Ciągła ochrona danych (CDP)

Zaplanowane kopie zapasowe zapisują dane w stałych odstępach czasu. Wszystko, co zmieniło się między dwoma uruchomieniami, grozi utratą danych, jeśli podstawowa pamięć masowa ulegnie awarii. CDP zamyka tę lukę: agent lub warstwa pamięci przechwytuje każdy zapis (zapis pliku, transakcję bazy danych, edycję lub usunięcie) i w chwili jego wykonania zapisuje go w osobnym, chronionym dzienniku lub replice.

Efektem jest ciągły zapis stanu danych, więc system można cofnąć do dowolnego momentu, a nie tylko do ostatniej zaplanowanej kopii. Spotyka się dwie implementacje. CDP na poziomie bloków przechwytuje każdy zapis na poziomie dysku lub woluminu, niezależnie od aplikacji, która go wykonała. Chroni wszystko na woluminie, ale nie zna stanu aplikacji. CDP na poziomie aplikacji odczytuje dziennik transakcji bazy lub aplikacji, więc odtwarzanie przebiega zgodnie z logiką aplikacji i przywraca konkretną transakcję, a nie surowy stan dysku.

Każda zmiana przechodzi tę samą krótką ścieżkę. Kroki są takie same dla plików i baz danych, różni się tylko rejestrowany obiekt.

1. 1

   Przechwycenie

   Agent lub warstwa pamięci widzi zapis w chwili, gdy trafia na dysk.

2. 2

   Dziennik

   Zmiana zostaje zapisana w osobnym dzienniku lub replice, bez nadpisywania oryginalnych danych.

3. 3

   Znacznik czasu

   Wpis w dzienniku dostaje czas, dzięki czemu odtwarzanie może wskazać dokładny moment.

4. 4

   Cofnięcie

   Przy odtwarzaniu system odtwarza dziennik do wybranego momentu i na nim się zatrzymuje.

Praktyczna różnica to docelowy punkt odtworzenia (RPO): ilość danych zagrożonych w razie awarii. Nocna kopia zapasowa pozostawia narażony nawet cały dzień pracy. CDP ogranicza to narażenie do ostatnich sekund.

Systemy, które zapisują zmiany co kilka minut zamiast przy każdym zapisie, reklamuje się jako „near-CDP”. Są dużym ulepszeniem względem zaplanowanej kopii, ale ich punkty odtworzenia pozostają dyskretne. Tabela porównuje cztery podejścia:

CDP jest kontrolą odtwarzania, a nie zapobiegania. Nie zatrzymuje incydentu. Ogranicza ilość danych, które incydent niszczy.

Typowe zastosowania obejmują:

• przywrócenie usuniętego pliku lub pliku nadpisanego przez pomyłkę
• cofnięcie nieudanej aktualizacji lub błędnej zmiany konfiguracji
• odtworzenie bazy danych z minimalną utratą transakcji
• cofnięcie do chwili sprzed rozpoczęcia szyfrowania plików przez ransomware

Każdy zapis jest rejestrowany dwukrotnie, raz w danych produkcyjnych i raz w dzienniku, więc ciągłe przechwytywanie ma realne koszty. To te kompromisy decydują, gdzie CDP się opłaca.

Umieszczenie dziennika i jego własna ochrona stają się decyzjami projektowymi od samego początku.

Dziennik zapisuje wszystko, co się wydarzyło, także szkodę. Dane, które były błędne już w chwili zapisu, pozostają błędne w każdym punkcie odtworzenia, więc CDP nie naprawi błędu logicznego w aplikacji. Pomaga też tylko wtedy, gdy ktoś wie, do którego momentu cofnąć dane. Przy powolnym uszkodzeniu lub cichym włamaniu to właśnie jest trudne, i tu swoje miejsce ma monitorowanie integralności plików.

Dziennik także wymaga ochrony. Zawiera te same dane co produkcja, więc potrzebuje takiej samej kontroli dostępu i szyfrowania danych w spoczynku. Jeśli w zakresie jest atakujący z uprawnieniami administratora, potrzebna jest też niezmienność. Dziennik, który mogą usunąć te same poświadczenia użyte do zaszyfrowania produkcji, nie chroni niczego.

CDP stosuje się selektywnie, do systemów, w których dopuszczalne okno utraty danych mierzy się w sekundach: transakcyjne bazy danych, systemy zamówień i płatności oraz maszyny wirtualne z krytycznymi aplikacjami biznesowymi. Systemy, których treść zmienia się rzadko albo w których kilkugodzinna utrata jest do przyjęcia, zwykle pozostają przy migawkach i zaplanowanej kopii. Koszt ciągłego przechwytywania nie uzasadnia wtedy zysku w punkcie odtworzenia.

Zacznij od systemów, w których utrata godziny bolałaby najbardziej, a potem sprawdź, jak daleko wstecz faktycznie sięga ich odtwarzanie. CDP to jedna warstwa ochrony danych, obok kontroli dostępu i wykrywania, i działa tylko wtedy, gdy punkt odtworzenia został sprawdzony.

Czytaj dalej: Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych.