Wenn Cyberangreifer zuschlagen, kommt es nicht nur auf Schnelligkeit an. Eine schnelle Wiederherstellung kompromittierter Daten führt lediglich zu einer erneuten Bedrohung und schafft einen Teufelskreis aus Infektion und Reinfektion.
Vor kurzem habe ich gemeinsam mit meinen Kollegen von Kyndryl ein Whitepaper mit dem Titel „Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery (MTCR)“ verfasst, in dem wir einen grundlegenden Wandel vorgestellt haben: die Messung, wie schnell Sie Daten aus sauberen, verifizierten Daten wiederherstellen können, anstatt nur aus beliebigen verfügbaren Backups. Hier sind die fünf entscheidenden Schritte, die den MTCR Ihres Unternehmens bestimmen:
-
Schaffen Sie eine saubere Umgebung, in der Sie die Wiederherstellung durchführen können.
Das Problem: Die Wiederherstellung auf einer infizierten Infrastruktur führt lediglich zu einer erneuten Infektion Ihrer wiederhergestellten Systeme. Die Lösung: Isolierte Wiederherstellungsumgebungen (IREs) oder „Reinräume“ – Rechen- und Speicherinfrastrukturen, die physisch oder virtuell von Produktionsumgebungen getrennt sind, zu denen Angreifer niemals Zugang hatten.
Realitätscheck: Ohne IRE benötigen moderne Forensik-Teams 24 bis 72 Stunden, um komplexe Hybridumgebungen als „sauber“ zu zertifizieren. Ihr MTCR wird automatisch in Tagen statt in Stunden gemessen.
-
Finden Sie saubere Daten, auf deren Grundlage Sie eine Wiederherstellung durchführen können.
Die versteckte Gefahr: Moderne Angreifer agieren wochenlang unbemerkt, bevor sie Angriffe starten, und verbreiten dabei schädliche Payloads in Ihrer gesamten Umgebung – einschließlich der Backup-Systeme. Der Durchbruch: Durch automatisiertes Scannen nach Indikatoren für Kompromittierungen lassen sich fehlerfreie Backup-Sätze identifizieren, ohne dass jedes einzelne Backup in einem Trial-and-Error-Verfahren getestet werden muss, bis ein funktionierendes gefunden wird.
Zusammenarbeit erforderlich: Dieser Schritt erfordert eine enge Zusammenarbeit zwischen den SysOps-Teams (die die Backups verwalten) und den SecOps-Teams (die sich mit aktuellen Bedrohungen auskennen). Forensische Analysen decken Angriffssignaturen auf, die in den Scan-Prozess einfließen müssen.
-
Daten innerhalb einer akzeptablen Zeit wiederherstellen.
Die unbequeme Wahrheit: Backup-Lösungen für Unternehmen bieten oft eine Wiederherstellungszeit von „mehr als 10 Stunden pro Terabyte“. Skaliert man dies auf typische Unternehmensdienste, die Hunderte von Terabyte erfordern, ergibt sich eine Wiederherstellungszeit von mehreren Wochen. Die Realität: Die meisten Backup-Infrastrukturen wurden für nächtliche inkrementelle Backups (5 % Datenänderung) und nicht für eine vollständige Wiederherstellung des Geschäftsbetriebs (100 % Wiederherstellung) konzipiert.
Die Lösung: Speziell entwickelte Cyber-Resilienz-Plattformen mit leistungsstarken Wiederherstellungsfunktionen, kombiniert mit einer Priorisierung nach dem „Minimum Viable Company“ (MVC)-Prinzip – mit Fokus auf die kritischen 20 % der Dienste, die 80 % der Geschäftsfunktionen ermöglichen.
-
Wahrung der Datenintegrität auf der gesamten Plattform.
Die Herausforderung: Unternehmenssysteme existieren nicht isoliert. Während der Wiederherstellung verursachen Systeme, die aus Backups unterschiedlicher Zeitpunkte wiederhergestellt werden, Alpträume in Bezug auf die Datenintegrität. Beispielszenario:
- Kundendatenbank: Dienstag, 3 Uhr morgens, Sicherung
- Abrechnungssystem: Montag, 23 Uhr, Sicherung
- Lagerverwaltungssystem: Mittwoch, 6 Uhr morgens, Sicherung
Ergebnis: Bestellungen für nicht existierende Kunden, Rechnungen für Produkte, die nicht vorrätig sind. Der Prozess: Sequenzierung der Wiederherstellung auf Basis von Abhängigkeiten, Datenabgleich über integrierte Systeme hinweg und umfassende Konsistenzprüfungen vor der Rückkehr in den Produktivbetrieb.
-
Vor der Rückkehr in den Produktivbetrieb testen.
Die Eilfalle: Unter Druck nehmen IT-Teams Systeme oft ohne umfassende Tests wieder online, was zu teilweise funktionsfähigen Systemen oder zur Wiedereinführung von Angriffsresten führt.
Umfassende Validierung:
- Funktionsprüfung der Kerngeschäftsprozesse
- Sicherheitsüberprüfung durch Schwachstellenscans
- Überprüfung der plattformübergreifenden Datenintegrität
- Validierung von Geschäftsprozessen durch Anwendungsteams
Kritischer Erfolgsfaktor: Legen Sie Ihre MVC-Akzeptanzkriterien im Voraus fest – also die spezifischen Funktionen, die funktionieren müssen, bevor Sie wirklich „wiederhergestellt“ sind.
Die Herausforderung der Integration
Dies sind keine aufeinanderfolgenden Schritte – es handelt sich um miteinander verbundene Funktionen, die zusammenwirken müssen. Ihr MTCR ist nur so schnell wie Ihr langsamster Schritt und nur so zuverlässig wie Ihr schwächster Validierungspunkt. Die Investitionsrealität: Eine saubere Wiederherstellung erfordert speziell entwickelte Cyber-Resilienz-Plattformen, isolierte Wiederherstellungsumgebungen, automatisierte Scan-Tools und dedizierte Wiederherstellungsnetzwerke. Die Kosten für längere Ausfallzeiten und erneute Infektionen sind jedoch weitaus höher.
Nächste Schritte:
- Schätzen Sie ein, wie lange jeder Schritt in Ihrer aktuellen Umgebung dauern würde.
- Identifizieren Sie Ihre größte Schwachstelle.
- Berechnen Sie die Kosten für längere Ausfallzeiten im Vergleich zu Investitionen in die Infrastruktur.
- Beginnen Sie mit Ihren wichtigsten Unternehmensdiensten.
Die Zeiten von „Backup und Beten“ sind vorbei. Unternehmen, die diese fünf Schritte beherrschen, stellen ihre Daten nicht nur schneller wieder her – sie stellen sie ein für alle Mal, fehlerfrei und zuverlässig wieder her.
Erfahren Sie mehr
Sehen Sie sich an, wie ich diese neue Kennzahl im Webinar „Die fehlende Kennzahl für Cyber Recovery“ erörtere. Lesen Sie das vollständige Whitepaper „Cyber Recovery neu definiert: Einführung der Mean Time to Clean Recovery“ (Durchschnittliche Zeit bis zur vollständigen Wiederherstellung), um mehr über diese wichtige Kennzahl zu erfahren. Darren Thomson ist Field CTO bei Commvault. Verpassen Sie nicht die Podcast-Reihe STRIVE.
