True IT Stories

Zwei Backup-Ziele sind kein zweites Backup

TL;DR

  1. Zwei oder drei Ziele, die derselbe Server beschreibt, sind gegen Ransomware ein einziges Backup.
  2. 3-2-1 reicht dafür nicht. Es fehlt die zweite 1 aus 3-2-1-1-0: eine Kopie, die unveränderlich oder offline ist.
  3. Ein Kopierjob auf ein unveränderliches Ziel macht daraus ein zweites Backup, ein zweiter direkter Job nicht.

Fragt man nach dem Backup, hört man oft: „Wir sichern doppelt. Einmal aufs NAS, einmal in die Cloud.“ Das klingt nach 3-2-1. In dem Fall, den wir in Der Decryptor läuft, und die großen VMs bleiben zu erzählen, war es sogar dreifach. Geholfen hat es nicht.

Wie es eingerichtet war

Ein Backup-Server mit Veeam. Ein Job schrieb auf einen externen Cloud-Speicher, ein zweiter auf ein NAS, dazu kam eine dritte Ablage. Jeder Job sicherte direkt auf sein Ziel. Alle Ziele hingen per SMB oder Mount am selben Backup-Server.

Als die Ransomware auf diesem Server lief, hat sie alle drei Ablagen verschlüsselt, in derselben Dreiviertelstunde. Drei Ziele, ein Angriffspfad.

Ziele zählen ist nicht Kopien zählen

Die 3-2-1-Regel sagt: drei Kopien, zwei verschiedene Medien, eine außer Haus. Das schützt gut gegen einen defekten Datenträger, einen Brand oder einen gestohlenen Server. Gegen einen Angreifer schützt es nur, wenn er nicht an alle Kopien herankommt.

Die Frage ist deshalb nicht, wie viele Ziele es gibt, sondern: Über wie viele unabhängige Wege kommt man an sie heran? Schreibt derselbe Server mit denselben Rechten auf alle Ziele, ist die Antwort: über einen. Wer den Server hat, hat alle Sicherungen.

Die zweite 1

Deshalb empfiehlt Veeam die erweiterte Regel 3-2-1-1-0:

  • 3 Kopien der Daten
  • 2 verschiedene Medien
  • 1 Kopie außer Haus
  • 1 Kopie unveränderlich oder offline
  • 0 Fehler bei der Wiederherstellungsprüfung

Die fünf Bausteine der 3-2-1-1-0-Regel: drei Kopien, zwei Medien, eine außer Haus, eine offline oder unveränderbar, null Fehler bei der Prüfung

In unserem Fall waren 3, 2 und 1 erfüllt. Die zweite 1 fehlte komplett. Wie ein Konzept aussieht, das alle fünf Bausteine erfüllt, zeigt Ein Backup für zwei Brandabschnitte .

Unveränderlich heißt: Der Backup-Server kann die Kopie schreiben, aber für eine festgelegte Zeit weder ändern noch löschen. Offline heißt: Sie ist gar nicht verbunden, ein Band im Schrank oder eine Platte im Tresor. Was das in der Praxis heißt, steht in Die Freigabe, die jeder löschen darf und Die leere Platte im Tresor .

Kopierjob statt zweiter Job

Zwei direkte Jobs sichern zweimal dieselbe Quelle, unabhängig voneinander. Ein Kopierjob (Backup Copy) nimmt die fertige Sicherung und legt sie auf ein zweites Ziel. Das allein ändert noch nichts am Angriffspfad. Der Unterschied entsteht erst, wenn das zweite Ziel unveränderlich ist. Dann kann ein Angreifer die erste Sicherung zerstören, die Kopie aber nicht.

Nebenbei belastet ein Kopierjob die laufenden Server nur einmal, weil die Kopie aus der fertigen Sicherung entsteht.

Was wir prüfen würden

  • Aufzeichnen, wer auf welches Ziel schreibt. Endet jede Linie am selben Server, gibt es gegen einen Angriff nur eine Kopie.
  • Gibt es eine Kopie, die der Backup-Server nicht löschen kann? Unveränderlich oder offline.
  • Wann wurde zuletzt aus dieser Kopie wiederhergestellt? Nicht eine Datei, sondern die größte VM.

Quellen