Welche Speichermethoden schützen vor Ransomware? Vom „ganzheitlichen“ Kampf gegen Ransomware - Backup, Snapshots, CDP & Replication

Jeder weiß es: Ransomware-Attacken nehmen in rasendem Tempo zu und treffen neben Privatleuten vor allem Unternehmen – und das trotz des jahrelang gepflegten und weiterentwickelten Apparats an Security-Maßnahmen und Anti-Strategien jeglicher Couleur. Geholfen hat es gerade bei Ransomware-Angriffen so gut wie nichts.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Cohesity GmbH

TXOne Networks

Dabei ist das Geschäftsmodell der illegalen Angreifer äußerst einfach: „Ransomware ist eine Schad-Software, die entwickelt wurde, um auf direktem Weg Einkommen zu generieren“, schreiben die Autoren Krzysztof Cabaj und Wojciech Mazurczyk in ihrem Aufsatz „Using Software-Defined Networking for Ransomware Mitigation: the Case of CryptoWall“, in dem sie sich intensiv mit neuen Anti-Ransomware-Methoden beschäftigen.

Die Dringlichkeit, etwas wirklich Wirksames zu tun, nimmt zu: Inzwischen gibt es sogar „Ransomware-as-a-Service“ mit Bausätzen wie „TOX“, mit denen man mit ein paar Klicks Locker- und Crypto-Ransomware gezielt und billig auf den Weg schickt. In diesem Zusammenhang ist es wichtig, auch alle traditionellen Speicher- und Datensicherungsverfahren zu überprüfen, inwieweit sie als Gegenmittel eingesetzt werden können.

Bildergalerie

Datenverfügbarkeit allein verhindert Ransomware nicht

Ransomware verschlüsselt oder überschreibt vorhandene Daten, nachdem man sich Zugang zu Netzwerk, Rechenzentrum und Speichergeräten verschafft hat. Die Festplatten selbst sind nur „rohe“ Programm- und Datenträger, die per se keine entsprechenden Anti-Funktionen gegen eingeschleuste Verschlüsselungs- oder Überschreibbefehle enthalten.

Flash-Drives sehen im Unterschied zu Festplatten zwar vor, erst einmal alle freien Speicherplätze mit Write-Prozessen zu belegen, bevor sie bereits benützte Zellen überschreiben. Aber es gibt keine Garantie, dass sie nicht dennoch etwas überschreiben.

Erst auf Array-Ebene bieten die Hersteller Abwehrmechanismen. Verschiedene RAID-Stufen verteilen oder spiegeln auf Basis von Algorithmen die Daten auf mehrere Platten, um so bei einem Ausfall einer oder mehrerer Platten die Daten sofort wieder auf einer Platte zusammenführen zu können. RAID bietet insofern einen relativen Schutz gegen einen Platten-Crash, verhindert aber keine Angriffe auf die Daten selbst.

Das gleiche gilt für andere Formen von Mirroring, die die Platteninhalte auf andere Systeme im primären Rechenzentrum oder zu anderen Standorten spiegeln. Die Daten sind nur solange unbeeinträchtigt, als sie noch nicht durch die Schadware angegriffen wurden – sie müssen also zu Beginn des Mirroring-Prozesses „clean“ sein, oder es werden eben beschädigte (verschlüsselte oder überschriebene) Daten im Original gespiegelt. Und sind somit gleich doppelt vorhanden.

Erasure Coding geht im Prinzip ähnlich vor, verteilt Daten und fügt sie nach einer Beschädigung wieder zusammen – oft in kürzerer Zeit als RAID, aber unter intensiverer Benützung der CPU-Ressourcen. Auch diese Methode dient nicht zur Abwehr von Ransomware-Attacken.

Remote Data Replication oder Mirroring zwischen verschiedenen Standorten sorgt ebenfalls für eine entfernte Kopie der gespeicherten Daten – entweder synchron (in Echtzeit) oder asynchron (mit etwas Verspätung). Diese Methode funktioniert nur unter der Prämisse, dass keine Beschädigungen des Datenbestands aufgetreten sind – ist die Site A infiziert oder durch Ransomware verschlüsselt, findet sich dieser Zustand 1:1 auf der Site B (wie weit entfernt auch immer) exakt genauso wieder. Außerdem findet in der Regel eine zeitlich fortschreitende Übertragung aller auf A geänderten Daten statt. Insofern ist diese Methode ebenfalls nicht tauglich in der Abwehr von Ransomware-Angriffen.

Ein Schreibschutz ist im Produktivbetrieb aufwändig

Auf der Hardware-Ebene ergeben sich nur zwei Möglichkeiten, Daten vor dem Überschreiben zu sichern: Entweder man nimmt die Daten sofort nach dem Schreibprozess aus dem mit dem Internet und internen Netzwerk verbundenen System heraus, sperrt sie in einen Speicherschrank oder versteckt sie in einem Keller.

Werden sie nicht mehr gebraucht, wandern sie somit in eine Form von Archiv, vielleicht sogar auf billigerem Tape untergebracht. Der offensichtliche Nachteil: Um mit ihnen weiterzuarbeiten, muss man diese Daten wieder in das produktive System zurückintegrieren – was aufwändig und zeitintensiv ist.

Manche Hersteller wie zum Beispiel FAST LTA empfehlen hier die lineare Speicherung der Daten auf Festplatte oder SSD. Diese struktursichere Datenspeicherung mit Continuous Snapshots erlaubt es jederzeit zu gespeicherten Vorversionen einzelner Datensätze zurückzukehren, ohne dass Schadsoftware auf die vorher gespeicherten Backup-Daten mehr zugreifen kann.

Wie auf Magnetband werden zusammengehörende Datenpakete auch physikalisch zusammen hintereinander abgelegt. Dabei wird der Geschwindigkeits-Nachteil von Bändern durch den Einsatz von Festplatten oder sogar Flash-Speichern wieder aufgehoben.

Die andere Möglichkeit wäre eine „versiegelte“ Festplatte, die nicht verschlüsselt oder überschrieben werden könnte. Lange galt WORM (Write Once Read Many) hier als Methode der Wahl: Daten können nur einmal beschrieben werden, ein nachträglicher Angriff auf sie ist damit ausgeschlossen.

Eine solche Stilllegung des produktiven Arbeitsprozesses beißt sich allerdings grundsätzlich mit den Anforderungen an eine Unternehmens-IT, erst recht in den Zeiten von Digitalisierung der Wirtschaft, Big Data / Analytics oder Internet of Things (IoT). Ursprünglich für optische Medien entwickelt, hat sich WORM auch aufgrund mangelnder Standards nur im Archivbereich halten können – heute zum Beispiel als IBM LTO WORM.

Momentan sieht es so aus, als ob es keine direkte Abwehr von Ransomware-Attacken gibt, sondern die Anwender sind auf eine gemischte Strategie von mehreren Verteidigungslinien angewiesen. Diese wird sich vornehmlich auf regelmäßiges Backup mit Versioning und sehr geringen Zeitabständen konzentrieren müssen. Stefan Neff, Leading Technical Sales Professional bei IBM, ist denn auch von WORM nicht so begeistert: „Meiner Meinung nach ist "WORM" in diesem Zusammenhang nicht relevant.“ Tapes würden ja sowieso nicht im produktiven Prozess eingesetzt, sondern abgetrennt und damit fern von Ransomware-Attacken aufbewahrt.

Generell sei Tape als Backup-Medium aber wichtig, „weil die Daten auf Kassetten als externe, offline-Medien durch die Ransomware nicht erreicht und manipuliert werden können. Allerdings könnte sich die Ransomware in das Backup-Tool einklinken und einen "restore" der guten Daten verhindern. Fazit: Der Fokus sollte im Wesentlichen auf der Abwehr von Ransomware liegen.“

Snapshots und Backup

Netapp spricht bei Arrays von „nativen Funktionen“, die man kostenlos als Schutz gegen Ransomware mitliefert. Das Betriebssystem Ontap unterstützt demnach Snapshots, also schnell wiederherstellbare Point-in-Time-Kopien von Daten, und die Anwender können Regeln über die Management-Schnittstelle festlegen.

Wird zum Beispiel jede Minute ein Snapshot gezogen oder ergänzt (häufig als Copy-on-Write, wobei ein ursprünglicher Snapshot bei Datenänderungen laufend ergänzt wird), verkürzt sich die nicht abgedeckte Zugriffszeit für die Schadware deutlich, und die Datenherstellung wird im Schadensfall unkomplizierter.

Auch beim Cloning, einer Snapshot-Variante, bei der ganze Platten, File-Systeme oder LUNs gespiegelt werden, bietet NetApp seinen Kunden einige einfache Funktionen gratis, während die komplexeren lizenzpflichtig sind. Netapp hat auf seiner Webseite den Technical Report „The NetApp Solution for Ransomware“ (Februar 2017) und weitere Papiere veröffentlicht, die nähere Handlungsanweisungen zur Auswahl der technischen Varianten geben.

Während Snapcenter bei Netapp mehr allgemein dazu dient, die Storage-Funktionalitäten auf Applikationsebene herunterzubrechen, soll Snaplock Schreibzugriffe auf Daten unterbinden. Beide Funktionen sind an Lizenzen gebunden. NPS (Netapp Private Storage for Cloud), Altavault (Cloud-integrierter Storage) und Cloudcontrol (für Microsoft Office 365) sind eigene Produkte oder Services, also ebenfalls kostenpflichtig. Netapp bietet ferner die Integration von Drittanbieter-Lösungen (zum Beispiel von Cleondris oder Varondis) an, die bösartige Schreibzugriffe erkennen und den Administrator gegebenenfalls benachrichtigen.

Die umfassendere Lösung bietet sicherlich ein Full Backup, das die kompletten Daten in einer Kopie erfasst und im Notfall in einer Roll-Back-Aktion wieder komplett eingespielt werden kann – was jeweils geraume Zeit dauern kann und kostenintensiv ist. Incremental Backup, das in kürzeren Abständen alle Änderungen in die Kopie einspielt, oder Snapshot-Varianten bieten sich als Ergänzung für eine Strategie an, die ferner auf Tape- und Cloud-Ausgliederung setzen sollte.

Veeam spricht in diesem Zusammenhang von einer „3-2-1-Regel“, bei der drei Kopien (einschließlich Varianten) der Unternehmensdaten auf zwei unterschiedlichen Medien erstellt werden sollen, wobei eine Kopie off-site untergebracht wird. Die nicht unbeträchtlichen Kosten könnten sich angesichts einer Millionen-Erpressung rasch amortisieren.

Schneller aus der Hüfte Snapshotten

Continuous Data Protection (CDP) ist ihrer Funktionsweise nach eine weitere Methode von Snapshots: Alle Änderungen von Daten werden der Reihe nach verfolgt und sofort gespeichert. Anwender können so zu einem bestimmten Datum zurückgehen und den Restore in Gang setzen.

Durch die kontinuierlichen Speicherungen werden allerdings besondere Anforderungen an Kapazität und Performance gestellt. Datacore empfiehlt CDP für den Einsatz bei virtuellen Platten, um nach einem Schadensfall oder einer ungewünschten Änderung (zum Beispiel durch Anwenderfehler, Viren, Datenbankkorruption oder auch Ransomware) wieder den früheren Zustand herzustellen.

Die Software kann laut Hersteller alle Änderungen an den virtuellen Platten je nach Konfiguration zum Beispiel in einem 14-Tage-Rhythmus speichern und protokollieren. Sehr schnell könnte dabei aber der verfügbare Speicherplatz überschritten werden. Um es nicht soweit kommen zu lassen, empfehlen manche Hersteller, die Zeitstempel auf größere Abstände einzustellen. Ein Unternehmen würde damit allerdings den Schutz vor unvorhersehbaren Ransomware-Attacken dem Zufall überlassen.

Für IBM spielt es bei den regelmäßigen Snapshot- und Backup keine größere Rolle, welche Kombination von Software- und Hardware eingesetzt wird. Im Backup/Archivierungsumfeld biete sich zum Beispiel ein schneller Flash-Speicher als "Diskpool" an, „um die Backup-Datenströme der Clients hochperformant entgegen zu nehmen und gleichzeitig abhängig von seiner Größe im schnellen Zugriff für eine bestimmte Zeit vorzuhalten“. Parallel erfolgt für die Langzeitspeicherung dann die Auslagerung auf kostengünstiges und sicheres physikalisches Tape: „Im Gegensatz zu virtuellen Tape Servern (VTS) bietet hier Spectrum Protect von IBM von Haus aus einen sehr schnellen und zielgerichteten Zugriff auf die Daten, da die verschiedenen Speicher-Tiers parallel und nicht der Reihe nach angesteuert werden.“

Aus den Augen, aus dem Crypto-Sinn?

Stefan Neff von IBM verweist ferner auf die Alternative, Daten-Backups in der Cloud zu speichern – also weit weg vom Rechenzentrum des Unternehmens. Ein Cloud-Speicher habe zwar deutlich schlechtere Latenz-Werte im Restore-Zugriff auf die Daten, und die Performance werde im Wesentlichen durch die Datenverbindung zum Cloud-Provider bestimmt, könne sich aber finanziell auszahlen.

Wichtig sind Schnittstellen zu den diversen Cloud-Diensten. Neff führt aus: „Da es hier keine einheitlichen Standards gibt, müssen verschiedene Protokolle wie AMAZON S3, Swift oder auch das native Clever-Safe-Protokoll (IBM ICOS) unterstützt werden. IBM hat eine eigene Schnittstelle entwickelt (MCStor), die bei einigen Lösungen heute schon für die Cloud-Anbindungen zum Einsatz kommt.“

Die IBM-Lösung biete auch die Möglichkeit, die Daten in einer Art „Striping“ auf verschiedene Clouds zu verteilen, was den Schutz vor Attacken zusätzlich erhöht. Wer sich für Cloud-Lösungen entscheidet, setzt auch auf den Aufwand an Schutzmechanismen von Providern wie Amazon AWS, Microsoft Azure oder anderen, den diese für ihr Geschäftsmodell betreiben. Allerdings werden sie auch wesentlich mehr Ransomware-Attacken auf sich ziehen als ein einziges Unternehmen.

Und der Analyst Jon Toigo gibt bei CDP und sequentiellen Snapshots zu bedenken: „Das Problem mit Snapshots oder ähnlichen Point-in-Time-Mirror-Techniken besteht darin, dass sie die Datenbank oder Anwendung zu einem Stillstand ihrer Aktivität zwingen, solange die Daten noch nicht für einen Zeitstempel fertig geschrieben sind. Deshalb wird eine Technologie benötigt, die CDP-Einträge ohne Unterbrechung der Aktivität von Anwendungen oder Datenbanken erzeugt.“ (Jon Toigo, Business Continuity for Mission-Critical Applications; Data Management Institute)

Fazit: Eine Chance für Watson, Künstliche Intelligenz und real-time Machine Learning

Einen umfassenden Schutz vor Ransomware durch Speichertechniken gibt es zur Zeit nicht. Nur der kombinierte Einsatz mehrerer Methoden, ergänzt durch Security-Monitoring und Maßnahmen aus den Security-Kisten von RSA, Symantec und anderen, wird im Einzelfall helfen. Die Anwender müssen sich zudem überlegen, welche Datenanteile sie rechtzeitig aus dem produktiven Einsatz herausnehmen können: Off-line ist (fast) alles sicher.

Und es müssen mehr Innovationen in Real-Time-Methoden erfolgen, die Ramsomware-Angriffe im Frühstadium erkennen und ausschalten, wie es zum Beispiel bei Software-Defined Networking bereits geplant wird. All die schönen Techniken von Watson und Künstlicher Intelligenz bis hin zu Machine Learning hätten hier ideale Anwendungsfelder. Ransomware in Echtzeit zurückschlagen – das ist das wünschenswerte (aber wahrscheinlich unerreichbare) Ziel.

(ID:44773084)