Защита бэкапов: как три режима Object Lock спасают от кибератак

Как сообщает Habr со ссылкой на материалы VK Tech, современные вымогатели научились уничтожать резервные копии через скомпрометированные административные учетные записи. Технология Object Lock в S3-хранилищах предотвращает удаление данных, однако выбор неподходящего режима блокировки несет серьезные риски для инфраструктуры компании.

Резервные копии традиционно рассматриваются как финальный рубеж обороны в случае киберинцидентов. Если продуктивные системы подвергаются шифрованию или выходят из строя, данные восстанавливаются из архива. Однако злоумышленники учитывают этот сценарий и меняют последовательность атак. Получив доступ к инфраструктуре, они целенаправленно ищут хранилища резервных копий, повреждают или удаляют их, и только после этого активируют шифрование рабочих сред. Уязвимость усугубляется, когда бэкапы физически или логически располагаются на тех же серверах, где функционируют основные сервисы компании, такие как сайты и почтовые службы.

Предыстория и контекст

Исторически защита данных строилась на стандартных моделях разграничения прав доступа. Администраторы настраивали ролевые ограничения, полагая, что этого достаточно для изоляции архивов. Однако классический контроль доступа теряет эффективность при компрометации привилегированных учетных записей. Если атакующий завладевает легитимным токеном администратора проекта, он получает возможность выполнять штатные запросы через API. Для хранилища такие действия выглядят абсолютно легитимными, так как исходят от уполномоченного пользователя, что приводит к одновременному удалению и рабочих систем, и их резервных копий.

Как работает технология Object Lock?

Технология Object Lock реализует концепцию WORM, что расшифровывается как запись один раз, чтение многократно. Задействовав этот механизм на уровне объектного хранилища S3, администраторы задают правила неизменяемости объектов на определенный период. Даже если злоумышленник или скомпрометированный сотрудник отправляет команду на удаление файлов резервной копии, система отклоняет запрос на основе действующих ограничений. Это гарантирует сохранность информации независимо от уровня прав учетной записи, инициировавшей операцию.

Три режима защиты и особенности конфигурации

Объектные хранилища поддерживают два защитных режима в рамках Object Lock и одну дополнительную политику удержания. Первый режим называется Compliance, или режим соответствия. Он обеспечивает абсолютную неудаляемость объектов на протяжении заданного срока без каких-либо исключений. Изменить или сократить установленное время хранения не может ни один пользователь системы, включая владельца аккаунта с максимальными привилегиями. Второй режим, Governance, или управление, позволяет администраторам с особыми полномочиями обходить блокировку или сокращать сроки хранения при возникновении такой необходимости, однако подобные операции фиксируются в журнале аудита.

Третьим инструментом выступает Legal Hold, или юридическое удержание. В отличие от Compliance и Governance, данный инструмент не требует привязки к конкретной дате окончания срока. Он удерживает файлы в неизменном состоянии до тех пор, пока удержание не будет вручную снято ответственным сотрудником. Этот режим применяется при внутренних расследованиях, судебных разбирательствах или аудиторских проверках, когда требуется зафиксировать массив данных на неопределенный срок без возможности изменения.

Кого затронет и как

Выбор неверного режима блокировки или полный отказ от использования подобных механизмов несет критические риски для бизнеса, использующего облачную инфраструктуру. Компании, чья операционная деятельность напрямую зависит от доступности сайтов, баз данных и почтовых систем, сталкиваются с угрозой необратимой потери информации. Системные администраторы и архитекторы инфраструктуры должны тщательно взвешивать баланс между операционной гибкостью управления хранилищем и гарантированной защитой от программ-вымогателей, чтобы избежать катастрофических последствий при инцидентах информационной безопасности.

Что будет дальше

Интеграция неизменяемых хранилищ и политик WORM становится стандартом для корпоративного сегмента рынка облачных услуг. В дальнейшем требования к хранению критических резервных копий со стороны регуляторов и стандартов безопасности будут ужесточаться. Организации во всех отраслях экономики внедряют автоматизированные средства защиты архивов, чтобы минимизировать влияние человеческого фактора и противостоять изощренным кибератакам.

Итог

Технология Object Lock переводит защиту резервных копий на новый уровень за счет аппаратных и программных ограничений на удаление. Понимание особенностей режимов блокировки позволяет компаниям выстроить устойчивую оборону против вымогателей и обеспечить непрерывность бизнес-процессов даже в условиях компрометации административных доступов.