5 parimat ransomware’i-kindlat varunduslahendust ettevõtetele 2026. aastal

Sissejuhatus

Lunavara on arenenud andmete krüpteerimise probleemist varukoopiate hävitamise probleemiks. Sophose aruande „State of Ransomware 2025“ kohaselt on 96% lunavara rünnakutest suunatud spetsiaalselt varukoopiate hoidlatele – ja 76% neist õnnestub neid kahjustada. Strateegia on lihtne: kui ründajad suudavad teie varukoopiaid hävitada või krüpteerida enne pahavara käivitamist, muutub taastamine võimatuks või liiga kulukaks.

See muudab küsimuse „kas meil on varukoopiaid?“ küsimuseks „kas meie varukoopiad on tegelikult lunavara-kindlad?“ Varukoopia, mida igaüks, kellel on administraatori õigused, saab kustutada, ei ole lunavara-kindel. Varukoopia, mille säilitamine sõltub tarkvarapoliitikast, ei ole lunavara-kindel. Tõeline vastupidavus lunavara rünnakutele eeldab, et varukoopia salvestuskiht tagab muutumatuse iseseisvalt – see tähendab, et salvestusruum ise lükkab kustutamisnõuded tagasi, sõltumata sellest, kes neid saadab.

Allpool toodud viis lahendust esindavad ettevõtete turul kõige usaldusväärsemaid lähenemisviise sellele probleemile. Igaüks neist pakub märkimisväärset kaitset varukoopiaid ründava lunavara vastu, kuigi need erinevad oluliselt selles, kuidas seda kaitset rakendatakse ja millised kompromissid sellega kaasnevad.

1. Object First Ootbi

„Object First Ootbi“ põhineb kontseptsioonil, mida nimetatakse absoluutseks muutumatuseks – see termin eristab Ootbi tegevust tavalisest muutumatust varundussalvestusest ja seda tasub täpselt mõista, sest see erinevus määrab, kuidas lahendus toimib, kui ründaja on juba haldusõigused enda kätte saanud.

Mida tähendab „absoluutne muutumatus“

Enamik varundussalvestusplatvorme pakub muutumatust poliitika tasandil: säilitamisseade annab süsteemile korralduse mitte kustutada objekte enne teatud kuupäeva. See toimib lihtsamate rünnakute vastu. Kuid sellel on oluline nõrkus – poliitika asub tarkvaras ja tarkvara saab ümber konfigureerida igaüks, kellel on piisavad õigused. Lunavara operaator, kes on kompromiteerinud salvestuse administraatori volitused, saab enamikel platvormidel lihtsalt muuta säilitamispoliitikat ja seejärel varundused kustutada.

Absoluutne muutumatus täidab selle lünga kolme sõltumatu jõustamistasandi abil, mis toimivad samaaegselt. Esimene on protokollitasandil vastavusrežiimis töötav S3 Object Lock – tööstusharu standardiks olev WORM-mehhanism, mis takistab objektide kustutamist või muutmist säilitamisperioodi jooksul. Teine on operatsioonisüsteemi tasandil juurkasutaja juurdepääsu blokeerimine: Ootbi operatsioonisüsteemis puudub juurkasutaja shell, mis tähendab, et isegi administraatori volitustega pole võimalik säilitamispoliitikat tarkvara kaudu ümber kirjutada. Kolmas on riistvaraga lukustatud püsivara: püsivara ise on allkirjastatud ja pitseeritud, blokeerides igasuguseid muudatusi, mis võiksid kaasa tuua mööndusmehhanismi. Need kolm kihti on sõltumatud – ühe ohustamine ei ohusta teisi. Absoluutne muutumatus tähendab, et ükski tarkvaratoiming, olenemata selle taga olevatest volitustest, ei saa säilitusperioodi jooksul varukoopiaandmeid kustutada. Ainus viis Ootbi varukoopia hävitamiseks on riistvara füüsiline hävitamine.

Ootbi on ainus spetsiaalselt Veeam-keskkondadele loodud muutumatu varundusseade. See tarnitakse 2U-seadmena (18 TB sõlme kohta, klastritav kuni 1,7 PB), omab täielikku Veeam Ready sertifikaadipaketti (Object, Repository, SOSAPI, IAM STS) ning ZTDR (Zero Trust Data Resilience) sertifikaati – mis kinnitab varundusrakenduse kihi ja salvestuskihi füüsilist ja loogilist eraldatust. Seadistamine võtab aega umbes 15 minutit.

2026. aasta Storage Awards auhinnatseremoonial võitis Ootbi nii „Aasta ettevõtte varundusriistvara tarnija“ kui ka „Aasta lunavaraettevõte“ tiitli – viimane otsustati Ühendkuningriigi tehnoloogiaühenduse avaliku hääletuse teel. „Lunavaraohud arenevad pidevalt edasi ja organisatsioonid seavad üha enam prioriteediks meie turvalise, täiesti muutumatu varundussalvestuse kui oma kübervastupidavuse strateegia vajaliku komponendi,“ ütles Object Firsti ülemaailmse müügi asepresident Daniel Fried.

Miks see on ransomware’i-kindel

• Absoluutne muutmatus: kolm sõltumatut turvatasandit (vastavus S3 Object Lock standardile, operatsioonisüsteemi juurblokeering, riistvaraliselt lukustatud püsivara)

• Puudub tarkvaraga juurdepääsetav ümberkirjutamise võimalus – administraatori autentimisandmete rikkumine ei võimalda varukoopia kustutamist

• Täielik Veeam Ready sertifitseerimispakett + ZTDR-sertifitseeritud

Sobib kõige paremini: Veeam-keskkondadele, mis nõuavad kõrgeimat taset riistvarapõhist ransomware-kaitset

2. ExaGrid

ExaGrid kaitseb varundusandmeid mitmetasandilise arhitektuuri abil, millel on võrgust eraldatud muutumatu tsoon. Sissetulevad varundusandmed jõuavad kiireks taastamiseks jõudlusoptimeeritud maandumistsooni. Pärast konfigureeritavat viivitust liiguvad andmed säilitusaeg-lukustuse tasandile – võrgust eraldatud tsooni, mis muutub säilitusaegade jooksul ainult lugemiseks mõeldud ja võrgust kättesaamatuks.

Lunavara-kaitse väärtus peitub võrgust eraldatuses: isegi kui ründaja suudab täielikult kompromiteerida varundusrakenduse serveri ja salvestusruumi administraatori konto, ei ole „Retention Time-Lock“-kiht lukustamisperioodi jooksul võrgust kättesaadav. Lunavara, mille eesmärk on varundusandmete kustutamine salvestussüsteemis autentimise teel, ei pääse lihtsalt lukustatud kihini.

ExaGrid töötab koos kõigi peamiste varundusplatvormidega – Veeam, Commvault, Veritas NetBackup, Dell EMC NetWorker –, mis teeb sellest tugeva valiku ettevõtetele, kes kasutavad segavarunduskeskkondi. Sisseehitatud dubleerimise vältimise mootor vähendab märkimisväärselt pika säilitamisajaga poliitikate puhul vajalikku salvestusruumi.

Miks see on lunavara-vastane

• Võrgust isoleeritud säilitusaeg-lukustuse kiht — säilitamisperioodi jooksul võrgust kättesaamatu

• Rakendusest sõltumatu: toetatakse Veeamit, Commvaulti, Veritast ja NetWorkerit

• Sisseehitatud dubleerimise vältimine vähendab pikaajalise salvestamise ruumivajadust

Sobib kõige paremini: mitme rakendusega ettevõttekeskkondadele, mis vajavad võrgust isoleeritud muutumatut varukoopiat koos dubleerimise vältimisega

3. Cloudian HyperStore

Cloudian HyperStore on ettevõttele mõeldud S3-ühilduv objektide salvestusplatvorm, mis rakendab S3 Object Locki nii vastavus- kui ka juhtimisrežiimis. Vastavusrežiimis ei saa ükski kasutaja – sealhulgas salvestusadministraator – säilitamisperioodi lühendada ega tühistada, mis välistab riski, et lunavara-rünnaku korraldaja kasutaks kompromiteeritud administraatori volitusi varundusobjektide kustutamiseks.

HyperStore on mõeldud petabaitide suurusjärgus rakendustele ja omab kindlat vastavusrekordit: seda tunnustatakse SEC 17a-4(f) WORM-salvestuse juhistes, mis teeb selle eriti asjakohaseks finantsteenuste ja tervishoiuettevõtetele, kus regulatiivsed andmete säilitamise nõuded kattuvad lunavara-kaitsenõuetega. Mitme kasutaja toetamine ja QoS-kontrollid võimaldavad suurtel organisatsioonidel hallata mitme äriüksuse varundussalvestust ühelt platvormilt.

Kasutuselevõtt toimub tarkvarapõhiselt Cloudiani sertifitseeritud riistvaral või olemasolevatel serveritel. HyperStore toetab kustutuskodeerimist ja mitme asukoha vahelist replikatsiooni, tagades asukohtade vahel ühtse Object Locki semantikaga.

Miks see on lunavara-vastane

• S3 Object Locki vastavusrežiim: administraatori volitused ei saa säilitamisperioodi tühistada

• Vastavus regulatsioonidele: tunnustatud SEC 17a-4(f) WORM-juhistes

• Petabaitide mahuga, mitme kasutaja toetusega, QoS-iga ja mitme asukoha vahelise replikatsiooniga

Sobib kõige paremini: suurtele ettevõtetele ja reguleeritud tööstusharudele, kes vajavad petabaitide mahuga muutumatut objektide salvestusruumi koos vastavusnõuetele vastavate sertifikaatidega

4. StoneFly

StoneFly pakub spetsiaalselt loodud lunavara-kindlat varundusruumi, mis ühendab muutumatuid hetktõmmiseid, õhupilu-võimalust ja mitmekihilisi juurdepääsukontrolle. Nende varundusseadmed – sealhulgas DR365V-seeria – on loodud pakkuma isoleeritud ja tugevdatud sihtmärki ettevõtte varundusandmetele, millel on sisseehitatud kaitsemehhanismid lunavara poolt põhjustatud varundusandmete kustutamise vastu.

Peamine kaitsemehhanism on muutumatud hetktõmmised konfigureeritavate lukustusperioodidega: kui hetktõmmis on tehtud ja lukustatud, ei saa seda kustutada ega muuta enne säilitusperioodi lõppu, sõltumata administraatori volitustest. StoneFly täiendab seda valikuliste õhupilu konfiguratsioonidega, mis isoleerivad varundushoidla füüsiliselt võrgust pärast iga varundustöö lõppu – kõrvaldades täielikult võrgupõhised rünnakuvektorid.

StoneFly seadmed toetavad nii kohapealset kasutuselevõttu kui ka hübriidkonfiguratsioone, mis hõlmavad pilvega ühendatud varundamist AWS-i, Azure’i või Google Cloudi. Integreerimine Veeamiga, Commvaultiga ja Veritasega võimaldab ettevõtetel kasutada StoneFlyd tugevdatud sekundaarse varunduskohtana olemasolevates töövoogudes.

Miks see on ransomware'i-kindel

• Muutumatud hetktõmmised konfigureeritavate lukustusperioodidega

• Valikuline air-gap-režiim, mis isoleerib andmehoidla füüsiliselt pärast iga varundustööd

• Hübriidne tugi: kohapealne seade koos pilvega ühendatud andmehoidlaga AWS-is, Azure’is või GCP-s

Sobib kõige paremini: ettevõtetele, kes soovivad õhupilu funktsionaalsust koos muutumatute hetktõmmiste ja pilvevarunduse paindlikkusega

5. Pure Storage SafeMode'i hetktõmmised

Pure Storage SafeMode pakub lunavara kaitset organisatsioonidele, kes juba kasutavad Pure FlashArray või FlashBlade'i esmasena salvestuslahendusena. See muudab mahu hetktõmmised kustutamiskindlaks, nõudes tarnija autoriseerimist enne, kui mis tahes SafeMode'iga kaitstud hetktõmmist saab lõplikult kustutada – kehtestades kohustusliku viivituse ja väljaspool süsteemi toimuva inimese poolt teostatava kontrolli, mis katkestab automatiseeritud lunavara rünnakute skeemid.

Selle mehhanismi arhitektuur erineb S3 Object Lockist või võrguisolatsioonist. SafeMode ei tugine protokollitasandi säilitamispoliitikale, mida ründaja võiks kuidagi muuta. Selle asemel nõuab kustutamine Pure Storage’i tugiteenistusega ühenduse võtmist, kes kontrollib taotlust eraldi autentimiskanali kaudu enne kustutamise lubamist. Isegi ründaja, kellel on salvestusmassiivi täielikud administraatori volitused, ei saa SafeMode’i hetktõmmiseid kustutada ilma Pure’i sekkumiseta – see ongi peamine ransomware’i kaitse omadus.

SafeMode’i võib kõige paremini mõista kui Pure’i omakeskkonnale mõeldud hetktõmmistega ransomware’i kaitset, mitte iseseisvat varundushoidlat. Pure’i esmase salvestusruumi kasutavad organisatsioonid saavad tõhusa ransomware’i kaitse ilma täiendava riistvara või eraldi varunduskohtade kasutuselevõtuta.

Miks see on ransomware'i-kindel

• Tarnija poolt volitatud andmete kustutamine — hetktõmmiste kustutamine nõuab Pure Storage'i eraldi heakskiitu

• Kaitseb FlashArray ja FlashBlade seadmeid ilma täiendava riistvara vajaduseta

• Katkestab automatiseeritud lunavara kustutamise protsessid kohustusliku inimese poolt teostatava kontrolli abil

Sobib kõige paremini: Pure Storage’i keskkondadele, mis vajavad lunavara-kindlat snapshot-kaitset ilma täiendava varundusriistvarata

Mis teeb varundusmälust tegelikult lunavara-kindla?

Mõistet „lunavara-kindel“ kasutatakse tarnijate turunduses laialt. On kolm konkreetset kriteeriumi, mis eristavad tõeliselt lunavara-vastast varundusmälust platvorme, mis on lihtsalt tugevdatud lihtsate rünnakute vastu.

1. Kas säilitamispoliitikat saab muuta administraatori volitustega?

Kui administraator, kellel on täielikud salvestusõigused, saab säilitamispiirangut lühendada või eemaldada, siis võib lunavara, mis on need andmed kätte saanud, varukoopiaid kustutada. S3 Object Locki vastavusrežiim ja riistvaratasandi kontrollid lahendavad selle probleemi; juhtimisrežiimi poliitikad ja ainult tarkvarapõhised säilitamisseaded seda aga ei tee.

2. Kas varundushoidlast on juurdepääs varundusrakenduse serverist?

ZTDR ja sarnased raamistikud nõuavad varundusrakenduse kihi ja salvestuskihi eraldamist. Kui ründaja murrab sisse varundusserverisse, ei tohiks tal olla võimalik kasutada selle serveri volitusi varundussalvestusele otse juurdepääsuks. Seda probleemi lahendavad nii võrgu isolatsioon kui ka haldustasandi eraldamine.

3. Kas on olemas tarkvaraga juurdepääsetav ümberkirjutamismehhanism?

Mõned platvormid sisaldavad „break glass“ mehhanisme – halduslikke ümberkirjutamisi, mis on mõeldud õiguspäraste taastamissituatsioonide jaoks. Need on lunavara rünnakupinnad. Kõige tugevamad lunavarakindlad salvestusplatvormid kas kõrvaldavad need ümberkirjutamised täielikult (nagu teeb Ootbi riistvaraga lukustatud püsivara ja juurkasutaja shelli puudumisega) või viivad ümberkirjutamise täielikult väljapoole süsteemi (nagu teeb Pure Storage SafeMode tootja poolt autoriseeritud kustutamisega).

Õige lahenduse valimine

Veeam-põhiste keskkondade jaoks, mis vajavad võimalikult tugevat riistvarapõhist kaitset, seab Ootbi lahendus „Absolute Immutability“ – kolm sõltumatut jõustamiskihte, millel puudub tarkvaraline ümberkirjutamise võimalus – selles kategoorias uue standardi. ExaGrid on õige valik mitme rakendusega ettevõtetele, kes vajavad võrgust isoleeritud muutumatust koos dubleerimise vähendamisest tuleneva kokkuhoiuga. Cloudian HyperStore sobib suuremahulistesse keskkondadesse reguleeritud tööstusharudes, kus vastavusnõuete täitmise ajalugu on sama oluline kui petabaitide suurusega mahutavus. StoneFly pakub suurimat paindlikkust organisatsioonidele, kes vajavad konfigureeritavat õhupilu-võimalust koos pilvevarundusega. Pure Storage SafeMode on praktiline lahendus ettevõtetele, kes juba kasutavad Pure esmast salvestusruumi ja soovivad tõhusat kaitset lunavara vastu ilma täiendavate riistvarainvesteeringuteta.

Põhinõue on ühesugune: lunavara-kindel varundusmäluseade peab tagama muutumatuse tasandil, milleni ründaja ei pääse ligi isegi kompromiteeritud kasutajatunnustega. Iga tarnijale esitatav küsimus on lihtne – kui ma annan teile kohe administraatori kasutajatunnused, mis takistab mind kustutamast tund aega tagasi loodud varukoopiat?