Игорь Рыжевнин

Современные атаки шифровальщиков порой начинаются не с рабочих серверов. Первым делом они ищут бэкапы, чтобы зашифровать их или уничтожить — и только потом переходят к проду. Если копии лежат рядом с продом и доступны по сети, то при атаке погибнут вместе с ним. При этом злоумышленникам неважно, что находится внутри: NAS, облачная папка или тот же vSphere. Ленточная библиотека остается единственным массовым носителем, который физически недоступен по сети. В момент записи его данные невозможно прочитать или изменить. Если данные лежат в ячейках библиотеки или в отдельной вынесенной ячейке хранения за ее пределами, то вредоносное ПО их не зашифрует. Привет! Меня зовут Игорь Рыжевнин, я менеджер продуктов хранения данных в Selectel. В этой статье разберем, как устроена ленточная библиотека, какие у нее преимущества и недостатки и в каких сценариях ее можно использовать. Что такое ленточная библиотека Ленточная библиотека — это устройство для хранения, записи и чтения больших объемов данных на магнитных лентах (картриджах). У нее бывают разные форм-факторы: от компактных на пару юнитов, которые ставят в стойку рядом с сервером, до больших стоек со слотами на тысячи кассет. Задача у ленты при этом одна — хранить много носителей и подавать их в приводы без человека. Давайте посмотрим, что находится внутри такого устройства. Приводы LTO для чтения и записи. В компактных библиотеках используют один-два привода, в больших на тысячи кассет — несколько. Записи при этом идут параллельно на каждом приводе. Слоты для картриджей. Это ячейки хранения внутри корпуса. Обычно их от десяти в настольных моделях до тысячи в стоечных. Робот-манипулятор. Переносит картриджи между слотами и приводами. Время на подачу измеряется секундами. Мэйлслот. Окошко для выдачи и приема картриджей без вскрытия корпуса и нарушений инвентаризации Штрихкод-ридер. Сканирует наклейки и превращает их в тестовую строку, чтобы библиотека всегда знала, какой картридж находится в каком слоте. Контроллер библиотеки. Управляет всеми этими элементами и отдает состояние средству резервного копированию по сети. До этого мы говорили о «железной» начинке библиотеки: о том, что находится внутри корпуса. Но чтобы библиотека действительно приносила пользу, она должна быть подключена к серверу резервного копирования. Рассмотрим, как это происходит. Сетевые протоколы позволяют библиотеке подключаться к серверу бэкапа как обычному SCSI-устройству. FC (Fibre Channel) — основной вариант для корпоративных библиотек. SAS — прямое подключение к серверу, типично для компактных моделей. ПО резервного копирования (Veeam, Кибер Бэкап, Bacula, Bareos и др.) работает с приводами через эти же каналы. Кроме того, он сам управляет роботом: определяет, куда какую кассету вставить и когда сменить. Поскольку в статье мы будем использовать много разных терминов, перед прочтением рекомендую ознакомиться с ними. Так будет проще следить за рассуждениями. Картридж — лента в пластиковом корпусе. Слот — ячейка, где находится этот картридж. Инвентаризация — когда библиотека всегда знает, какой картридж где находится. Чистящий картридж — для периодической чистки головок приводов. Схема ротации GFS (Grandfather-Father-Son) — ежедневные, недельные и месячные поколения копий на разных кассетах. D2D2T (диск-диск-лента) — сначала копия записывается на быстрый диск, потом выгружается на ленту. Таким образом окно записи не страдает. Поколения LTO: емкости и скорость Понятно, что все это железо кто-то производит. На рынке ленточных библиотек есть три ключевых вендора: Quantum, HPE и IBM — именно их решения чаще всего встречаются в дата-центрах по всему миру. Приводы в библиотеках используют стандарт LTO (Linear Tape-Open). Его развивает не один производитель, а консорциум из трех компаний, которых упомянули выше. Вместе они проектируют каждое новое поколение: определяют характеристики носителей и приводов, чтобы библиотеки и картриджи разных вендоров были совместимы между собой. Новые поколения выходят примерно раз в два-три года и отличаются друг от друга характеристиками. Давайте рассмотрим их подробнее. ПоколениеНативно (без сжатия)Сжатие 2.5:1Скорость записиТБ/часLTO-76 ТБ15 ТБ300 МБ/соколо 1,1LTO-812 ТБ30 ТБ360 МБ/соколо 1,3LTO-918 ТБ45 ТБ400 МБ/соколо 1,4LTO-1030 ТБ (по планам консорциума)75 ТБ750 МБ/соколо 2,7 Помимо емкости и скорости у ленты есть два режима, о которых стоит сказать отдельно. С ними связана половина преимуществ — ниже поговорим о них подробнее. WORM — запись «один раз навсегда». Переписать или удалить ее нельзя. Этот режим нужен для соответствия требованиям регуляторов. LTFS — лента как файловая система. Картридж читается как обычный диск с папками без бэкап-ПО. В Selectel доступны библиотеки с приводами от LTO-7 до LTO-10 — это весь актуальный диапазон стандарта. Вы можете собрать свой парк под задачу и бюджет. LTO-7 и LTO-8 закрывают задачи с небольшими объемами. LTO-9 предоставляет оптимум по цене картриджа на терабайт, а LTO-10 дает максимум емкости на носитель. Плюсы и минусы ленты Теперь когда мы знаем, как устроена лента и какие у нее поколения, ответим на главный вопрос: зачем она нужна и за что приходится заплатить. Начнем с главного аргумента — цены. На больших объемах лента остается самым дешевым носителем из массовых: стоимость терабайта ниже только у варианта «не хранить вообще». Если у вас петабайты холодных данных, разница с дисками и облаком измеряется в серьезных суммах в год. При этом картридж, который просто лежит на полке, не потребляет энергию — вы не платите за электричество и охлаждение, пока носитель не нужен. Второй аргумент — безопасность. Лента предоставляет физическую изоляцию от сети (air gap). Это значит, что носителя просто нет в сети, пока он не вставлен в привод. К этому добавляются срок хранения до 30 лет и режим WORM с неизменяемой записью. Есть и обратная сторона. Доступ к данным у ленты последовательный: время чтения и записи больших объемов измеряется часами, а не миллисекундами. Кроме того, носители требуют ротации и логистики — картриджи надо менять, вывозить и учитывать. Впрочем, эту часть в Selectel мы берем на себя. От 3-2-1 к 3-2-1-1-0 Чтобы понять, где именно лента находится в стратегии резервного копирования, вспомним базовые правила отрасли. Отправная точка — классическое правило 3-2-1: три копии, два типа носителей, одна вне площадки. Оно давно стало стандартом и в целом неплохо защищало инфраструктуру от сбоев оборудования и локальных аварий. Но программы-вымогатели заставили пересмотреть это правило. Злоумышленники научились добираться до бэкапов по сети, поэтому копия «вне площадки» перестала быть гарантией, если она все равно доступна онлайн. Так появилась расширенная схема 3-2-1-1-0. 1 — офлайн- или неизменяемая копия, недоступная из сети и защищенная от изменения. 0 — ноль ошибок при восстановлении. Регулярные тестовые проверки (restore). Бэкап, который не проверяли, — не бэкап. Лента закрывает обе задачи сразу. Вынутый картридж предоставляет офлайн-копию, а WORM — неизменяемость. Тестовое восстановление мы организуем прямо у себя, об этом расскажем ниже. Отдельная причина жить с лентой — соблюдение требований регуляторов. В финсекторе, телекоме и медицине законодательно установлены сроки хранения данных. Обычно это годы, а не месяцы. Часто прямым требованием является WORM — запись, которую нельзя несанкционированно изменить. Не стоит забывать и о 152-ФЗ с требованиями к хранению персональных данных. Если ваша отрасль попадает под такие требования, лента — один из самых экономичных способов их выполнить. Важно понимать, что конкретный набор требований зависит от отрасли и аудита. Мы помогаем закрыть техническую часть, но юридические интерпретации стоит проверять со своими комплаенс-службами. Как это устроено в Selectel Правила правилами, но как все это выглядит на практике? У нас вы можете взять ленточную библиотеку в аренду как сервис — без CAPEX и без покупки железа, которое будет простаивать. Ниже разберем пять сценариев работы: четыре базовых варианта аренды и один для компаний с жесткими регуляторными требованиями. Для каждого поясним, кому он подходит и что закрывает в методологии 3-2-1-1-0. Внутри нашей инфраструктуры Это самый простой старт. Вы уже пользуетесь нашими облачными или выделенными серверами и рядом арендуете выделенную ленточную библиотеку для бэкапов. В случае с облаком вам потребуется дополнительный выделенный сервер. Такой вариант подходит тем, кто хочет получить ленту без строительства собственной инфраструктуры и доставки носителей на свою площадку. Бэкап из своего контура Здесь противоположный случай. Собственный дата-центр или серверные у вас уже есть, а вот второго контура для бэкапов — еще нет. Вы берете у нас выделенный сервер и ленточную библиотеку, затем пишете в нее бэкапы из своего дата-центра или другой площадки. Подходит тем, кому нужна копия физически вне основной инфраструктуры, но с записью и управлением из привычного окружения. Перенос на хранение Картриджи необязательно держать в библиотеке постоянно. По запросу наши инженеры могут перенести носители из библиотеки в ячейку хранения — антистатический шкаф с полками, где картриджи лежат во влагостойких, пылестойких и ударопрочных кейсах. Подходит тем, кому важно, чтобы последняя копия была физически вынесена из библиотеки. Так носители находятся отдельно от вычислительного контура — даже инцидент на площадке не затронет копии. Восстановление у нас Возможен и такой случай: ленту вы писали у себя или у другого провайдера, а мощностей для восстановления нет или вы хотите его просто отрепетировать. Тогда вы приносите свои картриджи, а мы предоставляем вам инфраструктуру для восстановления. Этот сценарий напрямую закрывает «ноль ошибок» из методологии 3-2-1-1-0: восстановление можно протестировать заранее, а не в момент аварии. Отдельно скажем про безопасность. В библиотеку встроен mail slot — окошко для выдачи и приема картриджей без вскрытия корпуса, инвентаризация при этом не ломается. PIN-код на библиотеку знает только клиент, выдача картриджей идет по тикету. На площадке работают видеонаблюдение, изолированные ячейки и СКУД. Комбинация ленты и S3 Лучше всего методология из пятого пункта работает, когда лента не единственный продукт, а часть цепочки. У нас оба звена этой цепочки есть. Полная цепочка выглядит следующим образом. Данные направляют в геораспределенный S3. Реплики живут в нескольких локациях. Из S3 данные выгружаются на ленту средствами СРК на связанном с лентой сервером бэкапа. По запросу картриджи уходят в ячейку хранения или на склад. Так же они могут оставаться в самой библиотеки. В этом случае разные типы носителей (объектное хранилище плюс лента) и еще одна физически вынесенная копия находятся поверх геораспределенного S3. Методология 3-2-1-1-0 выполнена целиком: от первого до последнего шага. Остается вопрос: а что происходит с копией, пока она живет в S3 и ждет выгрузки на ленту? Ее нельзя потерять из-за компрометации ключей — для этого есть два компонента. Object Lock — неизменяемые версии объектов. Удалить или перезаписать нельзя даже с украденными ключами. S3 Vault — соседний продукт, который дополнительно защищает бакеты. Кому лента не подойдет Бывают ситуации, когда лента — не лучший выбор, и мы честно об этом скажем. Если объем бэкапов мал, проще и дешевле держать копии в объектном хранилище, поскольку аренда библиотеки себя не окупит. Если нужен мгновенный restore — скорость ленты измеряется часами, а то и днями. При критичных RPO/RTO разумнее взять диск. КритерийЛентаS3HDDЦена за ТБ/месминимальнаясредняясредняяRTOминуты и часысекундысекунды и минутыRPOпо расписаниюближе к нулюближе к нулюИзоляция от сетиполнаянетнет Что делать, если вы узнали свой случай? Оптимальная схема — комбинированная. Диск или S3 подойдут для оперативных копий с быстрым восстановлением, лента — для долгосрочного хранения и последней линии обороны. Именно так лента приносит максимум пользы. Чек-лист перед арендой СХД Если после знакомства с лентой вы захотели использовать ленту в своей инфраструктуре, задайте себе четыре вопроса. Это поможет понять, какой сценарий аренды вам подойдет или стоит взять все сразу. Какой объем бэкапов выходит за окно записи? Какое RTO допустимо? Если счет идет на минуты, то ленту стоит использовать только как последний рубеж. Что требует регулятор по срокам и неизменяемости? Есть ли у вас сейчас air gap? Если нет, то вы находитесь в одном инциденте от потери. Заключение Программы-вымогатели эволюционировали: злоумышленники нацелены сначала на бэкапы, затем на продакшен. Соответственно, отвечать нужно тем же — последняя копия должна быть недосягаемой. Многоуровневая защита усложнит попытки добраться до нее, а возможно, и вовсе сорвет их злодейские планы. Лента предоставляет необходимую защиту — air gap (без доступа к сети) и WORM (неизменяемость данных). Связка с геораспределенным S3 закрывает методологию 3-2-1-1-0 целиком. При этом в нашем S3 есть дополнительный WORM — Object Lock.Самостоятельная покупка библиотеки — это CAPEX и операционная нагрузка на бюджет, поскольку картриджи нужно где-то хранить, ротировать и перевозить. Аренда библиотеки в Selectel закрывает и то и другое: мы не только предоставляем железо, но и берем на себя всю работу с носителями — хранение в ячейках, перенос картриджей, восстановление на нашей площадке.