Wiederherstellung nach einem Ransomware-Angriff auf Pure Storage FlashArray

Zusammenfassung

Pure Storage FlashArray bietet Datenunveränderbarkeit und schnelle Wiederherstellung, damit Sie reibungslos wieder einsatzbereit sind. Mit SafeMode-Snapshots, intelligenten Wiederherstellungspraktiken und dem Pure Support-Team können Sie sicher sein, dass Ihre Daten nicht nur gesichert, sondern auch wirklich wiederherstellbar sind, wenn es darauf ankommt.

Ransomware-Angriffe sind entmutigend, aber Pure Storage^® FlashArray^™ bietet integrierte Tools, die Ihnen einen zuverlässigen Weg zur Wiederherstellung bieten. Dieser Blog beschreibt einen übergeordneten Aktionsplan, der Ihnen bei der Wiederherstellung mithilfe von FlashArray-Funktionen hilft und Sie durch die sofortige Eindämmung, forensische Analyse, Datenwiederherstellung und Validierung nach der Wiederherstellung führt. Durch den Einsatz von FlashArray SafeMode™-Snapshots, Snapshot-Management und Replikationskontrollen (wie z. B. das Pausieren von Replikationen) können Sie die Unveränderlichkeit von Daten und eine zuverlässige Wiederherstellung sicherstellen. Denken Sie während des gesamten Prozesses daran, dass Sie nicht allein sind: Die enge Zusammenarbeit mit Ihrem Incident Response (IR)-Team und dem Pure Support ist entscheidend für eine reibungslose Wiederherstellung.

Sofortmaßnahmen nach einem Ransomware-Angriff

Wenn ein Ransomware-Angriff entdeckt wird, ist es von höchster Bedeutung, schnell zu handeln, um Schäden einzudämmen und wiederherstellbare Daten zu erhalten. FlashArray-Funktionen können Ihnen dabei helfen, dies effektiv zu erreichen. Hier sind die sofortigen Schritte, die zu ergreifen sind:

Isolieren Sie betroffene Systeme: Trennen oder schalten Sie kompromittierte Hosts und Netzwerke aus, um eine weitere Verbreitung zu verhindern. Stoppen Sie alle aktiven I/O sauf den angegriffenen FlashArray-Volumes. Diese Eindämmung schützt sowohl das FlashArray-System als auch die andere Infrastruktur vor zusätzlichen Verschlüsselungsschäden.
Replikation an DR-Standorten pausieren: Wenn Ihr FlashArray-System Daten auf einen sekundären Standort oder eine sekundäre Cloud repliziert, unterbrechen oder unterbrechen Sie diese Replikation sofort. Dadurch wird verhindert, dass verschlüsselte oder beschädigte Daten sich auf ansonsten bereinigte Backup-Kopien ausbreiten. Indem Sie die Replikation stoppen, speichern Sie die zuletzt bekannten guten Snapshots auf dem Ziel, bevor Ransomware sie beeinträchtigen kann.
Nutzen Sie SafeMode-Snapshots: FlashArray SafeMode-Snapshots sind unveränderliche Wiederherstellungspunkte – sie können von keinem Benutzer gelöscht oder geändert werden, selbst nicht von einem Administrator oder Angreifer. Stellen Sie sicher, dass SafeMode aktiviert ist (falls dies nicht bereits der Fall war, wenden Sie sich an den Pure Support, um es für den zukünftigen Schutz zu aktivieren). Ermitteln Sie den neuesten sauberen Snapshot, bevor die Ransomware ausgeführt wird. SafeMode stellt sicher, dass solche Snapshots immer noch intakt sind, und bietet einen garantierten Wiederherstellungspunkt nach einem Angriff. Wenn SafeMode nicht aktiviert war und Sie immer noch Snapshots haben, erstellen Sie schnell einen manuellen Snapshot kritischer Datenträger (und aktivieren Sie dann SafeMode in Zukunft).
Beteiligen Sie sich an der Reaktion auf Vorfälle und dem Pure-Support: Benachrichtigen Sie sofort das Incident Response Team Ihres Unternehmens. Folgen Sie Ihrem internen Ransomware-Antwort-Playbook in Abstimmung mit ihnen. Gleichzeitig wenden Sie sich an den Pure-Support und eröffnen Sie einen kritischen Supportfall. Pure Support verfügt über Erfahrung mit Ransomware-Szenarien und kann Sie bei der Wiederherstellung von SafeMode-Snapshots unterstützen, Schritte validieren und sogar bei allen Anpassungen helfen (z. B. durch die Erweiterung der Snapshot-Aufbewahrung oder die Aktivierung spezieller Wiederherstellungsfunktionen). Die frühzeitige Einbeziehung des Pure Support stellt auch sicher, dass alle SafeMode-Vorgänge (wie das Ermöglichen von Löschungen nach der Wiederherstellung) mit der richtigen Autorisierung durchgeführt werden. Stellen Sie sich SafeMode als ein „Zwei-Schlüssel“-System vor – selbst mit Admin-Anmeldedaten erfordern zerstörerische Änderungen die Zustimmung des Pure Support mit Ihren autorisierten Ansprechpartnern. Diese Zusammenarbeit bietet eine zusätzliche Ebene von Sicherheit und Vertrauen.

Diese sofortigen Maßnahmen werden die Situation stabilisieren. Ihr Hauptziel in dieser Phase besteht darin, die Blutung zu stoppen: die Bedrohung zu begrenzen, Ihre sicheren Kopien (Snapshots/Replikate) zu schützen und Expertenteams einzubinden.

Forensische Analyse und Wiederherstellungsplanung

Mit der unmittelbaren Bedrohung besteht die nächste Phase darin, zu verstehen, was passiert ist, und eine saubere Wiederherstellung zu planen. Die Erkennung von Anomalien in Pure1^® stimmt den zeitlichen Ablauf von Anomalien mit Ihrem Snapshot-Katalog ab und zeigt empfohlene Snapshots an, die dem Auftreten verdächtigen Verhaltens am nächsten kommen (z. B. DRR-Ausfall aus der Verschlüsselung). Dadurch können Sie sich bis zu dem Punkt wiederherstellen, an dem der Angriff beginnt, und so den Datenverlust minimieren. FlashArray-Snapshot- und Protokollierungsfunktionen sind für forensische Untersuchungen von unschätzbarem Wert:

Beweise aufbewahren: Löschen Sie die vom Angreifer erstellten verschlüsselten Datenträger oder Snapshots nicht sofort. Wenn Volumes vom Angreifer „zerstört“ wurden, befinden sie sich immer noch im Müll (Löschwarteschlange) des FlashArray-Systems. Dank SafeMode können diese Volumes und Snapshots vom Angreifer nicht gelöscht werden und bleiben verfügbar. Bewahren Sie diese vorerst in ihrem aktuellen Zustand auf – Ihr IR-Team benötigt sie möglicherweise für Analysen (z. B. um den Ransomware-Stamm zu bestimmen oder zu überprüfen, ob Daten exfiltriert wurden). FlashArray-Auditprotokolle (zugänglich über Pure1 oder das Array) können auch einen Zeitplan für Admin-Aktionen bereitstellen, der helfen kann, zu bestimmen, wann und wie der Angreifer getroffen wurde.
Identifizieren Sie den letzten sauberen Snapshot: Arbeiten Sie mit Ihren Storage- und Sicherheitsteams zusammen, um den neuesten Snapshot zu finden, bevor die Verschlüsselung begann. FlashArray-Snapshots werden oft in regelmäßigen Abständen geplant; bestimmen Sie, welche Snapshots einem Zeitpunkt kurz vor dem Vorfall entsprechen. Da FlashArray-Snapshots unveränderlich und dünn bereitgestellt sind, können Sie sie sicher für Untersuchungen verwenden, ohne die Daten zu gefährden. Sie können beispielsweise einen Klon eines Snapshots auf einem neuen Volume erstellen und ihn einem isolierten forensischen Server präsentieren. Dies ermöglicht es Ihren Vorfallshelfern, die Daten zu überprüfen (und sogar Malware-Scans durchzuführen), um sicherzustellen, dass der Snapshot sauber und ransomwarefrei ist, ohne die ursprünglichen Daten zu berühren oder die Produktion zu unterbrechen. Die platzsparende Natur von Snapshots bedeutet, dass diese Klone nur minimale zusätzliche Kapazität verbrauchen, sodass Sie bei Bedarf mehrere Kopien für die Analyse erstellen können.
Analysieren und planen Sie mit Ihrem IR-Team: Analysieren Sie in Abstimmung mit Ihrem IR-Team, wie die Ransomware eingedrungen ist und welche Systeme betroffen waren. Ermitteln Sie, ob es Hintertüren oder anhaltende Bedrohungen gibt, die vor der Wiederherstellung neutralisiert werden müssen. Dies kann das Scannen der geklonten Snapshot-Daten nach Malware-Signaturen oder Indikatoren für eine Gefährdung umfassen. Es ist wichtig sicherzustellen, dass Sie die Wiederherstellung von einem wirklich sauberen Snapshot aus durchführen. Das IR-Team kann auch beraten, wann eine Wiederherstellung durchgeführt werden muss, z. B. nachdem bestimmte Sicherheitspatches oder Updates auf Server angewendet wurden, um eine Neuinfektion zu vermeiden. Nutzen Sie diese Phase, um den Umfang der Wiederherstellung zu bestimmen: welche Datenträger oder Anwendungen wiederhergestellt werden und in welcher Reihenfolge.

Denken Sie während dieser forensischen Phase daran, dass Ihre Daten auf FlashArray (in Snapshots) sicher und unveränderlich sind. Zu wissen, dass Sie unveränderliche SafeMode-Snapshots in Reserve haben, gibt Ihnen Sicherheit, während Sie und die Experten den Wiederherstellungsplan ausarbeiten. Es ist eine gute Praxis, Ergebnisse (die sauberen Snapshots, die betroffenen Datenträger usw.) zu dokumentieren, wenn Sie die nächsten Schritte planen.

Wiederherstellen von Daten aus SafeMode-Snapshots

Sobald ein klarer Wiederherstellungsplan vorliegt und Sie saubere Snapshot-Punkte identifiziert haben, ist es an der Zeit, Ihre Daten wiederherzustellen und kritische Systeme wieder online zu bringen. FlashArray-All-Flash-Architektur und Snapshot-Technologie machen die Wiederherstellung schnell und zuverlässig:

Das Evergreen//One^™-SLA-Add-on für Cyber Recovery und Resilienz (auch bekannt als Ransomware-Wiederherstellungsgarantie) bietet FlashArray-Kunden einen White-Glove-Wiederherstellungsservice, indem es saubere Arrays versendet und bei der Snapshot-basierten Wiederherstellung nach einem Cyber-Vorfall oder einer Katastrophe hilft. Es wird als Add-on zu einem Evergreen//One-Abonnement erworben und ist darauf ausgelegt, Sie auf einer sauberen Plattform schnell wieder online zu bringen und gleichzeitig die forensische Integrität der kompromittierten Infrastruktur zu erhalten.

Führen Sie eine kontrollierte Wiederherstellung durch: Wählen Sie den entsprechenden SafeMode-Snapshot aus, der den letzten guten Zustand Ihrer Daten darstellt. Sie haben einige Möglichkeiten, wiederherzustellen: Sie können den Snapshot auf neue Datenträger klonen oder die ursprünglichen Datenträger aus dem Snapshot wiederherstellen (Rollback). Das Klonen auf neuen Datenträgern ist anfangs oft sicherer. Dadurch können Sie Anwendungen mit den sauberen Daten auf neuen Datenträgern aufrufen, während die ursprünglichen Datenträger (mit verschlüsselten Daten) vorerst unverändert bleiben. Auf diese Weise haben Sie, wenn etwas schiefgeht, immer noch das Original und den Snapshot im Istzustand. In beiden Fällen verweist das FlashArray-System einfach Storage-Metadaten zurück zu den Snapshot-Datenblöcken, sodass die Wiederherstellung praktisch sofort erfolgt. Im Gegensatz zu herkömmlichen Backups ist keine langwierige Datenkopie erforderlich. Ihre Volumes können innerhalb von Sekunden wieder in ihren Zustand vor dem Angriff versetzt werden.
Überprüfen und bringen Sie Systeme online: Führen Sie nach der Wiederherstellung, aber bevor Sie Endbenutzer oder Produktions-Workloads wieder verbinden, eine Validierung durch. Montieren Sie die wiederhergestellten Volumes auf einigen wenigen Anwendungshosts kontrolliert (idealerweise in einem unter Quarantäne gestellten Netzwerk oder mit Systemen, die gründlich gereinigt wurden). Stellen Sie sicher, dass die Daten intakt sind und dass die Ransomware nicht mehr vorhanden ist. Dazu können Integritätsprüfungen an Datenbanken, das Öffnen einer Stichprobe von Dateien, um sicherzustellen, dass sie nicht verschlüsselt sind, und die Verwendung aktualisierter Antivirus-/Anti-Malware-Scanner für die wiederhergestellten Daten gehören. Ziel ist es, zu bestätigen, dass Sie wirklich eine saubere Umgebung haben. Dank der früheren forensischen Schritte sollte in dieser Phase ein hohes Vertrauen bestehen.
Nutzen Sie Pure Support während der Wiederherstellung: Pure Support bietet White-Glove-Service (wenn Sie Evergreen//One Cyber Recovery and Resilience abonniert haben), um Ihnen zu helfen, sich schnell und sicher von Ransomware auf FlashArray zu erholen. Während Sie in der Regel keine Hilfe beim Pure Support benötigen, um eine Snapshot-Wiederherstellung durchzuführen (es handelt sich um einen Admin-Vorgang, den Sie über GUI oder CLI durchführen können), würde es Ihnen helfen, sie auf dem Laufenden zu halten, insbesondere wenn SafeMode aktiviert ist. Wenn beispielsweise die SafeMode-Aufbewahrungsrichtlinie angepasst werden muss (vielleicht möchten Sie vorübergehend verlängern, wie lange Snapshots während der Krise gespeichert werden), kann Pure Support diese Änderungen mit der richtigen Autorisierung von Ihrer Seite vornehmen. Wenn Probleme auftreten (z. B. Fragen dazu, welcher Snapshot verwendet werden soll oder wie eine große Anzahl von Datenträgern gehandhabt wird), wird Sie der Pure Support unterstützen. Denken Sie daran: Unser Ziel ist es, sicherzustellen, dass Ihre Daten schnell und sicher wieder online sind, und wir haben ein großes Interesse an Ihrer erfolgreichen Wiederherstellung.

Dank des Designs von FlashArray ist die Datenwiederherstellung extrem schnell und effizient – und zwar mit „Flash-Geschwindigkeit“. Das bedeutet, dass Ausfallzeiten minimiert werden und Sie Anwendungen viel früher wiedereinführen können, als wenn Sie sich auf ein langsames externes Backup verlassen würden. In vielen Fällen können Unternehmen, die FlashArray SafeMode-Snapshots verwenden, innerhalb von Stunden statt Tagen oder Wochen Wiederherstellungen durchführen, wodurch große Verluste vermieden werden.

Validierung und Wiederaufnahme von Vorgängen nach der Wiederherstellung

Die Wiederherstellung endet nicht, sobald die Daten wiederhergestellt sind. Es ist wichtig, die Umgebung zu validieren und Maßnahmen zu ergreifen, um zukünftige Vorfälle zu verhindern, wenn Sie den normalen Betrieb wieder aufnehmen:

Überprüfen Sie die Systeme gründlich: Führen Sie eine vollständige Validierung aller wichtigen Anwendungen und Datensätze durch, wenn Daten aus sauberen Snapshots wiederhergestellt wurden. Lassen Sie Anwendungseigentümer und Benutzer Prüfungen durchführen, um sicherzustellen, dass alles richtig funktioniert. Überwachen Sie Systemprotokolle und -verhalten sorgfältig auf Anomalien. Dies ist im Grunde eine Testphase nach der Wiederherstellung – die Bestätigung, dass Datenbanken konsistent sind, Dateien korrekt geöffnet sind und keine anhaltende Malware erkannt wird. Wenn Probleme gefunden werden, können Sie erneut auf die Snapshots zurückgreifen (wenn Sie beispielsweise feststellen, dass ein ausgewählter Snapshot nicht so sauber war wie gedacht, können Sie einen älteren Snapshot auswählen). Solche Fälle sind jedoch selten, wenn die forensische Analyse sorgfältig durchgeführt wurde.
Malware-Scans und -Patches: Wenn Sie Systeme online bringen, stellen Sie sicher, dass sie über die neuesten Sicherheitspatches verfügen und dass alle Antivirus-Definitionen auf dem neuesten Stand sind. Führen Sie umfassende Malware-Scans auf allen wiederhergestellten Systemen (Servern, VMs usw.) durch, bevor Sie sie vollständig für Benutzer freigeben. Dieser Schritt wird in Abstimmung mit Ihrem IR- oder Sicherheitsteam durchgeführt und stellt sicher, dass die Live-Umgebung frei von Ransomware oder anderen Ausbeutungen ist. Das Letzte, was Sie sich wünschen, ist eine Neuinfektion direkt nach der Wiederherstellung.
Replikation und Backups fortsetzen: Wenn Sie die Replikation früher pausiert haben, setzen Sie sie erst fort, wenn Sie sicher sind, dass die Umgebung sauber ist. Sie können zunächst Daten vom primären FlashArray zum sekundären FlashArray erneut synchronisieren oder bei Bedarf sogar in Betracht ziehen, ein neues Seeding durchzuführen (falls das Delta während des Angriffs groß war). Der Schlüssel besteht darin, die Synchronisierung beschädigter Daten zu vermeiden. Aktivieren Sie nach der Validierung Ihre Replikationsworkflows erneut, damit Ihr DR-Standort wieder Schritt hält. In ähnlicher Weise sollten Sie alle angehaltenen Backup-Jobs erneut aktivieren und erwägen, ein frisches vollständiges Backup oder einen Snapshot des neu wiederhergestellten Zustands „bekannt-gut“ als neue Baseline zu erstellen.
Arbeiten Sie mit dem Pure-Support für die Reinigung zusammen: Nach der Wiederherstellung haben Sie möglicherweise einige Bereinigungsaufgaben auf dem FlashArray-System. Beispielsweise können die verschlüsselten Datenträger, die Sie isoliert oder im Müll zurückgelassen haben, jetzt sicher gelöscht werden, sobald Sie sicher sind, dass sie nicht mehr benötigt werden (und alle Daten an anderer Stelle wiederhergestellt wurden). Da SafeMode aktiv war, werden diese Volumes/Snapshots nur dauerhaft gelöscht, wenn der SafeMode-Timer abläuft oder wenn Sie ihn ausdrücklich anfordern. Stimmen Sie sich mit dem Pure Support ab und verwenden Sie Ihre autorisierten SafeMode-Ansprechpartner, um die böswilligen Reste zum richtigen Zeitpunkt zu löschen. Pure Support kann auch dabei helfen, Ihre Snapshot-Zeitpläne und -Aufbewahrung wieder auf den Normalzustand anzupassen (wenn Sie beispielsweise die Aufbewahrung während der Krise verlängert haben, können Sie ihn zurückwählen, um Platz zu sparen, sobald sich alles geruht hat). Während dieses Prozesses bleibt das Pure Support-Team ein hilfreicher Partner. Ihre Erkenntnisse aus anderen Ransomware-Fällen können im Management nach einem Vorfall von unschätzbarem Wert sein.
Überprüfen und stärken Sie die Verteidigungsmechanismen: Nutzen Sie schließlich die Gelegenheit, aus dem Vorfall zu lernen. Arbeiten Sie mit Ihrem IR-Team zusammen, um den Angriffsvektor zu analysieren und alle ausgenutzten Sicherheitslücken zu schließen (das kann mehr im IT-/Sicherheitsbereich sein, aber es lohnt sich zu beachten). Stellen Sie aus der FlashArray-Perspektive sicher, dass SafeMode auch in Zukunft aktiviert bleibt (wenn dies nicht der Fall war, sollte es jetzt sein – es wird kostenlos angeboten und bietet enorme Vorteile). Sie sollten auch Ihre Snapshot-Richtlinien überprüfen: Machen Sie Snapshots häufig genug für Ihr Risikoprofil? Werden sie extern repliziert? FlashArray macht es einfach, Snapshot-Zeitpläne und -Aufbewahrung an Ihre Geschäftsanforderungen anzupassen. Jüngste, unveränderliche Snapshots sind das, was Sie diesmal gespart hat. Wenn Sie diese Strategie verdoppeln, werden Sie in Zukunft noch belastbarer. Herkömmliches Backup hält möglicherweise nicht immer mit moderner Ransomware Schritt, aber unveränderliche Snapshots von Pure Storage verhindern, dass kritische Daten verändert oder vernichtet werden, was einen Ort der Wiederherstellung garantiert.
Validieren Sie mit Benutzern und stellen Sie Services schrittweise wieder her: Als Best Practice sollten Sie die Systeme phasenweise an die Benutzer zurückgeben. Stellen Sie beispielsweise kritische Datenbanken wieder her und überprüfen Sie sie, ermöglichen Sie es dann Anwendungsservern, sich wieder zu verbinden und schließlich Endbenutzern den Zugriff auf die Services zu ermöglichen. Dieser schrittweise Ansatz stellt sicher, dass es bei auftretenden Problemen einfacher ist, alles zu lokalisieren und zu beheben, ohne alles rückgängig zu machen. Kommunizieren Sie mit Ihren Stakeholdern darüber, welche Services wieder verfügbar sind und welche Restwirkungen es gibt. Viele Kunden von Pure Storage stellen fest, dass sie nach einer so schnellen Snapshot-basierten Wiederherstellung ihre Wiederherstellungszeitziele erreichen oder übertreffen können, was den Nutzen des FlashArray-Ansatzes zeigt.

Halten Sie während der gesamten Phase nach der Wiederherstellung engen Kontakt mit dem Pure Support. Sie können Zustandsprüfungen auf dem FlashArray-System durchführen, um zu bestätigen, dass es nach der Wiederherstellung gut funktioniert und dass keine Hardwareprobleme mit dem Ereignis zusammenfielen. Proaktive Beratung durch den Pure Support kann auch dazu beitragen, zu überprüfen, ob Ihre Datenschutzfunktionen (wie SafeMode, Replikation, Verschlüsselung im Ruhezustand usw.) in Zukunft alle in optimaler Konfiguration sind.

Fazit

Die Wiederherstellung nach einem Ransomware-Angriff ist für jedes Unternehmen ein belastendes Ereignis. Mit Pure Storage FlashArray verfügen Sie jedoch über leistungsstarke integrierte Schutzmaßnahmen, die Ihnen die Kontrolle über das Schicksal Ihrer Daten geben. Durch die schnelle Isolierung der Bedrohung, die Verwendung unveränderlicher SafeMode-Snapshots und die sorgfältige Planung der Wiederherstellung mit Hilfe des Pure Support und Ihrer Vorfallshelfer können Sie schnell zum normalen Betrieb zurückkehren, ohne Lösegelder zu zahlen oder längere Ausfallzeiten zu erleiden. Die unveränderliche FlashArray-Snapshot-Technologie stellt sicher, dass Angreifer Ihre geschützten Snapshots nicht löschen, ändern oder verschlüsseln können – selbst wenn Angreifer die Admin-Anmeldedaten beeinträchtigen, bleiben Ihre Wiederherstellungspunkte sicher. Und da die Wiederherstellung mit Flash-Geschwindigkeit erfolgt, minimieren Sie Unterbrechungen und beweisen die Robustheit Ihres Geschäftskontinuitätsplans.