Immutable-бэкапы: как технически работает защита от перезаписи и удаления

Зачем нужна неизменяемая резервная копия

Официальный блог Veeam отмечает, что программы-вымогатели атакуют и резервные копии: если их удалить или зашифровать, восстановление затрудняется. По собственному опросу Veeam за 2025 год, 89% опрошенных организаций сталкивались с атаками на хранилища резервных копий. Это данные исследования производителя, а не независимая оценка распространённости атак.

Практический смысл неизменяемости — сохранить защищённую копию на время, достаточное для обнаружения атаки и восстановления. Степень защиты зависит от реализации: одни режимы допускают обход при особых полномочиях, другие запрещают его в пределах установленного срока хранения.

WORM: общая модель по документации AWS S3 Object Lock

Официальная документация Amazon S3 описывает базовый механизм так: «S3 Object Lock помогает запретить удаление и перезапись объектов Amazon S3 на заданный срок или бессрочно и использует модель однократной записи с многократным чтением WORM». Это логическое ограничение операций над защищённой версией объекта в выбранном режиме хранения, а не утверждение о физической невозможности перезаписи носителя.

Отдельно официально описан механизм «legal hold» — защиты без срока действия: «Юридическая блокировка обеспечивает ту же защиту, что и срок хранения, но действует без даты окончания, пока её явно не снимут». Это отдельный режим для случаев, когда заранее неизвестно, сколько именно копия должна оставаться защищённой (например, до окончания расследования инцидента).

Governance и Compliance: два официальных режима Object Lock

Официальная документация AWS различает два режима с разным уровнем жёсткости. Governance-режим: «В режиме Governance пользователи не могут перезаписывать или удалять версию объекта и менять параметры блокировки без специальных полномочий; отдельным пользователям такие полномочия можно выдать». Механизм обхода официально задокументирован конкретно: «Для обхода или снятия удержания Governance требуется право s3:BypassGovernanceRetention и явный заголовок запроса x-amz-bypass-governance-retention:true».

Compliance-режим строже — официально исключений не предусмотрено: «В режиме Compliance защищённую версию объекта не может перезаписать или удалить ни один пользователь, включая корневого; режим нельзя изменить, а срок хранения — сократить». Официально задокументирован единственный теоретический обходной путь: «Единственный способ удалить объект до окончания срока хранения в режиме Compliance — удалить связанный аккаунт AWS целиком» — то есть удалить весь аккаунт целиком, а не отдельный объект.

Как устроена неизменяемость у Veeam: Hardened Repository

Официальная документация Veeam Help Center описывает механизм на уровне репозитория бэкапов: «При добавлении защищённого репозитория задаётся период неизменяемости: в это время файлы резервных копий нельзя перемещать, изменять или удалять, но можно копировать». Технически это реализовано через отдельный сервис: «Сервис неизменяемости Veeam veeamimmureposvc каждые 20 минут проверяет атрибуты файлов, рассчитывает срок защиты и устанавливает или снимает атрибут неизменяемости; он работает с правами root как дочерний процесс Veeam Data Mover Service».

На уровне файлов официально задокументирован конкретный механизм: «Для каждого файла резервной копии Veeam Backup & Replication создаёт файл .veeam.N.lock с данными о сроке неизменяемости и устанавливает на файл атрибут xattr с этим сроком». Официальная документация Veeam описывает установку атрибута через собственный сервис, но на проверенных страницах не называет конкретную файловую систему. При резервном копировании в объектное хранилище Veeam Agent for Linux использует штатные механизмы этого хранилища, а не тот же файловый атрибут.

Неизменяемость, права доступа и шифрование: разные уровни защиты

Неизменяемость может защищать копию после компрометации части учётных данных, но не при любом наборе полномочий атакующего. Например, AWS Governance допускает обход при праве s3:BypassGovernanceRetention, а файловый атрибут Linux может снять суперпользователь или процесс с полномочием CAP_LINUX_IMMUTABLE. В AWS Compliance защищённую версию объекта нельзя удалить или перезаписать до окончания срока хранения даже корневому пользователю аккаунта; AWS отдельно оговаривает риск удаления аккаунта целиком. Документация Veeam описывает устойчивость защищённого репозитория к конкретным сценариям компрометации его сервисов, но это не универсальное обещание защиты от полного контроля над узлом хранения.

Публикация NIST разделяет эти меры: шифрование может применяться вместе с WORM, но само по себе не защищает копию от повреждения. Права доступа ограничивают круг пользователей; если атакующий получил права, достаточные для изменения политики или снятия атрибута, защита соответствующего режима может быть обойдена. Поэтому неизменяемость, контроль доступа и шифрование дополняют друг друга, а предел каждого механизма проверяют отдельно.

Immutable-атрибут в Linux: официальное определение chattr

На уровне Linux атрибут неизменяемости описан в руководстве chattr(1): файл с атрибутом i нельзя изменить, удалить или переименовать обычной операцией. Однако суперпользователь или процесс с полномочием CAP_LINUX_IMMUTABLE может снять этот атрибут. Производители систем резервного копирования могут строить поверх файловых атрибутов собственные механизмы, но один атрибут сам по себе не защищает от захвата полного контроля над узлом.

NIST: пример WORM-хранилища против программ-вымогателей

Официальная публикация NIST NCCoE SP 1800-25B «Целостность данных: выявление и защита активов от программ-вымогателей и других разрушительных событий» прямо включает WORM-хранилище в эталонную архитектуру защиты: «Для защищённого хранения используется WORMdisk GreenTec — прозрачный жёсткий диск, предотвращающий удаление и изменение данных на уровне прошивки». Назначение этого компонента архитектуры официально описано так: «Функция защищённого хранения блокирует запись в уже созданные резервные копии и гарантирует защиту копий на диске от изменения и удаления».

Важно, что это государственная (NIST/NCCoE — National Cybersecurity Center of Excellence) референсная архитектура, а не продукт конкретного вендора бэкапа — то есть WORM-защита резервных копий официально признана значимой практикой на уровне национального института стандартов, а не только маркетинговой позицией отдельных производителей ПО для бэкапа.

Частые вопросы