ฉันจะทำให้การสำรองข้อมูลเป็น immutable เพื่อป้องกัน ransomware บนเซิร์ฟเวอร์ของตัวเองได้อย่างไร?

immutable หมายความว่าอย่างไรสำหรับ backup?

แรนซัมแวร์ที่ยึดครองเซิร์ฟเวอร์มักยึดข้อมูลรับรองของ backup ที่เก็บอยู่บนนั้นไปด้วย หากข้อมูลรับรองเหล่านั้นลบ backup เก่าได้ ผู้โจมตีจะลบมันทิ้งก่อนเข้ารหัสข้อมูลใดๆ

backup แบบ immutable ปิดประตูนั้น เครื่องที่ถูก backup สามารถเพิ่มข้อมูลใหม่ได้ แต่สิ่งที่มันถืออยู่ลบหรือเขียนทับเวอร์ชันเก่าไม่ได้ บางวิธีบังคับใช้ผ่านสิทธิ์การเข้าถึง บางวิธีผ่าน lock ที่มีวันหมดอายุ

ถ้าเครื่องที่คุณปกป้องสามารถลบ backup ของตัวเองได้ ผู้ที่ยึดครองเครื่องนั้นก็ทำได้เช่นกัน

restic กับ Borg รันในโหมด append-only อย่างไร?

rest-server ของ restic มีแฟล็ก --append-only README ระบุว่าโหมดนี้อนุญาต backup ใหม่ แต่ป้องกันการลบและการแก้ไขข้อมูลที่มีอยู่ ให้ prune จากเครื่อง admin ผ่านอีกอินสแตนซ์ที่ไม่มีแฟล็ก หรือทำบนเซิร์ฟเวอร์เอง

Borg บังคับใช้โหมดนี้ด้วย forced command ใน authorized_keys หรือด้วย append_only = 1 ใน config ของ repository เอกสารของมันระบุข้อจำกัดไว้ตรงๆ:

• borg delete และ borg prune ยังทำงานอยู่ เพียงแต่ทำเครื่องหมายข้อมูลว่าถูกลบ
• การเขียนครั้งถัดไปในโหมดปกติจะลบข้อมูลนั้นอย่างถาวร ดังนั้นการ prune อัตโนมัติทำให้โหมดนี้ไร้ความหมาย
• รัน borg check ก่อน prune repository แบบ append-only
• rm ยังทำงานกับไฟล์ ดังนั้นไคลเอนต์ต้องเข้าถึง repository ผ่าน borg serve เท่านั้น

ทั้งสองเครื่องมือถูกเปรียบเทียบใน restic หรือ Borg สำหรับ backup นอกสถานที่

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Proxmox Backup Server และ Veeam ล็อก backup อย่างไร?

Proxmox Backup Server ทำงานตาม role ผู้ใช้ที่มี DatastoreBackup สามารถ backup และ restore backup ของตัวเองได้ แต่การ prune ต้องใช้ DatastorePowerUser การ garbage collection ยังรอ 24 ชั่วโมง 5 นาทีก่อนลบ chunk จับคู่กับ sync job ที่เซิร์ฟเวอร์นอกสถานที่ดึงไป เพื่อให้เครื่องที่บ้านไม่เก็บ login ของนอกสถานที่ไว้ การตั้งค่าทั้งหมดอยู่ใน Proxmox Backup Server นอกสถานที่บนเซิร์ฟเวอร์เช่า

hardened repository ของ Veeam ทำงานตามเวลา ไฟล์จะ immutable เป็นเวลา 7 ถึง 9999 วัน และข้อมูลรับรองที่ติดตั้ง service ของ Veeam ไม่เคยถูกเก็บไว้ ขั้นตอนสำหรับเครื่องเช่าอยู่ใน hardened repository ของ Veeam บนเซิร์ฟเวอร์ Linux เช่า

ใช้ S3 Object Lock บนเซิร์ฟเวอร์ของตัวเองได้ไหม?

ได้ก็ต่อเมื่อเซิร์ฟเวอร์ S3 ของคุณรองรับ และสองตัวเลือก open-source ที่รู้จักกันดีที่สุดก็แตกต่างกัน

• MinIO ระบุ object locking บน bucket ที่เปิด versioning ไว้ ในโหมด GOVERNANCE หรือ COMPLIANCE ในโหมด COMPLIANCE ไม่มีผู้ใช้คนใดเปลี่ยนเวอร์ชันที่ถูกล็อกได้ รวมถึง root user แต่ repository ชุมชนของ MinIO ถูก archive เมื่อ 25 เมษายน 2026 ไม่ได้รับการดูแลต่อแล้ว และแจกจ่ายเป็น source code เท่านั้น
• Garage ระบุ Object Lock และ bucket versioning ว่ายังไม่มี ในหน้า S3 compatibility ของมัน

ฝั่งไคลเอนต์ Kopia รองรับ Object Lock โดย bucket ต้องเปิดใช้งานตั้งแต่สร้าง และ Kopia แนะนำโหมด compliance คำแนะนำอื่นใช้ได้ทุกที่: access key ที่ไม่มีสิทธิ์ลบ เซิร์ฟเวอร์ S3 อื่นถูกเปรียบเทียบใน ทางเลือกที่ดีที่สุดแทน MinIO สำหรับ S3 แบบ self-hosted

สแนปช็อต ZFS ปกป้อง backup จากไคลเอนต์ของมันเองได้อย่างไร?

ให้ไคลเอนต์เขียนผ่าน SFTP หรือ rsync ด้วยบัญชีธรรมดา และให้ root เป็นคนถ่ายสแนปช็อต OpenZFS อธิบายสแนปช็อตว่าเป็นสำเนาแบบอ่านอย่างเดียวของระบบไฟล์ บัญชีของไคลเอนต์ไม่ได้รับสิทธิ์ destroy ผ่าน zfs allow จึงลบสแนปช็อตไม่ได้

hold เพิ่ม lock ชั้นที่สอง ขณะที่สแนปช็อตมี hold อยู่ zfs destroy บนสแนปช็อตนั้นจะล้มเหลวด้วย EBUSY จนกว่าจะมีคนปล่อย hold

สแนปช็อตที่ถ่ายโดย root บน dataset ที่ไคลเอนต์เขียนอยู่ จะเปลี่ยนเป้าหมาย rsync หรือ SFTP ใดๆ ให้เป็นแบบมี version และ append-only

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

อะไรยังลบ backup แบบ immutable ได้บนเซิร์ฟเวอร์เช่า?

สองอย่าง และทั้งคู่อยู่นอกซอฟต์แวร์ backup

• root บนเซิร์ฟเวอร์ backup ทุกวิธีข้างต้นยอมให้ root ในที่สุด เก็บ root ไว้บนคีย์ที่ไม่เคยอยู่บนเครื่องที่คุณ backup และจำกัด SSH ให้เฉพาะที่อยู่ admin ของคุณ
• การเช่าเอง เซิร์ฟเวอร์แต่ละเครื่องชำระล่วงหน้าจากยอดคงเหลือคริปโตของคุณ เป็นเวลา 30 วัน 3 เดือน 6 เดือน หรือ 12 เดือนตามที่เลือกตอนชำระเงิน การต่ออายุอัตโนมัติจะเรียกเก็บในระยะเวลาเดิมอีกครั้งในราคาที่คุณเริ่มต้นไว้ เว้นแต่คุณจะกำหนดระยะเวลาอื่นสำหรับการต่ออายุครั้งถัดไปในแดชบอร์ด เมื่อยอดคงเหลือไม่พอ เซิร์ฟเวอร์จะหยุดเมื่อสิ้นสุดระยะเวลา ไดรฟ์จะถูกเก็บไว้ 7 วันแล้วจึงลบข้อมูลทิ้ง การรีบูต การติดตั้งใหม่ และการยกเลิกให้ขอในแดชบอร์ดและดำเนินการโดยทีม การติดตั้งใหม่จะลบข้อมูลทุกไดรฟ์ รวมถึงไดรฟ์ข้อมูล lock ที่ยาวกว่าระยะเวลาที่จ่ายไปไม่ได้ปกป้องอะไรเลย

เซิร์ฟเวอร์เก็บข้อมูลไม่ใช่การสำรองข้อมูลของตัวเอง เราไม่เก็บสำเนาข้อมูลของคุณไว้ที่อื่น ดังนั้นการมีสำเนาที่สองในอีกสถานที่หนึ่งจึงยังเป็นหน้าที่ของคุณ เวอร์ชันที่ถูกล็อกก็ไม่สามารถ prune ก่อนกำหนดได้เช่นกัน pool จึงโตขึ้นตามทุกเวอร์ชันที่เก็บไว้ การสำรวจของ Basalthold ใน 2 November 2026 พบว่าเซิร์ฟเวอร์ storage ขนาด 72 TB ขึ้นไปมีราคา median $4.86 ต่อ TB ต่อเดือนที่โฮสต์ที่รับคริปโตโดยไม่ต้อง KYC Hold 100 ราคา $3.77/TB แบบ raw ระยะเวลาเช่าสูงสุด 12 เดือนอยู่ใน รายการราคา hold