Làm thế nào để biến bản sao lưu thành bất biến chống ransomware trên máy chủ của riêng tôi?

Immutable có ý nghĩa gì với một bản backup?

Ransomware chiếm được một máy chủ thường chiếm luôn thông tin đăng nhập backup lưu trên đó. Nếu thông tin đăng nhập đó có thể xóa các bản backup cũ, kẻ tấn công sẽ xóa chúng trước khi mã hóa bất cứ thứ gì.

Một bản backup immutable đóng cánh cửa đó lại. Máy đang được backup có thể thêm dữ liệu mới, nhưng không gì trên máy đó có thể xóa hay ghi đè các phiên bản cũ. Một số phương pháp thực thi điều này bằng quyền truy cập, số khác bằng một khóa có ngày hết hạn.

Nếu máy bạn bảo vệ có thể xóa các bản backup của chính nó, thì kẻ chiếm được máy đó cũng vậy.

restic và Borg chạy ở chế độ append-only như thế nào?

rest-server của restic có một cờ --append-only. README của nó nói rằng chế độ này cho phép tạo backup mới nhưng ngăn xóa và sửa đổi các bản đã có. Hãy prune từ một máy admin qua một instance thứ hai không bật cờ đó, hoặc ngay trên máy chủ.

Borg thực thi chế độ này bằng một forced command trong authorized_keys, hoặc bằng append_only = 1 trong config của repository. Tài liệu của nó liệt kê thẳng các giới hạn:

• borg delete và borg prune vẫn chạy; chúng chỉ đánh dấu dữ liệu là đã xóa.
• Lần ghi tiếp theo ở chế độ bình thường sẽ xóa hẳn dữ liệu đó, nên prune tự động làm chế độ này mất tác dụng.
• Chạy borg check trước khi prune một repository append-only.
• rm vẫn hoạt động trên các file, nên client chỉ được truy cập repository qua borg serve.

Cả hai công cụ được so sánh trên restic hay Borg cho backup offsite.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Proxmox Backup Server và Veeam khóa backup như thế nào?

Proxmox Backup Server hoạt động theo vai trò. Một user có DatastoreBackup có thể backup và restore các bản backup của chính nó, nhưng prune cần DatastorePowerUser. Garbage collection cũng chờ 24 giờ 5 phút trước khi xóa các chunk. Hãy ghép nó với một sync job được máy chủ offsite kéo về, để nhà không lưu thông tin đăng nhập offsite nào. Toàn bộ thiết lập nằm trên một Proxmox Backup Server offsite trên máy chủ thuê.

Hardened repository của Veeam hoạt động theo thời gian. Các file giữ nguyên immutable từ 7 đến 9999 ngày, và thông tin đăng nhập đã cài các dịch vụ của Veeam không bao giờ được lưu. Các bước cho một máy thuê nằm trên một Veeam hardened repository trên máy chủ Linux thuê.

Tôi có thể dùng S3 Object Lock trên máy chủ của riêng mình không?

Chỉ khi máy chủ S3 của bạn triển khai nó, và hai lựa chọn mã nguồn mở được biết đến nhiều nhất khác nhau.

• MinIO tài liệu hóa object locking trên các bucket có versioning, ở chế độ GOVERNANCE hoặc COMPLIANCE. Ở chế độ COMPLIANCE, không user nào có thể thay đổi một phiên bản đã khóa, kể cả root user. Nhưng repository cộng đồng của MinIO đã bị archive ngày 25 tháng 4 năm 2026, không còn được bảo trì, và chỉ phát hành dưới dạng mã nguồn.
• Garage liệt kê Object Lock và bucket versioning là còn thiếu trên trang tương thích S3 của nó.

Về phía client, Kopia hỗ trợ Object Lock: bucket cần được bật tính năng này khi tạo, và Kopia khuyến nghị chế độ compliance. Lời khuyên khác của nó đúng ở mọi nơi: một access key không có quyền xóa. Các máy chủ S3 khác được so sánh trên các lựa chọn thay thế tốt nhất cho MinIO để tự host S3.

Snapshot ZFS bảo vệ một bản backup khỏi chính client của nó như thế nào?

Hãy để client ghi qua SFTP hoặc rsync bằng một tài khoản thường, và để root chụp các snapshot. OpenZFS mô tả snapshot là một bản sao chỉ đọc của một file system. Tài khoản của client không có quyền destroy qua zfs allow, nên nó không thể xóa chúng.

Một hold thêm một lớp khóa thứ hai. Khi một snapshot đang có hold, zfs destroy trên nó sẽ thất bại với EBUSY cho đến khi ai đó giải phóng hold.

Các snapshot do root chụp, trên một dataset mà client ghi vào, biến bất kỳ đích rsync hay SFTP nào thành có versioning và append-only.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Điều gì vẫn xóa được các bản backup immutable trên máy chủ thuê?

Hai thứ, và cả hai đều nằm ngoài phần mềm backup.

• Root trên máy chủ backup. Mọi phương pháp ở trên rốt cuộc đều cúi đầu trước root. Giữ root trên một khóa không bao giờ nằm trên các máy bạn backup, và giới hạn SSH chỉ cho địa chỉ admin của bạn.
• Chính việc thuê máy. Mỗi server được thanh toán trước từ số dư crypto của bạn, cho 30 ngày, 3 tháng, 6 tháng hoặc 12 tháng tùy bạn chọn khi thanh toán. Gia hạn tự động sẽ tính lại đúng khoảng thời gian đó với mức giá ban đầu của bạn, trừ khi bạn đặt khoảng thời gian khác cho lần gia hạn tiếp theo trong dashboard; khi số dư không đủ, server sẽ dừng vào cuối kỳ hạn, các ổ đĩa được giữ trong 7 ngày rồi bị xóa. Reboot, cài lại và hủy đều được yêu cầu trong dashboard và do đội ngũ xử lý; cài lại sẽ xóa toàn bộ ổ đĩa, kể cả ổ đĩa dữ liệu. Một khóa dài hơn thời hạn đã trả tiền không bảo vệ được gì.

Một storage server không phải là bản backup của chính nó: chúng tôi không giữ bản sao dữ liệu của bạn ở bất kỳ nơi nào khác, nên việc giữ thêm một bản sao ở nơi khác vẫn là việc của bạn. Các phiên bản đã khóa cũng không thể bị prune sớm, nên pool tăng theo mỗi phiên bản được giữ. Khảo sát của Basalthold về 2 November 2026 cho thấy các máy chủ lưu trữ từ 72 TB trở lên tốn trung vị $4.86 mỗi TB một tháng tại các host nhận crypto không cần KYC. Gói 100 tốn $3.77/TB, tính thô. Các kỳ hạn tới 12 tháng nằm trên bảng giá thuê.