Kontinuierlicher Datenschutz (CDP)

Geplante Backups kopieren Daten in festen Intervallen. Alles, was zwischen zwei Läufen geändert wurde, ist bei einem Ausfall des Primärspeichers einem Datenverlust ausgesetzt. CDP schließt diese Lücke: Ein Agent oder eine Speicherschicht fängt jeden Schreibvorgang ab, ob Dateispeichern, Datenbanktransaktion, Bearbeitung oder Löschung, und protokolliert ihn im Moment des Geschehens in einem getrennten, geschützten Journal oder einer Replik.

Das Ergebnis ist ein fortlaufendes Abbild des Datenzustands. Das System kann daher auf jeden beliebigen Zeitpunkt zurückgesetzt werden, nicht nur auf das letzte geplante Backup. Üblich sind zwei Umsetzungen. CDP auf Blockebene erfasst jeden Schreibvorgang auf Datenträger- oder Volume-Ebene, unabhängig von der Anwendung, die ihn ausgelöst hat. Sie schützt alles auf dem Volume, kennt aber keinen Anwendungszustand. CDP auf Anwendungsebene liest das Transaktionsprotokoll der Datenbank oder Anwendung. Die Wiederherstellung folgt dann der Logik der Anwendung und stellt eine bestimmte Transaktion wieder her, nicht einen rohen Datenträgerzustand.

Jede Änderung durchläuft denselben kurzen Weg. Die Schritte sind für Dateien und Datenbanken gleich; nur das erfasste Objekt unterscheidet sich.

1. 1

   Abfangen

   Agent oder Speicherschicht sieht den Schreibvorgang, sobald er den Datenträger erreicht.

2. 2

   Journal

   Die Änderung wird in ein getrenntes Journal oder eine Replik geschrieben, ohne die Originaldaten zu überschreiben.

3. 3

   Zeitstempel

   Der Journaleintrag erhält einen Zeitstempel, damit die Wiederherstellung einen genauen Zeitpunkt wählen kann.

4. 4

   Zurückspielen

   Bei der Wiederherstellung spielt das System das Journal bis zum gewählten Zeitpunkt ab und hält dort an.

Der praktische Unterschied ist das Wiederherstellungspunkt-Ziel (RPO), also die Datenmenge, die im Störfall gefährdet ist. Ein nächtliches Backup lässt bis zu einen ganzen Arbeitstag ungeschützt. CDP reduziert dieses Risiko auf die letzten Sekunden.

Systeme, die Änderungen alle paar Minuten statt bei jedem Schreibvorgang sichern, werden als „Near-CDP“ vermarktet. Sie sind eine deutliche Verbesserung gegenüber geplanten Backups, doch ihre Wiederherstellungspunkte bleiben diskret. Die Tabelle vergleicht die vier Ansätze:

CDP ist eine Wiederherstellungsmaßnahme, keine Vorbeugung. Sie stoppt einen Vorfall nicht, begrenzt aber die Datenmenge, die er zerstört.

Typische Einsätze sind:

• Wiederherstellung einer gelöschten Datei oder einer versehentlich überschriebenen Datei
• Zurücksetzen nach fehlgeschlagenem Update oder fehlerhafter Konfigurationsänderung
• Wiederherstellung einer Datenbank mit minimalem Transaktionsverlust
• Zurücksetzen auf den Moment vor Beginn der Verschlüsselung durch Ransomware

Jeder Schreibvorgang wird zweimal erfasst, einmal in den Produktivdaten und einmal im Journal. Kontinuierliche Erfassung hat daher reale Kosten. Diese Abwägungen entscheiden, wo CDP sinnvoll eingesetzt wird.

Platzierung des Journals und dessen eigener Schutz werden von Anfang an zu Entwurfsentscheidungen.

Das Journal zeichnet alles auf, was geschah, einschließlich des Schadens. Daten, die schon beim Schreiben falsch waren, bleiben an jedem Wiederherstellungspunkt falsch. CDP kann also keinen logischen Fehler einer Anwendung beheben. Hilfreich ist sie außerdem nur, wenn jemand erkennt, auf welchen Zeitpunkt zurückgesetzt werden soll. Bei schleichender Beschädigung oder einem stillen Eindringen ist genau das die schwierige Aufgabe, und hier zeigt die Dateiintegritätsüberwachung ihren Wert.

Auch das Journal ist sensibel. Es enthält dieselben Daten wie die Produktion und braucht deshalb dieselbe Zugriffskontrolle und Verschlüsselung ruhender Daten. Ist ein Angreifer mit Administratorrechten im Bedrohungsmodell, braucht es außerdem Unveränderbarkeit. Ein Journal, das dieselben Zugangsdaten löschen können, mit denen die Produktion verschlüsselt wurde, schützt nichts.

CDP wird gezielt eingesetzt, bei Systemen, deren tolerierbares Datenverlustfenster in Sekunden gemessen wird: transaktionale Datenbanken, Bestell- und Zahlungssysteme sowie virtuelle Maschinen mit geschäftskritischen Anwendungen. Systeme, deren Inhalt sich selten ändert oder bei denen einige Stunden Verlust hinnehmbar sind, bleiben meist bei Snapshots und geplanten Backups. Der Aufwand kontinuierlicher Erfassung lohnt sich dort nicht für den Gewinn beim Wiederherstellungspunkt.

Beginnen Sie bei den Systemen, für die der Verlust einer Stunde am schmerzhaftesten wäre, und prüfen Sie dann, wie weit ihre Wiederherstellung tatsächlich zurückreicht. CDP ist eine Schicht der Datensicherheit, neben Zugriffskontrolle und Erkennung, und wirkt nur, wenn der Wiederherstellungspunkt getestet wurde.

Weiterlesen: Mechanismen zur Sicherheit von Informationssystemen.