Guten Morgen,
wir wurden heute darauf aufmerksam gemacht, dass in einem Ordner auf dem Fileserver 2 wichtige Dateien fehlen. Als wir nun in die Backups geschaut haben, sind diese auch dort nicht mehr vorhanden. Was kann das bedeuten, bzw. wie finden wir raus ob wir einen ungebetenen Gast in unserem System/backup haben, der dies gelöscht hat?
Liebe Grüße und Danke für die Hilfe. Wir nutzen Veeam in der neusten Version.
Von wann sind die Dateien. Von wan ist das Backup. Wenn das Backup ein Full ist, ist es logisch, dass die Dateien die nicht da sind auch nicht gesichert werden. Die Daten könnten aber in einem Backup sein, das älter ist. Wie ist die Rentention.
+13Hallo
das kann mehrere Ursachen haben und lässt sich anhand fehlender Infos über eure Umgebung leider nicht so einfach beantworten.
Erst einmal kann es sein, dass die Daten schon aus dem Backup “rausgealtert” sind. Beispiel: Ihr haltet Backups für 30 Tage vor und die Daten ist vor 90 Tagen gelöscht worden - dann wird sie auch nicht mehr im Backup sein.
Dann muss geprüft werden, ob der Backup-Job korrekt konfiguriert ist und auch alle Ordner / Pfade / Festplatten mit gesichert werden. Handelt es sich um einen VM-Backup-Job oder einen NAS-Backup-Job (Filer-Job)?
Dass ein Angreifer nur gezielte Dateien aus Backups löscht ist zwar nicht unmöglich, das halte ich aber für unwahrscheinlich in diesem Fall, da - wenn keine Unveränderbarkeit (Immutability) eingesetzt wird - eher das gesamte Backup und nicht nur einzelne In-App-Elemente gelöscht werden.
Zur Validierung der Backup-Zustände und der Wiederherstellbarkeit kann SureBackup genutzt werden.
Ich hoffe, das hilft. Wenn du uns ein wenig mehr Infos gibst (ggf. mit Screenshots), können wir hier genauer schauen.
Viele Grüße
Lukas
Die Dateien sollten wohl vor 1 Woche sicher noch dagewesen sein, wenn ich mir das Full vor 3 Wochen anschaue fehlen sie auch dort.
Hallo
das kann mehrere Ursachen haben und lässt sich anhand fehlender Infos über eure Umgebung leider nicht so einfach beantworten.
Erst einmal kann es sein, dass die Daten schon aus dem Backup “rausgealtert” sind. Beispiel: Ihr haltet Backups für 30 Tage vor und die Daten ist vor 90 Tagen gelöscht worden - dann wird sie auch nicht mehr im Backup sein.
Dann muss geprüft werden, ob der Backup-Job korrekt konfiguriert ist und auch alle Ordner / Pfade / Festplatten mit gesichert werden. Handelt es sich um einen VM-Backup-Job oder einen NAS-Backup-Job (Filer-Job)?
Dass ein Angreifer nur gezielte Dateien aus Backups löscht ist zwar nicht unmöglich, das halte ich aber für unwahrscheinlich in diesem Fall, da - wenn keine Unveränderbarkeit (Immutability) eingesetzt wird - eher das gesamte Backup und nicht nur einzelne In-App-Elemente gelöscht werden.
Zur Validierung der Backup-Zustände und der Wiederherstellbarkeit kann SureBackup genutzt werden.
Ich hoffe, das hilft. Wenn du uns ein wenig mehr Infos gibst (ggf. mit Screenshots), können wir hier genauer schauen.
Viele Grüße
Lukas
Vielen Danke für die ausführliche Info. Es handelt sich um einen Veeam Backup Job. Wir sichern 1x Auf NAS, dann copy Job auf externe NAS, dann noch in die Wasabi Cloud mit object lock und Versionierung. Dort öffne ich auch das Backuo gerade (über veeam), dauert jedoch sehr lange.
Von was wären denn Screenshots interessant?
+13Hallo
das kann mehrere Ursachen haben und lässt sich anhand fehlender Infos über eure Umgebung leider nicht so einfach beantworten.
Erst einmal kann es sein, dass die Daten schon aus dem Backup “rausgealtert” sind. Beispiel: Ihr haltet Backups für 30 Tage vor und die Daten ist vor 90 Tagen gelöscht worden - dann wird sie auch nicht mehr im Backup sein.
Dann muss geprüft werden, ob der Backup-Job korrekt konfiguriert ist und auch alle Ordner / Pfade / Festplatten mit gesichert werden. Handelt es sich um einen VM-Backup-Job oder einen NAS-Backup-Job (Filer-Job)?
Dass ein Angreifer nur gezielte Dateien aus Backups löscht ist zwar nicht unmöglich, das halte ich aber für unwahrscheinlich in diesem Fall, da - wenn keine Unveränderbarkeit (Immutability) eingesetzt wird - eher das gesamte Backup und nicht nur einzelne In-App-Elemente gelöscht werden.
Zur Validierung der Backup-Zustände und der Wiederherstellbarkeit kann SureBackup genutzt werden.
Ich hoffe, das hilft. Wenn du uns ein wenig mehr Infos gibst (ggf. mit Screenshots), können wir hier genauer schauen.
Viele Grüße
Lukas
Vielen Danke für die ausführliche Info. Es handelt sich um einen Veeam Backup Job. Wir sichern 1x Auf NAS, dann copy Job auf externe NAS, dann noch in die Wasabi Cloud mit object lock und Versionierung. Dort öffne ich auch das Backuo gerade (über veeam), dauert jedoch sehr lange.
Von was wären denn Screenshots interessant?
Gibt es denn Exclusions? Hast du die Datei mal auf allen 3 Backup-Repos geprüft und guckt, ob sie dort überall da ist oder fehlt?
Wenn soweit alles gut aussieht, dann wird die Datei schlicht weg so alt sein, dass sie nicht mehr im Backup ist - alt heißt, dass sie schon vor langer Zeit von der Quelle gelöscht wurde und aus allen Backups rausgealtert ist.
Ich hatte das auch schon oft. Die Benutzer vertun sich ggf. mit Pfad, Dateinamen oder mit dem Datum.
Gibt es denn Exclusions? Hast du die Datei mal auf allen 3 Backup-Repos geprüft und guckt, ob sie dort überall da ist oder fehlt?
Wenn soweit alles gut aussieht, dann wird die Datei schlicht weg so alt sein, dass sie nicht mehr im Backup ist - alt heißt, dass sie schon vor langer Zeit von der Quelle gelöscht wurde und aus allen Backups rausgealtert ist.
Ich hatte das auch schon oft. Die Benutzer vertun sich ggf. mit Pfad, Dateinamen oder mit dem Datum.
Nein, die VMs werden komplett gesichert. Es sind Signaturdateien für die Banksoftware. Diese werden eigentlich alle 2-3 Wochen genutzt. Ich schaue nun auf die Repos. Normale Repo und Copy sind sie weg. Nun noch wasabi. Der Dateipfad wird eigentlich über eine GPO geteilt, daran kann sich nichts geändert haben. Interessant ist noch, dass zu diesem Zeitpunkt, zudem sie sagen dass die Dateien noch da gewesen sein sollten, das backup Corrupted ist, davor gut, danach gut.
+13Gibt es denn Exclusions? Hast du die Datei mal auf allen 3 Backup-Repos geprüft und guckt, ob sie dort überall da ist oder fehlt?
Wenn soweit alles gut aussieht, dann wird die Datei schlicht weg so alt sein, dass sie nicht mehr im Backup ist - alt heißt, dass sie schon vor langer Zeit von der Quelle gelöscht wurde und aus allen Backups rausgealtert ist.
Ich hatte das auch schon oft. Die Benutzer vertun sich ggf. mit Pfad, Dateinamen oder mit dem Datum.
Nein, die VMs werden komplett gesichert. Es sind Signaturdateien für die Banksoftware. Diese werden eigentlich alle 2-3 Wochen genutzt. Ich schaue nun auf die Repos. Normale Repo und Copy sind sie weg. Nun noch wasabi. Der Dateipfad wird eigentlich über eine GPO geteilt, daran kann sich nichts geändert haben. Interessant ist noch, dass zu diesem Zeitpunkt, zudem sie sagen dass die Dateien noch da gewesen sein sollten, das backup Corrupted ist, davor gut, danach gut.
Dann würde ich in jedem Fall ein Veeam Support Ticket öffnen, um das prüfen zu lassen - klare Empfehlung!
Also Update: Alles halb so wild. Die Datein sind im Backup vorhanden. Es gab einen Pfadwechsel. #KeinDoku
Nun heißt es wiederherstellen und fertig. Danke für den Support.
Generell würde ich aber gerne wissen, ob es jemanden hier gibt, der unsere Backupinfrastruktur prüfen kann. Wird natürlich alles bezahlt.
+13Hallo. Schön dass ihr den „Fehler“ gefunden habt.
Ich wollte noch den Einsatz vom Enterprise Manager empfehlen, so hättet ihr recht einfach den Index des System durchsuchen können.
Hier im Forum versuchen wir uns alle gegenseitig zu helfen. Einige sind beim Endkunden, einige bei Veeam direkt oder in meinem Fall zum Beispiel bei einem Dienstleister.
Habt ihr denn einen Partnerbetreuer?
Grüße Markus
Okay der EM wäre evtl gut für uns. Wir haben Veeam bei ca. 10 Kunden im Einsatz. Einen direkten Partnerbetreuer haben wir nicht.
Enter your E-mail address. We'll send you an e-mail with instructions to reset your password.
