Ransomware-Abwehr Datensicherheit: die drei entscheidenden Faktoren

Anbieter zum Thema

Infinidat Germany GmbH

FAST LTA GmbH

FTAPI Software GmbH

Es ist ein altbekannter Grundsatz in der Cybersicherheit: Bösewichte werden früher oder später erfolgreich sein und in die IT-Infrastruktur eindringen. Die dringlichste Frage ist: Was dann? Drei Hauptfaktoren entscheiden darüber, wie viel Schaden ein Cyberangriff in einem Unternehmen anrichten kann: 1. Backup-Lücke, 2. Datenqualität und 3. Wiederherstellungszeit.

Backup-Lücke

Backup-Technologie und -Verfahren haben sich in den letzten Jahren stark verbessert. Die Verwendung von Snapshots, insbesondere von unveränderlichen, bewirkt einen großen Unterschied zu früher. Allerdings gibt es eine Einschränkung: Selbst unveränderliche Snapshots weisen Schutzlücken auf, weil unveränderliche Snapshots – je nach Backup-Zeitplan – in zeitlichen Abständen erstellt werden. Außerdem können auch diese korrumpierten Daten repliziert werden. Dieses Problem ist nicht neu, sondern gehört schon seit Jahren zu den Herausforderungen bei der Notfallwiederherstellung. Es stellt sich also die Frage: Wie kann man versuchen, die Lücke zu schließen, vor allem, wenn der Zeitpunkt und die Art eines erfolgreichen Angriffs ungewiss sind?

Im Prinzip ist die Antwort auf diese Frage ganz einfach: Wenn du etwas siehst, tu etwas! Leider lässt sich dieser Grundsatz nicht so leicht in die Praxis umsetzen. Unternehmen widmen ganze Teams der Verwaltung ihrer Cybersicherheit, doch selbst mit diesen Ressourcen kann es sehr lange dauern, bis entschieden wird, ob ein Speicheradministrator vor potenziellen Bedrohungen gewarnt werden muss. Die traurige Wahrheit ist, dass dieser Kontakt oft nicht erfolgt, sodass Angreifern reichlich Gelegenheit bleibt, wertvolle Unternehmensdaten über verschiedene Angriffsvektoren zu beschädigen, zu verschlüsseln oder auszunutzen.

Daher ist ein automatischer Prozess erforderlich, der sofort einen unveränderlichen Snapshot des Speichersystems auslöst, wenn eine verdächtige Aktivität festgestellt wird. Wie dies geschehen kann, hängt von den Cybersicherheitsmechanismen ab, die einem Unternehmen zur Verfügung stehen. Einige Umgebungen mögen einfach sein und Daten in einfachen Syslogs sammeln, während andere komplexer sind und SIEM- (Security Information and Event Management) und/oder SOAR-Cybersecurity-Software-Lösungen (Security Orchestration and Response) nutzen, um Warnungen und Reaktionen in ihren Security Operations Centern (SOC) zu konsolidieren. Unabhängig von der Komplexität verfügen alle diese Umgebungen über eine Reihe von Anwendungsprogrammierschnittstellen (APIs), Befehlszeilenschnittstellen (CLIs) und so weiter, die in der Lage sind, Daten für weitere Maßnahmen zu übermitteln oder zu empfangen.

Ein fortschrittliches Speichersystem, das mit Blick auf Cybersicherheit entwickelt wurde, kann eine von einem dieser Systeme (Syslog, SIEM oder SOAR) generierte Warnung oder Benachrichtigung nutzen, um einen Snapshot auszulösen, wenn entsprechende Änderungen oder Ereignisse festgestellt werden. Da Software diesen Prozess automatisiert, erfolgt er ohne Verzögerung, sodass die Backup-Lücke geschlossen wird. Sobald ein unveränderlicher Snapshot erstellt wurde, sollte er eine Standardaufbewahrungszeit haben – eine angemessene Dauer, die verlängert, aber nicht verkürzt werden kann. Ein wirklich unveränderlicher Snapshot lässt keine vorzeitige Löschung zu, auch nicht durch Speicheradministratoren. Solche Schlupflöcher schaffen einfach Sicherheitslücken, egal, was andere behaupten mögen.

Datenqualität

Sobald ein System automatisch reagiert hat, ist es entscheidend, den Status der Daten zu bestimmen. Im Idealfall bietet ein Speichersystem Cyber-Resilience-Services, die eine tiefgreifende KI/ML-basierte Überprüfung der Dateninhalte innerhalb eines unveränderlichen Snapshots umfassen. Dieser gründliche Scan auf Inhaltsebene sollte Hunderte von Datenpunkten nutzen und selbstlernende Algorithmen einsetzen, um Metadaten zu analysieren und festzustellen, ob die Daten gut oder korrumpiert sind.

Das Ergebnis des Scans sollte sehr detaillierte und umsetzbare Erkenntnisse liefern, die alle kompromittierten Daten genau identifizieren und präzise Informationen zu deren Speicherort liefern. Dies spart dem forensischen Team wertvolle Zeit, da es genau weiß, wo es suchen muss. Diese Fähigkeit sollte auch für virtualisierte Systeme wie VMware-Datenspeicher gelten. Es sollte möglich sein, Volumes oder Dateisysteme, die für VMware-Datenspeicher verwendet werden, mit der gleichen Präzision zu scannen wie normale Datenvolumes und Dateisysteme.

Wiederherstellungszeit

Der dritte Faktor, der dazu beiträgt, die Auswirkungen eines erfolgreichen Cyberangriffs abzuschwächen, ist die Wiederherstellungszeit. Diese Zeit sollte so kurz wie möglich und unabhängig von der Menge und Art der wiederherzustellenden Daten sein. Wenn man zum Beispiel ein komplettes Multi-TB-Volume wiederherstellen muss, sollte man in der Lage sein, auf die letzte gemeldete gute Kopie zu klicken, und die Wiederherstellung sollte sofort erfolgen. Benötigt man eine Datei oder ein Verzeichnis, kann der Snapshot auf ein System in einer gesicherten forensischen Umgebung gemountet werden. Dann kann man die benötigten Daten kopieren und bei Bedarf mit der eigenen Anwendung (z. B. einer Datenbank) weiter überprüfen oder direkt zurück in die Produktivumgebung kopieren. Technisch gesehen kann ein Speichersystem eine sofortige Wiederherstellung aus unveränderlichen Snapshots bieten, indem es Daten direkt aus dem Snapshot bereitstellt, während der Wiederherstellungsprozess im Hintergrund abläuft.

Integriert, kosteneffizient und garantiert

All dies sollte von Anfang bis Ende orchestriert und in eine einzige Plattform integriert sein, die einfach zu verwalten und zu pflegen ist. Diese eng integrierten Funktionen sollten außerdem kostenlos oder zu einem sehr niedrigen Preis erhältlich sein, je nach der Menge der zu scannenden und wiederherzustellenden Daten. Es sollte ein Unternehmen kein Vermögen kosten, sich vor dem Verlust eines Vermögens durch Cyberkriminalität zu schützen!

Und nicht zuletzt wird ein Speicheranbieter, der von den Fähigkeiten seiner Systeme überzeugt ist, eine Wiederherstellungszeit von weniger als einer Minute für vollständige Snapshots garantieren, unabhängig von deren Größe.

* Der Autor: Eric Herzog, CTO bei Infinidat

(ID:50132928)