Когда шифровальщик идёт за бэкапами: как Synology защищает резервные копии в APM 2.0

Окт 13, 2026 by ictadmin in Интервью

Шифровальщики давно научились удалять и портить резервные копии, а новая лицензионная политика VMware заставила многие компании искать другой гипервизор. Сергей БЕЗЛЮДОВ, Аккаунт Менеджер (СНГ и Балтия) компании Synology рассказал ICT Magazine, как ActiveProtect Manager 2.0 защищает бэкапы с помощью WORM, air gap и шифрования хранилища и как перенести нагрузки на Proxmox VE или Nutanix AHV прямо из резервных копий. Отдельно поговорили про APM 2.1: ИИ-обнаружение аномалий будет работать локально на устройстве, без отправки данных в облако, а перед восстановлением копии будут проверяться антивирусом с автоматическим откатом к чистой версии. Ещё обсудили, почему за каждую виртуалку не нужно платить отдельную лицензию и где купить ActiveProtect в Казахстане

Когда шифровальщик идёт за бэкапами: как Synology защищает резервные копии в APM 2.0

Сергей БЕЗЛЮДОВ, Аккаунт Менеджер (СНГ и Балтия) компании Synology

Шифровальщики сегодня бьют не только по рабочим данным, но и по резервным копиям. Что значит для ActiveProtect Manager стать не просто хранилищем копий, а ещё одной линией обороны?

Поскольку APM – это не просто отдельный программный пакет, такой как Active Backup for Business, а полноценная операционная система, он позволяет реализовать комплексную защиту на уровне всего устройства. Благодаря таким расширенным механизмам, как WORM (неизменяемое хранение данных), изолированные резервные копии (air-gap) и механизмы самовосстановления с проверкой целостности данных, ActiveProtect обеспечивает комплексную защиту инфраструктуры резервного копирования от постоянно развивающихся киберугроз.

В APM нет лицензий за каждую виртуальную машину или учетную запись Microsoft 365. Как такая модель выглядит в деньгах для компании по сравнению с подписочными решениями, где платишь за каждый объект защиты?

Хотя использование аппаратно-программного комплекса (appliance) может потребовать более высоких первоначальных инвестиций по сравнению с решениями по подписке, такой подход обеспечивает более высокую предсказуемость затрат в долгосрочной перспективе.

Платформы резервного копирования с подписочной моделью, как правило, предусматривают лицензирование за каждую защищаемую рабочую нагрузку или пользователя. В результате расходы автоматически увеличиваются по мере добавления новых виртуальных машин, серверов или учётных записей Microsoft 365.

Это может усложнять планирование ИТ-бюджета и приводить к постоянному росту регулярных расходов, особенно в быстро масштабируемых ИТ-средах, а также при расширении инфраструктуры в результате слияний и поглощений.

Если описать APM 2.0 одной фразой для ИТ-директора – какую главную проблему клиентов решает этот релиз?

APM 2.0 и платформа APM в целом разработаны для решения ключевых задач, связанных с затратами, рисками и операционной сложностью защиты всё более фрагментированных гибридных облачных сред.

APM объединяет резервное копирование, восстановление данных и управление киберустойчивостью различных платформ в рамках единой централизованной системы.

В 2.0 добавлены Proxmox VE, Nutanix AHV, Amazon EC2, Azure VM и Google Workspace. Какие из этих платформ чаще всего запрашивают клиенты в Казахстане и Центральной Азии? Видите ли вы здесь переход компаний с VMware?

Я могу пояснить, почему мы приняли решение добавить поддержку следующих платформ:

Proxmox VE, Nutanix AHV: Основной причиной стало изменение VMware своей модели лицензирования, в результате чего заказчики начали рассматривать альтернативные решения для виртуализации. Nutanix AHV и Proxmox VE (PVE) входят в число платформ, которые выбирают многие пользователи. Кроме того, в сочетании с возможностями нашего решения APM по кроссплатформенному восстановлению поддержка этих платформ позволяет существенно упростить миграцию между различными средами виртуализации.

Amazon EC2, Azure VM: Основная причина заключается в том, что мы наблюдаем постепенную миграцию инфраструктуры ряда предприятий в облачные среды. Поддержка этих платформ также позволяет таким заказчикам реализовать полноценные сценарии аварийного восстановления в облаке (Cloud Disaster Recovery, Cloud DR).

Google Workspace: Мы получали запросы от заказчиков, которые стремятся снизить зависимость от экосистемы Microsoft 365 (M365) и рассматривают переход на альтернативные платформы. Кроме того, Google Workspace (GWS) широко используется организациями образовательного сектора в качестве основной платформы для совместной работы и повышения продуктивности.

Кроссплатформенное восстановление: копию с одной платформы можно поднять на другой. Опишите реальный сценарий – как это помогает при аварии и при переезде на новый гипервизор?

Рассмотрим, например, организацию, которая использует VMware для работы критически важных приложений в основном центре обработки данных (ЦОД), а мощности Microsoft Azure — в качестве резервной площадки для аварийного восстановления.

В случае аварии: если основная среда VMware становится недоступной — например, из-за сбоя ЦОД, атаки программ-вымогателей или отказа оборудования, — ИТ-команда может восстановить защищённые виртуальные машины непосредственно в Azure, не дожидаясь восстановления исходного гипервизора или основной площадки. Это позволяет оперативно запустить приоритетные сервисы в альтернативной среде и обеспечить непрерывность бизнес-процессов.
При миграции на другой гипервизор: та же организация впоследствии может принять решение о переходе с VMware на Proxmox VE или Nutanix AHV. Вместо создания отдельного процесса миграции, ручной конвертации данных и параллельного использования нескольких инструментов защиты компания может задействовать существующие резервные копии для последовательного переноса рабочих нагрузок на новую целевую платформу.

При этом каждое приложение можно предварительно восстановить и проверить на новом гипервизоре до окончательного переключения (cutover), что позволяет снизить риски миграции и минимизировать время простоя.

Копии из Amazon S3 или Azure Blob Storage теперь восстанавливаются напрямую в облачные виртуальные машины, минуя локальное оборудование. Насколько это сокращает время простоя на практике?

Сокращение времени восстановления и продолжительности простоя зависит от ряда факторов: объёма резервной копии, расположения облачного региона, доступной пропускной способности сети, времени развёртывания целевой виртуальной машины, а также требований к проверке работоспособности приложений после восстановления.

На практике основное преимущество заключается в исключении лишнего промежуточного этапа восстановления через локальную инфраструктуру (on-premises). В случае недоступности основной площадки восстановление можно запустить непосредственно из резервной копии, уже находящейся в облаке, сразу в целевую облачную вычислительную среду. При этом не требуется предварительно восстанавливать данные через недоступный, ограниченный по ресурсам или географически удалённый ЦОД.

Таким образом, вместо многоэтапного процесса аварийного восстановления продолжительность простоя в основном определяется временем непосредственного восстановления данных в облаке и последующего запуска приложений.

Шифрование на уровне тома с хранением ключей на устройстве. Что происходит, если украдут диск или весь сервер, и не становится ли локальное хранение ключей слабым местом?

Функция шифрования хранилища (Storage Encryption) в APM обеспечивает защиту резервных копий и большинства системных настроек, предотвращая несанкционированный доступ к ним в случае утери, утраты или кражи накопителей.

Для реализации данной защиты не требуется специализированное оборудование, например самошифрующиеся накопители (Self-Encrypting Drives, SED).

Ролевое управление доступом в 2.0 стало детальнее. От каких сценариев это защищает – скомпрометированная учётная запись администратора, ошибка сотрудника, внутренний злоумышленник?

Более детализированная модель ролевого управления доступом (RBAC) предназначена прежде всего для ограничения потенциального масштаба ущерба при компрометации привилегированной учётной записи, а не для полного устранения всех рисков в случае компрометации учётной записи суперадминистратора.

Компрометация учётной записи администратора. Если пользователю необходимо только контролировать выполнение заданий резервного копирования или выполнять восстановление, ему можно предоставить только соответствующие права вместо полного административного доступа к устройству. Таким образом, компрометация учётной записи с ограниченными привилегиями не должна автоматически предоставлять злоумышленнику возможность выполнять критические действия — например, управлять пользователями, изменять системную конфигурацию или администрировать устройство.

Ошибочные действия администратора. Разделение полномочий между функциями резервного копирования, восстановления, мониторинга, управления пользователями и администрирования устройства помогает предотвратить непреднамеренные изменения за пределами зоны ответственности сотрудника. Например, оператор мониторинга не сможет изменять права доступа пользователей, а специалист, отвечающий за восстановление данных, — системные настройки.

Внутренний злоумышленник. RBAC ограничивает доступ сотрудника к данным и административным функциям в соответствии с назначенной ему ролью. При этом права могут быть ограничены конкретными серверами резервного копирования. Такой подход обеспечивает разделение обязанностей (separation of duties): например, владелец приложения может получить возможность восстанавливать только закреплённые за ним рабочие нагрузки без предоставления административных полномочий на уровне всей системы.

При этом важно учитывать, что пользователь с полными административными привилегиями, особенно суперадминистратор, по-прежнему обладает широкими полномочиями. Поэтому RBAC рекомендуется использовать совместно с SSO с поддержкой многофакторной аутентификации (MFA), принципом наименьших привилегий (least privilege), регулярным пересмотром прав доступа, мониторингом журналов аудита, неизменяемыми резервными копиями (immutable backups) и механизмами изоляции резервных копий (air gap). Такой комплексный подход позволяет дополнительно снизить риски, связанные с компрометацией учётных записей и преднамеренным злоупотреблением привилегиями.

Давайте разграничим для читателя: что из функций безопасности доступно уже в 2.0, а что придёт с 2.1? Когда ждать обновление и будет ли оно, как 2.0, бесплатным для владельцев устройств серии DP?

Что касается функций информационной безопасности, в предстоящей версии APM 2.1 планируется добавить поддержку обнаружения аномалий с использованием технологий искусственного интеллекта и машинного обучения (AI/ML Anomaly Detection), а также сканирования на наличие вредоносного ПО (Malware Scanning).

В настоящее время выпуск APM 2.1 запланирован на IV квартал 2027 года. Для обновления до версии APM 2.1 приобретение дополнительных лицензий на программное обеспечение не планируется.

Обнаружение аномалий будет отслеживать темп изменений, модификации файлов, массовые удаления и энтропию в каждой версии резервной копии. Как на практике система отличит атаку шифровальщика от легитимной массовой операции – например, миграции архива?

Что касается обнаружения аномалий (Anomaly Detection), в APM предусмотрены механизмы, позволяющие минимизировать вероятность использования нетипичных резервных копий в качестве базового уровня (baseline). Для снижения количества ложных срабатываний такие резервные копии исключаются как из процесса обнаружения аномалий, так и из данных, используемых для формирования базового уровня. Например, первая резервная копия, полные резервные копии, а также первая резервная копия после изменения области резервного копирования (backup scope) могут существенно отличаться от обычных резервных копий по объему данных или характеру операций резервного копирования, что является нормальным поведением.

Кроме того, APM позволяет снизить риски, связанные с программами-вымогателями (ransomware), за счет применения нескольких механизмов защиты. В версии APM 2.1 планируется поддержка функций обнаружения аномалий (Anomaly Detection) и сканирования на наличие вредоносного ПО (Malware Scan), которые помогут выявлять потенциально скомпрометированные резервные данные до их восстановления.

Эти механизмы анализируют резервные копии различными способами и на разных этапах процессов резервного копирования и восстановления, взаимно дополняя друг друга. Обнаружение аномалий выявляет операции резервного копирования, которые существенно отклоняются от нормального поведения рабочей нагрузки (workload), тогда как сканирование на наличие вредоносного ПО выполняет проверку данных резервной копии перед их восстановлением.

Подозрительные копии будут уходить в карантин, а модель – обучаться на решениях администратора. Где происходит это обучение – на самом устройстве или в облаке Synology? Покидают ли данные клиента периметр компании?

Процессы обучения и анализа выполняются полностью локально на устройстве ActiveProtect, обеспечивающем защиту соответствующей рабочей нагрузки. Механизм машинного обучения (Machine Learning Engine) также работает локально непосредственно на устройстве резервного копирования.

При этом необходимо сделать важное уточнение: концепция «непрерывного обучения» (Continuous Learning) основана на сборе и накоплении данных, а не на операционных действиях администратора.

Что происходит после срабатывания: как быстро узнаёт служба безопасности, как устроена передача оповещений в SIEM/SOAR, и что будет, если оповещение пропустили?

В версии APM 2.0 реализована поддержка SNMP Traps (SNMP-уведомлений). Данный механизм также может использоваться совместно с функцией обнаружения аномалий (Anomaly Detection), поддержку которой планируется реализовать в APM 2.1.

Таким образом, при обнаружении подозрительной активности соответствующее уведомление может быть отправлено незамедлительно.

Сканирование перед восстановлением будет работать через Microsoft Defender, Bitdefender и ESET. Почему интеграция со сторонними движками, а не собственный антивирус? Нужна ли клиенту отдельная лицензия на них?

Поддержка стороннего антивирусного ПО предназначена прежде всего для того, чтобы корпоративные заказчики могли напрямую использовать уже имеющиеся у них антивирусные решения без необходимости отдельного управления ими.

Условия лицензирования сторонних антивирусных решений (AV) зависят от конкретного производителя. При этом пользователи также могут выбрать антивирусные инструменты, для использования которых не требуется приобретение лицензии.

Дополнительно следует отметить, что если в будущем заказчикам потребуется использовать другие сторонние антивирусные решения, которые на данный момент официально не поддерживаются, мы также сможем предоставить соответствующую документацию, позволяющую пользователям самостоятельно выполнить интеграцию таких антивирусных средств.

Функция Auto Fallback восстановит последнюю чистую версию, если в свежей копии найден вредонос. А если вредонос неделями находился в копиях незамеченным – сколько данных компания рискует потерять при таком откате?

Механизм сканирования на наличие вредоносного ПО (Malware Scanning) выполняет антивирусную проверку в процессе восстановления данных.

При запуске восстановления с включенной функцией Malware Scanning сервер резервного копирования предоставляет данные резервной копии в виде iSCSI Target, после чего они монтируются на сервере сканирования (Scan Server). Затем установленное на сервере сканирования антивирусное ПО выполняет проверку этих данных.

По завершении проверки результат сканирования передается обратно в APM и регистрируется в информации об операции восстановления (Restore Activity), а также в соответствующем подробном журнале (Detailed Log).
Исходя из приведенного выше описания, если пользователь включил функцию сканирования на наличие вредоносного ПО (Malware Scan), то при каждом восстановлении система будет повторно направлять запрос антивирусному решению (AV) для выполнения соответствующей проверки.

При совместном использовании с функцией Auto Fallback, если выбранная версия резервной копии будет признана потенциально скомпрометированной, система автоматически перейдет к более ранней версии и выполнит ее сканирование. Этот процесс будет продолжаться до тех пор, пока не будет найдена версия резервной копии, в которой не обнаружено проблем.

Таким образом, насколько далеко во времени потребуется откатиться при восстановлении и какой объем данных при этом может быть утрачен, зависит от того, какая именно версия резервной копии была затронута атакой программы-вымогателя (ransomware).

Как ActiveProtect представлен в Казахстане: через каких партнёров, есть ли локальная поддержка? И что APM даёт среднему бизнесу, у которого нет собственной команды мониторинга ИБ (SOC)?

ActiveProtect в Казахстане представлен у всех наших авторизованных дистрибьюторов – на сегодня их три: Al-Style Казахстан и Марвел Казахстан. Конечные бизнес-заказчики могут обращаться к любому сертифицированному партнеру уровней Silver и Gold; актуальный список партнеров клиенты всегда могут проверить на сайте Synology в разделе «Где купить», указав страну – Казахстан. Глобальная поддержка также осуществляется через местных дистрибьюторов и партнеров в Казахстане.
Для компании без собственного SOC APM не заменяет SOC как таковой — это важно разделять. Его задача заключается в обеспечении киберустойчивости и защиты данных. APM централизует управление и мониторинг резервного копирования, позволяет контролировать состояние backup-инфраструктуры и выполнение задач резервного копирования, защищает резервные копии от изменения и удаления и предоставляет различные сценарии быстрого восстановления после атаки или сбоя.

В результате средний бизнес получает функции защиты данных корпоративного уровня и централизованное управление backup-инфраструктурой без необходимости содержать отдельную команду для ее постоянного мониторинга.

Узнать больше о возможностях компании Synology в области защиты данных