Frage zu Immutable Snapshots vs. Storage Pool-Löschung in QuTS hero 6.0

Beta-Programm-Archiv QuTS hero h6.0 Beta
,
1

Hallo QNAP-Team und Community,

ich verfolge die Einführung von unveränderlichen Snapshots in QuTS hero 6.0 mit großem Interesse und habe kürzlich einen japanischen Artikel gelesen, der diese Funktion im Detail testet (Yukihito Hara, LinkedIn Japan). Daraus geht hervor, dass unveränderliche Snapshots selbst über SSH oder mit Root-Rechten nicht gelöscht werden können.

Daraus schließe ich, dass unveränderliche Snapshots dazu gedacht sind, Daten nicht nur vor versehentlichem Löschen, sondern auch vor böswilligen oder unrechtmäßigen Aktionen über ein kompromittiertes Administratorkonto zu schützen (z.B. in einem Ransomware-Szenario).

Allerdings wirft dies eine wichtige konzeptionelle Frage auf:

Ist es für einen Administrator weiterhin möglich, den gesamten Speicherpool zu löschen, der unveränderliche Snapshots enthält?
Falls ja, würde dies das Konzept der Unveränderlichkeit nicht effektiv untergraben, da durch das Löschen des Pools alle Volumes und Snapshots unabhängig von ihrer Schutzrichtlinie entfernt würden?

Um das klarzustellen:
Mir ist vollkommen bewusst, dass physische Zerstörung der Hardware oder das Entfernen von Festplatten nicht verhindert werden kann, wenn jemand physischen Zugriff hat. Darum geht es mir nicht.

Meine Frage bezieht sich ausschließlich auf den logischen Schutz innerhalb des Betriebssystems:

  • Unveränderliche Snapshots sind gegen das Löschen geschützt, selbst durch Root.

  • Gibt es aber (oder wird es geben) eine Schutzmaßnahme auf Speicherpool-Ebene, die ein versehentliches oder böswilliges Löschen des Pools verhindert, solange sich noch unveränderliche Snapshots innerhalb ihrer Aufbewahrungsfrist befinden?

Anders formuliert:

  • Ist das aktuelle Design absichtlich auf Schutz auf Snapshot-/Volume-Ebene beschränkt?

  • Oder gibt es Pläne, die Unveränderlichkeits-Garantien so zu erweitern, dass auch destruktive Aktionen auf Pool-Ebene verhindert werden?

Ich würde eine Klarstellung zum angestrebten Bedrohungsmodell und den Designzielen sehr begrüßen.

Vielen Dank für Ihre Zeit und für dieses wichtige neue Feature.

Mit freundlichen Grüßen

1 „Gefällt mir“
Snapshot Immutability QuTS hero 6.0 - Storage Pool Level
2

Willkommen in der Community. Ich nutze Hero 6 zwar noch nicht, aber hier ist meine Einschätzung dazu.

Es gibt keinen „Schutz“ für das Zerstören oder Ändern von Speicherpools. WORM-Unveränderlichkeit (WORM-Immuntabilität) wird auf Ordnerebene oder im Fall von Hero 6 auch auf Snapshot-Ebene festgelegt. In einer WORM-Konfiguration ist nicht jeder Ordner als unveränderlich eingerichtet. Das wäre auch nicht wünschenswert. Dann könnten Sie nie wieder etwas auf dem NAS löschen oder ändern.

Außerdem kann die Unveränderlichkeit zeitlich begrenzt werden. So können Sie einen Ordner haben, in dem Dateien z. B. 5 Tage nach dem Schreiben gesperrt bleiben. Danach wird die Sperre aufgehoben. Andere Einstellungen ermöglichen es, alles dauerhaft gesperrt zu lassen.

Ich sehe keinen Grund, warum man Unveränderlichkeit auf Speicherpool-Ebene haben sollte. Das würde verhindern, dass Sie dem Speicherpool z. B. weiteren Speicherplatz hinzufügen können.

WORM schützt Dateien vor Ransomware-Angriffen. Die Dateien können nicht verändert werden. Meistens wollen die Angreifer, die in Ihr NAS eindringen, Ihre Dateien infizieren, um Sie dann zu erpressen. Sie werden sich nicht die Mühe machen, Ihre Pools zu löschen und alles zu zerstören. Wenn sie das tun würden, wären alle Dateien weg und sie hätten nichts mehr, womit sie Sie erpressen könnten! Das widerspricht also ihrer Denkweise. Außerdem soll sich diese Schadsoftware schnell verbreiten – ins System eindringen, Schadcode verbreiten und wieder raus. Das Löschen von Pools würde viel mehr Aufwand und Arbeit bedeuten.

Das ist meine Einschätzung und sollte nicht als etwas „Offizielles“ angesehen werden.

3

Vielen Dank für Ihr wertvolles Feedback! Bezüglich der von Ihnen angesprochenen Punkte werden wir diese an unser internes Team zur weiteren Bewertung und Analyse weiterleiten.

4

Hallo NA9D. Danke für deine Antwort auf meine Anfrage.

Vielleicht nur zur Klarstellung: Ich bin etwas verwirrt bezüglich der internen Logik des Konzepts des unveränderlichen Snapshots. Soweit ich das sehe, wenn man eine kleine Einheit des Systems als „muss unveränderlich sein – selbst gegenüber kompromittierten Admin-Aktionen – um maximalen nicht-physischen Schutz zu bieten“ definiert, muss sich dies durch die gesamte Hierarchie (d.h. bis auf die Ebene des Storage-Pools) fortpflanzen, sonst wird die Unveränderlichkeit untergraben. Für mich würde das bedeuten, dass die Implementierung eine Überprüfung bei kritischen Storage-Pool-Aktionen erzwingen sollte im Sinne von „Löschen nur erlaubt, wenn aktuell keine unveränderlichen Dateien gespeichert sind“.

Bezüglich der Frage nach relevanten Angriffsvektoren: Da bin ich bei dir, dass die meisten Angriffe die Dateien nicht löschen wollen, da dies der Logik der Erpressung widerspricht, die sie erreichen wollen. Aber man sollte bedenken, dass ein raffinierter Angreifer mit Zugriff die Dateien einfach vor dem Löschen auf seine eigene Infrastruktur kopieren und dann die gleiche „Zahlen oder keine Dateien mehr“-Logik zur Erpressung nutzen könnte.

5

Ich verstehe, was du sagst. Aber ich möchte kein unveränderliches System, bei dem ich meinen Speicherpool niemals neu erstellen könnte. Das würde bedeuten, dass, sobald man alles eingerichtet hat, es festgelegt ist und sich nie wieder ändern lässt. Das heißt, du könntest den Pool nicht erweitern, den Pool nicht löschen, weil du die Daten in einen neuen, größeren Pool verschieben möchtest, usw. Was du vorschlägst, bringt eine Menge Kopfschmerzen mit sich. Es ist schon schlimm genug mit unveränderlichen Dateien. Ich habe aus Versehen einige Dateien in einen unveränderlichen Ordner kopiert, obwohl ich sie in einen Unterordner legen wollte. Jetzt habe ich zwei Kopien der Dateien, von denen eine an einem Ort liegt, an dem ich sie nicht haben wollte. Was wäre, wenn dir das aus Versehen mit einem Pool passieren würde?

Ich bezweifle stark, dass ein böswilliger Akteur sich die Mühe machen würde, eine große Menge an Dateien auf seine Infrastruktur zu kopieren, angesichts der Zeit, die der Transfer dauern würde. Und selbst wenn sie es tun würden, wäre es ziemlich nutzlos, besonders wenn das NAS eine angemessene Backup-Strategie hat.