Awaria serwera w firmie. Jak chronić dane przed utratą?

Serwer w małej lub średniej firmie zwykle obsługuje jednocześnie pliki, pocztę i programy księgowe, więc jego zatrzymanie wstrzymuje pracę całego zespołu. Skala strat zależy jednak w większym stopniu od przygotowań wykonanych przed awarią niż od działań podejmowanych po jej wystąpieniu.

Z tego artykułu dowiesz się

Jakie usterki najczęściej powodują zatrzymanie serwera w firmie?
Co zrobić w pierwszych godzinach po awarii, aby nie pogłębić utraty danych?
Czym są wskaźniki RTO i RPO i jak pomagają zaplanować ochronę?
Jak zorganizować kopie zapasowe, które rzeczywiście umożliwiają odtworzenie systemu?
Jakie zabezpieczenia techniczne skracają czas przestoju?

Skutki awarii serwera firmowego ograniczają przede wszystkim regularne kopie zapasowe przechowywane w kilku miejscach. Znaczenie mają także zasilanie awaryjne, monitoring sprzętu oraz procedura postępowania znana pracownikom i administratorowi. W razie samej awarii największe znaczenie ma rezygnacja z prób samodzielnej naprawy, ponieważ mogą one trwale uszkodzić dane zapisane na dyskach.

Najczęstsze przyczyny zatrzymania serwera w firmie

Awarie serwerów wynikają najczęściej z uszkodzeń podzespołów, które pracują bez przerwy przez wiele lat. Dyski, zasilacze i wentylatory podlegają stopniowemu zużyciu, a ich usterka może wystąpić bez wyraźnych objawów ostrzegawczych. Ryzyko zwiększają również wysoka temperatura w pomieszczeniu, kurz w obudowie oraz niestabilne zasilanie. Nagły zanik napięcia może przy tym przerwać zapis danych i doprowadzić do uszkodzenia systemu plików lub bazy danych. Drugą grupę przyczyn stanowią błędy oprogramowania i działania użytkowników. Nieudana aktualizacja systemu operacyjnego, przypadkowe usunięcie folderu albo błędna zmiana konfiguracji mogą unieruchomić serwer pomimo w pełni sprawnego sprzętu. Szczególnie dotkliwe skutki powoduje atak ransomware, czyli złośliwego oprogramowania szyfrującego pliki na serwerze i dyskach sieciowych. W takim przypadku dane fizycznie pozostają na nośnikach, natomiast bez klucza deszyfrującego firma traci do nich dostęp. Mechanizm takich ataków ACCEXPERT opisuje w materiale o zagrożeniach, jakie ransomware stwarza dla firm.

Pierwsze godziny po awarii serwera i najczęstsze błędy

Bezpośrednio po awarii działania powinny ograniczać ryzyko dalszych uszkodzeń. Wielokrotne restartowanie serwera, którego dysk wydaje nietypowe dźwięki albo nie pojawia się w systemie, może pogłębić uszkodzenia mechaniczne. Odradza się również instalowanie programów do odzyskiwania plików na uszkodzonym nośniku oraz przebudowę macierzy RAID bez wcześniejszej diagnozy. Inaczej wygląda postępowanie w przypadku podejrzenia ataku. Gdy na serwerze pojawiają się zaszyfrowane pliki lub komunikat z żądaniem okupu, zainfekowane urządzenia powinny zostać jak najszybciej odłączone od sieci. Ogranicza to rozprzestrzenianie się szkodliwego oprogramowania na kolejne zasoby, w tym na podłączone dyski z kopiami zapasowymi. Usuwanie podejrzanych plików przed analizą może przy tym utrudnić ustalenie źródła ataku i zakresu szkód. Decyzje o dalszych krokach podejmuje administrator albo serwis znający konfigurację serwera i miejsce przechowywania kopii zapasowych. Jeżeli dane nie mają aktualnej kopii, a dysk uległ uszkodzeniu fizycznemu, rozwiązaniem pozostaje odzyskiwanie danych w warunkach serwisowych.

RTO i RPO, czyli ile przestoju i ile danych firma może stracić

Planowanie ochrony serwera rozpoczyna się od określenia dwóch parametrów. RTO (Recovery Time Objective) oznacza maksymalny akceptowalny czas od awarii do przywrócenia działania systemu. RPO (Recovery Point Objective) określa natomiast, z jakiego okresu firma może utracić dane bez poważnych konsekwencji. Oba wskaźniki wynikają z charakteru działalności i zwykle różnią się dla poszczególnych systemów. Oprogramowanie obsługujące sprzedaż, księgowość lub produkcję wymaga z reguły krótszego czasu przywrócenia niż archiwum dokumentów, z którego pracownicy korzystają sporadycznie. Krótsze wartości RTO i RPO oznaczają częstsze wykonywanie kopii oraz większą redundancję sprzętu, co wiąże się z wyższymi kosztami. W ustalaniu tych parametrów uczestniczą zatem zarząd i administrator, gdyż proces ten łączy wymagania biznesowe z możliwościami technicznymi.

Kopie zapasowe zgodne z zasadą 3-2-1 i testy przywracania

Kopia zapasowa stanowi podstawowe zabezpieczenie przed trwałą utratą danych, ponieważ daje możliwość odtworzenia plików niezależnie od przyczyny awarii. Powszechnie stosowana zasada 3-2-1 zakłada przechowywanie trzech kopii danych na dwóch różnych rodzajach nośników, w tym jednej kopii poza siedzibą firmy. Regularne wykonywanie kopii zapasowych zaleca także rządowy poradnik dotyczący backupu. W przypadku ransomware istotne znaczenie ma przechowywanie co najmniej jednej kopii odłączonej od sieci albo zapisanej w trybie blokującym modyfikację. Szkodliwe oprogramowanie szyfruje bowiem wszystkie dostępne zasoby sieciowe, również stale podłączone dyski z kopiami. Sama obecność kopii nie gwarantuje przy tym szybkiego powrotu do pracy. Kopia może być niekompletna, uszkodzona albo zbyt stara, a problem ujawnia się zwykle dopiero przy próbie przywrócenia. Okresowe testy odtwarzania danych na osobnym środowisku pozwalają sprawdzić poprawność kopii oraz rzeczywisty czas uruchomienia systemu.

Rozwiązanie	Chroni przed	Ograniczenia
Macierz RAID (np. RAID 1, RAID 5)	Awarią pojedynczego dysku bez przerwy w pracy serwera	Nie zabezpiecza przed usunięciem plików, ransomware ani uszkodzeniem systemu plików
Migawka (snapshot) maszyny wirtualnej	Skutkami nieudanej aktualizacji lub błędnej zmiany konfiguracji	Znajduje się na tym samym sprzęcie co system i nie przetrwa jego awarii
Kopia na lokalnym serwerze NAS	Utratą plików, awarią serwera głównego, błędami użytkowników	Nie przetrwa pożaru, zalania lub kradzieży; stale podłączona może zostać zaszyfrowana
Kopia poza siedzibą lub offline	Zdarzeniami obejmującymi całe biuro oraz atakiem ransomware	Przywracanie dużych zbiorów danych przez łącze internetowe może trwać długo

Dobór i połączenie tych rozwiązań wynika z wartości RTO i RPO ustalonych dla poszczególnych systemów.

Zasilanie awaryjne, monitoring i wirtualizacja skracają przestój

Część awarii można przewidzieć na podstawie danych z monitoringu. Systemy nadzoru rejestrują temperaturę podzespołów, stan dysków i obciążenie serwera, a o nieprawidłowościach informują administratora. W wielu przypadkach administrator może więc wymienić zużywający się dysk lub wentylator w zaplanowanym terminie, zanim dojdzie do zatrzymania systemu. Zasilacz awaryjny UPS podtrzymuje pracę serwera podczas krótkich zaników napięcia. Przy dłuższej przerwie w dostawie energii odpowiednio skonfigurowany UPS inicjuje kontrolowane wyłączenie systemu, co chroni bazy danych przed uszkodzeniem wskutek przerwanego zapisu. Krótszy czas przywrócenia zapewnia również wirtualizacja serwerów, na przykład w środowisku Proxmox lub Hyper-V. Maszyny wirtualne odtworzone z kopii zapasowej można uruchomić na innym serwerze fizycznym bez ponownej instalacji systemu i aplikacji. Konfigurację takich środowisk, zabezpieczenia UPS oraz monitoring sprawności obejmuje usługa administracji serwerami w ACCEXPERT.

Plan ciągłości działania i stała opieka administratora

Zabezpieczenia techniczne uzupełnia procedura postępowania na wypadek awarii. Plan ciągłości działania określa osoby odpowiedzialne za kontakt z serwisem, kolejność przywracania systemów oraz sposób pracy zespołu w czasie przestoju. Powinien zawierać także aktualne dane dostępowe, przechowywane w bezpiecznym miejscu poza serwerem, którego dotyczy. Bez stałego nadzoru zabezpieczenia stopniowo tracą skuteczność. Zadania kopii zapasowych mogą przestać działać po zmianie konfiguracji, akumulatory UPS ulegają zużyciu, a nowe foldery pozostają poza harmonogramem kopii. W ramach stałej obsługi informatycznej firm ACCEXPERT prowadzi monitoring, administrację i serwis infrastruktury, aby wykrywać takie nieprawidłowości przed wystąpieniem awarii. Część przedsiębiorstw ma ponadto obowiązki wynikające z dyrektywy NIS2 oraz przepisów o krajowym systemie cyberbezpieczeństwa. Obejmują one m.in. zarządzanie kopiami zapasowymi, obsługę incydentów i zapewnienie ciągłości działania. Przygotowanie pracowników do tych zadań ułatwiają szkolenia z cyberbezpieczeństwa NIS2 i KSC.

Najczęściej zadawane pytania

Czy macierz RAID wystarczy do zabezpieczenia danych na serwerze firmowym?

RAID umożliwia dalszą pracę serwera po awarii jednego dysku, gdyż dane są zapisywane na kilku nośnikach jednocześnie. Każda zmiana, w tym usunięcie pliku lub zaszyfrowanie przez ransomware, trafia jednak natychmiast na wszystkie dyski macierzy. Macierz RAID nie zastępuje więc niezależnej kopii zapasowej.

Jak często wykonywać kopie zapasowe serwera w małej firmie?

Częstotliwość kopii wynika z przyjętego wskaźnika RPO, czyli dopuszczalnego okresu utraty danych. Dla danych modyfikowanych codziennie zwykle stosuje się kopię wykonywaną co najmniej raz na dobę. Bazy danych programów księgowych i sprzedażowych często kopiuje się również w trakcie dnia pracy.

Co zrobić, gdy serwer się nie uruchamia, a dysk wydaje nietypowe dźwięki?

Serwer należy wyłączyć i nie podejmować kolejnych prób uruchomienia, ponieważ praca uszkodzonego dysku może pogłębić zniszczenia powierzchni nośnika. Następnie dysk powinien trafić do diagnozy w serwisie, który oceni możliwość odzyskania danych.

Czy da się odzyskać dane zaszyfrowane przez ransomware bez płacenia okupu?

Najpewniejszą metodą jest przywrócenie danych z kopii przechowywanej offline lub poza siecią firmową. Dla niektórych odmian ransomware dostępne są bezpłatne narzędzia deszyfrujące, publikowane m.in. w projekcie No More Ransom. Zapłata okupu nie daje pewności odzyskania plików.

Ile trwa przywrócenie serwera z kopii zapasowej po awarii?

Czas przywracania zależy od ilości danych, miejsca przechowywania kopii oraz dostępności sprawnego sprzętu. Odtworzenie maszyny wirtualnej z lokalnej kopii przebiega zazwyczaj szybciej niż pobieranie dużych zbiorów danych z chmury. Rzeczywisty czas dla danej firmy pokazuje dopiero test przywracania przeprowadzony przed awarią.

Awaria serwera firmowego. Jak ograniczyć przestój i utratę danych?