Die wichtigsten Erkenntnisse
- Behauptungen über eine „sofortige Wiederherstellung“ scheitern oft im großen Maßstab aufgrund der tatsächlichen E/A-Operationen pro Sekunde (IOPS), der Rehydrierung und infrastruktureller Einschränkungen.
- Die massive Einbindung von Daten in den Live-Betrieb auf dedupliziertem Backup-Speicher kann zu einem Leistungsabfall führen und eine langsame Rehydrierung zurück auf den Primärspeicher erzwingen.
- „Cleanrooms“ ermöglichen parallele forensische Untersuchungen und die Wiederherstellung des Geschäftsbetriebs anstelle von seriellen, durch Verzögerungen bedingten Ausfallzeiten.
- Identitätsmissbrauch vergrößert den Schadensumfang, sodass ein isoliertes Recovery-Verfahren und die Recovery von Active Directory (AD) für den sicheren Betrieb entscheidend sind.
- Automatisierte Cleanroom-Runbooks und wiederholbare Tests helfen Unternehmen dabei, reale Recovery-Metriken zu validieren, bevor eine Krise eintritt.
Beginnen wir mit einer kurzen Geschichte über eine „Ransomware-sichere“ Umgebung, deren Recovery 72 Stunden dauerte – weit über die Erwartungen des Unternehmens hinsichtlich der angestrebten Wiederherstellungszeit hinaus. Genau das ist die Art von Situation, in der Commvault Cleanroom Recovery hätte helfen können, einen schmerzhaften, dreitägigen Ausfall in eine schnellere, kontrolliertere Wiederherstellung mit geringerem Risk zu verwandeln.
Praxisbericht: Physik vs. Marketing
Auf Reddit berichtete ein Nutzer, wie das Finanzdienstleistungsunternehmen, für das er arbeitet, von einem Datenleck betroffen war. Man ging davon aus, über einen „Traum-Stack“ für eine schnelle Recovery zu verfügen (aber kann man wirklich einen „Traum-Stack“ ohne „Cleanroom Recovery“ haben?): unveränderliche Backups, sichere Speicher-Snapshots und einen modernen Hypervisor. Die Datenblätter versprachen eine „sofortige Massenwiederherstellung“, doch das Unternehmen war drei Tage lang offline, während alle versuchten, ihre Umgebung wieder zum Laufen zu bringen.
Die eigentliche Ursache lag nicht darin, dass die Backups fehlgeschlagen waren, sondern darin, dass die realen physischen Aspekte der Datenwiederherstellung, der Forensik und der Identitätsprüfung nie in großem Maßstab getestet worden waren. Der Verfasser des Beitrags erwähnte, dass der Zugriff auf eine Cleanroom-Umgebung den Prozess beschleunigt hätte. Lassen Sie uns dies näher beleuchten und die Gründe dafür erörtern.
Die „Cleanroom Recovery“ von Commvault wurde entwickelt, um genau diese Schwachstellen zu beheben: Sie unterstützt die Automatisierung einer sauberen, isolierten Wiederherstellung in die Cloud, validiert Daten und koordiniert die Recovery so, dass sie dem tatsächlichen Verlauf von Vorfällen entspricht – und nicht nur den Diagrammen auf Folien.
Problem 1: Die Rehydrationsfalle
In der Geschichte funktionierte das „Live-Mounting“ einer Handvoll virtueller Maschinen (VMs) einwandfrei, doch der Versuch, Hunderte davon live zu mounten, brachte die Backup-Appliance zum Erliegen. Die zufälligen E/A-Vorgänge, die direkt auf dem deduplizierten, komprimierten Backup-Speicher abliefen, ließen die IOPS einbrechen, sodass das Team gezwungen war, alles mit einer Geschwindigkeit von etwa 3 TB pro Stunde für rund 100 TB Daten zurück auf den primären Non-Volatile Memory Express zu rehydrieren.
Commvault Cleanroom Recovery hilft dabei, Workloads in einem isolierten, Azure-basierten „Cleanroom“ wiederherzustellen, der auf skalierbarer Cloud-Rechenleistung und -Speicher aufbaut, anstatt zu versuchen, den Produktionsbetrieb in großem Maßstab über eine Backup-Appliance auszuführen.
Auf diese Weise können Sie kritische VMs in einer speziell dafür eingerichteten Recovery-Umgebung wiederherstellen, die Elastizität der Cloud zur Absorption von E/A nutzen und die Recovery-Sequenz automatisieren, sodass die richtigen Systeme (Identität, Kernanwendungen, kritische Daten) zuerst hochfahren, ohne dass es zu Engpässen bei einem einzelnen Backup-Ziel kommt.
Problem 2: Die forensische Verzögerung
Bei der Prüfung war die technologische Basis in etwa vier Stunden einsatzbereit, doch die Rechtsabteilung verzögerte jegliche Maßnahmen um 72 Stunden, da kein vorab bereitgestellter „Cleanroom“ zur Verfügung stand. Ohne eine isolierte Umgebung ohne Rückkopplungen in den Produktionsbetrieb konnte das Forensikteam während der Wiederherstellung des Geschäftsbetriebs keine sicheren Untersuchungen durchführen, sodass alle auf die Freigabe warteten, bevor mit der eigentlichen Wiederherstellung begonnen werden konnte.
„Cleanroom Recovery“ bietet eine bedarfsgesteuerte, isolierte Umgebung für die gleichzeitige Recovery- und forensische Analyse. Sie können innerhalb weniger Stunden einen abgeschirmten „Cleanroom“ in Azure einrichten, Systeme darin wiederherstellen und Sicherheits- sowie Rechtsabteilungen die Durchführung schreibgeschützter forensischer Untersuchungen und Threat Scans ermöglichen, während der Betrieb die Anwendungen validiert und die Umstellung vorbereitet – wodurch der „forensische Engpass“ als Ursache für Ausfallzeiten drastisch reduziert wird.
Problem 3: Ausbreitungsradius der Identitätskompromittierung
Die Umgebung in der Fallstudie verfügte über ein einziges Administratorkonto mit Zugriff sowohl auf den Hypervisor als auch auf die Backup-Konsole. Das bedeutete: Wenn Angreifer so weit vordringen konnten, würde die Unveränderlichkeit zu einer weiteren Einstellung werden, die sie einfach deaktivieren könnten. Nicht nur die Daten, sondern auch die Identität war das eigentliche Problem hinsichtlich des Ausbreitungsradius.
„Cleanroom Recovery“ wurde entwickelt, um die Abhängigkeit von der kompromittierten Identitätsschicht der Produktion während der Wiederherstellung zu verringern, und ermöglicht isolierten Zugriff sowie geplante Unterstützung für die AD-Wiederherstellung im Cleanroom.
Durch die Wiederherstellung von Identitätsdiensten in einem isolierten Cleanroom und die Nutzung separater Zugriffspfade mit möglichst geringen Berechtigungen können Sie dazu beitragen, das AD zu validieren, ordnungsgemäße Autorisierungen durchzusetzen und Backup-Kontrollebenen davor zu schützen, auf einfache Weise durch dieselben Anmeldedaten kompromittiert zu werden, die in der Produktion verwendet wurden.
Wie „Cleanroom Recovery“ diese Situation verändert hätte
Hätte dieser Kunde „Cleanroom Recovery“ eingesetzt, hätte seine Recovery-Geschichte ganz anders aussehen können.
- Schnellere, physikalisch optimierte Recovery: Der Kunde hätte die Recovery in einem Cloud-Cleanroom mit skalierbaren Speicher- und Rechenressourcen koordinieren können, wodurch der IOPS-Einbruch durch massive Live-Mounts vermieden und die tatsächlich benötigte Recovery-Geschwindigkeit erreicht worden wäre.
- Parallele Forensik und Geschäftswiederherstellung: Ein vordefinierter Cleanroom-RTO von unter vier Stunden hätte ihm dabei geholfen, eine abgeschirmte Umgebung sowohl für forensische Untersuchungen als auch für die Anwendungsvalidierung einzurichten, anstatt 72 Stunden in einer Warteschleife zu verbringen.
- Geringeres Risiko einer erneuten Infektion und von Identitätsrisiken: Die Isolierung im „Cleanroom“, Threat Scans und eine separate Steuerungsebene hätten dazu beigetragen, den Ausbreitungsradius von Identitätsrisiken zu begrenzen, die Malware-Freiheit der Daten vor der Rückkehr in die Produktion zu bestätigen und Auditoren sowie Versicherern einen sauberen, überprüfbaren Recovery-Pfad zu liefern.
- Automatisierte, wiederholbare Playbooks: Automatisierte Runbooks, die die Erkennung sicherer Punkte, die Abfolge von Workloads und Test-Failovers koordinieren, hätten ihnen helfen können, dieses Szenario regelmäßig zu proben und ihre tatsächlichen Kennzahlen bereits vor einem Angriff zu kennen – anstatt sie erst während einer Krise zu ermitteln.
Für Unternehmen, die bereits in „Ransomware-sichere“ Systemstacks investieren, ist das fehlende Puzzlestück oft nicht mehr die Anzahl der Features, sondern eine Cleanroom-Strategie, die physische, identitätsbezogene und rechtliche Gegebenheiten berücksichtigt. Commvault Cleanroom Recovery wurde entwickelt, um diese Lücke zu schließen und dazu beizutragen, die Recovery-Prozesse von einem dreitägigen „Kriegsgeschehen“ in einen kontrollierten, nachweisbaren und wesentlich schnelleren Vorgang zu verwandeln.
FAQs
F: Warum ist der Ansatz der „sofortigen Massenwiederherstellung“ im Ransomware-Szenario gescheitert?
A:
Während das Live-Mounten einiger weniger VMs funktionierte, überlastete die Skalierung auf Hunderte die Backup-Appliance aufgrund von E/A-Beschränkungen. Deduplizierter und komprimierter Backup-Speicher ist nicht dafür ausgelegt, volle Produktions-Workloads in großem Maßstab zu bewältigen, was zu einem Leistungsabfall und einer verzögerten Recovery führt.
F: Was ist die „Rehydration-Falle“ bei der Notfall-Recovery?
A:
Die „Rehydration-Falle“ tritt auf, wenn Unternehmen zunächst große Mengen komprimierter Backup-Daten auf den Primärspeicher zurückspiegeln müssen, bevor die Systeme wieder normal arbeiten können. Dieser Prozess wird durch Durchsatzraten begrenzt, was die Recovery-Zeiten bei Dutzenden oder Hunderten von Terabyte drastisch verlängern kann.
F: Wie trägt ein Reinraum dazu bei, forensikbedingte Ausfallzeiten zu reduzieren?
A:
Ein Reinraum bietet eine isolierte Umgebung, in der Forensik-Teams sicher Ermittlungen durchführen können, während die IT gleichzeitig die Systeme wiederherstellt. Dieser parallele Ansatz trägt dazu bei, lange Wartezeiten auf rechtliche oder sicherheitstechnische Genehmigungen vor Beginn der Recovery-Maßnahmen zu vermeiden.
F: Warum ist die Identität ein so entscheidender Faktor bei der Recovery nach einem Ransomware-Angriff?
A:
Wenn Angreifer Administratorzugangsdaten kompromittieren, die sowohl mit Produktions- als auch mit Backup-Systemen verknüpft sind, bieten Integritätsprüfungen möglicherweise keinen Schutz mehr. Eine isolierte Identitätswiederherstellung und der Zugriff nach dem Prinzip der geringsten Berechtigungen können dazu beitragen, den Schadensumfang zu begrenzen und einen sichereren Recovery-Prozess zu gewährleisten.
F: Wie trägt „Cleanroom Recovery“ zur Verbesserung der Recovery-Orchestrierung bei?
A:
„Cleanroom Recovery“ unterstützt die Automatisierung der Workload-Sequenzierung, der Cleanpoint-Validierung und der Bereitstellung der cloudbasierten Recovery-Infrastruktur. Dieser strukturierte Ansatz passt die Recovery an den tatsächlichen Verlauf von Vorfällen an und hilft Unternehmen so, schneller und mit größerer Sicherheit die Kontrolle zurückzugewinnen.
F: Was ist die strategische Erkenntnis für Unternehmen mit „Ransomware-sicheren“ Stacks?
A:
Fortgeschrittene Features allein garantieren keine schnelle Recovery-Leistung. Eine Cleanroom-Strategie, die die physischen Gegebenheiten der Infrastruktur, die Isolierung von Identitäten und rechtliche Rahmenbedingungen berücksichtigt, hilft Unternehmen dabei, theoretische Resilienz in messbare, wiederholbare Recovery-Leistung umzusetzen.
Nico Guerrera ist Senior Solutions Marketing Manager bei Commvault.
Verwandte Blogbeiträge
Recovery von Active Directory-Forests: Warum manuelle Methoden nicht mehr tragfähig sind
Recovery-Tests: Das fehlende Puzzleteil in den meisten Programmen zur Cyber-Resilienz
Ihr moderner Leitfaden für schnelle Reaktion und saubere Wiederherstellung
Cyber-Resilienz erschließen: Die Kraft von „Cleanrooms“
Warum „Cleanroom Recovery“ und Cyber-Tests entscheidend für die Cyber-Resilienz sind