So schützen Sie Backups mit dem Backup-Malware-Scan von NAKIVO vor Ransomware

& & & &><> Backups sind zu einem Hauptziel für Ransomware geworden. Hacker wollen sicherstellen, dass Unternehmen das Lösegeld zahlen, indem sie ihnen das Wiederherstellen ihrer Daten unmöglich machen. Mit NAKIVO Backup & Replication erhalten Sie mehrere Funktionen (z. B. unveränderliche Backup-Ziele), die sicherstellen, dass ein einmal erstelltes Backup nicht mit einer neuen Ransomware-Infektion infiziert oder beschädigt werden kann. Wie verhindern Sie jedoch, dass sich eine bestehende Malware-Infektion, die möglicherweise in Ihrer Produktionsumgebung schlummert, von Ihren Backups ausbreitet?

Ransomware kann sehr ausgeklügelt sein und sich nach der Infektion eines Computers in einen Ruhezustand versetzt werden, bevor sie aktiviert wird, um Daten zu zerstören. Wenn ein virtueller oder physischer Computer, der mit Ransomware infiziert ist, der die Verschlüsselung verzögert, gesichert wird, kann die Malware im Backup schlummern. Wenn das infizierte Backup später wiederhergestellt wird, kann die Ransomware möglicherweise wieder aktiv werden und nach einiger Zeit ihren Verschlüsselungsprozess starten. Dieses Szenario kann zu einer erneuten Infektion von Systemen und zur Verschlüsselung neu wiederhergestellter Daten führen, was ein erhebliches Risiko für die Integrität Ihrer Infrastruktur darstellt.

In diesem Beitrag erklären wir zwei Möglichkeiten, wie Sie den Backup-Malware-Scan in NAKIVO Backup & Replikation verwenden können, um sicherzustellen, dass die von Ihnen erstellten Backups sauber und jederzeit für eine erfolgreiche Wiederherstellung bereit sind.

See the Solution in Action

Get a personalized demo of any feature to get started in no time. Our engineers are here to help and answer any questions you may have.

Book a Free Demo

NAKIVO Best Practices für die Ransomware-Wiederherstellung

NAKIVO Backup & Replication hilft Ihnen sicherzustellen, dass Sie über genügend Kopien kritischer Daten an verschiedenen Standorten verfügen, um nach einem Vorfall eine erfolgreiche Wiederherstellung durchführen zu können.

Einige der Best Practices für die Ransomware-Wiederherstellung sind:

• Anwendung der 3-2-1-Backup-Strategie. Erstellen Sie in regelmäßigen Abständen Backups, um sicherzustellen, dass Sie über mindestens drei Kopien Ihrer Daten verfügen. Mindestens zwei Kopien müssen auf zwei verschiedenen Medien gespeichert werden, und mindestens eine Kopie muss außerhalb des Standorts aufbewahrt werden. Eine geeignete Richtlinie für die Aufbewahrung, beispielsweise unter Verwendung des grandfather-father-son , stellt sicher, dass Sie über genügend Wiederherstellungspunkte verfügen, um eine saubere Kopie auszuwählen, falls Ihre Infrastruktur von einem Ransomware-Angriff betroffen ist.
• Unveränderlichkeit. Speichern Sie eine der Backupkopien auf Unveränderlicher Speicher oder einem air-gapped Speicher. Ein unveränderlicher Speicher ermöglicht es Ihnen, ein Backup einmal zu schreiben, ohne dass die Daten danach von Ransomware bearbeitet oder gelöscht werden können. Air-Gapped-Speicher ist ein Speichermedium, das nach dem Schreiben eines Backups physisch getrennt wird, sodass Ransomware keinen physischen Zugriff auf diese Daten erhalten kann. NAKIVO Backup & Replication unterstützt mehrere unveränderliche Ziele.
• Integration von Backup- und Antivirensoftware. Sie sollten Antivirensoftware zur Erkennung von Bedrohungen für physische und virtuelle Maschinen verwenden. Antivirensoftware kann die meisten Arten von Viren erkennen und löschen. Sie sollten auch die Bedrohungserkennung für Backups verwenden, indem Sie Antivirensoftware in Ihre Backup-Lösung integrieren, damit Sie saubere Backups für saubere Wiederherstellungen haben. Sie können Backup-Malware-Scan in NAKIVO Backup & Replikation verwenden, um Antivirensoftware zu integrieren und Backups auf Malware zu scannen.
• Replikation und DR. Verwenden Sie die Replikation, egal ob regulär oder Echtzeit-Replikation, für Failover und vollständige Standortwiederherstellung , falls Ransomware Ihre Infrastruktur lahmlegt und Sie Ihre Maschinen an einem anderen Standort starten müssen.

Schutz Ihrer Backups mit dem Backup-Malware-Scan von NAKIVO

Die Backup-Malware-Scan-Funktion in NAKIVO Backup & Replikation ermöglicht Ihnen die Integration von Antivirensoftware und das Scannen von Backups auf Malware.

So funktioniert der Backup-Malware-Scan von NAKIVO

Die Festplatten der physischen oder virtuellen Maschine werden direkt aus dem Backup als virtuelle Festplatten bereitgestellt. Sie werden dann auf dem ausgewählten Hypervisor-Server gestartet, z. B. einem ESXi-Host, Hyper-V, Nutanix, Linux/Windows-Maschinen und VMware Cloud Director.

Im Falle eines ESXi-Hosts werden die virtuellen Festplatten als iSCSI-Ziele mit einer temporären virtuellen Maschine auf dem ESXi-Host verbunden. Die virtuellen Festplatten der virtuellen Maschinen werden ebenfalls als iSCSI-Ziele mit dem Scan-Server verbunden. Dadurch kann das auf dem Scan-Server ausgeführte Antivirenprogramm Festplatten/Volumes, die als iSCSI-Ziele gemountet sind, ähnlich wie lokale Festplatten scannen.

Damit die Funktion genutzt werden kann, müssen folgende Anforderungen erfüllt sein:

• Der iSCSI-Initiator-Dienst muss auf dem Server scannen ausgeführt werden.
• Ein Agent ist auf dem Server scannen installiert, um ihn mit den erforderlichen NAKIVO Backup & Replikation-Komponenten zu verbinden.

Hinweis: Der Transporter auf dem Rechner mit dem Backup-Repository kann standardmäßig als Server zum Scannen von Backups in diesem Backup-Repository verwendet werden. Sie können diese Standardoption verwenden, wenn auf dem Computer mit einem Backup-Repository ein Antivirenprogramm installiert ist.

Die vollständige Liste der Anforderungen und unterstützten Antiviren Software finden Sie hier.

Die in der Anleitung verwendete Umgebung

Diese Funktion kann direkt nach der Erstellung eines Backups verwendet werden, um später Zeit zu sparen, wenn Sie ein Objekt oder einen Rechner schnell wiederherstellen müssen, oder kurz vor der Wiederherstellung, wenn Sie sicherstellen möchten, dass der Wiederherstellungspunkt frei von Infektionen ist.

Wir bieten die Workflows für beide Szenarien unten unter Verwendung der folgenden Elemente in unserer Umgebung:

• NAKIVO Backup & Replication v.10.11 Virtuelle Appliance: 192.168.101.211
• Ein Server, der Server scannt und Antivirus enthält: Windows 10 x64 (192.168.101.225)
• ESET NOD 32 Antivirus v.16 auf einem Server scannt
• ESXi 7.0: 192.168.101.201
• ESXi 7.0: 192.168.101.202 (beide ESXi-Hosts werden zum Inventar hinzugefügt)
• Eine Windows-VM auf ESXi 7.0
• Eine Windows-VM-Sicherung in einem Backup-Repository von NAKIVO Backup & Replikation & Replication

Ein Backupauftrag ist für die tägliche Ausführung geplant.

Wir haben das Antivirenprogramm mit den Standardeinstellungen in der Testversion installiert.

Hinweis: NAKIVO stellt keine Lizenzen für Antivirensoftware zur Verfügung. Sie sollten einen Testschlüssel verwenden oder die Antivirenlizenz manuell erwerben.

Hinzufügen eines Scan-Servers

NAKIVO Backup & Replication unterstützt Backup-Scans durch Antivirensoftware, die auf einem über das Netzwerk verfügbaren Scan-Server installiert ist:

• Ein Scan-Server kann eine physische oder virtuelle Windows-/Linux-Maschine sein, auf der Antivirensoftware ausgeführt wird. Für den Scan-Server werden Client- und Server-Versionen der Betriebssysteme Linux und Windows unterstützt.
• Ein Server, der Scans ausführt, muss in der Lage sein, eine Netzwerkverbindung mit NAKIVO Backup & Replikation & herzustellen.

Hinweis: Es wird empfohlen, einen unter Linux laufenden Server zum Scannen von Linux-Backups und unter Windows laufende Server zum Scannen von Windows-Backups zu verwenden. Linux-Server können in der Regel Windows-Backups scannen. Grundsätzlich muss das Betriebssystem des Servers jedoch das Dateisystem des gesicherten Computers verstehen können.

Fügen Sie zunächst einen Server zum Inventar in der Weboberfläche der NAKIVO-Lösung hinzu.

Sobald der Server scannt, können Sie Backup-Scans auf Malware konfigurieren.

Backups vor der Wiederherstellung auf Malware scannen

Sie können Malware-Scans in NAKIVO Backup & Replication durchführen, bevor Sie mit der Wiederherstellung der folgenden Arten von Backupaufträgen fortfahren:

• VMware vSphere VM
• Microsoft Hyper-V-VM
• Nutanix AHV VM
• VMware Cloud Director
• Physische Maschine
• Flash-Boot
• Universelles Objekt

In diesem Beispiel verwenden wir einen Flash-VM-Boot-Auftrag für den Malware-Scan vor der Wiederherstellung:

1. Gehen Sie zu Aufträge und wählen Sie den Backupauftrag aus, der Backups der Maschinen enthält, die Sie auf Viren und Malware überprüfen möchten. In unserem Fall ist dies der VMware Windows VM-Backupauftrag.
2. Nachdem Sie den Backupauftrag ausgewählt haben, klicken Sie auf Wiederherstellenund wählen Sie im Menü der Wiederherstellung Flash-Boot für VMware.

   

Der Neue Flash-Boot-Job-Assistent für VMware öffnet:

1. Backups. Wählen Sie Backups aus dem gewünschten Backupauftrag aus, die Sie auf Viren scannen möchten. Sie können mehrere Backups auswählen. Wir wählen Windows-VM, die einzige gesicherte Maschine in unseren Backups. Klicken Sie in jedem Schritt des Assistenten auf „ <“ >„Weiter“ , um fortzufahren.

   

2. Ziel. Wählen Sie aus, wo die temporäre VM mit den aus dem Backup verbundenen virtuellen Festplatten ausgeführt werden soll. Zu den Zieloptionen gehören ein ESXi-Host, ein ESXi-Datenspeicher, ein Virtuelles Netzwerk und ein VM-Ordner (optional). Der ausgewählte ESXi-Host wurde bereits zum NAKIVO-Inventar hinzugefügt.

   

3. Planen. Konfigurieren Sie den Plan oder wählen Sie aus, dass dieser Flash-VM-Boot-Auftrag auf Anfrage ausgeführt werden soll. Da wir ein Backup vor der Wiederherstellung auf Viren scannen möchten, wählen wir aus, dass dieser Auftrag auf Anfrage ausgeführt werden soll.

   

4. Optionen. Konfigurieren Sie die Auftragsoptionen für den Flash-VM-Boot-Auftrag.
   • Geben Sie einen Auftrags-Name ein.
   • Für die Option Malware-Erkennung klicken Sie auf Aktiviert.

   Wählen Sie die Einstellungen für die Malware-Erkennung im angezeigten Popup-Fenster aus:

   • Server scannen: Wählen Sie den Server, der zuvor zum Inventar hinzugefügt wurde.
   • Scan-Typ: Tiefenscan oder Schnellscan. Der Schnellscan dient zum Scannen von Standard-Standorten auf einer Betriebssystem-Festplatte (Partition), die typischerweise von Viren genutzt werden. Der Tiefenscan scannt alle Dateien.
   • Verhalten bei Erkennung von Malware auswählen: Wiederherstellungsauftrag abbrechen oder Fortfahren und Wiederherstellung in isoliertem Netzwerk durchführen.
   • Legen Sie das Zeitlimit für den Scan fest. Wenn die festgelegte Zeit überschritten wird, wird der Auftrag mit dem Status „Fehlgeschlagen” beendet.

   Klicken Sie nach der Konfiguration auf Anwenden , um die Malware-Erkennungseinstellungen für diesen Auftrag anzuwenden.

   Klicken Sie dann auf Fertigstellen & Ausführen , um den Assistenten zu beenden und den Flash-VM-Boot-Auftrag mit dem Malware-Scan auszuführen.

   

5. Wählen Sie den Umfang der Auftragsausführung aus und klicken Sie auf Führen Sie.

   

Jede virtuelle Festplatte der temporären VM, die auf dem ESXi-Host gestartet wurde, wird als iSCSI-Ziel freigegeben und auf dem Scan-Server gemountet.

Warten Sie, bis die temporäre VM auf dem ESXi-Host erstellt wurde und die virtuellen Festplatten gemountet und auf Malware und Viren gescannt wurden.

Im folgenden Screenshot sehen Sie, dass der Flash-VM-Boot-Auftrag ausgeführt wird und zwei Probleme gefunden wurden. Klicken Sie auf den Link 2 Probleme , um die Details des Malware-Scans anzuzeigen.

Wie wir sehen können, erfordern zwei Probleme unsere Aufmerksamkeit. Klicken Sie auf Details ansehen , um weitere Informationen anzuzeigen. Nach dem Malware-Scan der VM-Sicherung hat das Antivirenprogramm zwei Dateien gefunden, die verdächtig sein könnten und vom Antivirenprogramm als Malware eingestuft werden.

Beachten Sie, dass der Flash-VM-Boot-Auftrag nicht automatisch beendet wird. Sie müssen diesen Auftrag nach Abschluss des Malware-Scans und Überprüfung des Antiviren-Scanberichts manuell beenden.

Scannen nach Malware direkt nach dem Backup

Um Malware-Scans nach einem Backupauftrag zu automatisieren, sollten Sie die Lösung Standortwiederherstellung Funktionen:

1. Gehen Sie zu Aufträge in der NAKIVO Backup & Replikation-Weboberfläche, klicken Sie auf + , um einen neuen Auftrag hinzuzufügen, und klicken Sie auf Standortwiederherstellung.

   

2. Der Assistent für neuen Site-Wiederherstellungs-Auftrag wird geöffnet. Klicken Sie im Schritt „ <“ (Aktionen hinzufügen) Aktion zur Abfolge von Aktionen für einen Standortwiederherstellungs-Auftrag hinzufügen.

   

3. Einen auszuführenden Auftrag auswählen. Wählen Sie den Flash-Boot-Auftrag für VMware-Malware-Scan aus, der wie im vorherigen Abschnitt beschrieben erstellt wurde.

   Wählen Sie die Aktionsoptionen aus:

   • Diese Aktion ausführen in: Diese Aktion sowohl im Test- als auch im Produktionsmodus ausführen
   • Warteverhalten: Nächste Aktion sofort starten

   Klicken Sie auf Speichern Sie , um diesen Standortwiederherstellungs-Auftrag zu speichern und mit der Konfiguration weiterer Standortwiederherstellungs-Aufträge fortzufahren.

   

4. Fügen Sie die Warten Sie auf die Aktion „<” (id="391")/ „> ” (id=“392″) als zweite Jobaktion, die unmittelbar nach dem Start des Flash-VM-Boot-Auftrags ausgeführt werden soll.
   <(id="393")/ „><” (id="394")/ „><” (id="395")/ „>
   <” (id="396")/ „>
   <” (id="397")/ „>” (id=“398″) Konfigurieren Sie die Aktion „ <” (id="399")/ „>” (id=“400”)/ „Warten Sie auf die Aktion<” (id="401”)/ „> ”. Legen Sie eine Wartezeit fest, die auf Ihren Erfahrungen in Ihrer Umgebung basiert, wie lange es dauern kann, die Festplatten des aktuell gesicherten Computers zu scannen. In unserem Beispiel sollte 1 Stunde ausreichen. Sie sollten sicherstellen, dass genügend Zeit für den Abschluss des Scans vorhanden ist, wenn der Flash-VM-Boot mit dem Malware-Scan-Auftrag gestoppt wird.

   Aktionen:

   • Diese Aktion ausführen in: Diese Aktion sowohl im Test- als auch im Produktionsmodus ausführen
   • Fehlerbehandlung: Stopp und Fehler beim Auftrag, wenn diese Aktion fehlschlägt

   Hit Speichern und kehren Sie zum Hinzufügen von Aktionen für die Standortwiederherstellung zurück.

   

5. Klicken Sie auf Aufträge stoppen , um die dritte Aktion für den Standortwiederherstellungs-Auftrag hinzuzufügen.

   

6. Konfigurieren Sie die Aufträge stoppen Aktion. Wählen Sie den Flash-Boot-Job für VMware VM-Malware-Scan (den wir zuvor verwendet haben). Nach der festgelegten Zeit für das Scannen eines VM-Backups auf Viren (durch die Aktion „Warten”) ist der Flash-VM-Boot-Job zu stoppen (dieser Job kann nur direkt durch einen Benutzer oder die Aktion „Stopp” der Standortwiederherstellung gestoppt werden).

   Aktionsoptionen:

   • Diese Aktion ausführen in: Diese Aktion sowohl im Test- als auch im Produktionsmodus ausführen
   • Warteverhalten: Warten auf den Abschluss dieser Aktion
   • Fehlerbehandlung: Stopp und Fehler beim Auftrag, wenn diese Aktion fehlschlägt

   Klicken Sie auf Speichern Sie , um diesen Standortwiederherstellungs-Auftrag zu speichern.

   

7. Alle drei erforderlichen Standortwiederherstellungs-Aufträge wurden hinzugefügt. Klicken Sie im Standortwiederherstellungs-Auftragsassistenten auf „ <“ „>“ Weiter „<“ „> “, um fortzufahren. „
   <“ >

8. Da keine Replikations- oder Failover-Aufträge vorhanden sind, können Sie den Schritt zur Netzwerkzuordnung überspringen (Netzwerk). Ebenso können Sie den Schritt Re-IP überspringen.
9. Konfigurieren Sie den Zeitplan zum Testen in Schritt 4 des Assistenten. Verwenden Sie die Auftrag-Chaining Zeitplanoption, um diesen Standortwiederherstellung-Auftrag mit einem Backup-Malware-Scan direkt nach Abschluss des Backups auszuführen. Das bedeutet, dass der neu erstellte Auftrag für die Standortwiederherstellung automatisch gestartet wird, sobald die Sicherung unserer VM abgeschlossen ist. Dadurch wird der Flash-VM-Boot-Job/die Flash-VM-Boot-Aktion mit aktivierter Malware-Scan-Einstellung ausgelöst. Infolgedessen wird der Malware-Scan automatisch gestartet.

   Wählen Sie die folgenden Optionen für Plan Nr. 1 aus:

   • Nach einem anderen Auftrag ausführen: VMware Windows VM-Sicherung
   • Diesen Auftrag ausführen: Sofort.
   • Wählen Sie die Nach erfolgreicher Aktivieren Sie das Kontrollkästchen.

   

10. Geben Sie im Schritt „ <“ (Optionen) >„Optionen“ (Optionen) einen Auftrags-Name ein, z. B. „ <“ (SR-Malware-Scan nach VM-Sicherung)>SR Malware scan after VM backup.

    Legen Sie das Wiederherstellungszeit-Ziel (Wiederherstellungszeit-Ziel, RTO) fest. Dieser RTO-Wert darf nicht unter der Zeit der Warten Aktion (die zweite Aktion in der Liste unserer Standortwiederherstellungs-Auftrag-Aktionen). Da die Wartezeit in diesem Beispiel für das Scannen nach Malware 60 Minuten beträgt, legen wir 65 Minuten als RTO für diesen Standortwiederherstellungs-Auftrag fest. Dies ist erforderlich, um einen Auftragsschaden aufgrund unzureichender Zeit für die Ausführung aller Aktionen des Standortwiederherstellungs-Auftrags zu vermeiden.

    Klicken Sie auf Beenden Sie , um die Einstellungen zu speichern und den Assistenten zu schließen.

    

Jetzt können Sie einen Windows-VM-Backupauftrag starten und sehen, wie die Auftragsautomatisierung funktioniert:

1. Der Windows-VM-Backupauftrag wird gestartet.
2. Unmittelbar nach Abschluss des VM-Backupauftrags wird der Auftrag für die Standortwiederherstellung gestartet. Dieser Auftrag für die Standortwiederherstellung umfasst den Flash-VM-Boot-Auftrag.
3. Der Flash-VM-Boot-Auftrag mit Malware-Scan wird als Teil des Auftrags für die Standortwiederherstellung gestartet.
4. Wenn die für den Malware-Scan festgelegte Stunde abgelaufen ist, werden alle Aufträge gestoppt. Sie können Probleme überprüfen und Antivirenberichte ansehen.

   

In diesem Beispiel haben wir erläutert, wie Sie Malware-Scans mit der NAKIVO-Lösung so konfigurieren, dass sie nach jedem Backup-Job automatisch ausgeführt werden. Sie können Malware-Scans auch vor der Wiederherstellung physischer und virtueller Maschinen aus einem Backup durchführen, wie unten gezeigt.

See the Solution in Action

Get a personalized demo of any feature to get started in no time. Our engineers are here to help and answer any questions you may have.

Book a Free Demo