Synology Management Ports / WORM

[Weingeist 159]

Salut zusammen,

 

Synology NAS sind ja recht weit verbreitet in kleinen Firmen. Ich persönlich habe immer ein etwas zwiespältiges Verhältnis zu den Dingern, nutze sie aber ab und wann als Datengrab oder Backup-Ziel.

 

Dennoch würde mich mal folgendes interessieren:

1. Wie sicher ist das OS wenn man das Management-Protokoll nur in einem eigens abgeschotteten Netz betreibt? Unmöglich via anderen Protokollen über andere Ports Konfig-Änderungen vorzunehmen via Bugs etc.?

2. Wie sicher sind die WORM-Volumes bzw. die gelockten Files mit einer fixen retention Time? Keine Chance da was zu löschen ohne Mangement-Zugriff? --> Wirksamer Ransomware-Schutz der Backups?

3. Etwas ganz banales, aber nigends gefunden: Ist eine RAID 1 mit >=3 Mirrors bei einem Scrubbing durchlauf ein Majority System oder wird Scrubbing auch dann ignoriert? (Bei zwei Mirror kann das System ja nicht wissen was korrekt ist)

 

Grüsse und Danke

[cj_berlin 1.329]

vor einer Stunde schrieb Weingeist:

 

1. Wie sicher ist das OS wenn man das Management-Protokoll nur in einem eigens abgeschotteten Netz betreibt? Unmöglich via anderen Protokollen über andere Ports Konfig-Änderungen vorzunehmen via Bugs etc.?

Denk an Log4j - mit Bugs ist immer alles möglich.

 

vor einer Stunde schrieb Weingeist:

 

2. Wie sicher sind die WORM-Volumes bzw. die gelockten Files mit einer fixen retention Time? Keine Chance da was zu löschen ohne Mangement-Zugriff? --> Wirksamer Ransomware-Schutz der Backups?

Ich würde Syno vorsichtig zutrauen, das soweit ordentlich gebaut zu haben, dass selektiver schreibender/löschender Zugriff auf WORM nicht möglich ist. Bei Ransomware spielt der gezielte Zugriff aber keine Rolle, und hier denke ich, dass es durchaus möglich ist, sämtliche Daten auf wiederbeschreibbaren Medien unbenutzbar zu machen. Platte mit ein bisschen Verschlüsselung und Software-Überbau ist eben kein WORM  

bearbeitet 1. November von cj_berlin

[Weingeist 159]

vor 22 Stunden schrieb cj_berlin:

Denk an Log4j - mit Bugs ist immer alles möglich.

Das stimmt wohl. Leider.

 

vor 22 Stunden schrieb cj_berlin:

Ich würde Syno vorsichtig zutrauen, das soweit ordentlich gebaut zu haben, dass selektiver schreibender/löschender Zugriff auf WORM nicht möglich ist. Bei Ransomware spielt der gezielte Zugriff aber keine Rolle, und hier denke ich, dass es durchaus möglich ist, sämtliche Daten auf wiederbeschreibbaren Medien unbenutzbar zu machen. Platte mit ein bisschen Verschlüsselung und Software-Überbau ist eben kein WORM  

Das sind meine Bedenken. Streng genommen ist das ja bei allen Online-Speichersystemen so. Selbst bei Tape-Loadern. Wer kann schon wirklich WO garantieren solange eine Verbindung besteht. Die Frage ist, wie wahrscheinlich das aufgrund der getroffen Massnahmen der Hersteller jeweils ist.

Genau da bin ich im Clinch, wie sehr kann man davon ausgehen, dass sich ein Synology oder QNAP nicht vollständig verschlüsseln lässt, solange nur die Dateizugriffsprotokolle auf einem Port verfügbar sind. Muss-kann-sollte man sich darauf verlassen, dass der Hersteller das sauber trennt/trennen kann und falls nicht, was sollte man sonst tun.

 

Irgendwie fehlt mir immer noch ein KMU-Sicherungskonzept hinter dem ich  uneingeschränkt stehen kann. Sowohl punkto Sicherheit als auch für die praktikable Bedinung. Insbesondere wenn Applikationsdaten gesichert werden, braucht es ja irgend eine Verbindung zwischen Sicherung und produktiven Netz, obwohl man die eigentlich am liebsten vermeiden möchte.

 

Cloud-Backup ist irgendwie nicht wirklich praktikabel. Die Übertragung dauert viel zu lang. Sowohl für das sichern selbst als auch den Recovery-Test. Unabhängig davon, wenn ich mir die letzten Dienstleister-Hacks anschaue, kann man sich darauf irgendwie auch nicht so richtig verlassen. Und wer sagt, dass die nicht gleich mitgelöscht werden.

[NorbertFe 2.061]

vor 6 Minuten schrieb Weingeist:

Selbst bei Tape-Loadern.

Deswegen empfiehlt man ja auch bei Tape-Loadern explizit die regelmässige Auslagerung der entsprechenden Medien. Was im Schrank liegt kann zwar geklaut aber nicht überschrieben werden. ;)

[testperson 1.706]

Hi,

 

"in Richtung WORM" (und Backup Software) evtl. das Veeam Hardened Repository, nachdem es jetzt als ISO bereitgestellt wird?

• Community Preview of Managed Hardened Repository ISO by Veeam | Veeam Community Resource Hub
• Installing from Veeam Hardened Repository ISO - User Guide for VMware vSphere

beim Cloud Backup bin ich recht zufrieden mit dem Terra Cloud Backup von Wortmann. Das initiale Backup braucht natürlich Zeit bzw. kannst du es auch per USB Disk oder FTP bereitstellen. Die Deltas sind sehr zügig oben. Wenn du lokal einen Satellit bereitstellst, ist auch der Restore zügig machbar. Je nach "Notfall" kannst du den DR dann auch in entsprechende VMs / Server in der Terra Cloud machen.

 

(AFAIK wird es auch "bald" passenden S3 Speicher aus der Terra Cloud für bspw. Veeam geben.)

 

Gruß

Jan

[Weingeist 159]

vor 1 Stunde schrieb NorbertFe:

Deswegen empfiehlt man ja auch bei Tape-Loadern explizit die regelmässige Auslagerung der entsprechenden Medien. Was im Schrank liegt kann zwar geklaut aber nicht überschrieben werden. ;)

Yep, das mit dem zuverlässig machen und überprüfen war aber so eine Sache früher.

 

vor 1 Stunde schrieb testperson:

"in Richtung WORM" (und Backup Software) evtl. das Veeam Hardened Repository, nachdem es jetzt als ISO bereitgestellt wird?

Ja, wegen Veeam das eine Linux-Maschine als Rep mit unlöschbaren Files empfohlen hat, kam ich eigentlich mal auf die Idee mit den Synology. In der Theorie machen die ja das gleiche. Die Frage ist, ob die aufgeblasenen Synology der richtige Weg ist wenn man mit Bordmitteln sichert und ob deren Trennung genügend gut ist. Würde da ja eigentlich eher etwas sehr schlankes aber einfach zu verwaltendes bevorzugen. Zumindest wenn ich die Sicherung möglichst mit Bordmitteln oder einer Applikation vornehmen möchte.

 

Für Veeam ist das natürlich schick. Die Konfig ist mit der neuen ISO schon cool. Fragt sich ob man das tatsächlich möchte, wenn man sich mit Linux nicht so richtig auskennt. Die Kiste muss man ja auch aktuell halten, pflegen und unterhalten.