Кибератака на Beget уничтожила данные VPS, S3 и Kubernetes. Что удалось восстановить
Хостинг-провайдер Beget уже третий день восстанавливает инфраструктуру после кибератаки в ночь на 2 ноября. Злоумышленники проникли в систему управления серверами и запустили скрипты уничтожения данных. В результате компания потеряла данные VPS, S3 и Kubernetes, а также все бинарные резервные копии виртуальных машин. Файловые бэкапы сохранились, но воспользоваться ими пока нельзя. Сначала нужно восстановить инфраструктуру, через которую предоставляется доступ к копиям.
Еще 2 ноября, когда IT-World сообщал о масштабном сбое, причины происходящего оставались неизвестными. Теперь Beget подтвердил кибератаку и раскрыл ее последствия. Причем проблемы затронули не только работающие серверы, но и систему резервного копирования.
Что произошло и что удалось восстановить
По хронологии Beget, атака предположительно началась около 02:00. В 02:30 злоумышленники запустили вредоносное ПО для удаления данных, в 02:40 специалисты обнаружили проникновение, а в 02:55 отключили серверы от сети.
Между предполагаемым началом атаки и ее обнаружением прошло около 40 минут. За это время злоумышленники успели запустить уничтожение данных сразу в нескольких облачных сервисах. Получив доступ к системе управления, они смогли атаковать не отдельные серверы, а сразу несколько сервисов провайдера.
Как именно злоумышленники проникли в систему и какие права получили, Beget пока не раскрывает. Неизвестно и то, сколько времени они находились внутри до начала уничтожения данных.
В официальном сообщении компания подтвердила потерю данных VPS, S3 и Kubernetes, бинарных резервных копий виртуальных серверов, настроек CDN и IP. При этом файловые резервные копии VPS сохранились.
Восстановление идет постепенно. Еще 2 ноября заработали выделенные серверы без администрирования Beget. Позже восстановили DNS, управление доменами и большую часть почтовых сервисов. К 4 ноября начали возвращать в работу сайты виртуального хостинга. Правда, сначала каждый сервер проверяют на следы взлома и вредоносные программы. Всего их более тысячи.
Beget рассчитывает восстановить почти 100% сайтов виртуального хостинга. С VPS, S3 и Kubernetes все сложнее. Сколько данных удастся вернуть и когда заработают эти сервисы, пока неизвестно.
Почему резервные копии не спасли
По документации Beget, файловые резервные копии VPS хранятся на отдельных серверах в другом дата-центре. Они пережили атаку. А вот бинарные копии виртуальных машин были уничтожены. Где они находились и как злоумышленники получили к ним доступ, компания пока не объяснила.
Из бинарной копии можно восстановить сервер целиком, вместе с операционной системой, программами и настройками. Файловая копия позволяет вернуть данные, но сам сервер придется настраивать заново. И не факт, что все приложения после этого заработают.
Причем Beget сам предупреждает, что файловые копии не гарантируют восстановления баз данных. Для них нужны отдельные инструменты резервирования. Поэтому даже если файлы сохранились, вернуть сервер в прежнее состояние может не получиться. Операционную систему и приложения придется настраивать заново, а часть данных может оказаться потеряна.
С хранилищем S3 вопросов еще больше. Beget обещал тройную репликацию данных, но после атаки сообщил об их потере. Получается, не помогли даже три копии.
Правда, репликация защищает прежде всего от поломки оборудования, а не от удаления данных. Если злоумышленники получили доступ к управлению хранилищем, они могли удалить сразу все реплики. Но произошло ли именно это, неизвестно. Beget пока не объяснил, как были устроены хранение и защита данных S3 и почему они не выдержали атаку.
Но даже сохранившиеся файловые копии VPS клиенты пока не могут получить. Beget сначала должен восстановить доступ к резервному хранилищу. Поэтому перенести данные к другому провайдеру сейчас не получится. Копии есть, но воспользоваться ими нельзя.
Кто заплатит за потерянные данные
Последствия атаки почувствовали не только владельцы сайтов и серверов. Например, клиенты каршеринга BelkaCar из-за сбоя Beget не могли завершить аренду автомобилей. Во второй половине 2 ноября сервис восстановил работу, переключившись на другого подрядчика.
Но быстро сменить провайдера могут не все. Если собственных резервных копий нет, а данные остались в недоступном облаке, переносить к другому поставщику попросту нечего.
А кто возместит убытки? В SLA Beget заявлена доступность облачных услуг на уровне 99,98%. Предусмотрена и компенсация за безвозвратную потерю данных. Например, если причиной стал взлом сервера, который администрирует Beget, клиент может рассчитывать на возмещение стоимости 30 суток обслуживания.
Правда, общая ответственность провайдера ограничена стоимостью услуг за последние три месяца. Причем компенсацию могут предоставить бонусами или продлением обслуживания. Для компании, которая потеряла клиентскую базу или несколько дней не могла обслуживать заказчиков, такая выплата вряд ли покроет реальные убытки.
К тому же Beget уже уведомил клиентов о возможном форс-мажоре. В SLA действительно предусмотрены исключения для обстоятельств, которые провайдер не мог предвидеть или предотвратить. Среди примеров названы DDoS-атаки. Но здесь злоумышленники не просто нарушили доступность сервисов, а проникли в систему управления и уничтожили данные. Можно ли считать такую атаку форс-мажором, зависит в том числе от того, какие меры защиты принимал Beget.
Пока провайдер не объяснил, как намерен компенсировать потери клиентов и что будет с данными, которые восстановить не удастся.
Причем запуск серверов еще не означает, что все вернется на свои места. Beget рассчитывает восстановить почти все сайты виртуального хостинга, но с VPS, S3 и Kubernetes определенности нет. И главный вопрос для клиентов сейчас даже не в сроках восстановления сервисов. Сколько их данных действительно сохранилось и смогут ли они вернуть свои системы в рабочее состояние?
