Cloud-Backup-Lösungen

Verwenden Sie diese Seite, um einen Cloud-Backup-Ansatz auszuwählen, der auch nach Ransomware noch funktioniert.

Fokus: Wiederherstellbarkeit, Aufbewahrungsdauer und Schutz vor dem Löschen von Backups.

Google Drive und OneDrive

Google-Drive- und OneDrive-Umgebungen verfügen nicht über native Funktionen, mit denen sie ihre Daten nach einem Ransomware-Angriff wiederherstellen können, der ihre früheren Versionen gelöscht hat. Daher ist es notwendig, bestimmte Lösungen in Betracht zu ziehen, um ihre Daten regelmäßig zu sichern und zu schützen.

Es können mehrere Lösungen in Betracht gezogen werden, um dieses Ziel zu erreichen, jede mit ihren Vor- und Nachteilen.

Lösung #1: Festplatte

Diese Lösung besteht darin, Dateien aus der Google-Drive- oder OneDrive-Umgebung manuell auf eine externe Festplatte zu sichern. Idealerweise sollte ein Backup einer OneDrive- oder Google-Drive-Umgebung auf mindestens zwei externen Festplatten erstellt werden, um Datenverlust zu verhindern, falls eine der Festplatten ausfällt. Obwohl diese Lösung am einfachsten umzusetzen ist, ist sie auch die restriktivste.

Lösung #2: NAS

Ein NAS (Network Attached Storage) ist ein physischer Netzwerkspeicher-Server. Diese Lösung besteht darin, eine Synchronisationsanwendung auf dem NAS zu installieren — nämlich Google Drive Desktop für eine Google-Workspace-Umgebung und OneDrive für eine O365-Umgebung —, um gemeinsam genutzte Laufwerke (Google Drive) und SharePoint-Websites (OneDrive) regelmäßig zu synchronisieren und Backups auf den NAS-Festplatten durchzuführen. Es ist auch möglich, bestimmte RAID-Typen zu verwenden, um die Festplattensicherheit oder Fehlertoleranz auf dem NAS zu verbessern.

Lösung #3: AWS/Azure-Speicherplatz

Azure (Microsoft) und AWS (Amazon) bieten kostengünstige Cloud-Speicherplätze zum Ablegen von Backups an. Die Idee besteht darin, alle Daten aus Google Drive und OneDrive regelmäßig in einen dieser Speicherplätze zu übertragen, entweder manuell oder automatisch mithilfe eines Skripts und einer Maschine, die bei einem dieser Dienste angemeldet ist. Mehrere kostenlose Tools werden zu diesem Zweck entwickelt und regelmäßig aktualisiert, nämlich rclone und duplicity, die für diese Art der Übertragung konzipiert sind.

Lösung #4: Lösungen von Drittanbietern

Bestimmte Lösungen von Drittanbietern können in Betracht gezogen werden, wenn keine der vorherigen Lösungen geeignet ist. Diese Lösungen machen Backups sehr einfach zu verwenden, sind jedoch mit erheblichen finanziellen Kosten verbunden. Diese Art von Lösung umfasst die Gewährung von Zugriff auf Ihre Google-Drive- und OneDrive-Umgebung für einen Drittanbieterdienst, damit dieser regelmäßig automatisch Daten abrufen kann. Diese Lösungen bieten auch Funktionen zur Datenwiederherstellung. Beispiele sind Afi, Backupify, Spanning und SpinBackup.

Zusammenfassungstabelle

Durch die Analyse all dieser Szenarien ist es möglich, bestimmte Kriterien zu definieren und all diese Lösungen entsprechend einzuordnen, wie in der folgenden Tabelle dargestellt:

Azure

Azure-Unveränderliche Backups

Azure-Backups können je nach Ihren Datenmodellen zwei Typen haben: Backup Vault oder Recovery Services:

Es gibt 2 Methoden, um die Unveränderlichkeit dieser Backups zu gewährleisten:

datasources$ (1)

1

Stellen Sie sicher, dass die Soft-Delete-Funktion aktiviert ist.

Standardmäßig ist Soft Delete in Azure Recovery Services Vaults aktiviert. Diese Funktion schützt Backups 14 Tage lang und ohne zusätzliche Kosten vor versehentlichem oder böswilligem Löschen. Wenn Backups gelöscht werden und Soft Delete nicht aktiviert ist, können weder Sie noch Microsoft die gelöschten Daten wiederherstellen. Es ist notwendig, den folgenden Schutz zu implementieren, um das folgende Szenario zu vermeiden:

1. Kompromittierung des Azure-Mandanten und der Vaults;

2. Deaktivierung von Soft Delete;

3. Löschen von Backups;

4. Wiederherstellung;

5. Endgültiges Löschen.

2

Verwenden Sie Multi User Authorization (MUA) für die Soft-Delete-Funktion.

MUA für Azure Backup verwendet eine neue Ressource namens Resource Guard, um sicherzustellen, dass kritische Vorgänge wie das Deaktivieren von Soft Delete, das Stoppen und Löschen von Backups oder das Reduzieren der Aufbewahrungsdauer von Backup-Richtlinien nur mit entsprechender Autorisierung ausgeführt werden. Um den Prozess zu verstehen, ist es notwendig, 2 Rollen zu kennen, die innerhalb der Azure-Organisation definiert werden müssen:

1. Backup Administrator: Besitzer des Recovery Services Vault oder Backup Vault, der Verwaltungs- und Administrationsvorgänge daran ausführt;

2. Security Administrator: Besitzer von Resource Guard, der als Wächter kritischer Vorgänge auf dem Vault fungiert. Daher steuert der Security Administrator die Berechtigungen, die der Backup Administrator benötigt, um kritische Vorgänge am Vault auszuführen.

Zur Konfiguration von MUA müssen Sie:

• Stellen Sie sicher, dass Resource Guard und der Azure Recovery Services Vault sich in derselben Azure-Region befinden;

• Stellen Sie sicher, dass der Backup Administrator keine Mitwirkendenrechte auf Resource Guard hat. Resource Guard kann sich in einer anderen Subscription desselben Tenants oder in einem anderen Tenant befinden;

• Befolgen Sie die offizielle Azure-Prozedur.

Schützen Ihrer kritischen Azure-Vorgänge

Durch die Konfiguration unveränderlicher Tresore werden die folgenden Schutzmechanismen aktiviert:

• Recovery Services: Schützt Daten vor dem Löschen; verhindert die Änderung oder das Löschen der Backup-Richtlinie, um die Datenaufbewahrungsdauer zu verkürzen.

• Backup Vaults: Schützt Daten vor dem Löschen

1

Melden Sie sich im Azure-Portal an und suchen Sie nach Recovery Services Vaults, Backup Vaults oder dem Tresor, den Sie schützen möchten:

2

Klicken Sie auf den Tab Eigenschaften, um den unveränderlichen Tresor zu aktivieren und den Tresor für die Dauer der Backup-Richtlinie zu sperren

Hinweis: Dieser Schritt kann nicht rückgängig gemacht werden. Bei sensiblen Daten mit Vorsicht verwenden.

3

Wiederholen Sie diesen Vorgang für die anderen für die Geschäftskontinuität erforderlichen Tresore.

AWS

Eingeschränkte Lösung (ohne SCP-Rechte)

Hinweis: Der erste Schritt muss für jeden S3-Bucket wiederholt werden, der sensible oder technische Daten enthält, die für die Produktion benötigt werden könnten.

1

Erstellen Sie eine S3-Bucket-Richtlinie, die das Löschen von S3-Bucket-Versionen verhindert.

1. In der Amazon-S3-Konsole, öffnen Sie den Bucket, dann Berechtigungen.

   
2. Unter Bucket-Richtlinie, klicken Sie auf Bearbeiten.

3. Ersetzen Sie die vorhandene Bucket-Richtlinie (falls vorhanden) durch das folgende JSON.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyVersionDeletion",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:DeleteObject*",
            "Resource": "arn:aws:s3:::my-bucket-name/*"
        }
    ]
}

Ersetzen Sie my-bucket-name durch Ihren Bucket-Namen.

2

Erstellen Sie einen Alarmmechanismus, um jede Änderung oder jedes Löschen dieses Buckets zu erkennen.

1. Aktivieren AWS CloudTrail falls er noch nicht aktiviert ist.

2. Öffnen Sie die Amazon-EventBridge-Konsole (CloudWatch Events) und wechseln Sie dann zu Regeln.

   
3. Klicken Sie auf Regel erstellen. Wählen Sie AWS API Call via CloudTrail als Ereignistyp.

   
4. Wählen Sie Bestimmte Vorgänge und fügen Sie hinzu:

   1. PutBucketPolicy

   2. DeleteBucketPolicy

   3. DeleteBucketLifecycle

   4. DeleteBucketPublicAccessBlock

   5. PutBucketPublicAccessBlock

   6. DeleteBucket als Vorgang, über den wir benachrichtigt werden möchten.

5. Verwenden Sie das folgende Ereignismuster:

{
  "source": ["aws.s3"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["s3.amazonaws.com"],
    "eventName": ["DeleteBucket", "DeleteBucketLifecycle", "DeleteBucketPolicy", "PutBucketPolicy", "DeleteBucketPublicAccessBlock", "PutBucketPublicAccessBlock"],
    "requestParameters": {
      "bucketName": ["my-bucket-name"]
    }
  }
}

Ersetzen Sie my-bucket-name mit dem Bucket, den Sie schützen möchten.

1. Konfigurieren Sie das Alarmziel (z. B. ein SNS-Topic für Benachrichtigungen oder eine Lambda-Funktion).