3-2-1 backup + offline/immutable copies
Множество копия на критични данни, върху различни media, с поне едно отделено/immutable копие.
Какво е
Множество копия на критични данни, върху различни media, с поне едно отделено/immutable копие.
Как работи
Ransomware или malicious admin не трябва да може да унищожи едновременно production и всички backups.
Лош сценарий
Организацията има backup на всеки час. Backup console е domain-joined и използва същия administrative identity plane като production. Attacker придобива Domain Admin, изтрива snapshots и backup jobs, после пуска ransomware.
Backup е съществувал. Recovery capability не е съществувала.
По-добър модел
- отделен backup identity plane;
- immutable/offline копия;
- MFA за destructive actions;
- ограничен management path;
- периодични restore tests.
Най-важният тест
Изберете critical service и възстановете реално до clean environment. Засечете времето. Ако RTO е 8 часа, а restore drill отнема 3 дни, документът лъже по-убедително от ransomware operator-а.
Практическа имплементация
- Offline/immutable copy.
- Separate backup identity plane.
- MFA for destructive actions.
- Restore tests.
- RPO/RTO definitions.
- Golden images и offline IaC/templates.
Какво НЕ решава
Backup не спира data exfiltration и extortion. Restore без testing е надежда, не control.
Предпазва най-силно от
- Backup Sabotage · Кражба, унищожаване и манипулация на данни
- Cloud Backup/Snapshot Deletion · Cloud, SaaS, containers и Kubernetes
- Cloud Ransomware / Storage Encryption · Cloud, SaaS, containers и Kubernetes
- Crypto-ransomware · Malware и злонамерен код
- Data Destruction · Кражба, унищожаване и манипулация на данни
- Disk Wiping · Кражба, унищожаване и манипулация на данни
- Double-extortion ransomware · Malware и злонамерен код
- Inhibit System Recovery · Кражба, унищожаване и манипулация на данни
- Insider Sabotage · Insider, физически атаки и removable media
- Locker ransomware · Malware и злонамерен код
- OT/ICS Ransomware · IoT, OT и ICS
- Ransomware · Malware и злонамерен код
- Triple / multi-extortion ransomware · Malware и злонамерен код
- Wiper / destructive malware · Malware и злонамерен код