Ransomware-Schutz: zusätzliche Sicherung auf OMV-NAS

[DS920upgrade]

Moin

Situation:

- DS920+ mit SHR-1, BTRFS mit jeweils aktivierten Checksums in allen shared folders

viele Daten, Datenbanken, Dockercontainer usw. werden täglich mit Hyperbackup versioniert auf eine

- DS415play mit einzelnen HDD, ext4, kein RAID

gesichert.

Zudem: Backup auf an DS920+ angeschlossene USB-HDD mit Hyperbackup, auch versioniert.

Auf der DS920+ werden automatisiert BTRFS-Snapshots aller shared folders erstellt. Diese werden aber nicht mittels Snapshot replication extern gesichert, da die DS415play kein BTRFS unterstützt und somit nicht als Backupziel für Snapshots eingesetzt werden kann.

Ich hätte zusätzlich noch ein Selbstbau-NAS zur Verfügung, welches momentan mit Openmediavault 5 läuft und die Festplatte mit ext4 formatiert ist. OMV unterstütz btrfs nur rudimentär, und OMV 6 welches die Unterstützung verbessern wird, wird erst in einigen Monaten erwartet.

Würdet ihr nun einfach ein zusätzliches Pull-Backup via rsync ohne Versionierung von der DS920 auf die ext4-Partition in OMV ziehen? Oder bereits jetzt die OMV mit btrfs formatieren und versuchen, die Snapshot Replication auch auf ein Nicht-Synology-NAS zu verweisen? Geht das überhaupt, oder ist der Kauf einer 3. modernen Synology NAS mit btrfs-Unterstützung notwendig?

Alternativ könnte man das Selbstbau-NAS auch formatieren und Proxmox mit einer Syno-VM aufziehen, nur wird dann der Aufwand etwas hoch.

Wie viel Schutz ist gegen Ransomware überhaupt notwendig?

 

[NSFH]

Man kann sich auch todsichern ;-)
Dein backup auf die ext HD ist natürlich durch Ransomware extrem gefährdet. Darauf kannst du dich nicht verlassen.
Deine 415 muss raus aus dem lokalen LAN
Auf der 415 alles Löschen an Apps, ausser CMS und HB Vault
Dann die beiden DS direkt miteinander verbinden und die 415 nur noch via Remote aus der 920 steuern.
Per Hyperbackup nun ganz normale Datensicherungen von 920 auf 915 laufen lassen.
Die ext HD an die 915 anschliessen und die HB Datei dort ab und an sichern. Die ext HD dabei nach dem Backup immer aus dem System automatisch entfernen!
Dadurch, dass die 915 nun nicht mehr im LAN zu finden ist und das Protokoll von HB nicht durch Ransomware kompromittiert ist (zur Zeit) hast du deinen Ransomwareschutz.
Leider gibt es noch eine Schwachstelle: Das System läuft nur via Push und nicht Pull. Dazu die ext HD an der 915, die nicht durch die 920 ansprechbar ist.