Hva er et hot site i katastrofegjenoppretting? Definisjon og alternativer i skyen

Et hot site er et fullt utstyrt gjenopprettingssted, med maskinvare, programvare, nettverkslinjer og oppdaterte data på plass, som kan overta fra primærstedet innen minutter til timer. Det er den raskeste og dyreste typen DR-sted (disaster recovery). I skyen tilsvarer det en hot standby eller en active/active-løsning i en andre region.

Viktigste punkter

• NIST beskriver hot sites som anlegg dimensjonert for systemet og konfigurert med nødvendig maskinvare, støtteinfrastruktur og støttepersonell.
• Dataene oppdateres kontinuerlig eller kort tid etter primærstedet, så lite data går tapt og gjenopprettingen går raskt.
• Warm sites har noe utstyr og krever oppsett før bruk. Cold sites gir kun plass og strøm.
• I AWS-termer tilsvarer dette «hot standby» (active/passive med full kapasitet) eller «multi-site active/active», den mest komplekse og kostbare strategien.
• Replikering beskytter ikke mot dataskade eller løsepengevirus. Du trenger fortsatt backuper for bestemte tidspunkter (point-in-time).

Hva er et hot site i katastrofegjenoppretting?

Det er et alternativt sted som allerede kjører, eller umiddelbart kan kjøre, en kopi av produksjonssystemene dine. Når primærstedet svikter, omdirigerer du brukerne og fortsetter å jobbe.

Den amerikanske standardreferansen er NIST SP 800-34, Contingency Planning Guide for Federal Information Systems. Den definerer denne stedstypen som et sted med nok utstyr, gjeldende produksjonsprogramvare og tilstrekkelig lagring, med de siste sikkerhetskopierte dataene lastet inn. I mange tilfeller oppdateres databasene samtidig med, eller kort tid etter, primærdatabasene. NIST peker også på at stedet trenger en måte å flytte brukernes tilkobling raskt på, og driftsstøtte på nivå med produksjonsstedet.

Et av NISTs eksempler er to identiske systemer på ulike steder, begge i produksjon, hver i stand til å bære hele arbeidsbelastningen, med kontinuerlig synkroniserte data. NIST kaller dette det dyreste alternativet.

Hot site, warm site og cold site

De tre stedstypene skiller seg i hvor mye som er klart før en katastrofe. Mer beredskap gir raskere gjenoppretting og høyere løpende kostnad.

Radene for oppsettstid og kostnad følger NISTs eksempeltabell med kriterier for alternative steder. Eksakte gjenopprettingstider avhenger av design og testing, ikke av etiketten.

Hvordan fungerer et hot site?

Et fungerende oppsett har fire deler som må holdes i takt med produksjon:

1. Infrastruktur: servere, lagring og nettverkskapasitet dimensjonert for arbeidslasten du trenger å kjøre der.
2. Datareplikering: synkron eller asynkron kopiering av databaser og filer fra primærstedet.
3. Konfigurasjon og kode: de samme programvareversjonene, patchene og innstillingene som i produksjon, helst utrullet fra de samme malene for infrastructure as code.
4. Trafikkbytte: DNS-, lastbalanserer- eller nettverksendringer som sender brukerne til gjenopprettingsstedet når du aktiverer det.

Hva skjer ved aktivering?

Aktivering er en beslutning, ikke bare et teknisk trinn. Hendelseslederen bekrefter at primærstedet ikke kan gjenopprettes innen avtalt gjenopprettingstid (RTO), deretter følger teamet driftsrutinen: stoppe skriving til primærstedet hvis mulig, promotere replikadatabasene, bytte trafikk, kontrollere at applikasjonene fungerer, og informere brukere og interessenter. AWS peker på at automatisk failover basert på helsesjekker bør brukes med forsiktighet, fordi en falsk alarm koster tilgjengelighet og data. Mange team utløser derfor failover manuelt, men automatiserer hvert trinn bak knappen.

Hot sites i skyen: hot standby og active/active

I skyen leier du sjelden en egen bygning. I stedet kjører du en andre kopi av miljøet i en annen region eller tilgjengelighetssone (Availability Zone). AWS-whitepaperen om katastrofegjenoppretting beskriver fire strategier, fra den billigste til den mest komplette:

AWS kaller multi-site active/active den mest komplekse og kostbare tilnærmingen, men sier at den kan bringe gjenopprettingstiden nær null ved de fleste katastrofer. De påpeker også at de fleste kunder som bygger et fullt andre miljø ender opp med å bruke det active/active, siden de uansett betaler for det.

Et oppsett i skyen har to fordeler fremfor et fysisk. Du kan teste failover uten å flytte personell, og du kan bygge opp hele miljøet på nytt fra kode hvis noe avviker. Ulempen er at du betaler for full kapasitet to steder, pluss dataoverføring for replikering.

Er et hot site verdt kostnaden?

Bare for systemer der nedetid koster mer enn å drifte et andre miljø. Ta utgangspunkt i en konsekvensanalyse (business impact analysis), sett en RTO og et gjenopprettingspunkt (RPO) for hvert system, og tilpass stedstypen til målene. Veiledningen vår om RPO og RTO viser hvordan du setter dem.

NIST kommer med et nyttig poeng her: ett system kan trenge ulike strategier for ulike funksjoner. Ordrebehandling kan kreve umiddelbar failover, mens månedlig rapportering på samme plattform kan vente i dagevis. Slik inndeling i nivåer holder det alltid-påslåtte fotavtrykket lite og regningen håndterbar.

Sjekkliste før du bygger et

• Langt nok fra primærstedet til at én regional hendelse ikke kan ramme begge.
• Kapasitet for den kritiske arbeidslasten, ikke nødvendigvis for alt.
• Replikeringsforsinkelse overvåket mot RPO, med alarmer.
• Backuper for bestemte tidspunkter lagret separat, for å gjenopprette etter dataskade eller løsepengevirus som replikeringen ville kopiert.
• Sikkerhetskontroller på nivå med produksjon: identitet, brannmurer, logging og kryptering.
• En driftsrutine for failover med navngitte eiere, og en plan for failback.
• Jevnlige failover-tester, dokumentert i katastrofegjenopprettingsplanen din.

Slik hjelper Opsio

Opsio designer og drifter katastrofegjenoppretting i skyen på AWS, Azure og Google Cloud, fra pilot light til fullstendige oppsett i flere regioner, og tester failover sammen med teamet ditt. For WorkBuster, en global SaaS-plattform for rekruttering, bygde vi AWS-miljøet på Multi-AZ MySQL RDS og autoskalering, med CloudFormation-maler slik at infrastrukturen kan rulles ut konsekvent på nytt; les kundecaset om WorkBuster.

Ofte stilte spørsmål

Hva er forskjellen mellom et hot site og et cold site?

Det første har utstyr, programvare og oppdaterte data klare og kan overta raskt. Det andre har bare plass, strøm og nettverkstilkoblinger, så systemene må installeres og gjenopprettes fra backup før arbeidet kan gjenopptas.

Hvor raskt kan et hot site overta driften?

Vanligvis minutter til timer, avhengig av hvor oppdaterte dataene er og hvor automatisert byttet er. Et active/active-oppsett i skyen kan bringe gjenopprettingstiden nær null ved de fleste feil, men gjenoppretting etter dataskade avhenger fortsatt av backuper.

Er et hot site det samme som et speilet sted?

De er nære. Et speilet sted kjører en identisk, kontinuerlig synkronisert kopi av produksjon. NISTs eksempel med to identiske produksjonssystemer som hver bærer hele lasten, er i praksis et speilet sted.

Trenger jeg et hot site hvis jeg kjører i skyen?

Ikke automatisk. Drift på tvers av flere tilgjengelighetssoner beskytter allerede mot tap av ett datasenter. En hot standby i en andre region er verdt det når regionale avbrudd, regelverk eller kontrakter krever svært korte gjenopprettingstider.

Hva betyr «hotsite» i markedsføring?

I markedsføring, særlig i Brasil, er et «hotsite» et lite midlertidig nettsted for en kampanje eller en produktlansering. Det har ingenting med katastrofegjenoppretting å gjøre.