Хранение информации и безопасность данных

Привет, друг. Сегодня про безопасность, а именно хранение информации и данных. Вряд ли есть смысл подробно рассказывать почему это значимая тема. Особенно хорошо это понимают те, кто когда-либо терял важную информацию. А даже если именно ты не терял, то наверняка есть что-то такое, что не хотелось бы утратить. Кроме того, у тебя, в зависимости от вида деятельности, может оказаться информация, хранить которую небезопасно, например с точки зрения закона. Это не означает, что ты злодей — ты можешь банально не знать всех нюансов законодательства. И если ты просто утратишь рабочую информация, например по техническим причинам, это, возможно, будет не слишком критично, скорее печально — осознавать, что время и усилия были потрачены впустую. А вот если какая-то чувствительная информация попадёт в чужие руки, это почти гарантированно нанесёт тебе ущерб, либо как минимум придётся прилагать какие-то усилия, чтобы этот ущерб предотвратить или минимизировать. В любом случае это не приятно.

Безопасность информации. Основные правила хранения

Для начала разберём основное, что точно делать не нужно. А исходя из этого станет понятно как делать правильно:

Исходя из этого, самым правильным решением будет иметь несколько копий наиболее важных данных, которые будут хранится отдельно друг от друга. Хороший вариант когда есть три копии. Одна это рабочий компьютер. Вторая — облако. И третья — жёсткий диск, не подключенный к компьютеру, а значит и к сети. И храниться он должен где-то не рядом с рабочим компьютером. Желательно даже не в одном помещении. Причём для этой оффлайн копии не подходит SSD. Потому как на них, при длительном отсутствии питания, происходит деградация ячеек. И как следствие — потеря данных. 

---

---

Потому облако лучше рассматривать как элемент удобства, позволяющий комфортно работать с информацией из разных мест и с разных устройств. И в качестве ещё одной резервной копии, но не единственной. Кроме того, если ты планируешь хранить в облаке какую-то чувствительную информацию, то она должна лежать в криптоконтейнере (о них ниже ↓). Тогда, даже если к данным кто-то получит доступ, сделать он ничего не сможет.

---

---

Способ органицации бэкапов нужно заранее продумать, потому как это процесс требующий некоторого внимания и пунктуальности. И начать нужно с того, что ты будешь сохранять. Это довольно индивидуальный вопрос, но в целом стоит сохранить:

• данные учётных записей и аккаунтов;
• бэкапы профилей рабочих инструментов;
• копии рабочих виртуалок и, если необходимо, бэкап основной операционной системы;
• финальные версии подготовленных документов, в том числе расследований и файлов к ним;
• всю рабочую документацию, в том числе базы данных и отчёты, если они делаются;
• любые другие важные данные, утрата которых будет болезненной.

---

Где и как хранить информацию

После того как ты определился, что нужно сохранить, нужно решить как и где ты будешь это хранить. Оптимальный вариант, с точки зрения “цена — качество”, это серверный жёсткий диск. Это не очень дорого и достаточно надёжно, и, что важно, долговечно. Ещё один вариант — это внешний жёсткий диск. Они также есть очень надёжные и большого объёма. Лично мне больше нравится вариант с внешним диском, но тут дело вкуса. Гораздо более важный вопрос в том, что диск нужно куда положить. Это не должно быть место твоего повседневного пребывания т.е. это не может быть дом или работа. Также, очень желательно, чтобы место хранения вообще с тобой не ассоциировалось. Если с подбором такого места возникают сложности, а данные очень ценные, попроси кого-то, кому доверяешь, арендовать банковскую ячейку. Стоит она недорого, а надёжность достаточно высокая. 

Вне зависимости от того насколько надёжное место хранения диска ты нашёл, данные на этом диске нужно хранить в зашифрованном виде. Самый простой вариант это складывать всё в криптоконтейнеры и уже их загружать на диск. Благодаря этому, даже если место хранения будет скомпрометировано, получить информацию всё равно не удастся. 

Следующий элемент, который нужно учитывать, это то как организованы данные. Способ организации должен быть интуитивно понятен. Чтобы не было ситуации когда, через год ты откроешь свой диск и будешь долго и нудно разбираться и вспоминать где и что лежит. Или вообще — что это там такое и зачем ты это туда положил. Чтобы такого не произошло, нужно продумать понятные и логичные названия каталогов и файлов, добавить временные метки в названия и распределить всё это по категориям. Также хорошей привычкой будет добавлять в архив текстовый файл с пояснением: что в этом архиве, когда он создан и какую-то дополнительную информацию в зависимости от ситуации. Такой подход поможет быстро сориентироваться и найти то что нужно. 

Чтобы ещё сильнее минимизировать вероятность путаницы нужно использовать единую структуру и названия каталогов. Т.е. будет очень удобно, если бэкапы и рабочие пространств будет однотипными. В таком случае, открыв бэкап спустя длительное время, ты сразу сориентируешься и поймёшь где и что там лежит.

Также в графике нужно запланировать периодическую проверку и обслуживание оборудования. Потому как, серверные диски хоть и долго живут, но всё же не бесконечно, и периодически нужно проверять их состояние. При этом не стоит ориентироваться только на данные SMART жёсткого диска, потому как это не очень надёжно. Появление там ошибок, в большинстве случаев, говорит о том, что диск, уже, в принципе, можно отправлять в мусорку. И, в зависимости от проблемы, можно банально не успеть перенести данные, особенно если их много. Потому проверять диск лучше специальными утилитами. Например неплохо справляется программа «Victoria».

Теперь переходим к конкретным способам хранения данных.

Шифрование информации. VeraCrypt

И начнём мы с шифрования, потому как это отличный вариант для защиты информацию от несанкционированного доступа. Есть разные способы зашифровать информацию, в том числе встроенные в операционную систему, но самый удобный и простой это VeraCrypt.

Нажимаем «Создать том» и нам, на выбор, предложат три варианта:

• «Создать зашифрованный файловый контейнер» — зашифрованный том будет размещен в файле. Самый распространённый вариант, подходит в большинстве случаев. В том числе в нашем т.к. мы рассматриваем вариант хранения бэкапов.
• «Зашифровать раздел или диск без системы» — позволяет зашифровать отдельный раздел или весь жёсткий диск. Также можно зашифровать флешку или карту памяти. 
• «Зашифровать раздел или весь диск с системой» — тоже самое, что и предыдущий вариант только шифруется раздел с операционной системой. Это тоже иногда полезный вариант. Не зная пароля — компьютер даже не получится включить. Т.е. если кто-то имеет физический доступ к компьютеру, получить информацию он не сможет. Это намного надёжнее чем пароль от учетной записи системы или пароль от BIOS. Они вообще для защиты от честных людей придуманы. Более того, даже если зашифрованный диск достать из системника и вставить в другой — расшифровать данные всё равно не получиться.

Ко всем этим вариантам ещё прилагается возможность создать скрытый том или скрытую ОС. Т.е. будет два тома, с разными файлами. Каждому из них создаётся отдельный пароль, и открываться они будут в зависимости от того какой пароль введен. Соответственно, если вдруг, твои пальцы оказались зажаты в двери, ты, не дожидаясь пока дверь закроется, сообщаешь пароль от раздела с не очень важными данными.

Скрытая ОС создается по такому же принципу — одна настоящая, другая поддельная. Самое главное чтобы этот раздел или система выглядели как-то естественно, потому что чистая, как слеза младенца, система может вызвать ненужные подозрения или сомнения.

В нашем случае, так как мы рассматриваем вариант с шифрованием конкретных файлов, выбираем первый вариант т.е. создание контейнера. И нам предложат выбрать между обычным томом и скрытым. Выбираем обычный и после этого необходимо указать каталог, где будет находится наш контейнер и придумать ему имя. 

Следующий этап — создание пароля. Здесь правильный подход простой — чем сложнее тем лучше. Главное его потом не забыть или не потерять.

И финальным шагом нас попросят подергать мышью, пока полоска заполнится зеленым. Здесь же, если необходимо, можно изменить файловую систему и размер кластера. В этом же окне можно сделать том динамическим т.е. его размер будет увеличиваться по мере его наполнения. Это хороший выбор для тех контейнеров, с которыми предстоит часто работать. Но, при этом, нужно не забывать, что максимальный размер тома будет ограничен тем значением, которые мы указали при выделении места под контейнер.

Как вывод по VeraCrypt, можно сказать, что несмотря на кажущуюся простоту в работе этой программы, что кстати скорее плюс, чем минус, она обеспечивает серьёзный уровень защиты информации, которого более чем достаточно практически любому пользователю. При этом, что важно, она не особо усложняет повседневную работу, оставляя файлы быстро доступными.

Tails

И тут можно отметить сильные стороны Tails. Почему именно он может быть полезен в некоторых ситуациях. Ключевые моменты:

• он не оставляет никаких следов на компьютере на котором использовался. Ну, собственно, факт его использования не спалили в АНБ, а раз не спалили там, значит не спалят нигде (наверно);
• всё устанавливается и работает с флешки. После выключения или просто выдергивания флешки из компьютера, система приобретает первоначальный вид, такой как после установки. Т.е. все изменения откатываются. При этом есть возможность создать специальный, зашифрованный секретный раздел в котором можно хранить файлы и устанавливать дополнительный софт — они никуда не денутся и с ними можно работать при каждом запуске;
• весь трафик идет через сеть Тор. Попытки установить прямое соединение блокируются;
• система имеет кучу предустановленного софта для шифрования всего на свете, от переписки до файлов.

Исходя из этого можно предположить ситуации в которых этот дистрибутив будет полезен, а также ситуации в которых его точно нет смысла использовать.

Нет смысла, в первую очередь, в качестве повседневной системы. Потому как это просто не удобно. Также плохой вариант — это использовать Tails для долгосрочного хранения информации. Потому что флешка это, как уже упоминалось, не надёжный способ хранения информации.

Когда же есть смысл? Например, если есть необходимость поработать с важной информацией на чужом компьютере, причем так, чтобы там точно не осталось следов. Ещё один вариант, это если нужно передать кому-то какую-то информацию. Хотя в этом случае криптоконтейнер всё равно выглядит более удачным решением. 

Ну и наиболее удачный вариант использования Tails это когда необходимы именно возможности операционной системы, например для использования аккаунтов и профилей, программ и средств связи, переписок и так далее. Всего того что, не только нельзя использовать и хранить в обычной системе, а вообще показывать кому-либо не стоит.

Хранение паролей

Следующий особо важный вопрос — хранение паролей и других регистрационных данных. Это та информация которая, по понятным причинам, относится к категории особо чувствительной, а потому этот вопрос нужно решить сразу и надёжным способом. 

Надёжность, в этом случае, обеспечивается существованием нескольких копий базы паролей. Программа минимум — это две цифровых копии, и одна физическая. Места хранения этих копий — максимально безопасные из доступных.

С учётом количества инструментов которые могут использоваться в работе, а также необходимости иметь некоторое количество аккаунтов в социальных сетях, мессенджерах и т.д. будет очень правильно организовать базу паролей так, что там, как минимум, можно было быстро ориентироваться и находить нужные записи. В том числе те которые были созданы давно. Именно поэтому самым удобным способом хранить пароли будет менеджер паролей. А так как вопрос безопасности критически важен, то мы сразу же забываем про все онлайн менеджеры паролей.

KeePassXC

Лучший, исходя из удобства и надёжности, менеджер паролей это KeePassXC. Самих keepass`ов существует довольно много, но версия XC активно поддерживается разработчиками и постоянно обновляется. в отличие от некоторых своих аналогов. 

Далее нужно придумать пароль к базе. Так как это, по сути, будет самый важный наш пароль, то, в идеале, его нужно запомнить, чтобы исключить вероятность случайной потери. Здесь же, в дополнительных настройках, можно добавить, или сгенерировать и добавить, ключевой файл, без которого не получится открыть базу. Кстати, в качества этого файла можно выбрать, не обязательно файл ключа, а вообще любой файл. Например какой-нибудь тестовый документ или видео. Но тут нужно быть осторожным. Если что-нибудь изменить в ключевом файле после назначения — открыть базу уже не получится. В этом же окне можно включить открытие базы с использованием YubiKey. Это такая флешка-ключ — есть разные версии, в зависимости от которой цена может быть от 30 до 200 долларов. Для личного использования какого-то значительного смысла в ней нет. Это скорее корпоративная история, связанная с политиками безопасности на предприятиях или в государственных органах.

Ключевой файл выбирать не обязательно. Но если это сделать, это создаст дополнительный уровень защиты. И, даже если пароль будет скомпрометирован, базу всё равно открыть не получится.

Также можно добавить теги — если нужно как-то дополнительно помечать записи, и дополнительную информацию в заметки. Во вкладке «Дополнительно» можно прикрепить к записи файл (например ключа), если есть такая необходимость. Или добавить какие-то дополнительные атрибуты если стандартных не хватает — например контрольные вопросы для восстановления доступа.

Еще одна, очень удобная функция, которая есть в KeePassXC, это генератор паролей. Можно выбрать наборы и желаемое количество символов, затем нажимаем кнопку «Создать» и получаем пароль. Его можно скопировать в буфер, ввести где нужно, а потом сохранить в базу. Генератор паролей также можно использовать непосредственно при создании записей в базе.

Ну и как в любых подобных утилитах записи можно раскладывать по каталогам, чтоб было удобнее ориентироваться.

Ну и заканчивая тему паролей — пару слов о хранении базы паролей. Имеется в виду той её копии, которую мы будем повседневно использовать.

В принципе, базу можно хранить просто на жёстком диске, особо не заморачиваясь, потому как она уже зашифрована алгоритмом AES. Что само по себе обеспечивает неплохой уровень защиты. Если же хочется перестраховаться, то можно положить её в криптоконтейнер созданный VeraCrypt. А вот резервную копию, ту которую будем хранить, например, в облаке — обязательно нужно положить в такой контейнер. Целее будет.

Безопасность паролей. Оффлайн хранение

По этой причине, вне зависимости от надёжности места хранения, в сами записи можно добавить элемент криптографии. Самый простой вариант это записывать пароли задом наперёд т.е. последний символ это первый и т.д. И хоть это, на первый взгляд, выглядит примитивно, но шанс, что посторонний человек это поймёт, крайне низкий.  

Ещё один способ это придумать пароль, записать его, но при регистрации и последующем введении, добавлять в начало — номер строки, а в конец — номер страницы на которой он записан. Так, если наш пароль password, и он записан на 17 строке 11 листа блокнота, то мы вводить мы будем  17password11. Это тоже не сложная схема, но определить её будет крайне трудно. 

Подобных несложных, но эффективных схем можно придумать достаточно много. Всё зависит от фантазии и креативности. При этом, использование любого подобного подхода, сильно увеличит безопасность данных. 

Идеальная схема хранения  

Всё, что было перечислено выше, это теория, опираясь на которую, можно разработать свою собственную схему хранения и резервирования информации. Такую которая будет идеально подходить именно под твои цели и задачи. Но чтобы было ещё понятнее и нагляднее мы рассмотрим конкретный вариант организации хранения информации и резервного копирования, с примерами конкретных устройств. Я предложу усредненный вариант, которого с запасом достаточно для индивидуального использования или даже небольшого офиса. Варианты комплектующих я выбирал те которые нравятся лично мне. Но тут, как говорится, дело вкуса.

Для начала сформулируем сами себе ТЗ:

• общий объём рабочего пространства:  10-12 Тб. Важность: потеря или утечка крайне нежелательны, но не катастрофичны;
• чувствительная информация:  100 Гб. Важность: строго конфиденциальная информация, потеря или утечка не допустимы;
• вид данных: документы, фото, видео, бэкапы БД;
• задача: повседневная работа и долгосрочное хранение;
• количество копий: минимум три копии, на двух разных носителях, одна копия вне основного места работы;
• бюджет: стараемся придерживаться принципа “цена-качество” и, по возможности, экономим.

Выбор оборудования

Исходя из этого ТЗ подбираем необходимое оборудование:

• Подписки на облачные сервисы:
  • Google Drive — для повседневной работы с документами может хватить бесплатных 15 Гб, но так как мы рассматриваем оптимальный вариант, то берем подписку на 2Тб за 55$/год. Их мы будем использовать для синхронизации рабочих каталогов. Это, с одной стороны, дополнительный бэкап, с другой стороны обеспечивает быстрый доступ на разных устройствах. 
  • Backblaze B2 — будем использовать для облачного бэкапа данных с NAS. Backblaze выбран потому что оплачивать нужно только реально используемое пространство. При этом цена очень разумная. А так как бэкапить в облако весь NAS обычно смысла нет, то можем посчитать 6$ в месяц за 1Тб т.е. 72$ в год. Но с учётом того, что в этот бэкап мы будем добавлять только особо важные данные в архивированном и зашифрованном виде, то конечный объём, а значит и цена, будут сильно ниже.

Итоговая смета затрат на оборудование:

Название	Количество	Цена
Synology DiskStation DS425+	1	650$
Western Digital Red Pro NAS 8TB	3	900$
M.2 NVMe 500 Гб	1	100$
Western Digital My Book 14 TB	1	350$
Western Digital My Passport 1TB	1	90$
ИБП CyberPower CP1600	1	450$

Облачные сервисы:

Google Drive	55$/год
Backblaze B2	72$/год

Итого, мы имеем стартовый бюджет для запуска — 2667$. И годовые затраты на подписки до 127$в год. 

Выглядит, конечно, не очень приятно, но это цена безопасности нашей информации. Ну и это примерный вариант. В зависимости от ситуации, бюджет может меняться в большую или меньшую сторону. Тут каждый сам должен решить что нужно, а что нет.

Одновременно с выбором оборудования, нужно предусмотреть график его обслуживания и замены. Для жёстких дисков это проведение тестов раз в пол года и замена, если видим сильное проседание скорости чтения / записи или появление проблемных секторов. NAS может прослужить очень долго, но я бы заменил на более новую модель где-то через 7 лет.

Далее мы распределяем что и где будет лежать:

• рабочий компьютер — здесь находятся только те данные, которые нам нужны для повседневной работы;
• NAS — здесь создаём несколько разделов:
  • Рабочий раздел. Сюда синхронизируется вся рабочая информация с компьютера и других рабочих устройств. Например — дополнительного ноутбука;
  • Архивный раздел. Сюда складываем всё то, что требует долгосрочного хранения, при этом не подразумевает необходимость ежедневного доступа. Например наши оконченные расследования и файлы к ним, какие-то подборки или что-то подобное. Если бюджет позволяет — этот раздел можно бэкапить в облако Backblaze B2. Но это не критично;
  • Конфиденциальный раздел. Здесь, в криптоконтейнере, мы храним всю критически важную информацию. Например копию базы паролей, финансовую информацию, бэкапы баз данных и так далее. Этот раздел обязательно дублируется в облако Backblaze B2. 
• жёсткий диск для бэкапа NAS (Western Digital My Book 14 TB). Сюда мы, по расписанию, например в конце каждой недели, дублируем всю информацию, которая хранится на NAS. Сам диск тоже будет не лишним зашифровать и хранить в надёжном месте. 
• жёсткий диск для бэкапа конфиденциального раздела (Western Digital My Passport 1TB) — так как в подобную информацию не так часто вносятся значительные изменения,  более того, она у нас есть на NAS и в облаке, а этот бэкап нужен в случае появления каких-то очень форс-мажорных обстоятельств, то делать его можно реже. Например раз в месяц. И напомню, что этот диск мы храним где-то в очень надёжном месте и, тоже, обязательно в зашифрованном виде. Потому как в таких вопросах нужно исходить из правила, что любое, даже самое надёжное место в мире, может перестать таковым быть. И происходит это всегда неожиданно. 

Отдельно упомяну, на первый взгляд очевидные, но оттого, не менее важные правила. Ты наверняка слышал утверждение, что в любой, даже самой защищённой системе, самое слабое место это человек. Это утверждение появилось не просто так, и оно вполне обосновано. Для нас это означает то, что продумывая и организовывая систему хранения данных, мы должны минимизировать человеческий фактор. Соответственно:

• там где можно настроить автоматическое создание бэкапов по расписанию — это нужно сделать; 
• также нужно везде, где это возможно, удалить стандартные или заводские учётные записи. Если удалить не возможно — заменить стандартные пароли; 
• если хранилищем будет пользоваться кто-то ещё — нужно точечно организовать права доступа. Здесь действует правило минимализма. Т.е. каждому пользователю выдаются минимально необходимые права. И, ни в коем случае, не стоит выдавать доступ “на всякий случай” — жене, бабушке, собаке или кому-то ещё. Потому что этот случай может сыграть против нас. Если не уверен, лучше сделать ещё один бэкап или ещё одну свою резервную учётную запись;
• пароль от базы паролей очень желательно запомнить, чтобы его не существовало в записанном виде и он был только у тебя в голове;
• все остальные пароли должны быть достаточно сложными т.е. хотя бы 12-15, а лучше 20 символов. С буквами нижнего и верхнего регистров, цифрами и спецсимволами. Также придерживайся правила: каждая учётная запись = уникальный пароль. Потому что его можешь потерять не ты, а тот сервис на котором ты зарегистрировался;
• везде где можно включить двухфакторную аутентификацию, дополнительные проверки, ключи доступа и всё подобное — это нужно сделать.
• продумывая какую-то ситуацию, всегда исходи из наихудшего сценария. Тогда менее критические происшествия повлекут минимальные последствия.

Ну, а на этом рассказ про безопасности данных можно заканчивать. Финальный совета: не тупи, не расслабляйся и не пренебрегай правилами. И тогда твои данные будут в безопасности. 

Твой Pulse.