Co nastavíte
Útočníci, kteří proniknou do sítě, se obvykle nejdřív snaží smazat nebo zašifrovat zálohy a teprve potom servery. Záloha, kterou může smazat ukradený účet správce, proto nestačí. Tento návod s BackupZit vytváří vrstvenou ochranu: primární zálohu na místním úložišti, kopii na jiném místě a úložiště, na kterém zálohy nelze zničit před koncem stanoveného období, a to ani s přihlašovacími údaji k úložišti. BackupZit je zdarma a open source (AGPLv3); vše popsané zde je součástí bezplatného produktu.
Pravidlo 3-2-1 a 3-2-1-1-0
Pravidlo 3-2-1: 3 kopie dat, na 2 různých médiích, z toho 1 mimo firmu. Rozšíření 3-2-1-1-0 přidává 1 kopii, která je neměnná nebo offline, a 0 chyb při ověřování záloh. V BackupZit:
| Část | V BackupZit |
|---|
| 3 kopie | Produkční data, úloha zálohování a úloha kopie zálohy. |
| 2 média | Dvě úložiště, např. NAS přes SMB nebo SFTP a bucket S3. |
| 1 mimo firmu | Kopie jde do cloudu (S3, Azure Blob Storage) nebo na zabezpečené úložiště v jiné budově. |
| 1 neměnná nebo offline | S3 s Object Lock, zabezpečené úložiště nebo střídané disky USB. |
| 0 chyb | Automatické testy obnovy a kontrola všech uložených dat, s upozorněním, když něco selže. |
Potřebujete konzoli BackupZit s agenty na chráněných počítačích; návody pro Proxmox VE, Hyper-V a obrazy disků Windows ukazují tyto první kroky.
Krok 1 — Primární úložiště pro rychlou obnovu
V konzoli otevřete Úložiště → Přidat úložiště. Pro první kopii zvolte úložiště v místní síti, aby zálohy i obnovy běžely plnou rychlostí: sdílenou složku SMB na souborovém serveru nebo NAS, případně linuxový server nebo NAS přes SFTP (jeho klíč hostitele se připne). Dejte úložišti vlastní účet, který smí zapisovat jen do složky záloh, a nepřipojujte úložiště záloh do domény Windows.
Při uložení konzole úložiště hned otestuje — špatné heslo, klíč hostitele nebo sdílená složka se ukážou hned, ne až při první záloze. Otestovat připojení v seznamu úložišť test zopakuje.
Krok 2 — Přidejte neměnné úložiště
BackupZit má dva druhy úložiště, na kterých zálohy nelze smazat ani přepsat před koncem jejich období. Ideálně je i mimo firmu, takže jedno úložiště pokryje obojí.
Možnost A: S3 s Object Lock
- Vytvořte bucket se zapnutým Object Lock — u AWS, Wasabi a Backblaze B2 je to volba při vytváření bucketu, u MinIO
mc mb --with-lock.
- Přidejte pravidlo životního cyklu, které po jednom dni maže neaktuální verze (MinIO:
mc ilm rule add --noncurrent-expire-days 1 --expire-delete-marker). Smazání zamčené zálohy jen přidá značku smazání; pravidlo uvolní místo, až zámky vyprší.
- V konzoli přidejte úložiště typu Kompatibilní s S3 (AWS, Wasabi, Backblaze B2, MinIO, …) s endpointem, bucketem a přístupovým klíčem k tomuto bucketu.
- Zaškrtněte Neměnné zálohy (S3 Object Lock, režim compliance) na … dní (výchozí 30) a zvolte období alespoň tak dlouhé jako uchovávání, které chcete chránit.
Každý soubor, který agenti zapíší, je pak zamčen v režimu compliance na toto období plus jeden den: nikdo — ani útočník s klíči, ani vlastník bucketu — ho nemůže dřív smazat ani přepsat. Datům, která nová záloha přebírá ze starších, se zámek prodlouží, takže každý bod obnovy je chráněn po celé období. Na neměnném úložišti se test připojení jen přihlásí a vypíše obsah, a ověří, že bucket opravdu má Object Lock.
Azure a Google Cloud: pro Azure Blob Storage zapněte v Azure neměnnost na úrovni verzí s časovou zásadou uchovávání na kontejneru. Google Cloud Storage funguje jako úložiště S3, ale bez volby Object Lock; místo toho v Google Cloud nastavte zásadu uchovávání bucketu (a zamkněte ji).
Možnost B: zabezpečené úložiště na vlastním linuxovém serveru
Na samostatném linuxovém serveru běží backupzit-repo (balíčky deb a rpm jsou přiloženy ke každému vydání na GitHubu):
apt install ./backupzit-repo_*.deb # nebo: dnf install ./backupzit-repo-*.rpm
vi /etc/backupzit-repo/repo.env # BACKUPZIT_REPO_LOCK_DAYS=30
systemctl start backupzit-repo
backupzit-repo add-key office-console # zobrazí přístupový klíč jen jednou
backupzit-repo fingerprint # otisk certifikátu
V konzoli přidejte úložiště typu Zabezpečené úložiště (backupzit-repo na Linuxu, neměnné) s adresou serveru (výchozí port 8500), přístupovým klíčem a otiskem.
- Agenti a konzole mohou soubory jen přidávat; existující soubory se nikdy nepřepisují.
- Každý soubor dostane atribut neměnnosti (
chattr +i) na období nastavené na tomto serveru plus jeden den. Ani root ho nesmaže, aniž by atribut nejdřív odstranil.
- Mazání z klientů — uchováváním nebo útočníkem s přístupovým klíčem — soubory jen skryje, dokud jejich období neskončí.
- Období se nastavuje jen na serveru úložiště; konzole ani agenti ho nemohou změnit.
Po nastavení vypněte SSH a jiný vzdálený přístup k tomuto serveru a chraňte jeho místní konzoli, iDRAC/iLO nebo přístup z hypervizoru: ochrana je tak silná jako jeho účet root.
Krok 3 — Šifrování a klíč obnovy
Ponechte zapnuté Šifrovat zálohy (AES-256) (výchozí). Obsah souborů, názvy, struktura složek a seznamy snímků se šifrují AES-256-GCM dřív, než opustí agenta, a každá změna dat se odhalí. Neměnnost brání smazání, šifrování čtení — potřebujete obojí.
Ke každému šifrovanému úložišti konzole zobrazí Klíč obnovy a nabídne list pro obnovu. Uložte ho offline a odděleně od záloh: s klíčem, umístěním úložiště a přístupovými údaji obnovíte data i bez konzole; bez klíče zálohy nepřečte nikdo — ani podpora BackupZit.
Krok 4 — Úloha zálohování a uchovávání
Vytvořte úlohu v Úlohy zálohování s primárním úložištěm z kroku 1. V Ponechat zálohy nastavte N nejnovějších a k tomu denní, týdenní a měsíční body obnovy — například 3 nejnovější, 7 denních, 4 týdenní a 6 měsíčních drží zhruba půl roku s asi 20 body obnovy. Deduplikace ukládá nezměněná data jen jednou.
Cíl bodu obnovy (RPO), hodiny určuje, jak stará smí být nejnovější úspěšná záloha, např. 26 pro denní úlohu. Úloha, která ho nesplní, se objeví na nástěnce a je ohlášena — to zachytí i agenta, který je dny offline, nebo omylem odstraněný plán.
Krok 5 — Kopie mimo firmu pomocí úlohy kopie zálohy
Vytvořte druhou úlohu a zvolte Kopie zálohy. V Kopírovat zálohy úlohy vyberte úlohu z kroku 4 a jako Cílové úložiště neměnné úložiště nebo úložiště mimo firmu z kroku 2.
- Agent zdrojové úlohy kopíruje existující zálohy; chráněný počítač se znovu nečte.
- Posílají se jen data, která v cíli ještě nejsou, znovu zašifrovaná klíčem cíle.
- Po každé záloze zdrojové úlohy (výchozí) udržuje kopii aktuální; funguje i běžný plán, např. jednou za noc při pomalé lince.
- Kopie má vlastní uchovávání, např. 7 denních na NAS a 12 měsíčních v cloudu. Každý bod obnovy je zamčen N dní od vzniku, takže při zámku na 30 dní už starší měsíční body chráněny nejsou. Delší zámek jich chrání víc, ale zabírá i víc dat.
Zálohy souborů a virtuálních počítačů (Proxmox VE, Hyper-V, VMware) se z kopie obnovují stejně jako z originálu; kopie obrazů disků agentem z příkazové řádky. Kopírovat nyní spustí kopii hned.
Offline kopie pro malé kanceláře: typ úložiště Střídané disky USB / vyměnitelné disky (offline kopie) najde disky podle jmenovky svazku (BZBACKUP1, BZBACKUP2 …). Nasměrujte na něj úlohu kopie, disky střídejte např. jednou týdně a odpojený uložte na bezpečném místě. Když není připojen žádný disk, běh selže s upozorněním.
Krok 6 — Testy obnovy a kontrola dat
Záloha je prokázaná, teprve když byla obnovena. V Nastavení → Testy obnovy:
- Automaticky testovat nejnovější zálohu každé úlohy (výchozí jednou týdně): náhodný vzorek souborů z nejnovější zálohy se obnoví do dočasné složky, ověří bajt po bajtu proti uloženým kontrolním součtům a smaže; u obrazů disků se ověřují náhodné bloky. Tím se prověří přístup k úložišti, přihlašovací údaje, klíč i data.
- Kontrolovat uložená data (výchozí jednou měsíčně): každý kus dat v každém repozitáři se přečte a ověří, což včas odhalí selhávající disk v NAS nebo tichou degradaci dat. Na S3 a Azure běží jen se zapnutým I na cloudovém úložišti (S3, Azure) — stahuje vše, pozor na poplatky za stahování.
- Úlohy virtuálních počítačů Proxmox mohou přidat test spuštění, který každý počítač spustí ze zálohy s odpojenou sítí.
Otestovat obnovu a Ověřit data na stránce úlohy je spustí hned. Výsledky se objeví v Aktivita a Sestavy; neúspěšný test pošle upozornění jako každá chyba.
Krok 7 — Upozornění a detekce ransomwaru
Kopie mimo firmu, která týdny selhává, není kopie. Nastavte Nastavení → E-mailová oznámení (ověřte tlačítkem Odeslat testovací e-mail) a nechte zapnuté Chyby: jeden e-mail za každý neúspěšný běh s důvodem — zálohy, kopie, obnovy a testy obnovy — a podle potřeby denní přehled. Nastavení → Chat a webhooky posílá totéž do Slacku, Microsoft Teams nebo na libovolný HTTP endpoint. Na nástěnce Vyžaduje pozornost ukazuje neúspěšné úlohy, zmeškané plány a RPO, agenty offline a úložiště zaplněná na 90 % nebo taková, která se zaplní do 30 dní.
Každá záloha se navíc porovnává s nedávnou historií své úlohy. Označí se jako podezřelá, když se změnilo mnohem víc souborů než obvykle, nová data se už nekomprimují (šifrované soubory vypadají náhodně), počet souborů klesl o třetinu nebo víc nebo prudce vzrostlo množství nových dat. BackupZit pak pošle upozornění, zařadí ji mezi podezřelé zálohy ke kontrole a pozastaví uchovávání úlohy (Uchovávání je pozastaveno), takže poslední čisté zálohy se nesmažou, ani když poškozené dál přicházejí. Po kontrole počítače klikněte na Zkontrolováno — obnovit uchovávání.
Krok 8 — Ochrana konzole
Neměnné úložiště chrání zálohy; konzole ale dál rozhoduje, co se zálohuje a uchovává. V Nastavení → Přihlášení a zabezpečení vyžadujte dvoufázové ověření pro správce a zapněte Schválení čtyř očí: mazání úloh nebo úložišť, zkracování uchovávání, obnovení uchovávání po podezřelé záloze a vypnutí schvalování pak vyžadují druhého uživatele. Držte konzoli ve vnitřní síti, nezveřejňujte port 8443 do internetu a pro vzdálenou správu používejte VPN. S Nastavení → Záloha konzole se konzole také každý den sama zálohuje na síťové úložiště.
Po útoku
Pokud byly zálohy smazány nebo přepsány, přečtěte úložiště ve stavu před útokem — jen pro čtení, na S3 s Object Lock i na zabezpečeném úložišti:
backupzit-agent snapshots --repo <repozitář> --as-of 2026-10-01T14:30
backupzit-agent restore --repo <repozitář> --as-of 2026-10-01T14:30 --target D:\Restore latest
Na zabezpečeném úložišti může správce skryté soubory i vrátit, aby zálohy běžely dál normálně:
backupzit-repo status
backupzit-repo undelete --since 2026-10-01T14:00
Omezení
- Neměnnost trvá jen po dobu zámku. Smazaná záloha po skončení svého období opravdu zmizí, proto období volte s ohledem na to, jak dlouho může útok zůstat nepozorován.
- Zabezpečené úložiště je tak bezpečné jako jeho účet root a přístup k jeho konzoli, iDRAC/iLO nebo hypervizoru.
- SMB, SFTP a místní disky nemají vlastní neměnnost; kombinujte je s neměnnou nebo offline kopií.
- Zamčená data zabírají místo až do konce zámku, i po smazání; bez pravidla životního cyklu se místo v S3 neuvolní.
- Neměnnost data nečistí: soubory zašifrované před zálohou se zálohují zašifrované. Obnovte bod z doby před útokem — detekce takové body zachová tím, že pozastaví uchovávání.
- Bez klíče obnovy šifrované zálohy nepřečte nikdo.
- Schválení čtyř očí platí pro konzoli; skupiny správců v Active Directory nebo Entra ID je třeba chránit tam.
