Contact
Line : comsiam
① Air-Gapped Backup คืออะไร
Air-Gapped Backup คือการเก็บข้อมูลสำรองในลักษณะที่
แยกออกจากระบบหลักอย่างสมบูรณ์
หรือแยกออกในช่วงเวลาสำคัญ
เพื่อป้องกันไม่ให้ผู้โจมตี
เข้าถึง Backup ได้
แม้จะยึดระบบ Production ได้ทั้งหมด
② ทำไม Immutable Backup อย่างเดียวอาจไม่พอ
Immutable Backup
ช่วยป้องกันการลบหรือแก้ไขข้อมูล
แต่ยังคงอยู่ในระบบเครือข่าย
ในบางกรณี
ผู้โจมตีอาจสามารถ
- ทำลาย Infrastructure
- ลบ Repository
- เข้าควบคุม Backup Environment
ได้
Air-Gap จึงเป็นชั้นป้องกันเพิ่มเติม
ที่สำคัญมาก
③ เป้าหมายของ Air-Gapped Backup
ระบบที่ดีควรมี
✅ แยกจาก Production
✅ แยกจาก Active Directory
✅ แยกจาก Backup Server หลัก
✅ กู้คืนได้จริง
✅ ป้องกัน Ransomware
④ Air Gap แบบ Physical
รูปแบบดั้งเดิม
คือ
Physical Air Gapเช่น
- Tape Backup
- External Storage
- Offline Disk
ที่ถูกถอดออกจากระบบ
หลัง Backup เสร็จ
ข้อดี
✅ ปลอดภัยมาก
ข้อเสีย
❌ บริหารยาก
❌ ใช้เวลานาน
⑤ Air Gap แบบ Logical
องค์กรสมัยใหม่
นิยมใช้
Logical Air Gapผ่าน
- Immutable Storage
- Object Lock
- Isolated Repository
ช่วยลดภาระการบริหาร
แต่ยังคงมีระดับการป้องกันสูง
⑥ ทำไม Ransomware กลัว Air Gap
Ransomware สมัยใหม่
มักทำงานตามลำดับ
Discover↓
Steal↓
Delete Backup↓
Encrypt Productionหาก Backup ถูกแยกออกจริง
ผู้โจมตีจะไม่สามารถเข้าถึงได้
⑦ Air-Gapped Backup กับ Active Directory
Best Practice
คือ
Backup Environmentไม่ควรอยู่ใน Domain เดียวกับ
Production
เพราะหาก Domain ถูกยึด
Backup อาจถูกยึดตามไปด้วย
⑧ แยก Backup Credentials
ควรใช้
Dedicated Credentialsสำหรับ Backup Infrastructure
โดยเฉพาะ
ห้ามใช้
Domain Adminร่วมกับระบบ Production
⑨ แยก Backup Network
ควรมี
Backup Networkแยกจาก
Production Networkอย่างชัดเจน
ช่วยลดความเสี่ยงจากการโจมตีแบบ Lateral Movement
⑩ Offsite Air-Gapped Backup
หนึ่งในแนวทางที่นิยม
คือ
Offsite Backupเก็บข้อมูลสำรอง
ไว้ต่างสถานที่
เช่น
- Data Center สำรอง
- Cloud Storage
- Secure Vault
เพื่อรองรับภัยพิบัติ
⑪ Tape Backup ยังมีบทบาทหรือไม่
คำตอบคือ
ยังมีองค์กรระดับโลกจำนวนมาก
ยังใช้ Tape
เพราะสามารถสร้าง
Physical Air Gap
ได้จริง
และมีต้นทุนระยะยาวต่ำ
⑫ Air Gap บน Cloud
Cloud Provider หลายราย
รองรับ
Immutable Object Storageร่วมกับ
Retention Lockช่วยสร้าง Air Gap เชิงตรรกะ
ที่ปลอดภัยมาก
⑬ Recovery สำคัญกว่า Backup
การมี Air Gap
ไม่ได้หมายความว่า
กู้คืนได้เสมอ
จึงต้องมี
Recovery Validationและ
Restore Testingอย่างต่อเนื่อง
⑭ Monitoring Air-Gapped Environment
ควรติดตาม
✅ Backup Success
✅ Backup Integrity
✅ Retention Status
✅ Capacity
✅ Unauthorized Access Attempt
ตลอดเวลา
⑮ Disaster Recovery Integration
Air-Gapped Backup
ควรเป็นส่วนหนึ่งของ
Disaster Recovery Planไม่ใช่ระบบแยกเดี่ยว
เพราะเป้าหมายสุดท้าย
คือการกู้คืนธุรกิจ
ไม่ใช่เพียงเก็บไฟล์
⑯ ตัวอย่าง Architecture
Production↓
Primary Backup↓
Immutable Backup↓
Air-Gapped Repository↓
Offsite Storageเป็นแนวทางที่องค์กรขนาดใหญ่ใช้กันมาก
⑰ ข้อผิดพลาดที่พบบ่อย
❌ Backup อยู่ Domain เดียวกับ Production
❌ ใช้ Account เดียวกันทั้งหมด
❌ ไม่มี Air Gap
❌ ไม่มี Restore Test
❌ ไม่มี Offsite Copy
❌ ไม่มี Monitoring
❌ เชื่อว่า Backup สำเร็จเท่ากับกู้คืนได้
⑱ แนวทางที่องค์กรระดับโลกนิยมใช้
องค์กรระดับ Enterprise
มักใช้
Air-Gapped Backupร่วมกับ
Immutable Backup3-2-1-1-0Cyber RecoveryRecovery Testingเพื่อสร้างความมั่นใจว่าสามารถฟื้นฟูระบบได้จริง
⑲ Air-Gap กับ Cyber Resilience
Cyber Resilience
คือความสามารถขององค์กร
ในการกลับมาดำเนินธุรกิจได้
หลังถูกโจมตี
Air-Gapped Backup
ถือเป็นหนึ่งในองค์ประกอบสำคัญที่สุด
ของ Cyber Resilience
ยุคปัจจุบัน
⑳ สรุป
Air-Gapped Backup เป็นชั้นป้องกันสำคัญที่ช่วยให้องค์กรสามารถรักษาข้อมูลสำรองให้ปลอดภัย แม้ระบบ Production หรือ Backup หลักจะถูกโจมตี การออกแบบที่ดีต้องคำนึงถึงการแยกเครือข่าย การแยกสิทธิ์ การมี Offsite Copy และการทดสอบการกู้คืนอย่างสม่ำเสมอ
จากประสบการณ์ของ comsiam หลายองค์กรลงทุนกับ Backup Software และ Storage จำนวนมาก แต่ยังไม่มี Air-Gapped Backup ทำให้เมื่อถูกโจมตีอย่างรุนแรง Backup ทั้งหมดได้รับผลกระทบไปพร้อมกัน และ comsiam มักแนะนำให้มี Air-Gapped Backup อย่างน้อยหนึ่งชุดเสมอ เพราะเป็นแนวป้องกันสุดท้ายขององค์กรในวันที่ทุกอย่างล้มเหลว
คำถามชวนคิด
หากคืนนี้ Ransomware เข้ายึดทั้ง Domain Controller, Hyper-V Cluster และ Backup Server ขององค์กร คุณยังมีข้อมูลสำรองชุดใดที่ผู้โจมตีไม่สามารถเข้าถึงได้จริงหรือไม่?
