Automatisiertes Backup "ziehen" nicht "stossen" Stichwort Ransomware / Verschlüsselung

[Brati23]

Moin

Ich habe diesen Kommentar gelesen und wollte Euch kurz fragen ob und wie Ihr das realisiert habt.
Meine Backups mache ich zur Zeit automatisiert mit Macrium Reflect auf ein NAS1(DS) und dann mit Hyper Backup auf eine NAS2(DS) an einem anderen Standort.
Zwischendrin mal manuell per 1:1 Kopie auf eine externe HDD falls alle Stricke reissen sollten. (Plan B)

Spoiler: Kommentar

Hallo,
ich bin auch gerade auf der Suche nach einer Backup-Lösung mit 2 Diskstation und dabei auf diese Anleitung gestoßen. Bei dieser Anleitung (und vielen weiteren die man so im Netz findet) ist aber schon im Ansatz ein Fehler enthalten: Es darf bei einem Backup niemals von der Backup-Quelle auf das Ziel geschoben werden – es muß immer vom Ziel aus der Quelle gezogen werden und von der Quelle darf es keinen direkten Zugriff auf das Ziel.System geben. Im Idealfall hat das Ziel-System auch keine Zugangsdaten für einen schreibenden Zugriff auf die Quelle gespeichert.
Hintergrund dieser Philosophie ist, daß ein Verschlüsselungstrojaner, der es auf eines der beiden Systeme geschafft hat keine Möglichkeit hat auf das andere System zu springen. Wenn ich das Backup von der Quelle zum Ziel „schiebe“, dann kann der Trojaner auch das Backup verschlüsseln und ich habe nichts davon. Wenn ich vom Ziel aus ziehe, dann mache ich zwar von den verschlüsselten Daten ein Backup aber ich habe dann ja im Normalfall noch ältere Stände die nicht verschlüsselt sind.
In die andere Richtung gilt das Gleiche: Wenn das Backup-System keinen direkten Schreibzugriff auf das Quell-System hat, dann kann so ein Trojaner zwar das Backup verschlüsseln aber kann nicht auf das Quell-System springen und die originalen Daten verschlüsseln.
Aus meiner Sicht ist genau diese Bedrohung durch einen Trojaner das wahrscheinlichste Szenario für einen Datenverlust (neben Hardwaredefekten, die man sowieso schon über Raid abgefangen haben sollte). Feuer, Wasser, Überspannung kommen sicher auch vor – aber nicht so häufig.
Aus dem gleichen Grund würde ich auch davon abraten zwischen Freunden die Daten gegenseitig ins jeweils andere System zu schieben. Wenn sich einer von beiden einen solchen Trojaner eingefangen hat, dann sind beide Datenbestände hinüber. Man kann sicher ein Backup-System räumlich getrennt in ein anderes Gebäude oder einen anderen Ort stellen – und das kann durchaus auch bei einem Freund oder den Eltern sein. Es muß aber in jeden Fall ein dezidiertes Backup-System sein welches nicht noch anders benutzt wird.

• Für wie realistisch haltet Ihr es, dass der infzierte Rechner, das lokale NAS1 sowie das nicht in den Netzwerk-Laufwerken vom betroffenen Rechner (Win10) hinterlegte externe NAS2 kompromittiert wird? Das müsste ja irgendwie über Hyper-Backup geschehen. Und da sind X Versionen früher gespeichert sollte das Backup mit verschlüsselten Daten anlaufen.
• Was habt Ihr für Lösungen? Ziehen?

Grüsse Brati

Edit: Wenn ich es mir recht überlege syncht NAS1 gewisse Ordner (nicht die Backup-Ordner) 2-Weg zu NAS2. Sollte also NAS1 befallen sein könnte es durchaus auf anderem Weg auf NAS2 kommen. Trotzdem halte ich es für eher unwahrscheinlich. Sonst habe ich ja noch Plan B.

 

[AGB-Leser]

Der Vorteil besteht darin, dass auf deinem infiziertem System dann keine Anmeldedaten zum NAS liegen. Das ist alles. Denk dran: Hast du vom infiziertem System Schreibzugriff aufs NAS, dann sind die Daten da gefährdet

 

[Nilson]

Egal ob "schieben" oder "ziehen", das Problem bleit ja bestehen. Mit jedem (automatischen) Backup sicherst du ja ggf. die Verschlüsselung mit.
Ich hab das daher ähnlich wie du gelöst:
Backup von PC auf NAS und von NAS inkl. Versionierung/Rotation per Hyperbackup in die Cloud. Dazu ab und zu eine Kopie (auch mit Rotation) auf eine Externe-HDD, die sonst im Schrank liegt.

 

[Zokrace]

die NAS backupdaten täglich abwechselnd auf 2 (oder mehr) externe HDDs sichern
einer muss dann halt umstöpseln und die HDD mit Heim nehmen ^^

 

[NJay]

Solange du nur inkrementell backupst musst du dir um verschluesselungstrojaner keine grossen sorgen machen, der wird ja nur die aktuellen Daten auf dem NAS verschluesseln, welche dann als neuer snapshot gebackupt werden. Die alten Daten sind dann aber noch da.

Pullen statt pushen hat einen vorteil, falls deine Angst ist, dass jemand dein NAS uebernimmt und dir versucht schaden zuzufuegen. Derjenige hat nach uebername des NAS deine Secrets um auf das Backup zuzugreifen und kann dieses mitloeschen. Die Idee ist nun, dass ein Backupsystem, welches nicht offen im Internet haengt weniger einfach uebernommen werden kann und somit bei einer uebernahme deines Haupt-NAS deine Backups sicher sind.

Ist dein Haupt NAS nicht oeffentlich im Internet, so brauchst du nicht unbedingt pullende Backups.

 

[RalphS]

1. Nicht jeden Mist als Admin ausführen
2. Fürs Backup ein Servicekonto verwenden, das nur Zugriff auf die Backupdaten im Ziel hat
3. AV Scanner verwenden, der möglichst bald und möglichst zuverlässig anschlägt, wenn etwas verschlüsselt wird, das nicht soll.

Auf nem Fileserver macht sich da auch ein Incoming Ordner gut. Der kriegt Schreibrechte, alles andere nur lesen. Dann sind die Daten auf dem fileserver nochmal extra geschützt, vor allem wenn dort ein anderes OS läuft als auf den Clients.

 

[Brati23]

Vielen Dank für Eure Antworten. Ich denke dann passt mein Backup-Plan ja nicht schlecht.
Werde weiterhin sporadisch ein Backup auf eine externe HDD machen. Nicht sehr oft aber besser als keinen Plan B zu haben.

der wird ja nur die aktuellen Daten auf dem NAS verschluesseln, welche dann als neuer snapshot gebackupt werden.

Das sehe ich auch so.

Ist dein Haupt NAS nicht oeffentlich im Internet, so brauchst du nicht unbedingt pullende Backups.

Würdest Du per VPN auch als nicht öffentlich ansehen?

1. Nicht jeden Mist als Admin ausführen

1-3 Check.
1. Kein Adminkonto in Windows oder NAS für den Produktiv und oder Backup-Benutzer.
2. Der Benutzer "Backup" kommt nichtmal ins DSM. Zugriff nur auf Backupdateien.
3. Defender muss reichen.
Das mit dem Incoming Ordner ist auch noch eine gute Idee. Werd ich aber erstmal lassen.

 

[NJay]

Würdest Du per VPN auch als nicht öffentlich ansehen?

Wennd er VPN Server nicht auf dem NAS laeuft, sondern ausserhalb deines Netzwerkes, dann zaehlt das meienr Meinung nach NICHT als im Internet haengen. Falls man ueber Portforwarding auf den VPN server des NAS verbindet, dann eventuell.

 

[Brati23]

Wireguard Site-2-Site VPN. Pi<--->Pi. Portfreigabe nur zum Wireguardserver.

 

[NJay]

Wireguard Site-2-Site VPN. Pi<--->Pi. Portfreigabe nur zum Wireguardserver.

Wenn das ordentlich gemacht ist, also wirklich so konfiguriert, wie du es gesagt hast und dein Router aktuelle software hat ist es meiner Erfahrung nach okay.