Frankfurt/M., Starnberg, 23. Juni 2020 - Wie sich Unternehmen vor Ransomware mit Hilfe sicherer Backups schützen können; ESG-Analyse erläutert Lösungsansatz von Rubrik…
Zum Hintergrund: Im Durchschnitt dauert es laut der Enterprise Strategy Group (ESG) mindestens sieben Tage, bis ein Unternehmen seine Daten vollständig wiederherstellen kann, was den Geschäftsbetrieb erheblich beeinträchtigt. Ausgeklügelte, neuere Ransomware zielt bereits auf Backups ab und verschlüsselt oder löscht diese vollständig. Die Wiederherstellung von nicht betroffenen Offsite-Backups dauert mitunter aber zu lange, so dass betroffene Unternehmen am Ende dann trotzdem „motiviert" sind, Lösegeld zu zahlen. ESG hat in der Folge nun untersucht, wie Rubrik auf Basis seiner ‚Immutable‘-Architektur die Daten vor Ransomware-Angriffen schützen kann. (1) Die auf unveränderliche Backups ausgelegte Architektur der Datenmanagement-Plattform beschleunigt den Wiederherstellungsprozess nach einem Angriff. Nachfolgend finden Sie eine Zusammenfassung mit den wichtigsten Erkenntnissen der Analyse.
Zum Fachbeitrag: Die Realität ist, dass viele Backup-Lösungen nicht über die Funktionen verfügen, die Unternehmen in solchen Szenarien benötigen, so jedenfalls berichtet Rubrik, denn die Wiederherstellungsmöglichkeiten sind oft sehr begrenzt. Wenn Daten kompromittiert werden, führen die meisten Unternehmen eine schnelle Kosten-Nutzen-Analyse ihrer Optionen durch. Wenn nicht die richtige Datensicherungslösung vorhanden ist, führt dies oft zur Zahlung des Lösegelds. Viele Unternehmen haben zudem nicht den nötigen Einblick in ihre Backups, um zu wissen, was sie überhaupt wiederherstellen müssen.
-
Rubrik schützt Backup-Daten von vornherein vor Manipulation. Die Lösung gewährleistet eine mehrschichtige Datensicherheit, indem alle Daten im Ruhezustand und während der Übertragung verschlüsselt werden. Jeder Rubrik-Cluster überträgt Daten von und zu einem Sicherungs-Client unter Verwendung starker, randomisierter, kennwort-authentifizierter APIs.
-
Die Technologie nutzt das TLS 1.2-Protokoll sowohl für Datenübertragungen als auch für die Zertifizierung der Node-to-Node-Kommunikation. Alle Sicherungsdaten werden in einem unveränderlichen Format gespeichert, so dass die Daten unveränderlich sind und Ransomware niemals auf die Backups zugreifen und diese verschlüsseln oder löschen kann. Dies ist in jeder modernen Backup-Strategie von wesentlicher Bedeutung. Mit nur wenigen Klicks kann ein Unternehmen nach einem Angriff die Daten bis zum letzten Cleanstate-Zeitpunkt schnell wiederherstellen, indem es sich Rubriks Technologie zu Nutze macht, mit der alle Sicherungen als Full Backups zur Verfügung gestellt werden, ohne dass diese erst synthetisiert werden müssen.
Zu den wichtigsten Lösungsmerkmalen gehören:
-
Unveränderlichkeit: Einmal geschriebene Daten können nicht mehr gelesen, verändert oder gelöscht werden. Echte Unveränderlichkeit ist für jede echte Ransomware-Schutzstrategie von entscheidender Bedeutung. Die Rubrik-Architektur ist darauf ausgelegt, Backups umfassend zu schützen.
-
Sichtbarkeit der Auswirkungen: Ein Schlüssel zu einer erfolgreichen Wiederherstellung besteht darin, welche Datenkopie als „sauber“ erachtet wird. Schnelle, genaue Sichtbarkeit spart wertvolle Zeit.
-
Instant Recovery (Sofortige Wiederherstellung): Zeit ist Geld und Reputation nach einem Cyberangriff. Die Wiederherstellungszeit (Recovery Time Objective, RTO) muss so kurz wie möglich gehalten werden. Rubrik erreicht dies durch andauernde inkrementelle Backups und Point-in-Time-Recovery-Optionen, die eine schnelle und einfache Wiederherstellung ermöglichen.
Ransomware-Wiederherstellungsprozess
Die Wiederherstellung nach einem Ransomware-Angriff erfordert eine proaktive Datenverwaltung und -überwachung. Um sich von einem Angriff zu erholen, ist es auch entscheidend, Einblick in alle Daten und Systeme des Unternehmens zu haben.
Rubrik stellt Unternehmen mit Polaris eine SaaS-Plattform zur Verfügung, die Geschäftsdaten organisiert und diese auffindbar und nutzbar macht. Rubrik Polaris bietet ML-gesteuerte Einblicke mit speziell entwickelten SaaS-Anwendungen für Datenschutz, Governance, Sicherheit und Mobilität, um die Geschäftskontinuität zu gewährleisten, die Zeit bis zur Wiederherstellung zu verkürzen und zu priorisieren, welche Daten zuerst wieder hergestellt werden.
Die Anwendung Rubrik Radar wird über die Polaris-Plattform bereitgestellt, um anomales Verhalten, wie z.B. einen Ransomware-Angriff, zu identifizieren und die Wiederherstellung nach einem Angriff schneller und einfacher zu machen. Es ist zu beachten, dass diese Anwendung nicht erforderlich ist, um sich von einem Ransomware-Angriff zu erholen, aber sie bietet mehr Wiederherstellungsoptionen. Radar überwacht das Verhalten aller Cluster und erstellt eine Baseline. Baselines dienen der Analyse des historischen Verhaltens und berücksichtigen Frequenzen, Zeit und Volumen. Anschließend sucht Radar nach Abweichungen von der Baseline, um festzustellen, ob eine Anomalie vorliegt, wie etwa eine Zunahme der Anzahl der hinzugefügten, gelöschten oder geänderten Dateien, also Änderungen des normalen Backup-Verhaltens oder ob Daten plötzlich verschlüsselt sind.
Es gibt zwei Möglichkeiten, wie Rubrik Anomalien erkennt: die Dateisystemanalyse und die Dateiinhaltsanalyse, die für die Erhöhung der Zuverlässigkeit des Erkennungsmodells von entscheidender Bedeutung ist. Bei einem Anomalie-Alarm können Administratoren die Analyse von Radar nutzen, um tiefer in den Inhalt der Dateien einzudringen und nach Anzeichen für eine böswillige Verschlüsselung zu suchen.
-
Nach einem Angriff auf das Primärsystem kann ein Administrator auf Radar zugreifen und den Wiederherstellungsprozess starten. Hierbei geht es darum, schnell die besten Backups und die beste Vorgehensweise für die Wiederherstellung zu bestimmen. In der Ereignisansicht sind drei farbliche Markierungen zu sehen. Rot kennzeichnet gelöschte Dateien, Blau steht für erstellte Dateien und Gelb für modifizierte Dateien. Der Administrator kann diese Werte und die Historie überprüfen, um festzustellen, ob sich das Verhalten geändert hat. Radar kennzeichnet verdächtige Aktivitäten in Violett, wenn eine Anomalie entdeckt wird, um festzustellen, ob dies auf normale oder böswillige Aktivitäten zurückzuführen ist. Wenn Volumes verdächtig aussehen, kann der Administrator zur genaueren Analyse bis auf die Dateiebene heruntergehen.
-
Für Administratoren sind folgende Schlüsselfragen zu berücksichtigen: Gab es einen Angriff? Wie und wann ist es passiert? Was ist der richtige Wiederherstellungspunkt, und ist eine Dateiwiederherstellung oder ein vollständiger Snapshot erforderlich? Administratoren haben viele Optionen für die Wiederherstellung, einschließlich Wiederherstellung von Dateien, Export, Live-Mount, Mounten virtueller Festplatten und Instant Recovery, also sofortige Wiederherstellung. Auf den frühesten bekannten sauberen Snapshot zurückzugreifen, kann der sicherste Ansatz sein. Es gibt auch Optionen, einen neueren Snapshot zu verwenden, nach einer Prüfung, wo Anomalien oder Bedenken bestehen. Daraufhin lassen sich einzelne verdächtige Dateien mit einem anderen Zeitstempel wiederherstellen, um den besten Wiederanlaufzeitpunkt (Recovery Point Objective, RPO) zu erreichen.
Schlussfolgerung von ESG: Der Umgang mit einem Ransomware-Angriff ist eines der komplexesten Ereignisse, die ein modernes datenorientiertes Unternehmen durchmachen kann. Ransomware stört den Geschäftsbetrieb auf allen Ebenen. Wenn das Unternehmen auf so etwas nicht vorbereitet ist, können die Kosten für die Wiederherstellung enorm sein und dem Ruf unermesslichen Schaden zufügen.
-
Es ist nicht immer möglich, einen Ransomware-Angriff zu vermeiden. Wenn Angreifer den Weg ins Netzwerk hineinfinden, müssen sich Unternehmen schnell auf ihren Backup- und Recovery-Prozess verlassen können. Die ESG hat bestätigt, dass die Datenmanagement-Plattform Rubrik aufgrund ihrer Designelemente über robuste Funktionen verfügt, um die Wiederherstellung nach einem Ransomware-Angriff zu bewältigen. Im Gegensatz dazu sind die Lösungen vieler anderer Anbieter auf Hardware- und Softwareprodukte von Drittanbietern oder Tape-Lösungen angewiesen, um den Schutz vor Ransomware zu unterstützen.
-
Der konsequente Einsatz von APIs, unveränderlichen Backups und der Visualisierung mittels Polaris Radar bietet eine ganzheitliche Ransomware-Reaktionsstrategie, die für den Schutz von Unternehmen jeder Größe ausgelegt ist. Die Analyse wurde durch reale Fallstudien von Kunden, die in der Lage waren, sich sofort von Ransomware-Angriffen zu erholen, untermauert.
-
Die Untersuchung fand zudem heraus, dass einige Unternehmen die Zahlung des Lösegelds als praktikable Strategie ansehen. Genau dies ermutigt die Akteure zu weiteren Angriffen. Die Lösegeldzahlung verhindert nicht, dass die Angreifer noch einmal zuschlagen, mehr Lösegeld verlangen, oder noch schlimmer, das Geld nehmen und die Dateien niemals freigeben. Der einzig effektive Notfallplan basiert auf einer bewährten Backup- und Recovery-Lösung eines Anbieters, der die Herausforderungen erkannt und eine adäquate Technologie entwickelt hat. Für Unternehmen, die sich auf eine schnelle, nahtlose Wiederherstellung nach einem Ransomware-Angriff vorbereiten möchten, ist die Rubrik-Technologie nach Ansicht von ESG demnach eine ernsthafte Überlegung wert.
Anzeige: Hinweis auf Live-Webinar mit Kundenbeispiel zur Rationalisierung von Speicher- und Backup-Management
(1) Quelle: Weblink zum ESG Report auf der Rubrik Webseite (Hinweis: Registrierung beim Anbieter erforderlich).
Querverweis auf unseren Beitrag > Empfehlungen von Rubrik für die Migration von Anwendungen in die Cloud