Offsite Backup là bản sao được lưu ngoài failure domain chính của website. Mục tiêu là vẫn còn đường phục hồi khi server, hosting account, storage, region hoặc một lớp quản trị của production gặp sự cố.
Chỉ lưu một file backup trong /backup trên cùng server không phải offsite. Nếu server chết, filesystem bị mã hóa hoặc account bị takeover, production và backup có thể mất cùng lúc.
Offsite không chỉ có nghĩa “khác thư mục”
| Vị trí backup | Offsite? | Lý do |
|---|---|---|
| Cùng server, khác thư mục | Không | Cùng host/filesystem failure |
| Cùng hosting account, khác volume | Một phần | Vẫn chung account/control plane |
| Object storage account tách biệt | Thường tốt hơn | Tách credential/control plane |
| Provider/region khác | Tùy kiến trúc | Giảm common-mode failure |
| Offline copy | Có thể | Không trực tiếp reachable từ production |
Offsite khác offline và immutable
Offsite nói về vị trí/failure domain. Offline nói về khả năng truy cập trực tiếp từ hệ thống đang chạy. Immutable nói về khả năng sửa/xóa trong một khoảng thời gian. Ba khái niệm có thể kết hợp nhưng không thay thế nhau.
Nếu cần thiết kế tổng thể nhiều bản sao và failure domain, xem quy tắc Backup 3-2-1 cho website. Khi đã có offsite repository, bước tiếp theo là kiểm soát identity, quyền xóa, encryption và monitoring theo Backup Security cho kho backup.
Vì sao offsite quan trọng trong security incident?
Nếu attacker chiếm hosting panel hoặc server, backup cùng môi trường có thể bị xóa hoặc mã hóa. CISA khuyến nghị duy trì backup offline/encrypted và test integrity/availability trong disaster recovery scenario. Offsite copy là một cách giảm khả năng compromise production phá toàn bộ recovery path.
Chọn nơi lưu offsite backup
Object storage
Phù hợp automation và retention, nhưng cần IAM, encryption, object-lock/immutability nếu dùng, audit và kiểm soát egress.
Provider khác
Giảm rủi ro phụ thuộc một provider/control plane, nhưng tăng complexity, credential và chi phí vận hành.
Offline/removable media
Giảm khả năng attacker online truy cập, nhưng cần quy trình vật lý, encryption, inventory và kiểm thử media.
Managed backup service
Có thể đơn giản hóa operation, nhưng phải hiểu vị trí dữ liệu, retention, quyền xóa, export, restore SLA và account security.
Account separation quan trọng hơn tên dịch vụ
Một bucket “offsite” nhưng dùng cùng root/cloud admin với production có thể vẫn bị xóa khi credential đó bị compromise. Tách identity, MFA, least privilege và deletion authority giúp offsite copy trở thành security boundary thật.
Encryption và key recovery
Offsite backup thường đi qua Internet hoặc hạ tầng bên thứ ba. Cần bảo vệ dữ liệu in transit và at rest theo sensitivity. Đồng thời phải test khả năng lấy key/decrypt trong disaster recovery; mất encryption key làm offsite copy vô dụng.
Recovery time và bandwidth
Offsite an toàn nhưng restore quá chậm có thể không đáp ứng RTO. Khi chọn storage, đo:
- Thời gian tải full backup.
- Egress/bandwidth limit.
- Thời gian giải nén/decrypt.
- Database import duration.
- Khả năng restore chọn lọc.
NIST SP 800-34 Rev. 1 nhấn mạnh recovery strategy phải phù hợp với allowable downtime và business impact. Nếu chưa khóa target, xem RPO và RTO cho website trước khi đánh giá offsite restore path.
Offsite Backup Checklist
- Backup nằm ngoài server/host failure domain.
- Account quản trị tách biệt hợp lý với production.
- MFA/least privilege được áp dụng khi hệ thống hỗ trợ.
- Encryption có key owner và recovery procedure.
- Retention đủ cho detection delay.
- Delete/retention change được audit.
- Backup job/replication có monitoring.
- Restore từ offsite đã được test bằng restore test end-to-end.
- RTO thực tế được đo, không chỉ ước lượng.
Offsite không phải excuse để bỏ local/fast restore
Một số tổ chức giữ cả fast local restore point và offsite copy. Local giúp phục hồi nhanh lỗi nhỏ; offsite bảo vệ khi local failure domain không đáng tin. Hai lớp phục vụ mục tiêu khác nhau.
Operational artifact: Offsite Backup Record
production_failure_domain: <host/account/region>
offsite_repository: <storage/service>
repository_account_owner: <owner>
separate_credentials: yes|no
mfa_admin: yes|no
encryption: <model>
key_recovery_tested: yes|no
retention: <policy>
delete_authority: <role>
last_offsite_backup: <timestamp>
last_offsite_restore_test: <date/result/time>
measured_restore_duration: <duration>
Nguồn kỹ thuật
- NIST SP 800-34 Rev. 1 — Contingency Planning Guide
- CISA StopRansomware Guide
- WordPress Developer — Backups
Kết luận
Offsite Backup là cách giữ ít nhất một đường recovery ngoài failure domain của production. Nhưng “offsite” chỉ có giá trị khi account, quyền xóa, encryption, retention và restore path cũng được thiết kế đúng. Backup nằm ở nơi khác nhưng vẫn chung credential và chưa từng restore test vẫn là một điểm yếu.