EP2915046A1 - Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem - Google Patents

Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem

Info

Publication number
EP2915046A1
EP2915046A1 EP13786223.1A EP13786223A EP2915046A1 EP 2915046 A1 EP2915046 A1 EP 2915046A1 EP 13786223 A EP13786223 A EP 13786223A EP 2915046 A1 EP2915046 A1 EP 2915046A1
Authority
EP
European Patent Office
Prior art keywords
computer system
data
access
backup
recovery process
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
EP13786223.1A
Other languages
English (en)
French (fr)
Inventor
Heinz-Josef CLAES
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Technology Solutions Intellectual Property GmbH
Original Assignee
Fujitsu Technology Solutions Intellectual Property GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Technology Solutions Intellectual Property GmbH filed Critical Fujitsu Technology Solutions Intellectual Property GmbH
Publication of EP2915046A1 publication Critical patent/EP2915046A1/de
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G06F11/1469—Backup restoration techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/85—Active fault masking without idle spares

Definitions

  • the invention relates to a method for protected
  • the invention relates to a
  • a computer program product comprising a computer program which when executed on a computer system performs such a method.
  • the invention relates to a
  • Access to the hardware or access to the software of a computer system to maintain and manage the computer system, so that an error-free operation of the computer system or an error-free use of the computer system by end users is guaranteed.
  • the problem is that the extended access rights of system administrators or administrators in general also allow access to personal or confidential data stored on the operated computer system. For example, administrators have the ability to read sensitive data from end users.
  • Actions are required to prevent access to confidential data within a computer system.
  • system data or user data stored in a backup computer system may be subject to unauthorized access by system administrators or
  • the invention is therefore based on the object
  • Computer system to show which by technical measures to protect and prevent unauthorized access to data stored in a backup computer system on a source computer system.
  • Queries access information of a user group to access a recovery process, but prohibits access of the user group to the data or data content (for example, in the backup and / or source computer system).
  • Restoration process can be instructed by a user of the user group, if the queried
  • Access information matches stored user group access information, wherein the instructed recovery process comprises rewriting selected data from the backup computer system to the source computer system.
  • Recovery process for restoring data from the backup computer system to a source computer system. Access to the data both in the backup computer system and in the source computer system as well as during their
  • Access control is prohibited to the user of the user group by the access control unit. This means that if a user successfully authorizes over the
  • a writeback of selected data from the backup computer system to the source computer system can be automated.
  • the access control is a security hurdle, so that the data can not be accessed, but only their recovery can be triggered on a source computer system.
  • system administrators or administrators can not modify or manipulate relevant data, let alone open and read. Nevertheless, system administrators or administrators can perform their system support tasks by initiating or executing targeted recovery of data on a source computer system (from which that data originates), such as backing up the source computer system again and performing a specific backup Error condition can be solved.
  • the data in the backup computer system may be any data of a system, for example user data,
  • source computer system includes any kind
  • Backup process in the backup computer system via a computer network can store.
  • data stored in the backup computer system originates from at least one such computer system as its source. It is also conceivable that the source computer system and the backup computer system are set up as an overall system. In this case, backup data will be within this
  • access to data includes any read and / or write access to data or
  • write access write permissions
  • to the source and / or backup computer system per se may be allowed by the access control to transfer data from the backup computer system to the source computer system
  • a designated recovery process thus only triggers a write-back of the data to the source computer system, from which the data actually
  • the data to be written back For example, certain information about the source computer system (eg IP or MAC address or
  • Path information that uniquely identify a predetermined source computer system.
  • I-Nodes hard links
  • the explained method can be carried out, for example, by means of an access control in a computer system which is implemented as system software or also within a microcontroller module as a logical sequence program or as a combination of both.
  • the access control can be used as an access control unit in a
  • Microcontrollers that are set up on multiple computer systems within a computer network infrastructure to allow the restoration of the data from a computer system as a backup computer system to another computer system as a source computer system.
  • the access control can also be set up on a dedicated
  • One application of the described method is advantageous within a secure or protected computer network infrastructure, so-called "sealed
  • a backup computer system (alternatively or supplementally also source computer systems) may generally be encapsulated such that access to some or all of the data or data content in such a computer system (ie, logical access on the computer system) and / or a mechanical access to the hardware of the computer system (that is, a physical access) not or only
  • Such systems may be arranged so that only predetermined data and
  • Information from the system can be passed unidirectionally outward within a network structure.
  • the provision of data within the backup computer system which previously brought the risk of unauthorized access to the data, can be improved in this way by the explained method, because the access to predetermined information in the backup computer system users of the user group only restricted or prohibited.
  • the data is preferably automatically written to a predetermined memory address or a predetermined memory location (which can also be a specific address space) in the source computer system.
  • Source computer system are present. This way you can a user of the source computer system can quickly find the data. It would be theoretically possible, all
  • the access control prohibits access of the user group whose users can instruct the recovery process in the backup computer system on data or
  • Data content in the source computer system or general access to the source computer system itself (possibly subject to write access to restore data to the source computer system). This generally means that users of the user group who have a
  • User group to the users who simultaneously have full access to the source computer system. For example, the user group containing the
  • Restore process in the backup computer system may be formed by system administrators or administrators. However, these will have access to data or
  • Data content is prohibited in the source computer system. Only a user group of end users of the source computer system has unrestricted access to data or data contents of the source computer system.
  • the access control can advantageously additionally access information of the at least one further user group to access the
  • the recovery process can be instructed by a user of the at least one further user group if the requested access information matches stored access information of the at least one further user group.
  • End users of a source computer system personally have access to data in the backup computer system, so they can read this data and at the same time can be written back from the backup computer system to their source computer system to perform a data recovery.
  • the access control allows a deletion or renaming, but no opening of files in which the data is summarized in the backup computer system or
  • This aspect applies in particular to the first user group, which can only instruct a recovery process in the backup computer system, but has no access to the data itself.
  • this user group may also be allowed to store files in the source Rename or delete the computer system.
  • deprecated information for example, by a system administrator or administrator can be deleted.
  • Files can also be renamed in the source computer system to prevent, for example, overwriting files while writing back from the backup computer system to the source computer system. This increases the flexibility in writing back.
  • the ability to delete or rename files is a manipulation of data, but this does not affect an increased privacy negative, because the information to be protected still can not be accessed.
  • directories are converted into a hash value and sent in this form to a user who can only instruct a restore process (eg administrator).
  • a restore process eg administrator
  • the latter sees only hash values instead of the actual combination of file path and file name.
  • the access controller can then use the hash values to select and if necessary, restore these files or
  • Directories are performed without confidential information being visible within the file paths or file names.
  • the implementation of a four-eye principle would be conceivable, with an editing of file names only by an administrator
  • the invention is characterized by a
  • the computer program product includes a computer program which when run on a computer system is a method of
  • the computer system has an access control unit for controlling
  • Controlling access to a restore process for recovering data in the computer system or in another computer system the access control unit configured to perform a method of the type discussed.
  • FIG. 1 shows a schematized representation of a computer network infrastructure for implementing a
  • inventive method and Figure 2 is a schematic representation of a computer network infrastructure for alternative implementation of a method according to the invention.
  • Figure 1 shows a schematic representation of a
  • FIG. 1 shows a backup computer system 1, an administrator computer system 4 and a plurality of source computer systems A, B and C.
  • This configuration is merely exemplary, wherein the computer network infrastructure may include other computer systems, in particular other source computer systems, or may have a different configuration.
  • the backup computer system 1 forms the central system of the infrastructure.
  • the backup computer system 1 can
  • the backup computer system 1 comprises a backup memory 31 in which backup data D_A, D_B, D_C of individual source computer systems A, B, C are stored.
  • the backup data D_A, D_B, D_C were, for example, transferred as part of a backup process of individual source computer systems A, B, C to the backup computer system 1 and stored by means of the access control unit 2 in the backup memory 31.
  • this process is not shown in FIG. In FIG. 1 it is assumed that backup data D_A, D_B, D_C are in some form stored in backup memory 31 to recover this data on at least one of the source computer systems A, B, C.
  • the backup computer system 1 is a protected or encapsulated system according to the configuration in FIG.
  • the backup computer system 1 may be part of a so-called “sealed infrastructure.” This means that access by users within the overall system (for example, through the administrator computer system 4 or one of the source computer systems A, B, C) of external to the protected backup computer system 1, in particular to backup data D_A, D_B, D_C is not possible in the backup memory 31. Thus, for example, access to the backup memory 31 from the outside may generally be prohibited
  • Access to a functionality of the access control unit 2 of the backup computer system 1 is allowed.
  • the backup memory 31 may be configured outside of the encapsulated system, in particular outside of the backup computer system 1.
  • all backup data D_A, D_B, D_C are advantageously present in encrypted form in the backup memory 31, so that access to the backup data D_A, D_B, D_C as such (ie to information to be protected) despite access to the backup memory 31 (eg for a restore, replication, etc.) is not possible.
  • An encryption can take place by means of the access control unit 2.
  • a recovery process of backup data D_A, D_B, D_C from the backup memory 31 to one of the source computer systems A, B, C can be carried out in accordance with FIG. 1 as follows.
  • An administrator tool 6 in the administrator computer system 4 can first of all authenticate an authorized user of the administrator computer system 4 at the
  • Access control unit 2 in the backup computer system 1 done.
  • a user for example gives a user name and / or a user password, generally predetermined
  • the administrator tool 6 may be any form of man-machine interface.
  • the access information is about
  • Communication interfaces 5 are transmitted to the access control unit 2 and compared within the access control unit 2 with pre-stored access information, so that a positive authentication of a user of
  • Access control unit 2 stored access information match. Otherwise, the denied
  • Access Control Unit 2 any access to components of the backup computer system 1 by the administrator computer system. 4
  • the access control unit 2 may also control the access control unit 2 .
  • the access control unit 2 may also control the access control unit 2 .
  • Administrator computer system 4 For example, in the case of an unsuccessful authentication of a user, a Error message or warning to the administrator computer system 4 are issued.
  • the access control unit 2 and / or the administrator tool 6 can, for example, provide a graphical user interface, via which a user of the administrator computer system 4 can make inputs or queries.
  • a user of the administrator computer system 4 ie by a system administrator or administrator
  • This recovery process causes the access control unit 2 to access the backup storage 31 in the backup computer system 1, with backup data D_A, D_B, D_C being transferred from the backup storage 31 to the access control unit 2.
  • the backup data D_A, D_B, D_C may for example be present in encrypted form in the backup memory 31 and within the access control unit 2 for further
  • the data D_A is transmitted to the source computer system A, the data D_B to the source computer system B, and the data D_C to the source computer system C. That is, each source computer system receives the backup data predetermined for that system.
  • the individual source computer systems A, B, C are advantageously also encapsulated systems (see each lock icon). It is conceivable that the systems A, B, C next to the system 1 or alternatively only in addition to the
  • Access control unit 2 subsystems of a protected
  • the backup data D_A, D_B, D_C can be stored
  • the memories 3A, 3B, 3C are arranged outside of the systems A, B, C as an alternative to the configuration shown in FIG.
  • data D_A, D_B, D_C are present in the memories 3A, 3B, 3C only in encrypted form (i.e., protected from unauthorized access to confidential information).
  • An appropriate encryption can by the
  • Access controller 2 has authenticated. However, access to the backup data D_A, D_B, D_C is prohibited for the administrator computer system 4. In addition, there is none
  • Access to backup data D_A, D_B, D_C in the backup memory 31 of the backup computer system 1 is, according to the configuration in FIG. 1, not permitted to any of the computer systems A, B, C and 4. However, the individual source computer systems A, B, C receive corresponding backup data D_A, D_B, D_C when the
  • FIG. 1 A changed situation is shown in FIG.
  • the individual components of the computer network infrastructure are essentially the same as in FIG. 1 (of course, the alternative configurations mentioned in connection with FIG. 1 are also possible), but with the
  • the source computer system B comprises a
  • Access control unit 2B which with the
  • Recovery process in the access control unit 2 is triggered.
  • the recovery process causes a backup data D_B to be loaded from the backup memory 31.
  • the backup data D_B may then be transferred from the access control unit 2 to the source computer system B via the communication interfaces 5, and therein
  • a user of system B may be an end user with full access to system B and also to data D_B in system B.
  • the user is an administrator, for example, who indeed has access to the system B, in particular to
  • an end user of the source computer system B at the same time has direct access to the backup data D_B in the backup memory 31 of the backup computer system 1. This can be done, for example, by setting up access rights to the backup data D_B in accordance with the access rights in the source computer system B.
  • This alternative may have the advantage for a user of the source computer system B, his backup data D_B directly in the backup computer system 1 to
  • access to the backup memory 31 in the backup computer system 1 depends on the security level and configuration of the encapsulated backup computer system 1. Of course, the highest security level is given if such access to the backup memory 31 is prohibited or simply not possible. Then, a user of the source computer system B can use only one
  • Access control unit 2 so that the corresponding backup data D_B to the source computer system B
  • Restore backup data D_A instruct from the backup memory 31 of the backup computer system 1 to the source computer system A. This procedure is analogous to the procedure already described according to FIG. An appropriate one
  • Recovery Process Recover_A causes a loading of the backup data D_A and a transfer of this data to the source computer system A, wherein the data D_A can be stored in the memory 3A, for example. Also with this
  • the source computer system C has no direct involvement in the situation according to FIG. Also in the embodiment according to FIG. 2, it is possible to provide a further component in addition to the access control unit 2, via the backup data D_A, D_B, D_C from the backup memory 31 for a
  • Access control unit 2 can be conveniently carried out via a graphical user interface.
  • the access control unit 2 can be used, for example, as
  • Computing component of the backup computer system 1 expires.
  • any transmission of backup data D_A, D_B, D_C in all embodiments can be carried out encrypted in order to provide access protection against unauthorized access to the backup data D_A, D_B, D_C also outside of the backup computer system 1 or outside of the systems A, B, C increase.
  • the expert can use all conceivable crypto techniques or encryption algorithms.
  • Embodiments are conceivable, which are also covered by the method according to the invention, computer program product and computer system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Bioethics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

Es wird ein Verfahren zum geschützten Wiederherstellen von Daten (D_A, D_B, D_C), welche in einem Backup-Computersystem (1) gespeichert sind, auf einem Quell-Computersystem (A, B, C) aufgezeigt. Dabei wird eine Zugriffssteuerung (2, 2B, 6) bereitgestellt, welche Zugriffsinformationen einer Benutzergruppe zum Zugriff auf einen Wiederherstellungsprozess (Recover) abfragt, jedoch einen Zugriff der Benutzergruppe auf die Daten (D_A, D_B, D_C) im Backup-Computersystem (1) verbietet. Der Wiederherstellungsprozess (Recover) kann durch einen Benutzer der Benutzergruppe angewiesen werden, wenn die abgefragten Zugriffsinformationen mit hinterlegten Zugriffsinformationen der Benutzergruppe übereinstimmen, wobei der angewiesene Wiederherstellungsprozess (Recover) ein Rückschreiben ausgewählter Daten (D_A, D_B, D_C) vom Backup-Computersystem (1) in das Quell-Computersystem (A, B, C) umfasst.

Description

Beschreibung
Verfahren zum geschützten Wiederherstellen von Daten,
Computerprogrammprodukt sowie Computersystem
Die Erfindung betrifft ein Verfahren zum geschützten
Wiederherstellen von Daten, welche in einem Backup- Computersystem gespeichert sind, auf einem Quell- Computersystem. Ferner betrifft die Erfindung ein
Computerprogrammprodukt, enthaltend ein Computerprogramm, welches bei Ablauf auf einem Computersystem ein derartiges Verfahren durchführt. Zudem betrifft die Erfindung ein
Computersystem, welches ausgebildet ist, ein derartiges Verfahren durchzuführen.
Systembetreuer oder Administratoren verfügen über
Zugriffsmöglichkeiten auf die Hardware bzw. Zugriffsrechte auf die Software eines Computersystems, um das Computersystem zu warten und zu verwalten, sodass ein fehlerfreier Betrieb des Computersystems bzw. eine fehlerfreie Benutzung des Computersystems durch Endnutzer gewährleistet ist.
Problematisch ist, dass die erweiterten Zugriffsrechte von Systembetreuern oder Administratoren generell auch einen Zugriff auf persönliche bzw. vertrauliche Daten ermöglichen, die auf dem betriebenen Computersystem gespeichert sind. So haben Administratoren beispielsweise die Möglichkeit, vertrauliche Daten von Endnutzern zu lesen.
Übliche Ansätze, um die Vertraulichkeit von Informationen bzw. den Datenschutz im Allgemeinen zu gewährleisten, sind dadurch gegeben, dass bestimmte Vorschriften (Prozesse, die eingehalten werden sollen) und Regeln (Ge- bzw. Verbote) zwischen den einzelnen Benutzergruppen eines Computersystems zum Beispiel vertraglich festgelegt sind. Problematisch bei diesen Ansätzen ist jedoch, dass Benutzergruppen mit
erweiterten Zugriffsrechten, zum Beispiel Mitarbeiter eines Software-Dienstleistungsunternehmens, kriminell sein können, erpresst oder bestochen werden. Somit sind technische
Maßnahmen erforderlich, welche den Zugriff auf vertrauliche Daten innerhalb eines Computersystems verhindern.
Insbesondere können Systemdaten oder Benutzerdaten, welche in einem Backup-Computersystem gespeichert sind, Gegenstand eines unerlaubten Zugriffs durch Systembetreuer oder
Administratoren sein. Führen Systembetreuer oder
Administratoren zum Beispiel einen Wiederherstellungsprozess zum Wiederherstellen der genannten Daten auf einem
ursprünglichen Quell-Computersystem durch, so haben sie generell Zugriff auf derartige Daten. Es sollte also
verhindert werden, dass Systemdaten von einem Systembetreuer oder Administrator verändert bzw. manipuliert werden oder vertrauliche Benutzerdaten gelesen werden.
Technische Maßnahmen einer Verschlüsselung derartiger Daten erlauben nur einen begrenzten bzw. umgehbaren Zugriffsschutz, weil die Daten durch kundige Benutzer entschlüsselt bzw.
rekonstruiert werden können oder durch geeignete Maßnahmen Verarbeitung (beispielsweise im Prozessorkern des Backup- Computersystems) oder während ihrer Rücksicherung im Quell- Computersystem in unverschlüsselter Form vorliegen. Maßnahmen einer Verschlüsselung der Daten sind folglich alleine nicht ausreichend, um einen erhöhten Datenschutz zu gewährleisten.
Der Erfindung liegt somit die Aufgabe zugrunde, ein
Verfahren, ein Computerprogrammprodukt sowie ein
Computersystem aufzuzeigen, welche durch technische Maßnahmen ein geschütztes Wiederherstellen von Daten, die in einem Backup-Computersystem gespeichert sind, auf einem Quell- Computersystem ermöglichen und einen verbotenen Zugriff auf diese Daten unterbinden.
Diese Aufgabe wird in einem ersten Aspekt durch ein Verfahren der eingangs genannten Art gelöst, wobei eine
Zugriffssteuerung bereitgestellt wird, welche
Zugriffsinformationen einer Benutzergruppe zum Zugriff auf einen Wiederherstellungsprozess abfragt, jedoch einen Zugriff der Benutzergruppe auf die Daten bzw. Dateninhalte (z.B. im Backup- und/oder Quell-Computersystem) verbietet. Der
Wiederherstellungsprozess kann dabei durch einen Benutzer der Benutzergruppe angewiesen werden, wenn die abgefragten
Zugriffsinformationen mit hinterlegten Zugriffsinformationen der Benutzergruppe übereinstimmen, wobei der angewiesene Wiederherstellungsprozess ein Rückschreiben ausgewählter Daten vom Backup-Computersystem in das Quell-Computersystem umfasst .
Ein derartiges Verfahren erlaubt einem Benutzer der
Benutzergruppe lediglich den Zugriff auf einen
Wiederherstellungsprozess zum Wiederherstellen von Daten aus dem Backup-Computersystem in ein Quell-Computersystem. Ein Zugriff auf die Daten sowohl im Backup-Computersystem als auch im Quell-Computersystem als auch während ihrer
Verarbeitung bei einem laufenden Rückschreibe- bzw.
Wiederherstellungsprozess (z.B. vermittels der
Zugriffssteuerung) ist dem Benutzer der Benutzergruppe jedoch durch die Zugriffssteuereinheit verboten. Das bedeutet, dass ein Benutzer bei erfolgreicher Autorisierung über die
Zugriffssteuerung durch Abfrage hinterlegter
Zugriffsinformationen lediglich den Wiederherstellungsprozess durchführen, anweisen bzw. auslösen kann. Ein Rückschreiben ausgewählter Daten vom Backup-Computersystem in das Quell- Computersystem kann automatisiert durchgeführt werden. Die Zugriffssteuerung stellt eine Sicherheitshürde dar, sodass auf die Daten nicht zugegriffen werden kann, sondern nur deren Wiederherstellung auf einem Quell-Computersystem ausgelöst werden kann.
Der Vorteil des erläuterten Verfahrens besteht darin, dass Systembetreuer oder Administratoren keine relevanten Daten verändern oder manipulieren, geschweige denn öffnen und lesen können. Dennoch können Systembetreuer bzw. Administratoren ihren Aufgaben einer Systembetreuung gerecht werden, indem sie ein gezieltes Wiederherstellen von Daten auf einem Quell- Computersystem (von dem diese Daten stammen) auslösen oder durchführen, sodass beispielsweise ein Backup des Quell- Computersystems erneut dort aufgespielt und ein bestimmter Fehlerzustand behoben werden kann. Die Daten im Backup-Computersystem können jegliche Daten eines Systems sein, zum Beispiel Benutzerdaten,
Konfigurationsdaten, Festplatten-Image-Daten, etc.
Der Begriff „Quell-Computersystem" umfasst jegliche Art
Computersystem, welches Daten der obigen Art über einen
Backup-Prozess im Backup-Computersystem vermittels eines Computernetzes ablegen kann. Somit stammen Daten, welche im Backup-Computersystem gespeichert sind, von zumindest einem derartigen Computersystem als deren Quelle. Es ist auch denkbar, dass das Quell-Computersystem und das Backup- Computersystem als ein Gesamtsystem eingerichtet sind. In diesem Falle werden Backup-Daten innerhalb dieses
Gesamtsystems über einen Backup-Prozess in einem Backup- Speicher abgelegt und können aus diesem wiederhergestellt werden .
Der Begriff „Zugriff auf Daten" umfasst in diesem Kontext jeglichen Lese- und/oder Schreibzugriff auf Daten bzw.
Dateninhalte. Der Begriff „Daten" kann dabei als
Informationen (Rohdaten in unverschlüsselter Form) verstanden werden. Ein Schreibzugriff (Schreibrechte) auf das Quell- und/oder Backup-Computersystem an sich kann vermittels der Zugriffssteuerung erlaubt sein, um Daten vom Backup- Computersystem auf das Quell-Computersystem
zurückzuschreiben .
Vorteilhaft schränkt der Wiederherstellungsprozess ein
Rückschreiben der Daten auf ein vorbestimmtes Quell- Computersystem ein. Dies hat den Vorteil, dass die Daten nicht auf ein beliebiges Computersystem zurückgeschrieben werden können, welches unter Umständen nicht das tatsächliche Quell-Computersystem der Daten darstellt. Auf diese Weise kann unterbunden werden, dass ein Systembetreuer bzw.
Administrator die Daten auf ein für diese Daten
nichtautorisiertes Computersystem überspielt. So wird
insbesondere der Fall unterbunden, dass ein Systembetreuer bzw. Administrator vertrauliche Daten eines ersten Benutzers aus dem Backup-Computersystem an ein Computersystem eines zweiten Benutzers überspielt, welcher nicht für einen Zugriff auf die vertraulichen Daten des ersten Benutzers autorisiert ist . Vorteilhaft löst ein angewiesener Wiederherstellungsprozess somit nur ein Rückschreiben der Daten auf das Quell- Computersystem aus, von welchem die Daten tatsächlich
ursprünglich stammen. Die rückzuschreibenden Daten können beispielsweise bestimmte Informationen über das Quell- Computersystem (z.B. IP- oder MAC-Adresse oder
Pfadinformationen, etc.) enthalten, die ein vorbestimmtes Quell-Computersystem eindeutig kennzeichnen. Es können aber auch sogenannte Hardlinks (I-Nodes) eingerichtet und vergeben werden, um ein Archivieren (Backup) bzw. Rückschreiben
(Wiederherstellen) von Daten bzw. Dateien (inklusive ihrer Attribute bzw. Metadaten) zu organisieren. Das erläuterte Verfahren kann beispielsweise vermittels einer Zugriffssteuerung in einem Computersystem durchgeführt werden, welche als Systemsoftware oder aber auch innerhalb eines Microcontroller-Bausteins als logisches Ablaufprogramm oder als eine Kombination von beidem implementiert ist. Die Zugriffssteuerung kann als Zugriffssteuereinheit in einem
Gesamtsystem (vereintes Quell- und Backup-System) integriert sein. Es ist aber auch denkbar, dass die Zugriffssteuerung mehrere Teilprogramme oder Software-Agenten oder
Microcontroller umfasst, die auf mehreren Computersystemen innerhalb einer Computernetz-Infrastruktur eingerichtet sind, um ein Wiederherstellen der Daten vom einem Computersystem als Backup-Computersystem in ein anderes Computersystem als Quell-Computersystem zu ermöglichen. Die Zugriffssteuerung kann auch auf einem eigens dafür eingerichteten
Computersystem neben einem Backup-Computersystem und einem
Quell-Computersystem eingerichtet sein. Es ist denkbar, dass die Zugriffssteuerung einem Benutzer einen Schreibzugriff auf das Quell-Computersystem zum Rückschreiben der Daten
einräumt, allerdings einen Lese- und/oder Schreibzugriff auf die Daten sowohl im Quell-Computersystem als auch im Backup- Computersystem verbietet. Eine Anwendungsmöglichkeit des erläuterten Verfahrens ist vorteilhaft innerhalb einer abgesicherten bzw. geschützten Computernetz-Infrastruktur, so genannte „Sealed
Infrastructure" , möglich. In einer derartigen Infrastruktur kann ein Backup-Computersystem (alternativ oder ergänzend dazu auch Quell-Computersysteme) generell derart eingekapselt sein, dass ein Zugriff auf bestimmte oder alle Daten bzw. Dateninhalte in einem derartigen Computersystem (das heißt ein logischer Zugriff auf das Computersystem) und/oder ein mechanischer Zugriff auf die Hardware des Computersystems (das heißt ein physischer Zugriff) nicht oder nur
eingeschränkt möglich sind. Derartige Systeme können so eingerichtet sein, dass nur vorbestimmte Daten und
Informationen vom System unidirektional nach außen innerhalb einer Netzwerk-Struktur weitergegeben werden. Insbesondere das Vorhalten von Daten innerhalb des Backup-Computersystems, was bisher die Gefahr eines unerlaubten Zugriffs auf die Daten mit sich brachte, kann auf diese Weise durch das erläuterte Verfahren verbessert werden, weil der Zugriff auf vorbestimmte Informationen im Backup-Computersystem Benutzern der Benutzergruppe nur eingeschränkt erlaubt oder verboten ist .
Bevorzugt werden die Daten beim Rückschreiben vom Backup- Computersystem in das Quell-Computersystem automatisch an eine vorbestimmte Speicheradresse bzw. einen vorbestimmten Speicherort (das kann auch ein bestimmter Adressraum sein) im Quell-Computersystem geschrieben. Dies hat für einen Benutzer des Quell-Computersystems den Vorteil, dass nach einem erfolgreich gefahrenen Wiederherstellungsprozess die
ursprünglichen Daten an einer vorbestimmten Stelle, z.B.
wieder an der ursprünglichen Stelle, im Datensystem des
Quell-Computersystems vorhanden sind. Auf diese Weise kann ein Benutzer des Quell-Computersystems die Daten schnell auffinden. Es wäre theoretisch auch denkbar, sämtliche
Verknüpfungen und Pfade wiederhergestellter Dateien auf einfache Weise derart zu rekonstruieren, dass der Benutzer des Quell-Computersystems ohne große
Anpassungsschwierigkeiten weiterarbeiten kann.
Vorteilhaft verbietet die Zugriffssteuerung einen Zugriff der Benutzergruppe, deren Benutzer den Wiederherstellungsprozess im Backup-Computersystem anweisen können, auf Daten bzw.
Dateninhalte im Quell-Computersystem oder einen generellen Zugriff auf das Quell-Computersystem an sich (gegebenenfalls vorbehaltlich eines Schreibzugriffs, um Daten auf das Quell- Computersystem zurückzuschreiben) . Das bedeutet allgemein, dass Benutzer der Benutzergruppe, welche eine
Wiederherstellung von Daten von Backup-Computersystem in das Quell-Computersystem anweisen können, nicht der
Benutzergruppe der Benutzer zuzuordnen sind, die gleichzeitig uneingeschränkten Zugriff auf das Quell-Computersystem haben. Beispielsweise könnte die Benutzergruppe, welche den
Wiederherstellungsprozess im Backup-Computersystem anweisen kann, durch Systembetreuer oder Administratoren gebildet sein. Diesen wird allerdings ein Zugriff auf Daten bzw.
Dateninhalte im Quell-Computersystem verboten. Allein eine Benutzergruppe von Endnutzern des Quell-Computersystems hat uneingeschränkten Zugriff auf Daten bzw. Dateninhalte des Quell-Computersystems .
Es ist allerdings denkbar, dass es neben der Benutzergruppe, welche den Wiederherstellungsprozess im Backup-Computersystem anweisen kann, jedoch keinen Zugriff auf die Daten im Backup- Computersystem hat, noch eine weitere Benutzergruppe gibt, die den Wiederherstellungsprozess im Backup-Computersystem ebenfalls anweisen kann, allerdings im Unterschied zur ersten Benutzergruppe auch Zugriff auf ausgewählte Daten im Backup- Computersystem hat. In diesem Fall kann die Zugriffssteuerung vorteilhaft zusätzlich Zugriffsinformationen der zumindest einen weiteren Benutzergruppe zum Zugriff auf den
Wiederherstellungsprozess abfragen und einen Zugriff der zumindest einen weiteren Benutzergruppe auf ausgewählte Daten im Backup-Computersystem zulassen. Wie bereits erläutert, kann der Wiederherstellungsprozess dabei durch einen Benutzer der zumindest einen weiteren Benutzergruppe angewiesen werden, wenn die abgefragten Zugriffsinformationen mit hinterlegten Zugriffsinformationen der zumindest einen weiteren Benutzergruppe übereinstimmen. Ein
Wiederherstellungsprozess kann somit durch den letztgenannten Benutzer dann angewiesen werden, wenn er sich analog zum bereits erläuterten Fall der ersten Benutzergruppe
erfolgreich am Backup-Computersystem authentifiziert bzw. autorisiert hat. Beispielsweise ist es denkbar, dass
Endnutzer eines Quell-Computersystems persönlich Zugriff auf Daten im Backup-Computersystem besitzen, diese Daten also lesen können und gleichzeitig vom Backup-Computersystem in ihr Quell-Computersystem zurückschreiben lassen können, um eine Datenwiederherstellung durchzuführen. Vorteilhaft lässt die Zugriffssteuerung ein Löschen oder Umbenennen, aber kein Öffnen von Dateien zu, in denen die Daten im Backup-Computersystem zusammengefasst sind bzw.
welche die Daten im Backup-Computersystem repräsentieren. Dieser Aspekt gilt insbesondere für die erste Benutzergruppe, welche lediglich einen Wiederherstellungsprozess im Backup- Computersystem anweisen kann, aber kein Zugriff auf die Daten selbst hat. Für diese Benutzergruppe kann es gemäß einem anderen Aspekt zudem erlaubt sein, Dateien auch im Quell- Computersystem umzubenennen oder zu löschen. Beide genannten Aspekte haben den Vorteil, dass Daten, welche erkennbar nicht mehr wiederhergestellt werden müssen oder können oder
veraltete Informationen darstellen, beispielsweise durch einen Systembetreuer oder Administrator gelöscht werden können. Dateien können auch im Quell-Computersystem umbenannt werden, um zum Beispiel ein Überschreiben von Dateien während des Rückschreibens vom Backup-Computersystem auf das Quell- Computersystem zu verhindern. Dies erhöht die Flexibilität beim Rückschreiben. Durch die Möglichkeit, Dateien zu löschen oder umzubenennen, ist zwar eine Manipulation von Daten gegeben, diese berührt aber einen erhöhten Datenschutz nicht negativ, weil auf die zu schützenden Informationen dennoch nicht zugegriffen werden kann.
Generell ist es auch denkbar, Dateinamen insbesondere der ersten Benutzergruppe nur verschlüsselt oder alternativ in einen Hash-Wert umgewandelt anzuzeigen. Dies ist
beispielsweise sinnvoll, wenn vorbestimmte Dateipakete wiederhergestellt werden sollen, deren Dateinamen bereits private oder vertrauliche Informationen enthalten können. Dies ist jedoch nur dann sinnvoll, wenn eine
Wiederherstellung eines Dateipakets angewiesen werden soll, ohne dass spezifische Dateien anhand ihres Dateinamens ausgewählt werden müssen. Es ist beispielsweise denkbar, dass ein Endnutzer seine persönlichen Dateien oder ganze
Verzeichnisse über einen vorbestimmten Hash-Algorithmus (z.B. MD5) in einen Hash-Wert umwandelt und in dieser Form einem Benutzer, der nur einen Wiederherstellungsprozess anweisen kann (z.B. Administrator) übermittelt. Letzterer sieht anstelle der tatsächlichen Kombination aus Dateipfad und Dateinamen nur Hash-Werte. Über die Zugriffssteuereinheit kann dann mithilfe der Hash-Werte eine Auswahl und gegebenenfalls Wiederherstellung dieser Dateien oder
Verzeichnisse durchgeführt werden, ohne dass vertrauliche Informationen innerhalb der Dateipfade oder Dateinamen sichtbar sind. Alternativ oder ergänzend hierzu wäre auch die Implementierung eines Vier-Augen-Prinzips denkbar, wobei ein Bearbeiten von Dateinamen nur von einem Administrator
durchgeführt werden kann, wenn es durch einen entsprechenden Benutzer vorher freigeschaltet oder verifiziert wurde. In einem weiteren Aspekt wird die Erfindung durch ein
Computerprogrammprodukt sowie ein Computersystem gelöst. Das Computerprogrammprodukt enthält ein Computerprogramm, welches bei Ablauf auf einem Computersystem ein Verfahren der
erläuterten Art durchführt.
Das Computersystem weist eine Zugriffssteuereinheit zum
Steuern des Zugriffs auf einen Wiederherstellungsprozess zum Wiederherstellen von Daten im Computersystem oder in einem anderen Computersystem auf, wobei die Zugriffssteuereinheit dazu ausgebildet ist, ein Verfahren der erläuterten Art durchzuführen .
Weitere vorteilhafte Ausgestaltungen sind in den
Unteransprüchen sowie in der nachfolgenden
Figurenbeschreibung offenbart. Die Erfindung wird anhand mehrerer Zeichnungen nachfolgend näher erläutert.
Es zeigen: Figur 1 eine schematisierte Darstellung einer Computernetz- Infrastruktur zur Implementierung eines
erfindungsgemäßen Verfahrens und Figur 2 eine schematisierte Darstellung einer Computernetz- Infrastruktur zur alternativen Implementierung eines erfindungsgemäßen Verfahrens. Figur 1 zeigt eine schematisierte Darstellung einer
Computernetz-Infrastruktur umfassend mehrere Computersysteme. Insbesondere sind in Figur 1 ein Backup-Computersystem 1, ein Administrator-Computersystem 4 sowie mehrere Quell- Computersysteme A, B und C dargestellt. Diese Konfiguration ist lediglich beispielhaft, wobei die Computernetz- Infrastruktur noch weitere Computersysteme, insbesondere weitere Quell-Computersysteme, umfassen oder eine andere Konfiguration aufweisen kann. Das Backup-Computersystem 1 bildet das zentrale System der Infrastruktur. Das Backup-Computersystem 1 kann
beispielsweise ein Datenserver eines
Dienstleistungsunternehmens umfassen, wobei eine
Zugriffssteuereinheit 2 im Backup-Computersystem 1
eingerichtet ist, deren Aufgaben weiter unten näher erläutert werden .
Zudem umfasst das Backup-Computersystem 1 einen Backup- Speicher 31, in dem Backup-Daten D_A, D_B, D_C einzelner Quell-Computersysteme A, B, C gespeichert sind. Die Backup- Daten D_A, D_B, D_C wurden beispielsweise im Rahmen eines Backup-Prozesses von einzelnen Quell-Computersystemen A, B, C an das Backup-Computersystem 1 übertragen und vermittels der Zugriffssteuereinheit 2 im Backup-Speicher 31 abgelegt. Der Einfachheit halber ist dieser Vorgang jedoch in Figur 1 nicht dargestellt. In Figur 1 wird davon ausgegangen, dass Backup- Daten D_A, D_B, D_C in irgendeiner Form in Backup-Speicher 31 vorgehalten werden zur Wiederherstellung dieser Daten auf wenigstens einem der Quell-Computersysteme A, B, C.
Das Backup-Computersystem 1 ist gemäß der Konfiguration in Figur 1 als geschütztes bzw. eingekapseltes System
(gekennzeichnet durch ein Schloss-Symbol ) ausgeführt. Das Backup-Computersystem 1 kann beispielsweise Bestandteil einer so genannten „Sealed Infrastructure" sein. Das bedeutet, dass ein Zugriff von Nutzern innerhalb des Gesamtsystems (zum Beispiel vermittels des Administrator-Computersystems 4 oder eines der Quell-Computersysteme A, B, C) von außen auf das geschützte Backup-Computersystem 1, insbesondere auf Backup- Daten D_A, D_B, D_C im Backup-Speicher 31 nicht möglich ist. So kann beispielsweise ein Zugriff auf den Backup-Speicher 31 von außen generell verboten sein. Einzig ein beschränkter
Zugriff auf eine Funktionalität der Zugriffssteuereinheit 2 des Backup-Computersystems 1 ist erlaubt.
Es ist alternativ oder ergänzend auch möglich, dass nur die Zugriffssteuereinheit 2 Bestandteil des eingekapselten
Systems ist (dann wäre nur die Zugriffssteuereinheit 2 mit einem Schlosssymbol versehen) . Der Backup-Speicher 31 kann außerhalb des eingekapselten Systems, insbesondere außerhalb des Backup-Computersystems 1 eingerichtet sein. In diesem Falle liegen sämtliche Backup-Daten D_A, D_B, D_C im Backup- Speicher 31 vorteilhaft in verschlüsselter Form vor, sodass ein Zugriff auf die Backup-Daten D_A, D_B, D_C als solche (d.h. auf zu schützende Information) trotz eines Zugriffs auf den Backup-Speicher 31 (z.B. für eine Wiederherstellung, Replikation, etc.) nicht möglich ist. Eine Verschlüsselung kann vermittels der Zugriffssteuereinheit 2 erfolgen. Ein Wiederherstellungsprozess von Backup-Daten D_A, D_B, D_C aus dem Backup-Speicher 31 an eines der Quell-Computersysteme A, B, C ist gemäß Figur 1 folgendermaßen durchführbar. Über ein Administrator-Tool 6 im Administrator-Computersystem 4 kann zunächst eine Authentifizierung eines autorisierten Benutzers des Administrator-Computersystems 4 an der
Zugriffssteuereinheit 2 im Backup-Computersystem 1 erfolgen. Hierzu gibt ein Benutzer beispielsweise einen Benutzernamen und/oder ein Benutzerpasswort, allgemein vorbestimmte
Zugriffsinformationen, über das Administrator-Tool 6 im
Administrator-Computersystem 4 ein. Das Administrator-Tool 6 kann jegliche Form einer Mensch-Maschine-Schnittstelle sein.
Die Zugriffsinformationen werden über
Kommunikationsschnittstellen 5 an die Zugriffssteuereinheit 2 übertragen und innerhalb der Zugriffssteuereinheit 2 mit vorgespeicherten Zugriffsinformationen verglichen, sodass eine positive Authentifizierung eines Benutzers des
Administrator-Computersystems 6 erlaubt ist, wenn die
eingegebenen Zugriffsinformationen mit in der
Zugriffssteuereinheit 2 hinterlegten Zugriffsinformationen übereinstimmen. Andernfalls verweigert die
Zugriffssteuereinheit 2 jeglichen Zugriff auf Komponenten des Backup-Computersystems 1 durch das Administrator- Computersystem 4.
Gegebenenfalls kann die Zugriffssteuereinheit 2 auch
Informationen bzw. Befehle an das Administrator-Tool 6 im Administrator-Computersystem 4 senden (siehe bidirektionale Verbindung zwischen dem Backup-Computersystem 1 und dem
Administrator-Computersystem 4). So kann z.B. im Falle einer nicht erfolgreichen Authentifizierung eines Benutzers eine Fehlermeldung oder Warnung an das Administrator- Computersystem 4 ausgegeben werden.
Zur Kommunikation mit dem Administrator-Computersystem 4 kann die Zugriffssteuereinheit 2 und/oder das Administrator-Tool 6 beispielsweise eine grafische Benutzeroberfläche vorhalten, über die ein Benutzer des Administrator-Computersystems 4 Eingaben bzw. Einstellungen oder Abfragen vornehmen kann. Nach erfolgreicher Authentifizierung des Administrator- Computersystems 4 an der Zugriffssteuereinheit 2 kann von einem Benutzer des Administrator-Computersystems 4 (also von einem Systembetreuer oder Administrator) ein Befehl zum
Anweisen eines Wiederherstellungsprozesses Recover gegeben werden. In Figur 1 wird beispielhaft ein Befehl zum Anweisen eines Wiederherstellungsprozesses Recover_ABC zum
Wiederherstellen von Backup-Daten D_A, D_B, D_C aus dem
Backup-Speicher 31 an die einzelnen Quell-Computersysteme A, B, C gegeben. Hierzu wird der Befehl Recover_ABC an die
Zugriffssteuereinheit 2 im Backup-Computersystem 1
übertragen, wobei bei positiver Authentifizierung in der Zugriffssteuereinheit 2 ein Wiederherstellungsprozess
ausgelöst wird. Dieser Wiederherstellungsprozess verursacht einen Zugriff der Zugriffssteuereinheit 2 auf den Backup-Speicher 31 im Backup- Computersystem 1, wobei Backup-Daten D_A, D_B, D_C aus dem Backup-Speicher 31 an die Zugriffssteuereinheit 2 übergeben werden. Die Backup-Daten D_A, D_B, D_C können beispielsweise in verschlüsselter Form im Backup-Speicher 31 vorliegen und innerhalb der Zugriffssteuereinheit 2 zur weiteren
Verarbeitung entschlüsselt werden. Ein Zugriff auf die entschlüsselten Backup-Daten D_A, D_B, D_C wird durch die Zugriffssteuereinheit 2 aber verboten.
Anschließend werden die Backup-Daten D_A, D_B, D_C über
Schnittstellen 5 an die einzelnen Quell-Computersysteme A, B, C in der Computernetz-Infrastruktur übertragen. Dies erfolgt vorteilhaft nach erneuter Verschlüsselung innerhalb der
Zugriffssteuereinheit 2. Im Einzelnen werden die Daten D_A an das Quell-Computersystem A, die Daten D_B an das Quell- Computersystem B und die Daten D_C an das Quell- Computersystem C übertragen. Das bedeutet, jedes Quell- Computersystem erhält die für dieses System vorbestimmten Backup-Daten. Die einzelnen Quell-Computersysteme A, B, C sind vorteilhaft ebenfalls eingekapselte Systeme (siehe jeweils Schloss-Symbol ) . Es ist denkbar, dass die Systeme A, B, C neben dem System 1 oder alternativ nur neben der
Zugriffssteuereinheit 2 Teilsysteme eines geschützten
Gesamtsystems bilden oder eigenständige eingekapselte Systeme bilden. Somit ist es nicht autorisierten Benutzern verboten, auf Daten D_A, D_B, D_C (insbesondere in unverschlüsselter
Form) in den jeweiligen Systemen A, B, C zuzugreifen. Nur ein Schreibzugriff auf die Systeme A, B, C kann erlaubt sein, um ein Wiederherstellen von Backup-Daten D_A, D_B, D_C auf den Systemen A, B, C zu ermöglichen.
Die Backup-Daten D_A, D_B, D_C können gespeicherte
Informationen (z.B. IP- oder MAC-Adresse, Pfadinformationen, I-Nodes, etc.) darüber enthalten, an welches Ziel die Daten entsprechend zu senden sind. Diese Informationen können in der Zugriffsspeichereinheit 2 interpretiert werden, wobei die Backup-Daten D_A, D_B, D_C dann entsprechend verteilt werden. Alternativ zu der in Figur 1 dargestellten Konfiguration ist es auch denkbar, eine zusätzliche Steuerkomponente im Backup- Computersystem 1 vorzusehen, um die Daten aus dem Backup- Speicher 31 an die einzelnen Quell-Computersysteme A, B, C zurückzuschreiben. Eine derartige Zusatzkomponente hat den Vorteil, dass die Backup-Daten D_A, D_B, D_C nicht an die Zugriffssteuereinheit 2 selbst, sondern an die zusätzliche Komponente übergeben werden. Dadurch kann verhindert werden, dass ein Benutzer des Administrator-Computersystems 4 durch Manipulationen an der Zugriffssteuereinheit 2 unmittelbar Zugriff auf die Backup-Daten D_A, D_B, D_C erhält.
In den jeweiligen Quell-Computersystemen A, B, C können die jeweilig zurückgeschriebenen Daten D_A, D_B, D_C in
entsprechende Speicher 3A, 3B, 3C abgelegt werden. Auf diese Weise ist es beispielsweise möglich, System-, Konfigurations¬ oder Benutzerdaten aus dem Backup-Computersystem 1 in die ursprünglichen Quell-Computersysteme A, B, C
zurückzuschreiben. Es ist denkbar, dass die Speicher 3A, 3B, 3C alternativ zu der in Figur 1 dargestellten Konfiguration jeweils außerhalb der Systeme A, B, C eingerichtet sind. In diesem Fall liegen Daten D_A, D_B, D_C in den Speichern 3A, 3B, 3C nur in verschlüsselter Form (d.h. geschützt vor unerlaubtem Zugriff auf vertrauliche Informationen) vor. Eine entsprechende Verschlüsselung kann durch die
Zugriffssteuereinheit 2 oder durch Komponenten innerhalb der Systeme A, B, C erfolgen.
Es ist vorteilhaft, wenn der Wiederherstellungsprozess ein Rückschreiben der jeweiligen Daten ausschließlich auf das ursprüngliche Quell-Computersystem einschränkt. Das bedeutet, dass beispielsweise die Backup-Daten D_A ausschließlich an das Quell-Computersystem A zurückgeschrieben werden können. Eine entsprechend anderslautende Anweisung kann
beispielsweise durch die Zugriffssteuereinheit 2 abgebrochen oder gänzlich verboten werden. Auf diese Weise wird
verhindert, dass vertrauliche Daten, die nur für Benutzer eines bestimmten Quell-Computersystems zugänglich sein sollen, an ein anderes Quell-Computersystem übertragen werden .
Entscheidend bei der Konfiguration gemäß Figur 1 ist, dass ein Benutzer des Administrator-Computersystems 4
ausschließlich einen Wiederherstellungsprozess Recover_ABC anweisen kann, wenn er sich erfolgreich an der
Zugriffssteuereinheit 2 authentifiziert hat. Ein Zugriff auf die Backup-Daten D_A, D_B, D_C sind für das Administrator- Computersystem 4 jedoch verboten. Zudem besteht keine
Möglichkeit, über das Administrator-Computersystem 4 auf die Quell-Computersysteme A, B, C zuzugreifen.
Auf diese Weise besteht für einen Systembetreuer oder
Administrator lediglich die Möglichkeit, im Bedarfsfall einen Befehl an das Backup-Computersystem 1 zu versenden, wobei anschließend eine automatisierte Routine abläuft, um Backup- Daten D_A, D_B, D_C aus dem Backup-Computersystem 1 an die ursprünglichen Quell-Computersysteme A, B, C
zurückzuschreiben.
Ein Zugriff auf Backup-Daten D_A, D_B, D_C im Backup-Speicher 31 des Backup-Computersystems 1 ist gemäß der Konfiguration in Figur 1 keinem der Computersysteme A, B, C und 4 erlaubt. Die einzelnen Quell-Computersysteme A, B, C erhalten jedoch entsprechende Backup-Daten D_A, D_B, D_C, wenn der
Wiederherstellungsprozess Recover_ABC angestoßen wurde. Eine veränderte Situation ist in Figur 2 dargestellt. Hier sind die einzelnen Komponenten der Computernetz-Infrastruktur im Wesentlichen gleich aufgebaut wie in Figur 1 (es sind natürlich auch die im Zusammenhang mit Figur 1 genannten Alternativkonfigurationen möglich) , allerdings mit dem
Unterschied, dass nun beispielhaft auch das Quell- Computersystem B über eine Möglichkeit verfügt, auf die
Zugriffssteuereinheit 2 des Backup-Computersystems 1
zuzugreifen .
Dazu umfasst das Quell-Computersystem B eine
Zugriffssteuereinheit 2B, welche mit der
Zugriffssteuereinheit 2 im Backup-Computersystem 1
kommunizieren und interagieren kann. Auf diese Weise ist es einem Benutzer des Quell-Computersystems B möglich, sich über die Zugriffssteuereinheit 2B des Quell-Computersystems B an der Zugriffssteuereinheit 2 des Backup-Computersystems 1 zu authentifizieren. Ein entsprechender Prozess kann wie bereits im Zusammenhang mit Figur 1 erläutert ablaufen. Bei
erfolgreicher Authentifizierung eines Benutzers des Quell- Computersystems B am Backup-Computersystem 1 kann
beispielsweise ein Befehl Recover_B zum gezielten
Wiederherstellen von Backup-Daten D_B angewiesen werden.
Dieser wird an die Zugriffssteuereinheit 2 übertragen, wobei analog zum Vorgehen gemäß Figur 1 ein
Wiederherstellungsprozess in der Zugriffssteuereinheit 2 ausgelöst wird. Der Wiederherstellungsprozess bewirkt ein Laden von Backup-Daten D_B aus dem Backup-Speicher 31. Die Backup-Daten D_B können dann von der Zugriffssteuereinheit 2 vermittels der Kommunikationsschnittstellen 5 an das Quell- Computersystem B übertragen werden und in diesem
beispielsweise im Speicher 3B abgelegt werden, wie in Figur 2 dargestellt . Ein Benutzer des Systems B kann ein Endnutzer mit uneingeschränkten Zugriffsrechten auf das System B und auch auf Daten D_B im System B sein. Es ist aber auch denkbar, dass der Benutzer z.B. ein Administrator ist, welcher zwar einen Zugriff auf das System B hat, insbesondere auf
eingeschränkte Funktionalitäten der Zugriffssteuereinheit B für einen Wiederherstellungsprozess Recover_B, dem aber ein Zugriff auf Daten D_B verboten ist.
Es ist auch denkbar, dass ein Endnutzer des Quell- Computersystems B gleichzeitig einen direkten Zugriff auf die Backup-Daten D_B im Backup-Speicher 31 des Backup- Computersystems 1 hat. Dies kann beispielsweise dadurch erfolgen, dass Zugriffsrechte auf die Backup-Daten D_B entsprechend der Zugriffsrechte im Quell-Computersystem B eingerichtet sind. Diese Alternative kann für einen Benutzer des Quell-Computersystems B den Vorteil haben, seine Backup- Daten D_B unmittelbar im Backup-Computersystem 1 zu
bearbeiten, einzusehen, auszuwählen, usw.
Ein Zugriff auf den Backup-Speicher 31 im Backup- Computersystem 1 hängt jedoch von der Sicherheitsstufe und Konfiguration des eingekapselten Backup-Computersystems 1 ab. Die höchste Sicherheitsstufe ist natürlich dann gegeben, wenn ein derartiger Zugriff auf den Backup-Speicher 31 verboten oder schlicht nicht möglich ist. Dann kann ein Benutzer des Quell-Computersystems B ausschließlich einen
Wiederherstellungsprozess Recover_B in der
Zugriffssteuereinheit 2 anstoßen, sodass die entsprechenden Backup-Daten D_B an das Quell-Computersystem B
zurückgeschrieben werden. Analog zum Vorgehen gemäß Figur 1 kann parallel zum
erläuterten Vorgehen ein Administrator des Administrator- Computersystems 4 einen anderen Befehl Recover_A zum
Wiederherstellen von Backup-Daten D_A aus dem Backup-Speicher 31 des Backup-Computersystems 1 auf das Quell-Computersystem A anweisen. Dieses Vorgehen ist analog zum bereits gemäß Figur 1 beschriebenen Vorgehen. Ein entsprechender
Wiederherstellungsprozess Recover_A bewirkt ein Laden der Backup-Daten D_A sowie ein Übertragen dieser Daten an das Quell-Computersystem A, wobei die Daten D_A beispielsweise in dem Speicher 3A abgelegt werden können. Auch bei dieser
Konfiguration gemäß Figur 2 ist entscheidend, dass die
Benutzergruppe des Administrator-Computersystems 4 keinen Zugriff auf die Backup-Daten D_A, D_B, D_C im Backup-Speicher 31 des Backup-Computersystems 1 hat.
Das Quell-Computersystem C hat in der Situation gemäß Figur 2 keine direkte Beteiligung. Auch bei der Ausführung gemäß Figur 2 ist es möglich, neben der Zugriffssteuereinheit 2 eine weitere Komponente vorzusehen, über die Backup-Daten D_A, D_B, D_C aus dem Backup-Speicher 31 für eine
Wiederherstellung geladen werden.
Eine Kommunikation mit der Zugriffssteuereinheit 2 kann in sämtlichen dargestellten Ausführungsformen beispielsweise über eine grafische Benutzeroberfläche, zum Beispiel
browserbasiert, erfolgen. Dies hat den Vorteil, dass ein Benutzer, welcher einen Wiederherstellungsprozess Recover anweisen möchte, beispielsweise bestimmte Ordner (nicht deren Inhalt) anzeigen lassen kann, um Daten für den
Wiederherstellungsprozess auszuwählen, ohne diese Daten einsehen zu können. Auch die Authentifizierung und
gegebenenfalls zusätzliche Einstellungsmöglichkeiten an der Zugriffssteuereinheit 2 können über eine grafische Benutzeroberfläche komfortabel durchgeführt werden.
Die Zugriffssteuereinheit 2 kann beispielsweise als
Computerprogramm ausgeführt sein, welches in einer
Rechenkomponente des Backup-Computersystems 1 abläuft.
Entsprechendes kann sich für die Zugriffssteuereinheit 2B des Quell-Computersystems B sowie für das Administrator-Tool 6 des Administrator-Computersystems 4 ergeben.
Ferner kann jegliche Übermittlung von Backup-Daten D_A, D_B, D_C in sämtlichen Ausgestaltungen verschlüsselt durchgeführt werden, um einen Zugriffsschutz gegen unerlaubten Zugriff auf die Backup-Daten D_A, D_B, D_C auch außerhalb des Backup- Computersystems 1 bzw. außerhalb der Systeme A, B, C zu erhöhen. Der Fachmann kann sich dabei sämtlicher denkbarer Kryptotechniken bzw. Verschlüsselungsalgorithmen bedienen.
Die dargestellten Ausführungsformen sind lediglich
beispielhaft gewählt, wobei diverse alternative
Ausgestaltungen denkbar sind, welche ebenfalls von dem erfindungsgemäßen Verfahren, Computerprogrammprodukt sowie Computersystem abgedeckt werden.
Bezugs zeichenliste
1 Backup-Computersystem
2 Zugriffssteuereinheit
2B Zugriffssteuereinheit im Quell-Computersystem
31 Backup-Speicher
3A, 3B, 3C Speicher im Quell-Computersystem
4 Administrator-Computersystem
5 Kommunikationsschnittstellen
6 Administrator-Tool
A, B, C Quell-Computersystem
D_A, D_B, D_C Backup-Daten der Quell-Computersysteme
Recover Befehl zum Anweisen eines
Wiederherstellungsprozesses

Claims

Patentansprüche
1. Verfahren zum geschützten Wiederherstellen von Daten (D_A, D_B, D_C) , welche in einem Backup-Computersystem (1) gespeichert sind, auf einem Quell-Computersystem (A, B, C) , wobei eine Zugriffssteuerung (2, 2B, 6) bereitgestellt wird, welche Zugriffsinformationen einer Benutzergruppe zum Zugriff auf einen Wiederherstellungsprozess (Recover) abfragt, jedoch einen Zugriff der Benutzergruppe auf die Daten (D_A, D_B, D_C) verbietet,
wobei der Wiederherstellungsprozess (Recover) durch einen Benutzer der Benutzergruppe angewiesen werden kann, wenn die abgefragten Zugriffsinformationen mit hinterlegten
Zugriffsinformationen der Benutzergruppe übereinstimmen, und der angewiesene Wiederherstellungsprozess (Recover) ein
Rückschreiben ausgewählter Daten (D_A, D_B, D_C) vom Backup- Computersystem (1) in das Quell-Computersystem (A, B, C) umfasst .
2. Verfahren nach Anspruch 1, wobei der
Wiederherstellungsprozess (Recover) ein Rückschreiben der Daten (D_A, D_B, D_C) auf ein vorbestimmtes Quell- Computersystem (A, B, C) einschränkt.
3. Verfahren nach Anspruch 1 oder 2, wobei die Daten (D_A, D_B, D_C) beim Rückschreiben vom Backup-Computersystem (1) in das Quell-Computersystem (A, B, C) automatisch an eine vorbestimmte Speicheradresse im Quell-Computersystem (A, B, C) geschrieben werden.
4. Verfahren nach einem der Ansprüche 1 bis 3, wobei die Zugriffssteuerung (2, 2B, 6) einen Zugriff der Benutzergruppe auf Daten (D_A, D_B, D_C) im Quell-Computersystem (A, B, C) verbietet .
5. Verfahren nach einem der Ansprüche 1 bis 4, wobei die Zugriffssteuerung (2, 2B, 6) zusätzlich Zugriffsinformationen zumindest einer weiteren Benutzergruppe zum Zugriff auf den Wiederherstellungsprozess (Recover) abfragt und einen Zugriff der zumindest einen weiteren Benutzergruppe auf ausgewählte Daten (D_A, D_B, D_C) im Backup-Computersystem (1) zulässt, wobei der Wiederherstellungsprozess (Recover) durch einen Benutzer der zumindest einen weiteren Benutzergruppe
angewiesen werden kann, wenn die abgefragten
Zugriffsinformationen mit hinterlegten Zugriffsinformationen der zumindest einen weiteren Benutzergruppe übereinstimmen.
6. Verfahren nach Anspruch 5, wobei die Zugriffssteuerung (2, 2B, 6) einen Zugriff der weiteren Benutzergruppe auf Daten (D_A, D_B, D_C) im Quell-Computersystem (A, B, C) zulässt .
7. Verfahren nach einem der Ansprüche 1 bis 6, wobei die Daten (D_A, D_B, D_C) durch die Zugriffssteuerung (2, 2B, 6) verschlüsselt werden.
8. Verfahren nach einem der Ansprüche 1 bis 7, wobei die Zugriffssteuerung (2, 2B, 6) ein Löschen oder Umbenennen, aber kein Öffnen von Dateien zulässt, in denen die Daten (D_A, D_B, D_C) im Backup-Computersystem (1) zusammengefasst sind .
9. Verfahren nach einem der Ansprüche 1 bis 8, wobei die abgefragten Zugriffsinformationen wenigstens einen
Benutzernamen und ein Kennwort umfassen.
10. Verfahren nach einem der Ansprüche 1 bis 9, wobei die Zugriffssteuerung (2, 2B, 6) wenigstens einen Software- Agenten umfasst.
11. Verfahren nach Anspruch 10, wobei die Zugriffssteuerung (2, 2B, 6) zur Abfrage der Zugriffsinformationen und/oder zum Anweisen des Wiederherstellungsprozesses (Recover) und/oder zur Auswahl der Daten (D_A, D_B, D_C) für den
Wiederherstellungsprozess (Recover) eine graphische
Benutzeroberfläche bereitstellt.
12. Computerprogrammprodukt, enthaltend ein
Computerprogramm, welches bei Ablauf auf einem Computersystem (1, 4, A, B, C) ein Verfahren nach einem der Ansprüche 1 bis 11 durchführt.
13. Computersystem (1, 4, A, B, C) , welches eine
Zugriffssteuereinheit (2, 2B, 6) zum Steuern des Zugriffs auf einen Wiederherstellungsprozess (Recover) zum
Wiederherstellen von Daten (D_A, D_B, D_C) im Computersystem (1, 4, A, B, C) oder in einem anderen Computersystem (1, 4, A, B, C) aufweist, wobei die Zugriffssteuereinheit (2, 2B, 6) dazu ausgebildet ist, ein Verfahren nach einem der Ansprüche 1 bis 11 durchzuführen.
EP13786223.1A 2012-11-02 2013-10-31 Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem Ceased EP2915046A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102012110507.3A DE102012110507A1 (de) 2012-11-02 2012-11-02 Verfahren zum geschützten Wiederherstellen von Daten, Computerprogrammprodukt sowie Computersystem
PCT/EP2013/072799 WO2014068049A1 (de) 2012-11-02 2013-10-31 Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem

Publications (1)

Publication Number Publication Date
EP2915046A1 true EP2915046A1 (de) 2015-09-09

Family

ID=49518951

Family Applications (1)

Application Number Title Priority Date Filing Date
EP13786223.1A Ceased EP2915046A1 (de) 2012-11-02 2013-10-31 Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem

Country Status (5)

Country Link
US (1) US20150293818A1 (de)
EP (1) EP2915046A1 (de)
JP (1) JP2015533439A (de)
DE (1) DE102012110507A1 (de)
WO (1) WO2014068049A1 (de)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200133782A1 (en) 2018-10-26 2020-04-30 Dropbox, Inc. Restoring a directory to a state prior to a past synchronization event
CN113094505B (zh) * 2021-03-26 2023-12-19 成都卫士通信息产业股份有限公司 一种邮件归档方法、系统及电子设备和存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080091747A1 (en) * 2006-10-17 2008-04-17 Anand Prahlad System and method for storage operation access security

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4663992B2 (ja) * 2003-02-07 2011-04-06 パナソニック株式会社 端末装置及びそれを備えたデータ保護システム
JP4149315B2 (ja) * 2003-06-12 2008-09-10 インターナショナル・ビジネス・マシーンズ・コーポレーション バックアップシステム
JP2006113966A (ja) * 2004-10-18 2006-04-27 Ntt Docomo Inc 復旧制御装置及び復旧制御方法
US20080016127A1 (en) * 2006-06-30 2008-01-17 Microsoft Corporation Utilizing software for backing up and recovering data
US7941405B2 (en) * 2007-03-30 2011-05-10 Data Center Technologies Password protection for file backups
TW200846896A (en) * 2007-05-16 2008-12-01 Icp Electronics Inc System for backing up and recovering data and method for the same applied to data processing apparatus
US20090119772A1 (en) * 2007-11-06 2009-05-07 Mariette Awad Secure file access
JP4564044B2 (ja) * 2007-12-27 2010-10-20 株式会社日立製作所 電子機器サービス・システム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080091747A1 (en) * 2006-10-17 2008-04-17 Anand Prahlad System and method for storage operation access security

Also Published As

Publication number Publication date
US20150293818A1 (en) 2015-10-15
WO2014068049A1 (de) 2014-05-08
JP2015533439A (ja) 2015-11-24
DE102012110507A1 (de) 2014-05-08

Similar Documents

Publication Publication Date Title
DE60301177T2 (de) Programm, Verfahren und Vorrichtung zum Datenschutz
DE112007003231B4 (de) Programmierbare Anzeigevorrichtung und Steuersystem
DE102011077218B4 (de) Zugriff auf in einer Cloud gespeicherte Daten
DE112014000584T5 (de) Erreichen von Speichereffizienz bei durchgängiger Verschlüsselung unter Verwendung von nachgelagerten (Downstream-)Decryptern
EP2772856B1 (de) Verfahren zum Ausführen von Tasks auf einem Produktions-Computersystem sowie Datenverarbeitungssystem
EP2488986B1 (de) Verfahren und vorrichtung zum betreiben einer virtuellen maschine gemäss einer zugeordneten rechteinformation
DE112008002462T5 (de) Datensicherheitsvorrichtung
DE10244728A1 (de) System und Verfahren zum Schutz von Daten, die auf einer Speicherungsmedienvorrichtung gespeichert sind
WO2011061061A1 (de) Verfahren und vorrichtung zum zugriff auf dateien eines sicheren fileservers
DE102004047146A1 (de) Rechteverwaltung
EP2915046A1 (de) Verfahren zum geschützten wiederherstellen von daten, computerprogrammprodukt sowie computersystem
EP2915091B1 (de) Verfahren zum geschützten hinterlegen von ereignisprotokoll-daten eines computersystems, computerprogrammprodukt sowie computersystem
EP2491513B1 (de) Verfahren und system zum bereitstellen von edrm-geschützten datenobjekten
EP1700182B1 (de) Verfahren zum wiederherstellen eines berechtigungscodes
DE102014213454A1 (de) Verfahren und System zur Erkennung einer Manipulation von Datensätzen
DE102021129179A1 (de) Sichere intelligente container zum steuern des zugriffs auf daten
EP3580908B1 (de) Zugriffsverwaltungssystem zum export von datensätzen
DE102005062042A1 (de) Datenobjektverarbeitungssystem und Verfahren zur Bearbeitung von elektronischen Datenobjekten
WO2015121061A1 (de) Verfahren zum hochfahren eines produktions-computersystems
DE102012111181A1 (de) Speichersystem, insbesondere Cloud Storage System, und Computerprogrammprodukt
EP3105703B1 (de) Verfahren und system zum sichern von datenbankrelationen vor unberechtigtem zugriff
DE102015119140A1 (de) Verfahren zum Steuern des Zugriffs auf verschlüsselte Dateien und Computersystem
DE202015005361U1 (de) Vorrichtung, die Zugriffsschutz für strukturhaltige verteilte Daten realisiert
EP2846286B1 (de) Verfahren und Datenspeichersystem zum Schutz eines Festkörper-Datenspeichers gegen unauthorisierten Zugriff
DE10152121B4 (de) Regelbasierte Verarbeitungskontrolle mobiler Information

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20150422

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAX Request for extension of the european patent (deleted)
17Q First examination report despatched

Effective date: 20160204

REG Reference to a national code

Ref country code: DE

Ref legal event code: R003

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN REFUSED

18R Application refused

Effective date: 20160811