Backupstrategie für zwei NAS

[DaMoasta]

Servus zusammen,
ich bin Freiberufler und betreibe mit meinem Vater zusammen ein kleines Büro. Dort werkelt seit Jahren eine DS716+. Ich habe mir privat nun eine DS923+ geholt und bin schon fleißig am Einrichten. Hat sich doch einiges getan, seit ich mich 2016 das letzte Mal damit intensiv beschäftigt habe.
Nachdem sich jetzt durch das zweite NAS deutlich mehr Möglichkeiten ergeben, möchte ich meine Backup-Strategie nun überdenken und optimieren.
Beide NAS laufen mit RAID, so dass jeweils eine Platte abrauchen könnte. USV haben mittlerweile auch beide.
Die DS716+ hat letztes Jahr neue Platten bekommen, nachdem eine gemuckt hatte. Läuft jetzt mit 2x14TB, die USB-Platte hat 4TB.
Die DS923+ hat 2x18TB drinnen und eine 18TB-USB-Platte.
Folgende Sicherungen laufen derzeit:

DS716+ (Büro)
- tägliches Backup mit Versionierung auf eine externe USB-HDD (HyperBackup)
- tägliches, inkrementielles und verschlüsseltes Backup in eine Cloud (Strato Hidrive)
- gelegentliches Backup auf eine weitere USB-HDD, die ich mit nach Hause nehme. Dieses Backup mache ich mindestens vor einem anstehenden Urlaub.
- jetzt neu, ein zusätzliches Backup per VPN auf meine DS923+ (HyperBackup mit Versionierung) Intervall weiß ich noch nicht, es läuft noch die Erstsicherung.

DS923+ (Zuhause)
- Backup auf eine USB-HDD (HyperBackup mit Versionierung) läuft derzeit nur manuell, weil ich die Platte nicht dauerhaft angeschlossen haben will.
- Geplant ist ein Backup der wichtigsten Daten per VPN auf die 716+. Die weniger wichtigen Daten lasse ich hierbei aus Platzgründen weg.

So, jetzt Feuer frei für Verbesserungen.
Am meisten Schiss hab ich ehrlich gesagt vor Ramsomware. Die USB-Platten hängen ja immer dran, und können somit auch nachträglich verschlüsselt werden. Gleichzeitig ist es aber sinnvoll, das alles automatisch ablaufen zu lassen, weil sonst im Ernstfall das letzte Backup viel zu alt ist...
Wie kann ich es am besten konfigurieren, dass ältere Backups safe bleiben? Hab gesehen, da gibt's mittlerweile WORM-Möglichkeiten, etc.
Geschäftsdaten sind natürlich SEHR wichtig, deswegen hier auch das zusätzliche Hidrive. Das kostet aber natürlich auch wieder extra, weswegen ich das nicht unendlich aufbohren will. Geschäftlich sind es derzeit ca. 1,5TB. Privat weiß ich es noch nicht, die Kids füllen den Speicher gerade fleißig mit dem Zeug von Ihren Rechnern, Smartphones und Tablets, 4TB sind es schon... Aber dafür ist das NAS letztlich auch angeschafft worden.

Danke für eure Tipps!

 

[Thonav]

Moin!
Denke soweit passt schon alles. Wichtig ist es auf jedenfalls niemals mit einem administrativen User auf die Netzlaufwerke der DS zuzugreifen, d.h. Du nutzt hoffentlich einen User Damoasta, der ruhig auch in den Netzwerkanmeldungspasswörter der Windows Rechner hinterlegt ist.
Dort darf kein Admin-Zugang zur Synology hinterlegt sein.
Der Admin-User sollte ausschließlich für die DSM-Einstellungen verwendet werden. Auch für die "Tätigkeiten" wie TimeMachine (falls genutzt) habe ich einen User angelegt, der ausschließlich Zugang auf einen freigegebenen Ordner hat, auf den diese Backups hinterlegt werden. Sonst darf der nichts, keine Apps - ausschließlich smb darf/muss er benutzen.

 

[DaMoasta]

@Thonav merci, guter Hinweis.
Eigentlich hab ich solche Verbindungen nicht, werde das aber nochmal gegenchecken.
Ja, standardmäßig arbeiten alle (auch ich) mit Usern mit eingeschränkten Rechten.

Trojaner, die direkt auf dem NAS laufen gibt es eigentlich keine, oder? Habe im Hinterkopf, dass es bei QNAP mal einen gegeben hat?

Wie siehst du das mit den USB-Platten? Angesteckt lassen und den Job regelmäßig laufen lassen?

Kollege hatte letztes Jahr in seinem Büro einen Verschlüsselungstrojaner. Gemäß seinen Aussagen hat sich der als "Schläfer" auf allen Sicherungsplatten eingenistet und nach Monaten zugeschlagen und alles verschlüsselt. Einzig seine "Urlaubsplatte", die er immer vorm Urlaub ansteckt, war noch okay, weil der letzte Urlaub mehr als ein halbes Jahr her war. Die Daten hat er dann als Grundlage verwendet und er konnte das meiste über die Sicherung seines Mailproviders aus den Mails rekonstruieren. Möchte lieber nicht wissen, wieviele Stunden ih das gekostet hat...
Hab leider keine genaueren Angaben und er ist nicht so IT-affin. Weiß nur, dass er ein QNAP hat. Vor sowas hab ich Bammel, ich weiß aber nicht, auf welchem Gerät der tatsächlich gelaufen ist.

 

[dil88]

Ich würde beide Varianten empfehlen, denn beide Deiner Argumente sind richtig: Automatische Backups, um Aktualität sicherzustellen, und manuelle Backups, damit es auch Sicherungen gibt, die vom Stromnetz und der DS getrennt aufbewahrt werden. Gegen Ransomware sichere ich mich beispielweise mit einem eigenen rsync-Skript ab, was ich zunächst in einer Testvariante (dry-run) laufen lasse, mir anschließend das Logfile ansehe und erst dann, wenn das ok ist, das eigentliche Backup laufen lasse. Das ist natürlich Aufwand, so dass ich das nicht so oft mache. Bin auch noch am Optimieren und denke über das Thema Write-Once nach.

Edit: Synology hat in DSM 7.2.1 sogenannte WORM-Ordner und unveränderliche Snapshots angekündigt: https://www.synology.com/de-de/company/news/article/DSM_AI_Perf_combo. Details finde ich dazu aber bisher nicht.

PS: Herzlich willkommen im Forum!

 

[DaMoasta]

PS: Herzlich willkommen im Forum!

Danke

Edit: Synology hat in DSM 7.2.1 sogenannte WORM-Ordner und unveränderliche Snapshots angekündigt: https://www.synology.com/de-de/company/news/article/DSM_AI_Perf_combo. Details finde ich dazu aber bisher nicht.

Ja, das lässt sich schon nutzen, aber irgendwie weiß ich nicht, welche Konfig da sinnvoll wäre. Außerdem sind die Möglichkeiten dann zumindest bei HyperBackup beschnitten. Hab dann den testweise angelegten WORM-Ordner erstmal gelöscht und eine konventionelle angelegt, damit es erstmal überhaupt sichert. Verstehe noch nicht ganz, ob und wie das mit einer inkrementellen Sicherung funzt. Aber wenn, wäre es eigentlich ideal, wenn man die Sicherung erstellt und die wäre dann nicht mehr veränderbar. Vielleicht schreibt ja irgendwer mal was dazu.

 

[metalworker]

Grüße ,

also das besste wäre du hättest noch ein 3. NAS.
Das zieht sich dann die Daten per Pull Backup .
Dessen zugangsdaten solltest am besten nicht auf deinem PC speichern.

So würde auch bei einen TRojaner oder Angreifer auf dem PC und auf dem NAS so gut wie keine Chance bestehen das er dir noch die Backups löscht.
Weil er darauf gar kein Zugriff hat.

 

[DaMoasta]

Du wirst lachen, ich habe noch ein 3.
Aber das ist richtig alt. Muss mal nachsehen, glaube eine DS209 oder so in der Richtung. Vielleicht auch 211?
Hatte ich mal eingerichtet als Backup für die 716+, war die Vorgängerin davon. Aber das VPN mit der alten Fritzbox war soooo langsam, dass das nicht praktikabel war. Hat die Fritzbox zudem so belastet, dass Telefonate damit total abgehackt waren.
Funktioniert das dann noch mit so einem Dinosaurier? Unterstützen die auch aktuell große Platten?
Zeitgesteuertes Hochfahren hat sie unterstützt, WOL aber noch nicht.

 

[metalworker]

naja eher schwierig.

geht nur so richtig gut mit + Geräten und besser,
da kannst ABB nutzen was pull Backup unterstützt

 

[Benares]

vor allem gibt's wohl für ein so altes Schätzchen noch kein Hyper Backup.

 

[DaMoasta]

geht nur so richtig gut mit + Geräten

Ist ein +Gerät, wird trotzdem nicht gehen
DS207+