По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Почитатей первую часть статьи про траблшутинг NAT/PAT на Cisco.
В этой части мы рассмотрим проблемы DHCP.
Урок 1
Вот новый сценарий, позвольте мне сначала объяснить его:
Зеленая зона - это наша локальная сеть, так что это наш NAT inside.
Красная область - это Интернет, поэтому это наш NAT outside.
Предполагается, что хост - это компьютер с шлюзом по умолчанию 192.168.12.2.
Наш маршрутизатор NAT подключен к маршрутизатору ISP.
Маршрутизатор ISP назначил нам подсеть 172.16.1.0 / 24, которую мы собираемся использовать для трансляции NAT.
BGP был настроен между NAT и маршрутизатором ISP для доступа к сети 192.168.34.0/24.
Предполагается, что веб-сервер прослушивает TCP-порт 80 и использует 192.168.34.3 в качестве шлюза по умолчанию.
Однако пользователи нашей локальной сети жалуются на то, что не могут подключиться к веб-серверу. Давайте проверим нашу конфигурацию NAT:
Мы можем убедиться, что трансляция работает:
Inside local IP-адрес нашего хоста.
Inside global находится один из IP-адресов из нашей подсети 172.16.1.0/24.
Outside local and global IP-адрес нашего веб-сервера
Эта трансляция выглядит хорошо, потому что все IP-адреса верные.
Мы видим, что маршрутизатор NAT научился достигать сети 192.168.34.0 / 24 через BGP.
Наш NAT-маршрутизатор может подключаться к веб-серверу, поэтому проблема с подключением отсутствует. Однако следует помнить одну важную вещь. Пакет IP, который производит маршрутизатор NAT, выглядит следующим образом:
IP-адрес получателя является нашим веб-сервером, и с ним нет проблем. Исходный IP-адрес - 192.168.23.2, и поскольку мы получили ответ, мы знаем, что маршрутизатор ISP знает, как достичь подсети 192.168.23.0 / 24. Это важно, поскольку подсеть 192.168.23.0 / 24 напрямую подключена к маршрутизатору ISP.
Однако, если мы отправляем эхо-запрос с хост-устройства, он преобразуется из-за NAT в IP-адрес в подсети 172.16.1.0/24. Пакет IP будет выглядеть так:
Вот что происходит, когда этот IP-пакет покидает маршрутизатор NAT и отправляется маршрутизатору ISP:
Маршрутизатор ISP получает IP-пакет и проверяет свою таблицу маршрутизации, знает ли он, куда отправлять трафик для сети 192.168.34.0 / 24.
Сеть 192.168.34.0/24 напрямую подключена к маршрутизатору ISP, поэтому она выполняет запрос ARP для MAC-адреса веб-сервера, получает ответ ARP и может пересылать IP-пакет на веб-сервер.
Веб-сервер хочет ответить, и он создает новый IP-пакет с IP-адресом назначения 172.16.1.
Поскольку веб-сервер имеет маршрутизатор ISP в качестве шлюза по умолчанию, он отправит IP-пакет маршрутизатору ISP.
Маршрутизатор ISP должен выполнить поиск в таблице маршрутизации, чтобы узнать, знает ли он, где находится сеть 172.16.1.0 / 24.
Маршрутизатор ISP не знает, где находится 172.16.1.0 / 24, и отбросит IP-пакет.
Если бы это была настоящая производственная сеть, у нас не было бы доступа к маршрутизатору ISP. Так как это эмуляция сети и устройств, к которой у нас есть доступ, поэтому давайте сделаем отладку!
ISP#debug ip packet 1
IP packet debugging is on for access list 1
ISP#conf t
ISP(config)#access-list 1 permit host 192.168.34.4
Сначала включим отладку IP-пакетов и используем список доступа, который соответствует IP-адресу веб-сервера.
Следующим шагом является то, что мы будем генерировать некоторый трафик с хост-устройства.
Это то, что будет производить маршрутизатор ISP. Он говорит нам, что понятия не имеет, куда отправить IP-пакет для 172.16.1.1 to...it является не маршрутизируемым и будет отброшен.
Так как же мы решим эту проблему? ISP-маршрутизатор требует сеть 172.16.1.0 /24 в таблице маршрутизации. Поскольку мы уже запустили BGP мы можем использовать его для объявления этой сети с нашего маршрутизатора NAT:
NAT(config)#ip route 172.16.1.0 255.255.255.0 null 0
NAT(config)#router bgp 1
NAT(config-router)#network 172.16.1.0 mask 255.255.255.0
Сначала мы создадим статическое правило, которое указывает сеть 172.16.1.0 / 24 на интерфейс null0. Мы делаю это потому, что невозможно объявлять то, чего у тебя нет. Следующий шаг-объявить эту сеть в BGP.
Пинг прошел проблема решена!
Итог урока: убедитесь, что ваши маршрутизаторы знают, как связаться с translated сетями.
Урок 2
Начнем с простого сценария. Маршрутизатор с левой стороны - это наш DHCP-клиент, а маршрутизатор с правой стороны - это наш DHCP-сервер. Клиент, однако, не получает никаких IP-адресов ... что может быть не так?
Сначала мы проверим, включен ли интерфейс на клиенте DHCP и настроен ли он для DHCP. И это действительно так.
Мы также должны убедиться, что интерфейс на сервере DHCP включен/включен и что у него есть IP-адрес. Пока все выглядит хорошо...
Если мы хотим быть абсолютно уверенным, что проблема не в клиенте, нам надо применить отладку командой debug dhcp detail, чтобы посмотреть, отправляет ли клиент DHCP сообщения об обнаружении DHCP.
Мы видим некоторые отладочные выходные данные, как показано выше. Это говорит о том, что наш DHCP-клиент отправляет сообщения DHCP Discover. Клиент, скорее всего, не является источником этой проблемы.
DHCPServer#show ip dhcp pool
Мы будем использовать команду show ip dhcp pool, чтобы проверить, существует ли пул DHCP. Вы видите, что у нас есть пул DHCP с именем "MYPOOL", и он настроен для подсети 192.168.12.0 / 24. Пока все выглядит хорошо.
Мы можем использовать команду show ip dhcp server statistics, чтобы узнать, что делает сервер DHCP. Вы видите, что он ничего не делает ... что это может значить?
Эта команда не часто применяется. show ip sockets показывает нам, на каких портах роутер слушает. Как вы видите, он не прослушивает никакие порты ... если мы не видим здесь порт 67 (DHCP), это означает, что служба DHCP отключена.
DHCPServer(config)#service dhcp
Включим сервис.
Так-то лучше! Теперь мы видим, что маршрутизатор прослушивает порт 67, это означает, что служба DHCP активна.
Как только служба DHCP будет запущена, вы увидите, что клиент получает IP-адрес через DHCP ... проблема решена!
Итог урока: если все в порядке, убедитесь, что служба DHCP работает.
Урок 3
Взгляните на сценарий выше. У нас есть 3 маршрутизатора; маршрутизатор на левой стороне настроен как DHCP-клиент для своего интерфейса FastEthernet0/0. Маршрутизатор с правой стороны настроен как DHCP-сервер. Помните, что DHCP-сообщения об обнаружении от клиентов транслируются, а не пересылаются маршрутизаторами. Вот почему нам требуется команда ip helper на маршрутизаторе в середине, именуемым как relay. Проблема в этом сценарии заключается в том, что клиент не получает IP-адреса через DHCP
Сначала мы проверим, что интерфейс настроен для DHCP. Мы определим это с помощью команды show ip interface brief.
DHCPClient(config)#interface fastEthernet 0/0
DHCPClient(config-if)#shutdown
DHCPClient(config-if)#no shutdown
Мы будем переводить интерфейс в режимы up и down для проверки, будет ли он отправлять сообщение DHCP Discover.
Мы видим, что сообщения DHCP Discover принимаются на DHCP-сервере. Это означает, что маршрутизатор в середине был настроен с IP helper, в противном случае мы даже не получили бы эти сообщения. Сообщения с предложениями DHCP отправлены, но мы не видим сообщений DHCPACK (Acknowledgment). Это дает нам понять, что что-то происходит...
DHCPServer#debug ip dhcp server packet
Включим отладку, чтобы увидеть, что происходит.
Мы видим, что наш DHCP-сервер пытается достичь IP-адреса 192.168.12.2, это интерфейс FastEthernet0/0 нашего маршрутизатора в середине. Знает ли DHCP-сервер, как добраться до этого IP-адреса?
Как вы можете видеть, его нет в таблице маршрутизации, это означает, что IP-пакеты с назначением 192.168.12.2 будут отброшены.
Чтобы доказать это, мы можем включить отладку
Здесь видим, что IP-адрес назначения 192.168.12.2 не является маршрутизируемым, и в результате IP-пакет будет отброшен. Давайте исправим эту проблему.
DHCPServer(config)#ip route 192.168.12.0 255.255.255.0 192.168.23.2
Мы добавим этот статический маршрут, чтобы исправить нашу проблему с подключением.
Через некоторое время вы должны увидеть, что клиент получает IP-адрес через DHCP.
Если вы оставили "debug ip dhcp server packet" включенным, вы увидите весь процесс DHCP:
DHCP Discover
DHCP Offer
DHCP Request
DHCP ACK
Вот и все ... проблема решена!
Итог урока: если вы используете IP helper, убедитесь, что DHCP-сервер знает, как связаться с подсетью, в которой находится клиент.
3 часть статьи про FHRP траблшутинг на Cisco доступна по ссылке.
При настройке телефонной маршрутизации очень часто возникает необходимость изменения (корректировки) телефонных номеров, как набираемого (Б-номер), так и инициатора вызова (А-номер, АОН). Например, абоненты вашей станции набирают междугородние/федеральные номера через префикс "8", а вышестоящему оператору связи необходимо передавать номер без префикса, в десятизначном формате. Или вызовы на вашу станцию приходят с кодом зоны, а внутри станции используются номера в 6 или 7 знаков, и лишние символы необходимо удалить. Для корректировки номеров в SoftX3000 существует множество инструментов, применяемые в зависимости от конкретных случаев. Рассмотрим некоторые из них.
Таблица корректировки символов DNC
Для любых операций с изменением номера используются правила таблицы DNC. Эти правила используются для непосредственной корректировки символов, а все прочие команды определяют, в отношении какого поля (А-номер или Б-номер), на каком направлении (входящее/исходящее) и на какой транк-группе будет применено это правило.
Для добавления правила в эту таблицу используется команда ADD DNC.
Назначение атрибутов и применение этой команды:
Number change index порядковый номер правила. Используется для идентификации правила
Number change type тип преобразования номера, принимает значения:
NONE номер не изменяется. Используется, если нужно изменить только тип номера
MOD изменение цифр номера
DEL удаление цифр из номера, указываем позицию, начиная с которой удаляются цифры (Change location) и количество цифр (Change length)
INS добавление цифр в номер, указываем позицию, куда вставляем цифры (Change location) и сами цифры (New number)
RPL замена цифр в номере, указываем позицию, с которой начинаются цифры для замены (Change location) и сами цифры (New number)
Change location позиция цифр, которые подлежат корректировке.
Nature of address indicator тип номера, принимает значения:
NONE тип номера не изменяется
IDN международный номер
NDN национальный номер
UDN местный номер
UNN неизвестный номер
SDN специальный номер
New number добавляемые (изменяемые) цифры.
Для наглядности приведем реальные примеры таких правил:
В таблице выше:
Правило №2 изменяет первый символ в номере (Change location 0) на цифру 8 (New number).
Правило №4 удаляет первые (Change location 0) два символа (Change length - 2) в номере и преобразует тип номера в международный.
Правило №9 заменяет первые (Change location 0) шесть символов (Change length - 6) на номер 29xxxx.
В системе можно создать 65535 правил, правило под №0 системное, изменению не подлежит.
Изменение А и Б номеров на исходящем направлении
Для корректировки номеров вызовах в исходящих направлениях используется две таблицы:
TGLD здесь компонуются правила для А и Б номера.
TGLDIDX указывает транк, в отношении которого применяется правило TGLD и условия, при которых оно применяется.
При добавлении записи командой ADD TGLD, необходимо задать следующие обязательные параметры:
Bearer index номер правила по порядку. Этот номер будет использоваться для идентификации в таблице TGLDIDX.
Trunk seizure point минимальная длина набираемого номера.
Caller sending change index правило из таблицы DNC, которое будет применено к А-номеру.
Callee sending change index правило из таблицы DNC, применяемое к Б-номеру.
Примеры записей TGLD:
Здесь запись TGLD=1 изменяет А-номер по правилу DNC=3 и Б-номер по правилу DNC=12.
Далее, необходимо привязать созданное правила TGLD к транкам. Для этого используем команду ADD TGLDIDX:
Указываем следующие параметры:
Trunk group number номер транка, к которому применяется данное правило.
Call source code callsource источника вызова, по которому срабатывает правило. Если код отличается, правило не применится. Чтобы применить правило ко всем callsrc, необходимо указать 65534.
Local DN set код Local DN set, к которому принадлежат номера/транки, совершающие вызов.
Call prefix префикс, при наборе которого срабатывает правило.
Bearer index номер правила из таблицы TGLD, которое было создано предыдущей командой.
Пример:
Рассмотрим правила, применяемые к транку №7 (столбец Trunk group number):
Для вызовов с callsource=5 при наборе "8" будет применено правило TGLD=2.
Для вызовов с любых прочих callsource при наборе 8 будет применено правило TGLD=17.
Для вызовов с любых callsource при наборе 810 будет применено правило TGLD=1.
Изменение А и Б номеров на входящем направлении
Для изменения атрибутов вызова во входящем направлении применительно ко всем входящим вызовам с определенным callsrc (это может быть группа транков или группа абонентов, объединённых этим параметром), используется таблица PFXPRO. Рассмотрим назначение параметров команды ADD PFXPRO сразу на примере:
Параметры имеют следующее назначение:
Call source code = 0 правило будет применяться к входящим вызовам с callsrc=0 и только к ним.
Call prefix = 871229 правило применяется, если Б-номер начинается с этого префикса (871229).
Local DN set = 0 набор номера должен производится с транка или абонента, привязанного к Local DN set = 0. Следует отметить, что вышеуказанный префикс (871229) должен присутствовать в таблице CNACLD с любым атрибутом в указанном Local DN set.
Called number change flag = true означает, что Б-номер подлежит изменению.
Called number change index = 1 Б-номер будет изменен по правилу DNC=1, которое, для наглядности, приведено ниже:
Согласно данному правилу, из номера Б будут удалены первые 4 символа.
Reanalysis = true после всех изменений вызов снова будет обработан как вновь поступивший и смаршрутизирован согласно новым параметрам А и Б номеров.
Таким образом, вызов, поступивший с атрибутом callsrc=0, в котором Б-номер соответствует шаблону 871229хххх, вновь поступит на обработку, но уже с Б-номером 29хххх, то есть будет вызван 6-значный номер внутреннего абонента станции.
Таблица PFXPRO так же позволяет корректировать и А-номер (поля Caller number change flag и Caller number change index), назначить новое значение источника вызова (New call source code) и изменять некоторые другие поля.
В нашей станции данная таблица используется в нескольких целях:
Приведение Б-номеров по входящему направлению к виду, который мы можем маршрутизировать, то есть: от операторов связи приходит вызов на номер 871229xxxx, а номера абонентов нашей станции 29xxxx, соответственно, нам нужно отрезать первые 4 символа, чтобы распознать нашего абонента.
Номера некоторых экстренных служб имеют общий вид (6-значный городской номер), однако абонент набирает короткий номер службы (01, 02, 03). Нам нужно распознать такой набор и подменить номер на реальный. Кроме того, в зависимости от того, в какой местности расположен абонент, номера одной и той же службы могут быть разными. Для того, чтобы учесть этот аспект, мы и используем атрибут callsrc (назначаем каждому району свой callsrc и в соответствии с ним осуществляем подмену набранного номера).
Изменение атрибутов вызова на входящем направлении на определенном транке
Для корректировки атрибутов вызова на входящем транке используется таблица CLRDSN. Запись CLRDSN привязывается к определенному транку командой ADD TGDSG. В самой команде CLRDSN можно создать несколько правил корректировки, которые будут срабатывать в зависимости от А-номера:
Для добавления правила даем команду ADD CLRDSN:
Здесь заполняем следующие поля:
Discrimination group number номер правила, по этому номеру выполняется привязка к транку в команде ADD TGDSG (в предыдущем примере, например, мы рассматривали параметры правила №5).
Caller number номер вызывающего, то есть А-номер. Можем указать конкретный номер или начальный префикс (например, если указать 995, правило будет действовать на все вызовы, которые совершаются с номеров, начинающихся на 995). Есть возможность использовать так называемый символ "Wildcard", то есть применить к любым возможным номерам, для этого вводим символ "E". Префикс в данном поле должен быть таким же, как он приходит из транка. Например, если установить префикс 906, а из транка номер буден приходить 8906 или 7906 правило не сработает.
Address nature тип А-номера. Позволяет ограничить применение правила только к А-номерам определенного типа, то есть, только для
Unknown неизвестный
International международный
National междугородный
Subscriber местный
All все типы номеров
Function code тип действия с вызовом. Выбираем ATT(Modify caller attribute), то есть изменение атрибутов А-номера.
Call source code если установить значение, код callsource будет изменен. Если оставит пустым, будет установлен callsource = 0. (Однажды потратил полдня, пока не обнаружил эту особенность).
Number change index правило DNC, которое будет применено к А-номеру.
Если дать команду с тем же номером Discrimination group number, но другими параметрами, правило будет добавлено в ту же группу. Таким образом, мы добавим правила для разных номеров (или разных типов номеров) в одну группу и сможем привязать ее к транку.
Как было сказано ранее, привязку правила CLRDSN к транку выполняется командой ADD TGDSG.
Мы используем данную функцию для нескольких сценариев.
Сценарий 1
Подмена номера от подключенной УПАТС. Например, имеем некоторую УПАТС, которая подключена к нашей станции. Мы выдали им номер из нашей емкости, которую они, в том числе, должны использовать в качестве А-номера (29хххх). Однако, по какой-то причине, в поле А-номера абонент присылает нам внутренние номера своей станции (101, 102 и т.д.).
а) Добавим правило DNC, которое выполнит полную подмену номера на тот, который должен быть:
б) Создадим правило, в котором применим правило DNC=15 (number change index = 15), ко всем входящим вызовам (number = E, Adress nature = All number):
в) Привяжем правило CLRDSN=30 к транку №30 командой ADD TGDSG:
Сценарий 2
Блокировка нежелательных вызовов с транка (например, для спам-звонков). Для блокировки вызовов в станции создан Local DNset с пустой таблицей маршрутизации (в таблице CNACLD нет никаких записей), и создан callsource (callsrc=4), привязанный к этому Local DNset. При совпадении А-номера с нежелательным, вызову назначается callsrc=4, тем самым вызов не сможет быть смаршрутизирован и будет отбит.
Сценарий 3
Фильтрация входящих вызовов с транка. В данном случае, изначально присваиваем траку callsrc=4, тем самым, по-умолчанию, все входящие вызовы будут запрещены. Затем создаются правила CLRDSN с определенными условиями, при соблюдении которых входящий вызов может быть смаршрутизирован. При выполнении этих условий код callsrc заменяется на разрешенный и вызов проходит. Условиями для проверки обычно выступают префикс А-номера. Например, при входящих вызовах от сотового оператора все А-номера должны начинаться на с символа "9". При входящих вызовах с наших УПАТС А-номер должен начинаться с цифр "29" и т.д.
Изменение атрибутов вызова по Б-номеру для внутренних абонентов
Данная функция может использоваться для разных задач. Одна из них ограничение исходящих вызовов для определенного абонента на определенный номер. В нашем примере это будут исходящие вызовы на префикс 810, то есть международные вызовы (эту задачу можно решить и другими способами).
Используем команду ADD CNACLR:
Здесь выделим следующие параметры:
Call source code код callsrc, к которому принадлежит номер.
Call prefix префикс, при наборе которого срабатывает правило.
Caller number номер телефона абонента, к которому применяется правило. Здесь так же применимо выражение wildcard, то есть применить правило к любому номеру, установив символ "E".
Function code тип обработки вызова. В данном случае используем изменение Б-номера, выбрав Modify caller attribute.
Caller number change index правило DNC, которое применяется к А-номеру.
Called number change index правило DNC, которое применяется к Б-номеру.
Reanalysis flag = true устанавливаем данный флаг для повторной обработки вызова в таблице маршрутизации с новыми параметрами.
Приведенное правило используется в следующем сценарии. В организации приобретен номер 8-800, вызовы на которые переадресуются на локальный номер станции 29хххх. При помощи данного правила мы можем обнаружить набор этого номера 8800 локальными абонентами и подменить его на локальный номер назначения внутри станции, тем самым избежав тарификации этих вызовов на платформе 8800, а так же снизив внешний трафик.
Применение данных функций и команд не ограничивается приведенными сценариями, и ограничено только фантазией и лицензиями оборудования.
Версия станции Huawei SoftX3000 V300R600, но команды будут применимы на более свежих версиях, а принцип их применения такой же.
Неизменяемая резервная копия защищает данные, фиксируя их и не позволяя их менять. Этот тип резервного копирования предотвращает возможность удаления данных и позволяет восстановить их в любое время. В результате неизменяемые резервные копии защищают данные от случайного или преднамеренного удаления данных или атак программ-вымогателей.
Что же такое неизменяемые резервные копии?
Данные – это критически важная часть любой организации. Именно по этой причине они являются основной целью кибератак.
Программа-вымогатель – это тип вредоносного ПО, которое шифрует данные так, что их больше нельзя использовать. Шифрование может доходить до уровня загрузочной записи, чтобы загрузка была невозможна. Это также распространяется и на резервные копии данных.
Атака программы-вымогателя приводит к отключению важнейших бизнес-служб. Для того, чтобы получить доступ к вашим данным снова, вам придется заплатить выкуп.
Одним из способов минимизировать вред от атак программ-вымогателей является регулярное резервное копирование данных, что является последней линией защиты. Однако обычное копирование данных вовсе не означает, что они защищены от кибератак.
Усовершенствованные атаки программ-вымогателей могут быть теперь нацелены и на резервные копии. Злоумышленники могут изменить или удалить резервную копию и потребовать крупный выкуп. Чтобы предотвратить такую ситуацию, можно воспользоваться неизменяемой резервной копией.
Неизменяемость препятствует несанкционированному доступу к данным или их удалению. Наличие неизменяемой резервной копии гарантирует, что у вас всегда будет самая последняя верная копия ваших данных, безопасная и доступная для восстановления в любое время.
Неизменяемые резервные копии создаются путем копирования битов данных в облако сразу после их создания.
После того, как данные попадут в облако, пользователь может установить флаг неизменяемости (неизменяемости битов). Этот флаг блокирует данные, предотвращая случайное удаление данных, заражение вредоносным ПО или повреждение данных.
Пользователь может установить флаг на определенный период времени. То есть если вы установите флаг на семь дней, то не сможете удалить или изменить резервную копию в течение этого периода времени.
Вы можете хранить краткосрочные неизменяемые резервные копии локально или многоуровневые резервные копии данных в неизменяемом объектном хранилище удаленно. Таким образом, вы защищаете данные от непредвиденного вредоносного действия или случайного удаления.
Недостатки изменяемой инфраструктуры
Изменяемая инфраструктура – это инфраструктура информационного сервера, которую можно постоянно изменять и обновлять в обычном порядке.
Несмотря на то, что такая инфраструктура имеет свои преимущества, она также имеет и несколько недостатков в сравнении с неизменяемой инфраструктурой.
Недостатки изменяемой инфраструктуры следующие:
Конфигурационный дрейф. Изменения конфигурации сервера не регистрируются систематически, трудно диагностировать или воспроизвести технические проблемы.
Недискретное управление версиями. Отслеживание версий затруднено, поскольку изменения сервера не всегда документируются.
Ошибки обновления. Обновления с большей долей вероятности завершатся сбоем из-за различных проблем с сетью (DNS в автономном режиме, плохое подключение, не отвечающие репозитории и т.д.)
Медленная отладка. Проблемы с отслеживанием версий замедляют процесс отладки. Следовательно, пользователи могут столкнуться с несколькими версиями обновлений и большими рабочими нагрузками в случае обновлений с ошибками.
Повышенный риск. Изменяемая инфраструктура увеличивает риск потери данных и атак программ-вымогателей, если сравнивать с неизменяемой инфраструктурой.
Ручная настройка. Изменяемая инфраструктура требует ручной настройки сервера, что проводит к увеличению длительности процесса подготовки серверов.
Как реализовать стратегию неизменяемого резервного копирования?
Компании часто пытаются противостоять программам-вымогателям, вкладывая средства в надежную и устойчивую к отказам систему защиты. Однако лучше стоит подготовиться к наихудшему сценарию – сценарию, при котором системы защиты компании откажут.
Внедрение стратегии неизменяемого резервного копирования – лучший способ защитить ваши данные и быстро отреагировать на кибератаку без необходимости платить огромный выкуп.
Многие передовые методы резервного копирования и восстановления данных не защищены от атак программ-вымогателей.
Например, репликация данных в удаленный центр обработки данных не обеспечивает защиту от программ-вымогателей, поскольку непрерывное резервное копирование может перезаписывать исправные файлы зашифрованными версиями. Поэтому сложно точно определить начальную точку возникновения вируса.
Правило резервного копирования 3-2-1 (3-2-1 backup rule) – это стратегия защиты данных, которая предполагает, как минимум, три копии данных. Две копии являются локальными, но находятся на разных носителях, а третья – удаленная (например, неизменяемая резервная копия с воздушным зазором в облаке).
Передовые методы для реализации неизменяемого резервного копирования:
Целостность данных
Лучший способ защитить резервную копию данных – хранить ее на платформе, которая не позволит вносить изменения. Некоторые фирмы-поставщики предлагают объектно-ориентированное хранилище, которое делает невозможным изменение данных или их шифрование при атаке программы-вымогателя.
Модель нулевого доверия
Такая модель включает строгую проверку личности для любого, кто получает доступ к вашим резервным копиям данных в частной сети. Такой целостный подход состоит из нескольких методов и технологий, которые обеспечивают повышенный уровень безопасности и надежность резервного копирования.
Один из таких методов – усиление безопасности с помощью многофакторной аутентификации.
Многоуровневая устойчивость к отказам
Хорошая стратегия защиты сочетает в себе неизменяемое резервное копирование данных с новейшими технологиями кибербезопасности и обучением сотрудников.
Платформы, включающие в себя функции предотвращения удаления лишних файлов или удаления с возможность восстановления, гарантируют наличие копии данных, даже если программа-вымогатель проникнет в систему.
Другой уровень защиты заключается в использовании формата WORM (write once read many - однократная запись и многократное считывание), который предлагают многие фирмы-поставщики.
Автоматическое реагирование
Атаки программ-вымогателей обычно происходят через несколько месяцев после того, как система была заражена. Злоумышленники специально выжидают столько времени, чтобы программа-вымогатель могла незаметно распространиться и найти все резервные копии данных. Затем, когда в офисе никого не остается, они заполучает ваши данные.
Внедрите систему автоматического реагирования в решение для резервного копирования, чтобы помещать зараженные системы в «карантин», даже если в этот момент в офисе никого нет.
«Чистое» восстановление
Убедитесь, то ваша резервная копия данных не содержит вредоносных программ, чтобы предотвратить повторное заражение. Сканируйте резервные копии на наличие вредоносных программ или индикаторов компрометации перед тем, как восстанавливать данные.
Храните неизменяемые резервные копии данных в формате WORM, чтобы защитить данные от шифрования и обеспечить быстрое восстановление данных.
Заключение
Теперь вы знаете, что такое неизменяемые резервные копии и как они могут защитить ваши данные от кибератак. Когда речь идет о программах-вымогателях, то лучшее нападение – это надежная защита.