آخرین خط دفاع امنیت شبکه، خاموش است: بکاپ نواری، رمزنگاری و تعمیر امن تجهیزات

تیم‌های امنیت شبکه بیشتر وقتشان را صرف بستن درها می‌کنند: فایروال، سامانه‌ی تشخیص نفوذ، EDR، به‌روزرسانی‌ها و آموزش کاربران. همه‌ی این‌ها لازم‌اند، اما هیچ‌کدام تضمین نمی‌کنند که حمله هرگز موفق نشود. سؤال واقعی برای هر مدیر امنیت این است: اگر فردا صبح همه‌ی سرورها رمز شده باشند، سازمان از روی چه نسخه‌ای برمی‌گردد و آن نسخه کجاست؟

تجربه‌ی حمله‌های باج‌افزاری سال‌های اخیر یک الگوی تکراری دارد. مهاجم پیش از رمز کردن فایل‌ها، سراغ نسخه‌های پشتیبان می‌رود. سرور بکاپ، NAS، اسنپ‌شات‌ها و حتی فضای ابری، اگر از روی شبکه یا با همان حساب‌های کاربری در دسترس باشند، می‌توانند پاک یا رمز شوند. آخرین خط دفاع، نسخه‌ای است که در لحظه‌ی حمله اصلاً روشن نیست و به هیچ شبکه‌ای وصل نیست. در این مطلب می‌بینیم چرا نوار LTO هنوز بهترین جای این نسخه است، چه ویژگی‌های امنیتی دارد و چرا نگهداری و تعمیر این تجهیزات هم بخشی از امنیت سازمان است.

بکاپ آنلاین، هدف اول مهاجم

بکاپی که روی شبکه است، از دید مهاجم فقط یک هدف دیگر است. چند سناریوی رایج:

• دسترسی به حساب مدیر: مهاجمی که حساب مدیر دامنه یا سرور بکاپ را در اختیار دارد، می‌تواند سیاست نگهداری را عوض کند، نسخه‌ها را پاک کند یا زمان‌بندی را از کار بیندازد.
• رمز شدن مخزن بکاپ: NAS یا دیسکی که به‌صورت اشتراکی به شبکه وصل است، همراه بقیه‌ی فایل‌ها رمز می‌شود.
• حمله‌ی آرام و طولانی: بعضی مهاجمان هفته‌ها در شبکه می‌مانند. اگر نسخه‌ها فقط چند روز نگه داشته شوند، همه‌ی نسخه‌های سالم پیش از کشف حمله از چرخه خارج شده‌اند.

برای همین، چارچوب قدیمی ۳-۲-۱ (سه نسخه، دو رسانه، یک نسخه بیرون از محل) امروز به ۳-۲-۱-۱-۰ رسیده است: دست‌کم یک نسخه آفلاین یا تغییرناپذیر و صفر خطا در آزمایش بازگردانی.

نوار LTO از دید امنیت

نوار LTO (Linear Tape-Open) استانداردی است که بانک‌ها، مراکز داده، رسانه‌ها و ارائه‌دهندگان بزرگ ابری برای بکاپ و آرشیو بلندمدت به کار می‌برند. از دید امنیت، چند ویژگی آن مهم است:

فاصله‌ی هوایی طبیعی

کارتریج بعد از نوشته شدن از درایو بیرون می‌آید و روی قفسه یا در گاوصندوق می‌رود. هیچ بدافزاری به چیزی که برق و کابل ندارد دسترسی پیدا نمی‌کند. این همان Air Gap است، بدون نیاز به راهکارهای پیچیده‌ی نرم‌افزاری.

رمزنگاری سخت‌افزاری

درایوهای LTO از نسل چهارم به بعد از رمزنگاری سخت‌افزاری AES-256 پشتیبانی می‌کنند. رمزنگاری در خود درایو انجام می‌شود و سرعت نوشتن را کم نمی‌کند. کلیدها با نرم‌افزار بکاپ، کتابخانه یا سامانه‌ی مدیریت کلید (KMS) مدیریت می‌شوند. نتیجه اینکه اگر کارتریجی در حمل‌ونقل یا انبار گم شود، داده‌ی روی آن بدون کلید قابل خواندن نیست.

کارتریج WORM

کارتریج‌های WORM (یک بار نوشتن، چند بار خواندن) بعد از نوشته شدن، حتی با دسترسی مدیر سیستم هم پاک یا بازنویسی نمی‌شوند. برای سوابق مالی، لاگ‌های امنیتی و داده‌هایی که الزامات قانونی نگهداری دارند، این ویژگی یعنی تغییرناپذیری واقعی.

عمر طولانی و ظرفیت بالا

یک کارتریج LTO-9 هجده ترابایت داده‌ی خام را نگه می‌دارد و LTO-10 سی ترابایت. سازندگان عمر آرشیوی تا حدود ۳۰ سال در شرایط مناسب نگهداری اعلام می‌کنند. یعنی می‌شود چند نسخه‌ی ماهانه و سالانه را با هزینه‌ی کم برای هر ترابایت نگه داشت و حمله‌ای که هفته‌ها پنهان مانده، به همه‌ی نسخه‌ها نرسد.

این تجهیزات در دسته‌ی تجهیزات ذخیره‌سازی نواری کنار هم آمده‌اند. برای جزئیات بیشتر درباره‌ی نقش نوار در مقابله با باج‌افزار، مطلب بکاپ نواری و فاصله‌ی هوایی در برابر باج‌افزار را ببینید.

یک معماری ساده و امن

نوار جای بکاپ سریع روی دیسک را نمی‌گیرد. این دو کنار هم یک معماری چندلایه می‌سازند:

1. لایه‌ی سریع: بکاپ شبانه روی دیسک یا NAS جداگانه، برای بازگردانی سریع خطاهای روزمره.
2. لایه‌ی آفلاین: نسخه‌ی کامل هفتگی روی کارتریج LTO با رمزنگاری فعال. کارتریج بلافاصله بیرون آورده و برچسب‌گذاری می‌شود.
3. لایه‌ی تغییرناپذیر: نسخه‌ی ماهانه یا داده‌های حساس روی کارتریج WORM.
4. نسخه‌ی بیرون از محل: دست‌کم یک کارتریج در ساختمان دیگر یا گاوصندوق.
5. آزمایش بازگردانی: هر سه ماه یک بار، یک سرور یا دیتابیس از روی نوار بازگردانی می‌شود تا مطمئن شوید کلیدهای رمزنگاری، کارتریج و درایو همه کار می‌کنند.

برای این معماری یک تیپ درایو LTO با رابط SAS، یک کارت HBA و تعدادی کارتریج دیتا LTO کافی است. سازمان‌هایی که حجم داده یا تعداد سرورشان زیاد است، با تیپ لایبرری یا اتولودر جابه‌جایی کارتریج‌ها را خودکار می‌کنند. پیش از خرید کارتریج، سازگاری نسل آن با درایو را در جدول سازگاری LTO بررسی کنید، چون هر درایو فقط چند نسل مشخص را می‌خواند و می‌نویسد.

پیش از خرید، این پنج نکته را بررسی کنید

انتخاب تجهیزات بکاپ برای یک سازمان حساس فقط به ظرفیت و قیمت خلاصه نمی‌شود. پیش از خرید، این موارد را روشن کنید:

1. نسل درایو و آرشیوهای موجود: اگر آرشیو قدیمی روی نسل‌های پیشین LTO دارید، درایو جدید باید بتواند آن‌ها را بخواند، یا یک درایو قدیمی سالم برای خواندن آرشیو نگه دارید. LTO-9 کارتریج LTO-8 را می‌خواند و می‌نویسد، اما LTO-10 فقط با کارتریج هم‌نسل خودش کار می‌کند.
2. پشتیبانی نرم‌افزار بکاپ از رمزنگاری و مدیریت کلید: بررسی کنید نرم‌افزار بکاپ شما رمزنگاری سخت‌افزاری درایو را مدیریت می‌کند و کلیدها کجا و چطور نگهداری می‌شوند.
3. رابط اتصال: بیشتر درایوها رابط SAS دارند و به کارت HBA نیاز دارند، نه کارت RAID معمولی. کتابخانه‌های بزرگ‌تر ممکن است رابط فیبر نوری داشته باشند.
4. حجم داده و دوره‌ی نگهداری: تعداد کارتریج لازم از روی حجم کامل داده، درصد تغییرات و مدت نگهداری نسخه‌ها به دست می‌آید. نسخه‌های سالانه یا قانونی را جداگانه حساب کنید.
5. اصالت و گارانتی: در محیط امنیتی، تجهیزاتی که منشأ و سابقه‌ی آن‌ها روشن نیست، خودشان یک ریسک‌اند. شماره سریال، گارانتی قابل استعلام و فاکتور رسمی را بخواهید.

تعمیر هم بخشی از امنیت است

نکته‌ای که کمتر به آن توجه می‌شود: تیپ درایو و تیپ لایبرری دستگاه‌های مکانیکی‌اند. هد، رباتیک، آسانسور، سنسورها و پاور با گذر زمان فرسوده می‌شوند. وقتی درایو خراب است، لایه‌ی آفلاین معماری بالا عملاً وجود ندارد و سازمان هر شب بدون آخرین خط دفاعش کار می‌کند. پس سرعت و کیفیت تعمیر مستقیماً به امنیت داده گره خورده است.

تعمیر این تجهیزات در یک سازمان حساس، ملاحظات امنیتی خودش را هم دارد:

• کارتریج داخل دستگاه: اگر نوار در درایو گیر کرده، داده‌ی سازمان هم همراه دستگاه است. بیرون آوردن ایمن آن، بدون پاره شدن نوار و بدون خروج از کنترل سازمان، اهمیت دارد.
• سرویس در محل: برای بسیاری از سازمان‌ها بهتر است دستگاه از اتاق سرور خارج نشود. تعمیر در محل این نگرانی را برطرف می‌کند.
• تعمیر تا سطح قطعه: به‌جای تعویض کل دستگاه، همان قطعه‌ی معیوب تعمیر یا تعویض می‌شود؛ دستگاهی که با زیرساخت و روال‌های امنیتی سازمان هماهنگ شده، سر جایش می‌ماند.
• شفافیت فرایند: هزینه پیش از شروع کار اعلام می‌شود، هر مرحله با کد پیگیری قابل دنبال کردن است و دستگاه بعد از تست کامل خواندن و نوشتن، با گارانتی تعمیر تحویل داده می‌شود.

واحد تعمیر تخصصی تیپ درایو و تیپ لایبرری ایران تیپ درایو، تجهیزات HPE StoreEver، IBM، Quantum، Dell PowerVault، Tandberg و Overland را از LTO-3 تا LTO-10 و درایوهای قدیمی DLT و DAT تعمیر می‌کند: تعمیر و تعویض هد، بیرون آوردن ایمن نوار گیرکرده، تعمیر رباتیک و آسانسور، پاور، برد کنترلر و فریمور. سرویس در محل در تهران انجام می‌شود و دستگاه از همه‌ی شهرها پذیرش می‌شود. تجربه‌ی کار با سازمان‌ها و ارگان‌ها و آشنایی با الزامات امنیتی محیط‌های حساس، از ویژگی‌های این واحد است. درخواست تعمیر از طریق فرم پذیرش آنلاین ثبت می‌شود و کارشناس پیش از ارسال دستگاه، عیب‌یابی اولیه را تلفنی انجام می‌دهد. بسیاری از مشکل‌ها، مثل قفل حمل یا کارتریج ناسازگار، همین‌جا حل می‌شوند.

یک توصیه‌ی ساده هم از تجربه‌ی همین واحد: اگر کارتریج در درایو گیر کرد، آن را با ابزار بیرون نکشید و اگر چراغ Clean بعد از دو بار تمیزکاری برگشت، تمیزکاری را ادامه ندهید. دستگاه را خاموش کنید، لاگ‌ها را نگه دارید و با کارشناس تماس بگیرید. بیشتر آسیب‌های جدی به هد و نوار، از همین تلاش‌های عجولانه برای رفع مشکل شروع می‌شوند.

علی بابادی؛ متخصصی که Tape Storage را از درون می‌شناسد

پشت این مجموعه، علی بابادی (علی پوربابادی) ایستاده؛ متخصص Tape Storage و زیرساخت پشتیبان‌گیری که از سال ۱۳۹۶ کارش فقط ذخیره‌سازی نواری بوده است. او راهنماهای فنی ایران تیپ درایو را می‌نویسد و بازبینی می‌کند و در این سال‌ها بسیاری از فعالان این حوزه، از کارشناسان مراکز داده تا تعمیرکاران، برای حل مسئله‌های سخت سراغ او آمده‌اند.

تجربه‌ی او از باز کردن درایوی که نوار دور هدش پیچیده شروع می‌شود و به راه‌اندازی کتابخانه‌هایی با صدها کارتریج برای سازمان‌هایی می‌رسد که نمی‌توانند حتی یک شب بکاپ از دست بدهند. حوزه‌های اصلی کار او:

• طراحی سامانه‌ی بکاپ و آرشیو بر پایه‌ی نوار LTO برای سازمان‌ها
• طراحی بکاپ آفلاین و ضدباج‌افزار با رمزنگاری و کارتریج WORM
• تعمیر هد، رباتیک و برد تیپ درایو و تیپ لایبرری
• کتابخانه‌های HPE MSL و ESL، IBM TS و Quantum Scalar
• مهاجرت آرشیو از نسل‌های قدیمی LTO به نسل‌های جدید

بایگان گستر آریا؛ پشتوانه‌ی رسمی ایران تیپ درایو

ایران تیپ درایو برند فروش شرکت بایگان گستر آریا است؛ شرکتی با مسئولیت محدود که مدیرعامل آن علی پوربابادی است. برای خریداران سازمانی، این یعنی طرف قرارداد یک شخص حقوقی ثبت‌شده است و پیش‌فاکتور و فاکتور رسمی به نام شرکت صادر می‌شود؛ موضوعی که در خریدهای دولتی و سازمانی و در محیط‌هایی با الزامات امنیتی، اهمیت زیادی دارد.

تفاوت اصلی این مجموعه با یک فروشگاه عمومی کامپیوتر این است که از سال ۱۳۹۶ فقط روی یک حوزه کار کرده است. همان تیمی که سال‌ها زیر نظر دیجی اچ پی تیپ درایو و تیپ لایبرری تعمیر کرده، امروز همین تجهیزات را با شناخت کامل از درون عرضه می‌کند. پیش از فروش، سازگاری درایو با سرور، کارت HBA و نرم‌افزار بکاپ مشتری بررسی می‌شود. تیپ درایو، کارتریج LTO، تیپ لایبرری و قطعات سرور و استوریج HPE با گارانتی ۱۲ ماهه‌ی تعویض دیجی اچ پی عرضه می‌شوند که با شماره سریال در پنل آنلاین قابل پیگیری است. مشاوره‌ی طراحی بکاپ پیش از خرید رایگان است.

سفارش‌ها حداکثر ۲۴ ساعت پس از ثبت ارسال می‌شوند، پاسخ‌گویی تلفنی ۲۴ ساعته است و دفتر فروش در برج بهار تهران، شنبه تا پنجشنبه از ۸ صبح تا ۱۰ شب پذیرای مراجعه‌ی حضوری است. فهرست کامل محصولات و خدمات در سایت ایران تیپ درایو در دسترس است.

جمع‌بندی

امنیت شبکه با جلوگیری از نفوذ شروع می‌شود، اما با توان بازگشت بعد از نفوذ کامل می‌شود. نسخه‌ای که آفلاین، رمزنگاری‌شده و در صورت نیاز تغییرناپذیر باشد، آخرین خط دفاع سازمان در برابر باج‌افزار است و نوار LTO این نسخه را با هزینه‌ی کم، ظرفیت بالا و عمر طولانی فراهم می‌کند. اما این خط دفاع فقط وقتی کار می‌کند که تجهیزاتش سالم باشند؛ پس انتخاب درست تجهیزات و دسترسی به تعمیر تخصصی و امن، بخشی از همان استراتژی امنیتی است.

پرسش‌های متداول

رمزنگاری LTO سرعت بکاپ را کم می‌کند؟

نه. رمزنگاری AES-256 در خود درایو و به‌صورت سخت‌افزاری انجام می‌شود و روی سرعت نوشتن اثر محسوسی ندارد. مهم‌ترین نکته، نگهداری امن کلیدهاست؛ بدون کلید، حتی خود سازمان هم نمی‌تواند داده را بخواند.

کارتریج WORM را می‌شود دوباره استفاده کرد؟

نه. هر بخش از کارتریج WORM فقط یک بار نوشته می‌شود. فضای خالی باقی‌مانده را می‌شود تا پر شدن کارتریج استفاده کرد، اما داده‌ی نوشته‌شده قابل پاک کردن نیست.

اگر کلید رمزنگاری گم شود چه می‌شود؟

داده‌ی روی کارتریج رمزشده بدون کلید قابل بازیابی نیست؛ این همان چیزی است که امنیت آن را تضمین می‌کند. برای همین، کلیدها باید با همان دقت نسخه‌ی پشتیبان، در دو جای جدا و امن نگهداری شوند و در آزمایش‌های دوره‌ای بازگردانی هم بررسی شوند.

برای یک سازمان کوچک هم نوار صرفه دارد؟

اگر حجم داده چند ترابایت یا بیشتر است و داده‌ها برای کسب‌وکار حیاتی‌اند، بله. یک تیپ درایو و چند کارتریج، سال‌ها نسخه‌ی آفلاین فراهم می‌کنند. برای حجم‌های خیلی کم، هارد اکسترنالی که فقط هنگام بکاپ وصل و بعد جدا می‌شود هم می‌تواند شروع خوبی باشد.

دستگاهی که جای دیگری خریده‌ایم هم تعمیر می‌شود؟

بله. پذیرش تعمیر به محل خرید دستگاه وابسته نیست و برای سازمان‌های تهران، سرویس در محل هم امکان‌پذیر است.