mikrocontroller.net

Forum: PC Hard- und Software Virensicherer Backup-NAS - Ist das möglich?


Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hallo zusammen,
ich stelle mit das so vor: Der NAS-Server interpretiert nicht die Daten, 
er schaufelt sie nur aus dem Netz auf die Festplatte und zurück ins 
Netzwerk.

Beim Ändern oder Löschen von Dateien müsste der NAS die Aktion auf einem 
Display anzeigen und vom Nutzer über OK oder Abbruch direkt am NAS
bestätigt werden.

Wie soll sich dabei ein Virus einnisten oder Daten auf dem NAS löschen 
oder verfälschen?

Falls das geht, ich habe dazu im Internet nix gefunden:
* Kennt jemand sowas?
* Gibt es das schon fertig out of the box?

VG Torstren

PS: Falls ich nicht auf dem Holzweg bin, könnte man die Konstruktion 
weiter ausbauen:
* Mehrere Aktionen in einem Transaktionsblock zusammenfassen und
  bestätigen lassen.
* Client-Software für Windows, Linux, Android usw. programmieren, die
  den sicheren Datentransfer durchführt.
* …

: Bearbeitet durch User
Autor: Reinhard S. (rezz)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Falls das geht, ich habe dazu im Internet nix gefunden:
> * Kennt jemand sowas?

Dafür müsste dein NAS die Daten eben doch interpretieren, damit er weiß, 
was Änderungen sind und was nicht.

> * Client-Software für Windows, Linux, Android usw. programmieren, die
>   den sicheren Datentransfer durchführt.

Was gefällt dir an den "gängigen" Lösungen wie SMB, SSH oder SFTP nicht, 
besonders in Verbindung mit einem Offline-Backup?

Autor: Vka (Gast)
Datum:

Bewertung
3 lesenswert
nicht lesenswert
Das könntest du mit Linux zusammenbauen. Ein read-only Samba Share für 
den täglichen Gebrauch und ein schreibbares Share zum Hochladen.
Auf Tastendruck läuft dann ein Virenscanner drüber und schiebt die 
sauberen Daten ins read-only Share.

Alternativ schau dir Dateisysteme mit Versionierung an, da kannst du 
Snapshots anlegen und zurückspringen. Z.B. ZFS
Oder (mein Favorit momentan) Seafile mit aktiviertem Versionsverlauf in 
der Bibliothek. Da kann man im Webinterface eine alte Version laden und 
dann vergleichen, wiederherstellen etc.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Einen Viren-verseuchten USB-Stick kann man nur noch entsorgen oder 
vielleicht irgendwie sicher überformatieren.

Aber das Backup ist dann weg.

> Was gefällt dir an den "gängigen" Lösungen wie SMB, SSH oder SFTP nicht

OK, falls man irgendwie sicherstellen kann, dass man bei einem Virus 
nicht das ganze Backup entsorgen muss. Kann man das denn bei SMB, SSH 
oder SFTP sicherstellen? Und könnte ein kommpromittierter PC im Netz 
nicht über SMB auch Dateien löschen? Mir fehlt noch der 
Bestätigungs-Knopf.

Vka schrieb:
> Das könntest du mit Linux zusammenbauen.
Das klingt gut. Wobei primär wichtig ist, dass genau dieses Linux 
nicht kompromittiert wird, auch falls da mal infizierte Dateien im 
Backup sind.

Eine verseuchte Datei könnte auch in dem read-only Share landen. Falls 
der Virus durch neuere Scanner erkannt wird, muss man sie löschen 
können.
Aber eine verseuchte Datei darf nicht das Linux vom NAS infizieren.

Reinhard S. schrieb:
> Dafür müsste dein NAS die Daten eben doch interpretieren
Die zu speichernden Daten nicht, nur die Transaktionsliste muss 
interpretiert werden und diese muss über einen Hardware-Taster bestätigt 
werden.

: Bearbeitet durch User
Autor: Stefan Us (stefanus)
Datum:

Bewertung
1 lesenswert
nicht lesenswert
Ich denke, deine Idee ist nicht weit genug gedacht.

Früher in den 80ern hatten die meisten Viren den Computer einfach nur 
lahm gelegt oder Dateien gelöscht. Doch das mach heute kaum noch jemand, 
denn davon hat niemand etwas.

Heute sind die folgenden Szenarien am häufigsten:

1) Persönliche Daten (wie Passwörter) stehlen.
2) Den Computer als Teil eines riesigen Schwarms fern zu steuern, um 
Webserver lahm zu legen.
3) Deine Dateien verschlüsseln, um Lösegeld zu fordern.

Die Punkte 1 und 2 zerstören keine Dokumente. Der Punkt 3 ist 
interessanter. Clevere Bösewichte verschlüsseln all deine Dateien aber 
verbergen das vor Dir, so dass du es wochenlang gar nicht bemerkst. Du 
kannst sie trotzdem einwandfrei öffnen. Und dann, wenn alles 
verschlüsselt ist, verlangt der Hacker plötzlich Lösegeld.

Ich sichere meine Dokumente mit dem "Backup Maker" in ZIP Dateien auf 
eine externe USB Festplatte. Diese ist jeden Monat nur für kurze Zeit 
angeschlossen. In der kurzen Zeit kann ein Virus unmöglich sämtliche 
alten Backups verschlüsseln, außerdem würde ich das an der Performance 
sofort bemerken.

Dein Lösungsansatz scheint mir wenig hilfreich. Ich möchte nicht jede 
Datei einzeln bestätigen müssen und ich denke, dass ein Virus genau in 
diesem Moment zuschlagen kann. Außerdem würde dieses Konstrukt nicht 
verhindern, dass ich selbst unwissend eine verseuchte Datei kopiere.

> Wie soll sich dabei ein Virus einnisten ...?

Indem er die Dateien in dem Moment manipuliert, wo du sie selbst 
überträgst. Wenn Virenscanner sie in diesem Moment prüfen können, dann 
können Viren Sie in diesem Moment auch manipulieren.

: Bearbeitet durch User
Autor: A. K. (prx)
Datum:

Bewertung
2 lesenswert
nicht lesenswert
Backup-Devices offline halten ist natürlich ein Weg, Schmutzfüssen den 
Zugriff darauf zu erschweren. Leider ist es auch ein Weg, dem Anwender 
die Arbeit zu erschweren. An/Abstecken, quittieren, ... täglich oder 
häufiger macht keinen Spass.

Online gehaltene Backup-Server sind aber u.U. auch für den Schmutzfuss 
zugänglich. Der kann dann neben den aktuellen Daten auch die sichtbaren 
Backups schädigen. Ein Weg, damit umzugehen, sind die genannten 
Snapshots, in ZFS oder auch btrfs.

Ein anderer Weg dreht die Initiative herum. Wenn das Backup-Device die 
Daten vom PC oder Server von sich aus abzieht und selbst normalerweise 
keine Dateidienste anbietet (Windows: Server Service, Linux: Samba/NFS 
Server), dann ist es kaum möglich, ohne manuelles Zutun vom lokalen Netz 
aus die Backups zu vernichten, von Betriebssystem-Bugs mit Remote 
Exploit abgesehen.

Im einem einfach gestalteten Fall habe ich das mit einem RasPi erledigt. 
Der weckt den Home-PC nachts per Wake-On-LAN auf, zieht sich dessen 
Datenbestand versioniert auf einen eigenen Datenträger und fährt den 
Client danach wieder runter. Aus dem Netz heraus muss dafür zu keiner 
Zeit Zugriff auf den Backup-Datenbestand möglich sein.

: Bearbeitet durch User
Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Stefan U. schrieb:
> Clevere Bösewichte verschlüsseln all deine Dateien aber
> verbergen das vor Dir, so dass du es wochenlang gar nicht bemerkst. Du
> kannst sie trotzdem einwandfrei öffnen. Und dann, wenn alles
> verschlüsselt ist, verlangt der Hacker plötzlich Lösegeld.

Auf einem PC kann das passieren, auf einem "Virensicheren Backup-NAS" 
nicht. Das ist zumindest die Frage: Ist das möglich?

> In der kurzen Zeit kann ein Virus unmöglich sämtliche alten Backups
> verschlüsseln.

Aber er kann das Speichermedium infizieren. Oder etwa nicht?

Du willst die Daten wiederherstellen, schließt die infizierte USB-Platte 
an und dann? Passiert nix? Der Virus bleibt auf der Festplatte?

Ich würde wohl die ganze Festplatte entsorgen. Wie machst Du das?

> Dein Lösungsansatz scheint mir wenig hilfreich. Ich möchte nicht jede
> Datei einzeln bestätigen müssen.

Nein, nicht jede einzelne Datei.
Transaktionen sind zu bestätigen. Also z.B.:
* Prüfsumme und Dateiliste anzeigen und fragen: "Backup speichern?"
* Backup-Name und Datum anzeigen und fragen: "Backup löschen?"
* … (also so, dass es benutzbar wird!)

>> Wie soll sich dabei ein Virus einnisten ...?
> Indem er die Dateien in dem Moment manipuliert, wo du sie selbst
> überträgst.

OK, da hilft dann nur ein altes Backup vor der Virus-Infektion
und eine Anforderung an die Backup-Software: Hash-Werte vergleichen.

A. K. schrieb:
> Im einem einfach gestalteten Fall habe ich das mit einem RasPi erledigt.
> Der weckt den Home-PC nachts per Wake-On-LAN auf, zieht sich dessen
> Datenbestand versioniert auf einen eigenen Datenträger…

Klingt auch gut. Ich würde aber nur bestimmte Dateien sichern wollen, 
nie alles. Das Konfigurieren der regeln auf dem RasPi stelle ich mir 
noch aufwendig vor. Gibt es da was fertiges? Oder müsste man das selbst 
programmieren?

Vka schrieb:
> Auf Tastendruck läuft dann ein Virenscanner drüber und schiebt die
> sauberen Daten ins read-only Share.

Ich denke, die Software auf dem Backup-NAS sollte nicht veränderbar 
sein. Bei jedem Scanner-Update könnte das Backup-NAS infiziert werden.

: Bearbeitet durch User
Autor: Stefan Us (stefanus)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
> Du willst die Daten wiederherstellen, schließt die infizierte USB-Platte
> an und dann? Passiert nix? Der Virus bleibt auf der Festplatte?

Natürlich, warum sollte der Computer unaufgefordert ein Programm von der 
Festplatte laden?

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
@stefanus: Warum steht überall, dass man keine USB-Sticks unbekannter 
Herkunft einstecken darf?

Autor: Stefan Us (stefanus)
Datum:

Bewertung
1 lesenswert
nicht lesenswert
> Warum steht überall, dass man keine USB-Sticks unbekannter
> Herkunft einstecken darf?

Weil sie sich ggf. als Tastatur anmelden und blitzschnell irgendwelche 
Eingaben auslösen. So schnell kannst du gar nicht gucken.

MEINE Festplatte ist nicht von unbekannter Herkunft, sondern von Conrad 
Elektronik. Ich vertraue darauf, dass Conrad mit keine bösartigen Geräte 
unterschiebt.

Autor: Andreas H. (ahz)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Eine verseuchte Datei könnte auch in dem read-only Share landen. Falls
> der Virus durch neuere Scanner erkannt wird, muss man sie löschen
> können.
> Aber eine verseuchte Datei darf nicht das Linux vom NAS infizieren.

Es wurde schon geschrieben, dass Du das Ganze mit einem Linux (Raspi or 
whatEverUwant) aufsetzen kannst.
Der Trick ist, dass man nur einen Speicher im Netz zur Verfügung stellt. 
Auf dem NAS kann man dann extern nichts starten.

Ein simple zu realisierender Plan:

* Du machst eine Partition für das OS. Die wird nicht exportiert, ist 
also extern nicht sichtbar/angreifbar.

* Du machst eine weitere Partition (Name "archive") die nicht exportiert 
wird.

* Du machst eine weitere Partition (Name "staging") die dann r/w 
exportiert wird. Sollte (im Vergleich zu archive sehr klein sein)

*Für die staging & archive Partitionen setzt Du das noexec flag in der 
fstab (schon fast neurotisch)

* Du baust einen Cronjob, der periodisch neue Daten von 
staging-->archive kopiert & die Daten auf staging löscht.
An dieser Stelle kannst Du auch Virenscanner etc. einhängen
Das kann man auch eleganter machen(Stichwort iNotify) um Änderungen 
sofort zu übertragen, wird aber komplizierter.
Die User permissions setzt Du entsprechend vorsichtig (z.B. noRootLogin, 
archive nur vom "CopyJob" schreibbar, der natürlich NUR dahin schreiben 
darf und der Einzige ist (ausser root), der staging & archive auf dem 
NAS sieht, etc).
Durch das noexec flag kann kein Program auf staging/archive mehr 
ausgeführt werden. Deine Viren vergammeln da einfach.

Deine "Allow-Knopf" packst Du in die Schreibtischschublade. Dann läuft 
das System auch, wenn Du mal nicht selber dabei bist (z.B.falls Du noch 
Family hast)

/regards

Autor: A. K. (prx)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Klingt auch gut. Ich würde aber nur bestimmte Dateien sichern wollen,
> nie alles.

Ist auch so. Hauptsächlich die Benutzerdaten. Ist ein Linux-PC, da ist 
das leicht auseinanderzuhalten.

> Das Konfigurieren der regeln auf dem RasPi stelle ich mir
> noch aufwendig vor. Gibt es da was fertiges?

Regeln? Das Backup-Prog ist:
https://www.greenend.org.uk/rjk/rsbackup/

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Wenn also auf der Festplatte keine AUTORUN.INF steht, kann man sie 
bedenkenlos anschließen? Ich staune. Zu MS-DOS-Zeiten reichte es, eine 
Diskette einzulegen und der PC war infiziert.

Dann mache ich mir vielleicht ganz umsonst sorgen?

Andreas H. schrieb:
> Ein simple zu realisierender Plan:…

Ich kenne mich mit Viren nicht so gut aus. Sehen das andere hier auch 
so, dass der Plan von Andreas H. sicher ist?

Falls das so einfach ist:
Warum habe ich so ein NAS nicht als fertiges Kaufprodukt gefunden?

Autor: oszi40 (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Stefan U. schrieb:
> Ich vertraue darauf, dass C* mit keine bösartigen Geräte
> unterschiebt.

Das ist Deine Hoffnung? Im letzten Jahrtausend hat eine Stadtverwaltung 
eine ganze Kiste werksneue "leere" 3M-Disketten eingeschweißt mit Virus 
erhalten.

Eigentlich kann man das Risiko nur minimieren wenn man mehrere 
unterschiedliche Medien benutzt und einige davon an einem sicheren Ort 
aufhebt. Mache wurden auch erst beim Restore infiziert. Deshalb mehrere 
und möglichst schreibgeschützt.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Andreas H. schrieb:
> * Du machst eine weitere Partition (Name "archive") die nicht exportiert
> wird.

Und wie kommen die Backups zurück zum Client?

Autor: Stefan Us (stefanus)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
> Wenn also auf der Festplatte keine AUTORUN.INF steht, kann
> man sie bedenkenlos anschließen?

Auch die würde Windows nicht mehr ohne Rückfrage starten. Wir sind nicht 
mehr im Jahr '95.

> Zu MS-DOS-Zeiten reichte es, eine Diskette einzulegen und der PC
> war infiziert.

Das ist nicht richtig. Ohne Befehl hatte DOS kein einziges Byte von der 
Diskette gelesen. Du meinst wohl das Booten von Diskette, das hatten 
Menschen mit Sachverstand jedoch im Bios deaktiviert.

>> Ich vertraue darauf, dass C* mit keine bösartigen Geräte unterschiebt.
> Das ist Deine Hoffnung?

Das ist Vertrauen, welches Conrad sich verdient hat.  Abgesehen davon 
benutze ich diese Festplatte schon seit zwei Jahren, da erwartet man 
keine bösen Überraschungen mehr.

Einen 100% Schutz ist technisch unmöglich. Selbst 99% würde ich nicht 
bezahlen wollen und wäre mit zu unpraktisch.

> Warum habe ich so ein NAS nicht als fertiges Kaufprodukt gefunden?

Vermutlich, weil jeder andere Vorstellungen von einer ausreichend 
sicheren Lösung hat. Jedes Produkt, dass erhöhte Sicherheit verspricht, 
wird in kürzester Zeit von "Experten" zerredet und bloßgestellt. Ich 
wage zu behaupten, dass diese Experten Ihr Gehalt oft indirekt von der 
Konkurrenz erhalten. Das ist ein ganz undankbarer Geschäftszweig. Ich 
bin froh, dass ich hier nur die Rolle des Consumers spiele.

Letztendlich kann sich keiner von uns absolut sicher sein, seinen 
Computer unter Kontrolle zu haben. Am wichtigsten ist, dass man sich 
einigermaßen sicher fühlt.

: Bearbeitet durch User
Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Stefan U. schrieb:
> Ohne Befehl hatte DOS kein einziges Byte von der Diskette gelesen.

OK, ich habe mir mit DIR den Inhalt anzeigen lassen.

Ich habe leider die Quelle nicht gefunden:
> Nun gibt es aber auch schon neue Viren, (laut PCWELT) die aktiv werden,
> alleine wenn man Dateilisten im Windows Explorer ansieht, dh das reine
> Zugreifen auf Verzeichnisse reicht aus, um diese Viren zu aktivieren, ein
> gezieltes aufrufen einer Datei ist nicht mehr nötig.
https://www.gutefrage.net/frage/kann-ein-virus-ueb...

Stefan U. schrieb:
> Einen 100% Schutz ist technisch unmöglich.

Ist die Frage "Virensicherer Backup-NAS - Ist das möglich?" also mit 
nein zu beantworten?

Wenn bei der Lösung von Andreas H.(ahz)^^ alles richtig konfiguriert 
ist,
wenn man postuliert, dass nicht von Anfang an ein Virus drauf war,
wenn man alle unnötigen Ports schließt und SSH nur per UART zulässt
und auch sonst keine Bediener-fehler macht:
Ist das System dann nicht zu 100% sicher?

Oder das System von  A. K. (prx)^^? Ich finde da gerade keine Lücke.

Autor: oszi40 (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Ist die Frage "Virensicherer Backup-NAS - Ist das möglich?" also mit
> nein zu beantworten?

Solange Programmierer schneller sind, als Hersteller von 
Antivirensoftware, ist immer ein Loch im Zaun offen. Mancher Angreifer 
hat sogar die AV-SW als Einfallstor genutzt. Denn AV-SW sollte alles 
prüfen was der Rechner hat. Damit besteht auch das Risiko daß er ohne 
Schreibschutz alles angreifen kann.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
oszi40 schrieb:
> Solange Programmierer schneller sind, als Hersteller von
> Antivirensoftware, ist immer ein Loch im Zaun offen.

Welche Antivirensoftware? Das Backup-NAS hat erstmal keinen Virus 
(Postulat) und die Frage ist: Kann man eins bauen, dass sich im 
laufenden Betrieb auch 100% sicher keinen Virus einfangen kann?

Von Bediener-Fehlern mal abgesehen …

Torsten C. schrieb:
> Ich denke, die Software auf dem Backup-NAS sollte nicht veränderbar
> sein. Bei jedem Scanner-Update könnte das Backup-NAS infiziert werden.

: Bearbeitet durch User
Autor: oszi40 (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Torsten C. schrieb:
>> Ich denke, die Software auf dem Backup-NAS sollte nicht veränderbar
>> sein. Bei jedem Scanner-Update könnte das Backup-NAS infiziert werden.

Das hatte ich auch mal gedacht. Dann kam z.B. der "Sasser" über das LAN 
und hat ungepatchte PCs gekillt. Eine total fehlerfreie SW kenne ich 
bisher noch nicht. Auch unter Linux gibt es Updates.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
oszi40 schrieb:
> Dann kam z.B. der "Sasser" über das LAN …
Gibt es solche Würmer auch für Linux?

oszi40 schrieb:
> Auch unter Linux gibt es Updates.
Updates würde man für ein Virensicheres Backup-NAS aber nicht machen.
Man würde ein neues NAS aufsetzen und das alte eine Zeit lang im 
Read-Only-Mode lassen, denke ich.

A. K. schrieb:
> Backup-Devices offline halten ist natürlich ein Weg, Schmutzfüssen den
> Zugriff darauf zu erschweren.

Und sie wären sicherer gegen Blitzeinschlag.
Vielleicht sollte man beide Versionen kombinieren.

Autor: Stefan Us (stefanus)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
> Nun gibt es aber auch schon neue Viren, (laut PCWELT) die aktiv werden,
> alleine wenn man Dateilisten im Windows Explorer ansieht

Das klappt aber nur, wenn der Explorer oder das Betriebssystem 
fehlerhaft ist. Ich denke, solche Fehler behebt Microsoft schnell.

Auch das NAS System kann Sicherheitslücken enthalten. Gerade im SMB 
Protokoll wurden in letzter zeit einige relevante Bugs gefunden, sowohl 
in Linux als auch in Windows.

100% Sicher geht einfach nicht.

Autor: A. K. (prx)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Stefan U. schrieb:
> Auch das NAS System kann Sicherheitslücken enthalten. Gerade im SMB
> Protokoll wurden in letzter zeit einige relevante Bugs gefunden, sowohl
> in Linux als auch in Windows.

Deshalb mein Ansatz, auf dem Backup-Server im Normalfall überhaupt 
keinen Fileservice anzubieten. Sondern ihn selber die Files holen zu 
lassen.

Autor: Genau (Gast)
Datum:

Bewertung
1 lesenswert
nicht lesenswert
Das schlimmste an den externen Datengräbern ist ja dass man in etlichen 
Monaten/Jahren womöglich einen alten Virus ausgräbt und sich den auf den 
sauberen Rechner zieht.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
@Genau(Gast)^^: Hauptsache das Backup-NAS ist 100% robust.
Für Arbeitsplätze, die am Internet hängen, hat man Virenscanner.

Stefan U. schrieb:
> 100% Sicher geht einfach nicht.

Nun sind wir hier ja im Mikrocontroller-Forum:
Wenn man das Backup-NAS hinter eine einfache Bridge/Firewall hängt?
Also eine mit einem µC und überschaubarer Komplexität ohne 
Betriebssystem?
Ware das Backup-NAS dahinter dann 100% sicher gegen Viren?

A. K. schrieb:
> Deshalb mein Ansatz, auf dem Backup-Server im Normalfall überhaupt
> keinen Fileservice anzubieten. Sondern ihn selber die Files holen zu
> lassen.
Was heißt "Normalfall"?
Ist das Verfahren auch bei Windows/SMB sicher?
Oder könnte auch dabei ein Linux-SMB-Protokoll-Exploit zuschlagen?
Und kann der Virus beim Restore durch einen Fehler im SMB-Protokoll auf 
das Backup-NAS kommen?

Ich könnte das nicht mit unterschreiben.

: Bearbeitet durch User
Autor: oszi40 (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Genau schrieb:
> einen alten Virus ausgräbt

Das kann Dir aber bei 1000 alten, verschlüsselten CDs aus dem Schrank 
auch passieren. Ein virenfreies Linux garantiert noch nicht, daß einige 
Gemeinheiten verschlüsselt aufbewahrt werden. rm -r

Autor: A. K. (prx)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Was heißt "Normalfall"?

Beim Restore könnte man versucht sein, nach Säuberung des Netzes den 
Backup readonly freizugeben.

> Ist das Verfahren auch bei Windows/SMB sicher?

Ich gehe davon aus, dass beispielsweise ein Linux völlig ohne aktives 
SMB auch nicht auf SMB-Exploits reinfällt. Und für das von mir oben 
verwendete Verfahren mit dem Home-PC und dem RasPi brauche ich kein SMB.

> Ich könnte das nicht mit unterschreiben.

Wenn du erreichen willst, dass deine Daten absolut sicher sind und in 
keiner denkbaren Weise geklaut oder von anderen vernichtet werden 
können, dann sorge dafür, dass keine Daten entstehen.

Soll heissen: Absolute Sicherheit gibts nicht.

: Bearbeitet durch User
Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
A. K. schrieb:
> Absolute Sicherheit gibts nicht.
Stefan U. schrieb:
> 100% Sicher geht einfach nicht.
Andreas H. schrieb:
> Deinen "Allow-Knopf" packst Du in die Schreibtischschublade.
Torsten C. schrieb:
> Nun sind wir hier ja im Mikrocontroller-Forum:…

Danke für Eure Antworten. :)
Dass ein 100%-Virenschutz auf dem NAS grundsätzlich nicht ginge,
kann ich aber noch nicht akzeptieren. Es gab ja schon Vorschläge:

Entweder der "Allow-Knopf" aus dem Eröffnungsbeitrag muss wieder aus der 
Schublade raus oder eine µC-Firewall und/oder ein entsprechend sicheres 
Protokoll sorgen für 100%-Sicherheit oder es geht einfacher.

A. K. schrieb:
> Und für das von mir oben verwendete Verfahren mit dem Home-PC und dem
> RasPi brauche ich kein SMB.
Du nicht, weil Du keine Windows-Clients hast oder man nicht, weil …?

A. K. schrieb:
> Beim Restore könnte man versucht sein, nach Säuberung des Netzes den
> Backup readonly freizugeben.
Das hört sich an wie "ich bin ziemlich sicher" aber nicht wie "ich 
brauche darüber nicht mehr nachdenken und kann umso ruhiger schlafen".

: Bearbeitet durch User
Autor: A. K. (prx)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Das hört sich an wie "ich bin ziemlich sicher"

Anders ausgedrückt: Ich setze mich in Autos und Flugzeuge, obwohl ich 
darin umkommen kann. Ich verlasse das Haus, obwohl ich überfahren werden 
kann...

> aber nicht wie "ich
> brauche darüber nicht mehr nachdenken und kann umso ruhiger schlafen".

...während mit dein Ansatz vorkommt wie "ich denke permanent drüber nach 
und schlottere vor Angst, es könne etwas passieren." ;-)

: Bearbeitet durch User
Autor: Daniel Abrecht (daniel-a)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Dass ein 100%-Virenschutz auf dem NAS grundsätzlich nicht ginge,
> kann ich aber noch nicht akzeptieren.

Ist aber so. Es besteht immer die Möglichkeit, dass ein Programm (z.B. 
smb service) oder firmware (z.B. in Ethernetkarte, bios, USB Geräten) 
sicherheitslücken oder backdoors hat, etc.


Ich verwende folgende Strategie: Ich habe 2 PCs, einen als file server, 
den anderen als backup server. Auf dem Backup server habe ich mit 
iptables alle eingehenden Verbindungen blockiert. Als ausgehende 
Verbindung erlaube ich nur ssh zum file server und E-Mail zu meinem mail 
server, um mir die Ausgabe des Backupscript zumailen zu können. Ein 
cronjob kopiert dann jeden Tag mit rsync automatisch die Daten. Ich 
behalte Backups bis zu einem Jahr. Der Witz des ganzen ist, dass kein 
gerät im Netzwerk auf den Backup server zugreifen kann, nichteinmal 
anpingen ist möglich. Falls ransomware oder viren die Daten auf dem file 
server zerstören, muss ich nur beim Backupserver das rsync Kommando 
eingeben, um das letzte gute Backup zurück zu kopieren. Natürlich gibt 
es dennoch sicherheitslücken: Falls der rsync oder der mail client einen 
bug hätten, oder der Netzwerkstack des Linux kernels, oder die Firmware 
der Netzwerkkarte, oder die Backdoor in der intel ME in der CPU, oder 
der Einbrecher der die Festplatte mitgehen lässt, etc. Aber ich denke es 
ist schon nahe am Ideal.

: Bearbeitet durch User
Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Daniel A. schrieb:
> Torsten C. schrieb:
>> Dass ein 100%-Virenschutz auf dem NAS grundsätzlich nicht ginge,
>> kann ich aber noch nicht akzeptieren.
> Ist aber so.
… und:
> … dass kein Gerät im Netzwerk auf den Backup Server zugreifen kann,
> nichteinmal anpingen ist möglich.

Das klingt nach 100%: Wie können "backdoors" oder "Sicherheitslücken" 
gefährlich werden, wenn der Backupserver noch nicht einmal angepingt 
werden kann?

: Bearbeitet durch User
Autor: A. K. (prx)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Das klingt nach 100%: Wie können "backdoors" oder "Sicherheitslücken"
> gefährlich werden, wenn der Backupserver noch nicht einmal angepingt
> werden kann?

Mit iptables lassen sich Intels ME-Löcher nicht absichern. Entsprechende 
Angriffe unterfliegen das Radar einer Firewall im Betriebssystem. Wenn 
das ein Thema ist, dann sollte also keine PC-Hardware eingesetzt oder 
zumindest ein vom ME erfasster Netzwerkadapter nicht genutzt werden.

Wobei noch vor 2 Jahren kaum jemand diesen Aspekt berücksichtigt hätte. 
Genau aufgrund solcher Effekte ist es absurd, 100% Sicherheit haben zu 
wollen. Denn von einer Stunde auf die nächste können diese 100% durch 
neue Information zusammenbrechen. Und wenn man dann erfährt, dass 
irgendwelche Löcher in manchen Kreisen schon lange bekannt waren und 
vielleicht auch genutzt wurden, dann weiss man hinterher, dass es auch 
vorher schon keine 100% waren.

: Bearbeitet durch User
Autor: Jens PICler (picler)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> Dass ein 100%-Virenschutz auf dem NAS grundsätzlich nicht ginge,
> kann ich aber noch nicht akzeptieren. Es gab ja schon Vorschläge:

Sag mal, willst du es nicht begreifen? Es wurde schon viel zu dem Thema 
geschrieben. Sinn eines NAS ist das Speichern und Bereitstellen von 
Daten. Woher soll das NAS wissen, ob die gerade geschriebene Datei von 
deiner Textverarbeitung oder einem Virus geändert wird. Das kann kein 
NAS. Die Software auf dem NAS selbst kann wie jede andere Software auch 
kompromittiert werden. 100% Sicherheit kann es nicht geben.

> Entweder der "Allow-Knopf" aus dem Eröffnungsbeitrag muss wieder aus der
> Schublade raus oder eine µC-Firewall und/oder ein entsprechend sicheres
> Protokoll sorgen für 100%-Sicherheit oder es geht einfacher.

Damit müsstest du bei jedem geschriebenen Byte den Allow-Knopf drücken. 
Schwachsinn. Woher soll deine wie auch immer geartete Firewall wissen, 
ob die aktuelle Schreibaktion auf dem Datenträger von einem Virus oder 
deiner Textverarbeitung stammt. Die große Gefahr ist nicht, dass du 
einen Virus auf dem NAS hast, sondern das ein(!) Virus auf irgendeinem 
PC im Netz deine Daten kompromittiert.

Nochmal: 100%ige Sicherheit gibt es nicht.

Autor: Hannes (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Torsten C. schrieb:
> ich stelle mit das so vor: Der NAS-Server interpretiert nicht die Daten,
> er schaufelt sie nur aus dem Netz auf die Festplatte und zurück ins
> Netzwerk.

Du laberst hier einen ziemlichen Haufen Scheiße zusammen. Du willst also 
einen NAS rein aus Hardware zusammenbauen, sagen wir ICs der 74** oder 
40** Serie, ohne RAM oder EEPROM, welche von Viren überschrieben werden 
können? Und die Logik in der Hardware gestaltest du so, dass sie 
beweisbar nicht von Viren missbraucht werden kann? Sonst frage ich mich, 
wieso dein NAS weniger Einfallstore bieten sollte als die Geräte von 
namhaften Herstellern?

Zudem, was für einen Sinn macht ein NAS, bei dem ich jeden 
Schreibzugriff auf einem Display bestätigen muss? Dann kann ich auch mit 
externer Festplatte von Gerät zu Gerät laufen. Letzteres hat den 
Vorteil, dass ich an jedem Ort der Welt an meine Daten komme, während du 
mit deinem dysfunktionalen NAS den eigentlichen Vorteil eines NAS ad 
absurdum führst.

Schließlich schützt deine manuelle Bestätigung in keinster Weise vor 
Viren. Die warten dann einfach brav auf die nächste Erlaubnis zum 
Schreibzugriff, bevor sie zuschlagen.

Fazit: nimm einfach eine fertige Lösung. Die größte Gefahr sind DAUs, 
die meinen, alles besser zu können. Es ist wie mit den Masern. Wenn es 
nicht so viele Minderbemittelte (wie Dich und Öko-Eltern) gäbe, die 
meinen, sie kämen mit alternativen Fakten gegen die Viren an, wären 
diese schon längst ausgerottet.

Autor: Stefan Us (stefanus)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Mal angenommen du hast einen NAS Server, der absolut un-hackbar ist.

Wie willst du verhindern, dass ein User eine bösartig manipulierte Word 
Datei auf dem NAS Speichert und später durch das Laden dieser Datei 
irgendein PC angegriffen wird?

Du hast einen Virenscanner erwähnt. Bei den letzten Tests hatte diese 
allerdings nur eine Erfolgsquote von etwa 50%.

Es sollte klar sein, dass Virenscanner keinen Schutz gegen gerade frisch 
entwickelte Viren bieten können (auch nicht die Heuristischen, das hat 
die Vergangenheit gelehrt). Und außerdem müssen sie regelmäßig Updates 
erhalten, was wiederum einen Angriffspunkt auf dein NAS mit sich bringt, 
den du vermeiden wolltest.

Selbst wenn du die Updates per CD installierst, könnte immer noch das 
Update selbst bösartig verändert sein. Wie willst du das erkennen? Dafür 
gibt es Prüfsummen - schön. Aber was ist, wenn der Hersteller des 
Updates bereits selbst einen Virus auf seinem Rechner hat? Oder wenn das 
Antiviren-Programm aus Versehen amok läuft? Das hat es alles schon 
gegeben.

Mach es nicht zu kompliziert. Den totalen Schutz gibt es nicht. Ein zu 
kompliziertes System verunsichert bloß die Anwender und das ist meist 
schlimmer, als gelegentlich einen Virus in Aktion zu erleben.

Autor: imonbln (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
100% Sicherheit wird es nicht geben! Ist halt so! ein Stück Holz ist 
100% sicher gegen Computer Viren. Aber auch nur weil da keine Programme 
laufen. Die gängigen Sicherheitskonzepte die ich kenne, arbeiten mit 
Schutzklassen und sind als "Defence in depth" ausgelegt. Aber wenn der 
Virus von einer Organisation mit den mitteln einer 3 letter Agency 
stammt, schlägt er durch deine gesamte Infrastruktur. Irgendwo habe ich 
mal gehört das pro 100 Zeilen Code 3 Kritische Bugs zu erwarten sind. 
Das heißt im nicht ganz korrekten Umkehrschluss, wenn deine NAS Lösung 
mehr als 30 Zeilen Sourcecode braucht, wird was durchgehen.

Jeden Schreibzugriff bestätigen zu lassen, kann nicht die Lösung sein. 
erstens kann ein Clever Virus einfach warten und zweitens, je nach 
Datenmenge und Protokoll werden da einige 1000 Bestätigungen auf dich 
zukommen. Wenn du die als Bulk abnickst kommt der Virus mit durch 
ansonsten dauert dein Backup ewig und der Benutzer ist genervt weil er 
den ganzen Tag immer Knöpfchen drücken muss.

Hier schon einige gute Ideen wie man einen NAS relativ sicher machen 
kann.
Themen die dazu zu beachten sind wären Trustedboot, Die Backupdaten auf 
eine Readonly noexec Partition schreiben. das OS der NAS mit capabilitys 
sichern, Mandory Access Controll nutzen und vielleicht einfach für die 
Hardware des NAS was anderes als X86 Technologie zu nutzen.
In der Hoffnung das der Virus  seine Assembler Exploit dann nicht nutzen 
kann.
Aber selbst wenn du alles richtig machst (Stand heute) kann ein Virus 
durch kommen und selbst wenn nicht, sollte einer deiner Computer ein 
Virus haben wird er im zweifel passiv auf deiner NAS eingelagert und 
kann beim Restore wieder in dein Netzwerk kommen.

Last but not least, ein Komplexes System wird selten sicherer dadurch 
das man mehr Komplexität hinzufügt, also auch mit der Idee ein neues 
Netzwerk Protokoll zu entwickeln wird das Problem nicht gelöst. denn 
erstens muss das Protokoll auf dem unsicheren Windows/Android Client 
laufen welcher sich den Virus gefangen hat und außerdem muss auch das 
Protokoll erkennen das dort gerade Viruscode übertragen werden soll!
Herzlichen Glückwunsch, ein weiter Virenscanner ist geboren..

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
1 lesenswert
nicht lesenswert
Hallo zusammen,
ich danke Euch für alle konstruktiven Beiträge. :)

Vielleicht war auch was für den einen oder anderen Mitleser dabei.

Was mich Betrifft: Ich habe viel gelernt und die Lösungen, bei denen ein 
Backup-Server (ich hätte nicht Backup-NAS schreiben sollen) auf die 
Clients und Fileserver zugreift, lassen hoffentlich auch mich ruhig 
schlafen. ;)

Einige Fragen und Argumente wiederholen sich inzwischen. Das häufigste 
Missverständnis war wohl: Es ging nicht darum, die Backup-Daten frei 
von infizierten Daten zu halten.

Es sollte nur sichergestellt werden, dass auf dem Backup-Server nie ein 
Schadprogramm ausgeführt wird, das ein Backup unbrauchbar machen könnte. 
Man kann die Hürden mit den oben genannten Hinweisen sehr hoch machen.

Liebe Grüße und einen schönen Rest-Weihnachtsfeiertag.
Torsten

Beitrag #5255405 wurde von einem Moderator gelöscht.
Autor: Paranoy (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hallo Torsten,

Wie wär's als OS-Speicher ein SATA-DOM mit Schreibschutzschalter 
einzusetzen?

Server werden beispielsweise so abgesichert: 
/www.heise.de/newsticker/meldung/Steckbare-Mini-SSDs-fuer-SATA-6G-und-US 
B-3-0-1673245.html.

Vor jedem Backup einen Kaltstart ausgeführt, der beseitigt auch mögliche 
Schadsoftware, die zwischenzeitlich in das RAM gelangen konnten.



Das sehe ich als großen Sicherheitsgewinn bzw. Vetrauensgewinn in das 
NAS-OS. Dann bleiben nur noch Firmwarekomponenten und Updatequelle als 
mögliche Angriffsziele für persistente Infektionen offen.

Autor: Torsten C. (torsten_c) Benutzerseite
Datum:

Bewertung
0 lesenswert
nicht lesenswert
@Paranoy: Cool, sowas braucht man auch für die ganzen Uralt-Backups, um 
sie direkt und gefahrlos für ein Restore anschließen zu können. Mal 
schauen, was da so lieferbar ist.

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [avrasm]AVR-Assembler-Code[/avrasm]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.