企业安全基石：业务连续性和灾难恢复计划

HW期间，为防范钓鱼，即日起FreeBuf将取消投稿文章的一切外部链接。给您带来的不便，敬请谅解~

1616937407_606081bf3bfa254fb988b.jpg!small?1616937408945

良好的业务连续性计划将确保您的公司在任何形式的中断（例如电源故障、IT系统崩溃、自然灾害、疫情等）中保持正常运行。

加州大火，德州暴雪，夏威夷的洪水，横跨美国中西部的暴风雨，席卷弗罗里达和路易斯安那州的飓风，俄罗斯黑客以及勒索软件攻击。而且，还有目前仍在持续的全球疫情。哪一项不是在对企业业务连续性提出挑战。

如果仍然有人认为制定灾难恢复和业务连续性计划不是当务之急，很显然，你并没有关注最近发生的这些事情。随着新冠疫情的持续蔓延，全球组织正在转移至一种新的常态，这个常态将更加倾向远程办公，更加数字化并且更加基于云。灾难恢复计划必须不断发展，以适应这些不断变化的业务条件。

最重要的是，灾难恢复的业务需求已经发生了巨大变化。过去可以用几小时甚至几天来衡量恢复时间，而现在必须是争分夺秒。某些情况下，如果发生计划外停机，业务部门甚至会要求“零停机时间”，这着实考验灾难恢复的能力。

以下是2021年及以后的最新灾难恢复（DR）/业务连续性（BC）计划的最佳实践。（不要太过纠结于定义，可以说灾难恢复使IT基础架构得以恢复和运行，而业务连续性则是一门更广泛的学科，一旦发挥效用便能确保业务恢复正常运行）。

将网络安全、入侵检测/响应、灾难恢复整合到全面的数据保护计划中

对于CISO来说，灾难恢复计划的首要目标是先要避免灾难，而这一点正变得越来越具挑战性。究其原因，首先，数据已经不再安全地存放在本地数据中心中，它可能分布在本地环境、超大规模云、边缘以及SaaS应用程序中。ESG研究部高级分析师Christophe Bertrand指出，SaaS环境正面临着严峻的数据保护和恢复挑战，因为“现在，您将关键任务应用程序作为自己无法控制的服务在运行。”

其次，全球疫情将数以百万计的员工从企业办公室的安全范围迁移至他们的家庭办公室中，那里的Wi-Fi安全性较低，员工可能会在协作应用程序上共享敏感数据。

第三，攻击者注意到了这些不断扩大的攻击媒介，并发起了一系列新的、更具针对性的勒索软件攻击。根据Sophos《2020年勒索软件状态报告》指出，攻击者已经从“广撒网”的台式机攻击转移到了基于服务器的攻击。这些攻击一般都是针对性强且较为复杂的攻击，需要花费更多的精力进行部署。但是，由于此类加密资产的价值更高，所以攻击带来的影响通常更为致命，并且可能使组织遭受数百万美元的赎金勒索。

为了应对这些不断变化的网络安全形势，CISO应该集中精力加强远程工作人员的端点安全性，部署VPN和加密，这样一来，无论数据位于何处都可以保护静态数据，并确保协作工具不会成为安全漏洞的“切入口”。

进行业务影响分析（BIA）

组织需要进行全面的业务影响分析，以通过财务影响、法规遵从性、法律责任和员工安全等角度来识别和评估灾难的潜在影响。Gartner估计，有70％的组织在没有任何与业务相关的数据点或基于过时的BIA的情况下做出灾难恢复决策。没有BIA提供的事实依据，团队只能猜测适当的灾难恢复等级以及组织可以承受的风险，这会导致投入超支或无法达到预期。

请记住，您不需要保护所有的东西。进行这些练习的组织通常会对这样一个事实感到十分惊讶：服务器仅仅每个月甚至每一年运行一次例行的后端业务流程，除此之外什么也没做。

组织需要根据应用程序对业务的重要程序对其进行优先级排序，并确定与业务流程相关的所有依赖关系，尤其是可能已在多个物理服务器之间虚拟化、可能正在云中的容器中运行或是在无服务器云环境中运行的应用程序。

分类数据

同样地，你也不需要保护所有的数据，而只需要保护业务正常运行所需的数据。你确实需要完成查找、识别和分类数据的过程，以确保保护属于法规要求的所有数据，例如客户数据、患者数据、信用卡数据、知识产权以及私人通信等等。好消息是，市场上存在很多工具可以自动进行数据识别和分类工作。

考虑灾难恢复即服务（DRaaS）

对于中小型组织的CISO而言，DRaaS是一种越来越受欢迎的选择，因为这些组织通常希望经济高效地提高IT弹性，满足合规性或法规要求并解决资源不足的问题。根据Mordor Intelligence的预测，DRaaS市场在未来五年将以每年12％的速度增长。而且，DRaaS服务还涵盖了灾难恢复和业务连续性的全部范围，为企业提供了灵活性和敏捷性。

Gartner补充道，随着DRaaS市场的日趋成熟以及供应商产品的工业化，DRaaS实施的规模和范围与几年前相比已大大增加。

制定可靠的沟通计划

除非每个人都知道自己的角色和职责，否则只是简单地让服务器备份和运行基本上没有任何意义。人们是否拥有适当的手机号码和电子邮件地址来共享信息？利益相关者是否拥有一本手册，可以告诉他们在与执法人员、外部法律团队、公用事业公司、关键技术和供应链合作伙伴、高级领导层、员工层、外部公关团队等交流时如何就危机问题做出相应的回答？

根据灾难的性质，网络团队可能需要为远程工作人员建立新的连接线，并重新配置流量；维护团队可能需要执行远程故障排除；安全团队可能需要重新设置防火墙，更改访问策略，将安全保护扩展到新设备或基于云的资源上。可以说，灾难中最大的问题与数据备份无关，而是没有将合适的人员安排到位并且了解业务恢复所需的所有步骤。

自动化测试

一般情况下，为了测试灾难准备情况，组织会进行桌面演习，即关键参与者聚在一起演练灾难恢复场景。然而，根据奥斯特曼研究公司与Immersive实验室于2020年7月份进行的一项研究发现，只有1/3的组织认为这种演习“非常有效”。研究还发现，组织执行桌面演习的频率不足以跟上不断发展的威胁态势，而这些演习的平均费用高达30,000美元。疫情期间，这种桌面演习更是难以执行。

Veritas企业数据保护副总裁Doug Matthews表示，现在有一个更好的方法。新工具可以持续自动测试备份和恢复过程，并确定需要解决的潜在问题。现代测试解决方案还能够使用沙箱技术创建安全的环境，公司可以在其中测试应用程序的可恢复性，而不会影响生产网络。

创建不可变的数据备份

勒索软件攻击者正在针对备份存储库实施攻击，尤其是在云端的。除此之外，他们还正在针对SaaS应用程序。面对这种情况，组织应保留一份不可更改的数据副本。

Matthews建议称，

“组织必须确保拥有一个不可变的备份数据副本，任何人都无法触及。此外，组织应始终拥有三个数据副本，而不仅仅是两个。”

公司还应调查隔离的恢复环境，例如气隙（air gapping），在这种环境中，数据的一个副本位于未连接到生产环境的环境中。

考虑数据重用

“业务就是数据，数据就是业务”。一旦组织将重要数据的副本放在安全的备份环境中，为什么不考虑通过重用这些数据的方法来推动公司的数字化转型。

这种方法是为了让组织“了解自己拥有的东西，它的位置，如何保护它，存储它并对其进行优化”。最终，组织将发展一种智能数据策略，其中包括合规性、灾难恢复/特务连续性和数据分析。

执行持续性更新

CISO更新其灾难恢复/灾难恢复计划应从DevOps中获得启示。它并不是一劳永逸的一件事，而是需要持续不断地改进。组织需要将灾难恢复计划人员插入公司可能影响可恢复性的任何变更中，包括永久性居家办公的员工、商店或远程办公室的开/关、应用程序被SaaS取代、数据移至边缘或DevOps移至云等。此外，技术也在不断改进，因此需要格外关注那些可以帮助自动化灾难恢复（DR）/业务连续性（BC）流程的新工具。要知道，该计划不应该束之高阁，而必须定期更新改进。