قاعده چه می‌گوید
قاعدهٔ ۳-۲-۱ یک قاعدهٔ سرانگشتی قدیمی و کاربردی است: سه نسخه از داده داشته باشید (نسخهٔ اصلی و دو پشتیبان)، روی دو رسانهٔ متفاوت نگه دارید، و یکی از آن‌ها را خارج از محل بگذارید.
منطق هر سه بخش روشن است. سه نسخه، احتمال از دست رفتن هم‌زمان را کم می‌کند؛ دو رسانهٔ متفاوت، وابستگی به یک نوع خرابی را حذف می‌کند؛ و نسخهٔ خارج از محل، سازمان را از رویدادی که کل یک ساختمان را درگیر می‌کند بیرون می‌کشد.
این قاعده در برابر تهدیدهایی که برای آن طراحی شده بود عالی کار می‌کند: خرابی دیسک، خطای انسانی، آتش و سیل. مسئله آنجاست که توزیع تهدیدها عوض شده است.
چرا امروز کافی نیست
در رویداد باج‌خواهی امروزی، مهاجم به‌محض دسترسی به شبکه رمزگذاری را شروع نمی‌کند. ابتدا دسترسی خود را گسترش می‌دهد، حساب‌های با سطح دسترسی بالا را پیدا می‌کند و سراغ سامانهٔ پشتیبان می‌رود — چون می‌داند نسخهٔ پشتیبان تنها چیزی است که به سازمان قدرت «نه گفتن» می‌دهد.
در این سناریو، هر سه بخش قاعده می‌تواند دست‌نخورده باشد و باز هم طرح شکست بخورد:
- سه نسخه وجود دارد، اما همهٔ آن‌ها با یک حساب مدیریتی قابل حذف‌اند.
- دو رسانهٔ متفاوت وجود دارد، اما هر دو از شبکه و با همان هویت در دسترس‌اند.
- نسخهٔ خارج از محل وجود دارد، اما همگام‌سازی خودکار، رمزگذاری را به همان نسخه هم منتقل کرده است.
هیچ‌یک از این‌ها نقض قاعدهٔ ۳-۲-۱ نیست. قاعده دربارهٔ تعداد و محل نسخه‌ها حرف می‌زند، نه دربارهٔ اینکه چه کسی می‌تواند آن‌ها را پاک کند.
لایه‌ای که باید افزوده شود
آنچه کم است، تغییرناپذیری و جدایی دسترسی است. دست‌کم یک نسخه باید وجود داشته باشد که در بازهٔ نگه‌داشت تعیین‌شده، حتی با سطح دسترسی مدیریتی هم قابل تغییر یا حذف نباشد.
جدا کردن هویت
سامانهٔ پشتیبان‌گیری نباید عضو همان دامنه‌ای باشد که از آن نسخه می‌گیرد، و دسترسی مدیریتی آن نباید با حساب‌های دامنه ممکن باشد. اگر این دو یکی باشند، به‌خطر افتادن دامنه به‌معنای به‌خطر افتادن پشتیبان‌ها هم است.
بازهٔ نگه‌داشت قابل اتکا
تغییرناپذیری تنها وقتی معنا دارد که بازهٔ آن از زمان کشف رویداد بیشتر باشد. رویداد باج‌خواهی معمولاً روزها پس از نفوذ اولیه آشکار می‌شود؛ بازهٔ نگه‌داشتی که کوتاه‌تر از این فاصله باشد، در لحظهٔ نیاز نسخهٔ سالمی باقی نمی‌گذارد.
آزمون بازگردانی از همان نسخه
نسخهٔ تغییرناپذیری که هرگز از آن بازگردانی نشده، همان‌قدر نامعلوم است که نسخهٔ معمولی آزموده‌نشده. آزمون دوره‌ای باید دقیقاً روی همان نسخه‌ای انجام شود که در سناریوی بدبینانه قرار است استفاده شود.
قاعدهٔ به‌روزشده
خوانش امروزی قاعده، سه عدد قدیمی را نگه می‌دارد و دو شرط به آن می‌افزاید: یک نسخه تغییرناپذیر باشد، و صفر نسخه بدون آزمون بازگردانی بماند.
- سه نسخه از داده
- روی دو رسانه یا دو سامانهٔ متفاوت
- با یک نسخهٔ خارج از محل
- و یک نسخهٔ تغییرناپذیر با هویت مدیریتی جدا
- و هیچ نسخه‌ای که بازگردانی از آن آزموده نشده باشد
دو بند آخر چیزی به هزینهٔ ذخیره‌سازی اضافه نمی‌کنند؛ تصمیم‌های معماری و عملیاتی‌اند. در بیشتر سازمان‌هایی که با آن‌ها کار می‌کنیم، همین دو بند تفاوت میان «نسخهٔ پشتیبان داریم» و «می‌توانیم برگردیم» را می‌سازد.
جمع‌بندی
به‌جای شمردن نسخه‌ها، این پرسش را بپرسید: اگر مهاجمی امروز سطح دسترسی مدیر دامنه را به دست بگیرد، کدام نسخهٔ پشتیبان را نمی‌تواند حذف کند؟ اگر پاسخ «هیچ‌کدام» است، طرح پشتیبان‌گیری شما برای تهدید امروز نوشته نشده.
نوشته‌های دیگر
- پایش چه چیزی را باید اندازه بگیرد؟داشبوردی پر از نمودار سبز، در لحظهای که کاربر می‌گوید سامانه کار نمی‌کند، نشانهٔ پایش خوب نیست؛ نشانهٔ این است که چیز درستی اندازهگیری نمیشود.
- از شبکهٔ مسطح به بخشهای کنترلشدهدر شبکهٔ مسطح، یک ایستگاه کاری آلوده بهاندازهٔ یک مدیر شبکه دسترسی دارد. بخشبندی، دامنهٔ خرابی را کوچک می‌کند — به شرط آنکه از جای درستی شروع شود.