Technologien und Best Practices für eine effektive Cyber-Recovery Ein Reinraum für saubere Daten

Anbieter zum Thema

Commvault Systems GmbH

Fsas Technologies GmbH

FAST LTA GmbH

Herkömmliche Disaster-Recovery-Pläne haben Schwierigkeiten, der Komplexität von Cyberangriffen wirksam zu begegnen. Denn im Gegensatz zu Naturkatastrophen oder Hardware-Ausfällen erfordern diese vorsätzlichen Attacken ein sorgfältiger und stärker auf Datensicherheit ausgerichtetes Vorgehen. Ein dezidierter Cyber-Recovery-Plan, um Daten integer, unmanipuliert und Malware-frei wiederherzustellen und Folgeangriffe zu verhindern, ist unerlässlich. Dafür bietet unter anderem Commvault eine Cleanroom-Funktion an.

Obwohl Disaster-Recovery-Pläne eine Grundlage für die Reaktion auf Vorfälle darstellen, ist es alles andere als ausreichend, sich bei einem Cyberangriff auf sie zu verlassen. Bei der Disaster Recovery geht es in erster Linie darum, Systeme und Daten wieder verfügbar zu machen und die Ausfallzeit zu minimieren. Im Gegensatz dazu liegt ein weiterer Schwerpunkt bei der Cyber-Recovery darauf, den Angriff zu isolieren, Malware rückstandslos zu entfernen und das saubere Wiedereinspielen der Daten vorzubereiten.

Bildergalerie

Dabei müssen Verantwortliche jedes Element der IT von der Hardware über die Daten bis hin zu den Backups vor dem Wiederherstellen auf Infektionen untersuchen, da die Angreifer möglicherweise Schadware versteckt oder die Backup-Dateien verändert haben. Herkömmliche Disaster-Recovery-Pläne sind nicht in der Lage, die letzten noch sauberen Backup-Sätze effektiv zu identifizieren und wiederherzustellen. Ist mit einem infizierten Backup auch die Malware oder der Zugang eines Hackers zum System wiederhergestellt, kann sich die Infektion wieder ausbreiten. Außerdem müssen IT-Verantwortliche die von den Angreifern ausgenutzten Sicherheitslücken vor dem Einspielen des sauberen Backups patchen. Dies erfordert forensische Analysen und möglicherweise längere Sanierungsprozesse für eine nachhaltig verbesserte Sicherheitslage.

Rückstandslos saubere Recovery mithilfe digitaler Reinräume

Für die Cyber-Recovery sind spezielle Tools für eine rückstandslos saubere Wiederherstellung erforderlich. Im Fall der Datenwiederherstellung ermöglicht es ein Cleanroom, der on demand in der Cloud eine isolierte Recovery-Umgebung und Sandbox-Funktionen bereitstellt, saubere Versionen von Daten aus nicht infizierten Backup-Quellen oder aus dem Snapshot eines noch nicht angegriffenen Backups zu extrahieren – selbst wenn Informationen auf Produktionssystemen gefährdet sind. Weil ein solcher digitaler Reinraum erst bei Bedarf erstellt wird, kann er durch Angriffe im Vorfeld nicht zu Schaden kommen. Was es noch nicht gibt, kann niemand angreifen.

Zudem bietet ein solcher digitaler „Reinraum“ einen kontrollierten Bereich für forensische Analysen, um die Ursache und den Verlauf eines Angriffs zu untersuchen sowie Folgeattacken verhindern zu helfen. Patches lassen sich ebenfalls hier testen. Auch können Verantwortliche in einem Cleanroom Cyberangriffe simulieren und flexibel sowie kostengünstig on demand ihre Notfallpläne testen. So erkennen sie präventiv potenzielle Schwachstellen und beheben sie. Nur mit regelmäßigen Testläufen können Sicherheits- und IT-Teams ihren Cyber-Recovery-Plan optimieren, damit dieser im Ernstfall wirksam ist.

Isolierte und unveränderbare Backups

Air-Gapping basiert auf sekundären oder tertiären Sicherungskopien von Quellumgebungen, sodass diese vom angeschlossenen Unternehmensnetzwerk aus unzugänglich sind. In Kombination mit Sicherheitskontrollen wie dem unveränderbaren Speichern der Backup-Daten, etwa durch das S3 Object Lock Feature von AWS, sowie Multifaktor- und Mehrpersonen-Authentifizierung bietet Air-Gapping eine hocheffektive Sicherheitsschicht und schafft die Grundlage, um im Fall eines Angriffs Daten aus sauberen und unversehrten Sicherheitskopien wiederherzustellen.

Denn durch Backups in einem unveränderlichen Format auf einer Speicherinfrastruktur, auf die von außen nicht zugegriffen werden kann, werden der Zugriff eingeschränkt und das Infektionsrisiko weitgehend ausgeschlossen. Während Air-Gapping die Daten in einer separaten Sicherheitsdomäne isoliert, sorgt die Unveränderlichkeit dafür, dass die Kopien unter Verschluss gehalten werden und von einem Angreifer nicht verschlüsselt, geändert oder gelöscht werden können.

Auf diese Weise erhalten IT-Teams eine saubere, nicht infizierte Kopie, von der aus sie die Produktionsumgebung wiederherstellen und Betriebsunterbrechungen minimieren können. Für eine flexiblere Recovery können alle Offsite-Kopien an alternativen Standorten wiederhergestellt werden, wenn die ursprüngliche Umgebung nicht mehr verfügbar oder gefährdet ist.

Maximal tolerierbare Ausfallzeit

Recovery Point Objective (RPO) und Recovery Time Objective (RTO) sind grundlegende Messgrößen bei der Disaster Recovery, die hinnehmbare, weil hinzunehmende Datenverluste und Wiederherstellungszeiträume definieren. Im Fall eines Cyberangriffs kann es jedoch schwierig sein, saubere Daten von potenziell infizierten Backups zu identifizieren und zu isolieren, was es erschwert, einen eindeutige RPO festzulegen. Auch kann die notwendige Zeit zum Überprüfen, Beheben von Sicherheitsrisiken und Wiederherstellen von Daten je nach Komplexität und Umfang des Angriffs erheblich variieren. Einen RTO fest anzusetzen, mag daher irreführend und kontraproduktiv sein.

Er ist aber auch nicht unbedingt relevant: Zwar ist es wichtig, den Datenverlust zu minimieren, doch bei der Cyber-Recovery geht es in erster Linie darum, Informationen, Systeme und Applikationen zu sichern und weitere Angriffe zu verhindern. Aus diesem Grund verlagern CISOs ihren Fokus auf die Maximum Allowable Downtime (MAD) oder die Maximum Tolerable Downtime (MTD). MAD oder MTD bieten eine ganzheitlichere Perspektive auf die Cyber-Resilienz.

Statt sich nur darauf zu konzentrieren, Daten und Systeme bis zu einem bestimmten Punkt wiederherzustellen, wird damit die maximale Dauer des Ausfalls definiert, die ein Unternehmen ohne erhebliche Schäden verkraften kann. Diese Methode berücksichtigt den gesamten Lebenszyklus der Incident-Response, vom ersten Angriff bis zur vollständigen Wiederaufnahme des Betriebs, einschließlich der Effekte auf Anwender, Prozesse und Technologien.

Gegen Hacker hilft nur ein Extra-Backup

Einen dezidierten Cyber-Recovery-Plan zu implementieren, ist entscheidend für eine erfolgreiche und sichere Wiederherstellung im Angriffsfall. Mit Technologien wie Cleanroom-Recovery und Air-Gapping sowie geeigneten Messgrößen wie MAD oder MTD können Unternehmen eine hohe Resilienz gegenüber Cyberangriffen erreichen und deren Konsequenzen im Ernstfall so gering wie möglich halten.

Bildergalerie

Cyber-Resilienz vom Commvault

Im Frühjahr 2024 hat Commvault „Cleanroom Recovery“ angekündigt. „In Kooperation mit Microsoft Azure können Commvault-Cloud-Kunden diesen Dienst nutzen, um in einem Reinraum in der Cloud Daten wiederherzustellen und so Daten schnell reibungslos sowie zuverlässig wiederherzustellen“, sagte Sanjay Mirchandani, Präsident und CEO von Commvault. Dieses Angebot eigne sich vor allem für Kunden, die routinemäßig Incident-Response-Tests durchführen möchten.

„Das Erreichen einer Cyber-Resilienz auf Enterprise-Niveau ist mehr als der Bau höherer Mauern oder tieferer Schutzgräben. Es erfordert einen neuen Ansatz, der die gesamte Landschaft ganzheitlich betrachtet, von erstklassigem Datenschutz und Sicherheit bis hin zu KI-gestützter Datenintelligenz und sehr schneller Recovery“, konstatierte Mirchandani. „Mit diesen fortschrittlichen Funktionen und einem reichhaltigen und wachsenden Partner-Ökosystem ist unsere konsolidierte Plattform ein Standard für Cyber-Resilienz.“

(ID:50209719)