Aktivieren der Sicherung, um sie zu verschlüsseln, mit NAKIVO: Eine umfassende Anleitung
& &><>
&><>> <>> Die Sicherung verschlüsseln ist der Prozess der Umwandlung von Backup-Daten aus einem lesbaren Format in ein sicheres Format, das ohne einen speziellen Entschlüsselungscode oder ein Passwort nicht lesbar ist. Dadurch wird sichergestellt, dass selbst wenn unbefugte Personen auf die Backup-Daten zugreifen, diese ohne die entsprechenden Anmeldeinformationen, die nur autorisierten Benutzern zur Verfügung stehen, nicht gelesen, verwendet oder offengelegt werden können. Die Sicherung verschlüsseln ist eine wichtige Maßnahme zur Sicherheit, um sensible Informationen während der Speicherung und Übertragung vor Diebstahl, Verlust oder Offenlegung zu schützen. Ein Beispiel für Verschlüsselung ist die Umwandlung von für jedermann lesbarem Klartext in verschlüsselte Daten (in diesem Fall Chiffretext), die ohne Chiffre auf normale Weise nicht lesbar sind. Durch die Umwandlung der Originaldaten mit einem geheimen Code wird die wahre Bedeutung dieser Daten verfälscht und ist ohne Entschlüsselung nicht mehr verständlich. Die Verschlüsselung der Backups ist wichtig, um Datendiebstahl und Verstöße durch unbefugte Dritte zu verhindern. Cyberkriminelle können Ihre Daten stehlen und diese Daten an Wettbewerber verkaufen oder die gestohlenen Daten im Internet veröffentlichen, um Ihrem Unternehmen weiteren Schaden zuzufügen. Dies kann zu erheblichen Reputations- und finanziellen Verlusten führen. Moderne Viren, Spyware und Ransomware sind beliebte Werkzeuge, die von Kriminellen verwendet werden, um ihre bösen Absichten umzusetzen, und ihre Angriffe werden immer raffinierter und häufiger. Neben der Datensicherheit zum Schutz vor unbefugtem Zugriff gibt es noch weitere Gründe, warum die Sicherung verschlüsseln wichtig ist. Dazu gehören: Backups dienen dem Schutz von Daten, indem mindestens eine zusätzliche Kopie der Originaldaten erstellt wird, um bei Bedarf eine schnelle Wiederherstellung zu ermöglichen. Wenn also die Originalkopie der Daten durch Ransomware beschädigt oder gelöscht wird, können Sie die Daten aus einem Backup wiederherstellen. Angreifer kennen diese Strategie und versuchen, auf Datenbackups zuzugreifen, um auch diese zu zerstören und eine Datenwiederherstellung unmöglich zu machen. Bevor sie Backups beschädigen oder zerstören, können Cyberangreifer Backups auf ihre Server kopieren, um Ihre Daten aus gestohlenen Backups zu extrahieren. Wenn Backups als verschlüsselte Dateien gespeichert sind, schützt dieser Ansatz diese Dateien nicht vor Beschädigung oder Löschung durch Ransomware. Ransomware verwendet in der Regel starke Verschlüsselungsalgorithmen, um Daten zu verschlüsseln und sie dadurch unlesbar oder, mit anderen Worten, beschädigt zu machen. Ransomware kann zuvor von Ihnen oder Ihrer Backup-Anwendung verschlüsselte Backup-Dateien erneut verschlüsseln, um sie für Sie nicht zugänglich zu machen. Wenn Ransomware Ihre verschlüsselten Backup-Dateien an die Initiatoren des Angriffs sendet, können die Angreifer jedoch nicht auf Ihre Daten zugreifen, wenn starke Verschlüsselungsalgorithmen verwendet werden und Schlüssel, Passwörter und Anmeldeinformationen an einem sicheren Ort gespeichert sind. Angreifer verlangen gerne Lösegeld dafür, dass sie die gestohlenen Daten nicht veröffentlichen. Wenn Sie jedoch Ihre Backups verschlüsseln und die Backups für Angreifer nicht zugänglich sind, sind die gestohlenen verschlüsselten Backup-Daten für sie nutzlos. Verschlüsselte Backups sind widerstandsfähiger gegen Manipulationen. Hardwareverschlüsselung kann in einigen Fällen bei Ransomware-Angriffen effektiver sein, aber dieser Ansatz hat auch seine Nachteile. Für die Hardware-Verschlüsselung können Hardware-Sicherheitsmodule (HSMs) verwendet werden. Dabei kann es sich um eine PCIe-Karte handeln, und die Verschlüsselungsschlüssel können auf einem speziellen USB-Gerät (optisch ähnlich einem USB-Stick) gespeichert werden. Smartcards oder HASP-Schlüssel sind weitere Beispiele für die Speicherung von Hardware-Schlüsseln zur Verschlüsselung und Entschlüsselung. Es ist schwieriger, Schlüssel aus solchen Geräten zu extrahieren. In diesem Fall müssen die entsprechenden Treiber auf einem Computer installiert sein. Verwenden Sie Air-Gapped-Speicher, um Ihre Backups vor Ransomware zu schützen. Dieser Speichertyp verhindert die Veränderung von Daten durch Ransomware. Ransomware kann keine Daten aus einem Air-Gapped-Speicher kopieren, der physisch von einem Computer und Netzwerk getrennt ist. Verwenden Sie Unveränderlichen Speicher oder Speicher mit Backup-Unveränderlichkeit, dessen Zweck dem eines Air-Gapped-Speichers zum Schutz von Backups ähnelt. Backups können während des Schreibvorgangs auf das Zielspeichermedium verschlüsselt werden. Da gesicherte Daten in der Regel über das Netzwerk übertragen werden, bevor sie auf das Zielspeichermedium geschrieben werden, ist es wichtig, den Netzwerkverkehr mit diesen Daten zu verschlüsseln. Böswillige Akteure können einen Traffic Sniffer verwenden, um den Netzwerkverkehr abzufangen (zu erfassen) und auf diese Weise auf Sicherungsdaten zuzugreifen. Die Verschlüsselung von Daten während der Übertragung verringert das Risiko eines solchen Vorfalls. Die Verschlüsselung während der Übertragung erfolgt zwischen der Datenquelle und dem Zielspeicher für die Sicherung. Bei der Verschlüsselung im Ruhezustand werden Sicherungsdaten auf Sicherungsspeichern wie einem Backup-Repository auf Festplatten, Bandkassetten, in der Cloud usw. verschlüsselt. Während die Verschlüsselung von gesicherten Daten während der Übertragung diese Daten schützt, wenn Hacker auf ein Netzwerk zugreifen, schützt die Verschlüsselung von Backups im Ruhezustand diese Daten, wenn Hacker auf den Backup-Speicher zugreifen. Sowohl die Verschlüsselung während der Übertragung als auch die Verschlüsselung im Ruhezustand können zusammen für die Sicherung und zur Erhöhung der Sicherheit verwendet werden. Zur Implementierung der Datenverschlüsselung werden komplexe mathematische Algorithmen und Verschlüsselungs-/Entschlüsselungsschlüssel verwendet. Zur Vereinfachung kann Software ein Passwort oder eine Passphrase in einen Verschlüsselungsschlüssel mit der entsprechenden Länge umwandeln. Dieser Ansatz ermöglicht es Benutzern, sich ihre Passwörter zu merken, was einfacher ist, als sich lange Verschlüsselungsschlüssel zu merken. Die Effizienz der Verschlüsselung für Backups hängt, ähnlich wie bei anderen Daten, vom Verschlüsselungsalgorithmus ab. Es gibt symmetrische und asymmetrische Verschlüsselungsalgorithmen. Bei symmetrischen Algorithmen wird ein Schlüssel zum Ver- und Entschlüsseln von Daten verwendet. Bei asymmetrischen Algorithmen wird ein Schlüsselpaar verwendet: ein öffentlicher Schlüssel zur Verschlüsselung von Daten und ein privater Schlüssel zur Entschlüsselung von Daten. Beispiele für beide sind: Der Advanced Encryption Standard (AES) ist aufgrund seines hohen Niveaus an Sicherheit einer der derzeit am häufigsten verwendeten Verschlüsselungsalgorithmen. Die Schlüssellänge ist wichtig und bestimmt, wie lange die verschlüsselten Daten als sicher und geschützt gelten können. Ein 128-Bit-Schlüssel sollte ausreichen, um Daten bis zu drei Jahre lang zu schützen. Länger unterstützte Schlüssel sind 192-Bit- und 256-Bit-Schlüssel. AES-256 gewährleistet mit einer Schlüssellänge von 256 Bit ein Höchstmaß an Sicherheit. Es würde Tausende von Jahren dauern, einen AES-256-Entschlüsselungsschlüssel mit Brute-Force-Methoden zu knacken (unter Berücksichtigung der maximalen Leistung moderner Computer). Die US-Regierung verwendet AES seit 2003 zum Schutz von Daten. Dieser kryptografische Algorithmus wurde von Kryptografie-Experten gründlich getestet und zugelassen. Netzwerktransaktionen, die Secure Sockets Layer/Transport Layer Security (SSL/TLS) verwenden, werden während der Übertragung verschlüsselt. Das bekannteste Beispiel ist das HTTPS-Protokoll. Für eine starke Verschlüsselung sollte TLS 1.1 oder höher verwendet werden. Längere kryptografische Schlüssel gewährleisten ein höheres Maß an Sicherheit, erfordern jedoch mehr CPU-Ressourcen für die Datenverschlüsselung. Außerdem dauert es länger, Daten aus verschlüsselten Backups wiederherzustellen. Bei der Datenverschlüsselung während der Übertragung über das Netzwerk ist die Übertragungsgeschwindigkeit für Nutzdaten mit einem längeren Verschlüsselungsschlüssel ebenfalls geringer. Dies liegt an: Verschlüsselungsalgorithmen können anhand des Eingabetyps in Stromverschlüsselung und Blockverschlüsselung für symmetrische Algorithmen klassifiziert werden. Bei der Stromverschlüsselung wird jeweils ein Block verschlüsselt. Blockverschlüsselungen sind eine Art symmetrischer Verschlüsselungsalgorithmus, der: Eine Hash-Funktion ist eine irreversible Funktion, die eine Textzeichenfolge oder einen anderen Datensatz in einen Hash umwandeln kann. Der berechnete Hash kann dann verwendet werden, um die Datenintegrität (Dateien) und Authentizität (Passwort-Hashes) zu überprüfen oder eindeutige Identifikatoren (Fingerabdrücke) generieren. Beispiele für Hash-Funktionen sind SHA-256 und MD5. Verschlüsselte Backups erhöhen die Komplexität und den Aufwand eines Backup-Subsystems. Ein verlorener Schlüssel oder ein vergessenes Passwort kann zu ernsthaften Problemen führen, da es unmöglich ist, Daten aus einem verschlüsselten Backup wiederherzustellen. Wenn Dritte oder Angreifer Zugriff auf die Verschlüsselungsschlüssel erhalten, kann es zu Datendiebstahl und Datenverlust kommen. Aus diesen Gründen sollten Unternehmen eine zuverlässige Strategie zur Speicherung von Verschlüsselungsschlüsseln für verschlüsselte Backups und zum Verwalten dieser Schlüssel, Schlüsselrotationsschemata und Sicherheitsrichtlinien anwenden, um Schlüssel nur für autorisierte Benutzer bereitzustellen. Es gibt auch Risiken im Zusammenhang mit der Verschlüsselung von Bandkassetten mit Backups. Die Bandstandards LTO-4 bis LTO-7 unterstützen die AES-256-Verschlüsselung von Bandmedien. Ein symmetrischer Ver-/Entschlüsselungsschlüssel wird auf einem Bandlaufwerk gespeichert, wenn dieses Laufwerk Daten auf das Band schreibt, jedoch nicht länger als das. Aus Sicherheitsgründen werden diese Schlüssel nicht auf das Band geschrieben. Wenn eine Katastrophe das Rechenzentrum beschädigt und die Backup-Server zerstört werden, kann es zu Problemen bei der Datenwiederherstellung kommen, da die Schlüssel der Entschlüsselung ebenfalls zerstört werden. Um die Risiken zu verringern, wird empfohlen, regelmäßig Backup-Tests durchzuführen, um sicherzustellen, dass Daten aus verschlüsselten Backups in verschiedenen Szenarien wiederhergestellt werden können. Bei Verwendung von Verschlüsselung auf Festplattenebene oder vollständiger Festplattenverschlüsselung ist im Falle eines Festplattenausfalls eine Datenwiederherstellung im Labor möglicherweise nicht möglich. Backupkopien tragen dazu bei, das Risiko der Speicherung von Backups auf einer verschlüsselten HDD oder SSD zu verringern. Die Verwendung eines einzigen Schlüssels für die Verschlüsselung aller Daten birgt ein Risiko. Wenn ein Angreifer diesen Schlüssel in die Hände bekommt, kann er alle Daten entschlüsseln und darauf zugreifen. Für hohe Sicherheitsstandards wird empfohlen, dass Unternehmen mehrere Verschlüsselungsschlüssel für verschiedene Datensätze verwenden. Diese Schlüssel sollten an einem sicheren Ort aufbewahrt werden, zu dem nur autorisierte Benutzer mit entsprechenden Berechtigungen Zugang haben. Administratoren müssen die Schlüssel schützen und sicherstellen, dass sie im Katastrophenfall verfügbar sind. Um den Prozess der Schlüsselverwaltung während des gesamten Lebenszyklus von Verschlüsselungs-/Entschlüsselungsschlüsseln zu verbessern und die Schlüssel vor Verlust und Weitergabe zu schützen, kann ein Schlüsselverwaltungssystem (KMS) implementiert werden. Mit dem KMS kann gesteuert werden, wer auf Schlüssel zugreifen kann und wie Schlüssel zugewiesen und rotiert werden. Einer der Schlüsselverwaltungsstandards ist das Key Management Interoperability Protocol (KMIP). Schlüssel-Tresore können zur Speicherung und Verwaltung von Verschlüsselungsschlüsseln verwendet werden. NAKIVO Backup & Replikation ist eine Lösung für Datensicherheit, die verschlüsselte Backups unterstützt und gesicherte Daten mit den folgenden Ansätzen verschlüsseln kann: Die NAKIVO-Lösung verwendet eine starke AES-256-Verschlüsselung, die weltweit als Industriestandard für die Verschlüsselung von Daten gilt. Die Sicherung der Backups an der Quelle startet mit Version 11.0. Der Vorteil dieser Funktion besteht darin, dass die gesicherten Daten zunächst an der Quelle verschlüsselt und dann in verschlüsselter Form in ein Backup-Repository übertragen und dort gespeichert werden. Dieser Ansatz vereinfacht die Konfiguration und die Backup-Prozesse und kann auch für Backups in der Cloud verwendet werden. Anforderungen für die Verschlüsselung an der Quelle In Version 11.0 von NAKIVO Backup & Replikation & wurde eine neue Option eingeführt, mit der Sie die Sicherung verschlüsseln können, indem Sie die Einstellungen für den Backupauftrag konfigurieren. Die Daten werden an der Quelle verschlüsselt und bleiben über das Netzwerk und im Speicher im Backup-Repository verschlüsselt. Unterstützte Backup-Zieltypen: Unterstützte Backup-Repository-Typen: Inkrementell mit vollständiger Sicherung Anforderungen für die Netzwerkverschlüsselung Für die Konfiguration der Netzwerkverschlüsselung sind für die Versionen 10.11.2 und älter zwei Transporter erforderlich. Ein Transporter ist eine Kernkomponente von NAKIVO Backup & Replication, die für die Datenverarbeitung, -übertragung, -verschlüsselung, -komprimierung usw. zuständig ist. Die Verschlüsselung für die Datenübertragung über das Netzwerk erfolgt zwischen den beiden Transportern: Der Transporter auf der Quellseite komprimiert und verschlüsselt die Daten, bevor er sie an den Zieltransporter sendet, und der Zieltransporter entschlüsselt die Daten und schreibt sie in ein Backup-Repository. Anforderungen für die Verschlüsselung des Backup-Repositorys Die Backup-Verschlüsselung im Speicher am Zielort ist verfügbar unter Backup-Repository bei der Erstellung eines Backup-Repositorys in NAKIVO Backup & Replikation & Replication. Die Verschlüsselung von Backup-Repositorys wird für die inkrementellen mit vollständiger und für immer inkrementellen Backup-Repository-Typen unter Linux unterstützt. Sehen wir uns an, wie Sie verschiedene Arten der Sicherung verschlüsseln in der NAKIVO-Lösung für Datensicherheit aktivieren können. In NAKIVO Backup & Replikation v11.0 können Sie die Sicherung verschlüsseln an der Quelle für sichere Datenübertragungen und -speicherung festlegen. Sie können diese Optionen im Schritt „ <“ des Assistenten für Sicherungs- oder Backupkopie-Aufträge konfigurieren. Um die Quellseitige Backup-Verschlüsselung auf Ebene des Backupauftrags in v11.0 zu aktivieren, gehen Sie wie folgt vor:
Geben Sie eine Beschreibung für dieses Passwort ein. Der in der Beschreibung eingegebene Name wird in der Liste der Passwörter angezeigt, die Sie später für verschiedene Backupaufträge auswählen können. Wir verwenden Hyper-V-Backup als Namen für das Passwort. Wenn Sie AWS KMS nicht verwenden, wird folgende Meldung angezeigt: Der Key Management Service ist deaktiviert. Siehe Registerkarte „Verschlüsselung“. Wenn Sie AWS KMS konfiguriert und aktiviert haben, wird diese Warnung nicht angezeigt. Beachten Sie, dass Sie, um KMS für die Verwaltung Ihrer Passwörter zu konfigurieren, zunächst Ihr AWS-Konto zum NAKIVO Backup & Replikation-Inventar hinzufügen müssen. Klicken Sie auf Weiter. Alternativ können Sie ein vorhandenes Passwort auswählen. Sie können den AWS Key Management Service verwenden, um sicherzustellen, dass Sie die für Backups festgelegten Passwörter zur Verschlüsselung nicht verlieren. Um AWS KMS zu verwenden, gehen Sie in der Weboberfläche von NAKIVO Backup & Replikation & Replication zu Einstellungen > Allgemein > Systemeinstellungen, wählen Sie die Registerkarte Verschlüsselung und aktivieren Sie das Kontrollkästchen AWS Key Management Service verwenden . Beachten Sie, dass Sie das AWS-Konto zuerst zum NAKIVO Backup & Replikation & Inventar hinzufügen müssen, um AWS KMS zu aktivieren. Wir können die Sicherheit verbessern und die Verschlüsselung für Backup-Daten konfigurieren, während diese über das Netzwerk übertragen werden. Eine der wichtigsten Voraussetzungen für Versionen vor v10.11, damit diese Funktion funktioniert, ist, dass zwei Transporter auf verschiedenen Rechnern installiert sein müssen. Wir können einen Hyper-V-Host zum Inventar hinzufügen und eine virtuelle Hyper-V-Maschine unter Verwendung der Netzwerkverschlüsselung in einem verschlüsselten Backup-Speicher sichern. Wenn wir einen Hyper-V-Host von der Weboberfläche der NAKIVO-Lösung zum NAKIVO-Inventar hinzufügen, wird ein Transporter auf dem Hyper-V-Host installiert. Diese Konfiguration ist in der folgenden Abbildung dargestellt. Jetzt können wir in den Auftragsoptionen der Backupaufträge die Netzwerkverschlüsselung für die Übertragung von Backups über das Netzwerk konfigurieren. Geben Sie einen Anzeigenamen für den Auftrag und andere Parameter ein. Wählen Sie in der Dropdown-Liste „ <“ (Netzwerkverschlüsselung) >„Network Encryption“ (Netzwerkverschlüsselung) „Enabled“ (Aktiviert)„ <“ (Verschlüsselte Netzwerkverbindung verwenden) >. Dieser Parameter ist aktiv, da zwei Transporter für die Übertragung von Daten zum Backup zwischen Rechnern verwendet werden. Wir können auch einen Transporter auf dem Remote-Rechner bereitstellen, der sich an einem lokalen Standort befinden kann, um die Anzahl der zu sichernden Workloads zu erhöhen. Ein Transporter kann auf einem Remote-Rechner an einem Remote-Standort bereitgestellt werden, um Backups und Backupkopien zu speichern und die 3-2-1-Sicherungsregel. In diesem Fall können die über das Netzwerk übertragenen Backup-Daten verschlüsselt und vor Verstößen geschützt werden, selbst wenn Sie keine verschlüsselte VPN-Verbindung verwenden können. Sie können die Sicherung verschlüsseln und für das gesamte Backup-Repository konfigurieren, wenn Sie ein Backup-Repository erstellen. Diese Funktion ist in NAKIVO Backup & Replication seit Version 5.7 verfügbar. Wenn Sie zuvor ein Backup-Repository ohne Verschlüsselung erstellt haben, müssen Sie ein neues Repository erstellen, um die Verschlüsselung auf Repository-Ebene zu aktivieren. Der Integrierter Transporter ist standardmäßig installiert. Erstellen wir ein Backup-Repository und konzentrieren uns auf die Aktivierung der Sicherung, um die Daten zu verschlüsseln. HINWEIS: Durch die Aktivierung der Sicherung, um die Daten zu verschlüsseln, wird die Unveränderbarkeitsfunktion für Backups, die in diesem Repository gespeichert sind, deaktiviert. Diese Funktion ist nur für Backup-Repositorys auf Linux-basierten Rechnern verfügbar. Die Einstellungen für die Verschlüsselung des gesamten Backup-Repositorys werden im Schritt „ <“ (Optionen für Backup-Repositorys) des Assistenten zum Erstellen eines Backup-Repositorys konfiguriert: > Von nun an werden alle in diesem Backup-Repository gespeicherten Backups verschlüsselt. Die Wiederherstellung von Daten aus verschlüsselten Backups erfolgt ähnlich wie bei unverschlüsselten Backups. Wenn KMS nicht aktiviert ist oder wenn ein Repository an eine neue NAKIVO-Lösungsinstanz angehängt ist, müssen Sie erneut Passwörter eingeben, um die Wiederherstellung zu ermöglichen. Mit anderen Worten: Wenn Sie ein verschlüsseltes Backup-Repository an die Instanz von NAKIVO Backup & Replikation (eine andere Instanz oder eine neu installierte Instanz des Directors) anhängen, müssen Sie das zuvor für dieses Backup-Repository festgelegte Verschlüsselungspasswort eingeben (wenn Sie die Verschlüsselung auf Repository-Ebene aktiviert haben). Wenn KMS beim Verschlüsseln der Backups nach dem Anhängen eines Repositorys an eine neue NAKIVO-Lösungsinstanz aktiviert war, müssen Sie nur KMS erneut aktivieren und den entsprechenden Schlüssel (der zuletzt verwendet wurde) auswählen. In diesem Fall müssen Sie nicht alle Passwörter erneut eingeben.
Was ist die Sicherung verschlüsseln?
Bedeutung der Verschlüsselung von Backups
Verschlüsselte Backups gegen Ransomware
Verschlüsselung im Ruhezustand und während der Übertragung
Verschlüsselungsalgorithmen
Verschlüsselung vs. Hash
Risiken im Zusammenhang mit verschlüsselten Backups
Schlüsselverwaltung
Vorbereitung der Sicherung verschlüsseln in NAKIVO Backup & Replikation & Replication
Systemanforderungen
So aktivieren Sie die Sicherung verschlüsseln
Quellseitige Sicherung (Version 11.0 und höher)
Konfigurieren der Netzwerkverschlüsselung für Backups
Aktivieren der Verschlüsselung für ein Backup-Repository
Wiederherstellung aus verschlüsselten Backups
