Ransomware-freie Backup und Recovery schaffen Cyber-Resilienz Angriff auf die Datenrückversicherung

Anbieter zum Thema

Commvault Systems GmbH

FAST LTA GmbH

Cohesity GmbH

Mimecast Germany GmbH

Im negativen Sinne kompetente Ransomware-Akteure greifen gezielt Backups an, um ein höchstmögliches Erpressungspotenzial aufzubauen und ein hohes Lösegeld zu erpressen. Denn Datensicherungen sind der Ort mit der höchsten Informationsdichte im Unternehmen und damit ein lohnendes Ziel für Spionage, Datenoffenlegung und Verschlüsselung. Ein wirksamer Schutz des Backups und eine rückstandfreie Recovery werden daher zu entscheidenden Faktoren der Cyber-Resilienz.

Erpresserischen Cyberkriminellen reicht es nicht mehr, Daten zu verschlüsseln. Immer häufiger starten sie eine Doppelerpressung. Neben der Verschlüsselung werden Spionage, der Weiterverkauf und die Drohung, DSGVO-relevante Daten und Informationen offenzulegen, für das Geschäftsmodell Ransomware immer rentabler. Sie sind auch oft einfacher: Verschlüsselung benötigt Zeit und verrät die Hacker. Zudem fallen das Entwickeln und Implementieren der Malware samt damit einhergehender Probleme weg. Außerdem lassen sich nicht verschlüsselte Daten, solange der Angriff unentdeckt bleibt, intensiv überprüfen, um die wertvollsten Informationen für einen Weiterverkauf auszuwählen. Laut den Experten von ZScaler ist der Anteil an Attacken ohne Verschlüsselung im Jahr 2023 gegenüber dem Vorjahr deshalb um rund 40 Prozent gestiegen.

Anomalien im Backup

Ein geschütztes, Malware-freies Backup ist daher ein zentraler Baustein der Cyber-Resilienz von Unternehmen. Ganz gleich, was der Angreifer im Schilde führt: Zugriffe auf das Backup müssen Plattformen für Datensicherheit und Datensicherung schnell in Echtzeit erkennen. Sie sind im schlimmsten Fall das unmittelbare Vorspiel für die nächsten Aktionen der Kriminellen: das Verschlüsseln oder Weiterleiten der Information. Plattformen für eine cyberresiliente Datensicherheit müssen daher Funktionalitäten bereitstellen, die Angriffe erkennen, verhindern und Daten rückstandlos wieder verfügbar machen.

Am wichtigsten ist dabei das möglichst frühzeitige Erkennen eines Angriffes. In komplexen Sicherungsumgebungen, in denen eine Vielzahl von Aktionen zu überwachen ist und eine Menge an Informationen zum Auswerten entsteht, bedarf es dazu der künstlichen Intelligenz (KI) und maschinellen Lernens (ML). Mögliche Ransomware-Angriffe kündigen sich im Vorfeld durch anomales Verhalten von Backup-Servern und -Daten an, welches nur eine KI und ML durch die Korrelation dieser Angriffssymptome erkennen kann.

Eine erhöhte Zugriffsrate für eine Datei, unbekannte zugreifende Quellen sowie ungewöhnliche Log-in-Muster oder Netzverkehr sind ebenso Verdachtsmomente für eine Datenexfiltration wie ein Zugriff durch eine digitale Identität, die bisher keine solcherlei Rechte hatte. Größere Backups durch eine höhere Zahl von Block Counts in einem deduplizierten Backup oder eine gewachsene Entropie eines Backup-Set sind der Auftakt einer unmittelbar anlaufenden Verschlüsselung. Ebenso aufschlussreich ist die Analyse der vorliegenden Dateierweiterungen in einem Sicherungsvolumen: Eine KI definiert die Baseline der 30 häufigsten Datentypen. Eine veränderte Häufigkeit der Top-Fünf ist ein nachzuprüfendes Indiz für einen Angriff.

Ein anderer Weg, Ransomware zu erkennen, ist Threat-Deception: Hacker aus der Defensive zu locken und zur Aktion zu bewegen, ermöglicht das Blocken ihrer Zugriffsmöglichkeiten und die Analyse ihres Eindringens. Bestehende Schwachstellen lassen sich so schließen. Plattformen sollten daher in ihren Backups und auch in Produktivdateien dynamisch verteilt Köder platzieren, die das Interesse der Hacker wecken und ihre Fileless-Seitwärtsbewegungen offenlegen. Dieselbe Funktion erfüllen auch gefälschte Sensoren, die IT-, OT-, Netzwerk- und Backup-Assets vortäuschen und Hacker mit Dateiattrappen, Active-Directory-Einträgen und Suchhistorien zur Aktion bewegen.

Reaktion und Prävention

Eine Differenz von der Baseline des Backup-Normalverhaltens deutet auf Probleme der Sicherheit oder der Integrität von Daten hin und löst einen Alarm aus. Bei einem kontinuierlichen Backup hat dies dann einen Malware-Scan zum Beispiel auf einer Cloud-Instanz oder einem Backup-Server zur Folge. Zugleich lässt sich in einer kontinuierlichen Sicherung automatisiert ein Snapshot anlegen – im Zustand unmittelbar vor erfolgter Kompromittierung. Bei einem Produktivserver könnte die Reaktion das Anstoßen eines sofortigen Backups oder ein Failover-Betrieb sein.

Backup- und Recovery-Plattformen, die eine Cyber-Resilienz ermöglichen, profitieren aber nicht nur von einem KI-basierten Endpunkt- oder Netzwerkschutz. KI und ML ermöglichen auch ein präventives Risikomanagement: Statistische Angaben über Zugriffe aus den verschiedensten Hierarchien im Unternehmen klassifizieren den Risikostatus der Datenbestände und definieren Prioritäten für die Recovery. Sie liefern auch die Basis, um Sicherheitsrichtlinien, wie etwa Zugriffsrechte, entsprechend restriktiv festzulegen.

Ebenso wichtig ist die Prävention von Datenverlust durch Air-Gaps, die Backups als unveränderbar und abgeschottet speichern. Hybrid-Cloud-Plattformen isolieren Sicherheitskopien in einem separaten Netzwerk oder unter eigener Sicherheitsdomäne. LAN/VLAN-Switching, Firewalls, Least-Privileg-Protokolle oder Zero-Trust-Zugang schotten die Sicherungsvolumen im Air-Gapping ab und machen sie unveränderlich. Der AWS-Dienst S3 Object Locking markiert Daten als unveränderlich und beantwortet damit strenge Vorgaben der DSGVO.

Bildergalerie

Kein Backup ohne schnelle Recovery

Trotz aller Abwehrtechnologien ist ein erfolgreicher Angriff nicht ausgeschlossen, sondern nur eine Frage der Zeit. In jedem Fall muss eine Recovery so schnell wie möglich mit geringem Recovery Point Objective (RPO) und Recovery Time Objective (RTO) starten. Eine Sofortmaßnahme ist die Identifikation und Quarantäne infizierter Files sowie deren automatischer Ausschluss vom weiteren Backup. KI hilft bei der schnellen Suche noch verwertbarer sauberer Daten und berechnet den letzten Malware-freien Backup-Set. Die Wiederherstellung erfolgt in einem sauberen digitalen Raum, dem sogenannten Cleanroom, der auch für eine Sandbox-Analyse infizierter Dateien und eine Simulation der Recovery dienen kann. So lassen sich Daten innerhalb von Stunden wieder neu aufspielen.

Gerade das Thema Ransomware zeigt: Der Schutz der Backups ist das Fundament und die Rückversicherung für die Cyber-Resilienz von Unternehmen. Diese ist nur durch die Kombination von Datensicherheit und Cybersicherheit möglich. Eine Backup- und Recovery-Plattform fungiert als Bindeglied zur IT-Sicherheit und als Schnittstelle zwischen den zuständigen Akteuren in SecOps und ITOps. Angesichts immer größerer Datenmengen und komplexer Infrastrukturen führt kein Weg an KI und ML vorbei, um Risiken und Angriffe zu erkennen sowie eine saubere, schnelle Recovery durchzuführen.

* Der Autor: Uli Simon, Director Sales Engineering bei Commvault

(ID:50016125)