Konzept zur Datensicherheit & Backup

[Alexander Foken]

Moin Moin !

Arbeite z.T. von zu Hause aus für Kunden, Verhaeltnismaessigkeit der Mittel sollte auch bedacht werden, da ich mir kein Sicherheitskonzept für mehrere 1000 Euro leisten kann.

Das hättest Du gleich sagen sollen ;-)

Übrigens kann man für Sicherungskonzepte auch durchaus einige Mio EUR loswerden ...

1. dreistufiger Überspannungsschutz:

Grobschutz am Hausanschluß, mittlerer Schutz in der Verteilung ("Sicherungskasten"), Feinschutz vor dem Computer. Fehlt eines, machen die anderen nicht viel Sinn. Frag den Elektriker deiner Wahl.

Bis lang reichte meines Wissens der Schutz vor dem PC?? Kann aber mal einen Elektriker fragen was da noch Sinn macht, so Kosten-Nutzen-maessig.

Naja, wenn's kracht (elektrisch gesehen), muß bei Dir der Feinschutz *alles* abfangen. Dafür ist der aber nicht wirklich ausgelegt. Den gröbsten "Dreck" soll der Grobschutz abfangen, entsprechend robust ist das Ding auch aufgebaut. Was den Grobschutz passiert, sollte den Feinschutz zumindest nicht mehr gleich einäschern. Der mittlere Schutz schützt vor den Resten des Grobschutzes, und reicht für normale E-Geräte (Glühlampe, Backofen, ...) vollkommen aus. Der Feinschutz ist für den "Furz", der auch daran noch vorbeikommt.

Bei mir: Absolut kein Schutz. Noch nicht.

2. USV: Was machst Du, wenn der Strom ausfällt ?

Dann geht nix mehr :-) Ich mach ne Kerze an und les ein Buch und warte bis es wieder geht. Wir haben zum Haus hin keine oberirdischen Leitungen, also kann da wegen Sturm & Co. mal nix passieren :-) Zur Not könnte ich ja ein Benzingenerator in den Garten stellen???

Was machst Du, wenn der Strom in dem Moment ausfällt, in dem der Computer das veränderte Directory auf das RAID zurückschreibt ? Dann ist zwar Dein RAID in Ordnung, aber nicht das Dateisystem auf dem RAID. Ein Journaling File System (ext3, raiser, jfs, xfs, NTFS???) kann da das Schlimmste vermeiden, ist aber letztlich auch nicht 100% sicher.

Die USV muß natürlich nicht unbedingt den Laser-Drucker mit versorgen, aber PC und Monitor sollten an der USV hängen, damit man wenigstens noch Zeit für einen geordneten Shutdown hat.

Nebenbei filtern USVs auch noch das Netz.

Bei mir: Software-RAID Level 1, ext3-Dateisystem, keine USV (noch nicht).

3. IDS: Kannst Du Angreifer erkennen ?

Naja, im Log wird halt die IP geloggt, aber was heisst schon Angriff? Portscans laufen meines Wissens nicht unbedingt unter Angriff da ja ein E-Donkey-User vor mir mit der IP die ich nach ihm benutze noch Daten angefordert haben könnte und nun der Esel anklopft??? (Laut Beitrag im Usenet de.comp.security.firewall)

Würdest Du dann vollen Schreibzugriff vom Internet auf Dein Dateisystem als Angriff bezeichnen ? Oder einen umkonfigurierten Router, der die SMB-Ports (Windows Sharing) ins Internet freigibt ?

Es geht nicht primär darum, zu erkennen, *wer* Dich angreift, sondern *daß* Du angegriffen wirst. Und das möglichst schnell.

Portscans sind meistens harmlos, können aber auch einen Angriff ankündigen. Gute Portscanner sind mittlerweile aber fast unsichtbar.

4. Virenscanner: Wie viele Scanner laufen, wie werden sie aktualisiert, wie werden sie getestet ?

Ein Virenscanner auf dem Rechner lokal, Norton 2003. Kann es sein das sich 2 unterschiedliche Virenscanner auf einem System nicht akzeptieren? Hatte mal vor ein paar Jahren das Problem mit McAfee und Sophos.

Wäre möglich. F-Prot für DOS läuft auch mit W2K/NTFS problemlos, und beißt sich auch wohl nicht mit anderen Scannern. Es ist immer gut, eine zweite Diagnose zu haben.

Wie testest Du, ob die Scanner funktionieren ? => google EICAR

Wann und wie aktualisierst Du die Scanner ?

5. Plattenausfall: RAID auch auf dem Notsystem ?

Nee, nur der Hauptrechner hat ein Raid, der kleine hat die Daten auf seiner 30GB-Platte mit drauf (2 Partitionen im Wechsel bespielt).

Und wenn die hopps geht ?

6. Ersatzhardware:
   Hast Du identischen Ersatz für kritische Hardware, falls andere Komponenten als die Festplatten ausfallen ? Z.B. RAID-Controller, Mainboard, Netzwerkkarte. Hast Du für andere Hardware (Tastatur, Maus, Monitor) ausreichenden Ersatz (wenn Du mit 1600x1200 arbeitest, wird ein alter 14"-Moni nicht ausreichen) ?

Naja, ich hab eine Kiste voll mit Netzteilen, Netzwerk-, Grafikkarten, Kabel... aber nicht direkt die gleiche Hardware die ich verwende. Wäre IMO auch ueberzogen da ich ja bei jeder Aktualisierung recht hohe Hardwarekosten haette! 19"-Moni, Netzteil etc. kann ich dann von einem Kumpel leihweise haben, der handelt mit dem Zeug.

Dein Windows-Image nützt Dir auf einem neuen Mainboard kaum etwas, es sei denn, das Board benutzt den selben Chipsatz in der selben Revision. Bei mir in der Firma werden Rechner mit Norton Ghost aufgesetzt, und wir haben nicht umsonst für jede Rechner-Serie eigene Images. Es reicht manchmal schon aus, eine PCI-Karte in einen anderen Slot zu stecken, damit das Image nicht mehr sauber läuft.

Linux ist da weniger zickig, so lange man nicht speziell angepaßte Kernel benutzt.

Ob ein anderer RAID-Controller (anderer Chip / andere Firmware) mit Deinen beiden ge-RAID-eden Platten klarkommt, ist natürlich auch fraglich. Und ohne RAID-Controller kommmst Du evtl. gar nicht an die Informationen auf den Platten ran.

Zumindest das Problem löst ein Software-RAID sehr elegant. ;-)

7. Simulation: Hast Du Ausfälle schon einmal durchsimuliert (z.B. Platte im Betrieb ziehen, Netzstecker ziehen) ?

Ja, ist bereits erfolgreich durchgefuehrt worden, nur das Image vom OS hab ich noch nie installiert, da 1. auf der 2ten Platte identisch und 2. das nur eine Zeitersparnis gegenueber Handinstall hat.

9. Räumliche Trennung: Lagerst Du das Backup außerhalb des Gebäudes, z.B. im Bank-Tresor ?

Wegen Brand und so? Naja ich nehm wenn ich uebers WE weggehe die HDs raus und lager die in einem abschliessbaren Schrank. Tresor kann ich mir bisher noch nicht leisten, irgendwann dann mal. Aber wenn die Bude abbrennt ist das Backup noch mein kleinstes Problem ;-)

Hast Du noch in Erinnerung, wie schnell die New Yorker Banken rund ums WTC nach dem 9.11. wieder "online" waren ? Die haben komplette Standby-Rechenzentren rund um NY, voll ausgestattet bis zur Kaffeemaschine.

Wenn Du Wert auf Deine Daten legst, solltest Du vielleicht einmal im Monat oder einmal in der Woche (je nach dem, wie schnell sich die Daten ändern) ein Backup zur Bank bringen.

Bei mir: Backup ? Was ist ein Backup ? ;-) Mir fehlt ein passendes Medium. Es wird wohl auf zwei große IDE-Platten in Wechselrahmen hinauslaufen. Aber meine Daten sind ja auch nicht zum Geld verdienen da, sondern nur als Hobby.

Wie weit willst Du die Verfügbarkeit und Ausfallsicherheit treiben ?

Naja, 100% ausschliessen kann ein Datenverlust nicht mal ein HSP oder eine Bank. Ich denke das es bei allem noch eine gewisse Verhaeltnismaessigkeit geben soll, sprich es sollte auch noch bezahlbar und operabel sein.

Richtig. Aber es schadet auch nichts, wenigstens die wichtigsten Daten unter allen Umständen schnell wieder beschaffen zu können. Ab und zu eine CD-RW, DVD-RW oder ein Streamer-Tape ins Bankschließfach tut bestimmt nicht weh.

Alexander