6 verschiedene user nur für Backups?

[catchsyn]

Hallo zusammen,
ich habe aktuell folgende Backups eingerichtet:

• NAS → Cloud (Hetzner Storage Share) via Hyper Backup
• NAS → externe Festplatte via Hyper Backup
• Nextcloud → NAS via CloudSync+Hyper Backup
• NAS → zweite entfernte NAS via Hyper Backup (noch in Einrichtung)
• Laptop → NAS via Active Backup for Business (noch in Einrichtung)
• Zusätzlich: Snapshot Replication

Alle bisherigen Backup-Jobs habe ich mit dem Admin-User eingerichtet.
Im Alltag arbeite ich jedoch mit einem separaten Benutzerkonto ohne Admin-Rechte.

Mir wurde nun aus Sicherheitsgründen empfohlen, für Backup-Aufgaben einen eigenen, separaten Benutzer zu erstellen ( Ich arbeite auch mit Unternehmensdaten in der NAS).

Wie handhabt ihr das? Habt ihr für Backups einen eigenen Benutzer angelegt?
Und würdet ihr sogar für jeden einzelnen Backup-Job einen separaten User verwenden? In meinem Fall wären das 6 verschiedene User nur für Backup-Zwecke – das erscheint mir etwas übertrieben.

Ich freue mich auf eure Erfahrungen und Empfehlungen.

 

[Benie]

Die Client Backups mit ABB habe ich jeweils mit dem User der den Client nutzt eingerichtet, damit er auch die Wiederherstellung nutzen kann. (Bei vielen User kann man ja evtl. eine Gruppe einrichten.
Alles andere sichere ich mit einem extra dafür eingerichteten User bzw. auch extra eingerichteter Admin. Je nachdem was gebraucht wird, verwende ich dann.

 

[Der_Veranstalter]

Snapshots nutze ich gar nicht.

Firma:
Ich habe einen Superuser für ABfB (die Anwender brauchen da nichts machen, wenn restored wird, dann mache ich das).
Ich sichere zum Hetzner mit Anwender/Passwort 1
Ich sichere auf NAS A mit Anwender/Passwort 2
Ich sichere auf NAS B mit Anwender/Passwort 3

Daheim:
Dito, aber mit anderen Anwendern und Passwörtern, eh klar.

 

[Synchrotron]

Ja, jedes Backup hat einen eigenen User. Und der hat nur Zugriff auf dieses eine Backup. Für den Zugriff auf die aktiven Daten werden andere User benutzt, nie die Backup-User. Auch da wird je nach Zweck ein anderer User verwendet, also zum Beispiel einer für die Musikbibliothek, einer für Video (Jellyfin), einer für „seine“ Ordner etc.

Seit Ransomware gezielt zuerst die Backups eliminiert, bevor die eigentlichen Daten angegriffen werden, muss man seine Backups noch besser schützen. Dabei macht ein zero trust Ansatz am meisten Sinn. Wenn man mehrere Backups dem Zugriff eines einzelnen Users aussetzt, sind die Backups verloren, wenn dieser eine User kompromittiert wird.

Praktisch nutze ich für das Hauptbackup ActiveBackup für Business, das heißt eine Pull-Backup ohne Zugangsdaten auf dem Quellsystem. Das unabhängige Reserve-Backup wird als HyperBackup (Push) auf eine andere DS gespeichert. User und Jobs sind getrennt. Die beiden Backup-DS fahren nur für das Backup hoch, und schalten sich danach wieder aus.

 

[catchsyn]

Ja, jedes Backup hat einen eigenen User. Und der hat nur Zugriff auf dieses eine Backup. Für den Zugriff auf die aktiven Daten werden andere User benutzt, nie die Backup-User. Auch da wird je nach Zweck ein anderer User verwendet, also zum Beispiel einer für die Musikbibliothek, einer für Video (Jellyfin), einer für „seine“ Ordner etc.

Seit Ransomware gezielt zuerst die Backups eliminiert, bevor die eigentlichen Daten angegriffen werden, muss man seine Backups noch besser schützen. Dabei macht ein zero trust Ansatz am meisten Sinn. Wenn man mehrere Backups dem Zugriff eines einzelnen Users aussetzt, sind die Backups verloren, wenn dieser eine User kompromittiert wird.

Ich stehe nun etwas auf dem Schlauch. Ich hab nun angefangen den Backup-Plan "NAS → Cloud (Hetzner Storage Box) via Hyper Backup" neu zu aufzusetzen mit separatem User.
Ich hab nun den ersten Backup-User backuper_nas_cloud angelegt, mit eingeschränkten Rechten, d.h. er hat nur Leserechte für die Quell-Ordner. Gleichzeit soll er (aus Sicherheitsgründen) ja keinen Zugriff auf die Anwendung DSM haben.
Den Backup-Plan selbst muss ich aber mit meinem Admin (admin123) über DSM (Hyper Backup) erstellen. In Hyper Backup wird der Benutzer backuper_nas_cloud auch nirgends explizit abgefragt oder eingetragen.

Daher verstehe ich aktuell den Mehrwert nicht ganz: Wenn der Job ohne Backup-User backuper_nas_cloud läuft und vom Admin eingerichtet wird, welchen konkreten Vorteil bringt dann der zusätzliche Backup-User?