Brainstorming: Wie vor Ransomware schützen als 0815 Anwender?

[Metal_Warrior]

Also ich mach das anders, und ich hab auch ein paar ganz spezielle Spezialisten in dieser Beziehung:

Alle Daten werden im Netzwerk abgelegt, auf einem 2 TB Storage. Der Server, der diesen Storage hostet, ist ein Debian Linux, und relativ paranoid abgeschottet.
Zusätzlich wird auf dem Server eine weitere Platte eingehängt mit 12 TB, mit BTRFS formatiert. Dort wird jede Nacht ein Snapshot von der vorherigen Nacht erstellt und mit dem aktuellen Stand überschrieben. Da BTRFS-Snapshots nur Differenzen speichern, sind die neuen Snapshots relativ klein und brauchen kaum zusätzlichen Speicherplatz.
Snapshots, die über 1 Woche alt sind, werden gelöscht, ausgenommen sie sind von einem bestimmten Wochentag, dann werden sie länger vorgehalten, und jeder erste im Monat wird dauerhaft gespeichert.

Gibt es ein Problem mit Ransomware, steigt der Speicherplatzbedarf im Backup sprunghaft an, und die User werden es auch sehr schnell merken. Dann hilft das Backup. Ist halt ein Tag Arbeit weg. Ist bei mir kein Problem. Wo es ein Problem wird, würde ich die Zahl der Snapshots erhöhen bzw. die Zeit dazwischen stark verkürzen, bis auf ca. 10-min-Takt. Durch das Frühwarnsystem wäre ein Verschlüsselungstrojaner, der ins Netzlaufwerk greift, sehr schnell aufgeflogen und der Schaden auf wenige Minuten reduziert.

Frontend absichern ist richtig und wichtig - aber viel mehr noch ist ein Fallback-Plan von Nöten. Dann sind nämlich auch dumme User/ZeroDays ziemlich machtlos.

 

[dexter]

Microsoft hat ein Feature namens "controlled folder access" implementiert, mit dem Anwendungen explizite Erlaubnis brauchen, auch wenn der User das Recht hat die Daten zu bearbeiten. Wundert mich ein wenig, dass das hier im Thread noch nicht vorkam. Hat sich das mal irgendwer detaillierter angesehen?

Klingt interessant, nie gehört.
Aber:
Hat auch diverse Limitierungen. Soweit ich das verstehe ist das eine "Komponente" von Windows Defender.
Verwendet kaum jemand, weil:
- is nich laut genug ... (wenn ich ein Antivir betreibe, dann will ich schon alle 10 Min erinnert werden, dass ich "geschützt" bin, oder ob wer mich gerade mit einem Cookie bedroht)
- is von MS
- ist "Software", also kein System/Dateisystem
- diverse andere

Die Kritikpunkte führen natürlich über kurz oder lang dahin, dass man von MS verlanegen will, dass die das OS-seitig machen. Da kommt man wieder schnell in die Monopolecke.

 

[BurnerR]

Also ich mach das anders, und ich hab auch ein paar ganz spezielle Spezialisten in dieser Beziehung:

Ist eine andere Philosophie zu sagen: Wir haben Backups, also müssen wir die Workstations nicht speziell absichern. Ich finde, so der 08/15 Arbeitsplatz wo quasi nie was neues mit gemacht wird kann man ruhig etwas zusätzliche Sicherheit geben mit dem Hintergrund, dass das ein häufiges Einfallstor ist für malware jeglicher Art.

 

[Metal_Warrior]

@BurnerR: Das schließe ich ja nicht aus. Mein Punkt ist nur: Wer sich zu sehr auf die Clients verlässt, an denen kreative Köpfe sitzen, der vernachlässigt die Situation, in der das Malheur passiert ist. Man kann als Admin nicht jedes Einfallstor zu machen, insbesondere nicht dort, wo andere Menschen aktiv arbeiten, die menschliche Schwächen haben, Fehler machen und Situationen falsch einschätzen. Der NAS-Filer hat diese Probleme nicht.

Ich fahre sozusagen ein Zwei-Zonen-Konzept. Zum Einen wird das Einfallstor abgesichert, allerdings hat das Limitierungen. Browser haben Schwachstellen, Webseiten sind ohne Scripte nicht bedienbar, per Mail kann alles daher kommen und die AntiViren-Software hat hohe Berechtigungen und ist daher auch ein exponiertes Ziel. Es wird irgendwann zum Bruch kommen, die Frage ist nicht ob, sondern wann. Der NAS-Filer hingegen hat ein einziges Einfallstor, das nur durch mich kontrolliert wird. Ja, alle Clients dürfen darauf schreiben, in ihren Bereichen, aber das Backup sieht keiner davon. Damit hab ich maximale Trennung: Anderes Directory, andere Zugriffsrechte, andere Hardware, anderes Betriebssystem. Diese Faktoren alle zu umgehen, ist für Ransomware nahezu unmöglich. Dazu braucht es manuelle Eingriffe, explizite Kenntnis über eine ganze Exploitchain, und ein winziges Zeitfenster. Ransomware ist darauf nicht ausgelegt, sie ist kein APT-Werkzeug, sie ist ein Massen-Exploit. Und Massen-Exploits greifen eine Sache an, die ich nur unzureichend schützen kann (und genau deshalb tun sie es): Die Menschen.

 

[BurnerR]

Ja, es ist absolut richtig und wichtig, dass du das hier erwähnt hast.

Zum Einen wird das Einfallstor abgesichert, allerdings hat das Limitierungen.

Das ist das Thema des Threads.