RAID chroni przed awarią dysku, ale skasowane lub zaszyfrowane pliki znikają z niego tak samo jak z oryginału. Folder synchronizowany z laptopem też tylko powiela zmiany. Gdy ransomware wejdzie na komputer, a NAS jest zamapowany jako dysk sieciowy, „backup” zostaje zaszyfrowany razem z oryginałem.
Ten przepis na strategię 3-2-1 na Synology stawia na jedno, co większość ludzi pomija: odporność na ransomware.
Co znaczy 3-2-1
Reguła 3-2-1 to trzy kopie danych (oryginał i dwa backupy) na dwóch różnych nośnikach lub technologiach, z czego jedna kopia leży poza lokalizacją (offsite). Do tego dokładam 1-0: przynajmniej jedna kopia niezmienna lub offline (immutable albo air-gapped) i zero błędów przy weryfikacji odtwarzania. Bez tego 3-2-1 nadal przegrywa z ransomware.
Warstwa 1: snapshoty Btrfs
Jeśli wolumen jest na Btrfs (a powinien, o ile sprzęt to wspiera), zainstaluj pakiet Snapshot Replication. Snapshot, czyli migawka folderu współdzielonego, zachowuje tylko zmienione pliki lub bloki danych, więc tworzy się szybko i zajmuje tyle, ile wynoszą zmiany od poprzedniej migawki.
Przy ransomware liczy się blokada niezmienności. W harmonogramie migawek (Snapshot Replication → Ustawienia → Harmonogram) zaznacz Włącz migawki niezmienne i ustaw okres ochrony; Synology zaleca 7 do 14 dni. Niezmiennej migawki nie da się usunąć, dopóki trwa okres ochrony, nawet z konta administratora. Z tego samego powodu nie usuniesz folderu współdzielonego, który ma takie migawki. Zwykła blokada migawki (Lock) to co innego: chroni ją tylko przed automatycznym usunięciem przez zasady retencji.
Retencję ustaw osobno (Ustawienia → Retencja), np. co godzinę przez 24 godziny i codziennie przez 30 dni. To różnica między pół dnia paniki a „przywracam folder z migawki sprzed godziny i idę na kawę”.
Odtwarzanie robisz w Snapshot Replication → Odzyskiwanie: wybierasz folder, klikasz Odzyskaj i albo przeglądasz migawkę, pobierając lub kopiując pojedyncze pliki bez nadpisywania całości, albo przywracasz cały folder do wybranej migawki.
Snapshoty leżą na tym samym wolumenie co dane. Chronią przed szyfrowaniem i pomyłką użytkownika, ale nie przed awarią wolumenu ani kradzieżą NAS-a. To dopiero pierwsza warstwa. Udziału z nagraniami Surveillance Station lepiej nie obejmować migawkami: Synology odradza to, bo rotowane nagrania mogą dalej zajmować miejsce i prowadzić do nieoczekiwanych usunięć. O licencjach potrzebnych do kamer pisze wpis o licencjach do kamer sieciowych w Synology.
Warstwa 2: Hyper Backup na drugi nośnik
Hyper Backup służy do kopii wersjonowanych. Zrób zadanie na drugi dysk lub wolumen w tym samym NAS-ie, a lepiej na zewnętrzny dysk USB albo drugi NAS.
Hyper Backup trzyma wersje (rotacja Smart Recycle), kompresuje i szyfruje. Włącz szyfrowanie po stronie klienta i zapisz klucz lub hasło poza NAS-em: bez niego nie odtworzysz kopii, a klucz trzymany na tym samym NAS-ie to klasyczny strzał w stopę.
Dysk USB ma jedną dużą zaletę: da się go fizycznie odłączyć. Rotacja dwóch dysków (jeden w NAS-ie, drugi w szufladzie albo u rodziny) daje tani air-gap, bo proces szyfrujący nie dosięgnie dysku, którego nie ma w gnieździe.
Warstwa 3: kopia offsite
Są trzy drogi, zależnie od budżetu i ostrożności:
- Drugi NAS u znajomego lub w firmie. Snapshot Replication replikuje migawki przez internet, a Hyper Backup może zapisywać na zdalnym Synology z zainstalowanym Hyper Backup Vault. To najtańsza „chmura”, nad którą masz pełną kontrolę.
- Chmura publiczna. Hyper Backup wysyła kopie do usług zgodnych z S3 (Backblaze B2 i Wasabi działają przez interfejs S3), a także m.in. do Microsoft Azure, Dropbox i Google Drive. Warto zablokować kasowanie po stronie bucketa (Object Lock), żeby atakujący z Twoimi kluczami API nie usunął kopii. Dokumentacja Synology nie opisuje współpracy Hyper Backup z Object Lock, więc przed wdrożeniem przetestuj zapis, rotację starych wersji i odtwarzanie.
- Synology C2 Storage. Jest na liście celów Hyper Backup, najprościej go skonfigurować i dobrze integruje się z DSM, ale płacisz za wygodę. Rozsądne, jeśli nie chcesz dłubać w S3.
Kopia offsite powinna leżeć na innym koncie i z innymi poświadczeniami niż codzienny dostęp. Jeśli te same dane logowania odblokowują NAS i backup w chmurze, atakujący, który je zdobędzie, dostaje obie kopie naraz i taka kopia nie jest offsite.
Test odtwarzania
Backup, którego nie testowałeś, może nie działać. Zdarza się, że kopie są uszkodzone od miesięcy, a nikt tego nie widzi, dopóki nie spróbuje odtworzyć danych. Regularnie (kwartalnie to minimum) zrób realne odtworzenie:
- wyciągnij losowy plik z kopii Hyper Backup i sprawdź, czy się otwiera,
- skopiuj folder z migawki do folderu tymczasowego,
- odtwórz testowo kopię z chmury na innym urządzeniu (np. w Hyper Backup Explorer) i upewnij się, że masz klucz i że działa.
Ustawienia, które podnoszą odporność bez kosztów
- Nie mapuj NAS-a jako dysku sieciowego z zapisem tam, gdzie nie musi go być. Im mniej maszyn ma zapis do udziałów, tym mniejsza powierzchnia ataku dla ransomware.
- Użyj osobnego konta do backupów z minimalnymi uprawnieniami zamiast admina.
- Włącz kosz na udziałach (Panel sterowania → Folder współdzielony → Edytuj). Ratuje przed zwykłym „ups, skasowałem”.
- Ustaw powiadomienia (Panel sterowania → Powiadomienia) na e-mail lub push o nieudanych zadaniach backupu. Backup, który trzy tygodnie temu po cichu przestał działać, jest gorszy niż jego brak, bo daje fałszywe poczucie bezpieczeństwa.
Konta, powiadomienia i resztę ustawień bezpieczeństwa DSM opisuje wpis o zabezpieczaniu Synology wystawionego do internetu.
Cały zestaw w czterech krokach
Sensowny setup dla domowego lub małofirmowego Synology:
- Snapshoty Btrfs co godzinę, niezmienne (okres ochrony 7 do 14 dni), z retencją 30 dni: pozwalają natychmiast cofnąć szyfrowanie.
- Hyper Backup na dysk USB z rotacją dwóch dysków: druga technologia i air-gap.
- Hyper Backup do chmury (S3, B2, C2) z szyfrowaniem i kluczem trzymanym offline: kopia offsite, a tam, gdzie dostawca i Hyper Backup na to pozwalają, także z blokadą kasowania po stronie bucketa.
- Kwartalny test odtwarzania, żeby to wszystko naprawdę coś znaczyło.
Poza dyskami USB i ewentualnym abonamentem za chmurę mieścisz się w tym, co już masz. Po incydencie tracisz godzinę na przywrócenie migawki, zamiast tłumaczyć, dlaczego firmowe dane zniknęły na zawsze.
