Enhancing Ransomware Resilience in VMware Environments ThroughImmutable Backup Architectures A Comparative Study of Veeam Backup & Replication and Cohesity Data Protect

In der modernen digitalen Welt verlassen sich Unternehmen auf riesige Netzwerke von virtuellen Maschinen, um ihre kritischsten Operationen auszuführen, von Banktransaktionen bis hin zu Krankenhausakten. Diese virtuellen Systeme leben auf leistungsstarken Servern, die oft von einem zentralen Steuerungssystem verwaltet werden. Während dieser Aufbau eine große Effizienz bietet, schafft er auch einen Single Point of Failure: Wenn ein Angreifer die Kontrolle über das Managementsystem erlangt, kann er das gesamte Netzwerk sperren oder zerstören. Dies ist die Realität von Ransomware, einer Art von Schadsoftware, die Daten verschlüsselt und für deren Freigabe eine Zahlung verlangt. In den letzten Jahren haben sich Angreifer über das bloße Sperren von Dateien hinaus entwickelt; sie suchen nun aktiv nach Backup-Kopien und vernichten diese, da sie wissen, dass Organisationen ohne eine Möglichkeit zur Datenwiederherstellung gezwungen sind zu zahlen. Um dem entgegenzuwirken, haben sich Sicherheitsexperten einem Konzept namens Immutabilität (Unveränderlichkeit) zugewandt. In einfachen Worten ist ein immutables Backup eine Kopie von Daten, die in der Zeit eingefroren ist. Einmal erstellt, können die Daten für einen festgelegten Zeitraum weder verändert, gelöscht noch verschlüsselt werden, egal wer versucht, darauf zuzugreifen. Dies schafft einen sicheren Hafen aus sauberen Daten, der unberührt bleibt, selbst wenn der Rest des Systems unter einem Angriff steht.

Eine aktuelle Studie der unabhängigen Forscher Nawa Abduljalil Abdulaziz Abdulnoor, Ahmed Razzaz Ahmed Qaid und Rani Abduljalil Abdulaziz Abdulnoor untersucht, wie zwei große Datenschutzplattformen, Veeam Backup & Replikation und Cohesity DataProtect, diese Prinzipien der Unveränderlichkeit nutzen, um virtuelle Umgebungen zu verteidigen. Die Forscher führten keine Labortests oder Angriffssimulationen durch; stattdessen führten sie einen detaillierten Vergleich der offiziellen Dokumentationen und Architekturdesigns beider Systeme durch. Ihr Ziel war es zu verstehen, wie jede Plattform die spezifische Herausforderung des Schutzes von Backups in einer VMware-Umgebung bewältigt, in der viele virtuelle Maschinen dieselbe zugrunde liegende Hardware und dieselben Management-Tools teilen. Die Studie stellt fest, dass beide Unternehmen zwar robuste Lösungen anbieten, um zu verhindern, dass Ransomware die Wiederherstellungsdaten löscht, aber grundlegend unterschiedliche Wege einschlagen, um dorthin zu gelangen.

Die erste Plattform, Veeam, setzt auf eine Strategie der Flexibilität und spezialisierten Konstruktion. Um ein Backup immutabel zu machen, verwendet Veeam typischerweise ein „gehärtetes Linux-Repository“. Stellen Sie sich einen sicheren Tresor vor, der aus einer speziellen Art von Stein gebaut ist, der schwer zu brechen ist; in diesem Fall ist der „Stein“ ein speziell konfiguriertes Linux-Betriebssystem. Wenn ein Backup in dieses Repository geschrieben wird, wendet das System eine Sperre an, die verhindert, dass eine Datei für eine bestimmte Dauer verschoben, geändert oder gelöscht wird. Dieser Schutz findet auf der Speicherebene statt, was bedeutet, dass die Dateien selbst von dem System geschützt werden, das sie hält. Veeum nutzt auch einen cleveren Trick mit Passwörtern: Es generiert einmalige Anmeldedaten, um Daten in diesen Tresor zu bewegen. Sob-ei die Daten im Tresor sind, wird das Passwort verworfen, sodass ein Angreifer selbst dann den Tresor nicht öffnen und die Backups löschen kann, wenn er die Anmeldedaten des Hauptadministrators gestohlen hat. Darüber hinaus bietet Veeam eine Funktion namens „Secure Restore“, die als letzte Sicherheitsprüfung fungiert. Bevor eine wiederhergestellte Maschine in das Live-Netzwerk gelassen wird, scannt das System sie auf versteckte Malware, um sicherzustellen, dass der Wiederherstellungsprozess nicht versehentlich das Virus wieder zum Leben erweckt.

Die zweite Plattform, Cohesity, nähert sich dem Problem aus der Perspektung eines vereinheitlichten All-in-One-Systems. Anstatt sich auf einen separaten, speziell gebauten Speichertresor zu verlassen, baut Cohesity die Unveränderlichkeit direkt in den Kern seiner Softwareplattform ein. Es verwendet ein natives Dateisystem, das jedes Backup-Snapshot ab dem Moment der Erstellung als ein gesperrtes Objekt behandelt. Das bedeutet, dass der Schutz in das Gefüge des gesamten Systems eingewoben ist und nicht nur als zusätzliche Ebene hinzugefügt wurde. Cohesity betont zudem ein „Zero Trust“-Sicherheitsmodell, das davon ausgeht, dass kein Benutzer, auch kein Administrator, implizit vertraut werden sollte. Um dies durchzusetzen, kann das System mehrere Genehmigungen oder ein „Quorum“ erfordern, bevor eine destruktive Aktion durchgeführt werden kann. Wenn ein Administrator-Konto kompromittiert wird, kann der Angreifer die Backups nicht allein löschen; er müsste gleichzeitig mehrere andere Konten täuschen. Zusätzlich integriert Cohesity künstliche Intelligenz und maschinelles Lernen durch ein Tool namens DataHawk. Dieses System beobachtet ständig ungewöhnliches Verhalten, wie etwa einen Benutzer, der plötzlich tausende Dateien löscht oder Daten, die sich auf ungewöhnliche Weise verändern, und markiert diese Anomalien als potenzielle Ransomware-Angriffe, bevor der Schaden entsteht.

Die Forscher kamen zu dem Schluss, dass keines der Systeme ein Allheilmittel ist, das das Ransomware-Problem aus sich heraus löst. Sowohl Veeam als auch Cohesity bieten starke technische Abwehren, aber ihre Wirksamkeit hängt vollständig davon ab, wie sie eingerichtet und verwaltet werden. Veeam bietet mehr granulare Kontrolle, was es Organisationen ermöglicht, komplexe, mehrschichtige Speicherarchitekturen zu entwerfen, aber dies erfordert ein Team mit tiefem technischem Wissen für die korrekte Konfiguration. Wenn das Setup fehlerhaft ist, kann der Schutz versagen. Cohesity hingegen bietet eine gestrafftere Erfahrung, bei der Sicherheitsfunktionen wie Immutabilität und Bedrohungserkennung standardmäßig in die Plattform integriert sind, was die Verwaltung vereinfacht, aber Vertrauen in das integrierte Design des Anbieters erfordert. Die Studie legt nahe, dass die beste Wahl von den spezifischen Bedürfnissen einer Organisation abhängt: Organisationen mit großen, vielfältigen Speicherumgebungen und qualifiziertem IT-Personal könnten die Flexibilität von Veeam bevorzugen, während diejenigen, die einen vereinfachten, zentralisierten Ansatz suchen, Cohesity als besser geeignet empfinden könnten.

Letztendlich betont das Papier, dass Technologie allein keine Sicherheit garantieren kann. Die Forscher weisen darauf hin, dass selbst das fortschrittlichste Backup-System versagen wird, wenn die Menschen, die es verwalten, keine strengen Sicherheitsregeln befolgen. Dies beinhaltet die Trennung der Konten, die für die tägliche Arbeit verwendet werden, von denen, die für Backups verwendet werden, die Nutzung der Multi-Faktor-Authentifizierung zur Verhinderung unbefugter Logins und die Aufteilung des gesamten Netzwerks in sichere Zonen, damit eine Infektion in einem Bereich nicht auf die Backups übergreifen kann. Vielleicht am wichtigsten ist, dass die Studie hervorhebt, dass ein Backup nur wertvoll ist, wenn es getestet wurde. Organisationen müssen regelmäßig versuchen, ihre Daten wiederherzustellen, um sicherzustellen, dass dies tatsächlich funktioniert und dass die Dateien sauber sind. Die Forscher fanden heraus, dass die stärkste Verteidigung gegen Ransomware nicht ein einzelnes Produkt ist, sondern eine Kombination aus immutabler Technologie, disziplinierten operativen Gewohnheiten und einer Kultur der ständigen Verifizierung. Letztendlich ist das Ziel sicherzustellen, dass eine Organisation bei einem Angriff eine vertrauenswürdige, unveränderliche Kopie ihrer Daten vorfindet, die bereit zur Nutzung ist, sodass sie die Wiederherstellung vollziehen kann, ohne ein Lösegeld zu zahlen.