Лекция

Копии есть. Восстановиться не получилось

Копирование настроено. Задание отрабатывает ночью, письмо об успехе приходит, в хранилище лежат файлы правдоподобного размера. Лекция начинается с неудобного вопроса к этой картине: когда из этих копий последний раз восстанавливали и сколько это заняло по секундомеру?

Если ответа нет, дальше всё равно стоит читать — потому что ответа нет у большинства, и четыре разбора впереди показывают, чем это кончается.

94%
пострадавших от шифровальщика сообщили, что атакующие пытались добраться до резервных копий
57%
таких попыток оказались успешными
≈ в 8 раз
выше медианная стоимость восстановления там, где копии скомпрометированы
10%
пострадавших восстановили более 90% данных

Первые три числа — из опроса Sophos, полевой этап начала 2024 года; четвёртое — из опроса Veeam, отчёт 2025 года. Обе компании продают средства защиты и резервного копирования, и в лекции это указано везде, где цифры используются.

Стержень, из которого следует всё остальное

Резервное копирование — не процесс записи копии, а процесс восстановления, у которого запись копии — первый из четырёх шагов: записать, сохранить недоступной для атакующего, заметить поломку процесса, восстановить в назначенный срок. Организация, которая делает только первый шаг, платит за хранение и не покупает ничего.

Отсюда рабочее определение: бэкап, из которого ни разу не восстанавливали, учитывается как отсутствующий.

Лекция написана для двух рабочих мест сразу. У системного администратора это файловый сервер, 1С, почта, контроллеры домена, общие папки и конфигурации сетевого оборудования. У DevOps-инженера — база продакшена, объектное хранилище, описание инфраструктуры в репозитории, реестр образов, состояние кластера и секреты. Примеры чередуются, потому что решения одни и те же, а предметы разные.

Чего в этой лекции нет
  • Первые минуты сбоя и сохранение улик, разбор инцидента и пост-мортем — соседние лекции.
  • Окно обслуживания и откат изменения, SLA и SLO с бюджетом ошибок — тоже соседние.
  • Инвентаризация инфраструктуры, локализация данных и управление учётными записями как самостоятельные темы — там же. Здесь только то, что касается резервных копий.
  • Команд и настроек конкретных продуктов в лекции нет: разговор про решения и пороги, а не про моторику в консоли.

Восемнадцать тем: два числа и их цена, форма копии, защита копии от атакующего, четыре разбора реальных потерь, доказательство работоспособности, требования регулятора и рабочий порядок на первую неделю. Нормы и цифры — по состоянию на 21 сентября 2026 года.

Тема 1 из 18 · Два числа и цена вопроса

Четыре шага, из которых запись копии — только первый

Резервное копирование обычно понимают как запись второй копии данных. Отсюда и мерило: задание отработало, файл лежит, размер правдоподобный — значит, бэкап есть. Это и есть подмена, из-за которой компании платят за хранение и не покупают ничего.

Копирование — это процесс восстановления, у которого запись копии стоит первой из четырёх ступеней. Пропуск любой из трёх остальных обнуляет предыдущие.

1
Записать — создать копию данных.
2
Сохранить недоступной для атакующего — чтобы копию нельзя было уничтожить теми же руками и тем же ключом, что и оригинал.
3
Заметить поломку процесса — сломанное копирование молчит так же, как исправное.
4
Восстановить в назначенный срок — и знать этот срок заранее, потому что его кто-то назначил.

Как это выглядит на двух рабочих местах

Системный администратор

Ночное задание снимает копию файлового сервера и базы 1С, почта архивируется, конфигурации коммутаторов выгружаются в общую папку. Вопрос без ответа: когда в последний раз из этой копии открывали документ и поднимали базу на отдельной машине.

DevOps-инженер

Дамп базы продакшена уезжает в объектное хранилище по расписанию, описание инфраструктуры лежит в репозитории, образы — в реестре. Вопрос тот же: разворачивали ли из этого чистый стенд и сколько часов это заняло по секундомеру.

Определение, которое дороже всех технологий

Рабочее определение, вокруг которого построена вся лекция: бэкап, из которого ни разу не восстанавливали, учитывается как отсутствующий. Это не риторическая фигура — впереди четыре разбора, где копии физически существовали и не спасли.

Дальше — два числа, которыми весь процесс измеряется, и разговор о том, кто эти числа имеет право назвать.

Задание копирования базы продакшена отрабатывает каждую ночь без ошибок уже четырнадцать месяцев. Восстановления из него не проводилось ни разу. Как это описать честно?
Успешное задание доказывает ровно одно — что процесс записи отработал. Останется ли копия целой при атаке, заметите ли вы остановку процесса и уложитесь ли в срок восстановления — три отдельных вопроса, на которые успешное задание не отвечает.
Какой из четырёх шагов процесса чаще всего оказывается не сделан вовсе?
Запись настраивают все — она видима и она первая. Проверка восстановления требует времени, отдельной среды и готовности узнать неприятное, поэтому она и выпадает.
Бесплатный доступ

Дальше нужен аккаунт

Прогресс и монеты сохранятся.