HPE-sikkerhedsfunktioner du måske ikke kender
IT-sikkerhed bliver ofte forbundet med firewall, netværk og endpoint-beskyttelse. Men i mange cyberangreb går angriberne efter snapshots og backupper, før systemerne krypteres.
For få år siden var der en dansk ransomware-hændelse, hvor en hostingudbyder mistede store mængder kundedata, da systemerne blev krypteret, og angriberne også målrettede angrebet mod backup-miljøet. Hvis muligheden for gendannelse forsvinder, bliver selv et begrænset angreb hurtigt forretningskritisk.
HPE har i flere år arbejdet med at beskytte data i flere lag: direkte på storage, i backup og i offline-kopier.
Her er tre mindre kendte sikkerhedsfunktioner i HPE-porteføljen, som alle har samme formål, nemlig at sikre, at man stadig kan komme tilbage i drift, selv når miljøet er kompromitteret.
Immutable og Virtual Lock med Veeam og HPE
En af de mest oversete sikkerhedsfunktioner hos HPE er i selve storage-platformen. På flere HPE-platforme kan snapshots låses med funktionen Virtual Lock. Når et snapshot er låst, kan det hverken ændres eller slettes, heller ikke af administratorer før den fastsatte retention udløber.
Det er ikke det samme som Immutable backups fra Veeam. Forskellen er: Traditionel Veeam immutability beskytter backupfilerne, men Virtual Lock beskytter selve produktionsdataene. Hvis en angriber får adgang til både Active Directory, hypervisor og backupserver, vil de normalt forsøge at slette snapshots først. Her forhindrer storage-platformen simpelthen handlingen. Det betyder, at man kan rulle systemer tilbage til et kendt rent tidspunkt på få minutter, uden først at skulle genopbygge hele miljøet fra backuppen.
Virtual Lock ligger i HPE’s enterprise SAN-arkitektur
- HPE Alletra 9000
- HPE Alletra Storage MP B10000
- HPE Primera
- HPE 3PAR StoreServ
Veeam arbejder direkte med disse arrays via HPE’s storage-API til snapshots
Offline-kopier der ikke kan nås: HPE MSL Vault Partition
Et andet lige så overset sikkerhedslag ligger længere væk fra produktionen. På HPE MSL-tape-biblioteker findes funktionen Vault Partition. Her kan man oprette en separat partition i biblioteket, som fungerer som et isoleret opbevaringsområde for bånd.
Når bånd flyttes til en Vault Partition, er de ikke længere tilgængelige for backupserveren, selvom den stadig er forbundet til biblioteket. Fra systemets perspektiv svarer det til, at båndene er taget ud og lagt i et pengeskab. Backupjob kan derfor ikke overskrive eller slette dem, og ransomware kan heller ikke nå dem via netværket.
Det gør tape relevant igen i en sikkerhedssammenhæng. I modsætning til disk-baseret backup er der her tale om et fysisk adskilt lag ofte kaldet et “air-gap”. Formålet er ikke hurtig gendannelse, men at sikre en sidste, uberørt kopi, hvis både produktion, snapshots og disk-backup kompromitteres.
Vault Partition bruges typisk som sidste led i en gendannelsesstrategi: Først forsøger man rollback via snapshots, derefter backup og kun i værste fald gendannelse fra offline-kopien.
Kontinuerlig drift og dataflytning: Zerto
Zerto er HPE’s platform til disaster recovery og er ikke en klassisk backupløsning. I stedet for at tage periodiske kopier replikeres ændringer i virtuelle maskiner løbende til et sekundært miljø. Det gør det muligt at rulle systemer tilbage til et meget præcist tidspunkt, ofte få sekunder før en hændelse, og starte dem op igen næsten med det samme.
Platformen bruges derfor ikke kun ved egentlige katastrofer. Den anvendes også ved planlagt vedligeholdelse, hvor workloads midlertidigt flyttes under opgraderinger, samt til test af beredskab uden at påvirke produktionen. Fordi der opretholdes en historik over ændringer, kan man også rulle tilbage efter fejl, f.eks. hvis en opdatering eller integration påvirker data.
Kontinuerlig replikering gør, at løsningen er velegnet til at flytte større datamængder og virtuelle maskiner mellem miljøer. En fuld kopi oprettes i baggrunden, hvorefter kun ændringer overføres. Selve overflytningen bliver derfor en kort synkronisering, og nedetiden begrænses typisk til få minutter.
I forbindelse med HPE Discover i december 2025 blev support af HPE VM Essentials annonceret. Det en meget lav RPO (Recovery Point Objective), fordi ændringer kopieres løbende, og en kort RTO (Recovery Time Objective), da systemer kan startes op på et sekundært miljø i stedet for først at skulle gendannes fra backup.
Ser man på de tre sikkerhedsfunktioner, der er nævnt i denne artikel, adresserer de ikke selve angrebet og indtrængningen, men hvad der sker bagefter. Virtual Lock beskytter de aktive data, backup og offline-kopier sørger for at data kan genskabes, og kontinuerlig replikering gør det muligt hurtigt at få systemerne i drift igen.
