İçeriğe atla
Bilgi Merkezi/Makale
Makale

BaaS (Backup as a Service) Nedir? Hizmet Olarak Yedekleme

Ajanlı ve ajansız yedeklemeyi, şifreleme anahtarını, değiştirilemez kopyayı, SaaS verisini, DRaaS farkını ve sağlayıcıya sorulacakları anlattık.

Oğuzhan Gerçek··8 dk okuma
BaaS (Backup as a Service) Nedir? Hizmet Olarak Yedekleme

Kısa cevap: BaaS (Backup as a Service, hizmet olarak yedekleme), verinin yedeklenmesi, saklanması ve geri yüklenmesinin bir sağlayıcının altyapısında ve işletiminde yürütülmesidir. Neyin, ne sıklıkla ve ne kadar süre yedekleneceğine kurum karar verir; yazılım, depolama ve izleme sağlayıcıdadır. Veri genellikle aktarımda ve saklanırken şifrelenir. Fidye yazılımına karşı değeri, kurumun hesapları ele geçirilse bile silinemeyen bir kopyadan gelir. Sözleşmeden önce verinin konumu, şifreleme anahtarının sahibi ve geri yükleme süresi netleşmelidir.

BaaS nedir, ne demek?

BaaS, Backup as a Service ifadesinin kısaltması. Yazılım geliştirmede aynı kısaltma, Cloudflare'in tarifiyle kimlik doğrulama ve veritabanı yönetimi gibi sunucu tarafı işlerin geliştiriciye hazır verildiği Backend as a Service modelini anlatır; bu yazının konusu ise yedekleme.

IBM'in tanımıyla BaaS, verinin yedeklenmesini, saklanmasını ve kurtarılmasını üçüncü taraf bir sağlayıcının yönettiği bulut tabanlı bir veri koruma hizmetidir; politikalar kurumda kalır ve yönetimin ne kadarının devredileceğini kurum seçer. Yedek kavramı değişmez: NIST'in sözlüğünde yedek, gerektiğinde kurtarmayı kolaylaştırmak için alınan dosya ve program kopyasıdır; BaaS'ta değişen, altyapıyı kimin işlettiğidir. Terimin kısa tanımı sözlüğümüzde var.

BaaS nasıl çalışır?

IBM'e göre kurum önce kapsamı (dosya, veritabanı, sanal makine), yedeğin sıklığını ve kaç sürüm geriye gidileceğini belirler. Veri iki yoldan alınır:

  • Ajanlı yedekleme: Korunan makineye bir yazılım kurulur. Azure Backup'ın MARS ajanı kurum içindeki makinelerden dosya, klasör ve sistem durumunu yedekler.
  • Ajansız yedekleme: Yedek sanallaştırma katmanından alınır. Veeam'in belgesine göre Veeam Backup & Replication konuk işletim sistemine ajan kurmaz, VMware vSphere'in snapshot yeteneğini kullanır.

AWS'ye göre desteklenen kaynak türlerinde ilk yedek verinin tam kopyasıdır, sonraki artımlı yedekler yalnız değişiklikleri kopyalar. En ağır adım ilk yüklemedir: Microsoft, bant genişliği sınırlıysa ya da veri hacmi büyükse ilk çevrim içi yedeğin birkaç gün sürebileceğini yazıyor. Bu durumda ilk tam yedek, gönderilen cihazlarla ağ kullanılmadan taşınabiliyor.

Aktarımda ve beklerken şifreleme: anahtar kimde?

IBM'e göre şifreleme, veri kurumdan çıkmadan başlar. Azure'da aktarılan veri HTTPS ve TLS ile taşınıyor, saklanan yedek ise varsayılan olarak platformun yönettiği anahtarlarla 256 bit AES ile şifreleniyor; isteyen kendi anahtarını kullanabiliyor.

Anahtarı kurumun tutması kontrolü artırır, ama kaybın bedeli de kuruma kalır: MARS ajanı yedeği kurulumda belirlenen bir parolayla şifreler ve Microsoft'a göre parola olmadan Microsoft veriyi kurtaramaz. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) bulut yedekleme ilkelerinde öbür riski hatırlatıyor: şifreli bir yedeği işe yaramaz kılmak için veriyi silmek gerekmez, anahtarı silmek ya da değiştirmek yeter. Bu yüzden anahtar da korunmalı, gerekirse çevrim dışı bir kopyası tutulmalı.

Saklama politikası ve değiştirilemez yedek

NCSC'ye göre saklama politikası yedek sayısına değil sabit bir süreye bağlanmalı; yoksa saldırgan art arda bozuk yedek yazarak temiz kopyaları dışarı itebilir.

Değiştirilemez (immutable) yedek, saklama süresi dolmadan silinemez; bulut sağlayıcıları bunu kasa (vault) katmanında uyguluyor:

  • AWS Backup Vault Lock: Yedeklere WORM (write once, read many) kuralı getirir. Governance modunda yeterli IAM yetkisi olan kullanıcı kilidi kaldırabilir; compliance modunda en az 72 saatlik bekleme süresi (grace time) dolunca kasa ve kilit, AWS dahil kimse tarafından değiştirilemez ve silinemez.
  • Azure Backup immutable vault: Saklama süresini kısaltmak gibi kurtarma noktalarının kaybına yol açacak işlemleri engeller. Ayar kilitlendiğinde geri alınamaz.

CISA'nın #StopRansomware rehberi (Eylül 2023) bu katmanın ödünleşimini de yazıyor: değiştirilemez depolama bazı düzenlemelerin uyum ölçütlerini karşılamıyor ve yanlış yapılandırma ciddi maliyet doğurabiliyor. 3-2-1 kuralını yedekleme yazımızda, object lock'u nesne depolama yazımızda anlattık.

Hava boşluğu ve fidye yazılımı

CISA'nın rehberi yedeklerin çevrim dışı tutulmasını istiyor, çünkü birçok fidye yazılımı türü erişilebilir yedekleri bulup silmeye ya da şifrelemeye çalışıyor. NIST'e göre hava boşluğu (air gap), fiziksel bağlantısı olmayan ve aralarındaki aktarımın yalnız elle yapıldığı iki sistem arasındaki arayüzdür. AWS'nin mantıksal hava boşluklu kasası ise fiziksel değil, mantıksal bir ayrım kurar: her zaman compliance modunda kilitlidir ve paylaşıldığı başka bir hesaptan geri yüklenebilir.

BaaS'ın katkısı, kopyayı kurumun yönetim alanının dışına taşımasıdır. NCSC'ye göre bir sistemi ele geçiren saldırgan, ayrı bir sistemi de ele geçirmeden yıkıcı istekte bulunamamalı. Hizmet sağlayıcıların müşterilerine bulut deposu sunduğu Veeam Cloud Connect'te Insider Protection açıksa, kiracının konsolundan silinen yedekler sağlayıcının belirlediği gün sayısı boyunca sağlayıcı tarafında kalır. Saldırıyı fidye yazılımı yazımızda, geri dönüş sırasını kurtarma planımızda anlattık.

SaaS verisi ve paylaşılan sorumluluk

Microsoft'a göre dağıtım modeli ne olursa olsun veri müşterinin sorumluluğunda kalır; verinin korunması da buna dahil. Microsoft, Microsoft 365 için sunduğu yedekleme hizmetinin belgesinde ihtiyacı iki senaryoyla tarif ediyor: verinin geniş bir kısmını şifreleyen fidye yazılımı ve kurum içinden kazara ya da kötü niyetle yapılan silme veya üzerine yazma. CISA da cloud-to-cloud yedeklerde, aynı sağlayıcıdaki bütün hesapların etkilenmesine karşı çoklu bulut çözümünü düşünmeyi öneriyor. Sorumluluk dağılımını SaaS yazımızda anlattık; bu yedeği veri koruma ve kurtarma hizmetimizde ele alıyoruz.

Geri yükleme testi

AWS'nin Well-Architected rehberine göre yedekten geri dönüş, RTO içinde yapılabildiğini görmek için düzenli denenmeli; geri gelen veri bozulmamış, kayıp da RPO içinde olmalı. Rehber, geri yükleme süresinin RTO'ya sığdığını varsaymayı yaygın hatalar arasında sayıyor. BaaS'ta büyük bir geri yüklemenin süresini bağlantının hızı da etkiler. AWS Backup'ın restore testing özelliği, geri yüklenebilirliği düzenli aralıklarla otomatik değerlendirip işin süresini izliyor. Tatbikatı felaket kurtarma testi, hedefleri RPO ve RTO yazılarımızda anlattık.

BaaS, DRaaS ve kendi yedekleme altyapınız

Microsoft iki hizmeti iş sürekliliğinin ayrı parçaları olarak anlatıyor: Backup veriyi güvende ve kurtarılabilir tutar; Site Recovery iş yüklerini ikincil bir lokasyona replike eder, kesintide oraya failover, birincil lokasyon düzelince failback yapılır. Yani BaaS veriyi geri getirir, DRaaS ise işin başka bir altyapıda sürmesini sağlar (DRaaS yazımız).

Kendi altyapınızda donanım, yazılım ve izleme sizdedir; yedeği buluta yazmak da tek başına BaaS sayılmaz. Veeam gibi yazılımlar yedeği bulut nesne depolamasına yazabiliyor, ama yazılımı yine kurum işletiyor. IBM'e göre BaaS, kurumun kendi yedekleme donanımını ve yazılımını sürdürme ihtiyacını ortadan kaldırır; Azure Backup da depolamayı kendisi ayırıp kullandıkça ödenen bir modelle çalışıyor (CAPEX ve OPEX yazımız).

BaaS seçerken sorulacaklar

CISA, yedekleri bir MSP işletiyorsa güvenlik gereksinimlerinin sözleşmeyle resmîleştirilmesini öneriyor. Sözleşmeden önce şunlar sorulmalı:

  • Konum: Yedekler ve başka bölgelere alınan kopyaları hangi ülkede duruyor? Kişisel veri içeren yedeğin yurt dışında tutulması KVKK açısından aktarım sorusunu doğurabilir (KVKK ve yurt dışına aktarım).
  • Anahtar: Şifreleme anahtarı kimde, kendisi nasıl yedekleniyor?
  • Değiştirilemezlik: Süresi ne, kilidi kim kaldırabiliyor?
  • Yetki ve uyarı: Yedek yönetimi üretim hesaplarından ayrı mı (IAM yazımız)? NCSC'ye göre toplu silme, yedeğin durması ya da saklama süresinin değişmesi, girişim başarılı olsun olmasın uyarı üretmeli.
  • Geri yükleme: Test ne sıklıkla yapılıyor, raporda ölçülen süre var mı, SLA neyi taahhüt ediyor?
  • Çıkış: Sözleşme bitince yedekler hangi biçimde teslim ediliyor, sağlayıcıdaki kopyalar nasıl siliniyor?

Yedeklemeyi hizmet olarak işletmeyi yedekleme, replikasyon ve kurtarma, kapsamın ve testlerin ölçülmesini yedekleme ve veri koruma görünürlüğü hizmetimizde ele alıyoruz.

Sık sorulan sorular

BaaS ne demek? Backup as a Service, yani hizmet olarak yedekleme demek: yedeklemenin bir sağlayıcı tarafından işletilmesi. Yazılım geliştirmede aynı kısaltma Backend as a Service'i de anlatır.

Bulut yedekleme ile BaaS aynı şey mi? Tam olarak değil. Bulut yedeklemede kopya bulutta durur, ama yedekleme yazılımını kurum işletebilir; BaaS'ta yazılım, depolama ve işletim de sağlayıcıdadır.

Microsoft 365 için ayrı bir yedekleme hizmeti gerekir mi? Microsoft'un paylaşılan sorumluluk modeline göre verinin korunması müşteride kalır. Uygulamanın kendi saklama ayarlarının karşılamadığı senaryolar için ayrı bir yedek planlanmalıdır.

Backup as a service (BaaS) hizmeti sunan firmalar hangileri? Public cloud sağlayıcıları kendi platformları için yedekleme hizmeti sunuyor; hizmet sağlayıcılar da yedekleme yazılımlarıyla bulut deposu kiralıyor. Firma adından önce verinin konumuna, anahtarın sahibine ve geri yükleme testinin raporlanmasına bakılmalı.

Kaynaklar