Utwardzanie kopii zapasowych Velero, zanim ransomware dopadnie je pierwsze

Velero pozostaje jednym z najpopularniejszych narzędzi open source do tworzenia kopii zapasowych, przywracania i migracji zasobów klastrów Kubernetes oraz woluminów trwałych. Dla dostawców usług zarządzanych obsługujących wiele klastrów to, jak dobrze Velero jest skonfigurowane — a nie tylko to, czy zostało zainstalowane — decyduje o tym, czy kopia zapasowa faktycznie okaże się przydatna podczas incydentu.

Sukces kopii zapasowej to nie sukces odtwarzania

Zadanie tworzenia kopii zapasowej zakończone bez błędów dowodzi, że dane zostały zapisane, a nie że można je przywrócić. Operatorzy ransomware coraz częściej celują właśnie w dane uwierzytelniające i lokalizacje przechowywania kopii zapasowych, wiedząc, że działająca ścieżka odtwarzania stanowi różnicę między incydentem a przestojem. Testy odtwarzania, uruchamiane zgodnie z harmonogramem i rejestrowane jako dowód, to jedyny niezawodny sposób, aby wiedzieć, że kopia zapasowa zadziała, gdy będzie potrzebna.

Na czym skupić się przy utwardzaniu

• Ogranicz uprawnienia RBAC przyznane kontu usługi Velero do tego, czego faktycznie wymagają operacje tworzenia kopii zapasowych i odtwarzania, a nie domyślnie do roli cluster-admin.
• Szyfruj kopie zapasowe w spoczynku i przechowuj co najmniej jedną kopię poza siedzibą lub w formie niezmiennej, aby przejęty klaster nie mógł również zniszczyć własnych kopii zapasowych.
• Oddziel ścieżkę zarządzania magazynem kopii zapasowych od sieci obciążeń wszędzie tam, gdzie pozwala na to backend magazynu.
• Rotuj i ograniczaj zakres danych uwierzytelniających używanych przez Velero do dostępu do magazynu obiektowego, preferując tokeny krótkoterminowe zamiast długoterminowych kluczy statycznych.
• Traktuj samą ścieżkę odtwarzania jak uprawnienie administratora środowiska produkcyjnego — każdy, kto może uruchomić odtwarzanie, zwykle może nadpisać dane produkcyjne.

Czego Velero nie obejmuje samodzielnie

Velero tworzy kopie zapasowe obiektów Kubernetes, a z odpowiednią wtyczką także danych z woluminów trwałych — samo w sobie nie chroni jednak przed przejętym klastrem manipulującym własnym harmonogramem kopii zapasowych i nie zastępuje segmentacji na poziomie sieci. Połączenie go z niezmiennym magazynem poza siedzibą zamyka najczęstszą lukę, jaką firmy MSP obserwują w praktyce: kopie zapasowe, które istnieją, ale pozostają osiągalne z tego samego obszaru zagrożenia co klaster, który chronią.

Podstawa, która ma znaczenie, nie jest efektowna: szyfrowane kopie poza siedzibą, ograniczony dostęp i test odtwarzania, który faktycznie przeprowadzono — a nie tylko zaplanowano.

Źródła: GitHub — vmware-tanzu/velero, Dokumentacja Velero.