Einfach zu handelnde Backupstrategie für unerfahrenen Nutzer

[bubu9]

Deshalb ja tägliche inkrementelle Backups. Und alle täglich mit Script via FTP auf einen Server schieben ohne alte Backups zu überschreiben. Ich werde genau das morgen in der Firma einrichten. Haha!

 

[s0nny]

Vergiss es wenn Locky zuschlägt verchlüsselt er alles auf jeder Partition, USB Stick, Netzlaufwerken usw. die dir angezeigt werden und die sich im Netzwerk und nicht nur auf deinem Computer befinden.

Ja, aber die externe Festplatte ist dann ja nicht angeschlossen. Die Backups sollen regelmäßig auf der lokalen Platte gemacht werden und die externe Platte soll nur ab und zu angeschlossen werden, um die Backups zu sichern. Klar ist es theoretisch möglich, dass Locky genau dann zuschlägt, aber das ist doch "relativ" unwahrscheinlich und kann in diesem Fall denk ich in kauf genommen werden. Soweit ich weiß verschlüsselt Locky sofort nachdem man sich infiziert hat, wenn man den PC also in dem Moment, in dem man die externe Platte angeschlossen, in ruhe lässt, sollte das Risiko nochmals minimiert sein.
Wie oft die Platte letztendlich angeschlossen wird um die Backups zu sichern, liegt dann natürlich an der jeweiligen Person selbst. Aber ich finde soviel eigeninitiative ist dann doch noch zumutbar.

Und zu den AV Programmen, es gibt von Malewarebytes ein Programm namens "Anti Ransomware", welches sich allerdings noch in der Betaphase befindet. Dieses wird zusätzlich zu bestehenden AV Lösungen installiert, und überwacht, ob ein Prozess innerhalb kürzester Zeit sehr viele Dateien ändert. Habe tests mit TeslaCrypt3 gesehen, wo dieses Programm das verschlüsseln komplett verhindert hat und bei Locky hat es nach ca 20 Dateien interveniert. Wie sehr man sich letztendlich darauf verlassen sollte steht natürlich auf einer anderen Seite aber zusätzlich sicherlich nicht verkehrt.

 

[Ilsan]

Deshalb ja tägliche inkrementelle Backups. Und alle täglich mit Script via FTP auf einen Server schieben ohne alte Backups zu überschreiben. Ich werde genau das morgen in der Firma einrichten. Haha!

Ich weiß nicht wie das genau ist mit ikrementell. Aber das heißt doch dass nur die Veränderungen gespeichert werden, was dann aber wiederum heißt dass ich für Backup2 auch Backup1 brauche um es wiederherzustellen oder nicht?

Soweit ich weiß verschlüsselt Locky sofort nachdem man sich infiziert hat, wenn man den PC also in dem Moment, in dem man die externe Platte angeschlossen, in ruhe lässt, sollte das Risiko nochmals minimiert sein.

Das Locky was es JETZT gibt ja, aber wie gesagt würde mich an solchen Dingen nicht aufhängen die blitzschnell geändert werden können von den Entwicklern. Also man sollte sich darauf nicht verlassen bei einer Backupstrategie denn ändern die Entwickler was, biste dennoch der Gefickte dann wenn du dich eben auf diese eine Eigenschaft verlassen hast

 

[bubu9]

Ich weiß nicht wie das genau ist mit ikrementell. Aber das heißt doch dass nur die Veränderungen gespeichert werden, was dann aber wiederum heißt dass ich für Backup2 auch Backup1 brauche um es wiederherzustellen oder nicht?

Richtig. Aber wenn man den Zeitpunkt der Infektion in etwa einschätzen kann, kann einem das doch egal sein. Man könnte dann dort jeden beliebigen Tag wiederherstellen. Zur Not ausprobieren.

 

[s0nny]

Das Locky was es JETZT gibt ja, aber wie gesagt würde mich an solchen Dingen nicht aufhängen die blitzschnell geändert werden können von den Entwicklern. Also man sollte sich darauf nicht verlassen bei einer Backupstrategie denn ändern die Entwickler was, biste dennoch der Gefickte dann wenn du dich eben auf diese eine Eigenschaft verlassen hast

Ja gut, aber wenn man es so sieht ist es ja unmöglich, 100% geschützt zu sein. Dann müsste ich ja Vollbackups über einen längeren Zeitraum auf verschiedenen Datenträgern bereitstellen was für diesen Anwendungsfall übertrieben wäre.

 

[bubu9]

Ja gut, aber wenn man es so sieht ist es ja unmöglich, 100% geschützt zu sein. Dann müsste ich ja Vollbackups über einen längeren Zeitraum auf verschiedenen Datenträgern bereitstellen was für diesen Anwendungsfall übertrieben wäre.

Verstehe ich nicht. Ein Vollbackup auf einem niemals an den Computer angeschlossenen Datenträgers reicht doch. Gefährdet sind inkrementelle Backups, weil bei Zerstörung auch nur eines inkrementellen Backups das System nicht mehr wiederhergestellt werden kann. Deshalb ja die FTP-Idee, auf die Locky praktisch keinen Zugriff hat. Wenn man keine NAS zur Verfügung hat mit FTP, die das ganze automatisiert, könnte man ja auch per Hand auf verschiedenen USB-Datenträgern differentielle Backups machen. Dann ist es völlig egal, wenn eines der Backups von Locky verschlüsselt wurde.

 

[purzelbär]

und bei Locky hat es nach ca 20 Dateien interveniert. Wie sehr man sich letztendlich darauf verlassen sollte steht natürlich auf einer anderen Seite aber zusätzlich sicherlich nicht verkehrt.

Ich hab in 2 Foren von 2 jeweils verschiedenen aber erfahrenen Usern gelesen das EAM bzw Hitman pro Alert jeweils Locky komplett stopten und dieser nichts verschlüsseln konnte. Ausserdem ist das Tool von Malwarebytes noch Beta, sollte nicht auf einem Produktiv System verwendet werden.

 

[bubu9]

Ich hab in 2 Foren von 2 jeweils verschiedenen aber erfahrenen Usern gelesen das EAM bzw Hitman pro Alert jeweils Locky komplett stopten und dieser nichts verschlüsseln konnte. Ausserdem ist das Tool von Malwarebytes noch Beta, sollte nicht auf einem Produktiv System verwendet werden.

Als Administrator würde ich beides kombinieren. Brauchbaren Schutz und eine gute Backup Strategie. Wer weiß, was noch kommt. Ich bin leider für etwa 1000 Rechner zuständig. Um Mittel für neue kostenpflichtige Software genehmigt zu bekommen dauert es Monate. Trotzdem Danke für den Tipp.

 

[s0nny]

Wenn man keine NAS zur Verfügung hat mit FTP, die das ganze automatisiert, könnte man ja auch per Hand auf verschiedenen USB-Datenträgern differentielle Backups machen. Dann ist es völlig egal, wenn eines der Backups von Locky verschlüsselt wurde.

Klar könnte man das machen, aber das widerspricht der Anforderung, dass es für einen absoluten Laien machbar sein soll. Und auch wenn man jetzt vll sagt, son Backup auf nen Datenträger zu kopieren sollte jeder hinkriegen - NEIN! Hab da schon so einiges gesehen...

 

[bubu9]

Klar könnte man das machen, aber das widerspricht der Anforderung, dass es für einen absoluten Laien machbar sein soll. Und auch wenn man jetzt vll sagt, son Backup auf nen Datenträger zu kopieren sollte jeder hinkriegen - NEIN! Hab da schon so einiges gesehen...

Traurig aber wahr.

 

[purzelbär]

Als Administrator würde ich beides kombinieren. Brauchbaren Schutz und eine gute Backup Strategie. Wer weiß, was noch kommt. Ich bin leider für etwa 1000 Rechner zuständig. Um Mittel für neue kostenpflichtige Software genehmigt zu bekommen dauert es Monate. Trotzdem Danke für den Tipp.

Kann ja wohl nicht sein oder:rolleyesdu bist in deiner Firma zuständig für 1000 Rechner und suchst Hilfe in einem Forum wo überwiegend Heimanwender sind? Dein Chef muss da aktiv werden und bei Bedarf Profis kommen lassen und bezahlen die die Rechner in eurer Firma absichern und für die genannten Schutzlösungen gibt es so weit ich weiß auch Firmenversionen bzw Firmenlizenzen. Wenn dein Chef zu geizig ist in Sachen Schutz vor Locky aktiv zu werden, dann sind wir hier machtlos.

 

[bubu9]

Ich arbeite hauptsächlich für den Staat. Noch Fragen? Hier ist nichts professionell. Bin aber kein Beamter. Deshalb geht mir eine solche Aussage am Arsch vorbei.

 

[purzelbär]

Tut mir leid das ich das schreibeaber dazu fällt mir nur ein pruch ein: "Schlimmer geht immer"Trotzdem: Dein Chef hat sich darum zu kümmern oder will er Russisch Roulette spielen und hoffen das eure Einrichtung oder was auch immer verschont bleibt? ein Klick eines Mitarbeiters von euch der einen Mail Anhang öffnet als Beispiel wird verheerende Folgen haben wenn Locky aktiv wird.

Bin aber kein Beamter. Deshalb geht mir eine solche Aussage am Arsch vorbei.

Welche Aussage?
Kannst ja mal folgendes Morgen deinem Chef zeigen:
http://www.emsisoft.de/de/business/
http://www.surfright.nl/en/shop/business
Zu Hitman Pro sei gesagt: wenn man sich eine Lizenz für Hitman Pro kauft kann mit dieser Lizenz auch Hitman Pro Alert installiert und aktiviert werden. Ich habe aber in einem anderen Forum gelesen das die Lizenzpolitik von Hitman geändert werden soll/überarbeitet werden soll.

 

[bubu9]

Ich gebe mir halt Mühe die mir zugewiesenen Schulen sicher zu halten. Aber ich habe weder eine Ausbildung dafür (bin Programmierer) noch interessiert sich irgendjemand an den Schulen dafür. Bedank Dich bei Merkel.

 

[purzelbär]

Wie ich schon schrieb: du hast Vorgesetzte mit denen du im Gespräch darauf aufmerksam machen musst was für eine Gefahr in dem Fall für die Schulen die du betreust lauert durch Locky und Konsorten. Glaubst du zum Beispiel eine Sekretärin in einer deiner Schulen hat nur ein bisschen Ahnung von PC Sicherheit? vergiss es

 

[bubu9]

Ich bin mir dessen bewusst, danke. Es verbindet mit etwas sentimentales mit dieser Schule. War dort 9 Jahre lang Schüler.

 

[purzelbär]

Ein Grund mehr das du dich mit dem Direktor der Schule zusammen setzt und ihn über die Gefahren von Locky und Co. aufklärst.

 

[bubu9]

Macht keinen Sinn. Die hören nicht mehr auf mich. Werde versuchen die Zusammenarbeit diesen Monat zu beenden.

 

[Ilsan]

Ja gut, aber wenn man es so sieht ist es ja unmöglich, 100% geschützt zu sein. Dann müsste ich ja Vollbackups über einen längeren Zeitraum auf verschiedenen Datenträgern bereitstellen was für diesen Anwendungsfall übertrieben wäre.

Also ich habe bei mir zuhause meine Daten auf dem NAS liegen. Auf den PCs liegen sowieso nur Kopien, oder man hat die Kopie auf dem NAS, wie mans möchte halt und benutzt das NAS als Backup.
Im NAS laufen 2 Festplatten die als Mirror laufen, Dateisystem ist ZFS das bringt sowas schon direkt mit. Ebenso bringt es Snapshots mit, welche in Windows über "Vorherige Version" sichtbar sind.
Diese Snapshots sind Readonly (unabhängig von den Rechten die man auf die Freigabe hat, selbst bei Vollzugiff sind sie nicht löschbar oder veränderbar). Ich mache täglich einen Snapshot.

Diese Snapshots kann nur der Server/NAS löschen, das dieser sich infiziert ist relativ unwarscheinlich, da es für Solaris eh relativ wenig Viren (leider auch Software lol) gibt. Noch dazu installiere ich da im Grunde nur das nackte OS und das Webinterface, also das allernötigste, keine dubiosen Programme weiter. Das NAS stellt nur Netzwerkfreigaben bereit, nicht mehr und nicht weniger.

Ein Trojaner müsste sich also schon per putty beispielsweise auf das System einloggen. Wer noch einen Schritt weitergehen will führt dann administrative Dinge nur am Server selbst durch und niemals von irgendeiner Client Maschine aus.

Für einen Trojaner dürfte es also in dem Fall quasi unmöglich sein groß was zu löschen. Maximal die Arbeit eines Tages, weil ich nur täglich Snapshots machen, was aber letztendlich mit einer Einstellung verändert werden kann.

Vorteil in meinen Augen: Man kann mit den Netzwerkfreigaben ganz normal arbeiten und muss sich weiter keinerlei Gedanken machen.

Bei einem Befall mache ich die Client Maschine platt und mache am Server einen Rollback der Daten/Verzeichnis falls bei der Freigabe auch Daten zerstört worden sind.

Das wichtigste ist einfach dass das Backup Readonly ist von den Rechnern von den man arbeitet aus. Der Vorteil ging ja verloren als man Backups nicht mehr auf CDs/DVDs gebrannt hat sondern auf Festplatten. Auch der Schalter an den Floppy Disks für Readonly war damals gar nicht so dumm, weil es hier einfach physikalischen Eingreif durch den Mensch bedurfte um das ganze zu ändern.

 

[purzelbär]

Ilsan, lese mal im Trojaner Board mit, so wie ich da gelesen habe, sind auch NAS nicht vor Locky sicher und ich meine mich zu erinnern das es dort User mit NAS gab, deren NAS Systeme auch von Locky verschlüsselt wurden. Frag dort wenn du magst einfach mal bei einem User des Kompetenz Teams dort deswegen nach.
Hab da noch etwas gefunden:

Hat der Trojaner zugeschlagen, ist eine gute Sicherungsstrategie Gold wert.
Aber: Nur eine Sicherung auf externe Backup-Medien, welches nicht permanent mit dem Computer verbunden sind, kann als wirksame Schutzmaßnahme gegen Verschlüsselungstrojaner angesehen werden. Eine ständig angeschlossene USB-Festplatte, ein NAS oder ein separater Server kann vom Virus ebenfalls befallen werden, was im schlimmsten Fall den totalen Datenverlust bedeuten kann.

Quelle: http://www.notebook-doktor.de/2016/02/gefaehrlicher-virus-locky-kann-alle-ihre-daten-verschluesseln