Ленточная библиотека: бэкапы, до которых шифровальщики не доберутся

Ленточная библиотека остается единственным массовым носителем, который физически недоступен по сети. В момент записи его данные невозможно прочитать или изменить. Если данные лежат в ячейках библиотеки или в отдельной вынесенной ячейке хранения за ее пределами, то вредоносное ПО их не зашифрует. 

Привет! Меня зовут Игорь Рыжевнин, я менеджер продуктов хранения данных в Selectel. В этой статье разберем, как устроена ленточная библиотека, какие у нее преимущества и недостатки и в каких сценариях ее можно использовать.

Что такое ленточная библиотека

Ленточная библиотека — это устройство для хранения, записи и чтения больших объемов данных на магнитных лентах (картриджах). У нее бывают разные форм-факторы: от компактных на пару юнитов, которые ставят в стойку рядом с сервером, до больших стоек со слотами на тысячи кассет. Задача у ленты при этом одна — хранить много носителей и подавать их в приводы без человека.

Давайте посмотрим, что находится внутри такого устройства.

• Приводы LTO для чтения и записи. В компактных библиотеках используют один-два привода, в больших на тысячи кассет — несколько. Записи при этом идут параллельно на каждом приводе.
• Слоты для картриджей. Это ячейки хранения внутри корпуса. Обычно их от десяти в настольных моделях до тысячи в стоечных.
• Робот-манипулятор. Переносит картриджи между слотами и приводами. Время на подачу измеряется секундами.
• Мэйлслот. Окошко для выдачи и приема картриджей без вскрытия корпуса и нарушений инвентаризации
• Штрихкод-ридер. Сканирует наклейки и превращает их в тестовую строку, чтобы библиотека всегда знала, какой картридж находится в каком слоте.
• Контроллер библиотеки. Управляет всеми этими элементами и отдает состояние средству
  резервного копированию по сети.

До этого мы говорили о «железной» начинке библиотеки: о том, что находится внутри корпуса. Но чтобы библиотека действительно приносила пользу, она должна быть подключена к серверу резервного копирования. Рассмотрим, как это происходит.

Сетевые протоколы позволяют библиотеке подключаться к серверу бэкапа как обычному SCSI-устройству.

• FC (Fibre Channel) — основной вариант для корпоративных библиотек.
• SAS — прямое подключение к серверу, типично для компактных моделей.

ПО резервного копирования (Veeam, Кибер Бэкап, Bacula, Bareos и др.) работает с приводами через эти же каналы. Кроме того, он сам управляет роботом: определяет, куда какую кассету вставить и когда сменить.

Поскольку в статье мы будем использовать много разных терминов, перед прочтением рекомендую ознакомиться с ними. Так будет проще следить за рассуждениями.

• Картридж — лента в пластиковом корпусе.
• Слот — ячейка, где находится этот картридж.
• Инвентаризация — когда библиотека всегда знает, какой картридж где находится.
• Чистящий картридж — для периодической чистки головок приводов.
• Схема ротации GFS (Grandfather-Father-Son) — ежедневные, недельные и месячные поколения копий на разных кассетах.
• D2D2T (диск-диск-лента) — сначала копия записывается на быстрый диск, потом выгружается на ленту. Таким образом окно записи не страдает.

Поколения LTO: емкости и скорость

Понятно, что все это железо кто-то производит. На рынке ленточных библиотек есть три ключевых вендора: Quantum, HPE и IBM — именно их решения чаще всего встречаются в дата-центрах по всему миру.

Приводы в библиотеках используют стандарт LTO (Linear Tape-Open). Его развивает не один производитель, а консорциум из трех компаний, которых упомянули выше. Вместе они проектируют каждое новое поколение: определяют характеристики носителей и приводов, чтобы библиотеки и картриджи разных вендоров были совместимы между собой. 

Новые поколения выходят примерно раз в два-три года и отличаются друг от друга характеристиками. Давайте рассмотрим их подробнее.

Поколение	Нативно (без сжатия)	Сжатие 2.5:1	Скорость записи	ТБ/час
LTO-7	6 ТБ	15 ТБ	300 МБ/с	около 1,1
LTO-8	12 ТБ	30 ТБ	360 МБ/с	около 1,3
LTO-9	18 ТБ	45 ТБ	400 МБ/с	около 1,4
LTO-10	30 ТБ (по планам консорциума)	75 ТБ	750 МБ/с	около 2,7

Помимо емкости и скорости у ленты есть два режима, о которых стоит сказать отдельно. С ними связана половина преимуществ — ниже поговорим о них подробнее.

• WORM — запись «один раз навсегда». Переписать или удалить ее нельзя. Этот режим нужен для соответствия требованиям регуляторов.
• LTFS — лента как файловая система. Картридж читается как обычный диск с папками без бэкап-ПО.

В Selectel доступны библиотеки с приводами от LTO-7 до LTO-10 — это весь актуальный диапазон стандарта. Вы можете собрать свой парк под задачу и бюджет. LTO-7 и LTO-8 закрывают задачи с небольшими объемами. LTO-9 предоставляет оптимум по цене картриджа на терабайт, а LTO-10 дает максимум емкости на носитель.

Плюсы и минусы ленты

Теперь когда мы знаем, как устроена лента и какие у нее поколения, ответим на главный вопрос: зачем она нужна и за что приходится заплатить.

Начнем с главного аргумента — цены. На больших объемах лента остается самым дешевым носителем из массовых: стоимость терабайта ниже только у варианта «не хранить вообще». Если у вас петабайты холодных данных, разница с дисками и облаком измеряется в серьезных суммах в год. При этом картридж, который просто лежит на полке, не потребляет энергию — вы не платите за электричество и охлаждение, пока носитель не нужен.

Второй аргумент — безопасность. Лента предоставляет физическую изоляцию от сети (air gap). Это значит, что носителя просто нет в сети, пока он не вставлен в привод. К этому добавляются срок хранения до 30 лет и режим WORM с неизменяемой записью.

Есть и обратная сторона. Доступ к данным у ленты последовательный: время чтения и записи больших объемов измеряется часами, а не миллисекундами. Кроме того, носители требуют ротации и логистики — картриджи надо менять, вывозить и учитывать. Впрочем, эту часть в Selectel мы берем на себя.

От 3-2-1 к 3-2-1-1-0

Чтобы понять, где именно лента находится в стратегии резервного копирования, вспомним базовые правила отрасли. Отправная точка — классическое правило 3-2-1: три копии, два типа носителей, одна вне площадки. Оно давно стало стандартом и в целом неплохо защищало инфраструктуру от сбоев оборудования и локальных аварий.

Но программы-вымогатели заставили пересмотреть это правило. Злоумышленники научились добираться до бэкапов по сети, поэтому копия «вне площадки» перестала быть гарантией, если она все равно доступна онлайн. Так появилась расширенная схема 3-2-1-1-0. 

• 1 — офлайн- или неизменяемая копия, недоступная из сети и защищенная от изменения.
• 0 — ноль ошибок при восстановлении. Регулярные тестовые проверки (restore). Бэкап, который не проверяли, — не бэкап.

Лента закрывает обе задачи сразу. Вынутый картридж предоставляет офлайн-копию, а WORM — неизменяемость. Тестовое восстановление мы организуем прямо у себя, об этом расскажем ниже.

Отдельная причина жить с лентой — соблюдение требований регуляторов. В финсекторе, телекоме и медицине законодательно установлены сроки хранения данных. Обычно это годы, а не месяцы. Часто прямым требованием является WORM — запись, которую нельзя несанкционированно изменить. Не стоит забывать и о 152-ФЗ с требованиями к хранению персональных данных. Если ваша отрасль попадает под такие требования, лента — один из самых экономичных способов их выполнить.

Важно понимать, что конкретный набор требований зависит от отрасли и аудита. Мы помогаем закрыть техническую часть, но юридические интерпретации стоит проверять со своими комплаенс-службами. 

Как это устроено в Selectel

Правила правилами, но как все это выглядит на практике? У нас вы можете взять ленточную библиотеку в аренду как сервис — без CAPEX и без покупки железа, которое будет простаивать. Ниже разберем пять сценариев работы: четыре базовых варианта аренды и один для компаний с жесткими регуляторными требованиями. Для каждого поясним, кому он подходит и что закрывает в методологии 3-2-1-1-0.

Внутри нашей инфраструктуры

Это самый простой старт. Вы уже пользуетесь нашими облачными или выделенными серверами и рядом арендуете выделенную ленточную библиотеку для бэкапов. В случае с облаком вам потребуется дополнительный выделенный сервер. Такой вариант подходит тем, кто хочет получить ленту без строительства собственной инфраструктуры и доставки носителей на свою площадку.

Бэкап из своего контура

Здесь противоположный случай. Собственный дата-центр или серверные у вас уже есть, а вот второго контура для бэкапов — еще нет. Вы берете у нас выделенный сервер и ленточную библиотеку, затем пишете в нее бэкапы из своего дата-центра или другой площадки. Подходит тем, кому нужна копия физически вне основной инфраструктуры, но с записью и управлением из привычного окружения.

Перенос на хранение

Картриджи необязательно держать в библиотеке постоянно. По запросу наши инженеры могут перенести носители из библиотеки в ячейку хранения — антистатический шкаф с полками, где картриджи лежат во влагостойких, пылестойких и ударопрочных кейсах. Подходит тем, кому важно, чтобы последняя копия была физически вынесена из библиотеки. Так носители находятся отдельно от вычислительного контура — даже инцидент на площадке не затронет копии.

Восстановление у нас

Возможен и такой случай: ленту вы писали у себя или у другого провайдера, а мощностей для восстановления нет или вы хотите его просто отрепетировать. Тогда вы приносите свои картриджи, а мы предоставляем вам инфраструктуру для восстановления. Этот сценарий напрямую закрывает «ноль ошибок» из методологии 3-2-1-1-0: восстановление можно протестировать заранее, а не в момент аварии.

Отдельно скажем про безопасность. В библиотеку встроен mail slot — окошко для выдачи и приема картриджей без вскрытия корпуса, инвентаризация при этом не ломается. PIN-код на библиотеку знает только клиент, выдача картриджей идет по тикету. На площадке работают видеонаблюдение, изолированные ячейки и СКУД.

Комбинация ленты и S3 

Лучше всего методология из пятого пункта работает, когда лента не единственный продукт, а часть цепочки. У нас оба звена этой цепочки есть. Полная цепочка выглядит следующим образом.

1. Данные направляют в геораспределенный S3. Реплики живут в нескольких локациях.
2. Из S3 данные выгружаются на ленту средствами СРК на связанном с лентой сервером бэкапа.
3. По запросу картриджи уходят в ячейку хранения или на склад. Так же они могут оставаться в самой библиотеки.

В этом случае разные типы носителей (объектное хранилище плюс лента) и еще одна физически вынесенная копия находятся поверх геораспределенного S3. Методология 3-2-1-1-0 выполнена целиком: от первого до последнего шага.

Остается вопрос: а что происходит с копией, пока она живет в S3 и ждет выгрузки на ленту? Ее нельзя потерять из-за компрометации ключей — для этого есть два компонента. 

• Object Lock — неизменяемые версии объектов. Удалить или перезаписать нельзя даже с украденными ключами.
• S3 Vault — соседний продукт, который дополнительно защищает бакеты. 

Кому лента не подойдет

Бывают ситуации, когда лента — не лучший выбор, и мы честно об этом скажем. Если объем бэкапов мал, проще и дешевле держать копии в объектном хранилище, поскольку аренда библиотеки себя не окупит. Если нужен мгновенный restore — скорость ленты измеряется часами, а то и днями. При критичных RPO/RTO разумнее взять диск.

Критерий	Лента	S3	HDD
Цена за ТБ/мес	минимальная	средняя	средняя
RTO	минуты и часы	секунды	секунды и минуты
RPO	по расписанию	ближе к нулю	ближе к нулю
Изоляция от сети	полная	нет	нет

Что делать, если вы узнали свой случай? Оптимальная схема — комбинированная. Диск или S3 подойдут для оперативных копий с быстрым восстановлением, лента — для долгосрочного хранения и последней линии обороны. Именно так лента приносит максимум пользы.

Чек-лист перед арендой СХД

Если после знакомства с лентой вы захотели использовать ленту в своей инфраструктуре, задайте себе четыре вопроса. Это поможет понять, какой сценарий аренды вам подойдет или стоит взять все сразу.

• Какой объем бэкапов выходит за окно записи?
• Какое RTO допустимо? Если счет идет на минуты, то ленту стоит использовать только как последний рубеж.
• Что требует регулятор по срокам и неизменяемости?
• Есть ли у вас сейчас air gap? Если нет, то вы находитесь в одном инциденте от потери.

Заключение

Программы-вымогатели эволюционировали: злоумышленники нацелены сначала на бэкапы, затем на продакшен. Соответственно, отвечать нужно тем же — последняя копия должна быть недосягаемой. Многоуровневая защита усложнит попытки добраться до нее, а возможно, и вовсе сорвет их злодейские планы.

Лента предоставляет необходимую защиту — air gap (без доступа к сети) и WORM (неизменяемость данных). Связка с геораспределенным S3 закрывает методологию 3-2-1-1-0 целиком. При этом в нашем S3 есть дополнительный WORM — Object Lock.

Самостоятельная покупка библиотеки — это CAPEX и операционная нагрузка на бюджет, поскольку картриджи нужно где-то хранить, ротировать и перевозить. Аренда библиотеки в Selectel закрывает и то и другое: мы не только предоставляем железо, но и берем на себя всю работу с носителями — хранение в ячейках, перенос картриджей, восстановление на нашей площадке.