Dit rapport is gesponsord door HPE. Alle standpunten en meningen in dit rapport zijn gebaseerd op onze onbevooroordeelde kijk op het (de) product(en) in kwestie.
HPE heeft een gecoördineerde architectuur voor cyberweerbaarheid gebouwd rondom de Alletra Storage MP B10000. Deze architectuur breidt de native beveiligingsmogelijkheden van het platform uit met een geïntegreerde stack die virtualisatie met Morpheus en VM Essentials, continue gegevensbescherming met Zerto, langdurige back-upretentie met StoreOnce en observability via leverancieronafhankelijke integratie met Security Information and Event Management (SIEM) omvat. De architectuur is ontworpen om direct aan te sluiten op het NIST Cybersecurity Framework 2.0, waarbij de B10000 fungeert als het operationele centrum voor alle functies van het framework. Het hele ontwerp is erop gericht om de twee vragen te beantwoorden die een beveiligingsprofessional zich uiteindelijk stelt over elke infrastructuur: hebben we er nog steeds controle over en worden de gegevens erop nog steeds beschermd?
Opslag in de bedrijfsomgeving staat van oudsher buiten de bredere beveiligingsdiscussie. In de meeste organisaties maakt een CIS-functionaris zich zorgen over een verkeerd geconfigureerde router in een filiaal of een laptop zonder updates op het bedrijfsnetwerk, maar besteedt weinig aandacht aan de opslagarray in het datacenter. Deze array bevindt zich achter meerdere lagen perimeterbeveiliging, is toegankelijk voor een klein aantal beheerders en grotendeels onzichtbaar voor de rest van de IT-organisatie. Op papier is het een van de veiligste assets in het gebouw.
Die aanname klopt niet langer. Moderne ransomware-aanvallen hebben geleerd dat de opslagarray het meest waardevolle doelwit in het datacenter is. Endpoints en servers kunnen opnieuw worden geïnstalleerd. De primaire opslag is waar de data zich daadwerkelijk bevindt, en een aanvaller die beheerdersrechten over de array verkrijgt, kan de data versleutelen, de snapshots verwijderen die bedoeld zijn om de data te herstellen en de back-ups vernietigen in één gecoördineerde actie. Op dat moment heeft de organisatie niet langer te maken met een ongemak; ze onderhandelt over haar voortbestaan. De tools die aanvallers tot hun beschikking hebben, waaronder AI-ondersteunde varianten die zich sneller aanpassen dan op signaturen gebaseerde verdedigingssystemen, zijn steeds beter in staat om dat doelwit te bereiken.
De belangen zijn niet langer alleen operationeel. Regelgevers in de Verenigde Staten, de Europese Unie en het Verenigd Koninkrijk hebben infrastructuurbeveiliging verheven van een best practice tot een wettelijke verplichting. Kaderwerken zoals de Digital Operational Resilience Act van de EU en de NIS2-richtlijn vereisen aantoonbare controles voor detectie, herstel en incidentrapportage, met verantwoordelijkheid tot op directieniveau. De organisaties die deze verplichtingen dragen, zijn precies de organisaties die grootschalige bedrijfsopslag beheren: banken en financiële dienstverleners, ziekenhuizen en zorgnetwerken, nutsbedrijven en beheerders van kritieke infrastructuur, overheidsinstanties en de cloud- en serviceproviders die al het bovenstaande hosten. Voor hen is het niet beveiligen van de infrastructuurlaag niet alleen een risico voor de bedrijfsvoering, maar ook een schending van de regelgeving met ernstige gevolgen.
De taak van cyberweerbaarheid bevindt zich in de kloof tussen opslag- en beveiligingsteams die aan verschillende leiders rapporteren, succes op verschillende manieren meten en zelden de operationele taal delen die nodig is voor coördinatie tijdens een incident. Opslagbeheerders begrijpen doorvoer, capaciteit en hersteldoelstellingen. Beveiligingsteams begrijpen kill chains, aanvalsvectoren en posture management. De meeste organisaties ontdekken deze kloof pas nadat ze er daadwerkelijk mee te maken hebben gehad. De architectuur die HPE heeft ontwikkeld, is ontworpen om deze kloof te dichten. De volgende paragrafen behandelen elke NIST-functie om te testen hoe goed deze presteert, waarbij steeds wordt teruggegrepen op de twee kernvragen: controle en bescherming.
Key Takeaways
- Volledige stack-veerkracht: HPE combineert de Alletra Storage MP B10000 met VM Essentials, Zerto, StoreOnce en leverancieronafhankelijke SIEM-integratie, waarbij de gecoördineerde stack wordt gekoppeld aan elke NIST CSF 2.0-functie.
- Snelle detectie op blokniveau: De ingebouwde, op entropie gebaseerde ransomware-engine van de B10000, gevalideerd tegen meer dan 100 varianten, signaleerde een gesimuleerde versleuteling binnen 4-5 minuten en maakte automatisch een forensische momentopname op het moment van detectie.
- Onveranderlijkheid die bestand is tegen inbreuken door beheerders: Door de array afgedwongen Virtual Lock-snapshots blijven alleen-lezen gedurende de bewaarperiode; zelfs een gecompromitteerd beheerdersaccount kan ze niet verwijderen en elke poging daartoe wordt geregistreerd als een gebeurtenis die zichtbaar is voor het SIEM-systeem.
- Gefaseerd herstel: In het lab werden vier beveiligingslagen getest (Zerto voor de laagste RPO, VME-snapshots, Virtual Lock-promotie en StoreOnce Catalyst voor langdurige retentie), met succesvolle herstelbewerkingen vanuit zowel Virtual Lock als Catalyst.
- Telemetrie die voldoet aan de regelgeving: Gestructureerde beveiligingslogboeken, genormaliseerd volgens Elastic Common Schema, worden gebruikt door Elastic Security, CrowdStrike Falcon of elk modern SIEM-systeem, en ondersteunen DORA/NIS2-bewijs en geautomatiseerde SOAR-playbooks.
Om een praktische demonstratieomgeving te bieden in plaats van een grootschalige bedrijfsimplementatie, heeft het HPE-team een compacte maar functionele herstel- en back-upstack gebouwd in hun lab in Fort Collins. Centraal in de omgeving staat een HPE VM Essentials (VME)-cluster met drie nodes, draaiend op HPE ProLiant DL325 Gen 11-servers, die de rekenlaag vormen voor de demonstratie-infrastructuur. Deze hosts zijn met elkaar verbonden via het lokale IP-netwerk, dat ook de verbinding met de NAS-laag in de omgeving verzorgt.
Binnen het VME-cluster draaien de virtuele HPE Zerto-machines, geconfigureerd op een vergelijkbare manier als hoe veel organisaties Zerto momenteel implementeren in een traditionele VMware-omgeving. Hoewel de onderliggende infrastructuur hier gebruikmaakt van HPE VME, blijven de operationele workflow en de herstelfunctionaliteit vertrouwd voor beheerders die ervaring hebben met op VMware gebaseerde noodherstelprocessen.
In het lab in Bristol, Verenigd Koninkrijk, is een secundaire Zerto-omgeving met WAN-verbinding beschikbaar, voorzien van firewallregels en netwerkpaden ter ondersteuning van replicatie vanuit Fort Collins. Deze topologie is bedoeld voor herstel op meerdere locaties: continue replicatie en orkestratie van noodherstel over geografisch gescheiden locaties. Hierdoor kunnen workloads die in Fort Collins worden beschermd, overschakelen naar Bristol als de primaire locatie niet beschikbaar is.
Tijdens deze test heeft HPE Zerto-replicatie lokaal in Fort Collins uitgevoerd vanwege beperkingen in bandbreedte en afstand, en omdat er geen tweede parallel VME-cluster beschikbaar was om de volledige failover tussen locaties te testen. De verbinding in Bristol wordt hier gedocumenteerd als geconfigureerde en beschikbare infrastructuur, niet als een failover tussen locaties die tijdens deze sessie is uitgevoerd.
De opslagconnectiviteit in de omgeving is verdeeld over IP- en Fibre Channel-netwerken, afhankelijk van de workload. De FC SAN-fabric verbindt de VME-hosts rechtstreeks met het HPE Alletra MP B10000-platform, waardoor gedeelde toegang tot bedrijfsopslag binnen het cluster mogelijk is. De B10000 biedt Catalyst ook via Fibre Channel aan de StoreOnce Virtual Storage Appliance (VSA), het pad dat wordt gebruikt voor applicatieconsistente back-ups tussen de array en het back-updoel. Virtual Lock-snapshots spelen een centrale rol in de ransomware-bestendigheid en onveranderlijkheidsworkflows op het platform en worden in detail besproken in de secties 'Beschermen' en 'Herstellen'.
Voor de back-upinfrastructuur heeft HPE een StoreOnce Gen5 VSA ingezet die draait op één HPE-server in het lab. De VSA biedt dezelfde essentiële StoreOnce-functionaliteit als het dedicated apparaat. Deduplicatie, presentatie van back-updoelen, replicatiegedrag en integratie met de bredere HPE-gegevensbeschermingsstack blijven in principe hetzelfde, ongeacht of de VSA of de dedicated hardware wordt gebruikt. De VSA is zeer geschikt voor labs, filialen, testomgevingen en kleinere productieomgevingen, waardoor deze compacte demonstratie praktisch is om te implementeren.
Het fysieke StoreOnce-apparaat biedt een voordeel dat verder gaat dan schaalbaarheid en doorvoer, en dat met name relevant is in de ransomwarecontext die in dit artikel wordt onderzocht. Een VSA (Virtual Storage Agent) draait als gast op een hypervisor. Als een aanvaller de virtualisatielaag compromitteert, is elke workload daarop, inclusief een VSA-back-updoel, toegankelijk. Een fysiek StoreOnce-apparaat kent deze afhankelijkheid niet. Het draait op dedicated hardware buiten de hypervisor, die een aanvaller zou moeten omzeilen. Hierdoor blijft de back-up als laatste redmiddel op infrastructuur die de aanvaller nog niet heeft gehackt. Voor productieomgevingen waar StoreOnce de langetermijnretentielaag vormt in een cyberbeveiligingsontwerp, is het fysieke apparaat om precies deze reden de betere keuze.
Zowel het HPE Alletra MP-systeem als de StoreOnce VSA werden geïntegreerd in de HPE Data Services Cloud Console, wat zorgt voor gecentraliseerd, cloudgebaseerd beheer en inzicht in de gehele omgeving. Via de Data Services Cloud Console kan de infrastructuur vanuit één interface worden bewaakt, beheerd en geïntegreerd in bredere HPE-dataservicesworkflows, waardoor opslag-, back-up- en herstelbewerkingen met elkaar worden verbonden.
HPE stelt uw governanceplan niet op. Uw organisatie, uw verzekeraar en uw juridische team bepalen het beleid. HPE levert de interfaces (API's, CLI's, Data Services Cloud Console en de gepubliceerde beveiligingsrichtlijnen) waarmee u dat beleid kunt implementeren, documenteren en controleren.
Dat onderscheid is belangrijk, omdat de meeste leveranciers van opslagoplossingen er stilletjes van uitgaan dat het tegenovergestelde het geval is. Ze leveren standaardinstellingen met een bepaalde mening, vermomd als best practices, en beschouwen configuratieafwijkingen als een ondersteuningsprobleem in plaats van een signaal voor governance. De B10000 draait die houding om. Elke beheeractie wordt gelogd. Elke beleidsrelevante instelling is beschikbaar via de API. De beveiligingslogstream is zo gestructureerd dat deze dezelfde SIEM voedt waar de rest van het governance-bewijs van de organisatie al te vinden is. Wanneer een auditor vraagt wie het wachtwoordbeleid op een bepaalde datum heeft gewijzigd, staat het antwoord in hetzelfde dashboard als elk ander beheerd systeem in de omgeving.
Twee aspecten van governance verdienen specifieke aandacht. Het eerste is de afstemming op de regelgeving. De architectuur voor auditregistratie en SIEM-integratie van de B10000 ondersteunt de operationele controles die vereist zijn door de EU-verordening inzake digitale operationele veerkracht en de NIS2-richtlijn. Deze controles omvatten detectie-, respons- en herstelactiviteiten, workflows voor incidentrapportage en het toezicht dat van het management wordt verwacht. Door de audit- en beveiligingstelemetrie te centraliseren in de SIEM worden deze verplichtingen operationeel gemaakt. De controles die de auditor verwacht te zien, zijn niet achteraf toegevoegd. Het zijn dezelfde controles die het Security Operations Center (SOC) al gebruikt voor de dagelijkse werking van het platform.
Het tweede aspect is toezicht door de directie. Wettelijke kaders vereisen steeds vaker dat leidinggevenden tijdig en geconsolideerd inzicht tonen in de risico's van informatie- en communicatietechnologie (ICT). Een opslagsysteem dat zijn auditlogboek verbergt achter een ondersteuningsportaal dat alleen toegankelijk is voor de leverancier, kan niet aan die eis voldoen. Een systeem dat audit- en beveiligingsgebeurtenissen rechtstreeks naar de SIEM van de klant streamt, kan dat wel. De B10000 is ontworpen voor dit tweede scenario.
Het platform biedt diverse concrete mogelijkheden. Gedocumenteerde beveiligingsrichtlijnen definiëren de beginsituatie. Op rollen gebaseerde toegangscontroles en mechanismen voor dubbele autorisatie zorgen voor functiescheiding. Multifactorauthenticatie is ingebouwd. De beveiligingsrichtlijnen van de Defense Information Systems Agency Security Technical Implementation Guide (DISA STIG) zijn beschikbaar voor omgevingen die dit vereisen. De security syslog-stream zet elke governance-relevante actie om in een opvraagbare gebeurtenis. Het plan is van de klant. De instrumentatie is de verantwoordelijkheid van het platform.
Identificatie, in het kader van NIST CSF 2.0, draait om inzicht in wat de organisatie bezit, waar het vandaan komt en welke risico's eraan verbonden zijn. Voor een opslagplatform vertaalt dit zich naar de integriteit van de toeleveringsketen, veilige ontwikkelingspraktijken en een verifieerbare beginsituatie.
De hardware- en softwaretoeleveringsketen van HPE vormt de basis. Componenten worden via gecontroleerde kanalen ingekocht, firmware is digitaal ondertekend en platforms worden verzonden in fraudebestendige verpakkingen met zegels die het ontvangende team kan controleren aan de hand van de verzenddocumenten. De beoordeling van de toeleveringsketen is een gedocumenteerd proces dat het HPE Cybersecurity Center of Excellence gebruikt om te verifiëren dat een B10000 die de fabriek in de ene week verlaat, dezelfde herkomst heeft als een B10000 die de fabriek in een andere week verlaat.
Veilige ontwikkelingspraktijken breiden die keten uit naar de software. Het B10000-besturingssysteem ondergaat gestructureerde penetratietests, inclusief interne red-team-oefeningen en tests door derden, waarbij de bevindingen worden teruggekoppeld naar de releasecyclus. Identificatie is geen eenmalige activiteit die bij de installatie wordt uitgevoerd. Het is de continue verificatie dat het platform dat op dag één werd vertrouwd, nog steeds het platform is dat op dag 400 aanwezig is. De B10000 levert de artefacten (ondertekende firmware, hash-geverifieerde downloads, beveiligingshandleidingen, documentatie voor veilige ontwikkeling en de auditlogstroom) die deze verificatie mogelijk maken. Wat het beveiligingsteam met die artefacten doet, is, nogmaals, de beslissing van het beveiligingsteam.
De beveiliging van de B10000 berust op vier mechanismen: het plannen van onveranderlijke Virtual Lock-snapshots, een bewuste scheiding tussen array-snapshots en hypervisor-snapshots, replicatie naar een tweede locatie via zowel array-eigen Remote Copy als Zerto, en continue detectie van afwijkingen via de auditlogstroom.
Virtual Lock-snapshots worden gemaakt volgens een schema dat is gedefinieerd op de array en rechtstreeks wordt afgedwongen door het B10000-opslagplatform. De snapshots blijven onveranderlijk en alleen-lezen gedurende hun geconfigureerde bewaartermijn, waardoor wijziging of verwijdering tot het verstrijken van de bewaartermijn wordt voorkomen. Administratieve acties met betrekking tot beveiligde snapshots worden vastgelegd in het auditlogboek. Deze kunnen worden doorgestuurd naar externe SIEM-platforms, waardoor inzicht wordt verkregen in pogingen tot beleidsschendingen, waaronder verwijderingspogingen van beveiligde herstelpunten.
Momentopnamen zijn afkomstig uit twee verschillende bronnen in deze omgeving, en het ontwerpen van beleid is afhankelijk van het onderscheiden ervan.
Snapshots die door B10000 worden gemaakt, zijn onveranderlijk en alleen-lezen en vallen onder de bewaarplicht van Virtual Lock. VME-snapshots, gemaakt door HPE Morpheus VM Essentials op hypervisorniveau, zijn wel veranderlijk en lees- en schrijfbaar voor operationele workflows op VM-niveau.
Als een aanvaller toegang krijgt tot de hypervisor, worden VME-snapshots toegankelijk. Virtual Lock-snapshots zijn dat niet. Het Virtual Lock-schema definieert de minimale bewaartermijn. VME-snapshots vullen de operationele laag daarboven aan.
Een Virtual Lock-snapshot op de primaire locatie biedt geen bescherming tegen gebeurtenissen op locatieniveau, en de architectuur biedt twee afzonderlijke replicatiepaden om dit probleem op te lossen. Het eerste pad is inherent aan de array: B10000 Remote Copy repliceert volumes asynchroon naar een tweede B10000 op een andere locatie. In combinatie met Virtual Lock-snapshotschema's op de doellocatie resulteert dit in een onveranderlijke, fysiek gescheiden kluis die niet afhankelijk is van de hypervisor of applicatiesoftware. Het tweede pad is Zerto, dat op applicatieniveau werkt met bijna synchrone replicatie en continue logboekregistratie. Dit biedt het gedetailleerde herstelpad met een lage hersteldoelstelling (RPO) dat wordt beschreven in de sectie Herstellen.
De twee zijn complementair in plaats van overbodig. Remote Copy behoudt de door de array afgedwongen onveranderlijkheidsgaranties tussen locaties, terwijl Zerto zorgt voor checkpointgranulariteit en georkestreerde failover op VM-niveau. In dit project was de topologie geconfigureerd om Zerto-replicatie te ondersteunen van Fort Collins naar de HPE-vestiging in Bristol, VK, maar tijdens de testsessie werd de replicatie lokaal in Fort Collins uitgevoerd vanwege bandbreedte- en parallelle clusterbeperkingen. De verbinding met Bristol is aanwezig als beschikbare topologie en als vervolgactiviteit, niet als een bewezen herstel tussen locaties.
De beveiligingsrichtlijn definieert een basislijn. De continue stroom van auditlogboeken stelt een SIEM in staat om vrijwel in realtime te controleren of de basislijn niet is afgeweken. Wijzigingen in wachtwoordbeleid, vergrendelingsbeleid, nieuwe accounts, rolverhogingen, schemawijzigingen en wijzigingen in replicatiedoelen worden allemaal weergegeven als opvraagbare gebeurtenissen. De labomgeving bevatte geen SIEM, dus de detectie van afwijkingen in dit project werd uitgevoerd op het niveau van de B10000-auditlogboeken in plaats van met een gecentraliseerde correlatietool. In een klantomgeving met een SIEM worden dezelfde auditgebeurtenissen naar de SIEM gestuurd via de syslog-integratie die wordt beschreven in de sectie 'Detecteren'.
De B10000 is voorzien van een ingebouwde ransomware-detectiemodule die realtime I/O-patronen van de opslag controleert en een waarschuwing geeft wanneer de statistische signatuur van grootschalige encryptie wordt aangetroffen in schrijfbewerkingen naar de array. Het HPE Cybersecurity Center of Excellence heeft de module gevalideerd tegen meer dan 100 toonaangevende ransomwarevarianten.
Detectie wordt per datastore ingeschakeld vanuit VME. Wanneer een datastore wordt aangemaakt of bewerkt in VME in combinatie met een B10000-opslagserver, wordt de optie voor ransomwaredetectie standaard ingeschakeld voor elk volume dat in die datastore wordt geprovisioneerd. Na aanmaak is aanpassing per volume mogelijk. Deze functionaliteit vereist B10000 OS-versie 10.5.0 of hoger. In het lab in Fort Collins werd de datastore ftc-vme-mg1 geconfigureerd om via Fibre Channel verbinding te maken met de FTC-AMP-5 B10000, met ingeschakelde ransomwaredetectie. Deze configuratie is gebruikt voor de gesimuleerde ransomware-aanval die later in dit gedeelte wordt beschreven.
VME-datastoreconfiguratie die de ftc-vme-mg1-datastore op de FTC-AMP-5 B10000 via Fibre Channel toont, met ransomware-detectie ingeschakeld.
De B10000 ondersteunt ook systeemwijde ransomware-detectiebeleidsregels direct op de opslagarray, waardoor beheerders de globale detectiegevoeligheid en het geautomatiseerde bewaargedrag van snapshots voor beveiligde volumes kunnen definiëren. Zoals hieronder weergegeven, was in de omgeving van Fort Collins het ransomware-detectiebeleid op arrayniveau ingeschakeld met een gevoeligheidsprofiel met lage betrouwbaarheid en was automatisch bewaargedrag van snapshots geconfigureerd. Dit biedt een extra beveiligingslaag bovenop de inschakeling per datastore in VME, waardoor de detectie-engine consistent op platformniveau wordt gehandhaafd, ongeacht hoe individuele volumes zijn geconfigureerd.
De detectielogica voor beide is gebaseerd op entropie. Willekeurige data, zoals versleutelde data er op blokniveau uitziet, heeft een hoge entropie. Legitieme workloaddata, zelfs gecomprimeerd, heeft een structuur die de engine herkent. De engine gebruikt een CuSum-entropieberekening om de wanorde in binnenkomende schrijfbewerkingen te meten ten opzichte van een vastgestelde basislijn. Deze basislijn wordt geleerd tijdens een trainingsvenster wanneer een nieuw volume voor het eerst wordt beveiligd en wordt vervolgens gehandhaafd door een doorlopend I/O-profiel van één uur, zodat legitieme workloadverschuivingen geen valse positieven genereren. Wanneer de entropie met een statistisch significante marge afwijkt van de basislijn, markeert de engine het volume.
Voor het SOC is de kernboodschap dat dit een engine voor het detecteren van encryptie is die dient als laatste verdedigingslinie voor de omgeving, en niet als vervanging voor endpointbeveiliging. Het endpoint is de eerste plek waar ransomware moet worden onderschept. De B10000 detecteert wat het endpoint heeft gemist.
De integratie is bewust leverancieronafhankelijk. De rol van HPE is het leveren van de basis en de tools zodat de B10000 audit- en beveiligingsloggegevens kan doorsturen naar elke SIEM die een organisatie al gebruikt, in plaats van klanten te sturen naar één specifieke, door HPE aanbevolen tool. Detectiewaarschuwingen en auditgebeurtenissen worden geëxporteerd via de beveiligings-syslogstream. De op Fluentd gebaseerde aggregator die HPE op GitHub publiceert, neemt het ruwe syslogbericht, normaliseert het naar Elastic Common Schema en tagt de gebeurtenis met velden zoals "event.kind: alert" en "event.severity: high", zodat de bestaande regelengine van het ontvangende platform het oppikt zonder aangepaste parsing. Het belangrijke verschil is dat deze gegevens niet alleen compatibel zijn met moderne SIEM's; ze zijn actief. Ze komen gestructureerd aan om geautomatiseerde waarschuwingen en vervolgreacties te activeren, in plaats van in een logarchief te blijven staan wachten om achteraf te worden opgevraagd. Elastic Security en CrowdStrike Falcon Next-Gen SIEM zijn platforms die HPE expliciet heeft gevalideerd, en dankzij het open syslog-formaat kunnen Microsoft Sentinel en andere moderne SIEM-systemen met vergelijkbare inspanning worden geïntegreerd.
Tijdens een test op afstand in het HPE Fort Collins-lab werd een gesimuleerde ransomware-workload uitgevoerd op een Windows-host die was gekoppeld aan een met Virtual Lock beveiligd volume op de B10000. De simulatie voerde een gecontroleerd encryptiescript uit dat het kenmerkende schrijfpatroon met hoge entropie van een ransomware-encryptiegebeurtenis produceerde, zonder daadwerkelijk malware te gebruiken.
De detectie-engine van de B10000 gaf binnen vier tot vijf minuten na aanvang van het encryptiescript een waarschuwing. De waarschuwing verscheen op de B10000-beheerconsole, waarbij het betreffende volume werd geïdentificeerd.
Het tijdsvenster van vier tot vijf minuten is kort genoeg om onveranderlijke momentopnamen te maken op of rond het moment van detectie, waarmee een zuivere momentopname wordt vastgelegd voordat de aanvaller het volume volledig heeft doorzocht. Het is sneller dan de meeste gedragsanalyses die op applicatieniveau draaien, omdat de B10000 schrijfbewerkingen op blokniveau detecteert zodra ze plaatsvinden.
Wanneer de B10000 ransomware-detectie-engine wordt geactiveerd, neemt het platform zelf beschermende maatregelen, nog voordat een extern systeem erbij betrokken is. Op het moment van detectie maakt de array een onveranderlijke momentopname van het getroffen volume en markeert de status ervan als 'gedegradeerd'. Deze momentopname is geen schoon herstelpunt en mag niet worden gebruikt voor herstel, omdat deze versleutelde gegevens kan bevatten. De momentopname is bedoeld voor forensische analyse en bewaart de status van het volume op het moment dat de aanval werd gedetecteerd. De array blokkeert de toegang tot het volume niet. De gegevens blijven bereikbaar, wat een bewuste ontwerpkeuze is. De array slaat alarm en bewaart het bewijsmateriaal. De beslissing over hoe verder te gaan, ligt echter bij de beheerders, die beter in staat zijn om te beoordelen of het om een echte aanval gaat of om een vals positief, zoals een grote, legitieme encryptie- of compressietaak.
Dit autonome gedrag is de ondergrens, niet de bovengrens, van het reactievermogen. Omdat het direct op de array draait, is het niet afhankelijk van een SIEM-regel die wordt geactiveerd, een gezonde syslog-stream of een externe automatiseringstool die online is. Als alle andere lagen uitvallen, blijft de momentopname bestaan. Die onafhankelijkheid is het punt: de belangrijkste reactie vindt plaats ongeacht of de rest van de stack functioneert.
Boven die verdieping maakt de actieve SIEM-integratie, beschreven in de sectie 'Detecteren', een georkestreerde respons mogelijk. Omdat de waarschuwingen van de B10000 gestructureerd binnenkomen om actie te activeren in plaats van te worden gearchiveerd, kan een klant geautomatiseerde playbooks bouwen in het SIEM- of SOAR-platform (Security Orchestration, Automation, and Response) dat ze al gebruiken. Dit kan betekenen dat de bewaartermijn van snapshots op de betreffende volumes wordt verlengd, de host wordt geïsoleerd, een incidentticket wordt aangemaakt of het responsteam wordt geïnformeerd. HPE levert het actieve, gestructureerde signaal. De orchestratielogica bevindt zich in de door de klant gekozen tools, waardoor de respons in lijn blijft met de runbooks en goedkeuringsworkflows die het beveiligingsteam al heeft ontwikkeld.
Een belangrijke verduidelijking is hier van belang, omdat de interfacetaal gelaagd kan zijn. De B10000-waarschuwing biedt een optie om de gegevens te analyseren, maar de array zelf scant niet op specifieke malware en identificeert deze ook niet. Die optie veronderstelt dat de klant over eigen scan- en forensische tools beschikt om de getroffen gegevens te onderzoeken. De taak van de B10000 is detectie en bewaring, niet herstel.
Herstel is een gelaagde reeks beslissingen: welk herstelpunt, vanuit welke laag, naar welke omgeving hersteld, gevalideerd door welk proces. De architectuur die in het laboratorium in Fort Collins is ontwikkeld, ondersteunt een herstelmodel met vier lagen, waarbij elke laag bestaat omdat de andere lagen niet hetzelfde probleem oplossen.
Tier 1: Zerto voor continue bescherming. Vrijwel synchrone replicatie met continue logboekregistratie zorgt voor de laagste RPO in de hele stack. Met granulaire herstelopties kan het incidentresponsteam een enkele VM of bestand terugzetten naar een checkpoint van vlak voor de versleuteling. Dit is de oplossing bij uitstek wanneer het alarm snel afgaat en de aanvaller weinig tijd heeft.
Tier 2 : VME-native bescherming voor dagelijkse herstelbewerkingen op VM-niveau. De HPE Morpheus VM Essentials snapshotstream biedt operationeel herstel op VM-niveau. Deze laag is verantwoordelijk voor routinematige herstelbewerkingen en dient als terugvaloptie als Tier 1 niet beschikbaar is.
Tier 3: B10000 onveranderlijke Virtual Lock-snapshots voor terugdraaien op volumeniveau. Dit is de belangrijkste tier in het geval van ransomware. Virtual Lock-snapshots zijn beschermd tegen verwijdering en wijziging, en de promotiebewerking is B10000-native, zonder dat er een externe ISV in de afhankelijkheidsketen zit.
Tier 4: StoreOnce Catalyst-herstel voor langdurige retentie en herstel tussen arrays. Tiers 1 tot en met 3 beschermen tegen gebeurtenissen die uren of dagen duren. Tier 4 beschermt tegen gebeurtenissen die weken of maanden duren, in gevallen waarin de aanvaller persistentie heeft gecreëerd lang voordat de encryptie werd geactiveerd, en wanneer het enige schone herstelpunt ouder is dan de bewaartermijn van snapshots van de primaire opslag. Catalyst-opslag is gededupliceerd, onveranderlijk en kan worden gerepliceerd over StoreOnce-systemen of worden losgekoppeld naar Cloud Bank-objectopslag. Catalyst Copy en Cloud Bank Detach vormen samen de "1" in het 3-2-1-1-model. Dit is ook de tier waar het onderscheid tussen fysieke en VSA, zoals beschreven in het architectuuroverzicht, het zwaarst weegt. Als laatste redmiddel voor herstel moet Tier 4 bestand zijn tegen een inbreuk op de hypervisor. Dat is het argument om StoreOnce in productie te implementeren op een dedicated fysiek apparaat in plaats van als een VSA.
De twee vragen die een beveiligingsspecialist zich stelt over een opslagplatform zijn of de infrastructuur onder controle van de organisatie blijft en of de gegevens beschermd blijven. Na de architectuur in het lab in Fort Collins te hebben doorgenomen, beantwoordt de B10000 beide vragen vollediger dan een opslagarray op zich, omdat het antwoord niet beperkt blijft tot de array.
Het platform registreert elke administratieve actie, stelt elke beleidsrelevante instelling beschikbaar via de API en streamt de resulterende audit- en beveiligingstelemetrie naar elk SIEM-systeem dat de organisatie al gebruikt. Het governanceplan blijft de verantwoordelijkheid van de klant, maar de benodigde instrumentatie om het te implementeren, te documenteren en aan een auditor te bewijzen, is aanwezig en toegankelijk in plaats van verborgen achter een leveranciersportaal. Dankzij onveranderlijke virtuele lock-snapshots kan zelfs een gecompromitteerd beheerdersaccount de herstelpunten niet ongemerkt verwijderen, en elke poging daartoe wordt geregistreerd als een opvraagbare gebeurtenis.
Wat betreft de beveiliging bleek de detectie- en herstellus in het hart van de architectuur het meest overtuigend. De B10000 signaleerde de gesimuleerde encryptiebelasting binnen vier tot vijf minuten op blokniveau en maakte direct een forensische momentopname zonder te wachten op een extern systeem. Het getroffen volume werd vervolgens probleemloos hersteld, zowel via een geplande Virtual Lock-momentopname als via een StoreOnce Catalyst-herstel. Dit is de volgorde die er het meest toe doet tijdens een incident, en deze werkte zonder afhankelijkheden van een extern product.
Wat de architectuur onderscheidt, is niet zozeer dat de B10000 op zichzelf beschouwd aanzienlijk veiliger is dan concurrerende arrays. Het is eerder dat HPE een van de weinige leveranciers is die opslag, virtualisatie, replicatie, back-up en observability als een gecoördineerd systeem kan leveren, en dat systeem als geheel kan testen tegen live ransomware in een eigen lab, in plaats van elk onderdeel afzonderlijk te valideren. Voor een onderneming die de infrastructuur beheert, maar verantwoording moet afleggen aan een apart beveiligingsteam en een externe toezichthouder, maakt die coördinatie het verschil tussen een verzameling functionele producten en een veerkrachtstrategie die onder druk kan worden ingezet.
De architectuur ontwikkelt zich ook snel. HPE hanteert een gestaag release-ritme voor de gehele stack, met een nauwere integratie tussen VM Essentials en de B10000, ransomware-detectie die wordt uitgebreid naar meer gegevenstypen dan alleen blokvolumes, en een gepubliceerde referentiearchitectuur voor de volledige stack, allemaal op de roadmap voor de nabije toekomst. De richting wijst erop dat meer coördinatie native door het platform wordt afgehandeld en dat er een duidelijker blauwdruk komt voor het soort veerkrachtontwerp dat in dit artikel wordt onderzocht.
Jarenlang werd de opslagarray beschouwd als een van de veiligste onderdelen van het gebouw, vooral omdat niemand er aandacht aan besteedde. Deze architectuur betoogt dat de array juist het tegenovergestelde zou moeten zijn: niet de over het hoofd geziene doos in de hoek, maar een actieve deelnemer in het detecteren en overleven van een aanval, mits de organisatie de mogelijkheden omzet in een concreet plan.
HPE Alletra Storage MP B10000 – Cyberweerbaarheid met data-adaptieve ransomware-detectie
HPE Alletra Storage MP B10000 ransomwarebeveiligingsframework
HPE Alletra Storage MP B10000 − SIEM-integratie
HPE Alletra Storage MP B10000 – Beveiligingshandleiding voor beheerders
Beveiligingshandleiding voor HPE Alletra Storage MP B10000
hpe.com/uk/en/resource-library.video.hpe-alletra-storage-mp-b10000-r6-ransomware-detection-with…
hpe.com/uk/en/resource-library.video.hpe-alletra-storage-mp-b10000-and…
Dit rapport is gesponsord door HPE. Alle standpunten en meningen in dit rapport zijn gebaseerd op onze onbevooroordeelde kijk op het (de) product(en) in kwestie.
De Enterprise NAS (ENAS) is Ubiquiti's eerste poging tot een meer compacte opslagoplossing voor bedrijven. De 3U-behuizing biedt plaats aan 16 hot-swap schijven…
De Dell Pro Precision 5 14s is een compact mobiel werkstation gebouwd rond Intels nieuwste professionele laptopplatform. Onze review…
De Lenovo ThinkPad P14s Gen 7 is uitgerust met een Intel Core Ultra 7 366H-processor uit de 3e serie met Intel vPro en NVIDIA's RTX-videokaart…
De naamgeving van Dell plaatst de Pro 5 14 een trede lager dan de Pro 7 in hun zakelijke assortiment, maar de specificaties…
Met een gewicht van 2.80 pond en een dikte van 16.45 millimeter op het dikste punt is de Dell Pro 7 14 Intel een van de...
Dell stuurde ons deze testronde vier Pro-laptops, in twee formaten, twee productcategorieën en met zowel AMD- als Intel-platforms.