Wenn Cyberangreifer zuschlagen, kommt es nicht nur auf Schnelligkeit an. Eine schnelle Wiederherstellung kompromittierter Daten führt lediglich zu einer erneuten Bedrohung und schafft einen Teufelskreis aus Infektion und Reinfektion.
Vor kurzem habe ich gemeinsam mit meinen Kollegen vonKyndrylein Whitepaper mit dem TitelâCyber-Recovery neu definiert: Vorstellung des „Mean Time to Clean Recovery“ (MTCR)“ verfasst, in dem wir einen grundlegenden Wandel vorgestellt haben: die Messung, wie schnell Sie Daten aus sauberen, verifizierten Daten wiederherstellen können, anstatt nur aus beliebigen verfügbaren Backups. Hier sind die fünf entscheidenden Schritte, die den MTCR Ihres Unternehmens bestimmen:
-
Schaffen Sie eine saubere Umgebung, in der Sie die Wiederherstellung durchführen können.
Das Problem: Die Wiederherstellung auf einer infizierten Infrastruktur führt lediglich zu einer erneuten Infektion Ihrer wiederhergestellten Systeme. Die Lösung: Isolierte Wiederherstellungsumgebungen (IREs) oder „Reinräume“ – Rechen- und Speicherinfrastrukturen, die physisch oder virtuell von Produktionsumgebungen getrennt sind, zu denen Angreifer niemals Zugang hatten.
Realitätscheck: Ohne IRE benötigen moderne Forensik-Teams 24 bis 72 Stunden, um komplexe Hybridumgebungen als „sauber“ zu zertifizieren. Ihr MTCR wird automatisch in Tagen statt in Stunden gemessen.
-
Finden Sie saubere Daten, aus denen Sie eine Wiederherstellung durchführen können.
Die versteckte Gefahr: Moderne Angreifer agieren wochenlang unbemerkt, bevor sie Angriffe starten, und verbreiten dabei schädliche Payloads in Ihrer gesamten Umgebung – einschließlich der Backup-Systeme. Der Durchbruch: Durch automatisiertes Scannen nach Kompromittierungsindikatoren lassen sich fehlerfreie Backup-Sätze identifizieren, ohne dass jedes einzelne Backup in einem Trial-and-Error-Verfahren getestet werden muss, bis ein funktionierendes gefunden wird.
Zusammenarbeit erforderlich: Dieser Schritt erfordert eine enge Zusammenarbeit zwischen den SysOps-Teams (die die Backups verwalten) und den SecOps-Teams (die sich mit aktuellen Bedrohungen auskennen). Forensische Analysen decken Angriffssignaturen auf, die in den Scan-Prozess einfließen müssen.
-
Daten innerhalb einer angemessenen Zeit wiederherstellen.
Die unbequeme Wahrheit: Backup-Lösungen für Unternehmen bieten oft eine Wiederherstellungszeit von „mehr als 10 Stunden pro Terabyte“. Skaliert man dies auf typische Unternehmensdienste, die Hunderte von Terabyte erfordern, ergibt sich eine Wiederherstellungszeit von mehreren Wochen. Die Realität: Die meisten Backup-Infrastrukturen wurden für nächtliche inkrementelle Backups (5 % Datenänderung) und nicht für eine vollständige Wiederherstellung des Geschäftsbetriebs (100 % Wiederherstellung) konzipiert.
Die Lösung: Speziell entwickelte Cyber-Resilienz-Plattformen mit leistungsstarken Wiederherstellungsfunktionen, kombiniert mit einer Priorisierung nach dem „Minimum Viable Company“ (MVC)-Prinzip – mit Fokus auf die kritischen 20 % der Dienste, die 80 % der Geschäftsfunktionen ermöglichen.
-
Wahrung der Datenintegrität auf der gesamten Plattform.
Die Herausforderung: Unternehmenssysteme existieren nicht isoliert. Bei der Wiederherstellung führen Systeme, die aus Backups wiederhergestellt werden, die zu unterschiedlichen Zeitpunkten erstellt wurden, zu Alpträumen hinsichtlich der Datenintegrität. Beispielszenario:
- Kundendatenbank: Dienstag, 3 Uhr morgens, Datensicherung
- Abrechnungssystem: Montag, 23 Uhr, Sicherung
- Lagerverwaltungssystem: Mittwoch, 6 Uhr morgens, Sicherung
Ergebnis: Bestellungen für nicht existierende Kunden, Rechnungen für Produkte, die nicht vorrätig sind. Der Prozess: Wiederherstellungssequenzierung auf Basis von Abhängigkeiten, Datenabgleich über integrierte Systeme hinweg und umfassende Konsistenzprüfungen vor der Rückkehr in den Produktivbetrieb.
-
Vor der Rückkehr in die Produktion testen.
Die Eilfalle: Unter Zeitdruck nehmen IT-Teams Systeme oft ohne umfassende Tests wieder in Betrieb, was dazu führt, dass die Systeme nur teilweise funktionsfähig sind oder Reste von Angriffen wieder eingeführt werden.
Umfassende Validierung:
- Funktionsprüfung der Kerngeschäftsprozesse
- Sicherheitsüberprüfung durch Schwachstellenscans
- Überprüfung der plattformübergreifenden Datenintegrität
- Validierung von Geschäftsprozessen durch Anwendungsteams
Kritischer Erfolgsfaktor: Legen Sie Ihre MVC-Akzeptanzkriterien im Voraus fest – also die spezifischen Funktionen, die funktionieren müssen, bevor Sie wirklich „wiederhergestellt“ sind.
Die Herausforderung der Integration
Dies sind keine aufeinanderfolgenden Schritte – es handelt sich um miteinander verbundene Funktionen, die zusammenwirken müssen. Ihr MTCR ist nur so schnell wie Ihr langsamster Schritt und nur so zuverlässig wie Ihr schwächster Validierungspunkt. Die Realität bei den Investitionen: Eine saubere Wiederherstellung erfordert speziell entwickelte Cyber-Resilienz-Plattformen, isolierte Wiederherstellungsumgebungen, automatisierte Scan-Tools und dedizierte Wiederherstellungsnetzwerke. Die Kosten für längere Ausfallzeiten und erneute Infektionen sind jedoch weitaus höher.
Nächste Schritte:
- Schätzen Sie ein, wie lange jeder Schritt in Ihrer aktuellen Umgebung dauern würde.
- Identifizieren Sie Ihre größte Schwachstelle.
- Berechnen Sie die Kosten für längere Ausfallzeiten im Vergleich zu Investitionen in die Infrastruktur.
- Beginnen Sie mit Ihren wichtigsten Unternehmensdiensten.
Die Zeiten von „Sichern und Beten“ sind vorbei. Unternehmen, die diese fünf Schritte beherrschen, stellen ihre Daten nicht nur schneller wieder her – sie stellen sie ein für alle Mal, fehlerfrei und zuverlässig wieder her.
Mehr erfahren
Sehen Sie sich im Webinar an, wie ich diese neue Kennzahl nutze âDie fehlende Kennzahl für Cyber Recoveryâ diskutieren. Lesen Sie das vollständige WhitepaperâCyber Recovery neu definiert: Einführung der „Mean Time to Clean Recovery““ (Durchschnittliche Zeit biszurvollständigenWiederherstellung), um mehr über diese wichtige Kennzahl zu erfahren.Darren Thomson ist Field CTO bei Commvault. Verpassen Sie nicht die Podcast-ReiheSTRIVE.
