Unveränderliche Snapshots
So aktivieren und verwalten Sie unveränderliche Snapshots in VergeOS, die die vorzeitige Löschung von Systemsnapshots zum Schutz vor Ransomware für deren Aufbewahrungszeitraum von bis zu 7 Tagen verhindern.
Übersicht
Wichtig: Ein unveränderlicher Snapshot kann von niemandem gelöscht werden — einschließlich Administratoren und VergeOS Support — bis sein Sperrzeitraum abläuft. Wenn Sie das unveränderliche Kennzeichen von einem Snapshot entfernen, bleibt er für 7 Tage gesperrt oder bis zum Ablauf — je nachdem, was kürzer ist.
Unveränderliche Snapshots bieten Schutz vor versehentlichem oder böswilligem Löschen von System-Snapshots. Wenn ein Snapshot als unveränderlichmarkiert ist, kann kein Benutzer — einschließlich Administratoren oder VergeOS Support — ihn vorzeitig löschen. Der Snapshot bleibt geschützt, bis er natürlich abläuft oder bis das unveränderliche Kennzeichen entfernt wird und die obligatorische Entsperrverzögerung abgeschlossen ist.
Ein wesentlicher Zweck der Unveränderlichkeit ist es, ein Reaktionsfenster während Sicherheitsvorfällenbereitzustellen. Wenn ein böswilliger Akteur versucht, den unveränderlichen Schutz zu entfernen, erzeugt VergeOS Warnmeldungen und erzwingt eine obligatorische Entsperrverzögerung von bis zu 7 Tagen. Diese Verzögerung stellt sicher, dass Administratoren Zeit haben, die Aktivität zu erkennen, das betroffene Konto zu untersuchen und Korrekturmaßnahmen zu ergreifen, bevor geschützte Snapshots gelöscht werden können.
Dieses Design schützt vor ausgefeilten Ransomware-Angriffen, die versuchen, alle Wiederherstellungspunkte zu löschen, einschließlich derer, auf die kompromittierte Administratorkonten zugreifen können.
Unveränderlicher Schutz gilt nur für System-Snapshots.
So funktionieren unveränderliche Snapshots
Wenn Unveränderlichkeit aktiviert ist:
Vorzeitiges Löschen wird für alle Benutzer vollständig blockiert
Die Aufbewahrungsdauer wird nicht verlängert — Snapshots laufen normal ab
Das Entfernen des unveränderlichen Kennzeichens startet eine obligatorische Entsperrverzögerung von bis zu 7 Tagen
Snapshots bleiben während der Entsperrverzögerung nicht löschbar
Der Ablauf hat immer Vorrang vor der Entsperrverzögerung
Die Entsperrverzögerung bietet ein kritisches Erkennungs- und Reaktionsfenster
Ablauf vs. Entsperrverzögerung
Das ursprüngliche Ablaufdatum des Snapshots bestimmt, wann er gelöscht werden kann:
Wenn der Ablauf zuerst eintritt: VergeOS löscht den Snapshot beim Ablauf automatisch.
Wenn die Entsperrverzögerung zuerst eintritt: Der Snapshot kann dann manuell am Ende der Entsperrverzögerung gelöscht werden. VergeOS löscht ihn nicht automatisch, sofern nicht auch der Ablauf eintritt.
Beispiele
12 Stunden
Jetzt
12 Stunden (automatisches Löschen)
Der Ablauf tritt zuerst ein → das System löscht automatisch
3 Tage
Jetzt
3 Tage (automatisches Löschen)
Der Ablauf tritt zuerst ein → das System löscht automatisch
10 Tage
Jetzt
7 Tage (manuelles Löschen erlaubt)
Die Entsperrverzögerung tritt zuerst ein → der Snapshot kann gelöscht werden, wird aber nicht automatisch entfernt
Nie
Jetzt
7 Tage (manuelles Löschen erlaubt)
Kein Ablauf → die Entsperrverzögerung bestimmt den frühesten Zeitpunkt für das manuelle Löschen
Automatisches Löschen: VergeOS löscht den Snapshot beim Ablauf automatisch. Manuelles Löschen erlaubt: Der Snapshot ist nicht mehr geschützt und kann von einem Administrator gelöscht werden, aber VergeOS löscht ihn nicht automatisch.
Die Entsperrverzögerung ist das kritische Schutzfenster, das Administratoren die Reaktion auf unbefugte Entsperrversuche ermöglicht.
Warum unveränderliche Snapshots vor Ransomware schützen
Ransomware-Akteure versuchen häufig, alle Snapshots zu löschen, um Wiederherstellungsoptionen zu beseitigen. Das unveränderliche Snapshot-Modell von VergeOS verhindert dies durch:
Blockieren des Löschens selbst durch kompromittierte Administratorkonten
Erzwingen einer obligatorischen Entsperrverzögerung
Bewahren von Wiederherstellungspunkten lange genug, damit Administratoren erkennen und reagieren können
Sicherstellen, dass Angreifer geschützte Snapshots nicht sofort löschen können
Bereitstellen eines Zeitpuffers für Administratoren, um auf unbefugte Entsperrversuche zu reagieren
Dieses Design adressiert speziell moderne Angriffe, die auf privilegierte Anmeldedaten abzielen.
Standardverhalten
Das Standard- System-Snapshots Profil markiert Stündlich für 3 Stunden Snapshots als unveränderlich. Dies bietet eine Basisschutzschicht mit schnellem Zyklus.
Diese Basisannahme setzt voraus:
Administratoren überwachen Warnmeldungen konsequent
Warnungen beim Entfernen des unveränderlichen Kennzeichens werden sofort bearbeitet
Die Organisation hat ein kurzes Erkennungs- und Reaktionsfenster
Organisationen mit langsameren Reaktionsfenstern benötigen möglicherweise unveränderliche Snapshots mit längerer Aufbewahrung, um sicherzustellen, dass sie genügend Zeit haben, zu reagieren, falls ein böswilliger Akteur versucht, Snapshots zu entsperren.
Best Practices und Empfehlungen
Wahl einer unveränderlichen Strategie basierend auf dem Reaktionsfenster
Basisschutz (Standard)
Stündliche Snapshots
3-Stunden-Aufbewahrung
Unveränderlichkeit aktiviert
Am besten für Umgebungen mit schnellen Reaktionszeiten (aktives SOC, 24/7-Überwachung). Unveränderliche Snapshots mit kurzer Aufbewahrung haben eine kurze Entsperrverzögerung - stündliche Snapshots können während ihrer natürlichen 3-Stunden-Aufbewahrung nicht gelöscht werden.
Erweiterter Schutz
Wenn Ihr Team keine sofortige Reaktion garantieren kann:
Markieren Sie einen täglichen Snapshot (24-Stunden-Aufbewahrung) als unveränderlich
Bietet ein Reaktionsfenster über einen ganzen Tag
Stellt geschützte Wiederherstellungspunkte auch außerhalb der Geschäftszeiten sicher
Gibt Administratoren mehr Zeit, um auf unbefugte Entsperrversuche zu reagieren
Wichtig: Tägliche unveränderliche Snapshots bieten ein längeres Reaktionsfenster, benötigen aber mehr Speicherreserve — sie können während ihrer gesamten 24-Stunden-Aufbewahrungsdauer nicht manuell gelöscht werden.
Unveränderliche Snapshots mit langer Aufbewahrung
Nur verwenden, wenn:
Die Änderungsrate niedrig ist
Ausreichend freier Speicherplatz verfügbar ist
Wiederherstellungspunkte mit Schutz über mehrere Tage erforderlich sind
Sie die betrieblichen Auswirkungen der Entsperrverzögerung verstehen
Sie ein längeres Reaktionsfenster wünschen
Im Allgemeinen nur für Systeme geeignet, die unter etwa 70 % Speicherauslastung und in Nicht-Produktionsumgebungen betrieben werden.
Wichtig: Unveränderliche Snapshots mit langer Aufbewahrung können Speicher deutlich länger belegen. Wenn der Ablauf 7 Tage oder mehr beträgt, muss die Entsperrverzögerung vollständig abgelaufen sein, bevor ein Löschen möglich ist.
Speicherkapazitätsplanung
Unveränderliche Snapshots verzögern das Löschen, daher muss die Kapazitätsplanung Folgendes berücksichtigen:
Änderungsrate
Aufbewahrung
Freier Speicherplatz
Wichtige Überlegungen
Stellen Sie sicher, dass der freie Speicherplatz natürliche Abläufe oder zumindest 7 Tagen des erwarteten Datenänderungsvolumens
Unveränderliche Snapshots mit langer Aufbewahrung erfordern Speicherreserve
Integrieren Sie Kapazitätswarnungen in zentrale Überwachungs- oder SIEM-Systeme, um eine schnelle Reaktion auf eine unbefugte Entsperrung sicherzustellen.
Brauchen Sie Hilfe bei der Planung Ihrer Strategie für unveränderliche Snapshots?
Unveränderliche Snapshots führen zu strikten Löschkontrollen, und die Wahl der richtigen Aufbewahrungs- und Schutzstrategie erfordert die Sicherstellung eines ausreichenden freien Speicherplatzes. Wenden Sie sich für Unterstützung an VergeOS Support.
Erwartungen an Warnmeldungen und Überwachung
Wenn ein unveränderliches Kennzeichen entfernt wird, erzeugt VergeOS eine Warnmeldung. Administratoren müssen dies als ein Sicherheitsereignis mit hoher Priorität.
Empfohlene Maßnahmen:
Benutzerkonto und Kontext untersuchen
Überprüfen, ob die Änderung autorisiert war
Erwägen, die Snapshot-Erstellung zu pausieren
Sicherstellen, dass Warnmeldungen in SIEM oder zentrale Überwachung integriert sind
So wird sichergestellt, dass das Entfernen des unveränderlichen Kennzeichens während eines Angriffs nicht unbemerkt bleibt.
Unveränderliche Snapshots verwalten
Unveränderlichen Schutz aktivieren („Snapshot sperren“)
Navigieren Sie zu System → System-Snapshots
Doppelklicken Sie auf den gewünschten Snapshot
Umschalten Unveränderlich auf aktiviert
Klicken Sie auf Senden
Der Snapshot zeigt ein Schloss-Symbol an
Unveränderlichen Schutz automatisieren
Navigieren Sie zu System → Snapshot-Profile
Öffnen Sie das gewünschte Profil
Wählen Sie Profilzeiträume
Bearbeiten Sie einen Zeitraum und aktivieren Sie Unveränderlich
Klicken Sie auf Senden
Snapshots, die unter diesen Zeiträumen erstellt werden, werden automatisch unveränderlich sein.
Unveränderlichen Schutz deaktivieren („Snapshot entsperren“)
Navigieren Sie zu System → System-Snapshots
Doppelklicken Sie auf den Snapshot
Umschalten Unveränderlich auf deaktiviert
Klicken Sie auf Senden
Der Snapshot zeigt Entsperren und das geplante Entsperrdatum. Er bleibt nicht löschbar, bis die Entsperrverzögerung abgelaufen ist oder der Ablauf eintritt.
Problembehandlung
Speicher-Notfall mit unveränderlichen Snapshots
Symptom: Speicher bei 90 %+, unveränderliche Snapshots können nicht gelöscht werden.
Sofortmaßnahmen
Entsperrung für alle unveränderlichen Snapshots anfordern
Snapshot-Erstellung vorübergehend stoppen
Physische Speicherkapazität hinzufügen (einzige sofortige Lösung)
Nicht-unveränderliche Snapshots oder VMs löschen
Prävention
Vermeiden Sie Notfälle, indem Sie sicherstellen, dass freier Speicherplatz natürliche Abläufe oder 7 Tage erwarteter Datenänderung für unveränderliche Snapshots mit langer Aufbewahrung bequem aufnehmen kann.
Kontakt VergeOS Support wenn Sie Hilfe bei der Notfall-Kapazitätsplanung benötigen.
Zuletzt aktualisiert
War das hilfreich?