Непрерывность бизнеса и киберустойчивость: как vSAN защищает от простоев и программ-вымогателей

Серверы и инфраструктура · 20.10.2026 · 15 мин чтения · Команда НПП РЕКОРД

vSAN превращает диски обычных серверов в общее отказоустойчивое хранилище: отказ диска, сервера и даже целой площадки бизнес переживает за минуты и без потери данных. Но от шифровальщика vSAN сам по себе не спасает — злоумышленники давно научились атаковать гипервизор. Разбираем, что vSAN реально даёт, какую схему выбрать под свои RPO и RTO, как настроить защиту от вымогателей и что учитывать в России после ухода VMware.

Коротко. vSAN — это программно-определяемое хранилище VMware: оно объединяет диски нескольких серверов в одно общее хранилище и хранит каждую виртуальную машину в нескольких копиях на разных серверах. Отказ диска или сервера не останавливает работу, а растянутый кластер на две площадки переживает потерю целого здания без потери данных (RPO = 0). При этом vSAN — не резервная копия: от шифровальщика защищают неизменяемые снапшоты, отдельный бэкап вне кластера и жёсткая защита доступа к гипервизору.

Непрерывность бизнеса — это способность компании продолжать работу, когда что-то сломалось: сгорел сервер, отключили электричество в здании или в сеть проник шифровальщик. Киберустойчивость — часть того же вопроса, только про атаки: не «как не допустить взлом» (гарантий тут не даёт никто), а «как быстро и без потерь вернуться к работе, если он случился». Хранилище данных — сердце обоих вопросов: если оно стоит, стоит всё. Поэтому выбор того, где и как хранятся виртуальные машины, — это решение не про железо, а про то, сколько часов простоя и сколько потерянных данных бизнес готов пережить.

vSAN объединяет локальные диски нескольких серверов в одно общее отказоустойчивое хранилище

Сколько стоит простой и почему атакуют именно инфраструктуру

Простой давно перестал быть «неудобством IT-отдела». По данным Uptime Institute, больше 60% серьёзных сбоев обходятся компаниям в $100 000 и более. А шифровальщики целенаправленно бьют туда, где больнее всего: по резервным копиям и по системам виртуализации, на которых работает вся компания разом.

• >60% — сбоев в IT обходятся в $100 000+ (по оценке Uptime Institute)
• 96% — атак вымогателей нацелены и на бэкапы (злоумышленники пытаются испортить копии)
• 76% — таких попыток успешны (копии повреждены или зашифрованы)
• 3 800+ — серверов VMware ESXi зашифровано (кампания ESXiArgs, февраль 2023)

Источник: Uptime Institute, Annual Outage Analysis 2022; Sophos State of Ransomware 2025; CISA и FBI, рекомендации по ESXiArgs (2023)

Атаки на гипервизор (программу, которая запускает виртуальные машины на сервере) — не теория. В феврале 2023 года кампания ESXiArgs через давно исправленную уязвимость в службе OpenSLP зашифровала файлы виртуальных машин на тысячах серверов VMware ESXi по всему миру — по оценке CISA и FBI, больше 3 800. В июле 2024 года Microsoft сообщила об уязвимости CVE-2024-37085: если ESXi подключён к домену Active Directory, злоумышленнику достаточно создать в домене группу с именем «ESX Admins», чтобы получить полные права на гипервизор. Этим пользовались группировки, распространяющие вымогателей Akira и Black Basta. Логика атакующих проста: зашифровать один гипервизор выгоднее, чем сотню компьютеров по отдельности, — вместе с ним встают все виртуальные машины.

Что такое vSAN простыми словами

vSAN (VMware vSAN) — это программно-определяемое хранилище, встроенное прямо в гипервизор VMware ESXi. Вместо отдельной дорогой системы хранения данных (СХД) vSAN берёт локальные диски нескольких обычных серверов и объединяет их в одно общее хранилище для всех виртуальных машин кластера. Такую архитектуру называют гиперконвергентной: вычисления, хранение и сеть живут на одних и тех же серверах и управляются из одной консоли.

Главное для непрерывности бизнеса: каждая виртуальная машина хранится не в одном месте, а в нескольких копиях или с контрольными суммами на разных серверах. Сколько отказов кластер переживёт без потери данных, задаётся политикой хранения — параметром FTT (Failures To Tolerate, «сколько отказов выдержать»). Политику можно назначить отдельно каждой машине: базе 1С — строже, тестовому серверу — проще.

Источник: Документация VMware vSAN 8

Совет. Для компании с одним кластером из 3–4 серверов разумная отправная точка — FTT=1: кластер переживает отказ любого одного сервера. Для критичных баз при 6 и более серверах стоит рассмотреть RAID-6 (FTT=2): двойной запас прочности при умеренном расходе места.

Как vSAN защищает от простоев: четыре уровня

1. Отказ диска. Данные диска есть на других серверах, поэтому машины продолжают работать без остановки. Если диск именно сломался, vSAN сразу начинает восстанавливать недостающие копии на свободном месте. Если сервер просто пропал из сети (например, перезагружается), vSAN по умолчанию ждёт 60 минут и только потом начинает перестраивать данные — чтобы не гонять терабайты по сети из-за плановой перезагрузки.

2. Отказ сервера. Вместе с vSAN работает vSphere HA (High Availability, высокая доступность): если сервер выключился, его виртуальные машины автоматически перезапускаются на соседних. Простой — время загрузки машины, обычно минуты, а не дни поиска запчастей. Для особенно критичных машин есть vSphere FT (Fault Tolerance): вторая копия машины работает синхронно на другом сервере, и отказ проходит вообще без перерыва, но с ограничениями по размеру машины.

3. Отказ площадки. Растянутый кластер (stretched cluster) разносит серверы на две площадки — например, серверную в офисе и стойку в дата-центре. Данные пишутся на обе площадки синхронно, поэтому при потере одной из них не теряется ни одной транзакции: RPO равен нулю. Третья площадка держит маленький сервер-«свидетель» (witness), который решает, какая из площадок продолжает работу, если связь между ними пропала. Требование к каналу между площадками — задержка не более 5 мс в оба конца, поэтому обычно это площадки в одном городе.

4. Филиалы. Для небольших офисов и филиалов есть двухузловой кластер: два сервера на месте плюс виртуальный «свидетель» в центральном офисе или облаке. Отказ одного сервера филиал переживает так же, как большой кластер.

RPO (Recovery Point Objective) — сколько данных бизнес готов потерять: если копия делается раз в сутки, в худшем случае пропадает день работы. RTO (Recovery Time Objective) — сколько времени можно простоять до восстановления. Сначала эти цифры определяет бизнес («касса не может стоять дольше часа»), и только потом под них подбирают технологию. Подробно мы разбирали их в статье «RTO и RPO простыми словами».

Чего vSAN не делает: честно о границах

Отказоустойчивость и защита от вымогателей — разные задачи. Зеркало аккуратно продублирует на все серверы и зашифрованные файлы, и случайно удалённую базу. А злоумышленник, получивший права администратора гипервизора или vCenter (консоли управления VMware), видит хранилище vSAN целиком и может удалить машины вместе с обычными снапшотами.

Важно. vSAN — не резервная копия. Если бэкап хранится на том же кластере vSAN, что и рабочие машины, то при атаке на гипервизор вы потеряете и то и другое. Копии должны жить на отдельной системе, с отдельными учётными записями и как минимум одна — в неизменяемом виде или вне сети.

Киберустойчивость: как настроить vSAN против вымогателей

В vSAN 8 Update 3 появилась встроенная защита данных для архитектуры ESA (Express Storage Architecture — новая архитектура vSAN, рассчитанная на быстрые NVMe-диски): снапшоты по расписанию — до 200 на виртуальную машину — практически без потери производительности и с возможностью сделать их неизменяемыми. Неизменяемый снапшот нельзя удалить или изменить до истечения срока хранения, даже имея права администратора. Это позволяет откатить машины на состояние «до атаки» за минуты, не дожидаясь многочасового восстановления из бэкапа.

Но снапшоты живут на том же кластере, поэтому это первая линия защиты, а не единственная. Полная схема выглядит так:

1. Снапшоты по расписанию для критичных машин: например, каждый час с хранением за последние сутки и ежедневные — за неделю. Где возможно, включите неизменяемость.
2. Отдельная система резервного копирования вне кластера vSAN, с собственными учётными записями, не входящими в общий домен.
3. Правило 3-2-1-1-0: три копии данных, на двух разных носителях, одна — вне площадки, одна — неизменяемая или офлайн, и ноль ошибок при проверочном восстановлении.
4. Шифрование данных vSAN «на диске» и при передаче между серверами — защищает от кражи дисков и перехвата трафика. Ключи храните на отдельном сервере ключей, а не на самом кластере.
5. Изоляция управления: консоли ESXi и vCenter — в отдельном сегменте сети, без доступа из интернета и из сети пользователей.
6. Многофакторная аутентификация для входа в vCenter и минимальные права: у каждого администратора своя учётная запись, полные права — только тем, кому они действительно нужны.
7. Не подключайте ESXi к домену без необходимости, а если подключили — закройте уязвимость CVE-2024-37085 и проверьте, кто состоит в группах администраторов гипервизора.
8. Режим блокировки (lockdown mode) на серверах ESXi, отключённый SSH (удалённый вход в командную строку сервера) и неиспользуемые службы, своевременные обновления безопасности.
9. Мониторинг событий гипервизора: массовое удаление снапшотов, смена паролей администраторов и вход в нерабочее время должны поднимать тревогу сразу, а не обнаруживаться утром.
10. Регулярная учебная тревога: раз в квартал восстанавливайте критичную систему из копии и засекайте время. Это и есть ваш реальный RTO.

Совет. Порядок важен. Сначала закройте доступ к управлению (сегментация, MFA, обновления), затем вынесите бэкап за пределы кластера, и только потом тонко настраивайте снапшоты. Неизменяемые снапшоты не помогут, если злоумышленник уже полгода живёт в сети с правами администратора и успел испортить копии раньше, чем вы заметили.

Что нужно для vSAN: железо и сеть

• Серверы и диски из списка совместимости VMware (vSAN ReadyNode или проверенные конфигурации). Самосборные конфигурации — частая причина нестабильной работы и проблем с поддержкой.
• Архитектура ESA рассчитана на NVMe-диски и даёт лучшую производительность, эффективное сжатие и быстрые снапшоты. Классическая архитектура OSA работает с кэш-дисками и дисками ёмкости.
• Быстрая выделенная сеть между серверами — 10 Гбит/с и выше, а для ESA рекомендуются 25 Гбит/с. vSAN передаёт по сети каждую запись, поэтому медленная сеть сразу превращается в медленное хранилище.
• Запас по месту: с политикой FTT=1 в зеркале данные занимают вдвое больше места, плюс нужен резерв на восстановление после отказа сервера.
• Для растянутого кластера — канал между площадками с задержкой до 5 мс и третья площадка для «свидетеля».

vSAN в России после 2022 года

VMware в 2022 году прекратила работу в России, а после покупки компанией Broadcom в 2023 году перевела продукты на подписку и включила vSAN в пакеты VMware Cloud Foundation и vSphere Foundation. Для российских компаний это означает: уже работающие кластеры продолжают работать, но без официальной поддержки и с риском остаться без обновлений безопасности. А для гипервизора, который уже стал излюбленной целью вымогателей, необновлённая версия — это не экономия, а открытая дверь.

Если vSAN у вас уже есть, задача — довести защиту до уровня, описанного выше, и иметь план миграции. Если инфраструктура только строится, тот же гиперконвергентный подход реализуют и другие платформы: Proxmox VE со встроенным распределённым хранилищем Ceph, российские платформы виртуализации и программно-определяемые хранилища (например, vStack или «Р-Хранилище»). Принципы остаются теми же: несколько копий данных на разных серверах, автоматический перезапуск машин, снапшоты и отдельный бэкап. Подробнее о выборе — в статье «Чем заменить VMware».

План: с чего начать

1. Составить список критичных систем и для каждой определить RPO и RTO вместе с руководителями, а не только с IT.
2. Проверить текущую инфраструктуру: что будет, если завтра сломается сервер, хранилище, площадка. Где единственная точка отказа?
3. Выбрать схему: стандартный кластер, растянутый на две площадки или двухузловой для филиалов — под требования из первого шага.
4. Настроить политики хранения: строже для баз и критичных систем, проще для тестовых машин.
5. Вынести резервное копирование за пределы кластера и сделать хотя бы одну копию неизменяемой.
6. Закрыть доступ к управлению гипервизором: сегментация, MFA, обновления, отказ от лишних прав.
7. Провести учебное восстановление и записать в план непрерывности бизнеса, кто, что и в каком порядке делает при аварии.

vSAN отвечает на вопрос «что будет, если сломается железо» — и отвечает хорошо: минуты вместо дней. Но киберустойчивость начинается там, где заканчивается отказоустойчивость: с отдельного бэкапа, неизменяемых копий и закрытого доступа к гипервизору. Нужны обе половины.

Теги: vSAN, непрерывность бизнеса, киберустойчивость, отказоустойчивость, шифровальщик, VMware, гиперконвергенция, RPO, RTO