Was ist Immutable Storage?

Foto: Rebius – shutterstock.com

Wenn Angreifer es geschafft haben, in die IT-Systeme eines Unternehmens einzudringen, ist das Backup der Hoffnungsanker, um groben Schaden zu vermeiden. Leider haben es Hacker immer häufiger auch auf Backup-Daten abgesehen. Gelingt es den Verbrechern, diese unbemerkt ausfindig zu machen und zu verschlüsseln oder zu löschen, hat man als Firma die letzte Chance verspielt, seine Daten eigenhändig wiederherzustellen. Hier kommt der Unveränderliche Speicher (Immutable Storage) ins Spiel.

Immutable Storage bezeichnet eine Möglichkeit der Datenarchivierung, wobei die gespeicherten Daten für einen bestimmten Zeitraum nicht veränderbar sind, oder nie. Diese Unveränderbarkeit kann man durch eine Trennung vom Netzwerk (Air-Gapping) oder mit einem Schreibschutz (Object Lock) erreichen. Ziel ist es, Daten unveränderlich zu speichern und sich so vor zahlreichen Bedrohungsakteuren zu schützen.

Jetzt kostenlos für den CSO-Newsletter anmelden

Vorteile des Immutable Storage

Angreifer gehen mittlerweile einen Schritt weiter, als nur die laufenden Systeme zu attackieren, und verschlüsseln oder löschen auch Backups. Da eine Verschlüsselung aufwendiger und damit auffälliger ist, versuchen die Erpresser sich oft daran, die Backups gänzlich zu löschen. Deshalb ist Immutable Storage für Unternehmen von immenser Bedeutung. Das Löschen oder Ändern von Daten wird dabei ausgeschlossen, um die Daten vor jeglicher Bedrohung zu schützen. Der Schreibschutz ist so konfiguriert, dass die Daten sowohl von Benutzern mit eingeschränkten Rechten als auch von Administratoren nicht verändert werden können. Diese Methode greift daher auch dann, wenn sich Angreifer den Zugang zu Administrator-Konten verschafft haben und schützt damit nebenbei auch vor internen Bedrohungen.

Lesetipp: So schützen Sie Backup-Server vor Ransomware

Immutable Backup

Als Faustregel für die Umsetzung eines Immutable Backups wird die altbekannte 3-2-1-Regel der Datensicherung erweitert. Diese verlangt drei Kopien auf zwei Medien, von denen eines ausgelagert ist. Diese Auslagerung soll vor Naturkatastrophen und anderen physischen Schäden im Rechenzentrum schützen. Angesichts der wachsenden Bedrohung durch Ransomware wurde diese Grundregel erweitert: 3-2-1-1-0. Die zweite 1 steht dabei für eine unveränderliche Datenkopie (Immutable Backup) und die 0 für regelmäßige Tests, die eine fehlerfreie Wiederherstellung gewährleisten sollen.

Lesetipp: Backup-Lösungen im Vergleich

Wie werden Daten unveränderlich?

Die Unveränderlichkeit kann entweder durch ein Air-Gap oder durch den Schreibschutz erreicht werden. Beim Air-Gapping werden die Daten offline verwahrt, also physisch vom Netzwerk getrennt. Bei dieser Variante muss das Speichermedium, auf dem die Backups angelegt werden, entweder an einem sicheren Ort verwahrt werden oder man baut einen Netzwerk-Switch ein. Damit trennt man das Backup von der Netzwerkverbindung und stellt diese nur wieder her, wenn die Backups kopiert werden. In jedem Fall ist der Arbeitsaufwand bei dieser Variante recht hoch. Deshalb ist in der Regel der Zeitraum bis zum letzten Backup größer und Fehler wahrscheinlicher.

Bei der zweiten Variante werden die Backup-Daten schreibgeschützt gespeichert. Um die Gefahr zu umgehen, dass dieser Schreibschutz aufgehoben wird, sollte das Backup zusätzlich ausgelagert werden. Dafür kommt zum Beispiel ein Cloud Service Provider infrage. Die Daten werden automatisch verschlüsselt, über einen Cloud-Connect-Zugang ausgelagert und vom Cloud Service Provider mit einer Insider Protection sicher verwahrt. Sollten Backups gelöscht werden, werden diese weiterhin für einen definierten Zeitraum auf Seite des Service Providers aufbewahrt.

Eine weitere Methode stellt die Objektsperre (Object Lock) bei Objektspeichern dar, die von vielen Cloud- aber auch On-Prem Object Storages unterstützt wird. Hierbei werden die zu sichernden Daten in kleine Blöcke aufgeteilt, dann komprimiert und im Objektspeicher abgelegt. Die Blöcke werden dann je nach Einstellung für die gewünschte Zeit auf “Immutable” gesetzt, also mit dem Object Lock versehen.

Für die Aktualisierung der Backupdaten geht man inkrementell vor: Nur geänderte Blöcke oder Dateien werden gesichert, gleichbleibende Daten werden nicht erneut kopiert und nur über einen Zeiger (Pointer) verlinkt. So müssen bestehende Backups nicht angefasst werden. Nicht mehr benötigte Objekte werden dann einfach gelöscht, wenn sie aus der Aufbewahrungsfrist beziehungsweise dem Object Lock ausaltern.

Foto: Veeam

Zusätzlich zu der zeitlichen Begrenzung der Objektsperre kann man noch sogenannte GFS (Grandfather-Father-Son) Restore-Punkte definieren. Diese werden ebenfalls automatisch für den konfigurierten Zeitraum mit dem Object Lock versehen. Dabei handelt es sich um virtuelle Vollsicherungen. Es wird mit einem Pointer auf die jeweiligen Blöcke verwiesen und diese entsprechend auf “Immutable” gesetzt. Bei einer Monatssicherung, die drei Monate aufbewahrt werden soll, werden alle notwendigen Blöcke mit einem entsprechendem Object Lock versehen.

Foto: Veeam

Welche Methode eingesetzt wird, hängt davon ab, welche personellen Ressourcen zur Verfügung stehen, wie die IT-Infrastruktur beschaffen ist und wieviel Datenverlust und somit Ausfallzeit, zu verkraften sind. All diese Überlegungen sollten in einem individuellen Plan zur Disaster Recovery berücksichtigt werden.

Lesetipp: Vier kostenlose Backup-Tools zur Datensicherung

Zuständigkeit für Immutable Storage

Wer im Unternehmen für die Verwaltung von Backups und die Implementierung von Immutable Backups zuständig ist, varriiert je nach Branche und interner Struktur des Unternehmens. Meistens ist die IT-Abteilung für die Backup-Strategie zuständig. Der CISO blickt mehr durch die Compliance-Brille auf die Datensicherung und denkt das Thema größer, im Rahmen der Strategie zur Ransomware-Abwehr. Bei der Verwaltung der Cloud beziehungsweise SaaS-Anwendungen sieht es etwas unterschiedlicher aus: Teils kümmert sich die Fachabteilung darum, die den Dienst nutzt, teils die Backupabteilung, teilweise auch niemand. In diesem Dschungel der Zuständigkeiten fällt es dem ein oder anderen CISO schwer, den Überblick zu behalten. Eine leistungsfähige Softwarelösung für die Datensicherung kann personelle Ressourcen schonen und dabei helfen, den Überblick zu behalten.

Lesetipp: Drei Tipps für die Datensicherung in der Cloud

Gesetzliche Anforderungen an die Datensicherung

Backups dienen in erster Linie dem Eigenschutz und der Aufrechterhaltung des Betriebs. Wenn wir aber an die Lieferkette denken, ist die Sicherheit eines Betriebs immer auch für die Sicherheit von Partnern und Kunden relevant. Das IT-Sicherheitsgesetz 2.0 definiert dafür bestimmte Mindestanforderungen zur Erkennung von Angriffen für kritische Infrastrukturen (KRITIS) und für “Unternehmen im besonderen öffentlichen Interesse” (UBIs). Immutable Backups sind darin nicht per se vorgeschrieben. Der Aspekt der Unveränderlichkeit ist aber grundsätzlich als Teil einer ganzheitlichen Strategie zur Ransomware-Abwehr unabdingbar.

Des Weiteren bestehen im Rahmen der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) Anforderungen an die Datensicherung. Dabei geht es zwar nicht direkt um sicheren IT-Betrieb, aber nur wer souverän auf seine Daten zugreifen kann, kann diesen Aufbewahrungspflichten nachkommen. (ms)