Write once Medien

[Skysnake]

Hi Leute,

Ich suche für die unveränderliche Speicherung von Logdateien nach sogenannten Write once Medien.

Es geht dabei um echte Write once Medien, die nicht überschrieben/zerstört werden können. Selbst als root User nicht.

Write once filesysteme auf HDD scheiden damit aus, da ich ja einfach ein DD auf das darunter liegende Block device machen kann und dann wars das.

Mir fallen da spontan nur optische Medien ein. Die sind aber schon ziemlich klein und langsam.

Ich würde sagen pro Tag kommen so 10-50GB an Daten zusammen, da auch noch ein paar andere Dinge gesichert werden müssen. Mit einem einzelnen BD Laufwerk kommt man da nicht weit....

Gibt es da eventuell auch Laufwerke mit einem automatischen Wechsler der z.b. 20 disks halten kann damit man z.b. nur einmal die Woche nachlegen muss?

Danke schon mal

 

[prian]

Mir sind hier nur BluRay Medien bekannt, die hätten aber die Größe die für Dich in Frage kommt (bis zu 50GB).

Aber in Wahrheit suchst Du ein Logging Sytem wie z.B. Splunk.
https://www.splunk.com/de_de

Aber ob das im Preisrahmen liegt.

 

[PHuV]

Mir sind hier nur BluRay Medien bekannt, die hätten aber die Größe die für Dich in Frage kommt (bis zu 50GB).

Da bist Du nicht mehr auf dem aktuellen Stand, ich hab hier schon 100 GB Medien liegen.
@Skysnake, ich darf raten, irgend eine behördliche Vorgabe und Langzeitaufbewahrung von Daten?

Ergänzung (15. Januar 2021)

Ich würde sagen pro Tag kommen so 10-50GB an Daten zusammen, da auch noch ein paar andere Dinge gesichert werden müssen. Mit einem einzelnen BD Laufwerk kommt man da nicht weit....

Geht sicher, die Frage ist nur mit dem Aufwand und so.

Gibt es da eventuell auch Laufwerke mit einem automatischen Wechsler der z.b. 20 disks halten kann damit man z.b. nur einmal die Woche nachlegen muss?

Für Tapesysteme gibt es entsprechende Roboter, für optische habe ich noch keine irgendwo gesehen, da gibts nur sowas
https://www.brennroboter.de/

Blöde Frage, hast Du Dich schon mal an ein Systemhaus gewendet? Solche Anwendungsfälle treten doch bestimmt bei einigen auf, wenn das rechtliche Vorgaben sind, die eingehalten werden müssen. Da gibts doch bestimmt schon irgendwo fertige Lösungen dafür.

Mich würde mal interessieren, welche Vorgabe das wäre. Meines Wissens nach muß nur entsprechend sicher archiviert werden, sprich Dateien mit Prüfsumme.

 

[prian]

@PHuV
Ok, da bin ich wirklich nicht mehr auf aktuellem Stand.

Der TE meinte was von "Write Once", somit ist Tape normalerweise nicht im Fokus (lt. Definition).

Splunk war nur ein Vorschlag meinerseits, da wir das im Einsatz haben und dort die Log-Daten von vielen vielen vielen vielen System nach Vorgabe IT-Security Abteilung nicht manipulierbar abzulegen (z.B. das Security Audit Log von diversen SAP Systemen).

Aber das ist wohl eine andere Dimension.

 

[Tornhoof]

Es gibt WORM auch für lto.
https://pro.sony/de_DE/products/it-storage-media/lto

 

[mam97]

Das ist ein umfangreiches Thema und kommt auch auf die Auslegung der Vorgaben an. Einige Lösungen wurden bereits beschrieben, es gibt auch:

• Storage den man als WORM oder Archiv definieren kann (analog LTO)
• Generell sind Archivlösungen für solche Fälle spannend - aber z.T. langsam im schreiben
• Separate Infrastruktur (Storage) welche anderen Betreibern unterstellt ist

Wir haben aktuell sowohl eine Storage WORM Lösung im Einsatz als auch eine etwas spezielle Lösung: Wir schreiben (Service) eine Log-Kopie in "die Cloud". Der Service hat in der Cloud nur "Write" und keine "Change" Berechtigung. Zudem ist der Cloud-Speicher verschlüsselt und in einem Bunker gelegen.. Also was auch geschieht, unsere Logs sind sicher... ;-)
Auch hier gilt: Irgendjemand kann immer was machen. Es wurde z.B. auch eingeführt, das Anpassungen des Services immer einen Alarm auslösen, auch wenn die Wartungsfenster angekündigt sind. Aber man kommt so immer von einem Problem zu x Folgeproblemen...

Change & Delete ist nur durch ein 4-Augen 2FA Log-In möglich, bei dem jemand aus dem Sicherheitsbereich dabei ist.

Aktuell ist bei uns die Debatte jedoch, wie weit hier der Datenschutz uns reinpfuscht.

 

[PHuV]

Splunk war nur ein Vorschlag meinerseits, da wir das im Einsatz haben und dort die Log-Daten von vielen vielen vielen vielen System nach Vorgabe IT-Security Abteilung nicht manipulierbar abzulegen (z.B. das Security Audit Log von diversen SAP Systemen).

Aber das ist wohl eine andere Dimension.

Sieh an, ich kenne seit kurzem Splunk, weil ich damit bei einem Kunden zu tun habe, und wußte gar nicht, daß es sowas kann. Ich dachte, das wäre nur ein anderer Elastic Stack.

 

[Tornhoof]

Ich habe vor >10 Jahren eine Zeitlang für eine Firma gearbeitet die diverse Messsysteme für die Luft/Raumfahrt betrieben hat, da waren die LTO WORM Tapes gerade ziemlich neu auf'm Markt und wurden den Kunden in die Hand gedrückt mit den rohen Messprotokollen. Irgendein Auditor wollte das so.

 

[zazie]

Ich bin mit dem Thema auf der technischen Seite nicht vertraut - bitte also präventiv um Nachsicht -, war aber vor einigen Jahren an Sitzungen dabei, wo das gleiche Thema von Fachleuten diskutiert wurde. Und da meine ich aufgeschnappt zu haben, dass die Datenträger kontrolliert verschlüsselt wurden (mit schriftlichem Protokoll), ein Hashwert des Datenträgers ermittelt und diese Hashwerte separat gesichert wurden (also technisch andere Lösung, physisch getrennter Datenträger und andere Aufbewahrungs-Institution).

 

[Skysnake]

@Skysnake, ich darf raten, irgend eine behördliche Vorgabe und Langzeitaufbewahrung von Daten?

Für Tapesysteme gibt es entsprechende Roboter, für optische habe ich noch keine irgendwo gesehen, da gibts nur sowas
https://www.brennroboter.de/

Danke, genau sowas hatte ich im Kopf aber nicht wirklich gefunden. Könnte zumindest einen Teil der Problemstellung abdecken

Blöde Frage, hast Du Dich schon mal an ein Systemhaus gewendet? Solche Anwendungsfälle treten doch bestimmt bei einigen auf, wenn das rechtliche Vorgaben sind, die eingehalten werden müssen. Da gibts doch bestimmt schon irgendwo fertige Lösungen dafür.

Nein, das wird auch kein Systemhaus so einfach machen bzw wenn sie es machen wegen der möglichen Strafen zu Preisen die wahrscheinlich indiskutabel sind. Vor allem müssen wir stand jetzt ein Konzept erarbeiten noch nicht umsetzen. Wenn das steht und absehbar ist das es realisiert wird dann kann man sich noch immer damit beschäftigen

Mich würde mal interessieren, welche Vorgabe das wäre. Meines Wissens nach muß nur entsprechend sicher archiviert werden, sprich Dateien mit Prüfsumme.

Desaster Recovery After zero day Exploit...

Das muss gehen und soweit möglich soll der zero day auch nachverfolgt werden können. Hier sind also die Logs soweit möglich zu schützen.
Wird aber wohl nicht gehen, da man ja einen Stream an Daten sichern muss und nicht einfach ein Backup von xy.

Wegen zero day sind meiner Meinung nach alle Systeme so zu betrachten als ob der Angreifer root wäre. Er kann also machen was er will... jegliche Softwarelösung scheidet damit aus. Und selbst bei Hardware müsste man sich an sich Gedanken machen ob das Medium unzerstörbar ist.

Ich würde sage. Ja, im Zweifel durch Auslösen eines Brandes/Überspannung. Wird zwar automatisch gelöscht aber das Medium ist hinüber...

Das WORM Medium sollte daher auch nicht zu groß sein weil es sonst Wochen oder Monate im Einsatz wäre..

Irgendwo muss dann einer abwägen wieviel Aufwand/Ärger man bereit ist für mehr Sicherheit zu akzeptieren. Man muss dafür aber eine gewisse Bandbreite abdecken. Die Standardsachen für Backups liegen in der Schublade. Mir geht es aber gerade rein um den Maximalfall. Also wieviel Schutz kann ich bekommen wenn ich irgendwo bei 5-50k bleibe.

Für die Backups wär so ein DVD Roboter wirklich ne interessante Idee. Es gibt nur noch physischen Zugriff nach dem Schreiben, man kann es leicht irgendwo in einen Tresor packen und Kosten wird das wohl auch fast nichts. Ach so und bedrucken kann man es ja auch automatisiert und schnell die neueste Version findet man auch wenn man die einfach auf eine Spindel packt.

 

[xammu]

Wegen zero day sind meiner Meinung nach alle Systeme so zu betrachten als ob der Angreifer root wäre. Er kann also machen was er will... jegliche Softwarelösung scheidet damit aus.

Sie scheiden nicht prinzipiell aus.
Es muss nur ein System sein, was komplett vom restlichen System abgeschottet läuft und dort nur die Logdaten hinein fließen.
Datendiode, ggf in Verbindung mit whitelisting der Daten.
Gesicherter Bereich, möglichst ohne externe Datenanbindungen.

 

[Skysnake]

Wenn Daten aber in das System können, wer garantiert mir dann das nicht auch Code rein kommt und zur Ausführung gebracht wird?

Da verlässt man sich meiner Meinung nach wieder darauf, dass das Target System an sich sicher ist. Aber ist das Valide?

Was passiert bei einem Innentäter der nen USB stick anschließt oder sonst was macht...

Und vor allem, was passiert, wenn man das Backup braucht? Richtig kacke wäre ja wenn das Backup zerstört wird in dem Moment wo man es einspielen will oder halt sieht das man es braucht....

Ich denke an WORM kommt man da nicht vorbei.

Klar auch mit WORM habe ich gegen Innentäter schlechte Karten, aber was im Safe mit 4 Augenprinzp liegt ist schon relativ sicher selbst bei dem Szenario.

Gegen staatliche Attacken kommt man irgendwann auch nicht mehr an. Hat man ja beim Manhatten Projekt etc gesehen. Wenn es wichtig genug ist, dann bist du immer erledigt.

 

[xammu]

Wenn Daten aber in das System können, wer garantiert mir dann das nicht auch Code rein kommt und zur Ausführung gebracht wird?

Dafür ist dann das Whitelistening da.
Darin wird definiert. wie die Daten auszusehen haben, alles andere wird verworfen.
Eine Art Snort IDS für Daten.

Aber du hast da noch einen anderen Denkfehler.
Wenn das System kompromitiert ist, wer garantiert dann das die Daten, welche auf deinem WORM landen noch korrekt und vollständig sind?
Wenn man es genau betrachtet, dann kann man alle Daten verwerfen, wenn festgestellt wurde, dass sowas passiert ist.

Man müsste auch alles aufzeichnen und speichern.
Vielleicht war es ja der Admin per SSH und einem "rm -rf *" im falschen Ordner.

Lücke finden, System neu machen und Backups zurückspielen.

 

[Skysnake]

Genau das ist ja der Plan/Anforderung

Daher sehe ich aktuell auch nicht die Chance das Daten jemals gelöscht werden können. Das muss alles verfügbar bleiben. Mindestens bis zu dem Zeitpunkt wo wir das System wieder abbauen und mitnehmen. Plus x dann halt noch...

Und bei nem WORM Medium kann halt auch der "rm -rf *" admin seine Schuld nicht mehr verschleiern.

Daher ja auch die zwei Teile Backup und syslog/monitoring. Wobei Backup wirklich die allerletzte Bastion sein muss. Da darf es meiner Meinung nach keine Aktion ohne Aufzeichnung auf WORM geben.

Beim Syslog/Monitoring ist ein Backup alle 30min-Stunde wohl noch vertretbar.

Ein Täter wird eher nicht derart schnell unterwegs sein. Und wenn doch dann hat man wohl eh noch ganz andere Probleme...

 

[xammu]

Außer der Admin macht das absichtlich und schaltet vorher das Monitoring aus, das kann man ihm dann zwar nachweisen, aber alles danach nicht mehr

Wenn ich die Quelle abschaltet, dann bleibt das WORM leer. Gut, das kann man auch überwachen und benachrichtigen. Aber dann hat der böse Admin nach dem Abschalten des Monitoring auch die Benachrichtigung gepatcht.

 

[Skysnake]

Ja, wobei wie du schon sagst an sich sollte das Abschalten des loggings noch auf dem WORM landen und damit hat man seinen Täter.

Das wäre erstmal ausreichend. Was man dann in dem Fall macht muss der Kunde entscheiden.

Zur Not alle Server wegschmeißen und auf neuen Servern alles neu machen. Wobei das dann auch schnell prohibitiv teuer wird.

Der Bund hatte das ja mal gemacht und denen ist dann zwischendrin das Geld ausgegangen....

 

[Tornhoof]

Ich glaube du gehst das Problem von der falschen Seite an, nämlich der technischen, du hast ein Risk Management Problem. Du fängst in der mitte des Threads mit 0Days an, ab einem bestimmten Punkt führt das zum Nirvana-Fehlschluss

Also Schaden betrachten (Geld, Image usw.), das eintretende Risiko betrachten, dann mit Versicherung usw. reden was die notwendigen Rücklagen kosten. Das mit unterschiedlichen Modellen durchberechnen und dann dir eine technische Lösung suchen, die das Risiko und die entstehenden Kosten im Rahmen hält.

 

[Skysnake]

Nein ich geh es nicht zu technisch an. Der Kunde hat die Abwägung gemacht und will die Möglichkeit haben bei einem Zeroday exploit einen rollback des Systems zu machen. Also ohne Nutzerdaten. Darum kümmert er sich selbst.

Das ist die Anforderung und für mich ist das ohne WORM nicht realisierbar. Daher auch meine Frage was es denn so gibt. Hat ja auch direkt am Anfang sehr nützliche Links gebracht. Wer hat damit auch viel zu tun? Das macht man meist einmal und dann steht das Ding für die nächsten 10 Jahre da und verrichtet seinen Dienst...

 

[Tornhoof]

Okay, dann hat der Kunde das Risk Management nicht gemacht

Das ist die Anforderung und für mich ist das ohne WORM nicht realisierbar

Ich glaube schon dass du dir da die richtigen Gedanken machst, du hast ja schon genug Punkte aufgeführt die da interessant werden, von komplett abgeschotteten Systemen bis 4+Augenprinzipien für praktisch alles.

Wenn das Risk so hoch ist, dass du solche Mechanismen in Betracht zieht, geht man direkt zu einem der großen Anbieter die sowas oob anbieten und kauft das komplette IT-Sicherheitskonzept dafür ein.

Einfach gesagt, es ist sehr wahrscheinlich dass du mit Kanonen auf Spatzen schießt.

 

[Skysnake]

Doch die Risikoabschätzung wurde gemacht. Und klar kann man zu "einem der Großen" gehen. Blöd wenn das die Konkurrenz ist.

Im Prinzip sind das ähnliche Anforderungen wie bei Banken, Versicherungen etc. Das war bisher nicht in dem Umfang ein Thema, ändert sich aber.

Wie gesagt, wir wissen schon was wir machen. Nur der Schutz gegen ZeroDay ist halt neu und dafür braucht man dann ne Lösung.

Klar kann man da auch die bestehende Lösung weiterverwenden, aber ob die ausreichend ist???

Für neue Lösungen miss man aber erstmal wissen was es denn so gibt und da ist es ziemlich blöd zu XY zu gehen und die 0815 Lösung zu bestellen. Die passt dann nämlich am Ende nicht wirklich zu dem was man braucht....

Ergänzung (15. Januar 2021)

Und btw am Ende wird es halt interessant was die unterschiedlichen Anbieter real machen.

Versprechen kann man ja viel...

Der Kunde muss am Ende der Lösung vertrauen und sie akzeptieren.

Wenn das ne 5k Lösung ist, dann hat der mit der 5K Lösung gewonnen. Wenn das die 50k Lösung ist, dann hat der mit der 50k Lösung gewonnen und wenn es erst die 200k Lösung 3, dann halt der, der die anbietet.

Eventuell ist auch die 200k die Lösung die gewinnen würde, aber keiner bietet sie an....

Verstehst du was ich meine? Ab einem gewissen Punkt ist Good enough ok. Man muss nur besser als die Konkurrenz sein. Und ich gehe stand jetzt nicht davon aus, dass die mit WORM kommt. Obwohl es meiner Meinung nach das ist, was der Kunde spezifiziert hat. Aber Kundenansichten können sich ja ändern je nachdem was es kostet...

Daher ist der Link zu den DVD Brennern mit Magazin schon sehr nett gewesen. Auf die Idee muss man halt erstmal kommen UND es auch noch finden! Ich war mir nämlich nicht sicher ob es das so in der Form gibt ohne unbezahlbar zu sein.