Macht Ihre Backup-Strategie Sie angreifbar?

Eine falsche Herangehensweise an die Backup-Strategie könnte Sie dem Risiko von Erpressung aussetzen

In einem früheren Blogbeitrag über Selbstzufriedenheit in Bezug auf die Cloud und die Risiken für Microsoft 365 haben wir die gefährliche Annahme erörtert, dass Daten, die sich „in der Cloud“ befinden, automatisch gesichert und geschützt sind.

Das steht jedoch im Widerspruch zum Modell der geteilten Verantwortung der Cloud-Anbieter. Diese machen deutlich, dass die Kunden ihre Backups selbst organisieren müssen. 

Sie haben also alle notwendigen Vorkehrungen getroffen. Sie verstehen das Modell, haben Backups eingerichtet und fühlen sich gut geschützt. Jetzt sind Sie doch sicher, oder?

Vielleicht nicht.

Kriminelle haben es auf diese Backups abgesehen, und angesichts der sich ständig weiterentwickelnden Bedrohungen ist die Art und Weise, wie Sie Backups erstellen, ebenso wichtig.

Die Cloud ist zum Rechenzentrum für kleine und mittlere Unternehmen geworden

Seit Jahren setzen Unternehmen Cloud-Dienste aufgrund ihrer Flexibilität, Skalierbarkeit und einfachen Verwaltung ein. Infolgedessen haben Unternehmen nicht nur Cloud-Dienste hinzugefügt, sondern ihr Rechenzentrum praktisch in die Cloud verlagert. Laut Cloudtech befinden sich mittlerweile mehr als zwei Drittel der Daten-Workloads und Daten in der Cloud.

Das Problem ist, dass böswillige Akteure das wissen und sich darauf eingestellt haben.

Laut dem „CrowdStrike 2024 Global Threat Report“ ist die Zahl der Cloud-Angriffe um 75 % gestiegen, wobei 62 % der Angriffe auf den Missbrauch gültiger Konten zurückzuführen sind.

Der Trend ist eindeutig. Anstatt sich ausschließlich auf Malware zu verlassen, zielen Angreifer zunehmend auf Identitäten ab und nutzen legitime Zugangsrechte aus. Und mithilfe von KI beschleunigen und optimieren sie diese Angriffe schneller als je zuvor.

Das Ziel besteht nicht mehr nur darin, Daten zu verschlüsseln. Vielmehr geht es darum, die Kontrolle über kritische Geschäftssysteme zu erlangen und Druckmittel für Erpressungen zu schaffen.

Die Angreifer verfolgen die Daten

Mit der Verlagerung von Daten auf Cloud-Plattformen und SaaS-Anwendungen hat sich auch die Angriffsfläche entsprechend verlagert. Heutzutage passen Angreifer ihre Taktiken zunehmend so an, dass sie zunächst Identitäten ins Visier nehmen und anschließend Backups kompromittieren – was bedeutet, dass die Wiederherstellungsstrategie ebenso entscheidend ist wie die Prävention.

Erlangt ein Angreifer die Kontrolle über ein privilegiertes Konto, kann er häufig herkömmliche Sicherheitsmaßnahmen umgehen und sich Zugang zu Produktionssystemen, Verwaltungstools und Backups verschaffen. Von dort aus kann er Wiederherstellungspunkte deaktivieren, ändern oder löschen, wodurch sich die Auswirkungen eines Vorfalls erheblich verstärken.

Die Ergebnisse geben Anlass zur Besorgnis: Bei 94 % der Opfer werden die Backups gezielt von Angreifern ins Visier genommen. Kriminelle wissen, dass dies für viele Unternehmen ihre „Versicherung“ war – und dass ihnen ohne diese keine Absicherung mehr bleibt. Dadurch sind sie erpressbar.

Wenn Angreifer die Kontrolle über Ihren Mandanten erlangen, haben sie auch die Kontrolle über Ihre Backups

Wie das alte Sprichwort sagt: Man soll nicht alles auf eine Karte setzen.

Ein häufiger Konstruktionsfehler in Cloud-Umgebungen besteht darin, Backups innerhalb desselben Mandanten und derselben Sicherheitsgrenze wie die Produktions-Workloads zu speichern. In diesem Fall übernehmen Backups häufig dieselben Identitäten, Berechtigungen und Verwaltungskontrollen wie die Systeme, die sie schützen sollen. Wird ein Konto kompromittiert, sind auch die Backups gefährdet.

Man kann sich nicht darauf verlassen, dass Anbieter wie Microsoft solche Angriffe verhindern. Sie können Ihnen zwar dabei helfen, Maßnahmen zur Eindämmung von Sicherheitsverletzungen zu ergreifen, sind aber letztendlich nur für die Verfügbarkeit der Plattform verantwortlich. Die Daten, Identitäten, Konfigurationen und die Art und Weise, wie diese Dienste genutzt werden, liegen letztendlich in der Verantwortung des Kunden.

Am wichtigsten ist vielleicht, dass Cloud-Plattformen die Absicht nicht erkennen können. Wenn eine Anfrage mit gültigen Anmeldedaten und ausreichenden Berechtigungen gestellt wird, hat die Plattform keine zuverlässige Möglichkeit zu erkennen, ob die Aktion von einem autorisierten Mitarbeiter oder von einem Angreifer durchgeführt wird, der gestohlene Anmeldedaten verwendet.

Bauen für Resilienz

Hier kommt die Cyber-Resilienz ins Spiel. Es geht nicht nur darum, Vorfälle zu verhindern. Es geht darum, Umgebungen so zu gestalten, dass man, falls doch einmal etwas passiert, den Vorfall eindämmen, sich schnell davon erholen und den Geschäftsbetrieb aufrechterhalten kann.

Wenn wir über Cyber-Resilienz in der Cloud sprechen, geht es im Grunde genommen um einige wenige Grundprinzipien.

Strenge Identitäts- und Zugriffskontrollen verringern die Wahrscheinlichkeit eines Sicherheitsverstoßes, doch zur Gewährleistung der Ausfallsicherheit ist es zudem erforderlich, die Backups selbst durch Unveränderlichkeit und Isolierung zu schützen.

Wieder einmal ist eine 3-2-1-1-0-Formation die stärkste Abwehr:

• 3 Kopien der Daten (zum Schutz vor Datenverlust)
• 2 verschiedene Formate (auf mindestens zwei Medientypen gespeichert)
• 1 externe Kopie (zum Schutz vor physischen Katastrophen)
• 1 unveränderliche Kopie (die für ransomware-sichere Backups sorgt)
• Ich habe keinen Zweifel daran, dass Sie die Daten wiederherstellen können (regelmäßige Tests gewährleisten die Zuverlässigkeit).

Durch den Einsatz von Technologien wie WORM-Speichern (Write Once, Read Many) oder unveränderlichen Snapshots können Angreifer Ihre Wiederherstellungspunkte nicht ohne Weiteres ändern oder löschen, selbst wenn sie sich Administratorrechte verschaffen.

Es ist entscheidend, den Wiederherstellungsvorgang zu testen

Das ist die „0“ im 3-2-1-1-0-Ansatz. Es geht nicht nur darum, Backups zu haben. Es geht darum, ob man Daten wiederherstellen kann, wenn etwas schiefgeht. Wenn man dies nicht getestet, überprüft und nachgewiesen hat, dass eine schnelle Wiederherstellung möglich ist, kann man eigentlich nur hoffen, dass es funktioniert, wenn man es am dringendsten braucht.

Und genau hier beginnt die Herausforderung. Viele Unternehmen gehen davon aus, dass sie sich wieder erholen können, doch ohne einen erprobten Notfallplan wird diese Annahme zu einem Glücksspiel. Unternehmen ohne einen solchen Plan brauchen oft Wochen, um sich von einem Angriff zu erholen.

Die drei Fragen, die Sie beantworten können müssen, lauten:

• Sind meine Backups tatsächlich nutzbar?
• Wo kann ich meine Workloads wiederherstellen, wenn die primäre Umgebung kompromittiert wurde?
• Inwieweit lässt sich der Wiederherstellungsprozess automatisieren, anstatt ihn unter Zeitdruck manuell neu aufzubauen?

Wenn Sie diese Fragen nicht mit Sicherheit beantworten können, setzen Sie Ihre Daten der Gefahr von Erpressung aus.

Lesen Sie den Artikel von Datto : „Der ultimative Leitfaden zu BCDR: Warum Backup und Disaster Recovery wichtig sind“