Was ist ein sauberer Wiederherstellungspunkt?
Ein sauberer Wiederherstellungspunkt (Clean Restore Point) ist ein Backup, das sich wiederherstellen lässt, ohne Malware, vom Angreifer angelegte Konten oder andere Spuren einer Kompromittierung zurückzubringen. Nach einem Ransomware-Vorfall ist das meist der jüngste Wiederherstellungspunkt aus der Zeit vor dem Eindringen. Oft ist das nicht der jüngste vorhandene.
Warum ist der neueste Wiederherstellungspunkt nicht immer sauber?
Die Zeit zwischen dem ersten Zugriff eines Angreifers und dem sichtbaren Angriff heißt Verweildauer (Dwell Time) und beträgt häufig Tage bis Wochen. Jedes Backup aus diesem Zeitfenster hält das System so fest, wie der Angreifer es hinterlassen hat. Wer eines davon wiederherstellt, holt die Daten zusammen mit dem Brückenkopf zurück. Entscheidend ist der letzte Wiederherstellungspunkt vor dem ersten Zugriff oder der letzte, der nachweislich frei von Änderungen des Angreifers ist.
Wie wird ein sauberer Wiederherstellungspunkt ermittelt?
Kein einzelner Test beweist, dass ein Wiederherstellungspunkt sauber ist. Teams kombinieren mehrere Belege.
| Beleg | Beitrag |
|---|---|
| Zeitachse der Vorfallsuntersuchung | Geschätztes Datum des ersten Zugriffs |
| Malware-Scan | Bekannte Werkzeuge in jedem Punkt gefunden oder nicht |
| Entropie und Verlauf der Änderungsrate | Beginn der Verschlüsselung auf jedem System |
| Indicators of Compromise | Konkrete Dateien, Konten oder Aufgaben, nach denen gesucht wird |
| Testwiederherstellung in Isolation | Ob das System startet und sich normal verhält |
Gilt derselbe Punkt für jedes System?
Meist nicht. Systeme werden zu unterschiedlichen Zeiten kompromittiert, und Daten bergen andere Risiken als ausführbarer Code. Ein verbreitetes Vorgehen stellt Betriebssysteme und Anwendungen aus der Zeit vor dem ersten Zugriff wieder her oder baut sie aus vertrauenswürdigen Medien neu auf. Geschäftsdaten kommen aus dem jüngsten Punkt, weil Datendateien selten die Werkzeuge des Angreifers enthalten. So bleibt der Datenverlust klein, und der Brückenkopf verschwindet. Voraussetzung ist, dass sich Daten getrennt vom System-Image wiederherstellen lassen, etwa über die Wiederherstellung auf Dateiebene oder eine Wiederherstellung auf Datenbankebene.
Was bedeutet das für den Backup-Speicher?
Einen sauberen Punkt zu finden nützt nur, wenn dieser Punkt noch existiert. Die Aufbewahrung muss weiter zurückreichen als die wahrscheinliche Verweildauer. Das spricht für Wochen an Historie, nicht für Tage. Die Wiederherstellungspunkte müssen unveränderlich sein, denn Angreifer versuchen, Backups zu löschen, bevor sie zuschlagen. Und eine Wiederherstellung zunächst in eine isolierte Umgebung, einen Clean Room, erlaubt die Prüfung, bevor etwas die Produktion berührt. Der Beitrag Einen sauberen Wiederherstellungspunkt wählen beschreibt den Entscheidungsprozess.
Häufig gestellte Fragen
Wie weit zurück liegt ein sauberer Wiederherstellungspunkt voraussichtlich?
Das hängt davon ab, wie lange der Eindringling im Netz war. Wer mit mehreren Wochen aufbewahrter, unveränderlicher Wiederherstellungspunkte plant, deckt die meisten Fälle ab.
Lässt sich ein Wiederherstellungspunkt bereinigen, statt weiter zurückzugehen?
Manchmal. Ein System lässt sich in Isolation wiederherstellen, bereinigen und dann in die Produktion zurückführen. Das setzt aber voraus, dass alles gefunden wird, was der Angreifer verändert hat.
Wer entscheidet, welcher Wiederherstellungspunkt verwendet wird?
Die Leitung der Incident Response, gestützt auf die Forensik, das Backup-Team und die Verantwortlichen der betroffenen Systeme.