异构堆栈、勒索软件和 ITaaS：Dr 的噩梦

快速阅读: 《The Register》消息，IT环境多样化增加了灾难恢复难度，勒索软件成主要威胁。统一标准化环境、严格备份与测试可提升恢复能力。外包IT服务需谨慎，供应商DR计划须验证。数据备份与恢复策略至关重要，避免供应商失误带来的连锁影响。

灾难恢复变得愈发艰难，因为IT环境扩展到了本地设备、公共云、SaaS以及第三方ITaaS供应商。洪水或火灾不再是导致大多数中断的主要原因——勒索软件如今成为主要威胁，其破坏系统的速度比任何自然灾害都要快。

这清楚地表明了一点：你的IT环境越统一、标准化，从灾难中恢复就越容易——无论灾难的起因是什么。如果你使用的是自己的x86服务器，并且应用程序以虚拟机或容器的形式部署，网络和存储是软件定义的，那么你有一线希望。在发生故障时，你可以切换至备用数据中心——可以是自己的，也可以是配置为复制基础设施的公共云环境。

但成功与否完全依赖于你如何维持环境同步性：实时或接近实时地复制所有更改，并定期测试故障转移和故障恢复，以确保它们有效并满足恢复时间目标。

同样的原则也适用于完全依赖公共云并在不同区域使用辅助部署的组织。公共云提供商负责维护和运营他们的基础设施。如果你不完全信任单一提供商的灾难恢复（DR）能力，你可以建立一个与不同云供应商合作的辅助站点以增加保护。

**ITaaS：你的DR计划在供应商的开始处结束**

你越是偏离这种理想化的统一环境，灾难恢复的困难就会成倍增加，扩大你在易受灾地区的足迹。有两个特别值得关注的领域：IT即服务（ITaaS）和勒索软件。将两者结合起来，你可能会陷入困境。

ITaaS模式对灾难恢复构成了严重风险，因为你实际上是在将灾难恢复的责任交给第三方供应商。顾名思义，ITaaS是指你不仅租用云服务或订阅软件，而是将整个IT功能外包给其他人，例如外部IT服务提供商。

拥有ITaaS的企业在断电时尤其脆弱，因为他们完全依赖供应商声称的内部计划。如果没有合同明确规定的恢复需求，你完全依赖供应商声称的内部计划。

当灾难是恶意软件而非物理故障时，整个恢复过程变得更加复杂；它不仅是灾难恢复，也是事件响应。基础设施可能仍在运行，但不可靠。扫描检测受感染计算机和篡改数据是恢复的第一步，如果可以信任结果的话，接下来是清除或更换系统、重装干净的软件，并从不可更改的备份库中恢复干净的数据。

如果你使用ITaaS，你依赖于你的供应商在这场紧急情况中知道他们在做什么，及时向你通报反应和修复情况，并帮助你在环境中进行任何必要的清理工作。如果你独自运行自己的基础设施，好消息是你有更多的控制权；坏消息是，你需要做更多的工作。

这些任务绝非简单。识别恶意软件是如何进入你的网络以及它的种类，以便在未来追踪、阻止和封锁它，可能很困难，具体取决于你的防病毒防御措施。在PB甚至EB级别的块存储、文件存储和对象存储中筛选和恢复好的数据是非常困难的，除非有全面、最新且不可更改的备份。这不仅包括你的本地工作负载，还包括绑定在公共云平台和SaaS应用中的数据。

并且，再次强调之前的观点，如果你的ITaaS供应商本身受到恶意软件攻击，你的业务也可能受到重大影响——这是他们受损系统的连带损害。

当你将关键应用程序和数据外包给记录较少或复原力测试不足的小众供应商时，风险更高。不像那些已经应对过多年攻击并处理硬件故障的成熟SaaS巨头，小型SaaS供应商没有灾难幸存的记录。英国NHS和美国医疗运营商在屡次实践中吸取了教训。

**血、虫和备份：NHS如何硬着头皮学到这一课**

2024年六月，伦敦两个NHS地区的血液病理服务在Synnovis——外包供应商——遭到Qilin勒索软件团伙攻击后被迫中断服务。影响波及医院，延误治疗和手术。大约三周后，超过2194个门诊预约和1134台择期手术被推迟。

Synnovis是NHS病理服务和德国诊断巨头SYNLAB之间的合资企业，后者拥有超过27,000名员工。该公司在统一的实验室信息管理系统（LIMS）下整合了多个本地病理系统。

尽管在英国遭受攻击时表现出重视连续性的姿态，并配备了CISO和安全运营中心，但SYNLAB在欧洲其他地区的业务已在2024年四月在意大利遭遇勒索软件攻击。

由于对其ITaaS供应商的攻击，NHS遭受了损失。任何将关键功能外包的医疗机构——无论是血液病理还是保险支付处理——都面临类似的危险。

例如，去年四月，Octapharma Plasma被迫暂停其在美国的所有超过150家血浆捐赠中心，原因是遭遇了网络攻击，这扰乱了血浆收集并触发了全国范围内的取消程序。三个月后，阿拉巴马州、佛罗里达州、乔治亚州和卡罗来纳州的约350家医院经历了血液供应中断，原因是供应商OneBlood遭遇了勒索软件攻击。

美国医院协会的一位发言人总结了日益增长的担忧：“我们继续强烈建议医院和医疗系统识别所有生命攸关和使命关键的第三方服务和供应链提供商，并制定业务和临床连续性程序和供应链弹性，以维持在失去这些关键服务和供应30天或更长时间后的可持续性。”

另一个美国例子：UnitedHealth Group的数据处理公司Change Healthcare去年二月成为勒索软件攻击的目标。作为每年处理150亿条医疗交易的主要处理器，这次漏洞中断了美国数万名医生、医院和药房的保险索赔和付款。

虽然初步恢复工作在几周内开始，但许多医疗服务提供者在几个月内面临着财务和运营挑战。UnitedHealth Group已提供了数十亿美元的临时财政援助，全面恢复工作仍在进行中。

这里的教训适用于所有ITaaS供应商及其客户——而不仅仅是医疗行业。许多ITaaS供应商及其上游客户要么缺乏灾难恢复计划，要么过度关注物理事件，而不是数字威胁如勒索软件或其他形式的恶意软件。如果存在这些计划，它们通常根植于传统思维：硬件故障、数据中心中断或自然灾害。

对于供应商而言，没有任何东西能替代强大的、不可更改的备份，应用程序重新部署到良好安全状态的计划，以及覆盖物理和网络安全事件的测试恢复流程。灾难恢复计划需要包含详细的剧本，用于直接打击和上游失败带来的附带损害。

客户也必须在其自己的灾难恢复计划中考虑第三方灾难，特别是当他们依赖ITaaS进行关键任务操作时。是的，这需要资金。是的，当你将IT外包以节省成本时会感到沮丧。但忽视这一点可能会付出更大的代价。

这并不是说完全自行管理基础设施就能使你免受攻击并轻松恢复。但至少你有完全的控制和可见性，尽管也需要实施上述所有内容。然后你知道它已经实施。ITaaS可以带来好处，但你可能会发现，你的供应商并没有如你所希望的那样尽心尽力，因此将其纳入你的灾难恢复计划中——或者与你的供应商交谈。

**备份软件供应商Veeam在恢复失败后删除了论坛数据**

勒索软件团伙将“EDR杀手”添加到其工具包中——有些甚至不是恶意软件。

Murena老板表示，客户即将从其云存储噩梦中醒来。

数据是新的铀——无比强大且令人难以置信的危险。

你的DRaaS供应商可能无法涵盖你的实际灾难。

有许多灾难恢复即服务（DRaaS）供应商，Gartner有一个Peer Insights列表包含63个。

例如，Cohesity提供带有SiteContinuity进行编排的DR服务和FortKnox，这是一个异地不可更改的保险库，用于防范勒索软件。Rubrik提供了类似工具，用于混合环境中快速恢复。

HPE的Zerto保护VMware和Hyper-V工作负载，跨越本地、AWS和Azure。它还声称支持某些SaaS应用，包括Active Directory、Microsoft 365、Dynamics 365、Power BI和Google Workspace，但覆盖范围取决于设置，可能需要额外配置。如果你的技术栈不在该列表中，你需要其他选项。

Veeam通过云合作伙伴提供DRaaS，但仅限于已由Veeam保护并复制到供应商基础架构的工作负载。当勒索软件袭击加拿大东部安大略卫生单位时，其预配置的Veeam设置在不到两小时内使核心系统恢复在线，这得益于精简的虚拟机环境和随时可用的云备份。

关于DR的三个残酷真相你的CIO不想听：

这里的一个普遍教训是，你的IT环境越统一，保护它免受灾难就越容易。所有DRaaS供应商都会在一定程度上要求环境的统一性。

此外，数据保护供应商只能保护他们可以备份的内容，而这很少是全部。根据我们的经验，认真对待本地灾难恢复的组织倾向于迁移到主流的虚拟化或容器化应用程序，这些应用程序从设计上兼容云，允许在必要时在云中运行。

第二个教训是要非常、非常认真地对待勒索软件。假设你和你的IT供应链供应商会被攻击，并准备好经过验证的不可更改备份的恢复计划。

第三个教训是，抱歉再强调一下，你必须监管你的ITaaS供应商，要求他们有有效的DR计划，并验证他们的恢复程序。不要仅仅相信，要验证——如果无法验证，就不要相信。

(以上内容均由Ai生成)