-
Die Erfindung betrifft ein Datensicherungssystem. Die Erfindung betrifft zudem ein Netzwerksystem mit einem Datensicherungssystem. Die Erfindung betrifft zudem ein Verfahren zum Betrieb eines Netzwerksystems.
-
Ein Datensicherungssystem ist beispielsweise in dem Artikel Shon et al., „A robust and secure backup system for protecting malware“, dl.acm.org/doi/abs/10.1145/ 3297280.3297424 offenbart.
-
Die
EP 2 953 150 B1 offenbart eine Vorrichtung zur Strombegrenzung oder Stromunterbrechung eines Stromkreises und ein Steuerverfahren dafür. Die Vorrichtung umfasst einen Stromunterbrechungszweig und einen Brückenzweig. Der Brückenzweig umfasst zwei Brückenarme, die durch vier identische Stromkommutierungszweige gebildet werden. Jeweils zwei Zweige der vier Stromkommutierungszweige sind in Reihe geschaltet, und die beiden gebildeten Brückenarme sind dann parallel geschaltet. Die beiden Brückenarme sind beide parallel an den Stromunterbrechungszweig angeschlossen, und die Mittelpunkte der beiden Brückenarme sind getrennt an zwei Punkte des Stromkreises angeschlossen. Jeder Stromkommutierungszweig umfasst mindestens einen Hochgeschwindigkeitsunterbrechungsschalter und mindestens einen bidirektionalen Leistungshalbleiterschalter, die beide in Reihe miteinander verbunden sind. Die Vorrichtung kann einen bidirektionalen Strom abschalten.
-
Die
DE 196 47 655 A1 offenbart eine Sicherungsvorrichtung, die es erlaubt, unabhängig von der Art der auftretenden Fehlfunktion in einem Netzwerk einen Primärserver vom Netzwerk zu nehmen und einen Sekundärserver zuzuschalten. Dies wird dadurch erreicht, dass Mittel zur Unterbrechung der Stromversorgung des Erstprimärservers vorgesehen werden.
-
Die
DE 10 2008 029 902 A1 offenbart ein Verfahren zum Betreiben eines Bussystems, das einen ersten und zumindest einen zweiten Netzknoten (MASTER, SLAVE) umfasst. Zur Energieversorgung des zumindest einen zweiten Netzknotens (SLAVE) und zur Kommunikation zwischen dem ersten und dem zumindest einen zweiten Netzknoten (MASTER, SLAVE) sind eine erste und eine zweite Leitung (BUS, GND) vorgesehen. Die Kommunikation zwischen dem ersten und dem zumindest einen zweiten Netzknoten (MASTER, SLAVE) und die Energieversorgung des zumindest einen zweiten Netzknotens (SLAVE) erfolgt jeweils über die erste Leitung (BUS} und zeitlich voneinander getrennt.
-
Es ist Aufgabe der Erfindung ein Datensicherungssystem anzugeben, das besonders gut gegen Manipulationen geschützt ist bzw. die Datensicherung in einem Netzwerksystem zu verbessern. Es ist wünschenswert bei der Datensicherung und/oder Datenwiederherstellung eine einfache Handhabung und eine Risikominimierung in Bezug auf Fremdangriffe zu erreichen.
-
Vorgenannte Aufgabe wird durch ein Datensicherungssystem für ein Datennetzwerk (Basisnetzwerk, auch bekannt als LAN (z.B. Firmennetzwerk), gelöst, wobei das Datensicherungssystem einen Back-up-Speicher (insbesondere zum Speichern von Daten des Datennetzwerks) umfasst, wobei das Datensicherungssystem weiterhin eine (Schleuse umfassend eine) erste Bridge, einen Zwischenspeicher und eine zweite Bridge umfasst, wobei das Datensicherungssystem und/oder die erste Bridge eine Datensicherungssystem-Schnittstelle für eine erste Datenübertragungsverbindung zum mittelbaren oder unmittelbaren datentechnischen Verbinden des Datennetzwerks und der ersten Bridge umfasst, wobei die erste Bridge und der Zwischenspeicher datentechnisch mittels einer zweiten Datenübertragungsverbindung verbunden sind, wobei der Zwischenspeicher und die zweite Bridge datentechnisch mittels einer dritten Datenübertragungsverbindung verbunden sind, wobei die zweite Bridge und der Back-up-Speicher datentechnisch mittels einer vierten Datenübertragungsverbindung verbunden sind, wobei das Datensicherungssystem eine derartig eingerichtete Steuerung zum Unterbrechen einer Spannungsversorgung für die erste Bridge und zum Unterbrechen einer/der Spannungsversorgung für die zweite Bridge umfasst, dass (im bestimmungsmäßigen Betrieb) zumindest die Spannungsversorgung für die erste Bridge oder die Spannungsversorgung für die zweite Bridge unterbrochen ist.
-
Eine Bridge im Sinne dieser Offenbarung kann ein Switch sein. Eine Bridge im Sinne dieser Offenbarung kann derart zu verstehen sein, dass sie im Computernetz zwei Segmente auf der Ebene der Schicht 2 (Sicherungsschicht) des OSI-Modells verbindet. Eine Bridge im Sinne dieser Offenbarung kann optional derart ausgestaltet sein, dass sie auf der Unterschicht MAC oder der Unterschicht LLC arbeitet. Eine Bridge im Sinne dieser Offenbarung kann eine MAC-Bridge sein. Eine Bridge im Sinne dieser Offenbarung kann eine LLC-Bridge sein. Eine Bridge im Sinne dieser Offenbarung kann eine Transparent Bridge sein. Eine Bridge im Sinne dieser Offenbarung kann eine Source Routing Bridge sein. Eine Bridge im Sinne dieser Offenbarung kann ein Kopplungselement in Rechnernetzen sein. Eine Bridge im Sinne dieser Offenbarung kann ein Switch sein, der innerhalb eines Segments (Broadcast-Domain) dafür sorgt, dass die Datenpakete, sogenannte „Frames“, an ihr Ziel kommen. Eine Bridge im Sinne dieser Offenbarung kann ein Switch sein, der sich allgemein auf eine Multiport-Bridge (bzw. ein aktives Netzwerkgerät) bezieht, das Frames anhand von Informationen aus dem Data Link Layer (Layer 2) des OSI-Modells weiterleitet. Eine Bridge im Sinne dieser Offenbarung kann ein Bridging Hub sein. Eine Bridge im Sinne dieser Offenbarung kann ein Switching Hub sein. Eine Bridge im Sinne dieser Offenbarung kann ein LWL-LAN Converter sein, der in der gleichen Funktionsweise wie der Switch eingesetzt werden kann, und dabei kann sich nach außen eine LWL-Verbindung anschließen oder eine LWL Verbindung nach innen (Converter zu Cache) per Lichtüberbrückung.
-
In vorteilhafter Ausgestaltung der Erfindung weist die Steuerung einen ersten Schalter zum Unterbrechen der Spannungsversorgung für die erste Bridge durch Öffnen des ersten Schalters auf. Ein erster Schalter im Sinne dieser Offenbarung ist insbesondere ein Mosfet. Ein erster Schalter im Sinne dieser Offenbarung ist insbesondere ein Schalter, der im energielosen Zustand geöffnet ist. Ein erster Schalter im Sinne dieser Offenbarung kann auch eine Steuerplatine sein, die eine mit einem Mosfet vergleichbare Funktion aufweist, jedoch weitere Kontrollinstanzen wie ein IC implementiert hat.
-
Die Steuerung kann eine Bridgesteuerung, auch Bridge-Appliance (z.B. Raspberry, Microcontroller etc.) genannt, umfassen. Diese Bridgesteuerung steuert die Mosfets über deren GPIOs an und versorgt sie mit Spannung am GATE. Sofern eine Spannung am GATE anliegt, wird die Quellspannung (z.B. 5V) geschaltet und aktiviert die Bridge bzw. den Switch. Durch das Schalten der Bridge bzw. des Switchs existiert eine physikalische Verbindung zwischen allen angeschlossenen Leitungen an der Bridge/am Switch. Der Zwischenspeicher/Cache kann ein Speicher sein, der Daten annimmt und diese weiterleitet, insofern die passende Bridge geschaltet ist.
-
In weiterhin vorteilhafter Ausgestaltung der Erfindung weist die Steuerung einen zweiten Schalter zum Unterbrechen der Spannungsversorgung für die zweite Bridge durch Öffnen des zweiten Schalters auf. Ein zweiter Schalter im Sinne dieser Offenbarung ist insbesondere ein Mosfet. Ein zweiter Schalter im Sinne dieser Offenbarung ist insbesondere ein Schalter, der im energielosen Zustand geöffnet ist. Ein zweiter Schalter im Sinne dieser Offenbarung kann auch eine Steuerplatine sein, die eine mit einem Mosfet vergleichbare Funktion aufweist, jedoch weitere Kontrollinstanzen wie ein IC implementiert hat.
-
Das Unterbrechen einer Spannungsversorgung im Sinne dieser Offenbarung ist insbesondere ein physikalisches Unterbrechen.
-
In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass die Bridgesteuerung zur Erzeugung eines ersten Schaltersignals zum Schließen des ersten Schalters und zur Erzeugung eines zweiten Schaltersignals zum Schließen des zweiten Schalters vorgesehen ist, wobei die Steuerung die Bridgesteuerung umfasst. In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass das Datensicherungssystem eine Logikschaltung mit einem ersten Eingang für das erste Schaltersignal und einen zweiten Eingang für das zweite Schaltersignal umfasst, wobei die Logikschaltung einen ersten Ausgang und einen zweiten Ausgang umfasst und derart ausgestaltet ist, dass am ersten Ausgang das erste Schaltersignal ausgegeben wird, sofern am zweiten Ausgang nicht das zweite Schaltersignal ausgegeben wird und dass am zweiten Ausgang das zweite Schaltersignal ausgegeben wird, wenn das zweite Schaltersignal am zweiten Eingang angelegt und am ersten Ausgang nicht das erste Schaltersignal ausgegeben wird.
-
Die zweite Datenübertragungsverbindung und/oder die dritte Datenübertragungsverbindung und/oder die vierte Datenübertragungsverbindung im Sinne dieser Offenbarung sind nicht-drahtlose Datenübertragungsverbindungen. Nicht-drahtlose Datenübertragungsverbindungen im Sinne dieser Offenbarung sind insbesondere Datenübertragungsverbindungen, bei denen die die „Daten tragenden“ Signale in einem Feststoff übertragen werden.
-
In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass die erste Datenübertragungsverbindung als Lichtwellenleiter ausgestaltet ist oder einen Lichtwellenleiter umfasst.
-
In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass die zweite Datenübertragungsverbindung als Lichtwellenleiter ausgestaltet ist oder einen Lichtwellenleiter umfasst. In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass die dritte Datenübertragungsverbindung und/oder die vierte Datenübertragungsverbindung als Lichtwellenleiter ausgestaltet ist oder einen Lichtwellenleiter umfasst.
-
Lichtwellenleiter (LWL) im Sinne dieser Offenbarung sind beispielsweise Lichtleitkabel (LLK). Lichtwellenleiter (LWL) im Sinne dieser Offenbarung sind beispielsweise aus Lichtwellenleitern bestehende und teilweise mit Steckverbindern konfektionierte Kabel und Leitungen zur Übertragung von Licht. Das Licht wird dabei beispielsweise in Fasern, beispielsweise aus Quarzglas oder Kunststoff (polymere optische Faser), geführt. Sie werden häufig auch als Glasfaserkabel bezeichnet, wobei in diesen typischerweise mehrere Lichtwellenleiter gebündelt werden, die zudem zum Schutz und zur Stabilisierung der einzelnen Fasern noch mechanisch verstärkt sind bzw. sein können. Es kann ein Singlemode oder ein Multimode vorgesehen sein.
-
Physikalisch gesehen sind Lichtwellenleiter im Sinne dieser Offenbarung beispielsweise dielektrische Wellenleiter. Sie sind beispielsweise aus konzentrischen Schichten aufgebaut, wobei der lichtführende Kern beispielsweise im Zentrum liegt, der beispielsweise umgeben ist von einem Mantel mit einem etwas niedrigeren Brechungsindex sowie beispielsweise von weiteren Schutzschichten aus Kunststoff. Je nach Anwendungsfall hat der Kern beispielsweise einen Durchmesser von einigen Mikrometern bis zu über einem Millimeter. Man unterscheidet beispielsweise Lichtwellenleiter nach dem Verlauf des Brechungsindexes zwischen Kern und Mantel (Stufenindex- oder Gradientenindexfasern) und der Anzahl von ausbreitungsfähigen Schwingungsmoden, die durch den Kerndurchmesser limitiert wird.
-
Vorgenannte Aufgabe wird zudem durch ein Netzwerksystem gelöst, wobei das Netzwerksystem ein Datensicherungssystem, beispielsweise ein Datensicherungssystem mit einem oder mehreren der vorgenannten Merkmale, umfasst, und wobei das Netzwerksystem ein Datennetzwerk sowie die erste Datenübertragungsverbindung zwischen dem Datennetzwerk und der ersten Bridge mittels der Datensicherungssystem-Schnittstelle umfasst.
-
Vorgenannte Aufgabe wird zudem durch ein Verfahren zum Betrieb eines Netzwerksystems mit einem Back-up-Speicher, insbesondere durch ein Verfahren zum Betrieb eines Netzwerksystems mit vorgenannten Merkmalen, gelöst, wobei das Netzwerksystem eine (Schleuse umfassend eine) erste Bridge, einen Zwischenspeicher und eine zweite Bridge umfasst, wobei das Netzwerksystem eine erste Datenübertragungsverbindung zum datentechnischen Verbinden eines/des Datennetzwerks und der ersten Bridge umfasst, wobei die erste Bridge und der Zwischenspeicher datentechnisch mittels einer zweiten Datenübertragungsverbindung des Netzwerksystems verbunden sind, wobei der Zwischenspeicher und die zweite Bridge datentechnisch mittels einer dritten Datenübertragungsverbindung des Netzwerksystems verbunden sind, und wobei die zweite Bridge und der Back-up-Speicher datentechnisch mittels einer vierten Datenübertragungsverbindung des Netzwerksystems verbunden sind, wobei insbesondere vorgesehen ist, dass zu sichernde Daten des Datennetzwerks von dem Datennetzwerk an den Zwischenspeicher übertragen werden.
-
In vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass zu sichernde Daten (des Datennetzwerks ja) verschlüsselt auf dem Back-up Speicher gespeichert werden. In weiterhin vorteilhafter Ausgestaltung der Erfindung ist vorgesehen, dass zu sichernde Daten in dem Zwischenspeicher verschlüsselt werden, verschlüsselt von dem Zwischenspeicher zu dem Back-up- Speicher übertragen werden und verschlüsselt auf dem Back-up-Speicher gespeichert werden.
-
In weiterhin vorteilhafter Ausgestaltung der Erfindung wird die Spannungsversorgung für die zweite Bridge unterbrochen, wobei anschließend zu sichernde Daten von dem Datennetzwerk an den Zwischenspeicher übertragen werden, wobei anschließend die Spannungsversorgung für die erste Bridge unterbrochen wird, wobei anschließend die Unterbrechung der Spannungsversorgung für die zweite Bridge aufgehoben wird, wobei anschließend die zu sichernden Daten von dem Zwischenspeicher zu dem Back-up-Speicher übertragen und in dem Back-up-Speicher gespeichert werden. In weiterhin vorteilhafter Ausgestaltung der Erfindung wird die Spannungsversorgung für die zweite Bridge anschließend unterbrochen.
-
Zur Wiederherstellung von mittels des Back-up Speichers gesicherten Daten ist in vorteilhafter Ausgestaltung der Erfindung vorgesehen, dass die Unterbrechung der Spannungsversorgung für die zweite Bridge aufgehoben wird. In weiterhin vorteilhafter Ausgestaltung der Erfindung werden die gesicherten Daten von dem Back-up Speicher zum Zwischenspeicher übertragen und gegebenenfalls entschlüsselt. In weiterhin vorteilhafter Ausgestaltung der Erfindung wird anschließend die Spannungsversorgung für die zweite Bridge unterbrochen.
-
In vorteilhafter Ausgestaltung der Erfindung vorgesehen, dass die Unterbrechung der Spannungsversorgung für die erste Bridge aufgehoben wird. In weiterhin vorteilhafter Ausgestaltung der Erfindung werden die gesicherten Daten von dem Zwischenspeicher zum Datennetzwerk übertragen. In weiterhin vorteilhafter Ausgestaltung der Erfindung wird anschließend die Spannungsversorgung für die erste Bridge unterbrochen.
-
Die beiden Bridges in Verbindung mit dem Zwischenspeicher bilden eine Schleuse bzw. implementieren eine Schleusenfunktionalität. Dabei ist die Spannungsversorgung für die erste Bridge unterbrochen, wenn die Unterbrechung der Spannungsversorgung für die zweite Bridge aufgehoben ist und die Spannungsversorgung für die zweite Bridge ist unterbrochen, wenn die Unterbrechung der Spannungsversorgung für die erste Bridge aufgehoben ist. Dadurch ist sichergestellt, dass zu keinem Zeitpunkt beide Bridges geschaltet werden können.
-
Durch eine Platine kann auch bei Hardwaredefekten das gleichzeitige Öffnen beider Schleusen, also beider Bridges, verhindert werden.
-
Die Bridgesteuerung (Bridge-Appliance, die mit ihren GPIOs passende Bridges ansteuert), ist in vorteilhafter Weise durch keinen Konnektor mit dem Zwischenspeicher/Cache oder einem anderen Modul verbunden. Vielmehr ist vorteilhafterweise vorgesehen, dass die Bridgesteuerung selbstständig läuft, insbesondere um einen ungewollten, äußeren Zugriff vollständig zu verhindern. Es ist in vorteilhafter Weise vorgesehen, dass nur durch einen direkten Zugriff an der Bridgesteuerung Schaltzeiten etc. eingestellt und editiert werden können.
-
Die aufgezählten Maßnahmen sorgen dafür, dass zu keinem Zeitpunkt beide Bridges geschaltet werden können. Dabei werden eine erste Schleusenphase und eine zweite Schleusenphase unterschieden. Eine als erste Schleusenphase bezeichnete Phase betrifft den Fall, dass Daten aus dem Datennetzwerk (nachfolgend auch LAN genannt) dem Zwischenspeicher (nachfolgend auch Cache genannt) zugeführt werden sollen. In diesem Fall schaltet die Bridgesteuerung (Bridge-Appliance (Manager)) die erste Bridge derart an, dass die erste Bridge mit Spannung versorgt wird. Ab diesem Zeitpunkt ist das LAN zum Cache „durchverbunden“. Damit können Daten in den Cache übertragen werden. Dies kann so lange erfolgen, bis die Bridgesteuerung bzw. Bridge-Appliance die erste Bridge wieder abschaltet, d.h. die erste Bridge wird von der Spannungsversorgung getrennt. Ab diesem Zeitpunkt erfolgt eine eingängige Analyse der Daten im Cache. D.h. sie werden auf Schadsoftware analysiert und schlussendlich verschlüsselt (symmetrische Verschlüsselungsverfahren).
-
In einer zweiten Schleusenphase können die Daten vom Cache in den Back-up-Speicher mit einem standardisierten und unterstützten Protokoll des Back-up-Speichers/Back-up-Servers (z.B. FTP/ SMB/NFS) übertragen werden. Auch dies erfolgt wieder nur in dem Rahmen, der von der Bridgesteuerung/Bridge-Appliance festgelegt wird. Alle übertragenen Daten bzw. Inhalte an den Back-up-Speicher/Back-up-Server sind ausnahmslos verschlüsselt. Somit ist es keinem Schadcode ohne Kenntnis des Schlüssels (zum Verschlüsseln) möglich, Schaden im Hauptspeicher anzurichten, da ein verschlüsselter Schadcode nicht ausführbar ist.
-
Die Einstellungsmöglichkeiten Bridgesteuerung/Bridge-Appliance sind bewusst sehr limitiert. Unter dem Aspekt der einfachen Handhabung und Risikominimierung für Sicherheitsvorfälle ist es nur möglich, Zeitpläne für das Schalten festzulegen. Auch die Dauer und/oder Menge an Zeitintervallen ist vorteilhafterweise begrenzt, um die Sicherheit des Systems nicht grundlos zu gefährden. Außerdem ist ein Invertieren des Schaltvorgangs zum Restore der Daten möglich. Das bedeutet auch, dass die Anzahl an übertragenden Endgeräten limitiert ist. Gewisse Prozesse im Cache beanspruchen auch eine Rechenkapazität, die in Abhängigkeit zu Zeit steht und auch hier die Anzahl an Endgeräten limitiert.
-
Die Bridge Bridge-Appliance kann neben dem Normalbetrieb für die Back-up-Funktion auch in den Restore-Modus versetzt werden. Hierbei werden stoßweise Daten in den Zwischenspeicher/Cache zurückgeladen und von dort aus in das LAN () an das entsprechende Endgerät transportiert. Das Schleusenprinzip wird hier vollständig invertiert. Ausschließlich der Zwischenspeicher/Cache ist für das Laden/Ver- und Entschlüsseln/Analysieren von Daten verantwortlich.
-
Weitere Vorteile und Einzelheiten ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen. Dabei zeigen:
- 1 ein Ausführungsbeispiel eines Netzwerksystems,
- 2 ein Ausführungsbeispiel eines alternativen Netzwerksystems,
- 3 ein Ausführungsbeispiel einer Logikschaltung,
- 4 ein Ausführungsbeispiel eines Verfahrens zum Betrieb eines Netzwerksystems gemäß 1, und
- 5 ein Ausführungsbeispiel eines abgewandelten Verfahrens zum Betrieb eines Netzwerksystems.
-
1 zeigt ein Ausführungsbeispiel eines Netzwerksystems 11 mit einem Datennetzwerk 31 und mit einem Datensicherungssystem 1 für das Datennetzwerk 31, wobei das Datensicherungssystem 1 einen Back-up-Speicher 33 zum Speichern von Daten des Datennetzwerks 31 umfasst. Das Datensicherungssystem 1 umfasst zudem eine Bridge 21, einen Zwischenspeicher 32 und eine Bridge 22. Das Netzwerksystem 11 umfasst eine erste, insbesondere nicht drahtlose, Datenübertragungsverbindung 41 zum datentechnischen Verbinden des Datennetzwerks 31 mit der Bridge 21, wobei die Bridge 21 eine Datensicherungssystem-Schnittstelle 211 zur Implementierung der Datenübertragungsverbindung 41 umfasst.
-
Die Bridge 21 und der Zwischenspeicher 32 sind datentechnisch mittels einer zweiten, insbesondere nicht drahtlosen, Datenübertragungsverbindung 42 verbunden. Die zweite Datenübertragungsverbindung 42 kann als Lichtwellenleiter ausgestaltet sein oder einen Lichtwellenleiter umfassen. Der Zwischenspeicher 32 und die Bridge 22 sind datentechnisch mittels einer dritten, insbesondere nicht drahtlosen, Datenübertragungsverbindung 43 verbunden. Die dritte Datenübertragungsverbindung 43 kann als Lichtwellenleiter ausgestaltet sein oder einen Lichtwellenleiter umfassen. Die Bridge 22 und der Back-up-Speicher 33 sind datentechnisch mittels einer vierten, insbesondere nicht drahtlosen, Datenübertragungsverbindung 44 verbunden. Die vierte Datenübertragungsverbindung 44 kann als Lichtwellenleiter ausgestaltet sein oder einen Lichtwellenleiter umfassen.
-
Spezielle technische Anforderungen an das Datennetzwerk (beispielsweise LAN Netzwerk) oder Back-up-Speicher sind nicht erforderlich. Das Betriebssystem von Endgeräten im Datennetzwerk 31 bzw. LAN und des Back-up-Speichers 33 unterstützt beispielsweise nur die in RFC's definierten (Netzwerk-) Sockets.
-
Die Spannungsversorgung der Bridge 21 und die Spannungsversorgung der Bridge 22 erfolgt durch einen Spannungsquelle 5.
-
Das Datensicherungssystem 1 umfasst eine derartig eingerichtete Steuerung 2 zum Unterbrechen einer Spannungsversorgung für die Bridge 21 und zum Unterbrechen der Spannungsversorgung für die Bridge 22, dass zumindest die Spannungsversorgung für die Bridge 21 oder die Spannungsversorgung für die Bridge 22 unterbrochen ist. Dazu umfasst die Steuerung 2 einen als Mosfet ausgestalteten Schalter RLY1 zum Unterbrechen der Spannungsversorgung für die Bridge 21 durch Öffnen des Schalters RLY1, sodass die Leitung zwischen der Bridge 21 und der Spannungsquelle 5 unterbrochen ist, sowie einen als Mosfet ausgestalteten Schalter RLY2 zum Unterbrechen der Spannungsversorgung für die Bridge 22 durch Öffnen des Schalters RLY2, so dass die Leitung zwischen der Bridge 22 und der Spannungsquelle 5 unterbrochen ist. Eine Bridgesteuerung 3 bzw. Bridge-Appliance (z.B. Raspberry, Microcontroller etc.) steuert die als Mosfets ausgebildeten Schalter RLY1 und RLY2 über die GPIOs der Bridgesteuerung 3 an und versorgt sie mit - hier als Schaltersignal bezeichnet - Spannung am GATE. Wenn am GATE des jeweiligen Mosfets Spannung anliegt bedeutet das, dass die diesem Mosfet zugeordnete Bridge mit Spannung versorgt wird.
-
2 zeigt ein Ausführungsbeispiel eines alternativen Netzwerksystems 101 mit einer alternativ ausgestalteten Steuerung 102, wobei das Netzwerksystem 101 in Abwandlung zum Netzwerksystem 1 gemäß 1 eine beispielhaft in 3 dargestellte Logikschaltung 4 umfasst.
-
4 beschreibt ein Ausführungsbeispiel für ein Verfahren zum Betrieb des Netzwerksystems 11 bzw. 111. Dabei werden die in 4 (a) beschriebene Leerlaufphase, die in 4 (b) beschriebene Back-up-Phase mit einer ersten Schleusenphase und einer zweiten Schleusenphase und die in 4 (c) beschriebene Datenwiederherstellungsphase (restore) mit der zweiten Schleusenphase und der ersten Schleusenphase unterschieden.
-
In der Leerlaufphase gemäß 4 (a) ist sichergestellt, dass GPIO1 und GPIO2 keine Schaltersignale ausgeben, d. h. in Schritt S1 wird GPIO1 logisch auf Null gesetzt (GPIO1 = 0) und in Schritt S2 wird GPIO2 auf logisch auf Null gesetzt (GPIO2 = 0). In diesem Fall sind beide Schalter RLY1 und RLY2 geöffnet und die Spannungsversorgung (durch Spannungsquelle 5) ist für die Bridge 21 und für die Bridge 22 unterbrechen. Spannungsversorgung wird hier synonym für Stromversorgung und Spannungsquelle synonym für Stromquelle verwendet.
-
Wird eine Datensicherung gewünscht (vergleiche Abfrage in Schritt S3 bzw. „backup?“), so wird die Back-up-Phase mit der ersten Schleusenphase gestartet, wie sie in 4 (b) beschrieben ist. Dabei wird in Schritt S11 GPIO2 logisch auf Null gesetzt (GPIO2 = 0) und in Schritt S12 GPIO1 logisch auf 1 gesetzt (GPIO1 = 1). Dann werden in Schritt S13 zu sichernde Daten des Datennetzwerks 31 über die Bridge 21 zum Zwischenspeicher/Cache 32 übertragen. Die zu sichernden Daten werden so lange übertragen, bis eine Abbruchbedingung in Schritt S14 (vergleiche „terminate?“) erfüllt ist. Diese Abbruchbedingung kann bedeuten, dass alle zu sichernden Daten in den Zwischenspeicher 32 übertragen wurden. Es kann jedoch auch bedeuten, dass eine bestimmte Zeit überschritten oder eine bestimmte Datenmenge erreicht wurde.
-
Ist die Abbruchbedingung in Schritt S14 erfüllt, so wird die Spannungsversorgung für die Bridge 21 dadurch unterbrochen, dass GPIO1 in Schritt S15 logisch auf Null gesetzt wird (GPIO1 = 0). Dadurch wird die Spannungsversorgung für die Bridge 21 unterbrochen und die Bridge 21 abgeschaltet. Danach wird in Schritt S16 dadurch die Bridge 22 eingeschaltet bzw. mit Spannung versorgt, dass GPIO2 logisch auf 1 gesetzt wird (GPIO2 = 1). Dann werden in Schritt S17 die in dem Zwischenspeicher 32 gespeicherten Daten auf Schadsoftware analysiert und verschlüsselt und die verschlüsselten Daten werden mittels der Bridge 22 von dem Zwischenspeicher 32 in den Back-up-Speicher 33 übertragen. Alternativ kann die Verschlüsselung und das Prüfen auf Schadsoftware vor Schritt S16 erfolgen, so dass dann in Schritt S17 nur die verschlüsselten Daten mittels der Bridge 22 von dem Zwischenspeicher 32 in den Back-up-Speicher 33 übertragen werden. Ergibt die Abfrage in Schritt S18 dass nicht alle zu sichernden Daten des Datennetzwerks 31 übertragen worden sind (vergleiche Abfrage in Schritt S18 „complete?“), so werden die Schritte beginnend mit Schritt S11 nochmals ausgeführt. Andernfalls kehrt das Netzwerksystem 11, 111 in die Leerlaufphase gemäß 4 (a) zurück.
-
Sollen gesicherte Daten, die verschlüsselt im Back-up Speicher 33 gespeichert sind, in dem Datennetzwerk 31 wiederhergestellt werden, so geht das Netzwerksystem 11 bzw. 111 in die Datenwiederherstellungsphase (restore) beginnend mit der zweiten Schleusenphase gemäß 4 (c) über. Hierzu wird zunächst in Schritt S21 sichergestellt, dass die Spannungsversorgung für die Bridge 21 unterbrochen ist, indem GPIO1 logisch auf Null gesetzt wird (GPIO1 = 0). Dann wird die Bridge 22 in Schritt S22 mit Spannung versorgt, indem GPIO2 auf logisch 1 gesetzt wird (GPIO2 = 1). Es erfolgt dann in Schritt S23 das Übertragen der verschlüsselten gesicherten Daten von dem Back-up-Speicher 33 in den Zwischenspeicher 32 und die in den Zwischenspeicher 32 übertragenen Daten werden entschlüsselt. Anschließend wird in Schritt S24 GPIO2 logisch auf Null gesetzt (GPIO2 = 0), d. h. die Spannungsversorgung für die Bridge 22 wird unterbrochen. Anschließend wird in Schritt S25 GPIO1 logisch auf 1 gesetzt (GPIO1 = 1), d. h. die Unterbrechung der Spannungsversorgung für die Bridge 21 wird aufgehoben. Es folgt ein Schritt S26, in dem die wiederherzustellen Daten mittels der Bridge 21 von dem Zwischenspeicher 32 an das Datennetzwerk 31 übertragen werden. Die Übertragung kann wie beschrieben in einem Übertragungsvorgang oder alternativ stoßweise, d. h. aufgeteilt in mehrere Übertragungsvorgänge, erfolgen.
-
Sowohl die Schritte S11 und S12 als auch die Schritte S24 und S25 bilden eine erste Schleusenphase. Sowohl die Schritte S15 und S16 als auch die Schritte S21 und S22 bilden eine zweite Schleusenphase.
-
Das offenbarte Vorgehen gewährt ein hohes Maß an Sicherheit für die Back-up-Daten (also die Daten im Back-up-Speicher 33). Um die Back-up-Daten noch besser vor Zerstörung zu schützen, ist folgende Angriffsmöglichkeit zu adressieren:
- • Warten auf das Schalten von Bridge 21.
- • Linux-System (Cache) durch einen unbekannten „Super-Exploit“ ausnutzen und Schadcode an der Verschlüsselung vorbei platzieren.
- • Warten auf das Schalten von Bridge 22.
- • Zugriff auf Daten im Back-Up-Speicher erlangen und Dateien löschen/überschreiben.
-
Diese Angriffsmöglichkeit beschreibt nur ein theoretisches Modell und ist aktuell in der Praxis kaum möglich. In Relation zum Aufwand für Angriffe auf aktuelle Systeme stellt diese Angriffsmöglichkeit für den Angreifer einen deutlich erhöhten Aufwand dar, da der Angreifer die erste Schleusenphase und die zweite Schleusenphase überwinden muss. Somit ist das Risiko eines Angriffs auf den Hauptspeicher/Back-up-Speicher faktisch nicht unmöglich, aber doch sehr unwahrscheinlich, da es in den meisten Fällen nicht im Verhältnis zu Zeit-/Rechen-/Finanzressourcen steht.
-
Durch die Haupteinheit HSS (Haupt-SafeStorage), der Teil des Zwischenspeichers ist, werden die Grundziele des Schutzes vor Ransomware erreicht. Zusätzlich ergeben sich aber verschiedene Herausforderungen, wodurch der HSS (Haupt-SafeStorage) an seine Verarbeitungsgrenzen kommen kann:
- • Die Menge an Daten in der Initialisierungsphase übersteigt eine akzeptable Verarbeitungszeit.
- • Die Verarbeitungsmenge in Systemen übersteigt die Kapazität der Daten im 24h Zyklus (oder sogar kürzere Zyklen).
- • Der Einsatz von parallelgeschalteten HSS ist nicht effizient, da es in so einer Konfiguration verschiedener HSS bedarf, obwohl technisch gesehen nur eine gültige Konfiguration benötigt wird. Bei dem Smart-Restoring kann es Probleme bei dem Bereitstellen von Netboot-Images geben, da mehr als eine Angabe eines PXE-Servers innerhalb eines Netzwerkes per DHCP nötig wäre.
-
Einschränkend ist in jedem der genannten Punkte die Leistungsfähigkeit des Systems. Dies betrifft insbesondere die Bewertung durch Antimalware-Software, die im SafeStorage integriert ist. Zudem soll die eindeutige Zuordnung im Falle eines Smart-Restoring umsetzbar sein. Daher wird vorteilhafterweise nur ein Haupt- SafeStorage (HSS) vorgesehen, der die zentrale Managementstelle für die Client-Konfigurationen übernimmt, die Netzwerkinfrastruktur speichert und somit auch das Smart-Restoring (Datenwiederherstellung) umsetzt. Da im Falle eines Smart-Restoring der Prozess der Schleuse umgekehrt wird, gibt es hier keine Geschwindigkeitseinbußen. Malware-Analysen entfallen bei der Umkehrung des Prozesses und der Bereitstellung der Netboot-Images.
-
In vorteilhafter weiterer Ausgestaltung des Systems wird zusätzliche Leistung durch den Einsatz von LMUs (Leistungsmodulunterstützungen) gewährleistet. Das Prinzip wird durch 5 deutlich, wobei Bezugszeichen 53, 54, 55 Clientnetzwerke, wie das Datennetzwerk 32, bezeichnen. Die HSS 50 in Verbindung mit den LMUs 51 und 52 ersetzt den beschriebenen Zwischenspeicher 32 (auch als Gache bzw. Cache-Speicher bezeichnet), wobei die Authentifizierungsmethoden mit den LMUs 51 und 52 nach dem gleichen Verfahren, wie das mit Bezugszeichen 50 bezeichnete Hauptsystem bzw. Haupt-SafeStorage (HSS) ermöglicht. Auch das Schleusenverfahren inkl. des Bridge-Appliance Controllers also der Bridgesteuerung wird integriert. Somit ist ein vollständiges Schleusenverfahren ermöglicht. Es findet auf den LMUs eine gleichzusetzende Analyse von Malware mit äquivalenten Softwarebestandteilen statt.
-
Die Unterschiede der HSS zu den LMUs können sich aus den Zuständigkeiten ergeben. Das Smart-Restoring also das Wiederherstellen von Daten findet beispielsweise nur am HSS statt wobei vorgesehen sein kann, dass LMUs nicht am Verfahren beteiligt sind. Dabei kann vorgesehen sein, dass die Client-Datenbank, die für die Authentifizierungen genutzt wird, in Synchronisationsschleifen vollbracht wird. Das geschieht beispielsweise durch den internen Kommunikationskreis, insofern der HSS und eine LMU physikalisch in einem Netzwerk verbunden sind. (in 5: verbunden durch Bridge 22/Switch auf linker Seite).
-
Es kann vorgesehen sein, dass eine LMU folgende Konfigurationsangaben benötigt:
- • (Feste) IPv4-Adresse und/oder Domain
- • Bridge-Appliance Schaltzeiten des Schleusensystems
- • Anmeldedaten einer LMU am HSS für das Synchronisieren der Client-Authorisierungsdaten
-
Die LMU hat eine Höhe von 1HE und besitzt keinen Bildschirm. Die Einstellungen werden über ein Webpanel übermittelt (Bridgesteuerung/Bridge Appliance und Zwischenspeicher/Cache getrennt). Bei dem Client wird in der Erstkonfiguration vermerkt, welche LMU (Domain/ IPv4) er nutzen soll zur Erstsynchronisation und ob diese LMU langfristig im Netzwerk integriert ist oder nur zur Erstdatenverarbeitung dient. Außerdem wird die IPv4/Domain des HSS für das Restoring vermerkt (gilt für Restoring- Stufen, die nicht dem PXE-Boot entsprechen).
-
Um größere Datenübertragungsraten in der Initialisierungsphase zu gewährleisten, da alle Daten des gesamten Netzwerkes zu Beginn in den BackUp-Speicher übertragen werden sollten, werden standardmäßig LMUs dem Kunden mit ausgegeben. Die Anzahl an eingesetzten Initialisierung-LMUs hängt von der zu verarbeitenden Datenmenge ab. Wenn die Erstverarbeitung abgeschlossen ist, werden die genannten LMUs wieder entfernt und beim nächsten Kunden zur Initialisierung eingesetzt. Als Alternative kann SafeStorage mit den bekannten Geschäftsmodellen (Leasing/Kaufen/indirekter Vertrieb) die LMUs langfristig dem Netzwerk zur Verfügung stellen. Dies kann auch nachträglich passieren.
-
Eine neue Skalierung für den Bedarf an zusätzlichen LMUs kann insbesondere durch
- • den Einsatz von mehr Clients,
- • einen kürzeres BackUp-Zyklus,
- • oder einem ansteigenden Datenstrom
begründet sein.
-
Bezugszeichenliste
-
- 1, 101
- Datensicherungssystem
- 2, 102
- Steuerung
- 3
- Bridgesteuerung
- 4
- Logikschaltung
- 5
- Spannungsquelle
- 11, 111
- Netzwerksystem
- RLY1
- Schalter/Mosfet
- RLY2
- Schalter/Mosfet
- 21
- Bridge/Switch
- 22
- Bridge/Switch
- 31
- Datennetzwerk
- 32
- Zwischenspeicher/Cache
- 33
- Back-up-Speicher
- 41
- erste (z.B. nicht-drahtlose) Datenübertragungsverbindung (zwischen der ersten Bridge und dem Datennetzwerk)
- 42
- zweite (nicht-drahtlose) Datenübertragungsverbindung (zwischen der ersten Bridge und dem Zwischenspeicher)
- 43
- dritte (nicht-drahtlose) Datenübertragungsverbindung (zwischen dem Zwischenspeicher und der zweiten Bridge)
- 44
- vierte (nicht-drahtlose) Datenübertragungsverbindung (zwischen der zweiten Bridge und dem Back-up Speicher)
- 50
- HSS
- 51
- LMU1/Leistungsmodulunterstützung
- 52
- LMU2/Leistungsmodulunterstützung
- 53
- Client System 1
- 54
- Client System 2
- 55
- Client System 3
- 211
- Datensicherungssystem-Schnittstelle
- S1, S2, S11, S12, S13, S15, S16, S17, S21, S22, S23, S24, S25, S26 S3, S4, S14,
- Schritt
- S18
- Abfrage
