Trả lời nhanh: NAS là nơi nhận bản sao lưu rất tốt, nhưng bản thân nó không phải là một chiến lược sao lưu hoàn chỉnh. Nó chống được hỏng ổ và xóa nhầm, nhưng không chống được cháy, mất trộm và mã độc tống tiền lấy luôn cả NAS. Cần thêm một bản ở nơi khác mà tài khoản quản trị hằng ngày không xóa được.
Rất nhiều doanh nghiệp Việt Nam mua một NAS, bật đồng bộ từ máy chủ sang, rồi coi như đã xong phần sao lưu. Bài này chỉ ra chính xác cấu hình đó chống được gì, để bạn biết mình còn hở ở đâu và vá bằng cách nào.
Đồng bộ không phải là sao lưu
Đây là hiểu lầm gây mất dữ liệu nhiều nhất, và nó rất dễ mắc vì công cụ đồng bộ tiện và chạy êm.
Đồng bộ giữ cho hai bên giống nhau. Bạn xóa một tệp ở máy chủ, lần chạy tiếp theo nó xóa luôn tệp đó trên NAS. Bạn ghi đè một tệp bằng bản hỏng, nó chép bản hỏng sang. Bạn bị mã độc mã hóa dữ liệu, nó đồng bộ dữ liệu đã mã hóa.
Sao lưu giữ nhiều phiên bản theo thời gian. Xóa nhầm hôm nay thì bản của tuần trước vẫn còn. Đây là khác biệt cốt lõi.
Cách xử: dùng phần mềm sao lưu thật có quản lý phiên bản và có chính sách giữ bản cũ, thay vì chỉ chạy lệnh đồng bộ theo lịch. Nếu buộc phải dùng đồng bộ, ít nhất hãy bật ảnh chụp thư mục trên NAS để có các bản cũ.
NAS chống được gì
Công bằng mà nói, một NAS cấu hình tốt giải quyết được khá nhiều tình huống.
- Hỏng ổ cứng ở máy nguồn. Máy chủ mất ổ, bạn phục hồi từ NAS.
- Xóa nhầm, nếu có giữ nhiều phiên bản hoặc có ảnh chụp thư mục.
- Hỏng ổ trên chính NAS, nhờ cấu hình RAID.
- Cần phục hồi nhanh, vì mạng nội bộ nhanh hơn nhiều so với tải về từ đám mây.
Đó là lý do NAS xứng đáng là lớp sao lưu thứ nhất. Vấn đề chỉ nảy sinh khi nó là lớp duy nhất.
NAS không chống được gì
Bốn tình huống, và đây là danh sách thực sự gây mất dữ liệu ở doanh nghiệp Việt Nam.
Mã độc tống tiền. Đây là rủi ro số một. Mã độc chạy trên máy trạm hoặc máy chủ, dò tìm mọi thư mục mạng mà tài khoản đó ghi được, rồi mã hóa hết. NAS được gắn như một ổ mạng chính là mục tiêu đầu tiên. Đã có nhiều đợt tấn công nhắm thẳng vào thiết bị NAS phơi ra Internet.
Cháy, ngập, mất trộm. NAS nằm cùng tòa nhà với máy chủ. Một sự cố vật lý lấy cả hai.
Hỏng bo mạch NAS. Dàn ổ chỉ đọc lại được bằng thiết bị tương thích. Trong thời gian chờ mua máy thay thế, bạn không có bản sao lưu nào dùng được.
Lỗi con người. Ai đó cấu hình lại nhóm ổ, hoặc xóa nhầm cả thư mục sao lưu. Tài khoản quản trị làm được mọi thứ, kể cả xóa sạch.
Ba lớp cần có
Cấu hình tối thiểu đáng gọi là an toàn gồm ba lớp.
- Lớp một, dữ liệu sống. Máy chủ hoặc máy trạm, có chịu lỗi ổ.
- Lớp hai, bản sao gần. NAS trong mạng nội bộ, nhận bản sao lưu theo lịch, giữ nhiều phiên bản. Đây là nơi bạn phục hồi trong đa số trường hợp vì nó nhanh.
- Lớp ba, bản sao xa. Kho lưu trữ đám mây hoặc một máy chủ ở địa điểm khác. Đây là lớp cứu bạn khi cháy, trộm hoặc mã độc.
Điểm quyết định ở lớp ba: dùng một tài khoản riêng chỉ có quyền ghi thêm, không có quyền xóa hay sửa bản đã ghi. Nhờ vậy kể cả khi kẻ tấn công chiếm được quyền quản trị trong mạng nội bộ, họ cũng không xóa được bản sao ở xa.
Nhiều dịch vụ lưu trữ đám mây có tính năng khóa đối tượng, cho phép đặt thời hạn mà trong đó không ai xóa được kể cả chủ tài khoản. Đây là lớp bảo vệ mạnh nhất trước mã độc và rất đáng bật.
Cấu hình NAS cho vai trò sao lưu
Năm việc nên làm nếu NAS của bạn đóng vai trò nhận bản sao lưu.
- Tài khoản riêng cho việc sao lưu, chỉ có quyền ghi vào đúng thư mục sao lưu, không phải tài khoản quản trị.
- Đừng gắn thư mục sao lưu như ổ mạng trên máy trạm. Gắn sẵn là mã độc thấy ngay. Để phần mềm sao lưu tự kết nối khi cần.
- Bật ảnh chụp thư mục trên NAS với lịch giữ nhiều bản, và cấu hình sao cho tài khoản sao lưu không xóa được ảnh chụp.
- Bật cảnh báo qua thư khi tác vụ sao lưu thất bại. Sao lưu hỏng ba tháng mà không ai biết là tình huống rất phổ biến.
- Đặt lịch thử phục hồi. Mỗi quý phục hồi vài tệp ngẫu nhiên và mỗi năm phục hồi thử cả một máy ảo. Chưa thử thì chưa tính là bản sao lưu.
Hiểu nhầm gây mất dữ liệu nhiều nhất
Đây là hiểu nhầm gây mất dữ liệu nhiều nhất. Đồng bộ nghĩa là mọi thay đổi ở một bên được chép ngay sang bên kia, kể cả thao tác xóa và kể cả việc bị mã độc mã hóa tệp. Bạn xóa nhầm một thư mục lúc chín giờ, tới chín giờ lẻ một phút nó đã biến mất ở cả hai nơi. Sao lưu thì khác: nó giữ các phiên bản theo thời điểm, nên bạn lấy lại được trạng thái của ngày hôm qua. Nếu công cụ bạn đang dùng chỉ đồng bộ, bạn chưa có bản sao lưu nào.
| Rủi ro | Đồng bộ có chống được không | Sao lưu có phiên bản |
|---|---|---|
| Ổ đĩa hỏng | Có | Có |
| Xóa nhầm tệp | Không | Có |
| Mã độc mã hóa dữ liệu | Không | Có, nếu bản sao lưu không bị ghi đè |
| Sửa nhầm nội dung rồi lưu | Không | Có |
| Cháy hoặc mất trộm cả thiết bị | Chỉ khi bên kia ở nơi khác | Chỉ khi bản sao lưu ở nơi khác |
Cấu hình cho vai trò nhận bản sao lưu
# Thiet bi luu tru dung lam noi nhan ban sao luu can cau hinh# khac voi thiet bi dung lam kho tai lieu chung. # 1. Tai khoan ghi ban sao luu KHONG duoc co quyen xoa# Neu may nguon bi chiem quyen, ke tan cong khong xoa duoc ban sao luu # 2. Bat che do giu phien ban, khong ghi de len ban cu # 3. Bat anh chup theo lich cho thu muc chua ban sao luu# Day la lop chong ma doc quan trong nhat # 4. KHONG gan thu muc sao luu vao may tram nhu mot o dia thuong# O dia gan san la o dia ma doc ma hoa duoc # 5. Bat canh bao qua email khi mot lan sao luu that bai# Sao luu that bai im lang trong ba thang la kich ban rat pho bien # Kiem tra moi quy: khoi phuc thu mot thu muc that ra vi tri khac# roi so noi dung. Day la phep thu duy nhat co gia tri.Ba lớp bảo vệ xếp chồng
- Lớp một, ảnh chụp tại chỗ: cứu các tình huống xóa nhầm hằng ngày, khôi phục trong vài giây.
- Lớp hai, bản sao trên thiết bị khác: cứu tình huống hỏng thiết bị chính.
- Lớp ba, bản sao ở địa điểm khác: cứu tình huống cháy, ngập, mất trộm. Lớp này hay bị bỏ vì tốn công, và cũng là lớp duy nhất còn lại khi sự cố lớn xảy ra.
Câu hỏi thường gặp
Chỉ có NAS mà chưa có bản sao xa thì làm gì trước
Bật ngay việc đẩy bản sao lên một kho đám mây với tài khoản riêng chỉ có quyền ghi thêm. Đây là việc làm trong một buổi và nó vá đúng lỗ hổng lớn nhất. Dung lượng đám mây cho dữ liệu quan trọng thường rẻ hơn nhiều người nghĩ.
Hai NAS ở hai văn phòng có đủ không
Tốt hơn nhiều so với một NAS, và với nhiều doanh nghiệp là đủ. Chỉ cần đảm bảo hai điều: NAS ở xa không cho tài khoản quản trị của mạng chính xóa dữ liệu, và đường truyền giữa hai nơi đủ để hoàn tất chu kỳ nhân bản.
Nên giữ bao nhiêu phiên bản
Một cấu hình phổ biến là giữ bản hằng ngày trong hai tuần, bản hằng tuần trong hai tháng, bản hằng tháng trong một năm. Điều chỉnh theo dung lượng và theo yêu cầu lưu trữ hồ sơ của ngành bạn.
Mã độc mã hóa cả bản sao lưu thì cứu bằng cách nào
Chỉ có bản sao mà kẻ tấn công không chạm tới được mới cứu được bạn, tức là bản ở xa với quyền chỉ ghi thêm, hoặc bản trên phương tiện tháo rời đã cất đi. Đây chính là lý do lớp thứ ba không phải tùy chọn.