Практикум по защите резервных копий
Срок хранения и изоляция резервных копий
Курс для тех, кто отвечает за сохранность копий: чем срок хранения отличается от права на удаление, что именно защищает WORM, как выбрать режим Object Lock и кто владеет ключами. Задания помогают отделить свойства системы от обещаний в акте приёмки.
Что вы сможете сделать
- Разделять срок хранения, допустимость удаления и результат очистки.
- Проверять форму WORM-защиты и сохранность конкретной версии объекта в Amazon S3.
- Выбирать режим Object Lock с учётом полномочий и версионирования.
- Описывать управление ключами и проверять доступ к зашифрованной копии.
Срок хранения и право удаления
В акте приёмки отделите дату сохранения копии от её фактического удаления. Затем выясните, что ограничивает досрочное удаление.
Срок хранения связывает точку восстановления с минимальной или конечной датой сохранения и последующим допустимым удалением.
В режимах AWS срок хранения не равен неизменяемости: Governance может допускать обход защиты, а Compliance создаёт более жёсткую границу.
Что защищает WORM
Укажите конкретную версию и форму её защиты. Появление новой версии или маркера удаления нужно оценивать отдельно от сохранности исходной версии.
Amazon S3 Object Lock реализует WORM для версий объектов: на заданный срок — retention period — или через юридическую блокировку legal hold без заданной конечной даты.
Блокировка защищает конкретную версию. Новые версии и маркеры удаления могут появляться, не изменяя защищённую версию.
Выбор режима Object Lock
Свяжите требования к удалению с конкретным режимом Amazon S3. При проверке проекта отдельно отметьте версионирование и объект, к которому применяется защита.
Governance допускает обход защиты при специальном разрешении. В Compliance до окончания срока защищённую версию нельзя удалить или сократить её срок даже корневому пользователю.
S3 Object Lock работает только при включённом версионировании и применяет срок хранения или legal hold к конкретной версии объекта.
Ключи и доступ к копии
Уточните управление ключами в проекте, а затем проверьте путь чтения из аварийной учётной записи. Общая отметка о настройке не подменяет этот результат.
Логически изолированное хранилище AWS может использовать служебный или отдельно управляемый ключ KMS, создавая явную границу управления ключами.
Шифрование защищает конфиденциальность, но для восстановления после атаки вымогателя нужны сама копия, доступный проверенный ключ и необходимые права.
Проверьте инженерное мышление
Вопросы проверяют не память на аббревиатуры, а умение не делать лишних выводов.
Следующий шаг
Сформулируйте задачу и уточните требования к своей системе.
Подготовить состав проектаОткроется черновик вопроса. Отправьте его, когда будете готовы.
Источники курса
Ссылки приведены один раз для всего курса, чтобы не мешать чтению каждого тезиса.
- Официальная документация
AWS Backup Vault Lock
Amazon Web Services · AWS Backup Developer Guide, проверено 30 августа 2026 года
Разделяет governance и compliance lock, grace time и min/max retention; после grace compliance lock нельзя изменить.
Открыть первоисточник - Официальная документация
Locking objects with Object Lock
Amazon Web Services · Amazon S3 User Guide, проверено 30 августа 2026 года
Описывает WORM, version-scoped retention, legal hold и разные полномочия governance/compliance modes.
Открыть первоисточник - Официальная документация
Logically air-gapped vault
Amazon Web Services · AWS Backup Developer Guide, проверено 30 августа 2026 года
Фиксирует service-owned account boundary, compliance Vault Lock, encryption key choices и controlled cross-account restore.
Открыть первоисточник - Официальная документация
#StopRansomware Guide
Cybersecurity and Infrastructure Security Agency · официальный guide, проверено 30 августа 2026 года
Требует offline encrypted backups, регулярной проверки доступности и целостности и учитывает попытки ransomware удалить доступные копии.
Открыть первоисточник