Diskstation a la Fort Knox absichern?

[Scallywag]

Hallo.

Durch die ganzen neuen Ransomware-Viren kam ich zu dem Entschluss mein Storage-/Backupkonzept zu überdenken.
Derzeit lagern meine Daten auf meinem Windows-Rechner und auf externen Platten. Davon existiert natürlich auch ein bzw. mehrere Backups.

Nun denke ich daraüber nach alle Daten auf einer NAS zu lagern und auf einer zweiten NAS ein Backup anzulegen.
Dabei sollen die Daten aber im Grunde nur "lesend" verfügbar sein, so dass ein Befall durch einen Virus ausgeschlossen sein sollte.
Lediglich meine aktuellen Projekte (z.B. Videoschnitt oder Fotobearbeitung) ziehe ich dann jeweils von der NAS auf mein internes Arbeitslaufwerk und schiebe sie
dann nach Bearbeitung wieder auf die NAS. Das könnte ja beispielsweise per FTP oder so erfolgen.

Wie sicher und praktikabel ist eine solche Vorgehensweise?

Wäre eine DS dafür gut geeignet?

 

[jugi]

Ersetze FTP durch SMB, dann klingt das schon ganz vernünftig. (Evtl. sogar etwas übervorsichtig, aber wenns für dich so funktioniert )
Eine DS wäre dafür auf jeden Fall geeignet. Von wie viel GB/TB Daten reden wir denn und welche "Komfortfeatures" soll das NAS noch haben? Was für Externe HDDs sind vorhanden und sollen die ggf. ins NAS wandern?

 

[Scallywag]

Also die Platten die vorhanden sind können alle weg, da eh bald zu klein.
Ich rechne mit ca. 4TB die in den nächsten 2 Jahren reichen sollten. Später dann vielleicht mit einer weiterne Platte erweitern.

WIe kann man denn per SMB vom Rechner auf die NAS schreiben ohne das gegebenenfalls ein Virus nicht auch darauf schreiben kann?
Kenne mich da nicht so aus.

Als Komfortfeatures wäre ein Streaming aller Videos und Fotos an andere Rechner und TVs schön. Das erfolgt ja dann auch nur lesend.
Einen Schreibzugriff von außern (Internet, Handy) benötige ich nicht wirklich.

Ich habe auch darüber nachgedacht die Backup-NAS an einem anderen Ort aufzustellen und das Backup dann über das Internet zu machen.
Das wäre nochmal eine Steigerung für mich. (DSL 100.000 ist vorhanden) Aber wie sieht es da mit der Sicherheit aus?

Hat es beim Backup Vorteile den Backup-Job von der Backup-NAS anzustoßen und die Daten somit zu "holen" anstatt sie vom Storage-NAS aufs Backup-NAS zu "senden"?

 

[jugi]

Schau dir mal die DS115 (oder DS116, wenn du noch etwas warten kannst) an, damit kannst du dann etwas rumspielen und sie später als BackupNAS verwenden.

Zu deinen weiteren Fragen gibts hier massig Infos im Forum, einfach mal ne runde stöbern Wenn was unklar ist, kannst du ja hier nochmal nachfragen.

 

[Iarn]

Ersetze FTP durch SMB, dann klingt das schon ganz vernünftig. (Evtl. sogar etwas übervorsichtig, aber wenns für dich so funktioniert )
Eine DS wäre dafür auf jeden Fall geeignet. Von wie viel GB/TB Daten reden wir denn und welche "Komfortfeatures" soll das NAS noch haben? Was für Externe HDDs sind vorhanden und sollen die ggf. ins NAS wandern?

Ich finde FTP nicht sonderlich unkomfortabel. Im Gegenteil haben FTP Clients durchaus Features, die ich bei SMB nicht habe wie das priorisieren von Übertragungen. Ich arbeite gerne mit Filezilla, zumal ich dann auf allen Betriebssystemen den gleichen Workflow habe. Und mit zwei Spalten wie bei Total Commander und co.

 

[Scallywag]

Total Commander nutze ich seit fast 20 Jahren. (Damals noch Windows Commander) Das ist quasi mein "Desktop"
Von daher finde ich FTP ja so interessant. Ich dachte, dass aktuelle Viren über FTP keine Chance haben, da nur Freigaben befallen werden.
Wie das mit SMB machbar ist weiß ich nicht, da muss ich mich erst einarbeiten. Vielleicht kaufe ich mal eine kleine DS und packe ne alte Platte rein um damit ein wenig spielen zu können.

Wobei mir die DS216+ wegen BTRFS ja besonders gut gefällt. Allerdings frage ich mich wie praktikabel BTRFS aktuell ist, da nicht alle Features unterstützt werden.
Die Performance ist mir eigentlich egal, da ich meistens nur Lesezugriff benötige. Aber es wäre schon toll zu wissen wenn eine Datei sich ohne Zutun verändert hat und man dann darauf reagieren kann.
Allerdings finde ich QNAP da aktuell im Vorteil, da ZFS dort wohl besser funktioniert.

 

[Iarn]

Also dann würde ich Dir persönlich folgenden Weg raten.:

Einen Nutzer mit Leserechten analog zu Deinem Windows Nutzer erstellen und die Freigaben per SMB lesend einbinden.
Dann einen zweiten Nutzer auf der NAS mit Schreibrechten ausstatten und diesen Nutzer dann nur verwenden, um sich per FTP zu verbinden. Solang der Virus nicht extrem gut programmiert ist und mit einem Keylogger Deine Tastatureingaben mitliest, dann dürfte das aus meiner Sicht eine sehr hohe Sicherheit darstellen.

PS ich gehe auf Linux einen sehr ähnlichen Weg

 

[Scallywag]

Ein Keylogger sollte bei FTP-Auto-Login doch keine Chance haben. Es sei denn er würde gezielt Filezilla angreifen.

 

[Fusion]

Filezilla speichert das Passwort im Klartext bzw base64 codiert in xml Dateien.

 

[jugi]

Wenn ein Keylogger im Spiel ist, ist sowieso alles verloren - daher lassen wir den Fall mal außer acht.

So wie ich das Setup anfangs verstanden habe gibt es 3-8 Readonly-Ordner in denen die Daten liegen und einen "öffentlichen" Ordner, in den alle ihre neuen Daten reinschmeißen können.
Jetzt gibt es 3-8 normale Benutzer, die in den PCs/Clients hinterlegt sind und die normal via FTP/SMB/Whatever auf das NAS zugreifen können.
Dazu gibt es einen Admin, der IMHO nur übers DSM auf die DS zugreifen sollte (leider kann man einzelnen Benutzern nicht bestimmte Dienste verbieten ) und über die File Station dann die Daten wegsortiert.

So lange niemals die Admin-Logindaten irgendwo auf den Clients gespeichert/eingegeben werden (Ausnahme: Vom Admin im Browser eingegeben) - und kein Keylogger im Spiel ist - sollte das Setup schon sehr sicher sein. Und in genau dem Setup gibt es dann imho auch keinen Vorteil mehr von FTP gegenüber SMB (u.a. weil was Fusion sagt)

p.s. ich fahre so ein ähnliches Setup momentan mit unseren Familienfotos - allerdings nicht aus Sicherheitsgründen, sondern eher aus Ordnungsfanatismus meinerseits - und das funktioniert eigentlich sehr gut