Резервное копирование (бэкап) — создание копий данных, систем или конфигураций, которые хранятся отдельно от оригинала, чтобы их можно было восстановить после потери, повреждения, сбоя оборудования или кибератаки.
Как работает резервное копирование
Резервные копии создают на уровне файлов, баз данных, виртуальных машин или целых систем (образов). Основные типы:
- Полное — полная копия всех выбранных данных.
- Инкрементное — только изменения с момента последнего копирования любого типа; выполняется быстро, но для восстановления нужна вся цепочка копий.
- Дифференциальное — все изменения с момента последнего полного копирования.
Стратегию резервного копирования определяют две метрики: целевая точка восстановления (RPO) — какую потерю данных можно допустить — и целевое время восстановления (RTO) — как быстро системы должны снова заработать. Широко распространённое правило 3-2-1 рекомендует хранить три копии данных на двух разных типах носителей, причём одну — вне площадки; расширенные варианты добавляют одну офлайн- или неизменяемую копию и ноль ошибок при тестовом восстановлении.
Почему это важно для безопасности
Резервные копии — последняя линия обороны против программ-вымогателей и вайперов. Атакующие это знают: перед шифрованием они удаляют теневые копии Windows, уничтожают серверы резервного копирования и крадут учётные данные к ним — техника T1490 (Inhibit System Recovery) в MITRE ATT&CK. Копии, постоянно подключённые к сети или доступные под той же учётной записью администратора домена, часто уничтожаются вместе с рабочими системами.
Рекомендации
- Хранить хотя бы одну копию офлайн, физически изолированной или неизменяемой (object lock, хранилище WORM).
- Использовать отдельные учётные данные и MFA для систем резервного копирования, вне основного Active Directory.
- Шифровать резервные копии и защищать ключи шифрования.
- Регулярно проверять восстановление и включить его в план реагирования на инциденты.
- Копировать и данные SaaS и облачных сервисов — провайдеры не всегда делают это за вас.
