Von Cloud zu Cloud

von Christian Schulenburg

Alle Zeichen stehen auf Cloudservices. Themen wie Skalierbarkeit, Hochverfügbarkeit, Sicherheit und auch Datenschutz befinden sich dabei zwar im Fokus, die Datensicherung selbst wird aber oft vernachlässigt. Die Druva Data Resiliency Cloud bietet einen einfachen Ansatz für die Sicherung verschiedener Clouddienste. In unserem Test schauen wir uns an, wie schnell sich Microsoft 365 und andere Dienste mit Druva sichern lassen.

Die lokale Umgebung wird oft mit etablierten Backupanwendungen von Veritas oder Veeam gesichert, die eine entsprechende Infrastruktur vor Ort erfordern, sich aber mittlerweile auch auf Cloudanwendungen konzentrieren. Ganz ohne Hardware kommt nun Druva als Software-as-a-Service (SaaS) zum Einsatz und bietet die Sicherung von Umgebungen wie Microsoft 365, Google Workspace, Salesforce und Slack. Daneben werden aber auch Daten aus AWS, HyperV oder VMware im eigenen Rechenzentrum sowie lokale Ressourcen wie File Shares und Datenbanken gesichert.

Druva wurde 2008 in Kalifornien gegründet und zählt mittlerweile mehr als 800 Mitarbeiter. Täglich finden über sieben Millionen Backups bei mehr als 4000 Kunden statt. Bei der Infrastruktur setzt Druva auf AWS als Infrastructure-as-a-Service-(IaaS)-Anbieter. Dabei hebt Druva hervor, dass sie ihre cloudnative Anwendung direkt für die Cloud entwickeln und keine klassische Sicherheitssoftware einfach in die Wolke werfen. Dadurch schöpfen sie nach eigenen Angaben die Vorteile der Cloud voll aus und versprechen so geringere Kosten und geringeren Aufwand.

Das Thema Kosteneffizienz unterstreicht Druva mit einem Gesamtkostenrechner für das Backupangebot, der klassische Dienste mit Druva vergleicht. In unserem Test haben wir ein Sicherungsvolumen zwischen 10 und 60 TByte angesetzt. Druva rechnet dabei mit einer Kostenreduktion von bis zu 50 Prozent. Lizensiert wird Druva nach den genutzten Diensten und es stehen immer die verschiedenen Versionen Business, Enterprise und Elite zur Verfügung, die zum einen mehr Speicherplatz, aber auch mehr Funktionen versprechen. Wir haben uns in diesem Beitrag angeschaut, wie schnell sich Microsoft 365 aber auch lokale Daten im Rechenzentrum und am Client sichern lassen und welche Funktionen Druva in der Breite mitbringt. Zum Einsatz kam in unserem Test die Elite-Version, sodass uns nahezu alle Funktionen zur Verfügung standen.

Sicherheit im Fokus

Für Administratoren ist es wichtig, dass Backups zumindest in einem anderen Brandabschnitt liegen und immer verfügbar sind. Egal, ob auf eigenen Tapes oder eigenem Speicher. Eine physische Verfügbarkeit ist im SaaS-Umfeld nicht möglich, aber eine der höchsten Prioritäten von Druva ist die Datensicherheit und die alleinige Datenhoheit durch den Kunden. Um dies sicherzustellen, werden Daten des Backups verschlüsselt übertragen und im Anschluss AES-256-Bit-verschlüsselt abgelegt. Den Schlüssel zum Backup hält ausschließlich der Kunde, sodass Druva als Anbieter keinen Zugriff auf die Daten hat.

Durch die AWS-Infrastruktur ist wiederrum sichergestellt, dass die Sicherung jederzeit von überall verfügbar ist. Als Speicher kommt Amazon S3 (Simple Storage Service) zum Einsatz. Daten sind dabei redundant in mehreren S3-Regionen gespeichert und die Integrität mithilfe von Prüfsummen sichergestellt. Darüber hinaus führt Druva selbst ebenfalls regelmäßige Integritätsprüfungen durch und simuliert Wiederherstellungen.

Dass bei Druva das Thema Sicherheit essenziell ist, zeigen auch die Zertifizierungen, denn Druva verlässt sich nicht auf die des Infrastrukturanbieters, sondern ist selbst unter anderem nach SOC 2 Typ II, HIPPA, FIPS 140-2 und FedRAMP geprüft beziehungsweise zertifiziert.

Untergliederung nach Backupquellen

"Druva Data Resiliency Cloud" lässt sich gemäß der Herstellerseite 30 Tage lang kostenlos testen. Ganz so schnell ging die Einrichtung in unserem Fall nicht und wir mussten zunächst einen Termin mit einem Sales Manager vereinbaren. Im Anschluss wurde eine Umgebung eingerichtet und wir erhielten einen Link zum Festlegen des Kennworts, um auf die Druva-Cloud-Konsole zuzugreifen. Die Anmeldung erfolgt immer mit einer Zweifaktorauthentifizierung mittels zusätzlichem Einmalpasswort, dass per E-Mail zugesendet wird.

Nach der ersten Anmeldung empfing uns zunächst ein sehr leeres Dashboard, dass sich mit der Zeit aber füllt. Das Dashboard ist in verschiedene Kacheln gegliedert und fasst Daten der verschiedenen Services grob zusammen. So wird im Bereich "Data Protection Summary" die Anzahl der verlinkten Datenquellen und deren Speichervolumen angezeigt. Der Bereich "Storage Growth" zeigt, wie sich der Speicherverbrauch des Kontos in den letzten 90 Tagen verändert hat. Daneben ist noch eine Zusammenfassung der genutzten Services zu sehen.

Die eigentlichen Dienste sind dann unter dem Punkt "Products & Services" verknüpft. Hier hält Druva drei Anwendungsbereiche bereit, die in den verschiedenen Bereichen eingesetzt werden: "inSync", "Phoenix" oder "CloudRanger". inSync deckt den Bereich SaaS und den Endpoint ab, während Phoenix den Hybrid-Workload für lokale Dienste bedient. CloudRanger stellt wiederum die Verbindung zu AWS her und kümmert sich ebenfalls um Desaster Recovery über die AWS-Cloud.

Ein globales Navigationsmenü lässt sich oben links öffnen. Auf diesem Weg konnten wir ebenfalls die einzelnen Produkte und Dienste aufrufen. Im Menü befindet sich ebenfalls ein Bereich für die Administration, der sich aus den Punkten "Reports", "Manage Administrators", "Druva Cloud Settings", "Account Details" und "Integration Center" zusammensetzt. Im Punkt Reports sind Berichte aus dem Phoenix-Hybrid-Workload aufgelistet. Neue Reports lassen sich nicht erstellen, jedoch abonnieren. Nicht nachvollziehbar war es für uns, dass die Berichte auf dieser Ebene für einen einzelnen Bereich angezeigt wurden. Reports für "inSync" sind nur in "inSync" aufgeführt.

Im nächsten Punkt "Manage Administrators" lassen sich die Rechte flexibel vergeben. Zunächst wird zwischen dem "Druva Cloud Administrator" und dem "Product Administrator" unterschieden. Ersterer verwaltet Administratoren und kümmert sich ebenfalls um Einstellungen zum Geofencing und um Passwortrichtlinien. Beim "Product Administrator" findet eine Unterscheidung zwischen inSync- und Phoenix-Administratoren statt. In beiden Bereichen werden je nach Produkt verschiedene Rollen definiert. InSync bietet wesentlich mehr Rollen und es stehen auch zusätzliche für Governance and Compliance bereit.

Im Menüpunkt "Druva Cloud Settings" lassen sich Details unter anderem zu den Kennwortrichtlinien, zum Single-Sign-on und Geofencing konfigurieren. In den "Account Details" konnten wir die Lizenzdetails auslesen. Dabei wurde ersichtlich, dass uns im Rahmen des Tests 25 Lizenzen für zwei Wochen zur Verfügung standen. Als Speicher verfügten wir für die SaaS-Apps und die Endpoints über 3,66 TByte. Im letzten Bereich "Integration Center" lässt sich Druva noch in externe Systeme, wie Slack, ServiceNow oder Octa einbinden.

Flexible Sicherung von Microsoft 365

Wie bereits beschrieben, wird Microsoft 365 mit inSync verwaltet. Daneben ist inSync auch für die Sicherung von Endgeräten und anderen SaaS-Anwendungen wie Salesforce oder Google Workspace verantwortlich. Das Werkzeug bietet über alle Dienste das gleiche horizontale Menü, bestehend aus "Users", "Profiles", "Reports", "Audit Trails" sowie ein Zahnrad für die Einstellungen. Daneben wird noch eine Glocke für aktuelle Alarme und eine Uhr für aktuelle Aktivitäten angezeigt. Diese Menüpunkte sind bei allen inSync-Diensten identisch, sie unterscheiden sich aber in der Einstiegsseite, über die der Dienst konfiguriert wird, und auf der im linken Bereich ein dienstbezogenes Menü zu finden ist. Die Einrichtung von Microsoft 365 war schnell durchgeführt.

Zunächst meldeten wir uns über inSync mit einem Microsoft-Administrator bei Microsoft an und definierten die zu sichernden Dienste. Unterstützt werden Exchange Online, OneDrive, Public Folder, SharePoint und Teams. Während der Einrichtung findet die Vergabe der nötigen Rechte automatisch statt und es ist nicht nötig, einen eigenen Service-Account für Microsoft 365 einzurichten. Zu beachten ist jedoch, dass Druva aktuell keine Multitenant-Unterstützung bietet und somit nur eine Microsoft-365-Instanz gesichert werden kann. Dies sollte in den meisten Fällen aber ausreichend sein. An der entsprechenden Erweiterung arbeitet der Anbieter bereits.

Damit war die Ersteinrichtung abgeschlossen und es ging im nächsten Schritt um die Prüfung der Backupprofile. Die Definition erfolgt im Eintrag "Profiles" und umfasst alle inSync-Dienste. Hier wird automatisch ein Standardprofil erstellt, in dem auch allgemeine Einstellungen zu den Benutzerdaten und Zugängen konfiguriert sind. So könnten Nutzer auf eigene Backups über ein Self-Service-Webportal und über die Druva-App auf mobilen Geräten zugreifen. Für zu sichernde SaaS-Anwendungen gibt es im Profil einen eigenen Konfigurationsbereich. Dort lassen sich für OneDrive und Exchange Online Ordnerausnahmen einrichten und eigene Aufbewahrungsrichtlinien definieren. Die Einstellungen beschränken sich auf die wesentlichen Dinge und sind nicht sehr umfangreich.

Um nun die Postfächer zu sichern, müssen zunächst die Nutzer definiert werden. Hier lassen sich User einzeln aus dem Azure AD importieren oder in den "inSync Settings" eine automatische Benutzerbereitstellung verwenden. Wir haben uns für letzteres entschieden und um die Funktion zu aktivieren, mussten wir in den Einstellungen im Bereich "Deployment" das "User Provisioning" über das Azure AD aktivieren. Nach kurzer Zeit waren alle Nutzer unser Microsoft-365-Umgebung in inSync angelegt. Auch neue Benutzer wurden direkt übernommen und in die Sicherung mit aufgenommen, was uns gut gefallen hat. Neben den automatischen Backups lassen sich jederzeit manuelle für die einzelnen Microsoft-Dienste anstoßen.

Einfache Wiederherstellung

Die Rücksicherung findet unproblematisch über die Auswahl des entsprechenden Users statt. Bei einer Wiederherstellung wurden uns die verschiedenen Snapshots angeboten und, bezogen auf Exchange Online, ließen sich gezielt Ordner oder E-Mails wiederherstellen. Über den Restore-Button ist die Auswahl möglich, ob die Daten direkt in die originale oder eine andere Mailbox wiederhergestellt werden sollen. Dabei lassen sich vorhandene Daten überschreiben oder nur gelöschte Elemente wiederherstellen.

Alternativ lassen sich die Elemente auch exportieren und in eine PST-Datei wiederherstellen. Beide Wege haben in unserem Test erwartungsgemäß funktioniert und für das PST-File erhielten wir nach einiger Zeit einen Download-Link per E-Mail. Der Status der Wiederherstellung ist in den "Live Activities" zu sehen. Verwundert hat uns etwas, dass der Download nach dem Export nicht in der Restore-Übersicht zu sehen war, sondern nur in den "Audit Trails", in denen sämtlich Vorgänge dokumentiert sind. Hier unterscheidet Druva in der Wiederherstellung sehr restriktiv nach Download und Restore.

inSync bietet auch die Möglichkeit, neben OneDrive lokale Benutzerdaten zu sichern. Hierfür muss auf dem Client die Anwendung "Druva InSync" installiert sein. Die Anmeldung erfolgt dann über den inSync-Benutzer. Hier sei darauf hingewiesen, dass Druva auch die Anbindung des Azure AD unterstützt und damit Single Sign-on für die Benutzer. So benötigen User nicht eigene inSync-Zugangsdaten.

Im inSync-Profil konnten wir verschiedene Einstellungen vornehmen und definieren, was auf Laptops oder Smartphones zu sichern ist. Das Backup konzentriert sich hauptsächlich auf eine Dateisicherung, bei Windows und macOS werden aber auch einige Einstellungen mitgesichert, die sich wiederherstellen lassen. Dazu zählen unter anderem Browser- oder Drucker-Settings. Weiter sind bei den Geräten Backupzeiträume und Aufbewahrungszeiten definierbar.

Auf Ebene der Backupclients besteht die Möglichkeit, unter anderem die Benachrichtigung am Gerät zu konfigurieren, aber auch, benutzerspezifische Verzeichnisse ins Backup mit aufzunehmen. Um die Administration der Agenten so gering wie möglich zu halten, bietet inSync in den Einstellungen einen Upgrade-Assistenten, der dafür sorgt, dass diese aktuell bleiben. Die Funktion steht auch für andere Druva-Clients zur Verfügung, sodass sich immer nachvollziehen lässt, ob alle Agenten auf dem aktuellsten Stand sind. Die Rücksicherung kann flexibel über den Client erfolgen, es ist aber auch möglich, über die Webkonsole einen Restore zu starten. Die Wiederherstellung erfolgt direkt an den originalen Speicherort oder über einen Download.

Agenten mit Self Service

Druva Phoenix bietet Datensicherung und Governance auch für Unternehmensinfrastrukturen. Das betrifft virtuelle Umgebungen in Form von VMware und HyperV, aber auch SQL-Datenbanken, File-Server oder NAS-Systeme. Das Management erfolgt in der "Druva Phoenix Console", die ähnlich zu inSync daherkommt, sich aber in den Menüpunkten unterscheiden. Im Punkt "Protect" etwa stehen die verschiedenen Ressourcen zur Sicherung bereit.

Für die Registrierung mussten wir im Menüpunkt "HyperV" zunächst den Phoenix-Client herunterladen und auf dem Server installieren. Die Anwendung hört auf den Namen "Hybrid Workloads Agent". Um einen neuen Server zu registrieren, muss nach der Installation nur der Dienst ausgewählt und ein Aktivierungstoken hinterlegt werden. Die Voraussetzungen sind sehr überschaubar: Der Dienst benötigt administrative Rechte und natürlich Zugriff auf das Internet. Letzteres kann auch über einen Webproxy erfolgen, sofern kein direkter Internetzugriff besteht.

Nachdem der Client aktiviert wurde, war der HyperV-Host selbst in der Webkonsole unter "Hosts" sichtbar, aber auch sämtliche virtuellen Maschinen fanden wir im Bereich "All Virtual Machines" aufgelistet vor. An dieser Stelle konnten wir dann das Backup konfigurieren. Für eine Sicherung mussten wir dabei nur die Backup-Policy sowie den Onlinespeicher auswählen. Anders als bei inSync wird die Backup-Policy in Phoenix direkt beim Dienst und nicht zentral konfiguriert. Hier lassen sich wieder Zeitpläne und Retention-Policies festlegen. Nach der Einrichtung des Backups war der entsprechende Server unter den "Configured VMs" zu finden. Von hier aus ließen sich für den Server ebenfalls Sicherungen manuell starten. Auch Restores waren an dieser Stelle möglich und das Vorgehen ist identisch zu den anderen Diensten.

Praktisches Vorhalten von Sicherungsdaten

Virtuelle Maschinen lassen sich mittels des "Druva Phoenix FLR Proxy" auch auf Dateiebene sichern, wodurch bei einem Restore nicht gleich die ganze virtuelle Maschine wiederhergestellt werden muss. Das Registrieren des File-Level-Restore-(FLR)-Clients erfolgt auf ähnlichem Weg wie beim Phoenix-Client. In der Webkonsole steht hier der Menüpunkt "FLR Proxies" zur Verfügung, um die Registrierung und den Download für die Hosts zu starten. Das Einbinden am Client ist in der Dokumentation gut beschrieben und sollte keine große Hürde darstellen. Eine weitere interessante Funktion ist der "Phoenix CloudCache".

Hierbei handelt es sich um einen dedizierten Server, der Sicherungsdaten von Hybrid-Workload-Agenten bis zu 30 Tage lokal vorhält und die Daten mit der Druva-Cloud synchronisiert. Dies beschleunigt Sicherungen und Wiederherstellungen von lokalen Daten deutlich, da diese nicht durch den Flaschenhals des Internetzuganges transfertiert werden müssen. Der Abgleich des lokalen Caches kann dann außerhalb der Kernarbeitszeiten stattfinden.

Das Vorgehen zur Einrichtung des Cloud-Caches entspricht wieder dem Ablauf bei den anderen Clients: Software über die Cloudkonsole im Punkt "Manage" und "CloudCache" herunterladen und mittels Token aktivieren. Im Anschluss wird der Cache-Server über das Web in wenigen Schritten eingerichtet. Es sind nur Speicher, Retention Time und ein Zeitplan für die Synchronisierung zu definieren. Zuletzt muss dem Cache noch ein vorhandener Sicherungssatz zugordnet werden, damit dieser bei der nächsten Sicherung genutzt wird.

Als letzten Punkt im Bereich Phoenix sei noch auf "Phoenix Disaster-Recovery-as-a-Service" (DRaaS) hingewiesen. Dieser ermöglicht es, die bereits gesicherten virtuellen Maschinen in der öffentlichen AWS-Cloud wiederherzustellen und neu zu starten. Im Katastrophenfall stellt Phoenix-DRaaS somit die Geschäftskontinuität sicher, ohne dass zusätzliche dedizierte Software, Speicher oder Hardware vor Ort nötig sind. Das führt zu einer Kostenreduzierung, aber auch zur Verbesserung der Agilität. Grundsätzlich beschränkt sich Druva nicht auf die Rücksicherung in die AWS-Cloud, sondern kann mit "Druva CloudRanger" auch AWS-Ressourcen sichern und wiederherstellen, was wir im Rahmen unseres Tests jedoch außen vor gelassen haben.

Hilfreiche Zusatzfeatures

Die Widerstandsfähigkeit gegenüber Cyberangriffen will Druva mit einer Ransomware-Recovery-Funktion sowie einer Data-Loss-Prevention erhöhen. Für die Reaktion auf Ransomware-Angriffe hat Druva einen Dienst entwickelt, der aus den vorhandenen Sicherungen einen "Curated Snapshot" erstellt. Der große Vorteil liegt darin, dass das Backup-Repository selbst nicht von Ransomware angegriffen werden kann, sondern nur die Dateien in der Sicherung. Die sauberen Files aus dem Backup herauszufiltern, ist aber die große Schwierigkeit, um Ransomware keine Chance zu geben. Druva scannt diesen Snapshot auf Viren und blockiert schädliche Dateien. Es stellt nur die neueste Version der sauberen Daten im "Curated Snapshot" wieder her.

Die DLP-Funktion von inSync soll den Schaden eines verlorenen oder gestohlenen Laptops minimieren. Dabei kümmert sie sich unter anderem um die Verschlüsselung der Files, das Aufspüren von Geräten und das Löschen von Daten, wenn für längere Zeit keine Verbindung zu inSync besteht. Sofern es noch kein Endpoint-Device-Management im Unternehmen gibt, dass die Funktion bereits abdeckt, kann die DLP eine nützliche Ergänzung sein. Im Bereich der "Data Governance" bietet Druva über die bereits vorgestellten Funktionen hinaus einen sogeannten "Legal Hold" an, der Sicherungsdaten aufbewahrt und deren Löschen verhindert. Bei einem Legal Hold werden die Backups für diesen Benutzer von der Vernichtung ausgeschlossen.

Als weitere Funktion steht "Sensitive Data Governance" bereit, das über Compliance-Richtlinien Verstöße bei Endbenutzerdaten verfolgt, überwacht und benachrichtigt. Druva bietet hierfür vordefinierte Richtlinienvorlagen, wie zum Beispiel zu Finanzdaten oder personenbezogenen Daten, die in den Compliance-Richtlinien zur Anwendung kommen und die auf die Daten angewendet werden. Verstöße müssen bei der Erkennung vom Administrator aufgelöst werden. Die Suche in den Ressourcen wird aber nicht nur für die "Sensitive Data Governance" genutzt, sondern es gibt mit der "Federated Search" auch eine Enterprise-Suche. Gesucht werden kann dabei nach Dateien und E-Mails mit jeweils unterschiedlichen Attributen. Ein Volltextsuche der Elemente bietet Druva nicht, einen guten Überblick bietet die Suche dennoch.

Fazit

Druva hinterlässt einen positiven Eindruck in Sachen Sicherung von Onlinediensten, aber auch beim Backup lokaler Daten. Die Punkte Cloudbackup und Wiederherstellung, Cloud-Disaster-Recovery, Ransomware-Schutz und Endpointsicherung bilden ein gutes Paket, wenn es um die Sicherung von Daten geht. Auch das Backup von SQL-Servern, File-Shares oder lokalen NAS-System ist bei Druva schnell und effektiv möglich. Festzuhalten bleibt auf der anderen Seite aber auch, dass die unterstützten SaaS-Anbieter noch überschaubar sind. Dabei sehen wir den fehlenden Support von Azure momentan für viele Unternehmen als größtes Manko.

Produkt	Cloudsicherung, die SaaS-Dienste wie auch lokale Dateien sichert.
Hersteller	Druva https://www.druva.com/
Preis	Lizenziert wird Druva nach den genutzten Diensten und es stehen dabei die Versionen Business, Enterprise und Elite zur Verfügung. Die Sicherung von Microsoft 365 etwa startet bei 2 US-Dollar im Monat für die Business-Version und kann bis zu 7 Dollar bei Elite steigen. Phoenix orientiert sich am Speichervolumen und startet bei 210 Dollar je TByte im Monat für die Business-Variante und steigt auf 300 Dollar bei Elite.
Systemanforderungen	Durch die Cloudausrichtung sind bei der Sicherung von Clouddiensten keine Voraussetzung zu erfüllen. Lokale Dienste, die zu sichern sind, müssen über das Internet erreichbar sein – dies kann auch durch einen Proxy-Server erfolgen.
Technische Daten	https://www.it-administrator.de/downloads/datenblaetter/

Druva Enterprise Cloud Backup