Xác định “website” bao gồm gì
Bắt đầu bằng một danh mục dịch vụ. Với mỗi site, cổng thông tin, cửa hàng hoặc chiến dịch, ghi lại chủ sở hữu doanh nghiệp, chủ sở hữu kỹ thuật, tài khoản hosting, quyền điều khiển tên miền và DNS, kho lưu trữ, nơi lưu trữ nội dung và media, tích hợp, và các thông tin xác thực cần thiết. Đánh dấu những gì có thể tái tạo từ hệ thống quản lý mã nguồn và những gì chứa bản ghi duy nhất.
Bao gồm cấu hình một cách có chủ ý: chuyển hướng, cài đặt CDN hoặc firewall, công việc theo lịch, mẫu, và tệp hạ tầng-dưới-dạng-mã (infrastructure-as-code). Không sao chép bí mật đang hoạt động vào một danh mục chung; thay vào đó trỏ tới hệ thống quản lý bí mật được phê duyệt và quy trình truy cập khẩn cấp. Tài liệu WordPress cho thấy lỗ hổng phổ biến: một site điển hình cần cả tệp và cơ sở dữ liệu riêng biệt.
Định nghĩa phiên bản nhỏ nhất an toàn có thể cung cấp thông tin hoặc giao dịch thiết yếu.
Gộp các xuất cơ sở dữ liệu tương thích, tệp, media và cấu hình dưới cùng một nhãn thời gian hoặc phiên bản.
Đặt tần suất và giữ liệu dựa trên độ chịu đựng của doanh nghiệp
Chọn tần suất dựa trên tỉ lệ và giá trị thay đổi. Viết RPO bằng ngôn ngữ đơn giản, rồi kiểm tra rằng mọi kho lưu trữ độc đáo được chụp đủ thường. Một bản sao tệp hàng đêm không thể đáp ứng RPO bốn giờ cho một cơ sở dữ liệu thay đổi nhanh.
Đặt RTO riêng. Bao gồm phê duyệt, hạ tầng sạch, khôi phục, xác thực, thay đổi lưu lượng và truyền thông nội bộ. Đo nó bằng một cuộc diễn tập thay vì chấp nhận tuyên bố của nhà cung cấp. Giữ các điểm khôi phục cũ đủ lâu để có thể quay lại trước khi lỗi hoặc phát hiện muộn, rồi xem xét chính sách giữ liệu với chuyên gia về quyền riêng tư, hồ sơ hoặc pháp lý khi dữ liệu yêu cầu.
So sánh khoảng thời gian giữa các điểm phục hồi hoàn chỉnh với RPO của từng dịch vụ.
Xác minh một người có thẩm quyền có thể tìm thấy một điểm khôi phục được phê duyệt cũ hơn.
Tách và bảo vệ các bản sao phục hồi
Sử dụng nhiều bản sao ở các vị trí hoặc dịch vụ khác nhau để một tài khoản, sự cố cục bộ hoặc sai sót không xóa mọi lựa chọn. CISA khuyến nghị sao lưu tự động định kỳ, một bản sao ngoài trang, mã hóa và bản sao ngoại tuyến. NCSC khuyên không dùng thiết bị sao lưu luôn kết nối và khuyến nghị hơn một giải pháp hoặc vị trí sao lưu.
Bảo vệ quản trị sao lưu theo nguyên tắc quyền ít nhất, xác thực đa yếu tố nếu có hỗ trợ, tài khoản quản trị riêng biệt và rà soát quyền truy cập. Dùng bảo vệ xóa, lịch sử phiên bản hoặc lưu trữ bất biến (immutable) chỉ sau khi hiểu chi phí và hành vi phục hồi của chúng. Mã hóa dữ liệu đã lưu và kiểm tra việc quản lý khoá. Mã hóa mà không có khoá truy cập là vô dụng; chia sẻ truy cập rộng rãi làm suy yếu mọi bản sao.
Bản sao nên có chế độ lỗi khác có ý nghĩa so với môi trường sản xuất.
Liệt kê ai có thể đọc, thay đổi, xóa và khôi phục sao lưu; gỡ bỏ quyền truy cập đã lỗi thời.
Viết runbook phục hồi và phân công quyền
Runbook là quy trình phục hồi đã được thử nghiệm. Giữ một bản sao có thể truy cập mà không cần site bị ảnh hưởng, nhà cung cấp danh tính sản xuất, hoặc hệ thống chat thông thường. Bao gồm liên hệ và phương án thay thế, quyền hạn, thứ tự ưu tiên hệ thống, vị trí sao lưu, điều kiện tiên quyết, thứ tự khôi phục, kiểm tra xác thực và điều kiện dừng.
Chỉ định một chủ sở hữu phục hồi chịu trách nhiệm và người thay thế cho mỗi dịch vụ quan trọng. Định nghĩa ai được ủy quyền khôi phục lên sản xuất, thay đổi DNS và xác thực dữ liệu doanh nghiệp. Nếu có dữ liệu thẻ thanh toán, dữ liệu cá nhân nhạy cảm hoặc hồ sơ được quy định, lấy ý kiến chuyên gia an ninh, quyền riêng tư, pháp lý và nơi liên quan PCI trước khi quyết định cái gì cần bảo tồn, thông báo hoặc khôi phục.
Ghi lại điểm khôi phục được chọn, người phê duyệt, hệ thống đã chạm tới, kết quả xác thực và ngoại lệ.
Ghi lại truy cập khẩn cấp được kiểm soát; không bao giờ phụ thuộc vào thiết bị hay ký ức của một nhân viên duy nhất.
Khôi phục an toàn sau khi nghi ngờ bị xâm phạm
Không tự động ghi đè sản xuất bằng bản sao mới nhất khi khả năng truy cập trái phép, phần mềm độc hại hoặc xóa đáng ngờ có thể xảy ra. Thực hiện theo quy trình sự cố, đánh giá tài khoản và sao lưu nào có thể đã bị ảnh hưởng, chọn điểm dựa trên bằng chứng, và dựng hoặc cô lập môi trường phục hồi trước khi kết nối lại.
CISA hướng dẫn phục hồi theo thứ tự ưu tiên dịch vụ quan trọng và cảnh báo không tái nhiễm các hệ thống sạch. NCSC khuyên chỉ kết nối bản sao lưu với thiết bị đã biết là sạch và quét chúng trước khi khôi phục. Những bước này giảm rủi ro, không đảm bảo sạch hoàn toàn. Tăng mức xử lý cho đội phản ứng sự cố có trình độ khi việc điều tra, bảo toàn bằng chứng hoặc nghĩa vụ thông báo có thể áp dụng.
Khôi phục dịch vụ có độ ưu tiên cao nhất trên hạ tầng sạch, xác thực nó, rồi tiếp tục theo thứ tự phụ thuộc.
Kiểm tra hành trình người dùng, dữ liệu, công việc theo lịch, tích hợp, quản trị, ghi nhật ký và phạm vi sao lưu mới.
Dùng diễn tập làm bằng chứng và nguồn đầu vào khắc phục
Thực hiện khôi phục từng phần, dựng lại đầy đủ trong môi trường cô lập, bài tập mất phụ thuộc, hoặc quyết định bàn theo kịch bản tùy rủi ro. Bắt đầu với một bài kiểm tra an toàn và có ý nghĩa rồi tăng dần mức thực tế theo thời gian. CISA khuyến nghị thử nghiệm khôi phục toàn phần và từng phần; NCSC khuyên bài tập để làm rõ vai trò, trách nhiệm của bên thứ ba và thứ tự ưu tiên.
Đo tuổi điểm phục hồi so với RPO và thời gian phục hồi thực tế so với RTO. Ghi lại định danh bộ, người tham gia, kết quả xác thực, bước thất bại và người chịu trách nhiệm sửa. Thử lại sau khi đóng các khoảng trống và sau các thay đổi đáng kể về nền tảng, định danh, cơ sở dữ liệu hoặc nhà cung cấp. SIU có thể tổ chức công việc khắc phục phòng ngừa này; nó không phải là hệ thống sao lưu hay dịch vụ giám sát trực tiếp.
Giữ một ghi chép ngắn gọn về những gì đã được khôi phục, ở đâu, những gì đạt, những gì thất bại, và ai đã chấp nhận.
Lặp lại các thử nghiệm trọng tâm sau thay đổi kiến trúc hoặc nhà cung cấp đáng kể.