Schnelle und einfache Wiederherstellung nach Ransomware-Angriff

Die Immutable-Architektur der Datenmanagement-Plattform von Rubrik ist darauf ausgelegt, dass Backups sich nicht mehr verändern lassen. Damit wird ein weitgreifender Schutz vor Ransomware-Angriffen erreicht und die Wiederherstellung nach einem Angriff beschleunigt.

Warum zahlen Unternehmen Ransomware-Erpressern das Lösegeld? Können sie nicht dank ihrer Backups diese Angriffe überstehen, indem sie ihre Daten einfach wiederherstellen? Die Realität ist, dass viele Backup-Lösungen nicht über die Funktionen verfügen, die Unternehmen in solchen Szenarien benötigen, wie Rubrik berichtet.

Die Wiederherstellungsmöglichkeiten sind oft sehr begrenzt. Wenn Daten kompromittiert werden, führen die meisten Unternehmen eine schnelle Kosten-Nutzen-Analyse ihrer Optionen durch. Wenn nicht die richtige Datensicherungslösung vorhanden ist, führt dies oft zur Zahlung des Lösegelds.

Im Durchschnitt dauert es mindestens sieben Tage, bis ein Unternehmen seine Daten vollständig wiederherstellen kann, was den Geschäftsbetrieb erheblich beeinträchtigt. Ausgeklügelte, neuere Ransomware zielt aber bereits auf Backups ab und verschlüsselt oder löscht diese vollständig. Die Wiederherstellung von nicht betroffenen Offsite-Backups, wie etwa von Speicherbändern, dauert jedoch oft zu lange, so dass Unternehmen am Ende trotzdem gezwungen sind, das Lösegeld zu zahlen.

Die meisten Unternehmen haben auch nicht den nötigen Einblick in ihre Backups, um zu wissen, was sie überhaupt wiederherstellen müssen. Rubrik schützt Backup-Daten von vornherein vor Manipulation. Die Lösung gewährleistet eine mehrschichtige Datensicherheit, indem alle Daten im Ruhezustand und während der Übertragung verschlüsselt werden. Jeder Rubrik-Cluster überträgt Daten von und zu einem Sicherungs-Client unter Verwendung starker, randomisierter, kennwortauthentifizierter APIs.

Die Technologie nutzt das Protokoll TLS 1.2 sowohl für Datenübertragungen, als auch für die Zertifizierung der Node-to-Node-Kommunikation. Alle Sicherungsdaten werden in einem unveränderlichen Format gespeichert, so dass die Daten unveränderlich sind und Ransomware niemals auf die Backups zugreifen und diese verschlüsseln oder löschen kann.

Dies ist in jeder modernen Backup-Strategie von wesentlicher Bedeutung. Mit nur wenigen Klicks kann ein Unternehmen nach einem Angriff die Daten bis zum letzten Cleanstate-Zeitpunkt schnell wiederherstellen, indem es sich Rubriks Technologie zu Nutze macht, mit der alle Sicherungen als Full Backups zur Verfügung gestellt werden, ohne dass diese erst synthetisiert werden müssen.
Zu den wichtigsten Lösungsmerkmalen gehören:

• Unveränderlichkeit: Einmal geschriebene Daten können nicht mehr gelesen, verändert oder gelöscht werden. Echte Unveränderlichkeit ist für jede echte Ransomware-Schutzstrategie von entscheidender Bedeutung. Die Rubrik-Architektur ist darauf ausgelegt, Backups umfassend zu schützen.
• Sichtbarkeit der Auswirkungen: Ein Schlüssel zu einer erfolgreichen Wiederherstellung besteht darin, welche Datenkopie als „sauber“ erachtet wird. Schnelle, genaue Sichtbarkeit spart wertvolle Zeit.
• Instant Recovery (Sofortige Wiederherstellung): Zeit ist Geld und Reputation nach einem Cyber-Angriff. Die Wiederherstellungszeit (Recovery Time Objective, RTO) muss so kurz wie möglich gehalten werden. Rubrik erreicht dies durch andauernde inkrementelle Backups und Point-in-Time-Recovery-Optionen, die eine schnelle und einfache Wiederherstellung ermöglichen.

Ransomware-Wiederherstellungsprozess

Die Wiederherstellung nach einem Ransomware-Angriff erfordert eine proaktive Datenverwaltung und -überwachung. Um sich von einem Angriff zu erholen, ist es auch entscheidend, Einblick in alle Daten und Systeme des Unternehmens zu haben.

Rubrik stellt Unternehmen mit Polaris eine SaaS-Plattform zur Verfügung, die Geschäftsdaten organisiert und diese auffindbar und nutzbar macht. Rubrik Polaris bietet ML-gesteuerte Einblicke mit speziell entwickelten SaaS-Anwendungen für Datenschutz, Governance, Sicherheit und Mobilität, um die Geschäftskontinuität zu gewährleisten, die Zeit bis zur Wiederherstellung zu verkürzen und zu priorisieren, welche Daten zuerst wieder hergestellt werden.

Bei Radar handelt es sich um eine Rubrik-Anwendung, die über die Polaris-Plattform bereitgestellt wird, um anomales Verhalten, wie z.B. einen Ransomware-Angriff, zu identifizieren und die Wiederherstellung nach einem Angriff schneller und einfacher zu machen. Es ist zu beachten, dass diese Anwendung nicht erforderlich ist, um sich von einem Ransomware-Angriff zu erholen, aber sie bietet mehr Wiederherstellungsoptionen.

Radar überwacht das Verhalten aller Cluster und erstellt eine Baseline. Baselines dienen der Analyse des historischen Verhaltens und berücksichtigen Frequenzen, Zeit und Volumen. Anschließend sucht Radar nach Abweichungen von der Baseline, um festzustellen, ob eine Anomalie vorliegt, wie etwa eine Zunahme der Anzahl der hinzugefügten, gelöschten oder geänderten Dateien, also Änderungen des normalen Backup-Verhaltens oder ob Daten plötzlich verschlüsselt sind.

Es gibt zwei Möglichkeiten, wie Rubrik Anomalien erkennt: die Dateisystemanalyse und die Dateiinhaltsanalyse, die für die Erhöhung der Zuverlässigkeit des Erkennungsmodells von entscheidender Bedeutung ist. Bei einem Anomalie-Alarm können Administratoren die Analyse von Radar nutzen, um tiefer in den Inhalt der Dateien einzudringen und nach Anzeichen für eine böswillige Verschlüsselung zu suchen.

Nach einem Angriff auf das Primärsystem kann ein Administrator auf Radar zugreifen und den Wiederherstellungsprozess starten. Hierbei geht es darum, schnell die besten Backups und die beste Vorgehensweise für die Wiederherstellung zu bestimmen. In der Ereignisansicht sind drei farbliche Markierungen zu sehen. Rot kennzeichnet gelöschte Dateien, Blau steht für erstellte Dateien und Gelb für modifizierte Dateien.

Der Administrator kann diese Werte und die Historie überprüfen, um festzustellen, ob sich das Verhalten geändert hat. Radar kennzeichnet verdächtige Aktivitäten in Violett, wenn eine Anomalie entdeckt wird, um festzustellen, ob dies auf normale oder böswillige Aktivitäten zurückzuführen ist. Wenn Volumes verdächtig aussehen, kann der Administrator zur genaueren Analyse bis auf die Dateiebene heruntergehen.

Für Administratoren sind folgende Schlüsselfragen zu berücksichtigen: Gab es einen Angriff? Wie und wann ist es passiert? Was ist der richtige Wiederherstellungspunkt, und ist eine Dateiwiederherstellung oder ein vollständiger Snapshot erforderlich? Administratoren haben viele Optionen für die Wiederherstellung, einschließlich Wiederherstellung von Dateien, Export, Live-Mount, Mounten virtueller Festplatten und Instant Recovery, also sofortige Wiederherstellung. Auf den frühesten bekannten sauberen Snapshot zurückzugreifen, kann der sicherste Ansatz sein.

Es gibt auch Optionen, einen neueren Snapshot zu verwenden, nach einer Prüfung, wo Anomalien oder Bedenken bestehen. Daraufhin lassen sich einzelne verdächtige Dateien mit einem anderen Zeitstempel wiederherstellen, um den besten Wiederanlaufzeitpunkt (Recovery Point Objective, RPO) zu erreichen.

Der Umgang mit einem Ransomware-Angriff ist eines der komplexesten Ereignisse, die ein modernes datenorientiertes Unternehmen durchmachen kann. Ransomware stört den Geschäftsbetrieb auf allen Ebenen. Wenn das Unternehmen auf so etwas nicht vorbereitet ist, können die Kosten für die Wiederherstellung enorm sein und dem Ruf unermesslichen Schaden zufügen.

Es ist nicht immer möglich, einen Ransomware-Angriff zu vermeiden. Wenn Angreifer den Weg ins Netzwerk hineinfinden, müssen sich Unternehmen schnell auf ihren Backup- und Recovery-Prozess verlassen können. Die ESG hat bestätigt, dass die Datenmanagement-Plattform Rubrik aufgrund ihrer Designelemente über robuste Funktionen verfügt, um die Wiederherstellung nach einem Ransomware-Angriff zu bewältigen. Im Gegensatz dazu sind die Lösungen vieler anderer Anbieter auf Hardware- und Softwareprodukte von Drittanbietern oder Tape-Lösungen angewiesen, um den Schutz vor Ransomware zu unterstützen.

Der konsequente Einsatz von APIs, unveränderlichen Backups und der Visualisierung mittels Polaris Radar bietet eine ganzheitliche Ransomware-Reaktionsstrategie, die für den Schutz von Unternehmen jeder Größe ausgelegt ist. Die Analyse wurde durch reale Fallstudien von Kunden, die in der Lage waren, sich sofort von Ransomware-Angriffen zu erholen, untermauert.
ESG fand jedoch auch heraus, dass einige Unternehmen die Zahlung des Lösegelds als praktikable Strategie ansehen. Genau dies ermutigt die Akteure zu weiteren Angriffen. Die Lösegeldzahlung verhindert nicht, dass die Angreifer noch einmal zuschlagen, mehr Lösegeld verlangen, oder noch schlimmer, das Geld nehmen und die Dateien niemals freigeben.

Der einzig effektive Notfallplan basiert auf einer bewährten Backup- und Recovery-Lösung eines Anbieters, der die Herausforderungen erkannt und eine adäquate Technologie entwickelt hat. Für Unternehmen, die sich auf eine schnelle, nahtlose Wiederherstellung nach einem Ransomware-Angriff vorbereiten möchten, ist die Rubrik-Technologie nach Ansicht der ESG eine ernsthafte Überlegung wert. (rhh)

Rubrik

Hier geht es zum ESG-Report