Backups vor Ransomware schützen

Schutz Ihrer Backups vor Ransomware mit unveränderlichem Storage

Moderne Ransomware löscht Ihre Backups, bevor sie die Produktionsumgebung verschlüsselt. Ohne eine saubere Kopie sind die einzigen Optionen, das Lösegeld zu zahlen oder alles von Grund auf neu aufzubauen. OVHcloud Object Storage mit Object Lock macht Backups bis zum Ablauf der Aufbewahrungsfrist unlöschbar, selbst bei kompromittierten Administrator-Anmeldedaten.
Object Storage entdeckenDokumentation lesen
Domainnamen Illustration

Angreifer deaktivieren Backups, bevor sie Daten verschlüsseln

Ransomware-Betreiber machen Ihr Backup-Repository ausfindig, stehlen Anmeldedaten und löschen die Kopien, bevor sie die Payload in der Produktionsumgebung auslösen. Ein Unternehmen, das wiederherstellen kann, hat kaum einen Anreiz zu zahlen. Wenn Sie das aber nicht können, weil Ihre Backups gelöscht wurden, haben Sie praktisch keine Wahl. Ein einziger Account mit Schreibzugriff kann jedes Objekt innerhalb von Minuten löschen, es sei denn, die Speicherebene verweigert diese Anweisung.
[object Object]

Object Lock: Backups, die die Speicherebene nicht löschen kann

WORMS3-kompatibel
Object Lock wird auf der Speicherebene durchgesetzt, nicht innerhalb Ihrer Backup-Software. Jede Lösch- oder Überschreibungsanfrage wird abgelehnt, bis die Aufbewahrungsfrist abläuft, auch bei Anfragen mit gültigen Administrator-Anmeldedaten.

Die Versionierung bewahrt jede frühere Version auf, sodass ein Objekt, das vor dem Inkrafttreten der Sperre geändert wurde, weiterhin über einen sauberen, wiederherstellbaren Verlauf verfügt. Aktivieren Sie beides, wenn Sie den Bucket erstellen.
Object Storage entdeckenDokumentation lesen
Isometrische Illustration von unveränderbarem Cloud-Backup-Speicher mit gesperrten Objekt-Containern, replizierten regionalen Nodes und Sicherheitsschilden, blau und cyanfarben

Das Vier-Schichten-Schutzmodell

Object Lock (WORM)

Verweigert jedes Löschen oder Überschreiben, bis die Aufbewahrungsfrist abläuft, auch bei Verwendung von Admin-Accounts. Wenn der Object Lock einmal eingestellt wurde, kann er nicht mehr rückgängig gemacht werden. Legal Hold fügt eine unbefristete Sperre für einzelne Objekte hinzu.

Versionierung

Bewahrt jede vorherige Version auf, anstatt sie direkt zu ersetzen. Eine Datei, die vor der Sperre geändert wurde, verfügt weiterhin über einen sauberen, wiederherstellbaren Verlauf. Für Object Lock erforderlich.

S3 Async Replication

Automatisierte Kopie in einer separaten Region, unabhängig von den primären Anmeldedaten. Keine manuelle Übertragung. Der gesperrte Zustand folgt jedem Objekt an das Ziel.

Verschlüsselung im Ruhezustand

SSE-C für selbstverwaltete Schlüssel; SSE-OVHcloud Managed Keys für delegierten Lebenszyklus. Verschlüsselte Objekte sind unlesbar, wenn ein Angreifer die Speicherebene erreicht.

Vier Gründe für die Wahl von unveränderlichem Speicher

Die verschiedenen Ebenen arbeiten zusammen, sodass ein kompromittierter Account Ihre Wiederherstellung nicht zerstören kann.
[object Object]
Backups, die einen kompromittierten Admin überstehen
Unveränderliche Backups, Object Lock erzwungen
[object Object]
Isolierte Kopie in einer separaten Region
3-2-1-Backup mit unveränderlichem Objektspeicher
[object Object]
Keine Egress-Gebühren bei der Wiederherstellung
Wiederherstellung nach Ransomware mit kalkulierbaren Kosten
[object Object]
Souveräne EU-Infrastruktur, kein CLOUD Act
Unveränderliche Backups auf souveränem EU-Storage
OVHcloud Object Storage ist Veeam Ready-zertifiziert. HYCU, Cohesity und Veritas NetBackup sind über die S3-API kompatibel. Konfigurieren Sie die Unveränderlichkeit in Ihrem Tool: Object Lock erzwingt die Aufbewahrung auf Speicherebene unabhängig, selbst wenn die Anwendung kompromittiert ist. Für Kubernetes funktionieren sowohl Velero als auch CloudCasa. Für die Integration braucht es eine Endpunktänderung, keine neue Architektur.
Verwenden Sie awscli, Rclone, Restic, Duplicati oder Plakar. Eine lokal getestete Pipeline wechselt mit nur einer Endpunktänderung in die Produktion. Aktivieren Sie Object Lock und die Versionierung bei der Bucket-Erstellung. Die Speicherebene erzwingt dann die Aufbewahrung unabhängig von Ihrem Skript.
Velero und CloudCasa unterstützen beide OVHcloud Object Storage als Backup-Ziel über die S3-API. Persistente Volumes werden mit einer direkt für den Bucket konfigurierten Unveränderlichkeit geschützt. Object Lock erzwingt die Aufbewahrung auf der Speicherebene, unabhängig von der Anwendung. Kompatibel mit dem OVHcloud Managed Kubernetes Service.
OVHcloud Object Storage ist Veeam Ready-zertifiziert. HYCU, Cohesity und Veritas NetBackup sind über die S3-API kompatibel. Konfigurieren Sie die Unveränderlichkeit in Ihrem Tool: Object Lock erzwingt die Aufbewahrung auf Speicherebene unabhängig, selbst wenn die Anwendung kompromittiert ist. Für Kubernetes funktionieren sowohl Velero als auch CloudCasa. Für die Integration braucht es eine Endpunktänderung, keine neue Architektur.

Eine zweite Kopie in einer separaten Region, außerhalb der Reichweite

Anti-Affinität3-2-1-BackupRemote-Backup
Ein Backup, das zusammen mit der Produktionsumgebung gespeichert wird, teilt deren Anmeldedaten und Schadensradius (Blast Radius).

S3 Async Replication speichert automatisch eine Kopie in einer separaten OVHcloud Region, unabhängig von den primären Anmeldedaten. In Kombination mit Object Lock muss ein Angreifer zwei Regionen kompromittieren, um jeden Wiederherstellungspfad zu zerstören. Es ist keine manuelle Übertragung erforderlich.
Object Storage entdecken
[object Object]

Operative Best Practices für einen intakten Wiederherstellungspfad

MFA für jeden Account erzwingen, der eine Aufbewahrungsrichtlinie ändern kann

MFA unterbricht den Schritt der erneuten Verwendung von Anmeldedaten (Credential Replay), auf den Ransomware angewiesen ist. Verlangen Sie MFA für die Speicherkonsole und jeden Account, der eine Aufbewahrungsrichtlinie ändern kann. Speichern Sie Dienst-Anmeldedaten in einem Passwort-Manager. Überwachen Sie Löschversuche: Ein Anstieg abgelehnter Löschungen ist ein frühes Signal für eine Kompromittierung.

Wiederherstellungsübungen durchführen, bevor ein Vorfall Sie dazu zwingt

Testen Sie Ihren Wiederherstellungspfad, bevor ein Vorfall das tut. Planen Sie regelmäßige Wiederherstellungsübungen und dokumentieren Sie die Ergebnisse. Versicherer fragen bei der Verlängerung zunehmend nach diesem Nachweis. Ein ungetestetes Backup ist eine Annahme, keine Garantie.

Verschiedene Speicherklassen, um die Kosten für die langfristige Aufbewahrung zu kontrollieren

Lebenszyklusrichtlinien verschieben Objekte von Standard zu Active Archive und dann zu Cold Archive, während Object Lock über alle Ebenen hinweg in Kraft bleibt. Nutzen Sie eine mehrjährige unveränderliche Aufbewahrungsrichtlinie, ohne durchgehend Premium-Preise zu zahlen.

Vier Schritte, um geschützt zu sein

Einen Bucket mit aktiviertem Object Lock erstellen

Object Lock muss beim Erstellen eines Buckets aktiviert werden. Das nachträgliche Hinzufügen ist nicht möglich. Aktivieren Sie gleichzeitig die Versionierung. Legen Sie den standardmäßigen Aufbewahrungszeitraum so fest, dass er Ihren Wiederherstellungszielen entspricht.

Ihr Backup-Tool auf den Endpunkt ausrichten

Veeam, Rclone oder awscli: Eine Änderung des Endpunkts ist alles, was benötigt wird. Die Speicherschicht erzwingt die Aufbewahrung unabhängig.

Regionsübergreifende Replikation aktivieren

S3 Async Replication erstellt automatisch eine Kopie in einer zweiten Region, ohne manuelle Übertragung oder gemeinsame Anmeldedaten zwischen den Regionen.

Wiederherstellungsübung durchführen und dokumentieren

Stellen Sie ein echtes Backup aus dem unveränderlichen Bucket wieder her und protokollieren Sie das Ergebnis. So können Sie den Wiederherstellungspfad validieren und Audit-Anforderungen erfüllen.

Versicherern und Auditoren die Unveränderlichkeit nachweisen

Bei der Verlängerung von Cyberversicherungen wird nun direkt gefragt: Sind Kopien unveränderlich, isoliert und können Sie einen Wiederherstellungstest vorweisen? Wer dies nicht mit Nachweisen beantworten kann, muss mit höheren Prämien oder einer Ablehnung des Versicherungsschutzes rechnen. ISO 27001-Audits und Kundenfragebögen folgen der gleichen Logik. OVHcloud Object Storage läuft auf EU-Infrastruktur mit ISO 27001/27017/27018/27701-Zertifizierung, die nicht dem CLOUD Act unterliegt.
[object Object]
Kostenlos testen und wiederherstellen, bevor Sie sich festlegen
Aktivieren Sie Object Lock, führen Sie einen Backup-Job aus und stellen Sie Ihre Daten wieder her. Die Testversion deckt den Test und den Nachweis ab.
Kostenlosen Test starten