Die Welt um uns herum verändert sich rasant, und alles wird mittlerweile als Dienstleistung angeboten und genutzt – einschließlich Ransomware. Ransomware-as-a-Service (RaaS) erweist sich als der „Virus“ (Wortspiel beabsichtigt), der Unternehmen dazu zwingt, ihre Sicherheitsstrategien weiterzuentwickeln.
Unternehmen befinden sich in unterschiedlichen Phasen ihrer Cloud-Umstellung, die durch böswillige Akteure und Bedrohungsvektoren zusätzlich erschwert wird. Hinzu kommen Bedenken hinsichtlich Fehlkonfigurationen in der Cloud, die von Marktanalysten als eine der wichtigsten Schwachstellen bezeichnet wurden, die böswillige Akteure in der Regel als Erstes ausnutzen.
Angesichts der aktuellen IT-Lage, in der die Bedrohung durch Ransomware immer größer wird, hat die Zero-Trust-Architektur eine zentrale Rolle für die Sicherheitsstrategie jedes Unternehmens eingenommen. Die „Überprüfung und Authentifizierung“ aller Kommunikations- und Zugriffspfade zwischen den Komponenten der IT-Landschaft ist das Kernprinzip einer Zero-Trust-Architektur, die – wenn sie auf einer benutzerfreundlichen Plattform verfügbar ist – zu einem äußerst attraktiven Angebot wird.
Die Zero-Trust-Architektur stellt einen Paradigmenwechsel gegenüber den bisher bekannten Konzepten der „Persistenz“ von Verbindungen dar. Ausgangspunkt ist die Schaffung der Grundlagen für eine Mikrosegmentierung der IT-Landschaft, wobei der Zugriff nach dem Prinzip der geringsten Berechtigungen eingeschränkt wird und die gesamte Kommunikation zu und zwischen den Mikrosegmenten authentifiziert, überwacht und verifiziert wird. Der Einsatz der Mikrosegmentierung trägt dazu bei, im Katastrophenfall Mikro-Eindämmungszonen zu schaffen, um die laterale Ausbreitung von Bedrohungsvektoren zu minimieren.
Doch trotz bester Vorkehrungen erleben wir immer wieder, dass Unternehmen Opfer von Ransomware-Angriffen werden und doppelter Erpressung ausgesetzt sind. In solchen Fällen hängt die Fähigkeit eines Unternehmens, Betriebsausfälle zu minimieren, in hohem Maße von sicheren Backup-Kopien und einer sicheren Wiederherstellung bei optimaler Geschwindigkeit, Leistung und Kosten ab. Dies erweist sich als die Absicherung, auf die sich Kunden verlassen.
Mit 25 Jahren Erfahrung im Bereich Datensicherung und -management ist Commvault stets auf dem neuesten Stand und unterstützt seine Kunden bei der Wiederherstellung ihrer Daten sowie bei der Bewältigung von Cyber- und Disaster-Recovery-Krisen durch einen mehrschichtigen Sicherheitsansatz. Diese Erfolgsgeschichten unterstreichen einmal mehr, wie wichtig Backup-Kopien sind, die gegen Cyberangriffe gewappnet und für die Recovery bereit sind!
Die Fähigkeit, alle isolierten Workloads – und damit die Angriffsfläche zu verringern – in ein einheitliches Framework zu integrieren, das sich nahtlos in das bestehende hybride Ökosystem der Kunden mit On-Premise- und SaaS-Komponenten einfügt und auf jeder Interaktionsebene durchgängig ein Höchstmaß an Schutz und Recovery-Sicherheit gewährleistet, gilt heute als Goldstandard im Bereich der Cyber-Recoverability. Für Commvault hat die Einhaltung geschäftlicher SLAs höchste Priorität und ist ein unverhandelbarer Parameter.
Über unsere „Intelligent Data Services“-Plattform stehen Kunden zahlreiche Optionen zur Verfügung, um ihre Workloads zu unterstützen und eine flexible Bereitstellung zu gewährleisten. Commvault-Kunden profitieren von einer nahtlosen Lösung für die Sicherung und Verwaltung von Daten auf lokalen Systemen, in der Cloud und auf SaaS-Plattformen.
- Commvault HyperScale X ist das Hyperkonvergente-Infrastruktur-Angebot (HCI) von Commvault, das auf Commvault Distributed Storage basiert. Kunden profitieren von durchgehend hohen Standards in den Bereichen Sicherheit, Segmentierung und einfacher Bereitstellung. Darüber hinaus bietet HyperScale X den Kunden nahtlose Optionen zur Cloud-Integration.
- Metallic Cloud Storage Services (MCSS) ist ein Flaggschiff-Angebot von Commvault/Metallic, das auf Azure-Diensten basiert. Metallic Hub bietet SaaS-Flexibilität für Microsoft 365 und Salesforce.com sowie für verschiedene andere cloudbasierte Workloads. Ebenso ergänzen die Metallic Cloud Storage Services hybride Anwendungsszenarien von Unternehmenskunden, die auf die dringend benötigten, logisch segmentierten und durch einen Luftspalt isolierten Daten einer sekundären oder tertiären Kopie angewiesen sind. Der MCSS-Speicher bietet Kunden die Gewissheit und Sicherheit, dass ihre Daten dank der Abstraktion des Zugriffs und zusätzlicher Sicherheitsschichten – einschließlich der Verschlüsselung der Daten im Ruhezustand und während der Übertragung – unveränderlich sind.
Da Sicherungskopien für Unternehmen zur „Versicherung“ für die Wiederherstellung geworden sind, ist die Unveränderlichkeit der Daten von entscheidender Bedeutung.
Kunden stehen zahlreiche in die Commvault-Software integrierte Funktionen zur Verfügung, die die Mechanismen zur Erkennung von Anomalien und zur Benachrichtigung ergänzen und die Lösung so zu einer sicheren und cybertauglichen Datensicherungslösung machen. Wie im NIST-Cybersicherheits-Framework beschrieben, orientieren sich Unternehmen zunehmend an der Strategie der „Defense in Depth“. Bei der Ausweitung auf Datensicherungs- und -verwaltungsumgebungen trägt dasselbe Framework dazu bei, das gewünschte Maß an Unveränderlichkeit und Sicherheit zu erreichen, ohne dabei die Recovery, die Leistung und die Kosten zu beeinträchtigen.
Bewährte Verfahren für die Sicherheit und Unveränderlichkeit von Sicherungsdaten
Unveränderlichkeit ist definiert als die Fähigkeit, beliebige Daten für einen bestimmten Zeitraum in einem unveränderlichen Zustand zu erhalten. Die Unveränderlichkeit von Daten lässt sich durch verschiedene, miteinander kombinierte Methoden erreichen.
Im Folgenden finden Sie die wichtigsten von Commvault empfohlenen Best Practices zur Gewährleistung der Sicherheit und Unveränderlichkeit von Sicherungsdaten:
1. Sorgen Sie für eine strengere rollenbasierte Zugriffskontrolle (RBAC), um sicherzustellen, dass nur Ressourcen innerhalb der Organisation Zugriff auf Backup-Repositorys haben. In Verbindung mit der Multi-Faktor-Authentifizierung (MFA) und der Mehrpersonen-Authentifizierung gewährleistet dies Schutz vor böswilligen Administratoren oder kompromittierten Administratorzugangsdaten. Die Beantwortung grundlegender Fragen wie „Wer hat Zugriff auf was und warum?“ hilft dabei, die Prinzipien der rollenbasierten Zugriffskontrolle (RBAC) umzusetzen. Dies steht im Einklang mit den Richtlinien zum Prinzip der geringsten Berechtigungen.
2. Schützen Sie Ihre Commvault-Umgebung vor „böswilligen Administratoren“ oder „kompromittierten Administratorzugangsdaten“, die dort Chaos anrichten könnten, indem Sie in den Richtlinien die Funktion „Commvault Retention Lock“ (früher als „WORM Copy“ bezeichnet) aktivieren. Sobald diese Konfiguration auf Softwareebene in einer Richtlinie aktiviert ist, schützt sie vor versehentlichen oder absichtlichen Löschungen oder Änderungen an der Aufbewahrungsdauer der Richtlinie, gelöschten Aufträgen oder getrennten/gelöschten Bibliotheken – und zwar durch jeden, einschließlich Administratoren.
3. Die Verschlüsselung ist bei Commvault standardmäßig aktiviert. Sowohl gespeicherte als auch übertragene Daten werden verschlüsselt, wodurch sichergestellt wird, dass die Sicherungsdaten – selbst wenn sie entwendet werden – für Angreifer ohne die Entschlüsselungsschlüssel unbrauchbar sind. Da die von Commvault geschriebenen Daten zudem in deduplizierten Blöcken vorliegen, sind diese Datenblöcke für Angreifer im Falle von „Double-Extortion“-Ransomware-Bedrohungen nutzlos.
Die Integration von Commvault in Schlüsselverwaltungsserver von Drittanbietern sowie die Unterstützung dieser Server bieten eine zusätzliche Sicherheitsebene.
4. Der „Ransomware Lock“ von Commvault schützt die Einhängepfade des lokalen Datenübertragungsprogramms, wo immer dies erforderlich ist. Dadurch wird sichergestellt, dass Daten nur von Commvault und von Commvault genehmigten Prozessen auf den Zielspeicher geschrieben werden können, wodurch der Einhängepfad für Lese-, Schreib- und Aktualisierungsvorgänge durch Prozesse, die nicht von Commvault stammen, unzugänglich und somit unveränderlich wird.
5. Mit Commvault HyperScale X profitieren Kunden von einem strengeren Datenschutz auf Betriebssystemebene, der verhindert, dass Benutzer und/oder Ransomware-Angriffe andere Sicherheitsebenen durch Zugriffskontrollen umgehen können. Im Hintergrund nutzt HyperScale X SELinux, um die Unveränderlichkeit zu verbessern, indem es Zugriffsrichtlinien bereitstellt, die Dateiänderungen oder Aktivitäten auf Festplattenebene – wie beispielsweise das Neuformatieren von Laufwerken – einschränken. Vor allem aber bietet HyperScale X, das auf dem integrierten Scale-out-Dateisystem von Commvault basiert, zusätzliche Unveränderlichkeit auf Speicherebene. Dies stellt sicher, dass Daten in Backup-Repositorys auf Dateisystemebene weder geändert noch verschlüsselt werden können. Diese Funktion ist standardmäßig aktiviert.
6. Der Zugriff auf Cloud-Speicherdienste wird unmittelbar vor dem Start von Sicherungsaufträgen authentifiziert. Dies steht zudem in engem Einklang mit der Zero-Trust-Architektur, die vorschreibt, dass alle Kommunikationskanäle zunächst „abgefragt“ und anschließend „verifiziert“ werden müssen, wodurch das Konzept der Persistenz hinfällig wird.
7. Commvault ermöglicht zudem die Nutzung einer zeitbasierten Aufbewahrungssperre (WORM-Sperre) für Cloud-Objektspeicher und lokale Objektspeicher, die diese Funktion unterstützen. Sicherungskopien, die in einem Cloud-Speicher abgelegt sind, auf den eine zeitbasierte Aufbewahrungssperre angewendet wird, können bis zum Ablauf der Aufbewahrungsfrist weder von Prozessen noch von Personen – einschließlich Cloud-IaaS-Anbietern – gelöscht oder aktualisiert werden.
8. Die von Commvault empfohlenen Netzwerktopologien legen den Schwerpunkt auf eine „Pull“-Architektur im Gegensatz zu einer „Push“-Architektur und folgen damit den Prinzipien der Zero-Trust-Architektur. Die „Push“-Architektur basiert auf einer dauerhaften Verbindung und birgt das Risiko, dass Malware über diese stets aktive Verbindung eindringen kann; bei der „Pull“-Architektur hingegen erfolgt die Verbindung zu den Clients nur periodisch, was eine Zugriffsanfrage und eine Authentifizierung erfordert und schließlich zum „Abrufen“ von Daten und Ereignissen führt.
9. Bei den Metallic Cloud Storage Services wird das Metallic-Speicherabonnement gegenüber den Kunden abstrahiert, da diese nur Einblick in ihr Metallic-Speicherkonto haben, nicht jedoch in das Metallic-Abonnement. Diese Abstraktionsebene sorgt in Verbindung mit Commvault Retention Lock für eine sichere und unveränderliche Kopie der Daten auf MCSS.
Wichtige architektonische Überlegungen zur Unveränderlichkeit
Eine der häufig gestellten Fragen lautet: Wie gestalten wir mit all diesen Funktionen die passende Architektur für eine bestimmte Umgebung? Was sind die wichtigsten architektonischen Aspekte, die es bei der Gestaltung einer hybriden Umgebung zu berücksichtigen gilt, um ein Gleichgewicht zwischen Sicherheit, Kosten und Leistungsparametern herzustellen?
Beziehen Sie diese Elemente in Ihre Unveränderlichkeitsarchitektur ein
- Richt Sie Zugriffsbeschränkungen ein, um den Kopierspeicher vor Ransomware zu schützen
- Unveränderlichkeit durch Lebenszyklus-Sperren zur Risikominderung, abgewogen gegen die Auswirkungen auf den Verbrauch
- Luftspaltisoliertes Netz und Steuerungen
- Konfigurationskontrolle zum Schutz vor absichtlichen oder versehentlichen Änderungen
- Parallele Recovery-Leistung – Reduzierung der Latenz unter gebührender Berücksichtigung der Auswirkungen auf Geschwindigkeit und Kosten
- Automatische Patches gewährleisten Aktualität und vereinfachen die Verwaltung und Wartung der Datensicherheitsinfrastruktur
- 3-2-1 Externe Kopie im Tresor
Die folgende Abbildung veranschaulicht diese wesentlichen Punkte und kann als schnelle und einfache Orientierungshilfe dienen.
Weitere Informationen zur Unveränderlichkeit bei Commvault finden Sie im Artikel „Die Architektur der unveränderlichen Infrastruktur von Commvault“.
