Schutz vor Ransomware und schnelle Wiederherstellung mit unveränderlichen Daten

Verstehen von Ransomware

Ransomware ist eine Software, die darauf ausgelegt ist, die Daten eines Unternehmens oder einer Organisation digital zu entführen, indem sie diese als Geiseln nimmt und die Zahlung eines Lösegelds für ihre sichere Rückgabe verlangt.

Dies soll dadurch erreicht werden, dass die Daten so effektiv verschlüsselt werden, dass Sie glauben, Sie könnten nicht mehr auf Ihre Dateien zugreifen, ohne dass sie für Sie freigeschaltet werden.

Oder dass die Wiederherstellung des Zugriffs auf bereinigte Dateien so langsam ist, so viele Störungen verursacht und so viele Datenverluste mit sich bringt, dass Sie glauben, dass Sie keine anderen Möglichkeiten haben.

Um die Zahlung eines Lösegelds zu vermeiden, müssen Sie in der Lage sein, den Zugriff auf Ihre Daten wiederherzustellen, ohne sich auf den Angreifer zu verlassen, der sie entschlüsseln muss. Daher haben es Angreifer oft zuerst auf Backups und Snapshots abgesehen, um Ihre Möglichkeiten einzuschränken.

Sich auf ältere, möglicherweise unvollständige Backups zu verlassen, kann zu einem enormen Datenverlust führen und ist ein so langsamer Prozess, dass die Wiederherstellung Wochen oder sogar Monate dauern kann.

Es geht um das Wann. Nicht wenn.

Angriffe sind so häufig, dass Sie davon ausgehen sollten, dass auch Ihr Unternehmen irgendwann davon betroffen sein wird.

Datenverteidigung

Die Abwehr von Ransomware ist von Natur aus reaktiv, und obwohl die Abwehrsoftware hervorragende Arbeit leistet, um mehrere Angriffe abzuwehren, macht es die Anzahl der möglichen Eintrittspunkte in das Netzwerk eines Unternehmens nahezu unmöglich, jeden Versuch zu verhindern.

Unabhängig davon, wie schnell Verteidigungslösungen auf eine bekannte Ransomware-Variante reagieren, kann immer noch erheblicher Schaden entstehen, bevor ein Angriff unter Kontrolle gebracht werden kann.

Das bedeutet, dass die Verteidigung allein keine vollständige Lösung darstellt, obwohl sie ein wesentlicher Bestandteil Ihrer Sicherheitsstrategie bleibt.

Datenschutz

Wenn man davon ausgeht, dass es nicht möglich ist, Ransomware vollständig fernzuhalten, hängt die Entschärfung eines Ransomware-Angriffs vom Schutz der Daten ab. Das bedeutet, dass die Daten so strukturiert sein müssen, dass sie - selbst wenn sie gefährdet sind - nicht ausfallen können.

Aufgrund der Tatsache, dass sie Daten speichern, die bearbeitet werden können müssen, sind ältere Dateisysteme von Natur aus anfällig für Ransomware. Wenn sie angegriffen werden, tun sie genau das, wofür sie entwickelt wurden, und ermöglichen die Änderung von Dateien.

Eine unveränderliche Datenarchitektur verändert Ihre Position gegenüber Ransomware und Malware, da sie grundsätzlich resistent gegen Angriffe ist. Sie ist nicht nur eine Lösung zur Verteidigung oder zum Schutz, sondern reduziert die Auswirkungen eines Angriffs auf Ihr Unternehmen, da sie nicht betroffen ist.

Panzura CloudFS macht Cloud-Objektspeicher unveränderlich und damit unempfindlich gegen Ransomware.

Für einen Benutzer sieht CloudFS aus wie jedes andere Dateisystem und fühlt sich auch so an. Dateien können geöffnet, bearbeitet und gespeichert, kopiert oder gelöscht werden - von jedem autorisierten Benutzer, an jedem Ort und in Echtzeit.

Aufrechterhaltung eines unverfälschten Datensatzes

Hinter den Kulissen verbirgt sich eine radikal andere, viel einfachere und unendlich robustere Speicherstruktur.

CloudFS ist ein globales Cloud-Dateisystem, das Dateidaten in Form von Blöcken in einem Cloud-Objektspeicher speichert, und zwar als einen einzigen maßgeblichen Datensatz, mit dem jeder Benutzer im Unternehmen arbeitet.

Diese Datenblöcke sind unveränderlich, d. h. sie werden in einer "Write Once, Read Many"-Form gespeichert, so dass sie nach der Speicherung nicht mehr geändert, bearbeitet oder überschrieben werden können. Folglich werden sie von Malware nicht beeinträchtigt.

Mit Metadatenzeigern wird aufgezeichnet, aus welchen Blöcken eine Datei zu einem bestimmten Zeitpunkt besteht, und CloudFS verwendet diese Metadatenzeiger, um zu wissen, welche Blöcke zusammengesetzt werden müssen, um die aktuelle Version einer Datei zu öffnen.

Wenn Benutzer Dateien erstellen oder bearbeiten, werden die geänderten Daten alle 60 Sekunden in den Objektspeicher verschoben, wo sie als neue Datenblöcke gespeichert werden, während die vorhandenen Blöcke unberührt bleiben. Gleichzeitig werden die Metadatenzeiger aktualisiert, um alle neuen Blöcke, aus denen die Datei besteht, wiederzugeben.

Ein Microsoft Word-Dokument fileone.docx besteht beispielsweise aus den Blöcken A, B und C. Der Inhalt des Dokuments, der sich in Block C befindet, wird teilweise bearbeitet.

Da Block C unveränderlich ist, werden die Änderungen in einem neuen Block - C1 - erfasst, und die Metadatenzeiger der Datei zeigen, dass fileone.docx nun aus den Blöcken A, B und C1 besteht.

Diese unveränderlichen Datenblöcke werden außerdem durch dateisystemweite Nur-Lese-Snapshots geschützt, die in konfigurierbaren Intervallen erstellt werden, wobei der Standardwert 60 Minuten beträgt.

Darüber hinaus werden alle 60 Sekunden schreibgeschützte Snapshots auf lokaler Knotenebene erstellt, die zur Übertragung neuer und geänderter Daten in den Objektspeicher verwendet werden.

Wenn Schnappschüsse gemacht werden, erfassen sie die Metadatenzeiger, die aufgezeichnet haben, aus welchen Datenblöcken die Dateien zu diesem bestimmten Zeitpunkt bestehen.

Da diese Snapshots schreibgeschützt sind, sind sie auch unempfindlich gegen Ransomware und bieten eine granulare - und sehr schnelle - Möglichkeit zur Wiederherstellung von Daten bis zu einer beliebigen früheren Version.

Unveränderliche Daten und Ransomware-Angriffe

Bei einem Ransomware-Angriff wird ein bösartiger Code in Ihre Dateien eingefügt, der sie verändert.

Bei einem herkömmlichen Speichersystem kann eine Datei bearbeitet werden, während dieser Code eingefügt wird, wodurch die Datei selbst verändert wird. Wird dagegen eine Datei auf CloudFS von Ransomware angegriffen, besteht sie nun aus völlig neuen Datenblöcken.

Panzura erkennt die Verschlüsselung als geänderte Dateidaten, und die daraus resultierenden verschlüsselten Dateien werden als neue Datenblöcke in den Objektspeicher geschrieben.

In diesem Beispiel hat sich fileone.docx wesentlich verändert und besteht nun aus den Blöcken D, E und F. Dieser Zeitpunkt wird ebenfalls durch einen Schnappschuss festgehalten.

Da CloudFS vorhandene Daten als Originalobjekte im Objektspeicher bewahrt, kann jede durch den Ransomware-Code verschlüsselte Datei mithilfe von Snapshots sofort in den Zustand vor der Infektion zurückversetzt werden.

Dies kann leicht für eine einzelne Datei, ganze Verzeichnisse oder sogar das gesamte globale Dateisystem geschehen.

Mit den unveränderlichen Daten von Panzurasind Ihre Dateien überhaupt nicht verschlüsselt. Stattdessen verweisen die Dateizeiger jetzt auf Datenblöcke, die Verschlüsselung enthalten. Wird der Snapshot vor dem Angriff wiederhergestellt, verweisen die Dateizeiger auf saubere Datenblöcke... und Ihre sauberen Dateien sind wiederhergestellt. Im Gegensatz zur Wiederherstellung aus einem Backup ermöglicht dieser Ansatz eine granulare Wiederherstellung von Dateien mit einem Wiederherstellungspunkt nahe Null, um den Datenverlust zu minimieren.

Schnelle Erkennung und Wiederherstellung

PanzuraDie leistungsstarke SaaS-Datenverwaltungslösung Data Services bietet eine einzige, einheitliche Ansicht und Verwaltung Ihrer Daten. Data Services unterstützt die schnelle Wiederherstellung nach Ransomware, indem es Administratoren ermöglicht, betroffene Daten schnell zu finden.

Warnmeldungen über eine unerwartet hohe CPU-Last, Speicherauslastung oder Cache-Fehlversuche - die darauf hinweisen, dass auf eine ungewöhnlich hohe Anzahl selten genutzter Dateien zugegriffen wird - warnen Administratoren frühzeitig, dass ein Angriff im Gange ist. Berichte über die aktivsten Benutzer und die Verzeichnisse mit den meisten Zugriffen können helfen, den Kern des Angriffs zu lokalisieren.

Audit ist eine flexible, beschleunigte Suche, die auf der Grundlage der Ähnlichkeiten zwischen den Suchanfragen und den indizierten Daten arbeitet. Mit Hilfe von Audit-Aktionen wie dem Schreiben in Dateien, dem Umbenennen oder dem Setzen von Dateiattributen kann eine Suche eingegrenzt werden, um beschädigte Dateien sowie das kompromittierte Benutzerkonto zu finden. Die Suchergebnisse bieten außerdem mit einem Mausklick Zugriff auf ein vollständiges Audit-Protokoll, das die Identifizierung von datenschädigenden Aktionen und deren zeitliche Abfolge ermöglicht.

Mit der Suche können Dateien in CloudFS und anderen angeschlossenen NFS- und SMB-Dateifreigaben innerhalb von Sekunden gefunden werden. Sobald die verdächtigen Dateien oder Datenblöcke gefunden sind, können Abhilfemaßnahmen eingeleitet werden.

Die Wiederherstellung ermöglicht es, jede einzelne infizierte Datei schnell in eine frühere "saubere" Version zurückzuversetzen, wodurch der Ransomware-Angriff unschädlich gemacht wird.

Analytics bietet einen Einblick in die Änderungen des Dateisystems, einschließlich der Deltas der Dateigrößen, der heißen, warmen und kalten Daten, auf die zugegriffen oder die geändert wurden, sowie der täglichen Änderungen der gespeicherten Daten.

Wiederherstellung von Massendateien

Panzura CloudFS bietet IT-Administratoren die Möglichkeit, ganze Verzeichnisse und alle zugehörigen Inhalte zu einem Zeitpunkt wiederherzustellen, der vor dem Angriff per Snapshot erfasst wurde. Während bei der Wiederherstellung von Backups Daten verschoben werden müssen und dies eine beträchtliche Zeit in Anspruch nehmen kann, werden bei der Verwendung von Snapshots zur Wiederherstellung von Dateien in einen früheren Zustand lediglich Metadaten verschoben.

Da die Metadaten nur einen Bruchteil der Größe der Dateien ausmachen, die sie repräsentieren, dauert das Verschieben nur einen Bruchteil der Zeit. Daher dauert die Wiederherstellung selbst eines großen Volumens an umfangreichen Dateien nur wenige Augenblicke.

Panzura Globale Dienstleistungen

Das Serviceteam von Panzura bietet im Rahmen unseres erstklassigen Servicepakets Unterstützung bei der Wiederherstellung von Ransomware an. Sie arbeiten eng mit IT-Teams zusammen, um ihnen zu helfen, Angriffe unter Kontrolle zu bringen, indem sie die Verbreitung betroffener Dateien stoppen und helfen, saubere Dateikopien schnell und ohne Datenverlust wiederherzustellen.

Schutz über das Dateisystem hinaus

Ein Dateisystem speichert zwar keine strukturierten (Datenbank-)Daten, aber durch die Speicherung von Datenbanksicherungen in CloudFS erhalten Sie eine unveränderliche Sicherung, aus der Sie wiederherstellen können. Außerdem können Sicherungsdaten aus anderen, weniger stabilen Dateisystemen durch die unveränderliche Speicherung in CloudFS vor Ransomware geschützt werden.