Lupinhos Home

Hallo zusammen,

ich wollte mal meinen Denkansatz teilen und würde mich über weitere Hinweise freuen.

Meine Backups spiele ich nachts automatisiert auf ein Netzlaufwerk. Die Daten sichere ich mit HLB, die Systemplatte per Acronis True Image. Das funktioniert soweit reibungslos.

Nun würde ich gerne verhindern, dass ein möglicher Verschlüsselungstrojaner auf das Backup zugreifen kann und möchte nur für die Backups spezielle User/Pass verwenden, so dass die normalen Clients nur noch Leserechte haben.

Für HLB sehe ich im Moment zwei Möglichkeiten:

a) Start des Backup-Jobs mit einem anderen User
b) Über Vorher/Nachher-Aufgaben ein Netzlaufwerk verbinden/löschen

Grundsätzlich funktioniert beides, allerdings habe ich fest gestellt, dass die Zugangsrechte bestehen bleiben, solange parallel ein beliebiges Explorer-Fenster geöffnet ist. Erst wenn dieses geschlossen wurde, hat der Client keine Schreibrechte mehr. Warum MS dies so gelöst hat, ist mir unklar, lässt sich jedoch auch manuell reproduzieren.

Ich könnte jetzt brutal per taskkill den Explorer neu starten, allerdings ist dies schon eine sehr harte Methode.

Alternativ könnte ich per ftp auf die Netzfreigabe zugreifen, das unterstützt HLB (im Moment) jedoch nicht.

Fällt Euch noch eine Alternative ein, an die ich bislang noch nicht gedacht habe?

Vielen Dank,
SHC

Moin,

ich mache mir auch gerade gedanken wegen möglicher Verschlüsselungstrojaner die auch vor den Backupdateien nicht halt machen. Bei mir ist das Setup jedoch etwas anders, da ich auf eine externe USB-Festplatte backuppe. Das Backup enthält sowohl Systemdateien die nur als Admin lesbar sind wie auch EFS verschlüsselte Dateien.

Weiss jemand wie da das beste Vorgehen ist?

Könnte das funktionieren:
- Backup-User anlegen der zur Admin-Gruppe gehört.
- Backup Verzeichnis AUSSCHLISSLICH für Backup-User schreibbar machen.
- EFS Verschlüsselungszertifikat bei Backup-User Importieren.
- Hardlinkbackup nur noch von Backup-User ausführen lassen.

Wirkt ziemlich umständlich, oder?

Gruß Max

Wenn man den Backup-Job mit einem anderen User anlegt, muss man den Job zwingend über die Aufgabenplanung starten. Sonst wird der Benutzername nicht berücksichtigt. Das macht es etwas unpraktisch, da man das schnell wieder vergisst.

SHC

Hallo,
wenn ich dort Benutzername und Passwort eintrage und das Backup manuell starte, werden z.B. die Namenseinstellungen für das Backup nicht übernommen.

Statt z.B.
2016-09-24_02-30_Backup_Daten_HD_xyz
erscheint dann nur
2016-09-24_02-30_

Nur wenn ich den Backup-Auftrag über die Aufgabensteuerung starte, ist die Benennung korrekt.

Mache ich da etwas falsch?

Vielen Dank,
SHC

Hallo,

ich versuche mal meine Gedanken und Schwierigkeiten so genau wie möglich aufzuschreiben.

Allgemein
Wenn ich einen Backup-Auftrag mit Ziel im LAN über einen anderen Benutzer starte, bleiben die Benutzerrechte bis zur nächsten Ab-/Anmeldung bzw. Neustart erhalten. D.h. ein möglicherweise eingefangener Trojaner kann dann auf das Backup schreibend zugreifen. Dies ist scheinbar ein gewünschtes Verhalten von Windows.
Unterbinden lässt sich dies nur, wenn man nach dem Backup ein

Abweichender Benutzer, was ändert sich?
Der abweichende Nutzer muss auch tatsächlich auf dem Computer angelegt sein. Es reicht nicht aus die Zugriffsinformationen (Benutzer/Passwort) anzugeben.

Man kann den abweichenden Benutzer nur zusammen mit einer Uhrzeit auswählen. Im Zweifel muss 'einmalig' und ein Datum in der Vergangenheit wählen.

Sobald man einen anderen Benutzer verwendet, funktionieren die Mail-Einstellungen nicht mehr. D.h. man muss einmalig den Computer unter dem fremden Benutzer starten, HLB starten, die Mail-Einstellungen setzen und wieder abmelden.

Die Backup-Namensregel wird ebenfalls in den Einstellungen des jeweiligen Benutzers hinterlegt (gerade erst bemerkt), daher also auch die Namens-Schwierigkeiten. Email und Namenseinstellungen unter "Einstellungen" oben rechts.

Benennung
Hier weiß ich noch nicht, was ich falsch mache. Meine Benennung verschwindet immer mal.

In den allgemeinen Einstellungen: