Подаци су постали крвоток сваког пословања, а њихов губитак може значити било шта, од мањег страха до потпуне финансијске и репутационе катастрофе. Многе компаније већ редовно праве резервне копије својих података, али још мање њих додаје суштински слој: шифровање резервне копијетако да нико не може да прочита информације ако падну у погрешне руке.
Шифровање резервних копија није технички трик или пролазна мода, већ основна безбедносна мераОво је кључно за усклађеност са прописима попут GDPR-а и за сузбијање озбиљних претњи као што су ransomware или кршење података. У овом чланку ћемо јасно и концизно погледати шта су шифроване резервне копије, различите врсте шифровања које су доступне, повезане ризике, како се управља кључевима и како решења из стварног света попут NAKIVO-а, AWS Backup-а и Azure Backup-а ово имплементирају.
Шта је шифровање резервних копија и зашто би вас то требало занимати?
Када говоримо о шифровању резервних копија, мислимо на трансформишите резервну копију из читљивог у нечитљиви формат коришћењем криптографских алгоритама. Овај „превод“ може се поништити само важећим кључем за дешифровање или лозинком, тако да чак и ако неко украде резервну датотеку, не може приступити садржају без тог кључа.
У пракси, шифровање претвара ваше податке у бесмислицу која нема смисла без исправног кључа. Обичан текст или обичне датотеке се конвертују у шифровани текст, тако да су осетљиве информације (лични, финансијски, медицински подаци, интелектуална својина итд.) заштићене и када се чувају и када се преносе преко мреже.
Шифровање резервних копија је постало суштинско Зато што нападачи више нису задовољни само шифровањем или брисањем производних података: они такође покушавају да саботирају или украду резервне копије како би спречили опоравак или да изнуде новац објављивањем података. Без шифровања, украдена резервна копија може да открије вашу организацију за неколико сати.
Значај шифровања резервних копија
Први разлог за шифровање резервних копија је спречити крађу и цурење информацијаСајбер криминалац који добије приступ нешифрованој копији може је продати, јавно је објавити или је користити за уцену ваше организације. Са јаком енкрипцијом, чак и ако украду резервне копије, све што добију је бескорисна бука.
Модерни напади злонамерног софтвера, шпијунског софтвера и ransomware-а постају све софистициранији и посебно су дизајнирани да пронађу, униште или украду резервне копије. Имати само нешифроване резервне копије је као чувати новац у отвореном сефу. Шифровање додаје додатну баријеру која знатно отежава живот нападачу.
Штавише, шифровање је директан или индиректан захтев многих стандарда усклађеностGDPR у ЕУ, PCI DSS за податке о картицама, HIPAA у здравственом сектору, CCPA у Калифорнији, SOC, CIRCIA и многи други. Многи од ових прописа захтевају заштиту података „у транзиту и у мировању“, а шифровање резервних копија је једна од експлицитно поменутих мера.
Такође побољшава општа безбедност стратегије резервних копијапосебно када се користе преносиви медији или удаљене локације. Ако неко украде екстерни чврсти диск, траку или НАС који садржи правилно шифроване резервне копије, нећете моћи да приступите критичним подацима чак и ако имате физички медиј у руци.
Шифроване резервне копије против ransomware-а
Резервне копије су сигурносна мрежа за ransomware и део а план реаговања на инциденте у облакуАко нападач шифрује или избрише оригиналне податке, можете их вратити из резервне копије и наставити операције. Управо зато многе групе рансомвера покушавају да пронађу и униште резервне копије пре него што покрену последњи напад, остављајући вас без плана за резервне копије.
Ако су ваше копије шифроване помоћу робусни алгоритми (нпр. AES-256) А пошто се кључеви или лозинке чувају у безбедном и изолованом окружењу, нападач који украде резервне копије датотека неће моћи да прочита њихов садржај. Ово значајно смањује вредност крађе и чини многе тактике двоструке изнуде („плати ми или ћу објавити твоје податке“) бесмисленим.
У неким сценаријима, хардверско шифровање помоћу HSM модула (PCIe картице, USB токени, паметне картице, HASP кључеви итд.) Пружа додатни слој безбедности.Због тога је издвајање кључа знатно теже. Мана је што додаје трошкове, зависност од драјвера и извесну оперативну сложеност.
Да бисте додатно заштитили резервне копије од ransomware-а, препоручљиво је да их комбинујете са изоловано складиштењеСистеми искључени са мреже, непроменљива складишта или спремишта са могућностима непроменљивости. На овај начин, злонамерни софтвер не може чак ни да мења или брише резервне копије, а ако су оне и шифроване, не може да искористи њихов садржај.
Шифровање у мировању и шифровање у преносу
Када говоримо о шифрованим резервним копијама, постоје два кључна тренутка када је потребно заштитити податке: током путовања кроз мрежу (у транзиту) и током складиштења на одредишту (у мировању). Идеално би било да оба фронта буду покривена како не би остало рањивости.
- Шифровање током преноса штити мрежни саобраћај који садржи копије податакаБез њега, нападач са снифером би могао да ухвати пакете и реконструише осетљиве информације. Да би се то спречило, користе се протоколи као што су ТЛС у HTTPS везама, безбедним VPN-овима или другим механизмима који шифрују проток између извора и одредишта.
- Шифровање у мировању се примењује на складиште у којем се налазе резервне копије.Локални дискови, LTO траке, облачни томови, складиштење објеката итд. Циљ је да, ако неко приступи физичком медијуму или систему за складиштење, види само шифроване податке које је немогуће интерпретирати без кључа.
Највише се препоручује комбинујте шифровање током преноса и у стању мировањатако да су подаци заштићени од почетка до краја. Нека решења чак дозвољавају шифровање на извору и одржавање тог шифровања током целог животног циклуса резервне копије, као што ћемо видети касније.
Алгоритми за шифровање и основни концепти
За шифровање података Заједно са кључевима за шифровање користе се сложени математички алгоритми.Многи алати вам омогућавају да изведете ове кључеве из лозинке или лозинке, што кориснику олакшава памћење тајне без директног руковања дугим кључевима у бинарном или хексадецималном формату.
- СиметричноКористе исти кључ за шифровање и дешифровање. На пример, AES, DES, 3DES, Blowfish или Twofish. За резервне копије се обично користи симетрично шифровање ради ефикасности.
- АсиметричнаКористе парове кључева: јавни кључ за шифровање и приватни кључ за дешифровање. Класични су RSA (са кључевима од 1024, 2048 или 4096 бита), ECC, DSA или шеме размене попут Дифи-Хелмана.
AES (Напредни стандард шифровања) је постао де факто стандард да заштити податке у хиљадама апликација, укључујући системе за прављење резервних копија. Његове 128, 192 и 256-битне варијанте нуде различите нивое безбедности и потрошње ресурса, при чему је AES-256 најробуснија опција и широко се користи у критичним окружењима.
Што је кључ дужи, то је више времена и снаге потребно да се разбије енкрипција. грубом силом, али такође повећава оптерећење процесора и може мало смањити перформансе резервних копија и враћања података. На мрежи, шифровање такође додаје одређено оптерећење у облику метаподатака, заглавља и попуњавања.
У оквиру симетричних алгоритама, прави се разлика између ток шифре и блок шифреУ првом случају, обрађује се континуирани ток података, док блоковске шифре раде са блоковима фиксне величине (на пример, 64 или 128 бита). AES, DES и Blowfish су примери блоковских шифара, веома честих у системима за прављење резервних копија.
Ризици и мане шифрованих резервних копија
Иако шифровање пружа доста безбедности, оно такође То уводи одређене ризике и сложеност. што је важно разумети. Најочигледније је да ако изгубите кључ за дешифровање или лозинку, резервна копија постаје заувек неупотребљива; нико неће моћи да поврати те податке, чак ни добављач решења.
Још један велики ризик је да трећа страна добије приступ кључевимаУ том случају, целокупно шифровање не успева јер нападач може лако да дешифрује резервне копије. Зато је кључно имати робусну политику управљања кључевима и складиштења, са строгом контролом приступа и редовном ротацијом кључева.
Такође постоје специфична разматрања приликом шифровања на нивоу целог диска (FDE) или на нивоу запремине. Ако шифровани диск физички откаже, опоравак у лабораторијском окружењу може бити непрактичан, што чини резервне копије (идеално сачуване на одвојеним медијима) још важнијим како би се избегао губитак података.
Стога је од виталног значаја спровести периодичне пробне рестаурације. Није довољно веровати да је шифрована резервна копија ту; морате проверити да ли се она заиста може опоравити у различитим сценаријима (губитак сервера, промена верзије софтвера, миграција на другу инстанцу итд.).
Управљање кључевима: Ахилова пета шифровања
Коришћење једног кључа за шифровање целог окружења је темпирана бомба.Ако неко украде тај кључ или случајно процури, то аутоматски отвара врата свим шифрованим подацима. Најбољи приступ је сегментација: користите различите кључеве за различите системе, клијенте, типове података или спремишта.
Ови кључеви морају бити чувани на изузетно безбедним локацијама, са приступом ограниченим на овлашћено особље и јасним политикама коришћења. Штавише, морају бити успостављени процеси за ротацију кључева, опозив, прављење резервних копија кључева и процедуре опоравка у случају губитка кључа.
Да бисте управљали целим животним циклусом кључа Уобичајено је имплементирати KMS (систем за управљање кључевима)што централизује њихово креирање, складиштење, коришћење и ротацију. Релевантан стандард у овој области је KMIP (Key Management Interoperability Protocol), дизајниран да омогући различитим системима комуникацију са сервисом кључева.
Неки KMS функционишу као трезори за кључевеСа веома строгим контролама приступа, детаљном ревизијом ко користи који кључ и одакле, и подршком за HSM модуле, ова компонента је кључна при управљању многим шифрованим резервним копијама дистрибуираним између локалних и различитих облака.
Шифровање резервних копија у специјализованим решењима: NAKIVO, AWS и Azure
Модерни пакети за заштиту података интегришу шифровање као стандардну функцијунудећи веома детаљне опције за избор где и како се алгоритми примењују, као и њихову интеграцију са услугама управљања кључевима у облаку.
Шифровање резервних копија помоћу NAKIVO Backup & Replication
НАКИВО Бацкуп & Реплицатион Укључује AES-256 енкрипцију за заштиту резервних копија Такође омогућава вишеслојно шифровање: на извору, током транзита кроз мрежу и директно на одредишном спремишту. Ово пружа значајну флексибилност приликом дизајнирања стратегије.
Подржане дестинације за ову врсту шифровања укључују локалне фасцикле, NFS, SMB и cloud сервисе као што су Amazon EC2, S3 и Wasabi.Компатибилно складиштење објеката, Azure Blob, Backblaze B2, уређаји за дедупликацију, па чак и трака, све док је спремиште инкрементално са периодичним пуњењима.
Шифровање мреже, доступно и у претходним верзијамаРади између две NAKIVO Transporter компоненте: изворна компонента компресује и шифрује податке, а одредишна компонента их дешифрује и уписује у спремиште. Корисно је када VPN није доступан, али је потребан шифровани саобраћај.
Што се тиче шифровања репозиторијума, оно се може омогућити приликом креирања новог репозиторијума у Линуксу. (Инкрементални режими са пуним или трајним инкременталним копирањем). Избором опције шифровања, све резервне копије сачуване у том спремишту се аутоматски шифрују, мада треба напоменути да је непроменљивост резервне копије у том случају онемогућена.
НАКИВО такође омогућава интеграцију са AWS KMS као услугом управљања кључевимаОво избегава ослањање искључиво на лозинке сачуване у бази података директора. Када се AWS налог и регион повежу, можете изабрати KMS кључ који ће се користити за резервне лозинке за шифровање.
Независно шифровање резервних копија помоћу AWS Backup-а
АВС Бацкуп Омогућава да резервне копије имају сопствену шему шифровањанезависно од оног који се користи у изворном ресурсу. На пример, S3 канта може бити шифрована једном методом, а њена резервна копија у AWS Backup трезору другом, контролисаном KMS кључем повезаним са тим трезором.
У врстама ресурса којима AWS Backup у потпуности управљаКопије обично наслеђују подешавања шифровања оригиналног ресурса (као у EBS-у). У тим случајевима, конфигурација се врши пратећи специфичне смернице изворног сервиса.
Обавезно је да IAM улога има дозволе за KMS кључ који се користи да изврши и врати резервне копије. У супротном, посао може бити означен као успешан на нивоу оркестрације, али одређени објекти неће бити копирани или враћени јер кључ није могао бити коришћен.
Приликом копирања резервних копија између налога или региона, AWS Backup аутоматски шифрује копију.Генерално, шифровање ће користити стандардни алгоритам AES-256, чак и ако оригинална копија није шифрована. Коришћени кључ ће бити онај повезан са одредишним трезором на другом налогу или региону.
Веома је важно прегледати кључне политике KMS-а како би се осигурало да нема наредби о одбијању које блокирају операције прављења резервних копија или враћања, или опозваних додела које спречавају AWS Backup да користи кључ alias/aws/backup у копијама између региона.
Шифровање резервних копија помоћу сопствених кључева у Azure Backup-у
Азуре Бацкуп Нуди могућност шифровања резервних података помоћу кључева којима управља корисник (CMK) уместо кључева којима управља платформа (PMK) који долазе подразумевано. Ови кључеви се чувају у Azure Key Vault-у и могу се разликовати од оних који штите изворне податке.
Модел је базиран на AES-256 кључу за шифровање података (DEK).Ово је додатно заштићено кључем за шифровање кључа (KEK) који се налази у Key Vault-у. На овај начин, клијент одржава веома прецизну контролу над кључевима и може их ротирати у складу са својим политикама.
Постоји неколико важних разматрања: CMK-ови се могу користити само у новим трезорима услуга опоравка Без већ регистрованих елемената, није могуће вратити CMK складиште на PMK и ова врста шифровања није подржана са MARS агентом или са виртуелним машинама класичног модела.
Да би шифровање са вашим сопственим кључевима функционисало, потребно је да пратите неколико коракаОмогућите управљани идентитет (системски или кориснички) у трезору, доделите му дозволе у трезору кључева где се налази CMK, активирајте привремено брисање и заштиту од чишћења у трезору кључева и на крају повежите кључ са трезором услуга опоравка.
Једном конфигурисан, ток рада резервне копије и враћања је практично идентичан у односу на стандардно складиште са PMK-ом. Са становишта корисника, искуство заштите виртуелних машина, SAP HANA, SQL Server-а итд., готово се не мења, иако се CMK користи испод.
Azure вам такође омогућава да омогућите аутоматску ротацију CMK-а Ако се кључ изабере директно из Key Vault-а (без подешавања верзије у URI-ју), он нуди Azure Policy политике за ревизију и захтева да нови трезори користе шифровање путем кључева којима управља купац.
Шифровање података и прављење резервних копија у оквиру шпанског и европског правног оквира
У шпанском и европском контексту, шифровање података није само добра праксаали је експлицитно поменут у GDPR-у као једна од одговарајућих техничких мера за ублажавање ризика у обради личних података.
Рецитал 83 GDPR-а наводи да контролори и обрађивачи морају да процене ризике и спровести мере за њихово ублажавање, „као што је шифровање“. Шпанска агенција за заштиту података (AEPD) наглашава ову тачку и сматра шифровање фундаменталним елементом безбедносне политике организације.
Питање више није да ли закон дозвољава чување шифрованих податакавећ у којим случајевима је обавезно, а у којим је, барем, веома препоручљиво. Осетљиви, финансијски или посебно заштићени подаци требало би да буду шифровани готово подразумевано, како у продукцији тако и у резервним копијама.
За мала и средња предузећа утицај је исти као и за велике компанијеАко мала компанија претрпи кршење нешифрованих резервних копија које садрже личне податке, суочава се са значајним казнама и ударцем по репутацију од којег се не опоравља увек. Међутим, ако је садржај био робусно шифрован, стварни ризик од излагања је знатно смањен.
Све што смо видели указује на једну једноставну идеју: нешифрована резервна копија представља огроман ризик.Са техничке, правне и пословне перспективе, робусна енкрипција, правилно управљање кључевима, изоловано или непроменљиво складиштење и могућности решења попут NAKIVO, AWS Backup или Azure Backup омогућавају изградњу истински отпорне стратегије резервних копија, спремне за окружење у којем се претње и регулаторни захтеви стално развијају.
