Jump to content

Beste Backupstrategie: D2D2T > Offsite > Offline?


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo,

ich bin gerade dabei mir eine "bessere" Backupstrategie zu überlegen. Zur Zeit sichere ich ca 5TB an Daten, die auf 3 Server (physisch) und 8 Server (virtuell) verteilt sind.

 

Schema aktuell

Physische Server sichern per Arcserve UDP auf den Backupserver (Backupstore) -> Erstellen dort quasi ein Image, das man auch mounten kann, sofern ARCSERVE UDP läuft.

Virtuelle Server (ESXI) sichern per Veeam auf den Backupserver

Vom Backupserver werden GFS Bandsicherungen (Mo-Do inkr, Freitag Vollsicherung) gezogen. (=die Images, die die Datensicherung erstellt)

 

Damit noch nicht genug: Tägliche Sicherung der Arbeitsdaten per Robocopy auf ein NAS. (nur geänderte Daten).

 

Die Sicherung ist ja recht nett, nur bin ich (abgesehen vom NAS) bei allen Wiederherstellungsszenarien von Zusatzsoftware abhängig, die mir dann die gesicherten Daten "zur Verfügung" stellt UND - das ist viel schlimmer -, es gibt nur die Bandsicherung als Offlinesicherung.

 

Worst case: Ein Cryptolocker fährt mir ins System und macht alle Daten (auch das Backup) unbrauchbar. (nur eine Annahme, die in dieser Form - aller Wahrscheinlichkeit nach - nicht eintritt).

 

Somit wäre also der Backupserver down + die gesamte Backupplattform.

D.h. man müsste den Server neu hochziehen (oder ein Recovery von einem Backup durchführen, das nicht "verseucht" ist),

danach - sofern der Bandkatalog der Bänder nicht vorhanden ist - die Bänder inventarisieren / einlesen,

Das Backup retour spielen (dann hätte man die Arcserve UDP Images),

Das zurückgespielte UDP-Backup per Arcserve UDP öffnen,

die Dateien "recovern".

 

Sehr viele Einzelschritte, die Zeit in Anspruch nehmen.

 

Gibt es hier eine Strategie, die es mir erlaubt, schneller an die Daten zu kommen, diese aber so zu sichern, dass sie nicht permanent online sind?

 

 

 

 

 

 

Link zu diesem Kommentar

Welche Arcserve Lizenzen hast? STD/ADV/PREM/PREMPlus - per Server/per Socket/per TB usw.

Hast Du eine UDP Console laufen?

Hast Du ASBU laufen?

 

Du kannst via ASBU einen RP eines UDP Proxys auf Band rausschreiben (mit Dateisystemkatalog) - D2D2T

 

Die Credentials für den Datastore am NAS müssen nicht unbedingt die eines Domänen-Users/Admins sein.

UDP kann auch Replikation zu einem anderen Standort / Export eines RPs auf anderes Medium. usw.

 

Sieh Dir mal den Webcast von Dennis Rotsch an: Arcserve UDP 6.5 - Neuerungen.

Es gibt noch weitere sehr gute Webcast von Arcserve auf Youtube.

 

 

Link zu diesem Kommentar

Hi,

vorweg danke für die Antworten.

 

@djmaker: NAS / Backupserver ist in der Domäne. Ich denke mir aber gerade, wenn der User zb. den Cryptolocker ausführt, dann läuft der ja unter dem Usercontext. Da aber die User keinen Zugriff auf den Backupserver haben, kommt die "Verschlüsselung" gar nicht so weit. Oder sehe ich das falsch?

 

@jreckziegel: Es ist ARCSERVE UDP Console + ARCSERVE UDP 6.5 im Einsatz, abgesehen davon ARCSERVE-BACKUP 17.5 STD (Standalone) --> Arcserve UDP am zu sichernden Server, ARCSERVE UDP Console / Arcserve Backup am Backupserver.

bearbeitet von mcdaniels
Link zu diesem Kommentar

Hmmm. Du hast aber doch das Backup auf Tape, da sollte der Cryptolocker eigentlich nix drauf anrichten können... Klar, im worst case Szenario muss man erst den Backup-Server hochziehen und dann die Tapes recovern. Aber das ist vermutlich noch sicherer als viele andere Konzepte ;-)

 

Ich habe in einem der letzten Veeam Community Forum Digest ein interessantes Konzept gelesen mit nem Backup-Server der tatsächlich nur zu den Backup-Zeiten online ist und ansonsten ausgeschaltet. Wird dann entsprechend kurz vor dem Backup automatisch gestartet und bei fertigem Backup wieder runtergefahren. Das sollte schon nen recht guten Schutz bieten denke ich... Eventuell diese Konstruktion dann noch als "zweiten" Backup-Server...?

Link zu diesem Kommentar

Ich möchte auf das Backup-Konzept eingehen. Das erscheint mit ein wenig durcheinander.

Zum Thema Cryptolocker: Der Bester Schutz ist Prävention:

 

- Proxy und Mailsystem: Niemals nie  ausführbare Dateien durchlassen (auch nicht per SSL)

- USB-Ports für Datenträger gnadenlos  sperren.

- SRP oder Applocker einsetzen und richtig konfigurieren.

 

Storage benutzen, auf dem man einen Hardware-Snapshot einrichten kann. Der Snapshot muss  man Windows oder VMWare entkoppelt sein und darf auch nicht mit lokalen Adminrechten löschbar sein.

 

Link zu diesem Kommentar

Hallo,

danke für die bisherigen Rückmeldungen!

@Marco31 die Backupgeräte nur zwecks Backup hochzufahren war auch schon einer unserer Gedanken.

Ich dachte hier z.B. an eine QNAP, die nur fürs Backup hochfährt, sichert und dann wieder runterfährt.

 

@zahni: Wieso durcheinander?

 

Alles läuft auf dem Backupserver zusammen (phys Server mit Arcserve UDP in ein Image, um möglichst konstanten Datenstream zum Band zu haben, VM mit Veeam) -> das geht dann auf Band + liegt auf dem Backupserver.

zusätzlich NAS (robocopy der Arbeitsdaten) um zb. kurzfristig Dateien wiederherstellen zu können. (wenn der User etwas löscht).  Hat sich über Jahre so bewährt.

 

Aber, du hast schon recht. Prävention ist auch ein großer Teil.

 

Ausführbare Dateien kommen bei mir nicht durch, weder per Mail, noch als Download. (Ausnahme Server - WSUS). Allerdings nur, wenn auf der Firewall auch eine HTTPS Deep Inspection stattfindet, sonst haut das (logischerweise) nicht hin.

Verbindungen zu known bad hosts werden so gut wie möglich geblockt (Fortigate). Hiermit sollte das nachladen von Schadcode erschwert werden, falls im Netz mal etwas "losgeht".

Auf den PCs ist ein Virenschutz installiert, der allerdings immer mindestens 2 Tage zu spät checkt, wenn es sich um eine verseuchte DOC Datei handelt (hab ich getestet).

 

Der Punkt sind nichtmal ausführbare Dateien. Im Grunde kommen ja z.B. Docs durch, die dann ein Makro mit an Bord haben. Ich hab das zwar per GPO soweit runtergeschraubt, dass Makros manuell aktiviert werden müssen (ganz abdrehen spielt es nicht), das Problem bleibt aber der User.

 

USB abdrehen ist nicht möglich, da es hier immer wieder Datenaustausch gibt (nach vorhergehendem Scan), vielleicht könnte man das über eine Cloud abwickeln, allerdings ist das ja auch nicht viel sicherer... Eigentlich müsste man den Datenaustausch generell abdrehen ;-)

 

Die Sache ist, dass es nie eine 100%ige Sicherheit geben kann, dennoch will ich so gut wie möglich vorbereitet sein.

 

Was mir noch immer nicht ganz klar ist, gehen diese Cryptodinger grundsätzlich nur mit den Rechten los, die der User hat, oder schafft das Ding es mittlerweile, im Hintergrund zu schlummern und Anmeldedaten im LAN zu sammeln? Wenn man den Artikel auf Heise liest, könnte man bald denken, dass es besser ist, Rauchzeichen zu geben. :-P

 

Kann man irgendwo nachlesen, was hier wirklich geschieht? (Dann könnte man nämlich noch bessere  Vorkehrungen treffen).

 

Als Zusatzinfo: Ich muss mit minimalsten Mitteln auskommen. Viel mehr als oben Erwähntes ist nicht drinnen.

 

 

bearbeitet von mcdaniels
Link zu diesem Kommentar

Moin,

 

schreibe jetzt auch mal was.

 

Im Consulting verwende ich immer den Lieblingsspruch eines MVP-Freundes und Kollegen - man brauct kein Backup sondern ein Wiederherstellungsszenario, daraus ergibt sich dann eine Backup-Strategie

 

Und ganz wichtig - die GL mit einbeziehen.

Gut vorbereiten und mit den Zahlen kommen.

Bei einer Firma, die ich betreue ist es z.B. wichtig, das das AD da ist und die erforderlichen Systeme für die Produktion wieder laufen.

 

Bei einem anderen Unternehmen ist eigentlich fast alles egal, Hauptsache Mail geht.

 

Man muss also sorgfältig beschreiben, welche Systeme von welchen abhängig sind und im Worst-Case so schnell also möglich wieder laufen müssen.

 

Untern Strich also gut vorbereiten, dann ist auch Geld da.

 

Und - das müss auch regelmäßig getestet werden, also Restore testen.

 

Just my2Cents...

 

Achja - in den heutigen Zeiten feiern die Bandlaufwerke gerade ein Comeback - da Offline.

 

Auch die Idee mit dem Server aus fährt ein Kunde von mir bereits seit Monaten erfolgreich, auch wenn ich ein Freund davon bin, die Server laufen zu lassen.

Man kann z.B. einen kleinen Switch hinter die LAN-Anschlüsse setzten und den mit PX an-und ausschalten, so kann der Server an bleiben (besser für die Platten)

 

:-)

 

PX z.B. von Raritan oder Rittal oder oder oder...

bearbeitet von Nobbyaushb
Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...