Recuperación por fases de Active Directory para una recuperación ante desastres más rápida - Microsoft Platform Management - Blogs - Quest Community

En 2017, los aproximadamente 150 controladores de dominio en línea de Maersk fueron destruidos como daño colateral en el ataque NotPetya, deteniendo todas las funciones comerciales críticas que dependían de Active Directory para la autenticación¹. Para que el gigante del envío volviera a funcionar, los administradores de Maersk IAM, tras realizar varios actos hercúleos para obtener una copia del único controlador de dominio (DC) fuera de línea que quedaba, restauraron un DC en una Surface Pro 4.² Todo lo que necesitaban era un DC en línea, incluso si no estaba en el hardware más ideal, para iniciar el resto del proceso de recuperación ante desastres.

Esta publicación se centrará en por qué el enfoque de Maersk, y realmente cualquier plan de recuperación ante desastres de TI que priorice la restauración de controladores de dominio clave, brinda a los administradores de Active Directory (AD) un mejor control sobre el proceso de recuperación, permite que los servicios críticos comiencen sus opciones de recuperación más rápido. y permite iniciar sesión en funciones comerciales críticas más rápidamente. Un proceso de recuperación por fases también es una de las mejores prácticas de Microsoft para restaurar un bosque de Active Directory completamente inaccesible.

¿Qué es un plan de recuperación ante desastres por fases para Active Directory?

En la documentación en línea de Microsoft Windows Server, abordan cómo restaurar un bosque completo de Active Directory. Cubren cómo determinar qué copias de seguridad usar y puede leer sobre las diversas metodologías de copia de seguridad de Active Directory disponibles para la planificación de recuperación ante desastres en mi publicación anterior.

Sin embargo, al observar el proceso de restauración real (una vez que haya elegido su copia de seguridad), Microsoft recomienda tener un DC dedicado para cada dominio que sea el DC preferido en una estrategia de recuperación ante desastres para facilitar el proceso de restauración y el plan de confiabilidad y ejecutar el recuperación forestal³. Explicaré más sobre por qué ocurre esto en la siguiente sección.

Para admitir la restauración por fases de un desastre completo de Active Directory, Quest Recovery Manager for Active Directory Disaster Recovery Edition le permite realizar la recuperación inicial durante la primera fase para que el bosque funcione lo antes posible, consiguiendo más tiempo para la restauración completa de la estructura forestal en la segunda fase.

• Fase 1: Realizar la recuperación inicial
  Realice la restauración de uno o varios controladores de dominio en cada dominio.

• Fase 2: Redistribuir los DC restantes
  Restaurar los controladores de dominio restantes mediante promoción

Beneficios de la recuperación por fases de Active Directory

Dependencias! La razón fundamental por la que es importante una recuperación gradual de la EA es la cadena de dependencia. Si AD no funciona, los usuarios no pueden autenticarse para trabajar. Si AD y las aplicaciones críticas están comprometidas, entonces la restauración de esas aplicaciones críticas no puede ocurrir hasta que se restaure AD. La restauración en fases facilita el proceso de restauración porque significa la diferencia entre minutos, horas, días e incluso semanas.

¿Vas a restaurar todo tu bosque AD perfectamente antes de permitir que comiencen los demás procesos de recuperación? No. Vas a restaurar a un Surface Pro 4 o a un hardware más ideal en espera si tenías un plan de recuperación ante desastres. Vas por el bien, no por la perfección. La Fase 2 es tu oportunidad de planificar para ser perfecto.

En dicho plan de recuperación ante desastres, habrá definido los parámetros para los objetivos de tiempo de recuperación (RTO) y los objetivos de punto de recuperación (RPO) de AD. Mientras que RPO definirá la frecuencia con la que realiza una copia de seguridad y replica su AD, RTO definirá la rapidez con la que se debe recuperar la aplicación dentro de los límites de tolerancia de la organización. RTO debe priorizar qué centros de datos restaurar primero para mantener el negocio en funcionamiento.

Permítanme aclarar el punto con un escenario. Suponga que tiene dos dominios llamados Dominio A y Dominio B.

• El dominio A tiene 3 DC dispersos por América del Norte
• El dominio B tiene 10 DC distribuidos en América del Norte y Europa.

El ransomware ataca y compromete ambos dominios al cifrar los discos. Los 3 DC del dominio A y los 10 DC del dominio B son físicamente inaccesibles.

Esto significa que Active Directory está inactivo y todas las aplicaciones y usuarios críticos que dependen de él también están inactivos.

Entonces, en nuestro escenario, la Fase 1 de su plan de recuperación ante desastres de Active Directory restauraría 1 DC del dominio A, como el ubicado en la sede, y tal vez 2 DC del dominio B, como los que se encuentran en centros de datos geográficamente importantes.

Esto se hace porque con una solución como Recovery Manager para Active Directory Disaster Recovery Edition, puedes automatizar la restauración de esos 2 DC críticos a partir de copias de seguridad limpias (analizadas en busca de malware) en aproximadamente una hora, despejando el camino. para el resto del proceso del plan de recuperación de desastres de TI. UNA HORA : más o menos dependiendo de cuánto haya desarrollado y practicado su plan de continuidad del negocio.

Incluso si algunas de las conexiones son lentas para las oficinas remotas, el punto es que aún pueden realizar su trabajo mientras el resto de los otros DC en ambos dominios se restablecen en la Fase 2 (junto con velocidades de conexión más rápidas).

Con el modo de repromoción Recovery Manager para Active Directory Disaster Recovery Edition , los administradores de AD también pueden ejecutar la Fase 2 tantas veces como quieran si ciertas regiones están listas para promocionar sus DC mientras que otras no.

TL;DR

La recuperación de desastres forestales de Active Directory facilita el proceso de restauración, permite iniciar sesión rápidamente y reduce el tiempo que otras aplicaciones críticas deben esperar para comenzar su proceso de restauración. Identifique al menos un controlador de dominio principal en cada dominio para priorizarlo en un escenario de recuperación. Consígalos en línea rápidamente, realice las transacciones aceptadas y solo entonces dirija su atención a los DC menos críticos. Ve por lo bueno primero y por lo perfecto después.

Quest Recovery Manager para Active Directory Disaster Recovery Edition automatiza el proceso de recuperación por fases e incluso le permite ejecutar la Fase 2 tantas veces como necesite. Estén atentos a este blog para aprender cómo automatizar y acelerar la promoción de DC con IFM en la Fase 2.

Fuentes:

1: https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/
2: https://gvnshtn.com/maersk-me-notpetya/
3: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-determine-how-to-recover