Cyber Resilience im Enterprise Storage Marktvergleich

Bei Hitachi VSP One Block schützt Thin Image Advanced Safe Snap die Snapshot-Daten über eine definierte Retention, und die relevante Eigenschaft ist dabei nicht bloße Read-only-Kennzeichnung. Während aktiver Retention lässt sich das geschützte TIA-Pair über die normalen Kundenadministrationsschnittstellen nicht löschen; die Retention kann verlängert, aber nicht regulär verkürzt oder deaktiviert werden. Der klassische Angriffspfad — Storage-Admin kompromittieren, Retention auf null setzen, Snapshot löschen — scheitert damit an der storage-internen Enforcement. Das ist deutlich stärker als reines RBAC, denn selbst ein für Local-Copy-Operationen autorisierter Administrator darf eine aktivierte Retention nicht zurückdrehen. Ob und in welcher Form Hitachi für außergewöhnliche Eingriffe einen Customer-Support-Pfad vorsieht, ist öffentlich nicht dokumentiert. 

HPE Virtual Lock geht noch einen Schritt weiter und ist unter den hier betrachteten Implementierungen das strikteste dokumentierte Modell. Die für ein Volume oder eine Kopie gesetzte Retention kann nach dem Setzen weder reduziert noch entfernt werden. Durchgesetzt wird sie über eine Compliance Clock, die eine Umgehung durch Manipulation der Systemzeit oder der NTP-Server verhindert — ein Angriffsvektor, der bei zeitbasierten Schutzmechanismen sonst regelmäßig übersehen wird. Gesperrte Volumes und Snapshots lassen sich nicht löschen, auch nicht durch Super-User-Accounts und laut HPE auch nicht durch den eigenen Tech Support. 

Damit entsteht bewusst ein betrieblicher Trade-off. Je weniger Override-Möglichkeiten existieren, desto größer wird die Bedeutung korrekter Retention- und Kapazitätsplanung. Eine versehentlich zu lang gewählte Retention ist dann kein Konfigurationsfehler mehr, der sich korrigieren lässt, sondern bindet Kapazität über den gesamten Zeitraum. Starke Immutability schützt eben nicht nur gegen den Angreifer, sondern auch gegen den Administrator, der seine eigene Fehlkonfiguration beheben möchte. 

Bei Dell PowerStore und PowerMax liegt der interessante Aspekt an anderer Stelle. Eine geschützte Kopie muss nicht nur selbst unveränderbar sein, sondern auch unabhängig von der Policy, die sie erzeugt hat. Sonst genügte es, den Administrator zu kompromittieren, die Protection Policy zu entfernen und den Snapshot anschließend regulär zu löschen. Dell schließt diesen Umweg: Wird eine Secure-Snapshot-Regel gelöscht oder eine Policy von einer Ressource entfernt, bleiben die bereits erzeugten Secure Snapshots geschützt und lassen sich bis zum Ablauf nicht löschen. Die Expiration Time kann nach hinten verschoben, aber nicht verkürzt werden, und auch die zugrunde liegenden Storage-Objekte lassen sich nicht löschen, solange geschützte Snapshots existieren. 

Huawei Secure Snapshots schließlich lassen sich innerhalb ihrer Protection Period nicht löschen; die Schutzdauer kann verlängert, aber nicht verkürzt werden und reicht laut HyperCDP-Dokumentation bis zu 7.300 Tage. Die detaillierte Administrationsdokumentation beschreibt allerdings für bestimmte Secure-Snapshot-Operationen einen zusätzlichen privilegierten Pfad: Wer die Protection Period eines Dateisystem-Snapshots ändern will, meldet sich über die serielle Konsole als Security Administrator an und passt die Basiseigenschaften an. Die Aussage, ein Secure Snapshot sei nicht löschbar, ist deshalb auf die jeweilige administrative Trust Domain zu beziehen und nicht als absolute Unveränderbarkeit zu lesen. Ergänzend dokumentiert Huawei einen Vier-Augen-Mechanismus, bei dem die Snapshot-Löschung die Freigabe durch einen Approver erfordert. 

Genau diese Differenzierung ist bei allen Herstellern erforderlich. Das Etikett immutable sagt für sich genommen nichts darüber aus, wer den Schutz aufheben kann.