Repozytorium kopii zapasowych

Repozytorium kopii to miejsce, w którym program backupu składa punkty przywracania: dysk, udział, appliance albo obiekt w chmurze. Nie jest katalogiem „backup” na tym samym serwerze plików, który właśnie chronimy. Ma własne poświadczenia i najlepiej ograniczony dostęp z sieci produkcyjnej. Na stronie o backupie i archiwizacji repozytorium jest osobnym bytem w architekturze, nie półką „obok”.

Jeśli repozytorium jest zamontowane jako zwykły dysk sieciowy kontem administratora dnia codziennego, ransomware kasuje kopie w tej samej sesji co pliki firmowe. Dlatego Veeam i podobne narzędzia promują osobne konta, hardening i niezmienność. NAS typu Synology może być półką na jedną z kopii, ale konto, które widzi udziały użytkowników, nie powinno być właścicielem całego repozytorium z prawem kasowania historii.

Pojemność liczmy od retencji i od przyrostu danych, nie od „starczy na rok wzięte z sufitu”. Pełna kopia plus tygodnie przyrostów rosną szybciej, niż wygląda to na slajdzie. Brak miejsca kończy się nieudanymi zadaniami albo skracaniem historii bez decyzji właściciela procesu. Alert o wolnym miejscu należy do monitoringu backupu tak samo jak status zadania.

Częsty błąd to jedno repozytorium w tej samej szafie co produkcja i brak trzeciej kopii poza budynkiem (reguła 3-2-1). Drugi błąd to repozytorium w chmurze na tym samym koncie administracyjnym, które właśnie wyciekło. Trzeci błąd to brak testu odtworzenia z tego konkretnego magazynu po migracji albo po zmianie hasła.

Niezmienność (immutable) na repozytorium blokuje skasowanie przez czas retencji. Ma sens, gdy konto dnia codziennego naprawdę nie może zdjąć blokady. Ptaszkiem w kreatorze bez osobnych uprawnień niezmienność jest nazwą. Test kasowania kontem operatorskim powinien zwrócić odmowę.

Przy odbiorze wdrożenia spisujemy: lokalizacja, protokół, konto zapisu, konto odtworzenia, retencja, czy jest kopia poza biurem, data ostatniego testu. Ta lista jest krótsza niż oferta handlowa i bardziej użyteczna przy audycie albo przy zmianie opiekuna IT. Gdy ktoś proponuje „wrzucimy backup na ten sam Synology co pliki wspólne”, odpowiadamy pytaniem o osobne poświadczenia i o drugą lokalizację. Jeśli obu brak, to nie jest repozytorium kopii firmy. To drugi udział, który padnie razem z pierwszym.

Szyfrowanie kopii w repozytorium chroni nośnik przy kradzieży albo przy oddaniu dysków do serwisu. Klucz szyfrowania musi być poza samym repozytorium i poza skrzynką „hasła firmowe”. Bez klucza odtworzenie po latach jest niemożliwe, nawet gdy bajty fizycznie istnieją. Rotacja osób z dostępem do repozytorium jest częścią offboardingu IT. Nowy opiekun dostaje dostęp po protokole, stary traci go tego samego dnia. Raz na rok sprawdzamy, czy nadal umiemy odtworzyć z drugiej lokalizacji, nie tylko z półki w biurze. Repozytorium, którego nikt nie ruszał od wdrożenia, jest niewiadomą. Niewiadoma w dniu ransomware kosztuje więcej niż dzień testów. Dlatego repozytorium traktujemy jak system produkcyjny z właścicielem, monitoringiem i oknem serwisowym, a nie jak folder, który „sam się pilnuje”.