Un hot site è una sede di ripristino completamente attrezzata, con hardware, software, collegamenti di rete e dati aggiornati già presenti, in grado di subentrare al sito primario nell'arco di minuti od ore. È il tipo di sito di disaster recovery più veloce e più costoso. Nel cloud, l'equivalente è una configurazione hot standby o active/active in una seconda regione.
Punti chiave
- Il NIST descrive gli hot site come strutture dimensionate per il sistema e configurate con l'hardware, l'infrastruttura di supporto e il personale necessari.
- I dati vengono aggiornati in modo continuo o poco dopo il sito primario, quindi si perdono pochi dati e il ripristino è rapido.
- I warm site hanno una parte delle apparecchiature e richiedono una configurazione prima dell'uso. I cold site offrono solo spazio ed energia.
- Nei termini di AWS, questo corrisponde a "hot standby" (active/passive a piena capacità) o "multi-site active/active", la strategia più complessa e costosa.
- La replica non protegge da corruzione dei dati o ransomware. Servono comunque backup point-in-time.
Che cos'è un hot site nel disaster recovery?
È una sede alternativa che esegue già, o può eseguire subito, una copia dei vostri sistemi di produzione. Quando il sito primario si guasta, reindirizzate gli utenti e continuate a lavorare.
Il riferimento standard statunitense è NIST SP 800-34, la Contingency Planning Guide for Federal Information Systems. Definisce questo tipo di sito come dotato di apparecchiature sufficienti, del software di produzione corrente e di storage adeguato, con gli ultimi dati di backup già caricati. In molti casi i suoi database vengono aggiornati contemporaneamente a quelli primari o poco dopo. Il NIST osserva inoltre che il sito richiede un modo per spostare rapidamente la connettività degli utenti e un supporto operativo vicino a quello del sito di produzione.
Un esempio del NIST è quello di due sistemi identici in sedi diverse, entrambi in produzione, ciascuno in grado di sostenere l'intero carico di lavoro, con dati sincronizzati in modo continuo. Il NIST la definisce l'opzione più costosa.
Hot site, warm site e cold site a confronto
I tre tipi di sito differiscono per quanto è pronto prima di un disastro. Più preparazione significa ripristino più rapido e costo di esercizio più alto.
| Caratteristica | Cold site | Warm site | Hot site |
|---|---|---|---|
| Che cosa è già presente | Spazio, energia, collegamenti di telecomunicazione, controlli ambientali | Parte o tutto l'hardware, il software, le telecomunicazioni e l'alimentazione | Hardware completo, infrastruttura di supporto e personale |
| Dati | Ripristinati da backup dopo l'evento | Ripristinati o replicati in parte | Aggiornati o quasi, spesso replicati in modo continuo |
| Tempo di attivazione | Lungo | Medio | Breve |
| Costo | Basso | Medio | Da medio ad alto |
| Uso tipico | Sistemi che possono restare fermi per giorni | Sistemi importanti con una certa tolleranza | Sistemi per cui contano i minuti di fermo |
Le righe su tempo di attivazione e costo seguono la tabella di esempio dei criteri per i siti alternativi del NIST. I tempi di ripristino effettivi dipendono dalla vostra architettura e dai test, non dall'etichetta.
Come funziona un hot site?
Una configurazione funzionante ha quattro componenti che devono restare allineati alla produzione:
- Infrastruttura: server, storage e capacità di rete dimensionati per il carico di lavoro che dovete eseguire lì.
- Replica dei dati: copia sincrona o asincrona di database e file dal sito primario.
- Configurazione e codice: le stesse versioni software, patch e impostazioni della produzione, idealmente distribuite dagli stessi template di infrastructure-as-code.
- Commutazione del traffico: modifiche a DNS, load balancer o rete che indirizzano gli utenti al sito di ripristino quando lo attivate.
Che cosa succede all'attivazione?
L'attivazione è una decisione, non solo un passaggio tecnico. Il responsabile dell'incidente conferma che il sito primario non può riprendersi entro il recovery time objective (RTO) concordato, poi il team segue il runbook: interrompe se possibile le scritture sul sito primario, promuove i database replica, commuta il traffico, verifica che le applicazioni funzionino e informa utenti e stakeholder. AWS osserva che il failover automatico basato sugli health check va usato con cautela, perché un falso allarme costa disponibilità e dati. Molti team quindi avviano il failover manualmente, ma automatizzano ogni passaggio dietro quel pulsante.
Hot site nel cloud: hot standby e active/active
Nel cloud raramente si affitta un edificio separato. Si esegue invece una seconda copia dell'ambiente in un'altra regione o Availability Zone. Il whitepaper AWS sul disaster recovery descrive quattro strategie, dalla più economica alla più completa:
| Strategia AWS | Che cosa gira nella regione di ripristino | Tipo di sito più vicino |
|---|---|---|
| Backup and restore | Solo i backup; l'infrastruttura viene ridistribuita dopo l'evento | Cold site |
| Pilot light | Dati replicati e servizi di base attivi; server applicativi spenti | Da cold a warm |
| Warm standby | Una copia ridotta ma pienamente funzionante, in grado di accettare subito il traffico | Warm site |
| Hot standby / multi-site active/active | Piena capacità, in attesa (active/passive) oppure al servizio degli utenti (active/active) | Hot site |
AWS definisce il multi-site active/active l'approccio più complesso e costoso, ma afferma che può portare il tempo di ripristino vicino a zero per la maggior parte dei disastri. Sottolinea inoltre che la maggior parte dei clienti che costruisce un secondo ambiente completo finisce per usarlo in modalità active/active, dato che lo sta comunque pagando.
Una configurazione cloud ha due vantaggi rispetto a una fisica. Potete testare il failover senza spostare persone e potete ricostruire l'intero ambiente dal codice se qualcosa si discosta dalla configurazione. Il compromesso è che pagate la piena capacità in due posti, oltre al trasferimento dati per la replica.
Un hot site vale il suo costo?
Solo per i sistemi in cui il costo del fermo supera il costo di gestire un secondo ambiente. Partite da una business impact analysis, definite un RTO e un recovery point objective (RPO) per ogni sistema e abbinate il tipo di sito a questi obiettivi. La nostra guida a RPO e RTO mostra come definirli.
Il NIST fa qui un'osservazione utile: un singolo sistema può richiedere strategie diverse per funzioni diverse. L'elaborazione degli ordini può richiedere un failover immediato, mentre i report mensili sulla stessa piattaforma possono attendere giorni. Una suddivisione in livelli di questo tipo mantiene ridotta l'infrastruttura sempre attiva e la spesa gestibile.
Checklist prima di costruirne uno
- Abbastanza lontano dal sito primario, in modo che un singolo evento regionale non possa colpire entrambi.
- Capacità per il carico di lavoro critico, non necessariamente per tutto.
- Ritardo di replica monitorato rispetto al vostro RPO, con alert.
- Backup point-in-time conservati separatamente, per recuperare da corruzione o ransomware che la replica copierebbe.
- Controlli di sicurezza equivalenti alla produzione: identità, firewall, logging e cifratura.
- Un runbook di failover con responsabili nominati e un piano di failback.
- Test di failover regolari, documentati nel vostro piano di disaster recovery.
Come vi aiuta Opsio
Opsio progetta e gestisce il disaster recovery nel cloud su AWS, Azure e Google Cloud, dal pilot light alle configurazioni multi-regione complete, e testa il failover insieme al vostro team. Per WorkBuster, una piattaforma SaaS globale di recruiting, abbiamo realizzato l'ambiente AWS su MySQL RDS Multi-AZ e auto-scaling, con template CloudFormation per poter ridistribuire l'infrastruttura in modo coerente; leggete il caso WorkBuster.
Domande frequenti
Qual è la differenza tra un hot site e un cold site?
Il primo ha apparecchiature, software e dati aggiornati pronti e può subentrare rapidamente. Il secondo ha solo spazio, energia e collegamenti di rete, quindi i sistemi vanno installati e ripristinati da backup prima di riprendere il lavoro.
Con che rapidità un hot site può subentrare nelle operazioni?
Di solito da minuti a ore, a seconda di quanto sono aggiornati i dati e di quanto è automatizzata la commutazione. Una configurazione cloud active/active può portare il tempo di ripristino vicino a zero per la maggior parte dei guasti, ma il recupero da corruzione dei dati dipende comunque dai backup.
Un hot site è la stessa cosa di un mirrored site?
Sono molto simili. Un mirrored site esegue una copia identica e sincronizzata in modo continuo della produzione. L'esempio del NIST di due sistemi di produzione identici, ciascuno in grado di sostenere l'intero carico, è di fatto un mirrored site.
Mi serve un hot site se lavoro nel cloud?
Non automaticamente. Operare su più Availability Zone protegge già dalla perdita di un data center. Un hot standby in una seconda regione vale la pena quando disservizi regionali, normative o contratti richiedono tempi di ripristino molto brevi.
Che cosa significa "hotsite" nel marketing?
Nel marketing, soprattutto in Brasile, un "hotsite" è un piccolo sito web temporaneo per una campagna o il lancio di un prodotto. Non ha nulla a che fare con il disaster recovery.
Scritto da
Group COO & CISO
Fredrik è il COO e CISO del gruppo presso Opsio. Si concentra sull'eccellenza operativa, sulla governance e sulla sicurezza delle informazioni, lavorando a stretto contatto con i team di delivery e di leadership per allineare tecnologia, rischio e risultati di business in ambienti IT complessi. Guida la pratica di sicurezza di Opsio, inclusi i servizi SOC, i test di penetrazione e i framework di conformità.
Standard editoriali: Questo articolo è stato scritto dal professionista cloud indicato sopra. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.