Sao lưu thôi chưa đủ: Lưu trữ bất biến và bài toán phục hồi trước mã độc tống tiền

Trong nhiều năm, câu trả lời quen thuộc cho câu hỏi 'làm sao chống mất dữ liệu' là hãy sao lưu. Nhưng trước làn sóng mã độc tống tiền hiện nay, chỉ sao lưu thôi là chưa đủ. Các dòng ransomware mới không còn dừng ở việc mã hóa dữ liệu đang chạy, mà chủ động truy tìm và phá hủy chính các bản sao lưu, khiến doanh nghiệp mất luôn phương án cứu cánh cuối cùng.

Thực tế đó buộc các tổ chức phải nghĩ lại về kiến trúc lưu trữ dự phòng. Ba khái niệm đang trở thành trọng tâm là lưu trữ bất biến, cách ly dữ liệu và phục hồi có kiểm chứng. Đây không còn là câu chuyện riêng của bộ phận công nghệ thông tin, mà là bài toán bảo đảm hoạt động liên tục của cả doanh nghiệp.

Khi mã độc nhắm thẳng vào bản sao lưu

Mỗi năm, các hệ thống thông tin tại Việt Nam hứng chịu hàng trăm nghìn cuộc tấn công mạng, trong đó mã độc tống tiền là mối đe dọa gây thiệt hại nặng nề nhất. Đã có những doanh nghiệp lớn trong lĩnh vực tài chính, chứng khoán và năng lượng phải dừng hệ thống nhiều ngày, thiệt hại không chỉ ở dữ liệu mà còn ở doanh thu, uy tín và niềm tin của khách hàng.

Điểm nguy hiểm của ransomware hiện đại là cách thức hoạt động có tính toán. Sau khi xâm nhập, mã độc thường 'nằm vùng' một thời gian để dò tìm hệ thống sao lưu, bản chụp nhanh (snapshot) và kho lưu trữ dự phòng. Chúng tìm cách vô hiệu hóa, xóa hoặc mã hóa các bản sao lưu trước, rồi mới khóa dữ liệu chính. Nhiều nhóm tấn công còn áp dụng chiêu 'tống tiền kép': vừa mã hóa dữ liệu, vừa đánh cắp và đe dọa công bố. Khi đó, một bản sao lưu đặt cùng mạng, có thể ghi đè hay xóa dễ dàng, gần như vô dụng.

Lưu trữ bất biến: bản sao không thể sửa hay xóa

Lưu trữ bất biến (immutable storage) là lời giải trực tiếp cho vấn đề trên. Nguyên tắc của nó là ghi một lần, đọc nhiều lần: khi dữ liệu đã được ghi, nó không thể bị chỉnh sửa hay xóa bỏ trong một khoảng thời gian được thiết lập trước, kể cả bởi tài khoản quản trị. Cơ chế này thường được triển khai qua tính năng khóa đối tượng (Object Lock) trên lưu trữ dạng đối tượng, hoặc qua các thiết bị và phần mềm hỗ trợ chuẩn WORM.

Nhờ tính bất biến, ngay cả khi kẻ tấn công chiếm được quyền quản trị hệ thống, chúng cũng không thể phá hủy bản sao lưu trong thời hạn khóa. Doanh nghiệp luôn còn ít nhất một phiên bản dữ liệu 'sạch' để khôi phục. Đây chính là lý do lưu trữ bất biến được ví như lá chắn cuối cùng, ranh giới giữa việc phục hồi trong vài giờ và việc mất trắng dữ liệu.

Giám sát liên tục giúp phát hiện sớm hành vi bất thường, rút ngắn thời gian 'nằm vùng' của mã độc trước khi kịp phá hủy dữ liệu.

Cách ly dữ liệu và quy tắc 3-2-1-1-0

Song hành với tính bất biến là nguyên tắc cách ly. Một bản sao lưu được cách ly, hay còn gọi là air-gap, sẽ không thể bị tiếp cận trực tiếp từ mạng sản xuất. Cách ly có thể là vật lý, như đưa dữ liệu ra băng từ lưu trữ ngoại tuyến, hoặc logic, thông qua tài khoản, phân vùng mạng và quyền truy cập tách biệt hoàn toàn. Mục tiêu là bảo đảm rằng khi mạng chính bị xâm nhập, kho dự phòng vẫn nằm ngoài tầm với của kẻ tấn công.

Từ đây, quy tắc sao lưu kinh điển 3-2-1 được nâng cấp thành 3-2-1-1-0. Cụ thể: giữ 3 bản sao dữ liệu, trên 2 loại phương tiện khác nhau, với 1 bản đặt ở ngoài khuôn viên, thêm 1 bản ở trạng thái ngoại tuyến hoặc bất biến, và quan trọng nhất là 0 lỗi khi kiểm tra khôi phục. Con số 0 cuối cùng nhấn mạnh một điều mà nhiều tổ chức bỏ quên: bản sao lưu chỉ có giá trị khi nó thực sự phục hồi được.

Phục hồi mới là thước đo thật sự

Nhiều doanh nghiệp đầu tư cho việc tạo bản sao lưu nhưng lại hiếm khi kiểm tra khả năng phục hồi. Đến khi sự cố xảy ra mới phát hiện bản sao bị lỗi, thiếu dữ liệu hoặc mất quá nhiều thời gian để khôi phục. Vì vậy, hai chỉ số cần được xác định rõ ngay từ khâu thiết kế là RPO và RTO. RPO là mức dữ liệu tối đa có thể chấp nhận mất, quyết định tần suất sao lưu. RTO là thời gian tối đa để đưa hệ thống hoạt động trở lại.

Với những hệ thống trọng yếu, doanh nghiệp cần tính đến trung tâm dữ liệu dự phòng hoặc dịch vụ khôi phục sau thảm họa, cho phép chuyển đổi hoạt động khi hạ tầng chính gặp sự cố. Nhưng đầu tư hạ tầng thôi chưa đủ, điều bắt buộc là diễn tập khôi phục định kỳ. Chỉ có diễn tập thực tế mới trả lời được câu hỏi liệu doanh nghiệp có thể phục hồi đúng hạn hay không, và giúp đội vận hành thành thạo quy trình trước khi khủng hoảng thật xảy ra.

Bảo vệ chính hệ thống sao lưu

Bản thân hệ thống sao lưu cũng là một mục tiêu và cần được bảo vệ nghiêm ngặt. Các biện pháp then chốt gồm: xác thực đa yếu tố cho mọi truy cập vào bảng điều khiển sao lưu, tách biệt tài khoản quản trị sao lưu khỏi hệ thống chung, áp dụng nguyên tắc đặc quyền tối thiểu, và mã hóa dữ liệu cả khi lưu trữ lẫn khi truyền. Song song, việc giám sát liên tục để phát hiện hành vi bất thường sẽ giúp rút ngắn thời gian phản ứng, chặn mã độc trước khi nó kịp lan tới kho dự phòng.

Yêu cầu bảo vệ dữ liệu cũng đang được luật hóa ngày càng chặt chẽ. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân cùng các quy định trong Luật An toàn thông tin mạng đặt ra trách nhiệm bảo đảm an toàn, toàn vẹn và khả năng khôi phục dữ liệu. Với doanh nghiệp, tuân thủ không chỉ để tránh rủi ro pháp lý, mà còn là cách xây dựng niềm tin với đối tác và khách hàng.

Suy cho cùng, khả năng phục hồi dữ liệu chính là năng lực duy trì hoạt động kinh doanh. Trong kỷ nguyên dữ liệu là tài sản cốt lõi, đầu tư cho lưu trữ bất biến, cách ly và phục hồi có kiểm chứng không phải là chi phí, mà là khoản bảo hiểm cho sự sống còn của doanh nghiệp. Và như mọi khoản bảo hiểm, nó cần được chuẩn bị trước khi sự cố ập đến, chứ không phải sau đó.