Wenn Cyberangreifer zuschlagen, ist Schnelligkeit nicht alles. Eine schnelle Wiederherstellung kompromittierter Daten führt lediglich zu einer erneuten Bedrohung und schafft einen Teufelskreis aus Infektion und Reinfektion.
Vor kurzem habe ich zusammen mit meinen Kollegen von Kyndryl ein Whitepaper mit dem Titel „Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery (MTCR)” verfasst, in dem wir einen grundlegenden Wandel vorgestellt haben: die Messung, wie schnell Sie Daten aus sauberen, verifizierten Daten wiederherstellen können, anstatt nur aus beliebigen verfügbaren Backups. Hier sind die fünf entscheidenden Schritte, die den MTCR Ihres Unternehmens bestimmen:
-
Schaffen Sie eine saubere Umgebung, in der Sie sich erholen können.
Das Problem: Die Wiederherstellung auf einer infizierten Infrastruktur führt lediglich zu einer erneuten Infektion Ihrer wiederhergestellten Systeme. Die Lösung: Isolierte Wiederherstellungsumgebungen (IREs) oder Reinräume – Rechen- und Speicherinfrastrukturen, die physisch oder virtuell von Produktionsumgebungen getrennt sind, zu denen Angreifer niemals Zugang hatten.
Realitätscheck: Ohne IRE benötigen moderne Forensik-Teams 24 bis 72 Stunden, um komplexe Hybridumgebungen als „sauber” zu zertifizieren. Ihr MTCR wird automatisch in Tagen statt in Stunden gemessen.
-
Finden Sie saubere Daten, von denen Sie wiederherstellen können.
Die versteckte Gefahr: Moderne Angreifer agieren wochenlang unbemerkt, bevor sie Angriffe starten, und verbreiten dabei schädliche Payloads in Ihrer gesamten Umgebung – einschließlich der Backup-Systeme. Der Durchbruch: Durch automatisiertes Scannen nach Kompromittierungsindikatoren lassen sich fehlerfreie Backup-Sätze identifizieren, ohne dass jedes einzelne Backup in einem Trial-and-Error-Verfahren getestet werden muss, bis ein funktionierendes gefunden wird.
Zusammenarbeit erforderlich: Dieser Schritt erfordert eine enge Zusammenarbeit zwischen den SysOps-Teams (die Backups verwalten) und den SecOps-Teams (die sich mit aktuellen Bedrohungen auskennen). Forensische Analysen decken Angriffssignaturen auf, die in den Scan-Prozess eingespeist werden müssen.
-
Daten innerhalb einer akzeptablen Zeit wiederherstellen.
Die unbequeme Wahrheit: Backup-Lösungen für Unternehmen bieten oft eine Wiederherstellungsleistung von „mehr als 10 Stunden pro Terabyte“. Skaliert man dies auf typische Unternehmensdienste, die Hunderte von Terabyte erfordern, kommt man auf eine Wiederherstellungszeit von mehreren Wochen. Die Realität: Die meisten Backup-Infrastrukturen wurden für nächtliche inkrementelle Backups (5 % Datenänderung) und nicht für eine vollständige Wiederherstellung des Geschäftsbetriebs (100 % Wiederherstellung) konzipiert.
Die Lösung: Speziell entwickelte Cyber-Resilienz-Plattformen mit leistungsstarken Wiederherstellungsfunktionen, kombiniert mit einer Priorisierung nach dem Minimum Viable Company (MVC)-Prinzip – mit Fokus auf den kritischen 20 % der Dienste, die 80 % der Geschäftsfunktionen ermöglichen.
-
Wahrung der Datenintegrität auf der gesamten platform.
Die Herausforderung: Unternehmenssysteme existieren nicht isoliert. Während der Wiederherstellung verursachen Systeme, die aus zu unterschiedlichen Zeitpunkten erstellten Backups wiederhergestellt werden, Alpträume in Bezug auf die Datenintegrität. Beispielszenario:
- Kundendatenbank: Dienstag, 3 Uhr morgens, Sicherung
- Abrechnungssystem: Montag 23 Uhr Backup
- Inventarsystem: Mittwoch, 6 Uhr morgens, Sicherung
Ergebnis: Bestellungen für Kunden, die nicht existieren, Rechnungen für Produkte, die nicht im Lagerbestand sind. Der Prozess: Wiederherstellungssequenzierung basierend auf Abhängigkeiten, Datenabgleich über integrierte Systeme hinweg und umfassende Konsistenzprüfungen vor der Rückkehr in die Produktion.
-
Vor der Produktionsrückgabe testen.
Die Eilfalle: Unter Druck bringen IT-Teams Systeme oft ohne umfassende Tests wieder online, was zu teilweise funktionsfähigen Systemen oder zur Wiedereinführung von Angriffsresten führt.
Umfassende Validierung:
- Funktionsprüfung der Kerngeschäftsprozesse
- Sicherheitsüberprüfung durch Schwachstellenscans
- Überprüfung der Datenintegrität über Plattformen hinweg
- Validierung von Geschäftsprozessen durch Anwendungsteams
Kritischer Erfolgsfaktor: Legen Sie Ihre MVC-Akzeptanzkriterien im Voraus fest – also die spezifischen Funktionen, die funktionieren müssen, bevor Sie wirklich „wiederhergestellt“ sind.
Die Herausforderung der Integration
Dies sind keine aufeinanderfolgenden Schritte – es handelt sich um miteinander verbundene Funktionen, die zusammenwirken müssen. Ihr MTCR ist nur so schnell wie Ihr langsamster Schritt und nur so zuverlässig wie Ihr schwächster Validierungspunkt. Die Investitionsrealität: Eine saubere Wiederherstellung erfordert speziell entwickelte Cyber-Resilienz-Plattformen, isolierte Wiederherstellungsumgebungen, automatisierte Scan-Tools und dedizierte Wiederherstellungsnetzwerke. Die Kosten für längere Ausfallzeiten und erneute Infektionen sind jedoch weitaus höher.
Nächste Schritte:
- Schätzen Sie, wie lange jeder Schritt in Ihrer aktuellen Umgebung dauern würde.
- Identifizieren Sie Ihre größte Lücke.
- Berechnen Sie die Kosten für längere Ausfallzeiten im Vergleich zu Investitionen in die Infrastruktur.
- Beginnen Sie mit Ihren wichtigsten Unternehmensdienstleistungen.
Die Zeiten von „Backup und Beten“ sind vorbei. Unternehmen, die diese fünf Schritte beherrschen, stellen ihre Daten nicht nur schneller wieder her – sie stellen sie einmalig, sauber und zuverlässig wieder her.
Mehr erfahren
Sehen Sie sich an, wie ich diese neue Kennzahl im Webinar „Die fehlende Kennzahl für Cyber Recovery“ diskutiere. Lesen Sie das vollständige Whitepaper „Cyber Recovery neu definiert: Einführung der Mean Time to Clean Recovery“(Durchschnittliche Zeit bis zur vollständigen Wiederherstellung), um mehr über diese wichtige Kennzahl zu erfahren. Darren Thomson ist Field CTO bei Commvault. Verpassen Sie nicht die Podcast-Reihe STRIVE.
