3-2-1 bekap sa nepromenljivim kopijama: zaštita od ransomware-a korak po korak

Šta ćete podesiti

Napadači koji uđu u mrežu obično prvo pokušaju da obrišu ili šifruju bekape, pa tek onda servere. Bekap koji ukradeni administratorski nalog može da obriše zato nije dovoljan. Ovaj vodič gradi zaštitu u slojevima uz BackupZit: primarni bekap na lokalnom skladištu, kopiju na drugom mestu i skladište na kome bekapi ne mogu da se unište pre isteka zadatog perioda, čak ni sa pristupnim podacima skladišta. BackupZit je besplatan i otvorenog koda (AGPLv3); sve opisano ovde deo je besplatnog proizvoda.

• Pravilo 3-2-1
• 1. Primarno skladište
• 2. Nepromenljivo skladište
• 3. Šifrovanje
• 4. Posao i čuvanje
• 5. Kopija van lokacije
• 6. Testovi vraćanja
• 7. Upozorenja i otkrivanje
• 8. Zaštita konzole
• Posle napada
• Ograničenja

Pravilo 3-2-1 i 3-2-1-1-0

Pravilo 3-2-1: čuvajte 3 kopije podataka, na 2 različita medija, od kojih je 1 van lokacije. Proširenje 3-2-1-1-0 dodaje 1 kopiju koja je nepromenljiva ili offline i 0 grešaka pri proveri bekapa. U BackupZit-u:

Potrebna vam je BackupZit konzola sa agentima na mašinama koje štitite; vodiči za Proxmox VE, Hyper-V i Windows image diskova pokazuju te prve korake.

Korak 1 — Primarno skladište za brzo vraćanje

U konzoli otvorite Skladište → Dodaj skladište. Za prvu kopiju izaberite skladište u lokalnoj mreži, da bekapi i vraćanja rade punom brzinom: SMB deljeni folder na fajl serveru ili NAS-u, ili Linux server ili NAS preko SFTP-a (ključ servera se pamti). Dajte skladištu poseban nalog koji može da piše samo u folder za bekape i ne priključujte skladište za bekape u Windows domen.

Pri čuvanju konzola odmah testira skladište — pogrešna lozinka, ključ hosta ili deljeni folder vide se odmah, a ne tek pri prvom bekapu. Testiraj vezu u listi skladišta ponavlja test.

Korak 2 — Dodajte nepromenljivo skladište

BackupZit ima dve vrste skladišta na kojima bekapi ne mogu da se obrišu ni prepišu pre isteka svog perioda. Najbolje je da je i van lokacije, pa jedno skladište pokriva oba zahteva.

Opcija A: S3 sa Object Lockom

1. Napravite bucket sa uključenim Object Lockom — na AWS-u, Wasabiju i Backblaze B2 to je opcija pri pravljenju bucketa, na MinIO-u mc mb --with-lock.
2. Dodajte lifecycle pravilo koje briše noncurrent verzije posle jednog dana (MinIO: mc ilm rule add --noncurrent-expire-days 1 --expire-delete-marker). Brisanje zaključanog bekapa samo dodaje delete marker; pravilo oslobađa prostor kada zaključavanja isteknu.
3. U konzoli dodajte skladište tipa S3 kompatibilno (AWS, Wasabi, Backblaze B2, MinIO, …) sa endpointom, bucketom i pristupnim ključem za taj bucket.
4. Čekirajte Nepromenljivi bekapi (S3 Object Lock, compliance režim) na … dana (podrazumevano 30) i izaberite period bar onoliko dug koliko čuvanje koje želite da zaštitite.

Svaki fajl koji agenti upišu tada je zaključan u compliance režimu na taj period plus jedan dan: niko — ni napadač sa ključevima, ni vlasnik bucketa — ne može da ga obriše ili prepiše pre toga. Podacima koje novi bekap preuzima iz starijih produžava se zaključavanje, pa je svaka tačka vraćanja zaštićena ceo period. Na nepromenljivom skladištu test veze se samo prijavljuje i izlistava sadržaj, i proverava da bucket zaista ima Object Lock.

Opcija B: ojačani repozitorijum na sopstvenom Linux serveru

Na posebnom Linux serveru radi backupzit-repo (deb i rpm paketi su u svakom GitHub izdanju):

apt install ./backupzit-repo_*.deb       # ili: dnf install ./backupzit-repo-*.rpm
vi /etc/backupzit-repo/repo.env          # BACKUPZIT_REPO_LOCK_DAYS=30
systemctl start backupzit-repo
backupzit-repo add-key office-console    # prikazuje pristupni ključ jednom
backupzit-repo fingerprint               # otisak sertifikata

U konzoli dodajte skladište tipa Ojačani repozitorijum (backupzit-repo na Linux-u, nepromenljiv) sa adresom servera (podrazumevano port 8500), pristupnim ključem i otiskom sertifikata.

• Agenti i konzola mogu samo da dodaju fajlove; postojeći fajlovi se nikad ne prepisuju.
• Svaki fajl dobija atribut nepromenljivosti (chattr +i) na period podešen na tom serveru, plus jedan dan. Ni root ne može da ga obriše bez prethodnog uklanjanja atributa.
• Brisanja sa klijenata — čuvanje ili napadač sa pristupnim ključem — samo sakrivaju fajlove dok njihov period ne istekne.
• Period se podešava samo na serveru repozitorijuma; konzola i agenti ne mogu da ga promene.

Posle podešavanja isključite SSH i drugi udaljeni pristup tom serveru i zaštitite njegovu lokalnu konzolu, iDRAC/iLO ili pristup hipervizoru: zaštita je jaka koliko i njegov root nalog.

Korak 3 — Šifrovanje i ključ za oporavak

Ostavite uključeno Šifruj bekape (AES-256) (podrazumevano). Sadržaj fajlova, imena, struktura foldera i liste snimaka šifruju se AES-256-GCM algoritmom pre nego što napuste agenta, a svaka izmena podataka se otkriva. Nepromenljivost sprečava brisanje, šifrovanje sprečava čitanje — potrebno vam je oboje.

Za svako šifrovano skladište konzola prikazuje Ključ za oporavak i nudi list za oporavak. Čuvajte ga offline i odvojeno od bekapa: sa ključem, lokacijom skladišta i pristupnim podacima možete da vratite podatke i bez konzole; bez ključa bekape ne može da pročita niko — ni BackupZit podrška.

Korak 4 — Posao bekapa i čuvanje

Napravite posao pod Poslovi bekapa sa primarnim skladištem iz koraka 1. Pod Čuvaj bekape podesite najnovijih N plus dnevne, nedeljne i mesečne tačke vraćanja — na primer 3 najnovija, 7 dnevnih, 4 nedeljna i 6 mesečnih čuvaju oko pola godine sa oko 20 tačaka vraćanja. Deduplikacija čuva nepromenjene podatke samo jednom.

Ciljna tačka oporavka (RPO), sati kaže koliko star najnoviji uspešan bekap sme da bude, npr. 26 za dnevni posao. Posao koji to ne ispuni prikazuje se na dashboardu i prijavljuje, što hvata i agenta koji danima nije na mreži ili greškom obrisan raspored.

Korak 5 — Kopija van lokacije uz posao kopije bekapa

Napravite drugi posao i izaberite Kopija bekapa. Pod Kopiraj bekape posla izaberite posao iz koraka 4, a kao Skladište nepromenljivo skladište ili skladište van lokacije iz koraka 2.

• Agent izvornog posla kopira postojeće bekape; zaštićena mašina se ne čita ponovo.
• Šalju se samo podaci kojih još nema na odredištu, ponovo šifrovani ključem odredišta.
• Posle svakog bekapa izvornog posla (podrazumevano) drži kopiju ažurnom; radi i običan raspored, npr. jednom noću za spor internet.
• Kopija ima svoje čuvanje, npr. 7 dnevnih na NAS-u i 12 mesečnih u oblaku. Svaka tačka vraćanja zaključana je N dana od nastanka, pa uz zaključavanje od 30 dana starije mesečne tačke više nisu zaštićene; duže zaključavanje čuva više njih, ali i više podataka.

Bekapi fajlova i mašina (Proxmox VE, Hyper-V, VMware) vraćaju se iz kopije kao iz originala; kopije image-a diskova komandnim agentom. Kopiraj sada odmah pokreće kopiranje.

Korak 6 — Testovi vraćanja i provera podataka

Bekap je dokazan tek kada je vraćen. Pod Podešavanja → Testovi vraćanja:

• Automatski testiraj najnoviji bekap svakog posla (podrazumevano jednom nedeljno): nasumični uzorak fajlova iz najnovijeg bekapa vraća se u privremeni folder, proverava bajt po bajt prema sačuvanim kontrolnim zbirovima i briše; kod image-a diskova proveravaju se nasumični blokovi. Tako se proverava pristup skladištu, pristupni podaci, ključ i sami podaci.
• Proveravaj sačuvane podatke (podrazumevano mesečno): svaki deo podataka u svakom repozitorijumu se čita i proverava, što rano otkriva disk u NAS-u koji otkazuje ili bit rot. Na S3 i Azure-u radi samo uz uključeno I na cloud skladištima (S3, Azure) — preuzima sve, pazite na troškove preuzimanja.
• Proxmox poslovi mogu da dodaju test pokretanja koji svaku mašinu startuje iz bekapa sa isključenom mrežom.

Testiraj vraćanje i Proveri podatke na stranici posla pokreću ih odmah. Rezultati su u Aktivnost i Izveštaji; neuspeli test šalje upozorenje kao svaki neuspeh.

Korak 7 — Upozorenja i otkrivanje ransomware-a

Kopija van lokacije koja nedeljama ne uspeva nije kopija. Podesite Podešavanja → Email obaveštenja (proverite sa Pošalji test email) i ostavite uključeno Neuspesi: jedan email po neuspelom pokretanju sa razlogom — bekapi, kopije, vraćanja i testovi vraćanja — plus dnevni izveštaj po želji. Podešavanja → Chat i webhook-ovi šalje isto na Slack, Microsoft Teams ili bilo koji HTTP endpoint. Na dashboardu Zahteva pažnju prikazuje neuspele poslove, propuštene rasporede i RPO, agente van mreže i skladišta puna 90 % ili koja će se napuniti za 30 dana.

Svaki bekap se upoređuje i sa skorašnjom istorijom svog posla. Označava se kao sumnjiv kada se promenilo mnogo više fajlova nego obično, novi podaci se više ne kompresuju (šifrovani fajlovi izgledaju nasumično), broj fajlova je pao za trećinu ili više ili je količina novih podataka naglo skočila. BackupZit tada šalje upozorenje, prikazuje ga pod sumnjivih bekapa za pregled i pauzira čuvanje posla (Čuvanje je pauzirano), pa se poslednji čisti bekapi ne brišu čak i ako oštećeni i dalje stižu. Kada proverite mašinu, kliknite Pregledano — nastavi čuvanje.

Korak 8 — Zaštitite konzolu

Nepromenljivo skladište štiti bekape; konzola i dalje odlučuje šta se bekapuje i čuva. Pod Podešavanja → Prijava i bezbednost zahtevajte dvofaktorsku prijavu za administratore i uključite Odobrenje „četiri oka”: brisanje poslova ili skladišta, skraćivanje čuvanja, nastavak čuvanja posle sumnjivog bekapa i isključivanje odobrenja tada traže drugog korisnika. Držite konzolu u internoj mreži, ne objavljujte port 8443 na internet i koristite VPN za udaljenu administraciju. Uz Podešavanja → Bekap konzole konzola svakog dana pravi i svoj bekap na mrežno skladište.

Posle napada

Ako su bekapi obrisani ili prepisani, pročitajte skladište kakvo je bilo pre napada — samo čitanje, na S3 sa Object Lockom i na ojačanom repozitorijumu:

backupzit-agent snapshots --repo <repozitorijum> --as-of 2026-10-01T14:30
backupzit-agent restore   --repo <repozitorijum> --as-of 2026-10-01T14:30 --target D:\Restore latest

Na ojačanom repozitorijumu administrator može i da vrati sakrivene fajlove, pa bekapi nastavljaju normalno:

backupzit-repo status
backupzit-repo undelete --since 2026-10-01T14:00

Ograničenja

• Nepromenljivost traje samo koliko i period zaključavanja. Obrisan bekap zaista nestaje kada njegov period istekne, pa period birajte imajući u vidu koliko dugo napad može da ostane neprimećen.
• Ojačani repozitorijum je bezbedan koliko i njegov root nalog i pristup njegovoj konzoli, iDRAC/iLO-u ili hipervizoru.
• SMB, SFTP i lokalni diskovi nemaju sopstvenu nepromenljivost; kombinujte ih sa nepromenljivom ili offline kopijom.
• Zaključani podaci zauzimaju prostor dok zaključavanje ne istekne, i posle brisanja; bez lifecycle pravila prostor na S3 se ne oslobađa.
• Nepromenljivost ne čisti podatke: fajlovi šifrovani pre bekapa bekapuju se šifrovani. Vratite tačku od pre napada — otkrivanje ih čuva tako što pauzira čuvanje.
• Bez ključa za oporavak šifrovane bekape ne može da pročita niko.
• Odobrenje „četiri oka” važi za konzolu; administratorske grupe u Active Directory-ju ili Entra ID-u štitite tamo.

Sledeći koraci

Preuzmite BackupZit, pogledajte zaštitu od ransomware-a i sva skladišta ili pročitajte poglavlja Storage targets i Ransomware protection u uputstvu u konzoli. Kako je sam BackupZit napravljen i kako se izdaje piše na stranici o bezbednosti. Podešavanje poslova opisuju vodiči za Proxmox VE, Hyper-V, Microsoft 365 i bare-metal vraćanje Windows-a. Pitanja su dobrodošla u GitHub Discussions; firme mogu dobiti komercijalnu podršku od MaxZit-a.