Backup vor Verschlüsselungsvirus schützen

Backup vor Verschlüsselungsvirus schützen (57 Beiträge, 1530 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Bezugnehmend auf den Thread https://forum.geizhals.at/t881731.html interessiert mich wie man ein Backup sinnvoll schützen kann.

Darf es nicht im Netzwerk hängen?
Wie oft darf es gezogen werden um keinen Befall der noch nicht aktiv ist mitzunehmen?
Da die Dinger ja nicht gleich aktiv werden ist das ja nicht so einfach...

Natürlich muss man sich sowas erst mal einfangen. Aber man weiß ja nie...
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Ich würde eher in Betracht ziehen den Rechner selbst dagegen abzusichern, warum sich auf das Backup beschränken?

________________________________________________________________________

There's a typo in the Bible. It should read "The geek shall inherit the earth".

Selbst als User kannst du deine eigenen Dateien zerstören, da brauchts nicht mal einen Virus. Wenn du das Backup gleich mit erwischst, dann gute Nacht.

LG Mike

Das ist im Prinzip richtig, da im vorliegenden Fall der diversen Cryptolocker allerdings IMMER das Ausführen einer Datei (bzw. mindestens eines Batchfiles, falls ein paar sehr seltene Zufälle zusammenfallen) aus einem Bereich des Dateisystems notwendig ist, wo ausser in extremen Ausnahmefällen das Ausführen einer Datei absolut NICHT notwendig ist, würde ich mal sagen DAS Problem ist lösbar. Stichwort AppLocker bzw. falls nicht Win7 Ultimate zur Hand, Software Policy.

________________________________________________________________________

There's a typo in the Bible. It should read "The geek shall inherit the earth".

AppLocker gibts leider nur für Win7 Enterprise und Ultimate und konfigurieren kann das auch kein "User", die SRP schon gar nicht. Dafür hast die ganzen Bloatware die unter "Internet Security" verkauft wird.

LG Mike

Dann installier irgendein Programm wie Software Policy, tut das gleiche.

________________________________________________________________________

There's a typo in the Bible. It should read "The geek shall inherit the earth".

#1 Nicht als Admin den Computer nutzen
#2 Das Backup so konfigurieren dass es ausschließlich von einem dedizierter Backup Administrator durchgeführt wird
#3 Never ever dem Benutzer Zugriffsrechte auf das Backup geben
#4 Off-Site Backups machen: 2x externe HDDs im Wochenrhythmus tauschen und wenn möglich wo extern lagern (Eltern, Bankschließfach). Notfalls reicht es auch wenn es nicht angesteckt ist, aber Vorsicht bei Brand oder Einbruch
#5 Nicht als Admin den Computer nutzen

LG Mike

Danke

Für den eigenen PC gute Tipps.

Was ist da ein korrektes "Light Paket" für "mitbetreute PCs"
#1 und #5 ist afaik bei Win10 zumindest standardmäßig so
#4 wird für Urlaubsfotos einfach ignoriert.
#2 und #3 lässt sich einmal einrichten? Dann müsste die entsprechende Platte im Netz hängen.
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Nein, du bist zwar User, kannst dir aber über UAC die Admin Rechte holen. Das ist zu wenig! Entweder wirklich komplett die Rechte entziehen, oder einstellen dass jedes Mal vom Admin das Kennwort eingegeben werden muss. Das schafft Bewusstsein nicht einfach blind auf Ja zu drücken.

Nicht ignorieren, das ist essenziell. Wenn dein Netzteil einen Kurzen reißt und die USB Platte hängt dauernd am PC, dann wird sie gleich mitgegrillt. Selbst wenn du ein NAS hast, ist das Gleiche. Ein Backup zu haben heißt offline Storage zu haben. Wenn du deine Daten am PC hast und du das NAS als Backup nutzt ist es ok. Wenn du dein NAS als Storage nutzt, musst du das NAS sichern. Prozedere ist gleich mit #4.

Ja, einmalig reicht, eventuell sogar per Skript für andere PCs bzw. im Falle eines Umstiegs oder du schreibst dir die exakten Schritte auf.
Aktuellen Benutzer die Admin Rechte entziehen
Als Administrator einloggen (Kennwort sollte gesetzt sein und anders als das des Hauptbenutzers sein) - einen separaten Backup User mit Admin Rechten anlegen und auf dem NAS ebenfalls mit den gleichen Credentials
Backup Ordner am NAS erstellen und dort die Rechte zu 100% auf den User einschränken
Backup Ordner als Netzlaufwerk am PC mit dem Backup User verbinden
Backup Schedule einrichten und ausreichend testen (Testdaten etc.)
Aufpassen dass ausreichend Platz für Schattenkopien ist - du willst nicht dass deine Echtdaten nach 24h mit dem verschlüsselten Mist überschrieben werden

Wiederherstellung testen (ganz wichtig! - das solltest du regelmäßig machen)
Testen ob du als User nicht auf die Backup Daten kommst
Off-Site Backup einrichten und testen
Fertig

LG Mike

DAnke!

Muss mich mal einarbeiten und bei 2-3 Installationen nachziehen (bevor es zu spät ist)

-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

#2 Das Backup so konfigurieren dass es ausschließlich von einem dedizierter Backup Administrator durchgeführt wird

an sich eine sehr gute Idee, allerdings hat man (bei der wohl am meist genutzten) Windows 10 (Home Edition) keinen Backup Operator mehr ... sehr sinnvoll, den von MS zu streichen

-----------------

Den brauchst auch nicht wirklich, weil der braucht in 99% aller Fälle ohnehin wieder Admin Rechte.

LG Mike

jaein ... zB kann ich robocopy mit /ZB nicht starten, weil mein Admin-User kein Mitglied der Gruppe Backup Operatoren ist ...

-----------------

Ich hab das Thema schon vor einiger Zeit durchgekaut und auch mit einem MVP besprochen, der hat mir damals eine nette Lösung gestrickt: https://isc.sans.edu/forums/diary/Use+The+Privilege/20483/

LG Mike

ah danke ... muss ich mir mal bei Zeiten anschauen!

-----------------

Einzig sinnvolle Möglichkeit die Backups gegen Ransomware abzusichern ist derzeit eine Sicherung auf Medien welche keinen Bidirektionalen Filestream zulassen oder deren Filestream verschlüsselt sind...

zum derzeitigen Stand der Technik (Stand 13.09.2016) kann, soweit mir bekannt, noch keine Ransomware auf Tape oder dedizierte Cloudbackupspeicher zugreifen (Tape = DAT, LTO etc. - kein RDX! - Cloud alá VEEAM Cloud Connect)

Für den Otto-Normal User würde eigentlich z.B. ein QNAP Reichen mit einem authentifizierten Share und eine Backup Software alá VEEAM Endpoint Protection welche auf solche Zugreifen kann (Benutzername & Passwort wird bei der Konfig mitgegeben) ... das ganze dann unter einem anderen Benutzer auf dem PC laufen lassen (geplanter Task mit einem dedizierten zusätzlichen Benutzer o.ä.)

Ansonsten USB Platten welche regelmäßig gewechselt werden und nach dem Wechsel wirklich offline sind (im Kasten verstaut, im Bankfach oder wo auch immer) Ob auf diesen Platten dann wirklich alles i.O ist und nicht schon ein Sleeper mit drauf ist kann eigentlich keiner so genau wissen leider

...

Auch dir danke!

Ob QNAP oder synology wird ja egal sein.
Aber VEEAM Endpoint Protection kannte ich noch nicht.
Die Geschichte unter einem anderen User einrichten ist eine Idee an die ich im Vorfeld noch nicht gedacht hatte.

Wobei ja in diesem Fall ja auch das gleiche gilt... auch wenn ein anderer User das Backup macht werden ja trotzdem die potentiell bereits mit einem Timer versehenen Daten vom arbeitenden User kopiert?

-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

13.09.2016, 16:27 Uhr - Editiert von Codename 47, alte Version: hier

weiterer Lösungsansatz:
(wenns automatisch laufen soll, und ein bisserl was kosten darf)

QNAP oder Synology mit zumindest 2 Festplatten

.) auf die erste mittels der entsprechenden Cloud-App sichern / syncen
..) bei Sync-Modus immer aktueller Datenbestand auf NAS und PC/Lap
..) bei Backup-Modus dann halt zeitverzögert

.) auf die zweite automatisierte Backups mittels App (Hyper-Backup, etc.) IM NAS einrichten

Damit sind die Backup-Daten vor clientseitigem Zugriff geschützt.

Der Sync-Modus hat natürlich auch zur Folge, daß bei einem Virenbefall unmittelbar auf das NAS gesynct wird, wenn verbunden - man kann aber bei der Cloud-App einstellen, daß das NAS ein gewisse Anzahl von Dateiversionen aufbehält, zusätzlich zum Backup.

Die leistungsstärkeren NAS (DS916, etc.) können auch schon Snapshots (App 'Snapshot-Replication'), also kontinuierliche Abbilder des Gesamtdatenbestandes erstellen.

zusätzliche Absicherung: Shares am NAS in der Netzwerkumgebung ausblenden (kann im NAS eingestellt werden). Frühere Versionen der Crypto-Viren haben nur Daten verschlüsselt, die als Laufwerk verbunden waren, aktuellere Versionen suchen im Netzwerk nach Shares... und finden diese leider auch.

Weiters kann man ein Backup auf eine externe USB-Festplatte einrichten, aber VORSICHT: das NAS gibt die USB-Platte default als Share mit vollen Zugriffrechten im Netzwerk frei... Zugriffsrechte bei Verwendung der USB-Platte als Backup-Medium also auf den NAS-Admin beschränken, vorausgesetzt natürlich: die Login-Daten am PC nicht die selben, wie des NAS-Admin

Selber habe ich eine DS916-plus, mit folgender Config:
1+2: redundant (BTRFS - wird für Snapshot-App vorausgesetzt), für Shares im Netzwerk
3: Single, Hot-Spare für 1+2
4: Single, für autom. Backups von 1+2
zusätzlich: USB, für Backup von 1+2 (ggf. externe Lagerung im Urlaub)

zugegeben, ein Gürtel-Hosenträger-System, aber damit schläft sich's dann ruhiger

Platte 4: sollte zumindest 30% größer als 1-3 (idente Größe) sein, da die Snapshots bzw. Backups mit meheren Dateiversionen irgendwann einmal mehr Speicher brauchen, als der eigentliche Datenbestand.

LG
pistonhead

hat eine gewisse Komplexität aber auch interessant. Danke!
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Wobei ja in diesem Fall ja auch das gleiche gilt... auch wenn ein anderer User das Backup macht werden ja trotzdem die potentiell bereits mit einem Timer versehenen Daten vom arbeitenden User kopiert?

Davor kann man(n) sich leider eh nicht schützen

Zusätzlich wäre noch ein Anomalien Scanner alá Sophos Intercept X ... der erkennt wenn Vorgänge am Client passieren die "nicht der Norm entsprechend" sind und blockt dann die entsprechenden Prozesse... --> http://bit.ly/2dhjY8y <-- ist auch nicht 100% Sicher aber ein guter zusätzlicher Schutz

schaue ich mir an, danke!
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Ich verwende rsync (Kompatibilität durch cygwin). Dadurch ist auf jedem Windows Rechner mit unterschiedlichen OS Version und dem Mac Mini das Backup gleich. Ziel ist ein Synology NAS.

Rsync lässt sich mittels "--dry-run" im Simulationsmodus starten. Dadurch wird erst bewusst, was sich am Bestand ändert und hat mich vor unbewussten Dateiverschiebungen, versehentlichem Löschen bewahrt. Im Falle der bösartigen Verschlüsselung würde die veränderte Dateiliste extrem lang werden.

Das Backup Share am NAS ist nur lesbar und von den Benutzerrechten dementsprechend eingeschränkt.

Im Falle der bösartigen Verschlüsselung würde die veränderte Dateiliste extrem
lang werden.

Da ja alle betroffenen Files dabei wären... nicht blöd

Danke für den Tipp!

-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Da die Dinger ja nicht gleich aktiv werden ist das ja nicht so einfach...

Man greift auf das Backup grundsätzlich nur über ein (Live-)Linux zu. Da tut sich dann der rootkit schwer, aktiv zu werden

Man greift auf das Backup grundsätzlich nur über ein (Live-)Linux zu. Da tut
sich dann der rootkit schwer, aktiv zu werden

Verstehe ich nicht. Wenn das rootkit sich unter Win ausgetobt hat ist ja egal ob Linux oder Win die versuchten Daten verschiebt und überschreibt?
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Es geht darum, dass unter Windows der Verseuchungsprozess aktiv ist. Der "Zeitzünder" zur Verschlüsselung der Dateien wird nicht in jeder Datei einzeln gespeichert, sondern zentral in in einer ausführbaren Datei (.dll/.jar etc.)

Unter Linux sind Windows-Prozesse nicht ausführbar - egal, wo der "Zeitzünder" liegt, müsste man ihn schon aktiv mit diversen Emulatoren starten.

jetzt verstanden, alles klar!
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Einfache Lösung: Ein Linux-Rechner mit BackupPC sichert automatisiert alle Clients (inkl. Generationen, Deduplikation, ...)

Nur Vorteile für Benutzer (weil automatisches Backup), aber der BackupPC ist nie als Filesystem/Netzlaufwerk für die Clients sichtbar -> keine Infektion.
----------------------------------------------------------------------------------

Wenn man sich wundert, warum ich die Aussagen mancher Deppen komplett ignoriere...
... diese Armlöcher sind geplonkt - die lese ich nicht einmal.

Ja klar,
aber an mehreren Standorten die "Fernbetreut" werden nicht so einfach zu realisieren

aber an mehreren Standorten die "Fernbetreut" werden nicht so einfach zu
realisieren

?

Backup über VPN ist ja auch möglich... Oder den Familienmitgliedern halt einen PC für dediziertes Backup hinstellen.
----------------------------------------------------------------------------------

Wenn man sich wundert, warum ich die Aussagen mancher Deppen komplett ignoriere...
... diese Armlöcher sind geplonkt - die lese ich nicht einmal.

Backup über VPN ist ja auch möglich... Oder den Familienmitgliedern halt einen
PC für dediziertes Backup hinstellen.

extra Hardware oder erhöhter Aufwand bei mir

Muss ich mir mal anschauen.
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Klingt toll um Credentials an einem Fleck zu sammeln.

LG Mike

Gute Lösung!

Du verwendest ein Backup-Utility (zB Acronis), das mit einem eigenen OS von einem USB Stick startet. Erst wenn es läuft, wird die Backup-HD angesteckt. Anschließend wird die Disk VOR dem Booten des originalen OS wieder abgezogen und feuersicher verwahrt.

Wenn das Backup "incremental forever" kannst du notfalls auf eine frühere (noch nicht verschlüsselte) Version deiner Files zurückgreifen.

mfg lukas

würde es gerne über ein NAS in einem anderen Raum oder gar anderer Stadt lösen. Spricht da etwas dagegen?
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Nein. Solange das NAS ausschließlich durch den User beschrieben werden kann, der für das Backup-Betriebssystem definiert ist.

Mit freundlichen Grüßen Lukas

stimmt!
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Wobei, das Backup kannst wiederum von einem sauberen Backup-Betriebsystem aus durchführen, das garantiert frei von Viren und Trojanern ist. zB. von einer grml linux live cd aus gestartet.

God_Save_the_South hosted by 666kb.com

ich weiss ja nicht wieviel neue programme ihr jeden tag downloaded und installiert aber eigentlich sollte man irgendwann sein working setup gefunden haben und dann nicht mehr jedes file öffnen das so daherkommt.

das klingt nach einem langweiligen leben was du hast

es gibt halt noch immer zigtausende User die jeden Scheiss anklicken ohne nur eine sekunde darüber nachzudenken.

04.10.2016, 08:47 Uhr - Editiert von TuxTux, alte Version: hier

Wenn deine Clients Windows 8 oder höher sind bietet sich der Dateiversionsverlauf an.

http://www.pc-magazin.de/ratgeber/dateiversionsverlauf-aktivieren-einrichten-windows-7-windows-10-backup-3195659.html

Die billigste Lösung wäre einen USB Platte an deinen vorhandenen Router zu hängen und dorthin die Dateien zu sichern.

auch nicht schlecht, danke!
-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Da wär ich vorsichtig:
Die Daten in der "FileHistory" liegen 1:1 vor, d.h. WichtigeWordDatei.docx wird im FileHistory-Ordner z.B. zu WichtigeWordDatei (2016_07_28 06_27_15 UTC).docx usw.

Der Verschlüsselungstrojaner wird die FileHistory vermutlich genauso verschlüsseln, wenn diese erreichbar (online, nicht schreibgeschützt, ...) ist, fürcht ich!

03.10.2016, 15:48 Uhr - Editiert von rainhard, alte Version: hier

Da könntest du recht haben. Kommt halt drauf welchen man sich einfängt und was der wirklich macht. Ich hatte selber noch nicht das vergnügen

äh nein, da fürchtest du falsch ... die "previous versions" bzw. "Snapshots" sind immer read-only! wären diese modifizierbar, würden sie ja automatisch wieder eine "previous version" auslösen ... da beißt sich ja die Katze in den Schwanz, weil du dann mehrere aktuelle Files von dem selben File und eine gemeinsame History hast ... das kann nicht funktionieren!

-----------------

Ich bin mir nicht sicher, ob wir vom selben Thema reden:
Der Windows10-Dateiversionsverlauf legt einen Ordner "FileHistory" an, der (natürlich) nicht im Quelllaufwerk liegen darf.
In diesem Ordner werden die Dateien 1:1 versioniert gesammelt, wie von mir beschrieben mit den Zeitstempeln im Dateinamen. Diese sind zwar "ReadOnly" (Rechtsklick - Eigenschaften - Attribut "Schreibgeschützt"), das wird aber kein allzugroßes Hindernis für halbwegs ernstzunehmende Verschlüsselungstrojaner sein, befürcht ich weiterhin...

ok, das FileHistory Backup Feature kannte ich noch nicht ... dachte, du meinst "previous versions"

-----------------

Mehr Frage als Antwort:

Mit Backups auf BD-R Medien ist man auch auf der sicheren Seite vor solchen Dreckschweinen, oder?

Mir gehts da nicht um Dinge die dauernd bearbeitet werden, sondern ums Archivieren von Fotos, Musik und ein paar alten Nostalgie-Daten.

Da wären doch BD-Rs super, oder? Nicht veränderbar, sehr viel haltbarer als DVDs...

Ich überlege, ob ich mir zum Sichern weitere Festplatten oder ein BD-RW Laufwerk und ein paar hochwertige Medien zulegen soll. Gesamtdatenmenge unter 500 GB.

ist natür

Mit Backups auf BD-R Medien ist man auch auf der sicheren Seite vor solchen
Dreckschweinen, oder?

das in jedem Fall.

Da wären doch BD-Rs super, oder?

kommt auf die Anzahl der zu archivierenden Daten an.
Wenn du mit 1-3 BD-R auskommst, wieso nicht? Sonst wird es irgendwann zach.
Außerdem brauchst du natürlich das entsprechende Schreibgerät.

-------------------------------------------------------------------
Dieser Moment, wenn ein Gast MEINEN Controller nimmt und sich als Spieler 1 anmelden will.
MEIN Haus, MEIN Controller, ICH BIN Spieler 1.

Danke. Da ich im Moment nichtmal ein DVD-Rom Laufwerk hab, da ich dachte ich brauch es nicht, überlege ich stattdessen gleich ein BD-RW zu kaufen. Ich schau zwar keine Blu Rays aber als Backup-Medium dürften sie ja einen langlebigen Ruf haben. Es geht ums Foto Speichern und archivieren, da reicht es mir einmal einen Bestand anzulegen und einmal im Jahr eine zusätzliche BD zu brennen mit den neuesten Fotos.

Ich hab nur noch nicht ganz kapiert welche BD-Rs zuverlässig sind. Die Millenials (1000 Jahre Haltbarkeit) sind ja anscheinend nicht notwendig. Auch andere anorganische BDs reichen. Es gibt aber anscheinend eine Sorte am Markt die so ungeeignet ist wie DVDs.

Es gibt fuer 1000 Jahre spezifizierte Blurays?

Weil das waer fuer mich doch auch wieder ein Grund drueber nachzudenken. 2009 hab ich auf ein BR-LW verzichtet, weils damals eh so eher zwischen DVD und online=wurscht war, was das Filmschauen angeht.

Schoenen Abend,
j.

Leicht off topic haeng ich mich an: Habt Ihr wer Erfahrungen mit Mikrofilmen? - im privaten Bereich, also vom Volumen her sicher nicht vergleichbar mit einer OeNB o.dgl. - machbar oder vollkommen unrealistisch?

Dabei ging es dann klarerweise nicht um das tausendste Video des lieben Enkels, sondern um wichtige (Text)Dokumente oder auch wirklich wichtige Texte im Umfang von 1000-10000 Seiten. edit: dzt. gesamt mein ich, nicht monatlich hinzukommend!

Danke,
j.

10.10.2016, 02:36 Uhr - Editiert von Psychopath, alte Version: hier

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung