Härda Velero-säkerhetskopior innan ransomware hittar dem först

Velero är fortfarande ett av de vanligaste open source-verktygen för att säkerhetskopiera, återställa och migrera Kubernetes-klusterresurser och beständiga volymer. För leverantörer av hanterade tjänster som kör många kluster avgör hur väl Velero är konfigurerat — inte bara om det är installerat — huruvida en säkerhetskopia faktiskt är användbar under en incident.

Säkerhetskopieringsframgång är inte återställningsframgång

Att ett säkerhetskopieringsjobb slutförs utan fel bevisar att data fångades in, inte att den kan läggas tillbaka. Ransomware-aktörer riktar allt oftare in sig på säkerhetskopieringsuppgifter och lagringsplatser specifikt, eftersom de vet att en fungerande återställningsväg är skillnaden mellan en incident och ett avbrott. Återställningsövningar, som körs enligt schema och loggas som bevis, är det enda tillförlitliga sättet att veta att en säkerhetskopia fungerar när den behövs.

Var härdningsarbetet bör fokuseras

• Begränsa den RBAC som beviljas Veleros tjänstekonto till vad säkerhetskopiering och återställning faktiskt kräver, inte cluster-admin som standard.
• Kryptera säkerhetskopior i vila och behåll minst en kopia utanför platsen eller oföränderlig, så att ett komprometterat kluster inte också kan förstöra sina egna säkerhetskopior.
• Separera hanteringsvägen för säkerhetskopieringslagring från arbetsbelastningsnätverket där lagringsbackendet tillåter det.
• Rotera och avgränsa de autentiseringsuppgifter Velero använder för att nå objektlagring, och föredra kortlivade token framför långlivade statiska nycklar.
• Behandla själva återställningsvägen som en produktionsadministratörsförmåga — alla som kan utlösa en återställning kan vanligtvis skriva över live-data.

Vad Velero inte täcker på egen hand

Velero säkerhetskopierar Kubernetes-objekt och, med rätt plugin, data på beständiga volymer — det skyddar inte i sig mot att ett komprometterat kluster manipulerar sitt eget säkerhetskopieringsschema, och det är inte en ersättning för segmentering på nätverksnivå. Att kombinera det med oföränderlig lagring utanför platsen täpper till det vanligaste gapet som MSP:er ser i praktiken: säkerhetskopior som finns men förblir nåbara från samma påverkansområde som klustret de skyddar.

Den baslinje som spelar roll är oglamorös: krypterade kopior utanför platsen, begränsad åtkomst och en återställningsövning som faktiskt har körts — inte bara schemalagts.

Källor: GitHub — vmware-tanzu/velero, Velero-dokumentation.