Backup off-site: best practice per server di produzione
Il backup off-site e l'unica vera difesa contro disastri fisici (incendio, allagamento), ransomware e errori massivi. Backup locali non bastano: se il datacenter brucia, brucia tutto. Vediamo le best practice consolidate per implementare backup off-site di livello produttivo.
La regola 3-2-1 (e l'evoluzione 3-2-1-1-0)
La regola storica: 3 copie dei dati, su 2 supporti diversi, di cui 1 off-site. La versione moderna aggiunge 1 copia offline o immutabile (air-gapped, WORM) e 0 errori verificati nei restore test. L'immutabilita protegge dai ransomware che cercano di cancellare backup raggiungibili dalla rete.
Cifratura lato client
I dati devono essere cifrati prima di lasciare il server, con chiavi gestite localmente. Mai affidare la cifratura al solo provider di storage. Strumenti come restic, BorgBackup, Duplicity integrano cifratura forte (AES-256). Conserva le chiavi in vault separato; perdere la chiave significa perdere i backup.
Destinazioni off-site
- Object storage compatibile S3: Backblaze B2, Wasabi, OVH Cloud Storage, MinIO self-hosted.
- Sftp/Borg su VPS remoto: economico, controllo totale.
- NAS in sede diversa: sincronizzazione via VPN o rsync.
- Servizi dedicati: Hetzner Storage Box, rsync.net.
Frequenza e retention
Frequenza tipica: quotidiana per dati transazionali, oraria per DB critici, settimanale per archivi statici. Retention pattern Grandfather-Father-Son (GFS): 7 giornalieri + 4 settimanali + 12 mensili + N annuali. Bilanciare costi storage con esigenze di recupero. Backup di DB sempre con dump consistente (mysqldump, pg_dump, xtrabackup) prima della copia.
Procedura passo-passo
- Inventario dei dati critici da proteggere (DB, file siti, config, segreti, log).
- Definisci RTO e RPO per ogni categoria.
- Scegli destinazione off-site (idealmente in altra regione).
- Implementa cifratura lato client con tool come restic.
- Configura backup quotidiano via cron o systemd timer.
- Abilita immutabilita/versioning sulla destinazione.
- Pianifica retention GFS o equivalente.
- Setup monitoring: alert se il backup salta o supera durata massima.
- Esegui restore test mensili su host di staging.
- Documenta procedure di restore in runbook accessibile.
Test di restore
Un backup non testato non e un backup. Almeno mensilmente ripristina un campione casuale su host di test e verifica integrita. Pianifica un test completo annuale: ripristino di un'intero server da zero. Misura RTO reale e aggiusta il piano. Documenta i tempi di restore: serve in fase di disaster recovery.
Errori comuni e come risolverli
- Backup solo locale: incendio o ransomware uccide tutto.
- Backup non cifrati su cloud: il provider o un breach espone i tuoi dati.
- Mai testati: scoprire problemi durante un disastro reale e catastrofico.
- Credenziali destinazione persistenti: se il server e compromesso, l'attaccante elimina anche i backup. Usa append-only o credenziali separate.
- Retention illimitata: costi storage esplodono; calibrarla al business need.
Domande frequenti
D: Restic o BorgBackup?
R: Entrambi ottimi: restic supporta nativamente molti cloud, Borg ha repository self-hosted via SSH potenti.
D: Quanto costa un backup off-site?
R: B2/Wasabi 5-6 euro/TB/mese; spesso il prezzo migliore per backup a lungo termine.
D: Backup immutabili sono davvero necessari?
R: Si dopo l'esplosione del ransomware; sono la differenza tra essere protetti o no.
Approfondimento tecnico: deduplica e object lock
I tool moderni come restic, BorgBackup e Kopia applicano deduplica content-defined chunking: il file viene spezzato in chunk con boundary determinati dal contenuto (non da offset fissi). Anche piccole modifiche di un file grande riutilizzano la maggior parte dei chunk: backup successivi sono velocissimi e occupano poco. Combinato con la cifratura, garantisce backup efficienti e sicuri.
L Object Lock (S3, B2, Azure) impedisce la cancellazione dei file per un periodo definito: anche con credenziali compromesse, un ransomware non puo cancellare backup. Modalita governance (override possibile con privilegi alti) o compliance (immutabilita assoluta). Combinata con versioning, fornisce protezione enterprise contro attacchi sofisticati.
Scenari d'uso reali
Una web agency usa Backblaze B2 con object lock 30 giorni: anche dopo intrusione, backup restano integri per recovery.
Un e-commerce backup DB ogni ora con restic, retention GFS, costo 8 euro/mese per 2 TB compressi.
Una PMI ha 3 livelli: NAS locale, B2 immutabile, copia annuale su HDD esterno offline in cassetta di sicurezza.
Checklist operativa backup off-site
- Regola 3-2-1-1-0 implementata.
- Cifratura lato client con chiave separata.
- Object lock o append-only sulla destinazione.
- Retention GFS o equivalente.
- Test di restore mensile.
- Monitoring dei backup quotidiani.
- Documentazione di procedure e credenziali in vault.
Risorse e riferimenti
restic.net, borgbackup.readthedocs.io, kopia.io. Provider economici: Backblaze B2 (b2-app-keys per granular), Wasabi (no egress fees), Hetzner Storage Box. Patterns: 3-2-1-1-0. Per ransomware-resistant: object lock, append-only repository.
Considerazioni economiche e organizzative
Implementare correttamente quanto descritto in questo articolo su backup off-site richiede tempo, formazione e talvolta investimenti hardware o software. La buona notizia e che il ritorno e quasi sempre positivo: meno incidenti, meno tempo speso in troubleshooting reattivo, maggiore predicibilita dei servizi. Stima sempre il costo del downtime per il tuo business: anche poche ore l'anno di indisponibilita possono giustificare investimenti che a prima vista sembrano sovradimensionati.
Sul piano organizzativo, la documentazione e il fattore decisivo. Un sistema brillantemente configurato ma non documentato e una bomba a orologeria: il giorno in cui il sysadmin originale lascia l'azienda, ogni intervento diventa archeologia. Mantieni runbook aggiornati, versionali in git, fai pratica di lettura nei momenti di calma e non solo durante gli incidenti.
Glossario rapido dei termini chiave
RTO (Recovery Time Objective): tempo massimo entro cui un servizio deve tornare operativo dopo un'incidente. RPO (Recovery Point Objective): perdita massima accettabile di dati misurata nel tempo (es. 1 ora di transazioni). SLA (Service Level Agreement): contratto formale che definisce livelli di servizio e penali. SLO/SLI (Service Level Objective/Indicator): metriche interne di qualità usate per misurare e mantenere lo SLA. MTBF/MTTR: tempo medio tra guasti e tempo medio di ripristino, indicatori di affidabilità. Idempotenza: proprietà di un'operazione che, applicata più volte, produce lo stesso risultato della singola applicazione (fondamentale per automazione).
Hai bisogno di aiuto?
Se hai dubbi sulla gestione server, il team di G Tech Group puo aiutarti. Contattaci tramite il modulo di contatto.