Модул 6 · 6.3
Тестване на възстановяването
Модул 6: Резервни копия · Време за четене: 10 минути
Цел на урока: След този урок ще можете да планирате и изпълните тест за възстановяване, да опишете на прост език колко работа максимално можете да си позволите да загубите (RPO) и колко бързо нещо трябва да бъде възстановено (RTO), както и да съставите ред за възстановяване.
Основни понятия: тест за възстановяване, RPO (колко работа можете да загубите), RTO (колко бързо трябва да се възстанови), ред за възстановяване, документация
Резервно копие, което никога не сте възстановявали, е просто куп данни
Почти всеки, който след инцидент открива, че резервното копие не работи, е смятал, че има добро резервно копие. Известията са били зелени, дискът е бил пълен, програмата се е стартирала всяка нощ. Едва при възстановяването излиза наяве какво не е наред. Типични примери за това какво се оказва тогава:
- Резервното копие е включвало само файловете на уебсайта, не и базата данни. Онлайн магазинът се е върнал без поръчки, клиенти и продукти.
- Резервното копие е било криптирано, но ключът е бил само на лаптопа, който е бил откраднат.
- Програмата за резервно копиране е съобщавала за грешка вече четири месеца, но тези известия са отивали на имейл адреса на напуснал колега.
- Резервното копие е съществувало, но възстановяването на 400 GB през обикновена интернет връзка е отнело три дни.
Затова нидерландският NCSC препоръчва да не се проверява само дали резервното копие е направено, но и периодично наистина да се възстановява нещо. Освен това препоръчва ежедневно да може да се вижда дали резервните копия са се изпълнили и дали е имало грешки.
RPO: колко работа можете да загубите?
Преди да тествате, трябва да знаете какво е „достатъчно добро“. За това има две понятия, които ще срещнете във всеки разговор с ИТ фирма.
RPO (Recovery Point Objective) на прост език означава: колко работа можете максимално да загубите? NIST го описва като момента във времето, до който данните трябва да бъдат възстановени след прекъсване. Колкото по-често правите резервно копие, толкова по-малка е пропастта.
Изчислението е просто: максимално губите всичко, което се е променило от последното добро резервно копие насам. Нидерландският NCSC дава следния пример: ако резервното копие се изпълнява нощем в 03:00 и бъдете засегнати в 16:00, вероятно губите няколко часа работа.
| Схема за резервно копиране | Инцидент на | Последно добро резервно копие | Максимална загуба |
|---|---|---|---|
| Всяка нощ в 02:00 | вторник 16:30 | вторник 02:00 | 14 часа 30 минути |
| Всеки час през работно време | вторник 14:40 | вторник 14:00 | 40 минути |
| Всяка нощ в 02:00, но резервното копие от нощта на вторник срещу сряда е неуспешно | сряда 10:00 | вторник 02:00 | 32 часа |
Внимавайте за два капана. Неуспешно резервно копие не се брои: тогава последното добро резервно копие се измества с една стъпка назад. А при ransomware от значение е моментът, в който щетата е започнала, а не моментът, в който я забелязвате. Ако криптирането е започнало в 11:15, а го забележите в 14:40, то резервното копие от 12:00 вече е засегнато, а това от 11:00 е последното добро.
RTO: колко бързо трябва да се възстанови?
RTO (Recovery Time Objective) на прост език означава: колко дълго може да продължи, преди всичко отново да заработи? NIST го описва като това колко дълго дадена система може да бъде във възстановяване, преди да навреди реално на бизнеса Ви.
RTO варира според компонента. За Bakkerij Example:
| Компонент | Какво се случва, ако го няма | RPO | RTO |
|---|---|---|---|
| Каса и поръчки | Няма продажби, клиентите чакат | 1 час | 2 часа |
Имейл info@example.com | Поръчките по имейл не пристигат | 1 ден | 4 часа |
| Уебсайт | Няма нови клиенти, но не е критично | 1 ден | 1 работен ден |
| Архив на стари оферти | Неудобно, но може да почака | 1 седмица | 1 седмица |
RTO определя отчасти кое резервно копие избирате. Диск в сейф вкъщи при собственика е чудесно офлайн копие, но ако отнема четири часа да бъде взет и възстановен, няма да постигнете RTO от два часа.
Тест за възстановяване в пет стъпки
Тестът не трябва да е голям. Започнете малко и постепенно разширявайте.
- Изберете какво тествате. Започнете с един файл, една папка и една пощенска кутия. Правете по-голям тест веднъж годишно: цял уебсайт с база данни или цял лаптоп.
- Възстановете редом до оригинала. Никога не презаписвайте реалните си данни, за да тествате. Възстановете в отделна папка, като копие или на тестово място.
- Проверете съдържанието. Отваря ли се файлът? Съдържа ли се имейлът с правилната дата? Работи ли уебсайтът с базата данни от същия момент? Уебсайт с днешни файлове и база данни от миналия месец често не работи правилно.
- Измерете времето. Запишете колко е отнело от „трябва да възстановя нещо“ до „работи“. Сравнете с Вашия RTO.
- Почистете и запишете. Изтрийте тестовото копие, за да не отнема място или да създава объркване, и запишете резултата.
Ред за възстановяване и документация
При голям инцидент всичко трябва да се възстанови едновременно, а това е невъзможно. Затова предварително определете реда за възстановяване: какво първо, какво след това. Обикновено това е: първо достъпът (Вашият мениджър на пароли, имейлът Ви и администраторските Ви акаунти), след това онова, което носи приходи (каса, поръчки, фактури), после останалото.
Запишете за всеки компонент в лист за възстановяване:
- къде се намира резервното копие и как да стигнете до него (без пароли в самия лист: посочете мениджъра на пароли или сейфа);
- кой има право и може да извърши възстановяването, и кой е заместникът;
- стъпките или връзка към ръководството на Вашия доставчик;
- датата и резултата от последния тест.
Съхранявайте този лист и на хартия или офлайн. При ransomware споделената Ви папка с документация вероятно също е недостъпна. Този лист е част от картата за инциденти от урок 8.1.
На практика: ето как изглежда
В примерната среда WebOké Backups можете да направите тест, без да променяте нищо по текущия си сайт или имейл. В съветника избирате пакета, момента на резервното копие, компонентите, а след това начина на възстановяване. С опцията Като копие редом до текущото резервното копие се появява като копие в нова папка, като база данни с ново име или като нова пощенска кутия. За пощенска кутия давате име на копието, например herstel, и го отваряте в уебмейла, за да проверите дали имейлът от този момент присъства. След това изтрийте копието, тъй като то се брои към Вашето съхранение. Всяко възстановяване получава код за възстановяване от осем символа и отчет за това какво е било възстановено.
Базата от знания предупреждава и за често срещана грешка: не избирайте за пощенска кутия Пълно възстановяване, защото тогава изчезва всичко, пристигнало след избрания момент. В Euro-Office и Nextcloud възстановявате по-стара версия на документ чрез историята на версиите; версията, която замествате, се запазва в процеса.
При други доставчици това се нарича различно и понякога работи по различен начин. Ако при Вашия доставчик не можете сами да възстановявате като копие, попитайте как можете безопасно да тествате.
Обобщение
- Резервно копие е надеждно едва след като сте го възстановили; тествайте малко и редовно, а голям тест веднъж годишно.
- RPO: колко работа можете да загубите. Губите всичко от последното добро резервно копие насам; неуспешно или заразено резервно копие не се брои.
- RTO: колко бързо трябва да се възстанови. Измервайте реалното време за възстановяване при всеки тест.
- Възстановявайте редом до оригинала, проверявайте съдържанието и почиствайте тестовото копие.
- Запишете реда за възстановяване и стъпките в лист за възстановяване, който съществува и офлайн.
Тест (quiz)
Задача
Задача A6.3: Колко работа губите? Получавате схема за резервно копиране и момент на инцидент или атака. Изчислете колко работа максимално губите и преценете дали схемата постига целта за RPO. Програмата проверява отговора Ви и обяснява за всеки случай как стоят нещата.
Задача D6.3: Истински тест за възстановяване. Възстановете един файл и една пощенска кутия (или друг малък набор от данни) от собственото си резервно копие, редом до оригинала. Проверете съдържанието, измерете времето, почистете тестовото копие и попълнете листа си за възстановяване с RPO, RTO и ред на възстановяване.
Задача D6.3: Истински тест за възстановяване
Подход: (1) Изберете малък тестов набор: един файл, една папка и една пощенска кутия (или друг малък набор, който смятате за важен). (2) Запишете началния час. (3) Възстановете набора от Вашето собствено резервно копие успоредно с оригинала: като копие, в отделна папка или като отделна пощенска кутия. Не презаписвайте нищо. (4) Проверете съдържанието: отваря ли се файлът, има ли писмо от правилната дата, съответства ли папката? При уебсайт: от един и същи момент ли са файловете и базата данни? (5) Запишете крайния час и изчислете времето за възстановяване. (6) Разчистете тестовото копие. (7) Попълнете лист за възстановяване за този елемент: къде се намира резервното копие, кой има право да възстановява (и кой е заместникът), стъпките или линк към ръководството, RPO, RTO, място в последователността на възстановяване, дата и резултат от този тест. Не записвайте пароли на листа. (8) Разпечатайте листа за възстановяване или го съхранявайте офлайн, заедно с Вашата карта за инциденти (урок 8.1).
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Прочетете още
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по сходен или различен начин. Попитайте Вашия доставчик.
- WebOké Backups: преглед, възстановяване или изтегляне на резервно копие
- Възстановяване на пощенска кутия или изтрити имейли от резервно копие
- Ръководство на WebOké 6.10: WebOké Backups: възстановяване на файлове
- Ръководство за DirectAdmin 16.3: Връщане на архивно копие в DirectAdmin
- Ръководство за Euro-Office 8.6: История на версиите: възстановяване на по-стара версия
- Нидерландският NCSC, Изготвяне на стратегия за резервно копиране: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- NIST, речник: Recovery Point Objective (на английски): https://csrc.nist.gov/glossary/term/recovery_point_objective
- NIST, речник: Recovery Time Objective (на английски): https://csrc.nist.gov/glossary/term/recovery_time_objective