Backup jako element cyberodporności. Co zmienia Synology ActiveProtect Manager 2.0?

Zdjęcie: Synology ActiveProtect

Klaudia Ciesielska, Brandsit: Synology ActiveProtect to rozwiązanie dedykowane do tworzenia kopii zapasowych. W poprzedniej wersji ActiveProtect pojawiły się ważne zmiany związane ze skalowaniem środowiska. Jakie potrzeby klientów najmocniej wpłynęły na dalszy rozwój platformy i przejście do ActiveProtect Manager 2.0?

Tomasz Iwańczuk, Synology Solution Engineer: Dużym krokiem była już wersja ActiveProtect Manager 1.2. Wprowadziliśmy wtedy możliwość zarządzania wieloma serwerami backupu w klastrze również z wykorzystaniem mniejszych modeli desktopowych DP320 i DP340. Dzięki temu firma posiadająca kilka lokalizacji może zbudować środowisko z kilku serwerów Synology i zarządzać nimi z jednego interfejsu. Mniejsze urządzenia mogą też pełnić rolę zapasowego serwera zarządzania. Wcześniej te funkcje były dostępne tylko dla modeli rackowych.

To była odpowiedź na bardzo konkretną potrzebę klientów. Różnica kosztowa między mniejszymi urządzeniami desktopowymi a dużymi modelami rackowymi oznaczała wysoki próg wejścia dla organizacji, które chciały centralnie zarządzać backupem w kilku oddziałach. W wersji 1.2 ten próg udało się obniżyć.

Wersja 2.0 rozwija ten kierunek. Dostawaliśmy wiele zgłoszeń dotyczących wsparcia dla kolejnych platform. W Polsce szczególnie często pojawiał się Proxmox. Synology ActiveProtect Manager 2.0 rozszerza obsługę m.in. o Proxmox, Nutanix, Azure, Amazon EC2 oraz Google Workspace. To odpowiedź na potrzeby klientów, którzy chcieli rozszerzenia wsparcia backupu o kolejne platformy.

K.C.: W rozmowach o backupie coraz częściej pojawia się pojęcie cyberodporności. Co adekwatnie zmieniło się w podejściu firm do ochrony danych?

T.I.: Przede wszystkim rośnie świadomość zagrożeń i ich potencjalnych skutków. Coraz więcej organizacji patrzy nie tylko na ryzyko samego ataku, ale też na to, co stanie się z biznesem, jeżeli atak rzeczywiście nastąpi. Dlatego ewoluuje sama koncepcja backupu. Nie liczy się już wyłącznie to, czy kopia została wykonana poprawnie. Równie ważne są czas odzyskiwania, ciągłość działania firmy oraz bezpieczeństwo samych danych backupowych.

W przypadku ransomware cyberprzestępcy nie ograniczają się do szyfrowania danych produkcyjnych. Często próbują również usunąć lub uszkodzić kopie zapasowe, żeby utrudnić przywrócenie środowiska. Dlatego potrzebne są dodatkowe warstwy ochrony, replikacja oraz mechanizmy, które utrudniają modyfikację lub usunięcie backupu.

Z biznesowego punktu widzenia chodzi o zabezpieczenie ciągłości pracy firmy. o ile po awarii lub ataku potrafimy gwałtownie przywrócić najważniejsze systemy, skracamy przestój i ograniczamy jego koszt. Sam fakt posiadania kopii zapasowej nie wystarcza, jeżeli w krytycznym momencie nie jesteśmy w stanie skutecznie odtworzyć z niej danych.

„Nie liczy się już wyłącznie to, czy kopia została wykonana poprawnie. Równie ważne są czas odzyskiwania, ciągłość działania firmy oraz bezpieczeństwo samych danych backupowych.”

K.C.: Wersja 2.0 rozszerza ochronę danych o kolejne środowiska, m.in. Nutanix, AHV i Google Workspace. Jakie znaczenie ma obsługa tak szerokiego ekosystemu dla firm działających w modelu hybrydowym?

T.I.: Hybrydowość powoduje, iż system ochrony danych musi obejmować bardzo różne środowiska. Organizacja może jednocześnie korzystać z serwerów fizycznych, maszyn wirtualnych, zasobów w chmurze oraz usług takich jak Microsoft 365 czy Google Workspace. Dlatego istotne jest szerokie wsparcie platform, ale też elastyczność podczas odtwarzania.

ActiveProtect umożliwia w wielu scenariuszach odtwarzanie krzyżowe – na przykład między środowiskiem lokalnym i chmurowym, między infrastrukturą fizyczną i wirtualną albo między platformami wirtualizacyjnymi różnych producentów. W określonych przypadkach może to również ułatwiać migrację pomiędzy platformami. Mając backup z rozwiązania A, po przejściu na rozwiązanie B można odtworzyć zabezpieczone maszyny bezpośrednio w nowym środowisku.

Ważna jest też automatyzacja. W środowisku, które stale się zmienia, nowe maszyny wirtualne mogą być automatycznie dołączane do określonego planu ochrony – na przykład na podstawie lokalizacji lub tagów. Dzięki temu administrator nie musi manualnie aktualizować konfiguracji za każdym razem, gdy pojawia się nowy zasób.

K.C.: Czy większym wyzwaniem jest dziś samo wykonywanie kopii zapasowych, czy raczej utrzymanie dobrej strategii ochrony?

T.I.: Zdecydowanie strategia. Dobry system powinien upraszczać konfigurację i wykonywanie backupu, ale najpierw trzeba wiedzieć, co chcemy chronić, jak gwałtownie musimy odzyskać dane i jak reagować na zmiany w infrastrukturze. Strategia powinna obejmować nie tylko wykonywanie kopii, ale także monitoring, raportowanie, regularne testy odtworzeniowe i plan szybkiego odzyskiwania.

Warto pamiętać o zasadzie 3-2-1: minimum trzy kopie danych na co najmniej dwóch różnych nośnikach, z których jedna znajduje się w lokalizacji zdalnej. W Synology ActiveProtect można tę koncepcję rozszerzyć do 3-2-1-1-0. Dodatkowa „1” oznacza niezmienność kopii, czyli ochronę przed modyfikacją i usunięciem, a „0” odnosi się do weryfikacji kopii tak, aby dążyć do braku błędów.

Strategię backupu trzeba najpierw zaplanować, a następnie na bieżąco modyfikować, reagując na zmiany w środowisku i na zagrożenia zewnętrzne. Powinna uwzględniać złożoność infrastruktury IT, plany szybkiego odzyskiwania, regularne testy oraz monitoring i raportowanie. Większość codziennych działań może być zautomatyzowana, ale sama strategia wymaga aktualizacji wraz ze zmianami w środowisku.

K.C.: W Synology ActiveProtect zapowiedziano też wykrywanie anomalii i skanowanie backupu przed odtworzeniem. Jaką rolę może odgrywać AI w ochronie i odzyskiwaniu danych?

T.I.: Te funkcje mają pojawić się w kolejnych aktualizacjach ActiveProtect Manager w ramach wersji drugiej, a niekoniecznie w dniu premiery samego 2.0. To odpowiedź na oczekiwania klientów, którzy chcą, żeby rozwiązanie backupowe nie tylko realizowało zadania backupu, ale było też kolejnym aktywnym elementem walki z cyberatakami – kolejną linią obrony.

Wykrywanie anomalii ma być wspomagane przez AI i uczenie maszynowe. ActiveProtect będzie analizował kolejne wersje backupów oraz strukturę danych, aby lepiej wykrywać nietypowe zmiany mogące wskazywać na zagrożenie. Kolejnym elementem ma być skanowanie backupu przed przywróceniem w odizolowanym, bezpiecznym środowisku. jeżeli w najnowszej kopii zostanie wykryte złośliwe oprogramowanie, system ma umożliwić poszukiwanie wcześniejszej, niezainfekowanej wersji.

Szczegóły techniczne tych funkcji nie zostały jeszcze upublicznione. Będziemy mogli powiedzieć o nich więcej bliżej premiery tej funkcjonalności.

K.C.: Jak należy patrzeć na wykrywanie anomalii w ActiveProtect w kontekście innych warstw ochrony infrastruktury?

T.I.: Funkcjonalność wykrywania anomalii zapowiedziana w ActiveProtect jest tylko jedną z wielu niezbędnych warstw ochrony przed cyberatakami. Infrastruktura powinna być zabezpieczana kompleksowo: na urządzeniach końcowych powinno działać oprogramowanie antywirusowe, a dodatkowe systemy, takie jak EDR czy XDR, zwiększają szansę wykrycia, analizy, powstrzymania lub ograniczenia ataku.

Znaczenie mają również inne warstwy, takie jak kontrola poczty, uwierzytelnianie wieloskładnikowe czy szyfrowanie danych. Ważna jest też edukacja pracowników. Nie wyeliminuje zagrożenia w 100%, ale może je zminimalizować.

K.C.: W portfolio pojawia się również DP5200. Gdzie ten model ma znaleźć swoje miejsce?

T.I.: Do tej pory mieliśmy z jednej strony większe modele rackowe z serii DP7000, przeznaczone do ochrony większych środowisk, a z drugiej mniejsze modele desktopowe DP320 i DP340. Brakowało urządzenia pośredniego – rackowego, ale skierowanego do organizacji o mniejszych wymaganiach i bardziej ograniczonym budżecie. Taką lukę ma wypełnić DP5200.

To rozwiązanie może być interesujące dla mniejszych i średnich firm oraz organizacji rozwijających się, które mają bardziej ograniczony budżet i mniejsze wymagania dotyczące liczby chronionych środowisk czy potrzebnej przestrzeni, ale chcą zachować możliwość montażu w szafie rack. DP5200 może działać jako główny serwer backupu albo służyć do rozbudowy klastra, na przykład poprzez instalację w mniejszych oddziałach klienta, z zachowaniem centralnego zarządzania wszystkimi serwerami backupu.

K.C.: Czy w rozmowach z klientami widać zmianę podejścia do backupu? przez cały czas trzeba przekonywać firmy, iż to inwestycja konieczna?

T.I.: Dużo zależy od tego, z kim rozmawiamy. Administratorzy IT, czyli osoby bezpośrednio odpowiedzialne za backup, mają zwykle większą świadomość jego znaczenia. Osoby zarządzające często inaczej patrzą na potrzeby i dostępny budżet, dlatego ważne jest mówienie o zagrożeniach i o tym, czym potencjalny atak cybernetyczny może się dla firmy skończyć.

Widać jednak zmianę. Kiedyś backup bywał traktowany jako jedno z zadań administratora. Dziś coraz częściej jest postrzegany jako jeden z fundamentów funkcjonowania firmy. Organizacje analizują scenariusze awarii i ataków, sprawdzają, czy ochroną objęte są wszystkie najważniejsze systemy i zastanawiają się, jak gwałtownie mogą je odzyskać.

Pomagają też zmiany w prawodawstwie, w tym NIS2 i nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Dotyczą określonych podmiotów, ale wyznaczają pewien standard bezpieczeństwa również dla mniejszych instytucji.

„Backup jest skuteczny dopiero wtedy, kiedy wiemy, iż w krytycznej sytuacji można z niego odtworzyć dane w zakładanym czasie.”

K.C.: Od czego powinna zacząć firma, która chce sprawdzić, czy jej obecna strategia backupu i disaster recovery rzeczywiście odpowiada realnym zagrożeniom?

T.I.: Pierwszym krokiem jest inwentaryzacja infrastruktury i danych. Trzeba wiedzieć, z jakich systemów korzystają poszczególne działy, które z nich są krytyczne i bez czego firma nie będzie w stanie utrzymać ciągłości działania. Następnie należy określić, jak długo dany system może pozostawać niedostępny i jaką ilość danych możemy zaakceptować jako potencjalnie utraconą.

Do tego służą wskaźniki RTO i RPO. RTO określa maksymalny akceptowalny czas od awarii do wznowienia pracy, natomiast RPO wskazuje akceptowalny poziom utraty danych, a więc pośrednio wymaganą częstotliwość wykonywania kopii.

Kolejny etap to sprawdzenie, czy wszystkie krytyczne systemy rzeczywiście są objęte backupem i czy kopie są replikowane – najlepiej do zdalnego, możliwie odizolowanego środowiska. Potem potrzebna jest analiza ryzyka obejmująca ransomware, błędy ludzkie czy awarie sprzętowe, a przede wszystkim regularne testy odtworzeniowe. Backup jest skuteczny dopiero wtedy, kiedy wiemy, iż w krytycznej sytuacji można z niego odtworzyć dane w zakładanym czasie.

K.C.: Gdybyś miał wskazać najważniejsze cechy Synology ActiveProtect z perspektywy firmy wybierającej system backupu, co znalazłoby się na tej liście?

T.I.: Jednym z elementów jest model kosztowy. W Synology ActiveProtect liczba zabezpieczanych maszyn wirtualnych czy kont Microsoft 365 sama w sobie nie powoduje dodatkowych kosztów licencyjnych. Dodatkowe licencje pojawiają się dopiero przy rozbudowie klastra powyżej trzech serwerów backupu.

Drugi obszar to bezpieczeństwo. ActiveProtect oferuje mechanizmy niezmienności danych WORM, które chronią backup przed modyfikacją i usunięciem. Istotna jest także funkcja air gap, pozwalająca na izolowanie serwerów backupowych – na przykład poprzez odłączanie interfejsów sieciowych poza oknem replikacji.

Warto też wskazać deduplikację po stronie źródła, która ogranicza ilość danych przesyłanych przez sieć i zapotrzebowanie na przestrzeń, oraz skalowalność: możliwość zarządzania wieloma serwerami backupu z jednego interfejsu i wykonywania replikacji między nimi, na urządzenia NAS Synology lub do pamięci S3. Dla organizacji z wieloma oddziałami taka architektura może być szczególnie istotna. Urządzenie, przestrzeń na backup i oprogramowanie pochodzą od jednego producenta, więc klient ma jeden punkt kontaktu w sprawie wsparcia.