Sicherheit für Unternehmensdaten, Teil 2 Storage-Security: Backup-Verfahren und -Schutz

Anbieter zum Thema

FAST LTA GmbH

Impossible Cloud GmbH

Ransomware ist seit Jahren in den Schlagzeilen. Immer wieder sind Unternehmen oder Kliniken betroffen und können nicht mehr auf ihre geschäfts- oder prozesskritischen Daten zugreifen. Zudem sei zu beobachten, dass auch die Backup-Systeme selbst Ziel einer solchen Attacke würden. Teil 2 unserer fünfteiligen Serie erläutert, wie Backups angefertigt und geschützt werden.

Derzeit ist es keine Frage mehr, ob, sondern lediglich wann ein Unternehmen von einem Ransomware-Angriff getroffen wird. Das Hauptproblem ist, dass der Faktor Mensch die entscheidende Rolle spielt. Wenn ein schlecht informierter E-Mail-Empfänger ein Phishing- oder Malware-Attachment öffnet, das er oder sie eigentlich nicht hätte öffnen sollen, haben die Cyberkriminellen die erste Hürde schon übersprungen und dringen hinter der Firewall weiter vor.

Gefahr für Primär-Backups

Die Angreifer bringen den Geschäftsbetrieb zum Erliegen, indem sie den Zugriff auf Produktionsdateien und Speichergeräte verschlüsseln. Die zuverlässige, schnelle Wiederherstellung aus Backups ist daher eine der wichtigsten, wenn nicht sogar die wichtigste Gegenmaßnahme.

In der Regel verschlüsselt Ransomware nur Daten, die auf dem Primärspeicher vorgehalten werden. Die Angreifer wissen, dass bereits die herkömmliche Datenwiederherstellung (Disaster Recovery, DR) von Bandspeicher oder anderen Archiven sehr zeitaufwändig – und nicht immer erfolgreich – ist. Dies erhöht die Chance, dass Unternehmen auf die Lösegeldforderung eingehen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dringend von Zahlungen ab.

Das wichtigste Verfahren für die Storage-Security besteht darin, mehrere Generationen von Backups anzulegen. Diese Sicherungskopien können schrittweise, als Snapshots oder als inkrementelles oder vollständiges Backup angelegt und mit einem Zugangsverfahren wie etwa Multi-Faktor- oder Multi-Person-Authentifizierung geschützt werden.

Komplett-/Vollsicherung

Es gibt, wie gesagt, mehrere Vorgehensweisen für das Anlegen von Sicherungskopien. Die Komplett- oder Vollsicherung wird in Programmen auch als „Normale Sicherung“ bezeichnet. Hierbei werden die jeweils zu sichernden Daten (ein komplettes Laufwerk, eine Partition, bestimmte Verzeichnisse und/oder bestimmte Dateien, bestimmte Dateiformate) komplett auf das Sicherungsmedium übertragen und als gesichert markiert.

Als Vorteil gilt, dass die Vollsicherung technisch sehr einfach ist – ein reines Kopieren der Daten reicht, und das Schreiben eigener Backup-Programme gestaltet sich leicht. Nachteilig ist der sehr hohe Speicherbedarf. Außerdem fällt eine Vollsicherung bei großen Datenmengen sehr zeitintensiv aus. Oft wird die Sicherung deshalb parallelisiert, wodurch allerdings die Arbeitsgeschwindigkeit reduziert wird.

Sicherheit für Unternehmensdaten, Teil 1

Storage-Security: Replikation und Verschlüsselung

Bei manchen Dateisystemen kann auch ein nur lesbarer Snapshot der zu sichernden Daten erstellt werden. Während der Inhalt dieses Snapshots im Hintergrund gesichert wird, können bereits Änderungen an den Daten vorgenommen werden, welche dann über Copy-on-Write gespeichert werden. Der Vorteil besteht darin, dass das Dateisystem auch während der Dauer des Backups genutzt werden kann und eine konsistente Sicherung entsteht.

Speicherabbildsicherung

Bei der Speicherabbildsicherung (englisch: image backup) kann der komplette Datenträger (meist die Festplatte, aber auch USB-Massenspeicher, optische Medien oder bei einigen Programmen auch Datenträger im Netzwerk) oder nur eine Partition durch ein 1-zu-1-Abbild gesichert werden. So können beispielsweise nicht nur die Nutzdaten, sondern das gesamte Dateisystem inklusive Betriebssystem und Benutzereinstellungen gespeichert werden.

Der Vorteil dieser Sicherung besteht darin, dass bei einem Totalausfall des Rechners das Speicherabbild auf den Datenträger zurückgeschrieben und dadurch der Zustand der jeweiligen Datenträger zum Sicherungszeitpunkt vollständig wiederhergestellt werden kann. Bei einer derartigen Wiederherstellung wird entweder das gesamte Dateisystem in seiner Originalstruktur wiederhergestellt (in diesem Fall ist kein Dateisystemtreiber erforderlich, sondern lediglich ein Gerätetreiber für den Datenträgerzugriff), oder ein besonderer Treiber liest regulär das Dateisystem und extrahiert nur die gewünschten Verzeichnisse und Dateien aus der Sicherung, um diese als normale Verzeichnisse und Dateien in das aktuelle Dateisystem zu integrieren beziehungsweise die aktuellen mit den älteren gesicherten Daten zu überschreiben („Inkrementelles Backup“).

Inkrementelles Backup

Eine gute Methode zur desasterresistenten Aufbewahrung kritischer Unternehmensdaten ist das inkrementelle Backup. Dazu eine Definition von Storage-Insider: „Ein inkrementelles Backup ist eine Datensicherung, welche die Daten sichert, die sich seit dem letzten Backup verändert haben. Das letzte Backup kann sowohl eine Vollsicherung als auch ein inkrementelles Backup sein. Zur vollständigen Datenwiederherstellung müssen alle Backups bis zur letzten inkrementellen Sicherung eingespielt werden.“ Der Vorteil eines inkrementellen Backups gegenüber vollständigen Backups liegt auf der Hand: die Zeitersparnis.

Mittels verschiedener Techniken (Datumsstempel, Prüfsummen) muss gewährleistet sein, dass die vollständige Kette (Vollsicherung – inkrementelle Sicherungen 1, 2, 3 usw. – Originaldaten) fehlerfrei nachvollziehbar ist.

Zu beachten ist, dass die Inkremente auf zwei Weisen gespeichert werden können:

Üblich sind die „forward deltas“ (delta = „Unterschied“). Dies entspricht dem oben beschriebenen Fall: Die (ältere) Vollsicherung dient als Fundament und wird nicht verändert, während darauf die Inkremente aufgebaut werden. Der aktuelle Datenbestand kann nur unter Berücksichtigung von Inkrementen wiederhergestellt werden.

Eine inkrementelle Sicherung mit „reverse deltas“ kehrt dieses Prinzip um. Man stelle sich die Kante eines Daches vor, von der Eiszapfen herunterwachsen. Die Vollsicherung verändert sich bei jeder Datensicherung und stellt hier die Dachkante dar. Die anwachsenden Eiszapfen sind die Inkremente. Hat sich eine Datei gegenüber der letzten Vollsicherung verändert, wird die vorherige Dateiversion als Inkrement gespeichert – der Eiszapfen wächst nach unten –, während die derzeit aktuelle Version in die Vollsicherung eingefügt wird. Auf die Vollsicherung kann jederzeit problemlos zugegriffen werden, während eine ältere Version einer Datei nur durch Berücksichtigung der Inkremente wiederhergestellt werden kann.

Die 3-2-1-/3-2-1-1-0-Backup-Regel

Bei der Absicherung von Daten für den Katastrophenfall kommt zumeist die 3-2-1-Backup-Regel zum Einsatz. Hierfür gelten drei goldene Regeln:

• Mindestens drei Datenkopien anlegen („3“),

• Speicherung der Daten auf mindestens zwei verschiedenen Medien („2“),

• eine Backup-Kopie an einem externen Standort („offsite“; „1“).

Heute wird die traditionelle 3-2-1-Backup-Regel teilweise um zwei weitere Regeln erweitert:

• Eine Kopie soll auf einem Wechseldatenträger („offline“, zum Beispiel Tape) gespeichert sein („1“),

• die Backups dürfen keine Fehler enthalten („0“).

Continuous Data Protection (CDP)

Aufgrund fortgesetzter Ransomware-Attacken empfehlen sich statt regelmäßiger Backups kontinuierliche Sicherungen. Continuous Data Protection (CDP) stellt eine Sicherungsmethode dar, die Änderungen an den Daten auf virtueller Ebene in Echtzeit speichert. So kann im Falle einer Korrumpierung zu jedem beliebigen Zeitpunkt (Wiederherstellungspunkt) zurückgekehrt und der entsprechende Systemzustand wiederhergestellt werden.

Gerade bei Ransomware-Attacken empfiehlt sich dieses Verfahren, kann doch das System zum Zeitpunkt kurz vor dem Angriff wiederhergestellt werden. Und zwar schnell, weil das Backup nicht mehr den gesamten Datenbestand abgleicht, sondern nur die Änderungen an den Daten nachverfolgt – ein klassisches Backup-Fenster ist nicht nötig.

Differenzielle Sicherung

Bei der sogenannten differenziellen Sicherung werden alle Dateien, die seit der letzten Komplettsicherung geändert wurden oder neu hinzugekommen sind, gespeichert. Es wird also immer wieder auf der letzten Komplettsicherung aufgesetzt, wobei gegenüber einer neuen Vollsicherung Speicherplatz und Zeit gespart werden können. Wenn eine Datei geändert wurde, wird die jeweilige Version der Datei bei jedem differenziellen Lauf gesichert.

Vorteilhaft ist der deutlich reduzierte Speicherbedarf, und dass die derzeit aktuelle Datensicherung nur einen Schritt von der letzten Vollsicherung entfernt ist. Die Programmierung der Backup-Software kann relativ simpel sein. Ebenfalls von Vorteil ist, dass nicht mehr benötigte Sicherungsstände unabhängig voneinander gelöscht werden können, während inkrementelle Sicherungen zwangsläufig miteinander verkettet sind. Bei sehr großen Dateien, die sich häufig ändern (VMs, Datenbanken, Postfach-Dateien mancher E-Mail-Programme) ist die differenzielle Sicherung jedoch nachteilig; die differenzielle Sicherung sichert trotz kleinster Änderungen in jedem Fall die ganze Datei erneut.

Container-Schutz

Die bevorzugte Technologie für eine Cloud-native Microservices-Architektur ist die Container-Technologie Kubernetes. Sie verfügt über eine entsprechende Programmierschnittstelle namens CSI. Mit deren Hilfe ist es möglich, externe Services wie etwa Amazon S3 Object Lock und Lösungen wie etwa Veritas NetBackup einzubinden, um die Inhalte von Containern oder ganzen Clustern zu sichern.

Aktuelles eBook

Storage-Software als Effizienzbooster

Mit der geeigneten Storage-Software kann sich ein Unternehmen einen Effizienzbooster ins Haus holen oder in der Cloud abonnieren. Dieser Booster steigert nicht nur die Performance der geschäftskritischen Anwendungen, sondern optimiert auch die Kosten der bereits installierten Speichersysteme.

Die Themen im Überblick:

• Herausforderungen eines modernen Speichersystems
• Methoden und Technologien effizienter Speichersysteme
• Effizienter Speicher mit Pure Storage, AWS, Cohesity und Dell

eBook „Storage-Software als Effizienzbooster“ kostenlos downloaden

(ID:50252219)