Плейбук: резервные копии недоступны или не читаются

Проверьте доступность и restore копий в тот же час, как только бэкап «не открывается» или репозиторий молчит — не в день выкупа. Схема хранения: 3-2-1 и проверка восстановления. Шифрование файлов на боевых узлах: шифровальщик. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Не подключайте резервное хранилище обратно к заражённой сети «чтобы дописать».

Признаки и что не делать

borg/restic не открывает репозиторий, лента не читается, облачный снимок пустой, пароль к архиву «тот, что в git». Не чините репозиторий с боевого сервера инцидента. Не копируйте архив на ту же шару, откуда пошёл шифровальщик.

Первые шаги

borg list REPO

Ожидаемо: список архивов с датами. Тишина, ошибка ключа или пусто — инцидент копий. Дальше: вторая копия (другой носитель, другой сайт), restore одного файла на чистую машину. Ключ архива — из сейфа, не из того git: утечка секрета.

Если копии живы — не начинайте массовый restore, пока точка входа не закрыта (иначе зашифруют снова). Приоритет: критический, если это единственные копии продуктивных данных. Эскалация директору сразу: без копий простой считается днями.

Диагностика

Симптом	Причина и что делать
Репозиторий открылся, restore одного файла нет	Архив битый. Берите предыдущую дату, не чините на месте
Копии на том же VLAN, что серверы	Нет 3-2-1. После инцидента вынесите, сейчас — только то, что уже офлайн

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). 3-2-1 учит хранить. Плейбук — что делать, когда хранение уже сломалось.