Páskové knihovny s air gap: Ochrana záloh před ransomwarem
V roce 2025 přesáhly globální ztráty z kybernetických útoků bilion dolarů, především kvůli ransomwaru. Tyto útoky cílí na administrativní účty, API klíče a konzole zálohování, šifrují nebo mazají zálohy ještě před úderem do produkčního prostředí. Páskové knihovny s vestavěným air gap (vzdušnou mezerou) poskytují izolaci dat nedostupnou pro vzdálené hackery.
Air gap je fyzické oddělení systémů bez síťového spojení. V páskových knihovnách je implementován hardwarově: magazine s kazetami jsou zajištěny v částečně vysunutém stavu, kde je robot nemůže softwarově uchopit.
Princip fungování hardwarového air gap
V běžném režimu robotický systém přesouvá LTO kazety mezi sloty a mechanikami pro zápis/čtení. Při aktivaci ochrany se magazine mechanicky vysune: pojistka blokuje pozicování, čímž se kazety stanou nedostupnými.
Systém skenuje čárové kódy pro inventarizaci, ale síťové příkazy neovlivňují mechaniku. Odemknutí vyžaduje fyzickou přítomnost operátora: manuální zasunutí magazinu po potvrzení ve webovém rozhraní.
Dále:
- Režim retence automaticky uvolní chráněný magazine při pokusu o načtení.
- Je vyžadováno dvoufaktorové ověření: administrátor + lokální operátor.
Tím je vyloučen vzdálený přístup bez fyzického zásahu v datacentru.
Výhody oproti softwarovým řešením
Softwarové ochrany jsou zranitelné vůči zero-day exploitům a privilegovaným eskalacím. Hardwarová bariéra převádí hrozbu z automatizované na lokální diverzní akci.
Klíčové rozdíly:
- Záruka integrity: Kopie nejsou vystaveny šifrování před aktivací air gap.
- Snížení TTR (Time to Recovery): Obnovení bez kontroly na kompromitaci.
- Úspora: Odmítnutí výkupného, minimalizace prostojů.
Formáty LTO nabízejí až desítky TB na kazetu, přenosovou rychlost až 400 MB/s (LTO-9), nízkou spotřebu energie a životnost 30+ let.
Ekonomika a praxe obnovy
Při incidentech s offline kopiemi společnosti obnovovaly data samy, vyhnuly se výplatám. Online zálohy jsou ničeny jako první. Air gap na páskách zachovává diskrétní přístup: zápis je možný pouze přes fyzickou mechaniku.
Srovnání s cloudovými replikacemi:
| Přístup | Zranitelnost vůči ransomwaru | Rychlost obnovy | Cena uložení |
|--------|--------------------------|--------------------------|--------------------|
| Cloud (replikace) | Vysoká | Střední | Vysoká |
| Diskové NAS | Vysoká | Rychlá | Střední |
| Páska s air gap | Nízká | Střední | Nízká |
Pásky používají hyperscale poskytovatelé pro cold storage kvůli hustotě a spolehlivosti.
Co je důležité
- Fyzická izolace: Magazine je mechanicky zajištěn, robot se nepozicuje softwarově.
- Dvoufázové odemčení: Admin + operátor na místě.
- Kompatibilita s LTO: Plná kapacita a výkon bez kompromisů.
- Škálovatelnost: Od SMB po enterprise bez logistiky sejfů.
- Snížení rizik: Přechod od pravděpodobnostní k deterministické ochraně.
Doporučení pro implementaci
Pro middle/senior adminy: Integrujte air gap do Veeam, Commvault nebo vlastních skriptů. Testujte scénáře: simulujte kompromitaci admin účtu, ověřte inventarizaci a obnovení.
- Zvolte knihovnu s automatizovaným air gap (bez manuálního vyjímání pásek).
- Nastavte politiky: denní inventarizace, týdenní test čtení.
- Sledujte: logy robota, stav magazínů.
Taková architektura vyjímá zálohování z dosahu síťových zranitelností, zachovává dostupnost pro compliance.
— Editorial Team
Zatím žádné komentáře.