superhoshi
Goto Top

Cyber-Versicherung Backup-Voraussetzung

Guten Morgen liebe Admins,

für eine Cyber-Versicherung wird verlangt, dass neben der im Einsatz befindlichen 3-2-1 Backupstrategie zusätzlich 3 offline Medien zur Verfügung stehen müssen.
Damit ist gemeint, z.B. 3 USB Platten, wobei immer eine Platte ein wöchentliches Voll-Backup enthalten muss. Somit müssen wir wöchentlich die Platte umstecken und im schlimmsten Fall das NAS/Tape usw. ausfällt, ist max. 1 Woche an Arbeit futsch.

Wir speichern täglich inkrementell auf NAS und Tapeloader.
Wir speichern wöchentlich Full auf NAS und Tapeloader
Wir speichern monatlich Full auf NAS, Tapeloader und WORM
Das geschieht alles automatisch, wird natürlich regelmäßig kontrolliert.

Sind Euch evtl. andere, automatisierte Methoden bekannt, um das manuelle umstecken bzw. zusätzlich 3 offline Medien zu gewährleisten? Es können auch Tapes oder was auch immer sein. Hauptsache sie liegen offline parat.
Zeitgesteuerte Switch-Ports an-/abschaltung für NAS kommt nicht in Frage.
Es sind ca. 12 TB an Daten, was ja nicht ewig dauert.


Ich hoffe es ist einigermaßen klar rüber gekommen und freue mich auf Anregungen und Ideen.

Gruss Hoshi

Content-Key: 81967876359

Url: https://administrator.de/contentid/81967876359

Printed on: March 1, 2024 at 01:03 o'clock

Member: ukulele-7
ukulele-7 Nov 23, 2023 at 09:12:20 (UTC)
Goto Top
Der Tapeloader zählt wohl nicht als offline(?) aber könnt ihr nicht zusätzlich Tapes entnehmen?

Ansonsten: Hast du mal bei dem Versicherer angefragt warum ein WORM Backup nicht die offline Sicherung ersetzen kann? Oder geht es hier vielleicht nicht um ein offline Medium sondern ein Medium an einem anderen Ort?
Member: StefanKittel
StefanKittel Nov 23, 2023 at 09:17:57 (UTC)
Goto Top
Moin,

Versicherungen haben meist wenig Ahnung davon face-smile
Der Mitarbeiter der das prüft möchte etwas haben was er in die Hand nehmen kann.

Lösungen mit Cloud, Repository, etc mögen/verstehen die nicht.

USB HDDs gehen weil das jeder kennt.

Aber auch Tapes sind meist willkommen.
Die kann man prima außer Haus bringen.

Stefan
Member: ukulele-7
ukulele-7 Nov 23, 2023 at 09:42:51 (UTC)
Goto Top
Würde die Versicherung Tapes nicht kennen oder akzeptieren, würde ich die Versicherung wegen Inkompetenz kündigen. Die Versicherungen sind auch nicht zwingend auf ihre Bürokratie bedacht sondern akzeptieren i.d.R. auch eine Abweichung von den Vorgaben, wenn sie sinnvoll begründet ist. Aus eurem eigenen Intresse muss das natürlich vorher abgestimmt und dokumentiert werden.

Die Frage ist aber welches Ziel hier hinter steckt. Geht es wirklich darum das auf das Medium nicht schreiben zugegriffen werden kann um das Backup zu zerstören? WORM oder immutable Backups können das auch leisten. Geht es darum, das das Backup an einem anderen Ort lagert? Dann hätte der TO das auch so schreiben sollen, dann geht es Richtung Brandschutz etc.

Diese Anforderungen vom Versicherer sind nicht nur sehr allgemein gehalten sondern häufig auch unpräzise formuliert. Bei uns stand da auch "Updates werden unverzüglich eingespielt", das habe ich auch nicht unterschrieben, nicht ohne Klarstellung.
Member: kreuzberger
kreuzberger Nov 23, 2023 at 11:52:32 (UTC)
Goto Top
Moin @superhoshi

auch wenn ja eine Versicherungkeine Ahnung hat, so ist die Strategie richtig. Ob man nun eine Sammlung von USB Platten hat, oder eben jede Menge Tapes ist egal. Beides ist Offline, wenn es nicht im Laufwerk ist (Tape) oder im Schrank liegt (USB Platte).
Je nach dem könnte man Platten/Tapes auch außenhäusig aufbewahren oder in feuersicheren Tresoren. Dafür gibt es bestimmte Normen.

Der Autoloader nimmt dir die Wechselarbeit ab. So musst du eben nicht ständig wie bei USB Platten aufpassen, welche Platte für das Backup gerade angeschlossen ist. Eine Automatik um USB Platten zu verbinden oder abzustecken gibt es nicht.
Je mehr Tapes ein Autoloader aufnehmen kann, desto mehr Backup-Generationen kann er automatisch vorhalten. Natürlich lassen sich auch Tapes über das sog. Postfach entnehmen und auslagern.

Kreuzberger
Member: superhoshi
superhoshi Nov 23, 2023 at 12:55:53 (UTC)
Goto Top
Moin @kreuzberger,

der Autoloader, bzw. die beinhaltenden Tapes zählen nicht zu den Offline Medien. Zu mind. nicht mit den normalen wiederbeschreibbaren Tapes. Tapes könnten jederzeit bei einem Angriff gelöscht, überschrieben werden vom System.

In der Tat müsste ich hier ein paar Einschübe für Worm reservieren. Von 24 Einschüben reichen ja somit 3-4 locker aus.
Kostengünstiger auf Dauer sind meiner Meinung nach HDs.
Ich bin auf weitere Meinungen gespannt.

Gruss Hoshi
Member: kreuzberger
kreuzberger Nov 23, 2023 at 13:18:30 (UTC)
Goto Top
Huhu @superhoshi

ich beziehe mich mal auf:

Zitat von @superhoshi:

der Autoloader, bzw. die beinhaltenden Tapes zählen nicht zu den Offline Medien. Zu mind. nicht mit den normalen wiederbeschreibbaren Tapes. Tapes könnten jederzeit bei einem Angriff gelöscht, überschrieben werden vom System.

Ich halte diese These wirklich für Unsinn. Behauptet das allen ernstes die Versicherung? Grundsätzlich müsste man ja auch mal davon ausgehen dürfen, dass sich ein Autoloader mit Backup-Rechner in einem separaten Service-Netz befindet, was man dann nicht so einfach erreichen kann.

Darüber hinaus ist ein entladenes Band, also was sich auch gar nicht mehr im Autoloader befindet ebenso unerreichbar wie eine USB-Platte.
Hat man dann eine ausreichende Zahl an Bändern (Bandsätzen) ist so eine Vielzahl an Vollbackups ausgelagert möglich.
In Bezug auf Brand, Sabotage etc. wäre ein im Tresor oder außerhäusiges Lagern von Vollbackups eh angebracht.
Member: user217
user217 Nov 23, 2023 at 13:22:16 (UTC)
Goto Top
Ich habe dazu einen offtopic und Nichttechnischen Ansatz. Steck die Energie/Geld nicht in die Versicherung sondern in Prävention. Dann hat die Firma am ende auch was davon den bei den Vorgaben und den Fragen kriegst du von denen dafür keinen Cent sonst würden die es eh nicht verkaufen. Im Umkehrschluss ist es so das du die Versicherung nie in Anspruch nehmen wirst wenn du deren Vorgaben einhältst, das kostet allerdings ein wenig mehr als die 5k/p.a. Versicherungsprämie. Augenwischerei und Gelmacherei ist das sonst nix!
Member: superhoshi
superhoshi Nov 23, 2023 at 13:28:32 (UTC)
Goto Top
Hi user217,

wieder ein Kommentar, der ob vorhanden oder nicht, das gleiche aussagt.
Nichts für ungut ;)

Gruss Hoshi
Member: superhoshi
superhoshi Nov 23, 2023 at 13:37:33 (UTC)
Goto Top
So gesehen ist ein entladenes Band so lange offline, bis es vom "kompromitierten" System eingefordert und bearbeitet wird. Geschieht es am Wochenende, kann man evtl. erst spät reagieren.
Natürlich zählt zu den ersten Maßnahmen das System nicht im AD und im separaten Netzbereich zu betreiben, Bandverschlüsselung etc.....
Was wir aber auch machen.
Ich denke, schlussendlich muss man sich mit den Anforderungen, sofern man eine Versicherung möchte, abfinden, bzw. mit der Versicherung verhandeln.
Es stellt ja kein unmögliches Vorhaben dar.....

Gruss Hoshi
Member: ukulele-7
ukulele-7 Nov 23, 2023 updated at 13:57:13 (UTC)
Goto Top
Also ein Tape, das möglicherweise noch einen Hardware-Switch hat der vor Überschreiben oder Löschen schützt und ausgeworfen wurde, soll nicht die selben Kriterien erfüllen wie eine USB-HDD? Also die HDD geht leichter kaputt, die Steckverbindung ist fehleranfällig, der Personalaufwand ist größer und vor allem kann Schadsoftware auf dem Host eine USB HDD viel leichter verschlüsseln oder löschen als ein Tape. Vor dem Hintergrund ist die Aussage schlicht falsch. Wenn die Versicherung diese Kriterien anlegt dann kann man das als Kunde akzeptieren und ignorieren bzw. ständig USB Platten rum stecken und alles oder man nimmt eine andere Versicherung, davon gibt es wirklich nicht wenig.

Grundsätzlich finde ich die Versicherung nicht mehr so überflüssig wie noch vor ein paar Jahren als der Hype kam. Mittlerweile bieten die teils interessante Leistungen, z.B. Unterstzüung im Schadensfall. Wenn mein Netz gehackt wird und ich brauche Knowhow dann bekomme ich das gestellt ohne Mehrkosten. Muss ich mich hingegen am freien Markt erst nach einem Dienstleister suchen dann bekomme ich vermutlich kaum fähige Leute in akzeptabler Zeit. Der Versicherer hat ein Interesse daran den Schaden zu beheben / zu minimieren weil er nicht nur Haftpflicht übernimmt sondern auch Umsatzausfall, bis hin zur vollen Schadenssumme. Am Ende muss das jeder für sich einschätzen aber nicht jede Versicherung ist automatisch Schwachsinn.

Eine weitere Option wäre Immutable Backup aber ohne die Intention des Versicherers zu kennen (was will er erreichen) und mit unbegründbaren Ausschlüssen verstehe ich die Logik nicht. Diskette kann ich noch empfehlen, im Prinzip jeder andere Datenträger kommt in Frage. RDX, Blueray, sind eventuell noch günsitg seitens Hardware aber es gibt Gründe warum Tapes immer noch ein Ding sind.
Member: superhoshi
superhoshi Nov 23, 2023 at 14:09:23 (UTC)
Goto Top
Sicher haben die Tapes einen Hardware-Schalter, nur im Autoloader machen es wenig Sinn, die dann aufzubewahren.
Nehme ich ein Wormtape, schreibe ich es 1x und entnehme es, Schreibschutzschalter aktivieren und gut ist.
Somit komme ich zu dem Entschluss, einfach wöchentlich Worm und gut ist es. Diese werden dann entnommen und extern gelagert.

Ob HD oder Band, Turnschuhadministration ist angesagt.

Wenn das Backupsystem einmal kompromitiert ist, ist es auch egal ob Tape oder HD, beides wird meist am Wochenende schön nacheinander verschlüsselt.
Vielleicht spart man auch das Geld der Versicherung und zahlt es dann lieber an den Angreifer ;)
Member: ukulele-7
ukulele-7 Nov 23, 2023 at 14:56:14 (UTC)
Goto Top
Ich kenne ja deinen Autoloader nicht, vielleicht hat der ein Entnahmefach wie ein Cola-Automat in dem man das Tape alle 7 Tage passend auswerfen kann. Ich habe auch Tapes die ich einmal die Woche rum trage, das ist aber meine einzige Tape Sicherung.

Wenn die Tapes per Hardware auf Schreibschutz gesetzt sind wäre das für mich gleichbedeutend wie offline weil Schadsoftware zwar theoretisch das Tape laden kann aber wenn keine Mechanik für den Schalter existiert dann kann sie es nicht überschreiben. Ich meine zumindest das Tape-Laufwerke das nicht nur in Software implementieren, ich mag mich irren.

Wenn die Intention ein Offsite Backup ist dann geht natürlich kein Tape-Loader, zumindest nicht im selben Brandabschnitt.
Member: kreuzberger
kreuzberger Nov 23, 2023 at 15:43:13 (UTC)
Goto Top
Mir ist nicht ein einziges Tape-Laufwerk bekannt, welches wie auch immer automatisch selbst gesteuert einen Schreibschutzriegel eines Tapes entriegeln kann. Eine solche Funktionalität wäre ja auch wiedersinnig und würde dem eigentlichen Sinn des Backups Wiedersprechen. Ich denke nicht, dass es einen Namhaften Hersteller gibt, der so etwas entwickelt und auf den Markt brächte.

Kreuzberger
Member: GrueneSosseMitSpeck
GrueneSosseMitSpeck Nov 24, 2023 at 16:36:15 (UTC)
Goto Top
Fundstelle bei Veritas...

https://www.veritas.com/blogs/what-is-write-once-read-many-worm-complian ...

Es geht nicht drum, daß man pyhsisch WORM macht, sondern daß man etwas mit dem Label "WORM compliant" hat und außer Haus tragen kann. Denn auch bei Tapes und sonstigen Geräten ist der Schreibschuztriegel letztenendlich etwas was per Taster oder Fotozelle erkannt wird... und findige Hacker werden das wohl zu überschreien wissen, so wie damals schon bei etlichen Floppylaufwerken. Der Skandal war ziemlich groß weil einer der Hersteller den physischen Schreibschutz (Unterbrehung des Stromkreises fürs Schreiben) durch einen logischen Schreibschutz ersetzt hat... deshalb darf das Medium nicht im physischen Zugriff des Gerätes sein.

Trotzdem wird das immer eine Domäne der Festplatten bleiben, 20 TB kann man nur in Form einer Festplatte "einfach so" mit nach Hause nehmen, auch 10 davon wären noch kein Problem. Macht das mal mit einem Magazin aus einem Tapeloader oder Bluerays... 200 Bluerays sind schon ganz schön schwer und beinhalten trotzdem nur 25 TB
Member: kreuzberger
kreuzberger Nov 24, 2023 updated at 16:49:28 (UTC)
Goto Top
LTO 7 - netto 6/9TB
LTO 8 - netto 12TB
LTO 9 - netto 18TB

und: schon ein altes LTO 5 ist deutlich schneller als Gigabit-Verkabelung brächte.
Ich weiß nicht, warum LTO da so schlecht abschneiden sollte?

siehe https://de.wikipedia.org/wiki/Linear_Tape_Open
Member: Dani
Dani Nov 25, 2023 at 10:45:33 (UTC)
Goto Top
Moin,
der Autoloader, bzw. die beinhaltenden Tapes zählen nicht zu den Offline Medien. Zu mind. nicht mit den normalen wiederbeschreibbaren Tapes. Tapes könnten jederzeit bei einem Angriff gelöscht, überschrieben werden vom System.
das kann ich so nicht glauben. Was sollen vermeidliche Kunden machen, die nicht 12TB sondern 12PB zu sichern haben? Die sitzen dann an einer einzigen Sicherung Monaten dran.

In der Tat müsste ich hier ein paar Einschübe für Worm reservieren. Von 24 Einschüben reichen ja somit 3-4 locker aus. Kostengünstiger auf Dauer sind meiner Meinung nach HDs.
Hast du bei den Kostenaufstellung auch die Dauer einer vollständigen Wiederherstellung der Daten einfließen lassen? Damit verbunden auch die Zeit der Kollegen, in der sie nicht arbeiten können und die Füße auf dem Tisch haben?

Wenn das Backupsystem einmal kompromitiert ist, ist es auch egal ob Tape oder HD, beides wird meist am Wochenende schön nacheinander verschlüsselt.
Aus diesen Gründen werden Backupsysteme niemals in die Domäne aufgenommen, sondern sind in einem dedizierten VLAN, in dem nichts anders zu finden ist. Die Server und Anwendung entsprechend gehärtet, um die Angriffsvektoren zu minimieren. Die Credentials für diese Systeme werden in der Regel in einem eigen Passwort Manager Tresor aufbewahrt, um eine weitere Unabhängigkeit zu erreichen.


Gruß,
Dani