Was ist der Malware-Scan von Backups?
Der Malware-Scan von Backups ist die Prüfung von Backup-Daten auf Schadsoftware, entweder beim Schreiben oder vor der Wiederherstellung. Er soll verhindern, dass mit den Daten eine Infektion in die Produktion zurückkehrt, und er hilft zu erkennen, welche Wiederherstellungspunkte vor einer Kompromittierung liegen.
Warum Backups überhaupt scannen?
Angreifer befinden sich oft Tage oder Wochen in einem Netzwerk, bevor sie zuschlagen. Backups aus dieser Zeit erfassen getreu alles, was der Angreifer installiert hat: Fernzugriffswerkzeuge, geplante Aufgaben, veränderte Systemdateien. Wer nach einem Angriff das neueste Backup wiederherstellt, bringt die Umgebung womöglich in einen Zustand zurück, den der Angreifer noch kontrolliert. Der Scan fügt eine Prüfung zwischen Backup und Wiederverwendung ein.
Wann und wie werden Backups gescannt?
Scans können an mehreren Punkten laufen, jeweils mit anderer Abdeckung und anderen Kosten.
| Zeitpunkt | Verfahren | Stärke | Grenze |
|---|---|---|---|
| Während des Backups | Inline-Prüfung der gelesenen Daten | Frühe Warnung ohne zusätzlichen Job | Begrenzte Tiefe, darf das Backup nicht bremsen |
| Nach dem Backup | Wiederherstellungspunkt einbinden und mit Antivirus-Signaturen scannen | Aktuelle Signaturen auf alten Daten | Kostet Zeit und Rechenleistung |
| Vor oder während der Wiederherstellung | Scan als Teil des Wiederherstellungsablaufs | Hält bekannte Malware fern | Kostet Zeit, wenn Zeit knapp ist |
| Im Clean Room | Wiederherstellung in ein isoliertes Netzwerk, dann Prüfung | Gründlichste Prüfung | Am langsamsten, braucht eine vorbereitete Umgebung |
Was erkennt ein Scan, und was entgeht ihm?
Signaturbasierte Scans finden Malware, die bereits bekannt ist. Deshalb lohnt es sich, alte Wiederherstellungspunkte mit neuen Signaturen erneut zu scannen: Ein Werkzeug, das am Tag des Backups unbekannt war, wird eine Woche später vielleicht erkannt. Nach Indikatoren, die ein Incident-Response-Team liefert, lässt sich auf dieselbe Weise suchen. Dem Scan entgeht alles ohne Signatur: eigens entwickelte Werkzeuge, legitime Administrationssoftware in missbräuchlicher Verwendung und Konfigurationsänderungen. Er wird deshalb mit Entropie-Erkennung und weiteren Anomalieprüfungen kombiniert, außerdem mit der Untersuchung, wann das Eindringen begann.
Wie passt der Scan in die Wiederherstellung?
Das praktische Ergebnis des Scans ist ein Urteil über jeden Wiederherstellungspunkt: sauber, soweit erkennbar, verdächtig oder infiziert. Dieses Urteil fließt in die Wahl eines sauberen Wiederherstellungspunkts ein. Damit das funktioniert, muss die Scan-Historie dort liegen, wo der Angreifer sie nicht ändern kann, und die Backups selbst müssen unveränderlich sein, damit ein als gut bekannter Punkt noch vorhanden ist, wenn er gebraucht wird. Der Beitrag Einen sauberen Wiederherstellungspunkt wählen behandelt die Entscheidung.
Häufig gestellte Fragen
Ersetzt der Scan von Backups den Endpoint-Schutz?
Nein. Endpoint-Schutz soll eine Infektion stoppen. Der Scan von Backups soll verhindern, dass eine Infektion wiederhergestellt wird.
Lassen sich verschlüsselte Backups scannen?
Ja, durch die Backup-Software, die den Schlüssel hält, meist durch Einbinden des Wiederherstellungspunkts. Speicher, der nur verschlüsselte Daten sieht, kann den Inhalt nicht prüfen.
Beweist ein Scan ohne Fund, dass ein Wiederherstellungspunkt sicher ist?
Nein. Er zeigt, dass keine bekannte Malware gefunden wurde. Unbekannte Werkzeuge und Konfigurationsänderungen können weiterhin vorhanden sein.