Business WriteOnce und ActiveBackup

[detleff]

Hi,

verstehe ich es richtig, dass man keine WriteOnce-Ordner mit ActiveBackup laufen lassen kann und wenn ja unter welchen Einstellungen?

Grüße
detleff

 

[Adama]

Dem steht schon alleine das Prinzip von ABfB im Wege...

Du sicherst einen Rechner das erste Mal und hast damit ein Image. Wenn du das nächste Mal sicherst, dann schreibt er in das bestehende Backup (Image) die neuen Daten und so weiter. Spätestens wenn Die Version-Rotation zuschlägt, werden alte Versionen (Daten) aus dem Backup entfernt.

Das kann mit einem WriteOnce-Ordner gar nicht funktionieren.

 

[detleff]

Danke, ja das dachte ich mir und fragte mich aber, inwiefern man die Sequenz für die Version-Rotation an die Schreibschutzsequenz anpassen kann. Müsste ja theoretisch gehen (zwecks Ransomware gedacht).

Man behält z.B. 7 Versionen und sichern 1xTag. Dann müsste der Schreibschutz bei WriteOnce nur 1 Woche gelten. verstehe ichs richtig?

Also "Timer for automatische Sperre" auf sofort und "Aufbewahrung" für 7 Tage.

 

[Adama]

Da Ransomware ja eher über einen zugreifenden PC/Notebook kommt, werden in dem Fall auch nur zugreifbare Shares verschlüsselt.

Der ABfB-Share gehört im Allgemeinen nicht dazu, es sei den, du hast da an den Rechten was geändert. Simpel ausgedrückt: Wo keine Rechte, da keine Verschlüsselung.

 

[detleff]

Was das angeht, sollte es ok sein:
- ActiveBackupforBusiness - schreibgeschützt für admin, Rest keinen Zugriff
- extra Ordner für die jeweiligen Clients mit je einem extra User - schreibgeschützt für User + schreiben/lesen für admin (oder brauche ich gar keine Schreibrechte für Admin, nur lesen für die Wiederherstellung?)
- Backup tasks sind über die jeweiligen User angelegt

Passt oder?

 

[Adama]

Über welche Variante des Backups in ABfB reden wir hier eigentlich? Die PC-Backups laufen alle in einen großen Pool, da muss nichts für die Benutzer angelegt werden.

Und die Anmeldung des ABfB-Clients läuft über einen eigenen Benutzer bei mir, der nur Rechte in ABfB hat. Zudem ist das ABfB-Backup ein Pull-Backup, d.h. die Syno holt die Daten.

Der Schreibschutz für den Admin bringt nur mittelbar was, da der Admin sich die Rechte selber wieder holen kann. Mit dem arbeitest du hoffentlich nicht.

 

[detleff]

Die PC-Backups laufen alle in einen großen Pool, da muss nichts für die Benutzer angelegt werden.

Hab halt entsprechende Clients, die backupt werden müssen, auf extra Ordner verteilt.

Und die Anmeldung des ABfB-Clients läuft über einen eigenen Benutzer bei mir, der nur Rechte in ABfB hat

So auch bei mir (nur, dass ich extra Ordner habe). Der jeweilige Nutzer hat nur "Schreibgeschützt" für seinen eigenen Ordner aktiviert bekommen, sonst nichts.

Mit dem arbeitest du hoffentlich nicht.

Standard-Admin-Konto ist deaktiviert, ich arbeite mit einem extra Admin-Konsto, wenns um Einrichtung geht und ansonsten, wie oben beschrieben, mit den jeweiligen Benutzerkonten für die Clients für Backup.

So dürfte das glaub passen.

 

[Adama]

Das klärt noch nicht, welche Art der Sicherung das ist: PC/Mac oder File Server.

Im ersteren Fall kannst du nur den Share wählen, auf den die Sierung geht, den/die Ordner legt ABfB an, darauf hast du keinen Einfluss.

Also vermute ich, du setzt die File Server-Sicherung ein, die braucht auch keinen Client, sondern läuft über einen SMB-Share des Clients. Nur da kann man Zielordner angeben.

 

[detleff]

Das klärt noch nicht, welche Art der Sicherung das ist: PC/Mac oder File Server.

Das sind ein paar Laptops und PCs + Windows Server

Ich kann für alle sehr wohl die Ordner auswählen, in die ich sichere. Weiß nicht mehr auf Anhieb, wie das einzurichten war, aber das läuft.

Andere Frage ist natürlich, ob es wirkilch nötig ist, die jeweiligen Clients innerhalb ihrer Ordner 'einzusperren', weil sie eh Rechte auf "schreibgeschützt" stehen haben. Wahrscheinlich kann man das Ganze auch in dem Gesamtordner von ABfB sichern und hat keine Sicherheitsnachteile.

 

[Adama]

Ich meinte in ABfB:

 

[detleff]

ah, verstehe. Die Clients laufen über PC/Mac und der Server über Physical Server.

Aber jetzt back2topic:
für welchen Zweck ist dann WriteOnce? Für usb copy, um mal Daten für längere zeit zu parken?

 

[Adama]

Dann musst du aber für jeden Rechner einen eigenen Share angelegt haben. Wie gesagt, den Sicherungen kannst du keinen (Unter)ordner auswählen, sondern du wählst (im Template) nur den Share aus:



Die Verzeichnisstruktur legt dann ABfB (auch pro Workstation) an.

Die Funktion "WriteOnce" ist ja letztlich einfach nur dafür da, um Daten (eine zeitlang) veränderungssicher aufzubewahren, egal wie sie in diesem Share landen.

Man muss sich halt darüber im Klaren sein, dass das bei manchen Nutzungen, wie z.B. ABfB sinnbefreit ist. Ich selber z.B. nutze das gar nicht, weil ich die Daten in einem extra Backup habe und das Backup-System nur während des Backups aktiv ist.

 

[detleff]

@Adama
jupp, jeder Client/User hat seinen shared folder
Macht es sicherheitstechnisch Sinn? ich dachte schon.

Ok, verstehe. Aber gabs noch keine Fälle, bei denen Ransomware auf die Synology über ABfB geschafft hat?
Theoretisch dürfte das bei der Rechteverteilung nicht gehen.

 

[Adama]

Nein, das macht in diesem Falle keinen Sinn, die Rechte-Verwaltung der Unterordner übernimmt sowieso ABfB.

Die andere Auswirkung betrifft eher die Platzausnutzung. ABfB beherrscht Komprimierung und Deduplikation. Besonders das letztere profitiert davon, je mehr Rechner in einem Pool (Share) gesichert werden.

Ich drücke es mal vereinfacht aus: Was ist bei allen Windows-Systemen mehr oder weniger gleich? Das Windows-Verzeichnis auf C:\ z.B. Da schlägt dann die Deduplikation zu und sichert das gewissermassen nur einmal und verweist dann auf diese Sicherung für die anderen Sicherungen.

Das ist natürlich nur ein Annäherung, da das eigentlich auf Blockebene passiert.

Anschauen, wie stark die Effekte sind, kannst du in den Speichereinstellungen:

 

[detleff]

hmmm, ok.
D.h. einzelne User für die Clients erstellen, aber alles in den ABfB-Ordner reinpfeffern?

 

[Adama]

Einzelne User macht auch nicht wirklich Sinn. Der User in ABfB sorgt nur für die Verbindung zur Anwendung.

Außerdem hat ein eigener Benutzer dann auch keine Rechte auf die anderen Shares, falls wir hier über die normalen Benutzer reden.

Du hast keinen wirklichen Sicherheitsgewinn, wenn du einzelne Benutzer für jeden Client nur zum Sichern erstellst.

 

[detleff]

ok, also reicht es, wenn man einen Backup-User mit Leserechten in dem ABfB-Ordner erstellt und diesen User bei allen Clients/Servern whatever verwendet?

 

[Kachelkaiser]

Du hast keinen wirklichen Sicherheitsgewinn, wenn du einzelne Benutzer für jeden Client nur zum Sichern erstellst

Ich denke schon. Jeder Benutzer sieht man dann im Portal mit die Rechner, die unter diesem Benutzer gesichert wurden.

 

[Adama]

Nicht zwingend. Es gibt ja eine Rechte-Unterscheidung zwischen ABfB, ABfB Agent und ABfB Portal.



Wenn dir die Rechte aufs Portal fehlen, kommst du nicht ans Backup. Zum Sichern reichen die Rechte zum Agenten.

 

[detleff]

genau und ich erlaube den Clients keinen Zugriff aufs Portal, nur auf den Agent mit Leserechten