Backup-Tests effizient gestalten Ein nicht getestetes Backup ist schlimmer als gar kein Backup!

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

valvisio international AG

Ungeprüfte Backups sind ein Risiko, denn sie wiegen in verhängnisvoller Sicherheit und führen zur Katastrophe, wenn sich im Notfall herausstellt, dass sie sich gar nicht zurückspielen lassen. Für die Datensicherheit spielt es daher eine große Rolle sicherzustellen, dass die Backups fehlerfrei sind und sich jederzeit wiederherstellen lassen. Dazu sind regelmäßige Tests unverzichtbar.

Die Backup-Tests stellen eine Art Stiefkind der IT-Abteilungen dar, da sie Zeit kosten, in vielen Fällen einen großen Aufwand mit sich bringen und bei den damit betrauten Mitarbeitern als langweilig gelten. Wir haben uns mit der Frage auseinandergesetzt, wie Administratoren Backup-Tests effizient durchführen und automatisieren.

Security-Insider Podcast – Folge 71

So machen Sie beim Backup keine Fehler!

Das Testen von Backups gestaltet sich dabei komplizierter als gedacht. In manchen Fällen reicht es zwar aus, einzelne Dateien von Backup-Medien an andere Orte, als die ursprüngliche Datenquelle zurückzuspielen und zu überprüfen, ob sie lesbar sind. Wenn es um das Backup von Datenbanken, virtuellen Umgebungen, Daten in Homeoffices und Ähnlichem geht, führt dieser Ansatz aber nicht zum Ziel. Um hier die Backups zu testen, wäre es in vielen Fällen erforderlich, Test-Zielsysteme bereit zu stellen, auf denen man nach dem Restore-Vorgang sehen kann, ob die wiederhergestellten Virtuellen Maschinen (VMs) beziehungsweise Datenbanken so funktionieren, wie erwartet. Das ist mit einem unverhältnismäßigen Aufwand verbunden und erzeugt im Zweifelsfall auch zusätzliche Kosten.

Überprüfung der Daten mit Checksummen

Was lässt sich also tun? Praktisch alle modernen Backup-Lösungen bringen Out-of-the-Box diverse Funktionen mit, die verhindern sollen, dass während des Backup-Prozesses falsche Daten geschrieben werden. So gibt es beispielsweise Checksummen, die herausfinden, wenn Bits gekippt sind, Fehler der CPUs auftreten oder es zu Übertragungsfehlern im Netz kommt. Das Prüfen der Checksummen verbraucht aber relativ viele Ressourcen, so dass er nur ein Mosaikstein beim Sicherstellen der Datenintegrität sein kann.

Wiederherstellung in virtuellen Umgebungen

Um nicht nur Datenfehler während des Backups herauszufinden, sondern die gesicherten Daten wirklich zu testen, besteht eine Möglichkeit darin, die Backup-Tests komplett in virtuelle Umgebungen auszulagern. So gibt es beispielsweise bei Veeam das Feature “DataLab”. Ursprünglich konnte dieses zum Einsatz kommen, um gesicherte VMs direkt aus dem Backup zu starten und so zu sehen, ob diese funktionsfähig waren. Heutzutage bleibt diese Funktion nicht mehr nur auf virtuelle Umgebungen beschränkt.

Wie ging das nochmal mit der Datensicherung?

Backup-Strategien für Security-Spezialisten

Thomas Sandner, Senior Director Technical Sales Germany bei Veeam sagt dazu: “Es besteht die Option, unter Vmware oder Hyper-V einen isolierten, virtuellen Switch mit einem isolierten, virtuellen Netz anzulegen. In diesem lassen sich dann die VMs aus dem Backup starten, also zum Beispiel ein Domänencontroller, ein Datenbank-Server, ein Applikations-Server und so weiter. Dabei besteht sogar die Option, Application Groups zu definieren, die festlegen, in welcher Reihenfolge die VMs hochkommen. Anschließend besteht die Möglichkeit, Heartbeats zu überprüfen und Verbindungen mittels Ping zu testen. Bei Bedarf haben die Verantwortlichen zudem Gelegenheit, über eine Proxy-Appliance von draußen in die Systeme hineinzugehen, Datenbanken zu verbinden, Webserver zu nutzen oder auch Skripts zu starten. Auf diese Weise wird schnell klar, ob die Funktionalität gegeben ist.”

Solche Tests in virtuellen Umgebungen sollten regelmäßig ablaufen. Der Vorgang lässt sich auch automatisieren und die Software stellt nach dem Abschluss des Tests einen Report bereit. Der Ressourcenbedarf in Bezug auf CPU und RAM hält sich dabei laut Herrn Sandner in Grenzen. Inzwischen ist es – wie gesagt – sogar möglich, auf diese Art und Weise über Agenten auch physische Maschinen zu sichern und anschließend ihre Funktionalität mit einer “On-the-Fly-Backup-to-VM-Migrationsfunktion” in der virtuellen Testumgebung zu prüfen. Es bleiben beim Test also keine Daten mehr außen vor. Die genannte Funktion eignet sich zudem auch zum Testen von Patches, für Schulungen, für forensische Analysen und zum Troubleshooting.

Einschätzen der Bedeutung der Daten

Patrick Englisch, Head of Technology DACH bei Veritas wies darauf hin, dass es sehr wichtig ist, im Vorfeld abzuklären, welche Daten in den betroffenen Umgebungen eine besonders geschäftskritische Rolle spielen. Nur mit dieser Information lässt sich herausfinden, wie viel Aufwand, auch in Bezug auf Investitionen, die Tests der jeweiligen Daten wert sind. Analysiert man beispielsweise den Ablauf eines Einkaufsprozesses, so stellt man schnell fest, dass in Zusammenhang mit diesem einen Prozess Dutzende von Anwendungen (E-Mail, Datenbanksystem, Dukumentenmanagementsystem und vieles mehr) Verwendung finden. Wenn der Einkaufsprozess eine für das Unternehmen kritische Rolle spielt, so müssen die Administratoren all diese Applikationen mit in den Test integrieren und in die Testarchitektur einbinden.

Es gilt dabei aber eine Faustregel: “Man sollte die Backup-Tests immer so einfach wie möglich halten”, erklärte Herr Englisch. Anschließend wies er uns auf den Sicherheitsaspekt hin: “Es ergibt Sinn, einzelne Teilkomponenten einem Virenscan zu unterziehen, um ihre Konsistenz im Kontext zu Ransomware sicher zu stellen. Die Backups müssen für die Restore-Vorgänge schließlich sauber sein.” Die Software von Veritas bietet dafür KI- und ML-Funktionen, um einen Backup-Stream zu analysieren. Sie erstellt dann einen Risikowert, der auf der Anzahl der in der Datensicherung enthaltenen Dateien und dem Deduplizierungsfaktor basiert und Abweichungen deutlich macht. Wenn ein Backup infizierte Dateien enthält, so kann das System im Betrieb diese Files aus dem jeweils vorhergegangenen Backup wiederherstellen und gleichzeitig auch Informationen an eine SIEM-Lösung weitergeben. Damit ist der Restore-Vorgang immer sichergestellt.

Security-Insider Podcast – Folge 71

So machen Sie beim Backup keine Fehler!

Wiederherstellung in der Cloud

Auch Herr Englisch empfiehlt, die Wiederherstellung in einer Sandbox zu testen, damit die Produktion von dem Vorgang nicht beeinflusst wird. Hier müssen die Abhängigkeiten bekannt sein und die erforderlichen Dienste laufen. “Es wäre beispielsweise möglich, die Disaster Recovery alle drei Monate bei einem Cloud-Anbieter durchzuführen. Auf diese Art und Weise wird die lokale Infrastruktur nicht belastet. In der Cloud lässt sich das lokale Netz abbilden und die Testumgebung nach und nach so vereinfachen, dass sie sich zum Testen der kritischen Datensicherungen bestmöglich eignet. Sobald sie optimiert wurde, besteht auch die Option, den Test öfter als quartalsweise durchzuführen”, so Herr Englisch.

Im Rahmen der Tests kommen bei Bedarf auch Bots zum Einsatz, die – um auf unser Beispiel mit dem Einkaufsprozess zurückzukommen – Bestellungen und Abfragen durchführen, um zu belegen, dass alles funktioniert. Die “Veritas Resiliency Platform” erstellt bei Bedarf sogar eine Dokumentation der Vorkommnisse für Wirtschaftsprüfer oder Auditoren. Wurde die Testumgebung also richtig konfiguriert, so lassen sich die Tests auf Knopfdruck durchführen und die Dokumentation kommt automatisch. Herr Englisch wies aber an dieser Stelle nochmals darauf hin, dass sich dieser Aufwand nur für die wichtigsten Anwendungen rentiert.

Christopher Knörle, Principal Sales Engineer Metallic bei Commvault, ist ebenfalls der Ansicht, dass es Sinn ergibt, die Funktionalität der Backup-Daten in VMs zu überprüfen. “In einer Vmware-Umgebung lassen sich über unser Application-Validation-Feature die Backups testen, beispielsweise durch das Ausführen von Skripts, die die Konfigurationen validieren. Jeder IT-Verantwortliche kann seine eigenen Skripts erstellen und so eine beliebige Detailtiefe für den Test realisieren”, meint er. Commvault ermöglicht es dabei, die Tests per Mausklick in der Web-Oberfläche zu starten. Die Testergebnisse erscheinen dann auch in demselben Interface.

Reproduzierbarkeit ist wichtig

Abgesehen davon wies Herr Knörle noch darauf hin, dass zwei Dinge eine zentrale Rolle spielen. Zum einen müssen die Tests automatisierbar sein, sonst fallen sie unter den Tisch, weil sie mit zu viel Aufwand verbunden sind. Zum anderen müssen die Tests auch reproduzierbar sein.

Auch Herr Knörle war der Meinung, dass die Tests in Abhängigkeit von der Kritikalität der Daten und ihrer Änderungsrate durchgeführt werden sollten. Er empfiehlt, die Tests kritischer Informationen jede Woche durchzuführen, dabei aber den Ressourcenbedarf im Auge zu behalten.

Zusammenfassung und Fazit

Es gibt viele verschiedene Methoden, um Backup-Tests durchzuführen. Neben Checksummenüberprüfungen und stichprobenartigen Wiederherstellungen einzelner Dateien (diese Methoden eignen sich für “Quick-and-Dirty-Checks”) ergeben vor allem Wiederherstellungen von Backups in virtuellen Umgebungen und in der Cloud Sinn. Der Aufwand, der für die Einrichtung der Testumgebungen anfällt, hält zwar viele von diesem Schritt ab, sind sie aber einmal vorhanden, so werden die Verantwortlichen mit automatisierten Systemen belohnt, das ihnen die Arbeit erleichtern und das Datensicherheitsniveau erhöhen. Die meisten der derzeit erhältlichen Backup-Lösungen bieten die in diesem Zusammenhang erforderlichen Funktionalitäten an.

Während des Designs der Backup-Tests ist es wichtig, sowohl die vorhandenen Ressourcen als auch die Bedeutung der gesicherten Daten richtig einzuschätzen und die Testumgebung entsprechend zu gestalten, damit sich der Aufwand in erträglichen Grenzen hält. Backup-Tests sollten zudem nach einem bestimmten Zeitplan regelmäßig wiederholt werden. Dabei ergibt es Sinn, eine Staffelung einzuführen und die Sicherungen der geschäftskritischen Daten häufiger unter die Lupe zu nehmen als die von Daten, die eine geringere Bedeutung haben.

Wie ging das nochmal mit der Datensicherung?

Backup-Strategien für Security-Spezialisten

(ID:49475083)