave dinamično uporablja WORM API klice (npr. PutObjectRetention) na ravni posameznega objekta, s čimer popolnoma uskladi trajanje ključavnice shranjevanja s politiko določenega urnika hrambe.
4. Če napadalec ogrozi nadzorno konzolo CloudSave, še vedno ne more izbrisati varnostnih kopij, saj ključavnico skladnosti uveljavlja osnovna shranjevalna infrastruktura, ne programska oprema za varnostno kopiranje.

Najboljše prakse za nespremenljive arhive baz podatkov

Da zagotovite, da je vaša nespremenljiva arhitektura resnično odporna, upoštevajte naslednje sistemske inženirske najboljše prakse:

1. Stroga NTP sinhronizacija

Nespremenljive ključavnice so matematično vezane na časovne žige. Če je storitev NTP (Network Time Protocol) na vašem shranjevalnem polju ali strežniku za varnostno kopiranje ogrožena ali zamaknjena, lahko povzroči, da ključavnice potečejo prezgodaj ali sploh ne potečejo. Zagotovite, da vaša shranjevalna infrastruktura uporablja preverjene, redundantne NTP vire.

2. Izolacija IAM vlog in poverilnic

Poverilnice, ki se uporabljajo za pisanje v nespremenljivo vedro, morajo imeti samo dovoljenja s3:PutObject in s3:PutObjectRetention. Nikoli ne smejo imeti dovoljenj s3:DeleteObject ali s3:PutBucketObjectLockConfiguration.

Primer IAM politike z najmanjšimi privilegiji za agenta varnostnega kopiranja baze podatkov:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetBucketObjectLockConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::prod-db-archive-immutable",
                "arn:aws:s3:::prod-db-archive-immutable/*"
            ]
        }
    ]
}

3. Določanje obdobja hrambe

Ne nastavljajte ključavnic skladnosti za pretirano dolga obdobja (npr. 7 let za skladnost) na vaši primarni ravni za hitro obnovitev. Baze podatkov ustvarjajo ogromne količine WAL/transakcijskih dnevnikov. Zaklepanje teh podatkov za leta bo povzročilo eksponentno rast stroškov shranjevanja.
Namesto tega uporabite večstopenjski pristop:
* Raven operativne obnovitve: 14 do 30 dni nespremenljive hrambe za polne varnostne kopije in dnevnike.
* Raven dolgoročnega arhiviranja: Mesečne polne varnostne kopije, premaknjene v Glacier/Deep Archive z Vault Lock za 1-7 let.

4. Redno testiranje obnovitve v izoliranih (air-gapped) VPC-jih

Nespremenljivost zagotavlja, da podatkov ni mogoče izbrisati, vendar ne zagotavlja, da so podatki brez logične korupcije. Avtomatizirati morate obnovitev vaših nespremenljivih arhivov baz podatkov v izoliran, “air-gapped” VPC ali VLAN. Zaženite DBCC CHECKDB (SQL Server) ali pg_amcheck (PostgreSQL) na obnovljenih podatkih, da preverite strukturno celovitost.

Zaključek

Obramba pred izsiljevalsko programsko opremo je vaja v predpostavki vdora. Do trenutka, ko se v vašem SIEM sistemu sproži opozorilo, so grožnje verjetno že poskušale ogroziti vašo infrastrukturo za varnostno kopiranje. Z načrtovanjem arhivov baz podatkov z uporabo nespremenljivega shranjevanja v načinu skladnosti napadalcem odvzamete njihov glavni vzvod. Ne glede na to, ali uporabljate izvorne API-je v oblaku, ZFS zadržanja ali platformo za orkestracijo podjetniškega razreda, kot je CloudSave, implementacija WORM shranjevanja ni več neobvezna – je obvezen steber sodobnega upravljanja baz podatkov in obnavljanja po nesrečah.

Kategorije