Sicher wie im Schließfach

von Dr. Christian Knermann

Mit DataProtect bietet Cohesity für zahlreiche Quellen eine Datensicherung als Managed Service aus der Cloud. DataProtect sichert nicht nur Clouddienste von Amazon und Microsoft, sondern auch physische und virtuelle Maschinen sowie Storage-Systeme in lokalen Infrastrukturen. IT-Administrator hat cloudbasiertes Backup und Wiederherstellung der Kronjuwelen von Unternehmen im praktischen Einsatz erprobt.

Die kontinuierliche Datenverfügbarkeit und -integrität sind entscheidend für Bestand und Erfolg von Unternehmen. Der Hersteller Cohesity adressiert dabei insbesondere hybride Szenarien mit Ressourcen sowohl lokal in eigenen Rechenzentren als auch in Clouddiensten verschiedener Anbieter.

Klassisches Backup oder Clouddienst

Hierzu bietet der Hersteller unter anderem eine Backupsoftware zur lokalen Installation an. Zu Testzwecken reicht bereits eine Maschine, für den produktiven Einsatz empfiehlt der Hersteller einen Cluster mit mindestens drei Knoten. Unter der Haube besteht ein solcher Cluster aus virtuellen Appliances auf Basis von Linux.

Die Brücke in die Cloud schlagen zusätzliche Dienste: So betreibt Cohesity mit FortKnox einen Datentresor als Managed Service wahlweise in der Cloud von Amazon oder Microsoft. Dies bezeichnet der Hersteller auch als virtuellen Air-Gap. Statt Backups physisch an einem anderen Ort komplett offline zu speichern, transferiert FortKnox diese zum Schutz vor Ransomware-Angriffen in einen besonders gesicherten Cloudspeicher.

Weiterhin dient DataHawk der Analyse und Verwaltung von Daten. Mithilfe von Machine Learning indexiert und durchsucht das Werkzeug Sicherungsdaten, um zum einen die Einhaltung von Compliance- und Rechtsanforderungen zu unterstützen sowie zum anderen Anomalien etwa in Folge eines Angriffs zu erkennen. Mit SmartFiles adressiert Cohesity die Optimierung von Kosten, Skalierung und Effizienz bei der Speicherung unstrukturierter Daten in softwaredefinierten Datei- und Objektdiensten. SmartFiles unterstützt dabei NFS, SMB und S3 für eine umfassende Kompatibilität mit Anwendungen sowohl lokal als auch in der Cloud.

Schließlich dient SiteContinuity der Sicherstellung des Geschäftsbetriebs und dem Disaster Recovery mit automatischer Failover- und Failback-Orchestrierung für unternehmenskritische Anwendungen und Dienste über mehrere Standorte hinweg.

Backup-as-a-Service

Zu guter Letzt bietet Cohesity mit Data-Protect eine einfach zu handhabende Anwendung zur Datensicherung, wahlweise zum Betrieb in der eigenen Infrastruktur oder als verwalteter Dienst aus der Cloud. Dieser Ansatz, den der Hersteller alternativ zur Installation und Wartung einer eigenen Backupinfrastruktur vor Ort auch als Backup-as-a-Service (BaaS) oder Data-Management-as-a-Service (DMaaS) bezeichnet, stand im Fokus unseres Interesses.

Cohesity lizenziert den Dienst rein auf Basis der Kapazität und dies standardmäßig nach dem Volumen im Frontend. In diesem Fall zählt der von allen zu sichernden VMs und Speicherbereichen primär belegte Platz in TByte bei einer Aufbewahrung der Backups von bis zu 30 Tagen. Kunden, die eine längere Aufbewahrungszeit wünschen, bietet der Hersteller auf Anfrage alternativ eine Lizenz, die sich am Volumen im Backend bemisst. Hierbei zählt der im Backupdienst nach Sicherung und Deduplizierung belegte Speicherplatz.

Komplett in den Wolken, also von Clouddienst zu Cloudienst, sichert DataProtect Dienste der Amazon Web Services (AWS). Dies umfasst virtuelle Maschinen in der Elastic Compute Cloud (EC2), Datenbanken der Relational Database Services (RDS) sowie S3-Speicher. Aus dem Angebot von Microsoft 365 sichert Cohesity Inhalte der SaaS-Dienste Exchange, SharePoint, One-Drive. Der Hersteller beschreibt in seiner Online-Dokumentation detailliert die hierzu nötigen Berechtigungen in den jeweiligen Cloudinfrastrukturen.

Weitere PaaS- und IaaS-Ressourcen aus Azure deckte DataProtect zum Zeitpunkt unseres Tests noch nicht ab. Laut Hersteller sollen Azure-VMs und -SQL-Datenbanken in den nächsten Monaten sowie perspektivisch auch Azure-Blob- und Datei- Speicher sowie Entra ID folgen.

Sinnvolle Trennung von Verwaltung und Daten

Im Hinblick auf Informationssicherheit und Datenschutz unterscheidet Cohesity die zentralen Komponenten Management-Service sowie Data-Service und verwendet für beide unterschiedliche Cloudaccounts, um eine saubere Trennung und sicheren Zugang zu gewährleisten.

Im Verwaltungsdienst isoliert Cohesity die Daten und Metadaten aller Kunden logisch voneinander. Für den Datendienst weist der Anbieter jedem Kunden einen dedizierten AWS-S3-Speicher-Bucket zu und stellt so sicher, dass diese Daten niemals von verschiedenen Organisationen gemeinsam genutzt oder abgerufen werden. Cohesity setzt konsequent auf die Verschlüsselung aller Daten während des Transports und bei der Speicherung.

Der Verwaltungsdienst bildet mit dem Webfrontend "Helios" die zentrale Anlaufstelle zur Konfiguration und Administration aller Cohesity-Produkte und zeigt je nach lizenziertem Umfang maßgeschneidert die verfügbaren Tools an. Der Verwaltungsdienst läuft ebenso auf Basis von AWS wie der Datendienst zur Speicherung der Backups. Parallel baut das Unternehmen aber derzeit zusätzliche Ressourcen in Azure auf.

Einen SaaS-Connector als dritte Komponente vorausgesetzt, kümmert sich DataProtect auch um virtuelle Maschinen in lokalen Infrastrukturen. Dies umfasst die Hypervisoren VMware ESXi und Microsoft Hyper-V, Datenbanken auf Basis von Microsoft SQL Server und Oracle, physische Maschinen sowie generische NAS-Systeme und Storage der Hersteller NetApp sowie Dell EMC, in letzterem Fall konkret Systeme der Plattform Isilon.

Sicherheit dank MFA

Für unseren Test stellte uns Cohesity eine auf 30 Tage befristete Eval-Lizenz zur Verfügung. Mit dieser Lizenz erhielten wir auch die nötigen Informationen zur Anmeldung an der Webseite "MyCohesity", dem zentralen Single-Sign-On-(SSO)-Portal des Herstellers. Hier setzten wir das Passwort für unseren initialen Super-Admin-Benutzer und sicherten das Konto auch per Multi-Faktor-Authentifizierung (MFA) ab.

Cohesity empfiehlt dazu die App Salesforce Authenticator, unterstützt MFA jedoch auch mit jeder beliebigen anderen App, die Time-based One-Time-Passwords (TOTP) beherrscht, wie etwa der Google Authenticator. Aus dem Portal heraus erreichten wir den Supportbereich, die Onlinedokumentation, vor allem aber das Webfrontend von Helios.

Startklar mit wenigen Schritten

Beim ersten Aufruf leitete uns ein Assistent durch die initialen Schritte zur Konfiguration von DataProtect. Nachdem wir die Nutzungsbedingungen akzeptiert hatten, fragte der Assistent zunächst, ob wir auch Daten on-premises sichern möchten, verbunden mit dem Hinweis, dass dies einen SaaS-Connector in der lokalen Umgebung voraussetzt und einen Link zum entsprechenden Teil der Dokumentation.

Im nächsten Schritt konnten wir eine oder mehrere AWS-Regionen als Ziel für unsere Backupdaten definieren. Zur Wahl standen diverse Regionen in den USA, Kanada, Asien, im mittleren Osten sowie mit London, Paris und Frankfurt auch drei Ziele in Europa. Hier entschieden wir uns für die Region "AWS Europe (Frankfurt)" mit einem von Cohesity verwalteten Key-Management-Server (KMS) zur Verschlüsselung der Daten. Alternativ unterstützt DataProtect auch einen vom Kunden selbst verwalteten AWS-KMS.

Nach wenigen Minuten war der Cloudspeicher provisioniert und wir konnten uns dem Access-Management zuwenden. Hier empfahl der Assistent mit einer Warnmeldung dringend, weitere Konten in der Rolle eines Super-Admins anzulegen, um nicht den Zugriff auf die Backupumgebung zu verlieren. Neben dem mächtigen Super-Admin bringt DataProtect sieben weitere vorgefertigte Rollen mit und unterstützt auch benutzerdefinierte Rollen.

In den folgenden Dialogschritten bot uns der Assistent an, einen SaaS-Connector für unsere lokale Umgebung einzurichten und Quellen sowohl in der Cloud als auch lokal ins Backup zu integrieren. Diese beiden Punkte übersprangen wir allerdings und verschafften uns zunächst einen Überblick über Helios.

Das Webfrontend folgt einem klassischen Aufbau mit einer hierarchischen Menüstruktur am linken Rand der Seite und einem zum jeweiligen Menüpunkt passenden Hauptbereich rechts. Das zentrale Dashboard als erste Anlaufstelle gibt einen Überblick über den Gesamtzustand der Backuplandschaft (Bild 1). Unter dem Menüpunkt "Settings" konnten wir nachträglich die Einstellungen aus dem Einrichtungsassistenten anpassen und unter "Settings / Regions" nach Bedarf weitere AWS-Regionen als Ziele für Backups konfigurieren. Zu beachten ist hierbei, dass sich einmal provisionierte Regionen nicht mehr entfernen lassen.

Flexible Benutzerverwaltung

Unter "Settings / Access Management" fanden wir auf den Registerkarten "Users" und "Roles" die Benutzer und Rollen wieder. Hier bietet es sich an, für den laufenden Betrieb etwa Benutzer nur in der Rolle "Operator" zu berechtigen, die Backup- und Wiederherstellungsaufgaben ausführen, jedoch darüber hinaus keine Konfigurationsänderungen vornehmen dürfen. Zur Überwachung des Status reicht die Rolle "Viewer" mit lediglich lesenden Berechtigungen auf allen Workflows innerhalb des Frontends.Die Registerkarte "API Keys" verwaltet den Zugriff auf das REST-API. Dies erlaubt Anwendungen oder Skripten den Zugriff auf DataProtect zwecks Reporting oder Automatisierung von Aufgaben. Die optionale Cohesity-Helios-Mobile-App für iOS und Android nutzt ebenfalls diese Schnittstelle.

Alternativ zur manuellen Verwaltung der Benutzerkonten innerhalb von Helios unterstützt Cohesity auf der Registerkarte "Single Sign-On" die Integration mit externen Identity Providern (IdP). Cohesity beschreibt in der Onlinedokumentation die Anbindung an die Microsoft Active Directory Federation Services (AD FS) sowie Entra ID, weiterhin an die IdP von Okta, Duo und Ping Identity. Auf der Registerkarte "Multi-factor Authentication" fanden wir die Option, die standardmäßig aktive MFA zu deaktivieren, wovon wir aber im Sinne der Sicherheit absahen.

Problemlose Integration lokaler Infrastrukturen

Der dritte Menüpunkt "Settings / SaaS Connections" dient der Anbindung lokaler Virtualisierungsinfrastrukturen. Hier wählten wir die Aktion "New Connection", die uns durch die nötigen Schritte führte. So wählten wir zunächst unsere AWS-Region als Ziel für die Sicherung und daraufhin die Plattform. DataProtect bietet hier wahlweise eine OVA-Datei zum Import in eine VMware-Umgebung. Dabei darf es sich um einen einzelnen ESXi-Host oder um eine vSphere-Infrastruktur handeln. Alternativ steht eine VHD-Datei für Hyper-V bereit. Auch hier unterstützt die Software alleinstehende Hyper-V-Hosts ebenso wie Failover-Cluster und System Center Virtual Machine Manager (SCVMM).

Der SaaS-Connector sichert und restauriert virtuelle Maschinen der jeweiligen Infrastruktur und ist weiterhin erforderlich, um Ressourcen, wie physische Maschinen, Speichersysteme und Datenbanken, on-premises zu schützen (Bild 2). Eine dritte Variante des SaaS-Connectors dient der Sicherung von VMs in Amazon EC2. Diese Option wird in Helios erst sichtbar, sobald im Bereich "Sources" mindestens ein AWS-Konto existiert. Datenbanken aus RDS und S3-Speicher schützt DataProtect dagegen ohne Agenten.

SaaS-Connector zügig mit Hyper-V verbunden

Wir widmeten uns exemplarisch der Integration eines Hyper-V-Hosts. Helios bot uns die VHD-Datei zum direkten Download an, alternativ einen Download-Link, den wir auf unseren Hyper-V-Host kopierten, um dort die Vorlage herunterzuladen. Während der Import der OVA-Datei unter VMware den Assistenten der Virtualisierung nutzt, um die Netzwerkeinstellungen der VM abzufragen, wahlweise per DHCP oder statisch konfiguriert, startet die VM nach dem Import unter Hyper-V direkt und möchte ihre Netzwerkeinstellungen per DHCP beziehen. Da wir in unserer Umgebung die Netzwerkeinstellungen der Connector-VM statisch setzen wollten, verbanden wir uns mit der textbasierten Konsole der VM und führten ein Skript zur Konfiguration des Netzwerks aus. Der Support von Cohesity unterstützte uns bei der Anmeldung an der Konsole und den nötigen Handgriffen, die in wenigen Minuten erledigt waren.

Daraufhin erreichten wir die Connector-VM auch per HTTPS im Browser und konnten die Einstellungen von DNS und NTP über das grafische Webfrontend finalisieren. An dieser Stelle verlangte das lokale Webfrontend nach einem Token, den wir dem Assistenten in Helios entnahmen. Damit war die lokale Konfiguration abgeschlossen. Zurück in Helios verifizierten wir die Verbindung zum SaaS-Connector, die nach kurzer Wartezeit in den Status "Healthy" wechselte.

Flexible Backuprichtlinien

Bei der Integration von Quellen in die Sicherung ist der Menüpunkt "Policies" relevant. Die dort konfigurierten Richtlinien legen Häufigkeit und Aufbewahrungszeiten der Datensicherung fest. DataProtect bringt zwei vorgefertigte Richtlinien mit: Die Variante "Gold" sichert alle zugeordneten Quellen einmal täglich und bewahrt diese für 30 Tage auf. Die Variante "Silver" fährt ebenfalls täglich ein Backup, bewahrt dies jedoch nur für zwei Wochen auf. Darüber hinaus konnten wir mittels "Create Policy" nach Belieben weitere Richtlinien definieren und dabei jeweils die Häufigkeit nach einer frei wählbaren Anzahl an Stunden, Tagen Wochen oder Monaten sowie die Aufbewahrung nach Tagen, Wochen, Monaten oder Jahren festlegen.

In der Regel arbeitet DataProtect nach einem initialen Vollbackup ausschließlich mit inkrementellen Sicherungen. Die erweiterten Einstellungen steuern optional, wie häufig die Umgebung stattdessen ein Vollbackup anlegen soll, weiterhin Ruhezeiten nach Wochentagen und Zeiträumen an diesen Tagen, während derer keine Sicherungen laufen sollen. Im Fall von Datenbanken regelt eine weitere Option separat, wie häufig DataProtect Logs der Datenbank sichert und aufbewahrt.

Sperre schützt vor Ransomware

Eine Besonderheit im Hinblick auf Compliance und regulatorische Anforderungen sowie den Schutz vor Angriffen bietet der Schalter "DataLock", der das Löschen von Backups für eine bestimmte Zeitspanne verhindert. Dieser Zeitraum darf identisch zur Aufbewahrungszeit oder auch kürzer sein. Selbst ein Super-Admin hat keinen unmittelbaren Zugriff auf diese Option.

Um effektiv zu verhindern, dass Angreifer die Einstellung deaktivieren und Sicherungen löschen, ist nur ein Benutzer mit der speziellen Rolle "Data Security" in der Lage, die Option ein- oder auszuschalten, und es kann nur einen solchen Benutzer geben. Einmal angelegt, darf auch ein Super-Admin diesen Benutzer nicht mehr löschen oder ohne seine Zustimmung aus der Rolle entfernen. Auch wenn es Angreifern gelingen sollte, einen Super-Admin zu kompromittieren, können sie die DataLock-Option somit nicht aushebeln.

VMware ohne, Hyper-V mit Agenten

Daraufhin fügten wir unter dem Menüpunkt "Sources" mittels der Aktion "Register / Virtual Machines" unsere Virtualisierungsumgebung hinzu. Dazu wählten wir die zuvor konfigurierte SaaS-Verbindung und als Quelle "HyperV: Standalone Host". Hierbei galt es, eine Besonderheit zu beachten, denn Quellen der Typen "VMware: vCenter" und "VMware Stand-alone ESXi Host" integriert DataProtect komplett agentenlos über deren API. Im Fall von Hyper-V-Hosts und -Clustern sowie SCVMM benötigt DataProtect den Cohesity-Agenten auf den Hyper-VSystemen. Backup und Restore der VMs arbeiten agentenlos.

Wir luden den Agenten herunter und installierten ihn. Unter Windows bringt er zwei Komponenten mit, den Volume Changed Block Tracker (CBT) sowie den File System CBT. Letzterer sichert VMs unter Hyper-V sowie Datenbanken von Microsoft-SQL- und Exchange-Servern. In unserem Fall benötigten wir nur den File System CBT, der im Gegensatz zum Volume CBT ohne Neustart auskommt.

Nach der Installation des Agenten fügten wir unseren Hyper-V-Host als Quelle hinzu. Daraufhin erschien der Host mit allen darauf laufenden Maschinen in Helios. Alternativ dazu fanden wir alle VMs auch anhand ihrer Namen über die Suche in der Kopfleiste der Seite, was insbesondere in sehr großen Infrastrukturen praktisch ist.

Schneller Restore von VMs und einzelnen Objekten

In der Detailansicht jeder VM wählten wir die Aktion "Protect" und im folgenden Dialog die gewünschte Backup-Policy. DataProtect startete anschließend automatisch ein initiales Vollbackup der Maschine, wovon wir uns auch im Hyper-V-Manager des Windows-Systems überzeugen konnten. Dort erzeugte der Cohesity-Agent einen temporären Checkpoint, der als Grundlage für die anschließende Datensicherung diente. In Helios erschien der Sicherungsvorgang als Eintrag im chronologischen Verlauf unter "Activity".

Sowohl aus dem Journal der Aktivitäten als auch aus der Ansicht der Maschinen unter "Sources" konnten wir manuell eine weitere Sicherung oder Wiederherstellung veranlassen. Hierzu bot uns Helios die beiden Aktionen "Recover" und "Recover Files". Erstere restauriert die komplette VM wahlweise am ursprünglichen Ort oder auf einem anderen Virtualisierungshost. Dies ist unabhängig davon möglich, ob die ursprüngliche Maschine noch existert oder nicht. Standardmäßig erstellt DataProtect eine VM mit dem Präfix "copy-" im Namen und ohne Netzwerkverbindung. Diese Voreinstellungen konnten wir jedoch auch ändern.

Die zweite Option zur Wiederherstellung einzelner Ordner und Dateien erwies sich als besonders praktisch: Sie bietet im ersten Schritt eine Ansicht des Dateisystems der VM, aus dem wir einzelne Objekte auswählen konnten. Mit der Option "Download Files" stellte uns Helios die gewünschten Objekte direkt im Webfrontend zum Download bereit (Bild 3). Die Wiederherstellung von Dateien und Ordnern gelang uns damit sehr schnell und unabhängig davon, ob die ursprüngliche VM oder der Hyper-V-Host noch zur Verfügung stehen.

Alternativ dazu bot uns Helios aber auch eine klassische Wiederherstellung an. Dabei ist allerdings zu berücksichtigen, dass dies im Fall von Hyper-V nur gelingt, wenn auch innerhalb der VM der Cohesity-Agent installiert ist. Ist diese Voraussetzung erfüllt, holt DataProtect die Daten wiederum wahlweise auf dem ursprünglichen Server oder einer anderen Maschine und wahlweise im originalen Pfad oder an einem anderen Ort zurück.

Der Agent dient weiterhin der Sicherung physischer Maschinen, hier allerdings derzeit noch mit der Einschränkung, dass er im Gegensatz zu den VMs nur eine dateibasierte Sicherung unterstützt und offene Dateien oder solche ohne ausreichende Berechtigungen nicht sichern kann. Der Hersteller arbeitet daran, auch für physische Maschinen das Backup kompletter Volumes zu realisieren.

Auch Microsoft 365 geschützt

Beim Einrichten vom Microsoft 365 als Quelle fragte Helios nach einer App-Registrierung sowie global nach den zu sichernden Bereichen Postfächer, One-Drive, Sites in SharePoint sowie Teams. Anschließend konnten wir für Postfächer sowie OneDrive alle oder nur einzelne Benutzer zur Sicherung aktivieren, weiterhin in SharePoint vorhandene Sites sowie Teams. Backup und Restore testeten wir exemplarisch für Postfächer und konnten diese vollständig sowie auch auf Basis einzelner E-Mails anhand verschiedener Kriterien wie Betreff oder Datumsangaben wiederherstellen.

Fazit

Cohesity DataProtect deckt ein breites Spektrum an Ressourcen in lokalen Rechenzentren sowie in Clouddiensten ab. Hierbei hat uns insbesondere die einfache Sicherung und Wiederherstellung von VMs auf Basis von VMware und Hyper-V überzeugt. Als cloudbasiertes BaaS stellt DataProtect damit eine praktische Hilfe dar für kleinere Unternehmen, die keine eigene Backupumgebung betreiben können oder wollen, sowie auch für größere Unternehmen, die ihre Sicherungsstrategie um einen zusätzlichen Baustein ergänzen möchten, der Backups extern aufbewahrt. Vermisst haben wir im Test dagegen, dass DataProtect noch keinen umfassenden Schutz für physische Maschinen sowie PaaS- und IaaS-Ressourcen aus Microsofts Azure-Cloud bot. Hier hat der Hersteller einen Ausbau der Funktionen in Aussicht gestellt.

Produkt	Backup-as-a-Service für hybride Infrastrukturen.
Hersteller	Cohesity https://www.cohesity.com/de/products/dataprotect/
Preis	Die Frontend-Lizenz mit 30 Tagen Aufbewahrung gibt es ab 1200 US-Dollar pro TByte und Jahr im AWS-Marketplace; die Backend-Lizenz bei längerer Aufbewahrungszeit sowie individuelle Projekt-Preise auf Anfrage.
Systemanforderungen	Mögliche Backup-Quellen: VMware vCenter, vSphere, ESXi ab Version 6.5; Microsoft Hyper-V, SCVMM ab Windows Server 2016; Gast-VMs mit Windows (Clients ab Version 7, Server ab 2008 R2 aufwärts), diversen Linux-Distributionen, Solaris 10 / 11 (x86), FreeBSD ab 8.4; physische Maschinen mit Windows (Clients ab Version 10, Server ab 2008 R2 aufwärts) und diverse Linux-Distributionen; Microsoft SQL Server ab 2012 R2; Oracle Database 11gR2 bis 19c; generische NAS-Systeme mit NFS 3 / 4.1 oder SMB 2 / 3, Dell EMC Isilon 8.0.x/8.1/8.2.x, NetApp ONTAP 8.2 bis 9.13; AWS EC2, RDS und S3; Microsoft 365 mit den Diensten Exchange, OneDrive, Share-Point, Groups und Teams
Technische Daten	https://www.it-administrator.de/downloads/datenblaetter