FirstDedic + ISP + моя глупость или как я потерял свой бизнес

Прочитав топег, я внезапно осознал, что хотя я и делаю постоянно бэкап по FTP, это меня не защищает ни от чего (хорошо хоть локальные бэкапы есть).

Т.к. слоумышленник запросто сотрет все бэкапы, включая FTP, если получит доступ. Раз уж появились какие-то злодейские хакеры, которые не спам рассылают и не ссылки вставляют, а всё стирают и делают реинсталл ОС (!) :-/

(Конечно, если в этой истории был злоумышленник и это не просто косяк тех.поддержки).

делайте бэкапы "от обратного" , т.е. не с рабочего сервера посылайте в хранилище, а с хранилища цепляйтесь к рабочему и скачивайте. тогда, если взломают рут на рабочем, то в хранилище не проникнут.

Спасибо за эту идею! Пока обдумываю, как это сделать. Судя по всему, не простая задача. Есть какая-то программа, которая может так делать, или всё вручную?

dlyanachalas, неправильно поняли. Я не хостер, клиентов у меня нет кроме компании, где админую не первый год.

LineHost, Уже 7 лет как не дилетант. С тех пор, как стал админить в компании. На своём дедике настроил бэкап всех данных каждый день на FTP-сервер.

PS: "Несите ваши бэкапы! У Вас же есть бэкапы?"

1. Делается sftp-only account на сервере http://solderintheveins.co.uk/2011/03/ubuntu-sftp-only-account-how-to/

2. Все бекапы складываются в его директорию в зашифрованном виде.

2. Бекап-хостинг - это должен быть vps или dedicated, по крону периодически забирает к себе бекапы.

Логиниться на сервер он должен через ssh без пароля.

Места должно быть с запасом, чтобы при копировании файлов не затирать предыдущую версию.

Эм.. а отличия-то по сути нет.

- делаем бэкап "обычным" способом (mysqldump|xtrabackup итд + gzip файлов итд), подключаемся с удалённого сервера и забираем архивы.

Сам скрипт создания бэкапов располагаем на основном сервере, а запускаем его, по крону при помощи scp с резервного.. следующей строчкой (когда бэкап готов, или, как вариант, произошла ошибка) - качаем бэкап к себе.. или обрабатываем ошибку

Или просто rsync-ом скачивать файлы к себе и архивировать при необходимости.

А можно просто на удаленном хранилище, по триггеру завершения бэкапа менять владельца файлов, и оставлять права только на чтение = )

Ну и уборку устаревших копий, тоже на той стороне делать.

Romka_Kharkov,

Так ведь услуга оплачивается непосредственно после ее оказания, брать деньги на услугу, которая якобы будет оказываться в течении 100 лет - незаконно.

это сверхлегко, если на сервере есть ssh , и локальный (бекапный) сервер тоже не винда.

у меня так локальный комп с дебианом, коннестится по ssh к серверу, запускает там архивирование (tar), потом копирует на локалку (scp), и можно не бояться никаких злоумышленников.

Я за всё свою практику встречался наверно три раза, когда взломщик после взлома сервера запускал rm -f .... это было с IP .hu и .ro. Эти странны у меня часто в бане. .ua IP не такие злостные, чаще всего с .ua заказываются сервера для взлома paypal, креедитных карт. Ничего личного, это просто моя статистика ;)

Я не верю, что взломщик запускал бы реинстал, даже для "хохмы", как это называется правильно. Нафик ему это нужно, так как если серьёзно занятся, по IP мобильного оператора можно точно определить кто подключался и самое лёгкое наказание за такое может быть обильные синяки на разных участках тела, не говорю об уголовной ответсвенности. А если уж заболеть параноей, то поможет:

/usr/bin/rsync -avx --timeout=30 --delete-excluded username@хост.сервера.с.которого.делается.бэкап:/путь/папка/ Backup/локальная-папка-куда-будет-записанна-копия/

Пичкать в tar и качать гигабайты ежедневно нерозумно, а зжымать в *.tar.gz вобще нелогично, так как в некоторых случаях (много файлов) рабочий сервер будет постоянно делать бэкапы и тормозить ...

Мне это версия более вероятна (косяк)...

---------- Добавлено 20.08.2013 в 18:08 ----------

Админы делятся на две групы:

1. Те которые делают бэкапы.

2. Те которые уже делают бэкапы.

Из практики могу сказать, что для 1 категории часто бэкапы не помогают...

Вобщем бэкап очень щепетильное, ресурсоемкое дело... и даже в случае настроенной автоматики, стоит иногда проверить всё вручную ;)