Jak uczynić kopie zapasowe niezmiennymi przeciw ransomware na własnym serwerze?

Co oznacza immutable w kontekście backupu?

Ransomware, który przejmuje serwer, zwykle przejmuje też dane uwierzytelniające do backupu, które są na nim przechowywane. Jeśli te dane mogą usunąć stare backupy, atakujący usuwa je, zanim cokolwiek zaszyfruje.

Immutable backup zamyka tę furtkę. Maszyna, której dane są backupowane, może dodawać nowe dane, ale nic, co się na niej znajduje, nie może usuwać ani nadpisywać starych wersji. Niektóre metody wymuszają to przez prawa dostępu, inne przez blokadę z datą wygaśnięcia.

Jeśli maszyna, którą chronisz, może usunąć własne backupy, to samo może zrobić każdy, kto tę maszynę przejmie.

Jak działają restic i Borg w trybie append-only?

rest-server restica ma flagę --append-only. W jego README czytamy, że tryb ten pozwala na nowe backupy, ale uniemożliwia usuwanie i modyfikowanie istniejących. Prune wykonuj z maszyny administracyjnej przez drugą instancję bez tej flagi albo na samym serwerze.

Borg wymusza ten tryb przez forced command w authorized_keys lub przez append_only = 1 w konfiguracji repozytorium. Jego dokumentacja wymienia ograniczenia wprost:

• borg delete i borg prune nadal działają; jedynie oznaczają dane jako usunięte.
• Następny zapis w trybie normalnym usuwa te dane na dobre, więc automatyczny pruning czyni ten tryb bezcelowym.
• Uruchom borg check przed prune repozytorium append-only.
• rm nadal działa na plikach, więc klienci muszą docierać do repozytorium wyłącznie przez borg serve.

Oba narzędzia są porównane na restic or Borg for offsite backups.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Jak blokują backupy Proxmox Backup Server i Veeam?

Proxmox Backup Server działa przez role. Użytkownik z DatastoreBackup może tworzyć backupy i przywracać własne backupy, ale do prune potrzebuje DatastorePowerUser. Garbage collection czeka też 24 godziny i 5 minut, zanim usunie chunki. Połącz to z zadaniem sync pobieranym przez serwer offsite, tak aby dom nie przechowywał żadnego loginu offsite. Pełna konfiguracja jest na an offsite Proxmox Backup Server on a rented server.

Veeam hardened repository działa przez czas. Pliki pozostają immutable przez 7 do 9999 dni, a dane uwierzytelniające, które zainstalowały usługi Veeam, nigdy nie były przechowywane. Kroki dla wynajętej maszyny są na a Veeam hardened repository on a rented Linux server.

Czy mogę użyć S3 Object Lock na własnym serwerze?

Tylko jeśli twój serwer S3 to implementuje, a dwie najbardziej znane opcje open-source się różnią.

• MinIO dokumentuje object locking na wersjonowanych bucketach, w trybie GOVERNANCE lub COMPLIANCE. W trybie COMPLIANCE żaden użytkownik nie może zmienić zablokowanej wersji, w tym root. Ale repozytorium społeczności MinIO zostało zarchiwizowane 25 kwietnia 2026, nie jest już utrzymywane i jest dostarczane wyłącznie jako kod źródłowy.
• Garage wymienia Object Lock i wersjonowanie bucketów jako brakujące na swojej stronie zgodności z S3.

Po stronie klienta Kopia obsługuje Object Lock: bucket musi mieć go włączony przy tworzeniu, a Kopia zaleca tryb compliance. Jej pozostała rada działa wszędzie: klucz dostępu bez uprawnień do usuwania. Inne serwery S3 są porównane na the best alternatives to MinIO for self-hosted S3.

Jak snapshoty ZFS chronią backup przed własnym klientem?

Pozwól klientowi pisać przez SFTP lub rsync jako zwykłe konto, a rootowi robić snapshoty. OpenZFS opisuje snapshot jako kopię systemu plików tylko do odczytu. Konto klienta nie dostaje prawa destroy przez zfs allow, więc nie może ich usunąć.

Hold dodaje drugą blokadę. Dopóki snapshot ma hold, zfs destroy na nim kończy się błędem EBUSY, aż ktoś zwolni hold.

Snapshoty robione przez root na datasecie, do którego pisze klient, zamieniają każdy cel rsync lub SFTP w wersjonowany, append-only.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Co jeszcze usuwa immutable backupy na wynajętym serwerze?

Dwie rzeczy, i obie leżą poza oprogramowaniem do backupu.

• Root na serwerze backupu. Każda z powyższych metod w końcu ustępuje rootowi. Trzymaj roota na kluczu, który nigdy nie leży na maszynach, które backupujesz, i ogranicz SSH do swojego adresu administracyjnego.
• Sam wynajem. Każdy serwer jest opłacany z góry z Twojego salda kryptowalutowego, na 30 dni, 3 miesiące, 6 miesięcy lub 12 miesięcy, zgodnie z wyborem przy płatności. Automatyczne odnowienie pobiera ponownie tę samą długość po cenie, od której zacząłeś, chyba że w panelu ustawisz inną długość na kolejne odnowienie; gdy saldo nie wystarcza, serwer zatrzymuje się z końcem terminu, jego dyski są przechowywane przez 7 dni, a następnie czyszczone. Restarty, reinstalacje i anulowania są zgłaszane w panelu i obsługiwane przez zespół; reinstalacja czyści każdy dysk, w tym dyski danych. Blokada dłuższa niż opłacony okres niczego nie chroni.

Serwer storage nie jest kopią zapasową samego siebie: nigdzie indziej nie przechowujemy kopii Twoich danych, więc druga kopia w innym miejscu pozostaje Twoim zadaniem. Zablokowanych wersji nie można też usunąć wcześniej przez prune, więc pula rośnie o każdą zachowaną wersję. Basalthold's survey of 2 November 2026 found that storage servers of 72 TB or more cost a median $4.86 per TB a month at hosts taking crypto without KYC. Hold 100 costs $3.77/TB, raw. Okresy do 12 miesięcy są na the hold price list.