Бэкапы нужны по любому. Причем, в нескольких местах.
У нас на SQL-сервере для всех баз имеются резервные копии. Для одних по простой модели, для других — по полной. На том же сервере на отдельном RAID-1 из 2-х HDD + HotSpare HDD (не SDD). Это на случай, если кто-то из бухгалтеров накосячит так, что проще будет всю БД восстановить на полчаса/час назад, чем его проводку откатывать.
Но периодически эти резервные копии сливаются по ВОЛС на отдельно стоящее хранилище на другой территории (метров за 300 от основной). Вернее, не на него сливается, а он сам стягивает их по FTP. Тому как закрыт файерволлом так, что достучаться к нему с этой стороны совсем невозможно.
Срок хранения этих удаленных копий — от 2-х до 4-х недель.
Следующий момент — будем думать еще о периодическом сливе дополнительных копий куда-нибудь в облако.
RAID — это не вопрос сохранности данных. Это вопрос отказоустойчивости. Для снижения вероятности ситуации, когда сервер придется полностью отключать на время восстановления информации из копий.
Ну и контроль S.M.A.R.T. отдельных физических дисков помогает повысить эту отказоустойчивость. Принять меры по замене дисков, когда только возникают первые признаки их деградации, а не ждать аларма при деградации всего массива.
Ну мы тоже сейчас предпочитаем форки LSI. Хотя бы из-за удобства пользования RAID-менеджером.
А HighPoint тоже весьма известный производитель хранилищ данных и контроллеров. И на более новых моделях у них поудобнее все продумано. Но мы этот сервер приобрели еще лет 12 назад. Недавно последний HDD из начальной поставки заменили — как раз по S.M.A.R.T. определили, что сыпаться начинает.
В том же HighPoint RocketRAID нет нативных средств для работы со S.M.A.R.T. Посмотреть значения параметров в гуёвом интерфейсе можно, но даже скопировать их оттуда нельзя, не говоря об автоматической обработке.
Отсутствует возможность их получения и сторонней утилитой:
Легко сказать «мониторить»… вывод S.M.A.R.T-параметров отдельных дисков из RAID в гуёвый интерфейс встречал только у RocketRAID-контроллера. И то приходится их мониторить в ручном режиме — автоматический аларм по падению значений у него не предусмотрен. У других RAID-контроллеров можно найти CLI-утилиты для этих целей. Но пользоваться ими реально неудобно.
Читал рекомендацию для RAID-1 использовать SSD разных производителей или хотя бы из разных партий с разными прошивками. Тогда шанс одновременного выхода обоих дисков из строя существенно снижается.
У нас большая часть проблем была связана с Vertex OCZ 4. Работает себе нормально и вдруг отваливается. Вынешь его, на стенде потестишь — нормальный. Ставишь обратно — опять работает.
С заменой Вертексов на Кингстоны и Самсунги проблемы пропали. Да и AData по сравнению с Вертексами вполне нормально работают.
А один Вертекс упорно не видится ни одним RAID-контроллером. Т.е. он прекрасно работает, подключенным к SATA-разъему, а встроенными в мамки или отдельными SAS-контроллерами совсем не воспринимается. И так с самого изнова.
Но этот роман в свою очередь лишь художественная форма идеи, выраженная им в различных произведениях.
Идею самоорганизующегося роя нанороботов он высказывал в «Кибериаде» (разумная пыль) и в какой-то публицистике. Возможно, что в «Сумме технологии» — сейчас уже не упомню.
Ну я то как раз в «определенном перечне» и работаю :)
В самом ФЗ-187 про обязательное информирование напрямую не сказано. Но после регистрации во ФСТЭК в качестве объекта КИИ будет обязан сообщать о всех компьютерных инцидентах в оговоренные сроки:
Не очень… Я думал будут примеры обнаруженных крипто-взломов в количестве больше одного, обзор законодательств на этот случай, перечислены реальные судебные дела.
Сфера деятельности — муниципальная РСО. По типу финансирования — коммерческая (не бюджетная и не казенная, упаси Оже) контора. Город и область тоже участвуют в финансировании, но не как бюджетодержатели, а как инвесторы под конкретные целевые программы. Т.е. являются заказчиками и соинвесторами. И эти инвестиции мы расходуем максимально прозрачно и подотчетно!
Т.е. по определению мы подпадаем под 223-ФЗ. Под 223-ФЗ, Карл, под 223!!! Но не под 44-ФЗ.
Но нас волюнтаристски заставили 2 года назад работать по 44-ФЗ. Хотя формально мы не должны этого делать. Но плетью обух перебить сложно. Тем более, что настоящая подоплека этого решения — создать нам невыносимые условия с целью заставить нас акционироваться (разумеется, с КП принадлежащим не нам) и затем растащить по лакомым кусочкам, оставив нам только убыточную и убитую инфраструктуру. Основные бенефициары такого дележа уже известны давно. Мы отбивались как могли, теперь они действуют «законными» методами.
2 года мы бодались с этой ситуацией, наконец доказали, что мы должны работать по 223-ФЗ. Нас с НГ возвращают на него. Только вот 223-ФЗ тоже изменился за это время в разные стороны. В том числе ужесточились требования к описанию объекта закупки. Раньше можно было по 223-ФЗ указывать конкретную марку/модель. Теперь только «или эквивалент» с перечислением критериев эквивалентности — как в 44-ФЗ.
Но это только пол-дела. Есть такой подзаконный документ, который называется «Положение о закупках». Принимается на уровне министерств и ведомств. И для нас он устанавливает вообще дичайшие ограничения. Я почитал «ПоЗ» для Росатома, так они по 44-ФЗ работают гораздо в более комфортных условиях, чем мы по 223-ФЗ. Все по той же причине — их регулируют, а нас — гнобят.
Можно наверно сделать изолированную частную сеть, с «серыми» адресами вида 10.x.x.x и тогда при смене провайдера он сможет вам их сохранить неизменными. Я не знаю, как это технически делается, отдельный VLAN наверно или как-то так.
Не знаете — спросите меня — как :) Но не надо заниматься инсинуациями и спекуляциями в малоизвестной Вам области ;)
VLAN будет действовать только в пределах сети одного провайдера. Т.е. он должен на своем оконечном оборудовании настроить определенные VIDы (VLAN ID). И то, если он поддерживает такую услугу, как выделенный КПД. У нас несколько объектов в других концах города или в других населенных пунктах соединены с основной конторой как раз VLANами через разных провайдеров. Но это именно КПД, а не Интернет. Интернет в данном случае как раз не при чем.
Можно сделать туннель по VPN. В этом случае два конца этого туннеля не обязаны быть привязаны к одному провайдеру. Но в этом случае:
а) должна стоять аппаратура с поддержкой VPN на обоих концах, а это лишние затраты на приобретение такого оборудования. Не все промышленные модемы отвечают такому требованию.
b) открытые интерфейсы VPN-канала все равно привязаны к FDNS/IP другой стороны. В случае внезапной смены IP они просто не успеют перенастроиться. Хотя, это можно будет сделать в ручном режиме и быстрее, чем ездить и перенастраивать контроллеры, но все вместе получается дороже.
Т.е. сеть с «серыми» IP не может просто так сама по себе существовать и состоять из нескольких не связанных между собой сетевых сайтов. Либо связность обеспечивает провайдер предоставлением КПД по VLAN, либо настраиваем сами VPN. Но во втором случае мы все равно зависим от IP. И при его смене нельзя гарантировать быстрое восстановление каналов. Во всяком случае, речь идет о перерывах в передаче телеметрии до несколько суток или хотя бы часов, но никак не на 10-15 минут. А это недопустимо от слов «не обсуждается».
Но есть несколько десятков объектов, которые передают телеметрию как раз через Интернет по GSM/GPRS-каналам на ближайшую или в центральную диспетчерскую. И они расположены либо в чистом поле, либо вообще в таких местах, где никаких провайдеров нет и лет 20 еще не будет. Поэтому GSM/GPRS — единственный вариант. Ну, если не считать радиосвязь на закрытых частотах, лицензию на которую получить еще тот квест.
Так вот, на таких объектах GSM/GPRS-модемы просто по указанному в них IP подключаются и сбрасывают информацию. Причем, большинство из них не умеют работать по FDNS — только по IP. А даже если умеют, то при смене IP он не мгновенно распространяется по всей системе DNS, а в среднем в течение суток.
Мы пробовали использовать аппаратуру с поддержкой DDNS. К сожалению, на поддержание DDNS тратится столько трафика, что лимит 2 GB улетает за несколько дней (хотя без DDNS его хватало на месяц с запасом). А следующий лимит стоит столько, что просто финансово не выгодно на него переводить.
В общем, возможно всё, но это требует неоправданно высоких затрат денег и времени. А мы, повторяю, коммерческая организация, и деньги считать тоже умеем.
И мы — не дураки тупые. Разные технические варианты были рассмотрены уже давным давно. Ничего подходящего найдено не было, позволяющего обеспечить бесперебойную работу в случае смены IP на центральной диспетчерской. Пришлось делать резервный канал. Платим за него около 25 тысяч в год. Почти не используем (только в случае проблем у основного провайдера), зато он постоянно поднят, резервные линии на удаленных объектах УЖЕ настроены на него и перейти на него в ручном режиме — дело 15 минут. А потом и автоматическое переключение сделаем.
Нетто? И что дальше? Высыпать тонер из каждого совместимого картриджа и взвешивать? А поставщик скажет, что мы все врем и весы у нас тоже врут.
Да кроме того ФАС может посчитать, что требование к весу является не существенным для эксплуатации. А вдруг их тонер наносится более тонким слоем и ...«Эмма Петровна! Достаточно половины дозы!»
В открытых источниках вес нетто тонера не публикуется. Запрашивать официально пытались… Но если условный Хьюит-Пахард еще можно надеяться, что сообщит вес тонера в оригинальных картриджах, то тот же условный Хунь-Янь совсем не факт, что честно напишет вес в совместимых. Если напишет вообще.
Бэкапы нужны по любому. Причем, в нескольких местах.
У нас на SQL-сервере для всех баз имеются резервные копии. Для одних по простой модели, для других — по полной. На том же сервере на отдельном RAID-1 из 2-х HDD + HotSpare HDD (не SDD). Это на случай, если кто-то из бухгалтеров накосячит так, что проще будет всю БД восстановить на полчаса/час назад, чем его проводку откатывать.
Но периодически эти резервные копии сливаются по ВОЛС на отдельно стоящее хранилище на другой территории (метров за 300 от основной). Вернее, не на него сливается, а он сам стягивает их по FTP. Тому как закрыт файерволлом так, что достучаться к нему с этой стороны совсем невозможно.
Срок хранения этих удаленных копий — от 2-х до 4-х недель.
Следующий момент — будем думать еще о периодическом сливе дополнительных копий куда-нибудь в облако.
RAID — это не вопрос сохранности данных. Это вопрос отказоустойчивости. Для снижения вероятности ситуации, когда сервер придется полностью отключать на время восстановления информации из копий.
Ну и контроль S.M.A.R.T. отдельных физических дисков помогает повысить эту отказоустойчивость. Принять меры по замене дисков, когда только возникают первые признаки их деградации, а не ждать аларма при деградации всего массива.
А HighPoint тоже весьма известный производитель хранилищ данных и контроллеров. И на более новых моделях у них поудобнее все продумано. Но мы этот сервер приобрели еще лет 12 назад. Недавно последний HDD из начальной поставки заменили — как раз по S.M.A.R.T. определили, что сыпаться начинает.
В том же HighPoint RocketRAID нет нативных средств для работы со S.M.A.R.T. Посмотреть значения параметров в гуёвом интерфейсе можно, но даже скопировать их оттуда нельзя, не говоря об автоматической обработке.
Отсутствует возможность их получения и сторонней утилитой:
https://www.smartmontools.org/wiki/Supported_RAID-Controllers
Вот и приходится периодически смотреть вручную. Но и это реально помогает обнаружить проблемы, которые еще не алармятся.
Легко сказать «мониторить»… вывод S.M.A.R.T-параметров отдельных дисков из RAID в гуёвый интерфейс встречал только у RocketRAID-контроллера. И то приходится их мониторить в ручном режиме — автоматический аларм по падению значений у него не предусмотрен. У других RAID-контроллеров можно найти CLI-утилиты для этих целей. Но пользоваться ими реально неудобно.
Для RAID-5 это допустимо, разумеется, тоже. Но найти для него, допустим, 6-7-8 дисков разных производителей или из разных партий уже проблематичнее.
С заменой Вертексов на Кингстоны и Самсунги проблемы пропали. Да и AData по сравнению с Вертексами вполне нормально работают.
А один Вертекс упорно не видится ни одним RAID-контроллером. Т.е. он прекрасно работает, подключенным к SATA-разъему, а встроенными в мамки или отдельными SAS-контроллерами совсем не воспринимается. И так с самого изнова.
Типа, управляемое ИИ тело имеет высокую координацию и быструю реакцию. Что в драке и поножовщине дает преимущества.
Ну а куда ж в киберпанке без хорошего мордобоя?
«Тихушники» (1992): https://www.kinopoisk.ru/film/2035/
Два раза смотрел. Думаю еще разок пересмотреть можно. Понастольгировать…
www.kinopoisk.ru/film/koder-2002-22324
Так вот… КО 4.0 зря сюда приплели. Тому как отстой мерзопакостный.
А вот «Кто я» и «Апгрейд» посмотреть интересно. И не предсказуемо.
Но этот роман в свою очередь лишь художественная форма идеи, выраженная им в различных произведениях.
Идею самоорганизующегося роя нанороботов он высказывал в «Кибериаде» (разумная пыль) и в какой-то публицистике. Возможно, что в «Сумме технологии» — сейчас уже не упомню.
Какие самоорганизуюшие принципы были в них заложены? Как происходила самоорганизация? Что в результате получилось?
В самом ФЗ-187 про обязательное информирование напрямую не сказано. Но после регистрации во ФСТЭК в качестве объекта КИИ будет обязан сообщать о всех компьютерных инцидентах в оговоренные сроки:
Операторов КИИ обяжут информировать ФСБ о кибератаках
Во всяком случае, наш безопасник в случае каждого взлома или зафиксированной атаки звонит в ФСБ.
У нас ФЗ-187 обязывает сообщать о факте взлома в контролирующие органы. Но вот обнародовать, действительно, никто не обязан.
Вот поэтому и хотелось бы узнать: где, как у кого и в каких случаях это все регулируется.
А так получилась вода-водой.
Т.е. по определению мы подпадаем под 223-ФЗ. Под 223-ФЗ, Карл, под 223!!! Но не под 44-ФЗ.
Но нас волюнтаристски заставили 2 года назад работать по 44-ФЗ. Хотя формально мы не должны этого делать. Но плетью обух перебить сложно. Тем более, что настоящая подоплека этого решения — создать нам невыносимые условия с целью заставить нас акционироваться (разумеется, с КП принадлежащим не нам) и затем растащить по лакомым кусочкам, оставив нам только убыточную и убитую инфраструктуру. Основные бенефициары такого дележа уже известны давно. Мы отбивались как могли, теперь они действуют «законными» методами.
2 года мы бодались с этой ситуацией, наконец доказали, что мы должны работать по 223-ФЗ. Нас с НГ возвращают на него. Только вот 223-ФЗ тоже изменился за это время в разные стороны. В том числе ужесточились требования к описанию объекта закупки. Раньше можно было по 223-ФЗ указывать конкретную марку/модель. Теперь только «или эквивалент» с перечислением критериев эквивалентности — как в 44-ФЗ.
Но это только пол-дела. Есть такой подзаконный документ, который называется «Положение о закупках». Принимается на уровне министерств и ведомств. И для нас он устанавливает вообще дичайшие ограничения. Я почитал «ПоЗ» для Росатома, так они по 44-ФЗ работают гораздо в более комфортных условиях, чем мы по 223-ФЗ. Все по той же причине — их регулируют, а нас — гнобят.
Не знаете — спросите меня — как :) Но не надо заниматься инсинуациями и спекуляциями в малоизвестной Вам области ;)
VLAN будет действовать только в пределах сети одного провайдера. Т.е. он должен на своем оконечном оборудовании настроить определенные VIDы (VLAN ID). И то, если он поддерживает такую услугу, как выделенный КПД. У нас несколько объектов в других концах города или в других населенных пунктах соединены с основной конторой как раз VLANами через разных провайдеров. Но это именно КПД, а не Интернет. Интернет в данном случае как раз не при чем.
Можно сделать туннель по VPN. В этом случае два конца этого туннеля не обязаны быть привязаны к одному провайдеру. Но в этом случае:
а) должна стоять аппаратура с поддержкой VPN на обоих концах, а это лишние затраты на приобретение такого оборудования. Не все промышленные модемы отвечают такому требованию.
b) открытые интерфейсы VPN-канала все равно привязаны к FDNS/IP другой стороны. В случае внезапной смены IP они просто не успеют перенастроиться. Хотя, это можно будет сделать в ручном режиме и быстрее, чем ездить и перенастраивать контроллеры, но все вместе получается дороже.
Т.е. сеть с «серыми» IP не может просто так сама по себе существовать и состоять из нескольких не связанных между собой сетевых сайтов. Либо связность обеспечивает провайдер предоставлением КПД по VLAN, либо настраиваем сами VPN. Но во втором случае мы все равно зависим от IP. И при его смене нельзя гарантировать быстрое восстановление каналов. Во всяком случае, речь идет о перерывах в передаче телеметрии до несколько суток или хотя бы часов, но никак не на 10-15 минут. А это недопустимо от слов «не обсуждается».
Но есть несколько десятков объектов, которые передают телеметрию как раз через Интернет по GSM/GPRS-каналам на ближайшую или в центральную диспетчерскую. И они расположены либо в чистом поле, либо вообще в таких местах, где никаких провайдеров нет и лет 20 еще не будет. Поэтому GSM/GPRS — единственный вариант. Ну, если не считать радиосвязь на закрытых частотах, лицензию на которую получить еще тот квест.
Так вот, на таких объектах GSM/GPRS-модемы просто по указанному в них IP подключаются и сбрасывают информацию. Причем, большинство из них не умеют работать по FDNS — только по IP. А даже если умеют, то при смене IP он не мгновенно распространяется по всей системе DNS, а в среднем в течение суток.
Мы пробовали использовать аппаратуру с поддержкой DDNS. К сожалению, на поддержание DDNS тратится столько трафика, что лимит 2 GB улетает за несколько дней (хотя без DDNS его хватало на месяц с запасом). А следующий лимит стоит столько, что просто финансово не выгодно на него переводить.
В общем, возможно всё, но это требует неоправданно высоких затрат денег и времени. А мы, повторяю, коммерческая организация, и деньги считать тоже умеем.
И мы — не дураки тупые. Разные технические варианты были рассмотрены уже давным давно. Ничего подходящего найдено не было, позволяющего обеспечить бесперебойную работу в случае смены IP на центральной диспетчерской. Пришлось делать резервный канал. Платим за него около 25 тысяч в год. Почти не используем (только в случае проблем у основного провайдера), зато он постоянно поднят, резервные линии на удаленных объектах УЖЕ настроены на него и перейти на него в ручном режиме — дело 15 минут. А потом и автоматическое переключение сделаем.
Да кроме того ФАС может посчитать, что требование к весу является не существенным для эксплуатации. А вдруг их тонер наносится более тонким слоем и ...«Эмма Петровна! Достаточно половины дозы!»
В открытых источниках вес нетто тонера не публикуется. Запрашивать официально пытались… Но если условный Хьюит-Пахард еще можно надеяться, что сообщит вес тонера в оригинальных картриджах, то тот же условный Хунь-Янь совсем не факт, что честно напишет вес в совместимых. Если напишет вообще.