München, Starnberg, 21. Juni 2021 - Was sind Air Gaps und was bringt der Sicherheitsansatz? Pure Storage Kommentar zu alternativen Data Protection- und Recovery-Strategien...
Zum Beitrag: Wie bekannt, war während des jüngsten DarkSide-Angriffs auf die Backoffices von Colonial Pipelines die kritische Gas- und Kraftstoffinfrastruktur in den USA mehr als vier Tage lang offline. Eine Untersuchung ergab, dass große Lücken in der Sicherheit das Eindringen ins Netzwerk „ziemlich einfach“ machten. Unternehmen sollten Angreifern das Leben aber schwermachen – und nicht leicht. Wie Pure Storage berichtet gibt es ein ganzes Arsenal an Technologien und Architekturparadigmen, um genau das zu erreichen. Einer dieser Ansätze nennt sich „Air Gaps“, aber sind sie ein Allheilmittel für Schutz, Backup und Wiederherstellung? Pure Storage erläutert für Sie nachfolgend einige bekannte aber auch aus seiner Sicht neue Ansätze rund um den Schutz von Daten, Backups und die schnelle Wiederherstellung.
Was ist ein Air Gap?
Traditionell war ein Air Gap physisch, mit bandbasierten Backups oder Offsite-Systemen, getrennt ohne physische Verbindung. Administratoren schaffen dabei eine Verbindung zwischen dem Produktionssystem und dem Air-Gapped-System, wie eine Zugbrücke. Die Brücke wird heruntergefahren, wenn Daten übertragen werden, und für den Rest der Zeit wieder hochgefahren.
Heutzutage entwickelt sich die Definition und das Konzept von „Air Gaps“ über die traditionelle „physische Netzwerkisolierung“ hinaus und wird zu einer wertvollen Komponente einer effektiven, effizienten Datensicherheitsstrategie. Moderne Air Gaps konzentrieren sich mehr auf die logische Trennung, vor allem mit Netzwerkkontrollen. Im Wesentlichen handelt es sich um Netzwerkdesign-Topologien, die Produktions- und Backup-Netzwerke trennen.
Das Ziel eines Air Gaps ist es, kritische Daten von lokalen Netzwerken und Produktionsbereichen zu isolieren, die anfälliger für Angriffe sind. Indem Daten aus dem Produktionsnetzwerk in regelmäßigen Abständen eingelassen werden, werden die Backups regelmäßig aktualisiert, aber die beiden Seiten sind nicht immer miteinander verbunden. Diese Intervalle können einmal am Tag oder in einer beliebig definierten Häufigkeit stattfinden.
Einige Anbieter haben das Konzept angepasst, so dass es zwei Varianten gibt (im Kern beruhen beide Ansätze meist auf WORM-Funktionen, die für gesetzliche und Compliance-Anforderungen entwickelt wurden):
Den „virtuellen“ Air Gap: Dieser wurde zuerst von Anbietern eingeführt, die sich auf die logische Netzwerktrennung konzentrieren und eine doppelte Infrastruktur mit WORM-Funktionen (Write Once, Read Many) verkaufen wollten. Das Netzwerk zwischen den Standorten würde sich periodisch öffnen und schließen. Dies wurde über umfangreiche Beratung und Professional Services bereitgestellt.
„Operativer“ Air Gap. Als der „virtuelle Air Gap“ von den Kunden nur mäßig aufgenommen wurde (d.h. geringe Umsätze), wurden „operative Air Gaps“ geschaffen, um die Infrastrukturkosten zu senken und zusätzliche Automatisierung rund um die Einrichtung und Wartung zu erreichen.
Das Air-Gap-Versprechen
Die Idee ist, dass ohne eine offene Verbindung zwischen den beiden Standorten Bedrohungen theoretisch keine Brücke hinüber schlagen können. Ohne Rechenknoten sind Air-Gapped-Systeme noch weniger zugänglich. Einige Anbieter von Datenspeichern preisen diese luftgekapselten Recovery Vaults als moderne Innovation zum Schutz von Daten an. Ein Air Gap könnte sogar etwas Einfaches und Programmatisches sein, wie eine Firewall. Im Allgemeinen können Air Gaps einen verbesserten Schutz bieten, indem sie:
- Für höhere Sicherheit sorgen als herkömmliche Backup-Architekturen.
- Die Möglichkeit der Verbreitung von Malware einschränken.
- Für erhöhten Aufwand für Hacker sorgen, um an Air-Gapped-Daten zu gelangen.
- Die Chancen verbessern, sich von einem Angriff zu erholen.
Die Air-Gap-Realität
Nach einem Angriff können Air Gaps auch bei der Wiederherstellung von nicht kompromittierten Daten von Vorteil sein, aber es gibt noch mehr zu beachten.
Das erste ist die Zugänglichkeit. Nach einem Angriff, bei dem jede Sekunde zählt, erschwert ein Air-Gapped Vault nicht nur den Datenzugriff für Hacker, sondern auch für legitime Benutzer.
Der zweite Punkt ist der Aufwand für die Aufrechterhaltung der Air Gaps. Je umfangreicher ein Air Gap mit komplexem Scripting wird, desto mehr Pflege und Wartung ist nötig, um es betriebsbereit und effektiv zu halten.
Weitere Probleme mit Air Gaps laut Pure Storage sind:
- Sie sind nicht zu 100 Prozent immun gegen Angriffe.
- Sie können teuer in der Implementierung und im Betrieb sowie schwierig in der Verwaltung und Wartung sein.
- Sie sind nicht hochgradig skalierbar und können bei der Wiederherstellung großer Datenmengen langsamer sein.
- Sie bieten keine Lösung für interne Bedrohungen oder kompromittierte Anmeldeinformationen von Storage- oder Backup-Administratoren.
- Die Wiederherstellung großer Dateivolumina dauert zu lange, wenn Unternehmen strenge RPOs einhalten müssen. Die Klassifizierung dieser Daten für eine abgestufte Wiederherstellung erfordert Zeit und Aufwand.
- Außerdem können Sicherheitsstrategien mit Air Gaps die Probleme der Zuverlässigkeit und Geschwindigkeit – als die beiden wichtigsten Faktoren für eine erfolgreiche Wiederherstellung – nicht vollständig lösen. Wie sieht also eine Allround-Lösung für eine Air-Gapped-Architektur aus, die Einfachheit, Zuverlässigkeit und Geschwindigkeit bietet?
Eine einfache, verbesserte Version des Air Gap
Die moderne Version des virtuellen Air Gap ist eine Implementierung der nächsten Stufe, die alle Vorteile eines "luftspalt"-geschützten Datenbunkers bietet, aber mit einem entscheidenden Unterschied: Sie ist einfacher und schneller. Pure Storage rät hier zum Einsatz der SafeMode-Funktion:
- SafeMode schafft eine sichere Enklave, aus der Snapshots nicht gelöscht werden können – sei es manuell durch Fachpersonal oder durch einen programmatischen Ansatz. Außerdem kommt ein zusätzliches menschliches Element hinzu. Um Snapshots manuell zu löschen, erfordert eine solche Lösung interaktive Unterstützung in Echtzeit, was eine zusätzliche Schutzebene darstellt. Hinzu kommt noch die Einfachheit. Integrierte Automatisierung und voreingestellte Timer sorgen für Sicherheit, ohne den zusätzlichen Aufwand, der für die Aufrechterhaltung programmatischer oder physischer Luftlöcher erforderlich ist.
Wenn Daten nicht schnell genug wiederhergestellt werden können, um größere organisatorische, rufschädigende und finanzielle Auswirkungen zu vermeiden, ist die ganze Arbeit, die Unternehmen für deren Schutz geleistet haben, wertlos. Unabhängig von der Plattform oder der zugrundeliegenden Technologie (z. B. Pointer-basierte Snapshots oder höchster Durchsatz) können moderne Ansätze hohe Wiederherstellungsgeschwindigkeiten liefern.
Abb 1: Pure FlashRecover™, Powered by Cohesity® (Bildquelle: Pure Storage)
Link > Accelerate Ransomware Recovery
Querverweis: