空間隔離備份：在資料保護中，何謂「空間隔離」？
2023年,NCC Group 報告指出,勒索軟體攻擊增加了 84% 發生了 4,677 起事件,相較於 2022 年的 2,531 起。這是他們有史以來記錄到的最高數字。隨著網路威脅變得更加複雜、頻繁且隱蔽,顯然網路防護措施必須與時俱進。
面對新興的網路威脅,組織若想維持資料可靠性並符合法規要求,可採取多項措施。這些措施可包含採用"空間隔離"來強化資料保護策略。閱讀這篇部落格文章,了解何謂"空間隔離備份",以及如何運用它為您的資料增添另一層防護。
什麼是"空間隔離"？
"空間隔離"是一種安全措施,旨在將電腦、儲存裝置或網路與外部隔離,以防止其建立外部連線。空間隔離的核心理念在於限制存取權限。若要在空間隔離系統中處理資料,必須先取得運行該系統之裝置的實體存取權限。
空間隔離系統的類型
物理空間隔離的實施方式可能因您的基礎設施需求與目標而異。有些組織透過可拆卸式儲存裝置,在空間隔離環境與外部之間傳輸資料;另一些組織則啟用專為處理空間隔離資料而建立的安全連線。無論何種情況,其核心概念始終如一——空間隔離有助於對特定裝置和網路設定嚴格的存取限制。
空間隔離主要分為三種類型:
實體空氣間隙
物理空間隔離(physical air gapping)意指將裝置與其他節點或網路斷開連接。在沒有有線或無線連接的情況下,空間隔離的機器將無法從其他環境存取。此外,"真正的"物理空間隔離還需將硬體移至遠離生產場地的不同位置。
舉例來說,一臺實體空間隔離的伺服器不具備廣域網(WAN)或區域網(LAN)連接介面。在此情況下,無論是意外還是蓄意以惡意意圖,皆無法與該伺服器建立遠端連線。此外,若主站點或資料中心發生緊急狀況,此獨立的空間隔離環境仍能維持安全與穩定。
隔離
隔離是另一種"空間隔離"方法,其原理是將系統與其他系統及網際網路斷開連結,但無需將硬體移至其他地點。此舉有助於防止組織辦公場所外部的未經授權存取行為侵入空間隔離環境。然而,火災、水災或停電等災難仍可能同時損及您的生產環境與空間隔離環境。
邏輯空間隔離
建立邏輯空間隔離,意指透過專用軟體(例如防火牆、流量管理系統)來隔離節點與網路, RBAC(基於角色的存取控制),以及加密演算法。在邏輯空間隔離環境中,仍存在實體連線,這為資料操作提供了更多可能性。
您可以將邏輯空間隔離視為安全性與便利性之間的權衡。邏輯空間隔離節點可設置於不同位置,如同實體隔離的方法,藉此增強對內部威脅與緊急狀況的韌性。此外,邏輯空間隔離亦可作為網路分段的方法,為敏感資料提供額外的安全保障。
空間隔離系統:注意事項
空間隔離雖可作為一種有效的数据保護措施,但其本身並非完美無缺。儘管空間隔離數據具有無可爭辯的優勢,但仔細檢視後亦會發現其存在某些缺點。
空間隔離環境的優勢
在您的環境中實施空間隔離,可帶來以下好處:
- 威脅緩解. 現代惡意軟體大多透過全球網路傳播。對於絕大多數的網路威脅而言,處於空間隔離狀態的儲存裝置、伺服器、網路或其他節點都是無法觸及的。無論是釣魚email、流量攔截工具、勒索軟體,還是遠端安全漏洞等威脅,對離線系統造成的危害都相對較小。
- 資料保護. 空間隔離的資料受到嚴格保護,可防止遭到未經授權的竄改、加密或刪除。透過額外的驗證層級(例如機房進出鑰匙及管理員密碼),可確保僅有經授權的員工能在空間隔離區域內作業。
- 韌性與可恢復性. 即使未採用物理空間隔離,異地儲存與硬體設備也能為組織的基礎架構增添韌性。空間隔離的站點能提供額外的可靠性,並可在主環境遭遇重大資料遺失時,用於恢復生產環境及關鍵資料。
空間隔離的缺點
除了這些好處之外,空間隔離也帶來了一些需要考量和準備的問題:
- 複雜性與不便之處. 空間隔離會增加 IT 基礎架構的複雜性,對惡意攻擊者與團隊成員都構成挑戰。實體距離、額外的安全屏障(例如伺服器機房門的密碼鎖),以及缺乏常規網路連線,都帶來了限制。在空間隔離環境中,資料傳輸和修改等常規作業需要執行多項步驟,因而成為複雜且耗時的工作流程。
- 安全性更新的挑戰. 連網且處於線上狀態的系統會在更新發布時自動接收更新,透過修補漏洞來強化安全性。更新空間隔離的裝置則需要額外的設備(例如內含更新軟體的大容量 USB 隨身碟或硬碟)、時間、人力,以及 IT 專家的專業技能。由於存在這些延遲,若已更新的惡意軟體成功滲透至空間隔離環境中,系統的防護能力便可能受到削弱。
- 人為因素在空間隔離的環境中,員工通常必須遵守嚴格的安全規範,才能存取及操作空間隔離的資料。舉例來說,若團隊成員在使用 USB 隨身碟前忘記進行檢查,便可能無意間讓惡意軟體感染空間隔離的裝置。只要稍有疏忽,便可能使建立和維護空間隔離基礎架構所投入的大量時間與資源付諸東流。
空間隔離備份:提升資料保護效率
網路犯罪分子在策劃攻擊時,會同時鎖定備份系統與生產基礎設施,以提高受害者支付贖金的機率。例如,若因勒索軟體加密而導致還原複製遺失,組織將無從獨立恢復系統及服務可用性。 此外,在某些情況下,若備份與生產資料同時遭刪除,更可能造成無法彌補的損害。
從常見的釣魚email到最先進的惡意軟體,絕大多數的網路威脅皆透過網際網路傳播。採用空間隔離的備份方案,能使資料處於安全區域,並切斷主要的感染途徑。此類隱蔽的備份儲存方案,是值得信賴的資源,能在重大資料遺失事件中成為您的最後防線。
"3-2-1 法則"搭配空間隔離備份
廣為接受的 3-2-1 法則 指出,若要可靠地保護您的資料,您應:
- 至少要有 三 (3) 資料副本。
- 請保留這些副本 二 (2) 或更多種不同的儲存媒體。
- 至少發送 一 (1) 備份至異地。
近年來,雲端備份已日益成為解決該規則第三點的方案。然而,駭客卻想出了 如 LockBit 之類的勒索軟體 以及其他惡意軟體,專門鎖定雲端環境。隨著異地備份的脆弱性日益增加,"3-2-1 法則"隨之演變,成為"3-2-1-1 法則"。
在此版本的備份法則中,應將其中一份備份複製設為不可變更或採用空間隔離。建議將空間隔離的備份存放在專用的 NAS設備、可拆卸硬碟或磁帶上,並存放於異地。 雖然建立和更新這類備份可能需要額外的時間與心力,但在最壞的情況下,它們能提供更強的資料恢復能力。
使用 NAKIVO 進行 Air Gap 備份
NAKIVO Backup & Replication 這是一套多功能解決方案,提供本地、異地、雲端、NAS 及磁帶備份,並具備進階資料保護功能性。您可將此解決方案應用於 VMware vSphere、Microsoft Hyper-V、Nutanix AHV、Proxmox VE 等虛擬環境,以及 Windows 和 Linux 實體環境。
例如,您可以 NAS 備份不可變更 以防止資料遭篡改、加密或刪除。或者,您可以將存有備份資料的 NAS設備從主要環境中斷開連接,以建立物理空間隔離。 您亦可將備份複製儲存至磁帶,並將磁帶媒體從備份系統中移除。
NAKIVO 的空間隔離備份解決方案,讓您能依據排程或隨需執行自訂備份工作流程,從而縮短備份時窗。最後,您可設定靈活的還原順序,當發生資料遺失時,只需點擊幾下即可啟動還原程序,確保將恢復時間 (RTO) 降至最低。
