Nach einem Ransomware-Angriff auf einen Hersteller stellte Emerge IT Solutions mit Cohesity DataProtect innerhalb von nur drei Tagen kritische Dateien wieder her

Emerge IT Solutions, ein Full-Service-IT-Anbieter für Unternehmen im Mittleren Westen, hatte gerade ein von Cohesity unterstütztes Backup-as-a-Service-Angebot implementiert. Weniger als einen Monat später wurde ein Produktionskunde, der den Dienst nutzte, Ziel eines Ransomware-Angriffs. Aufgrund früherer Erfahrungen rechnete der Cyber-Versicherer des Herstellers mit einer teilweisen Wiederherstellung in zwei bis drei Wochen. Emerge übertraf diese Erwartungen deutlich und stellte mit Cohesity DataProtect den Großteil des Betriebs in nur drei Tagen wieder her. Es wurde kein Lösegeld gezahlt. Bei Ausfallkosten von 35.000 USD pro Stunde sparte die Beschleunigung der Wiederherstellung um 11 bis 18 Tage dem Kunden rund 12 Millionen USD an potenziellen Umsatzeinbußen.

Die Herausforderung

Emerge IT Solutions unterstützt Unternehmen im Mittleren Westen seit Anfang der 2000er-Jahre bei ihren IT-Anforderungen. „Neben der Konzeption und Umsetzung von IT-Lösungen agieren wir auch als Managed Services Provider“, sagt Jesse Kegley, Chief Revenue Officer. „Entweder ergänzen wir das interne IT-Team des Unternehmens oder übernehmen die vollständige Verwaltung der gesamten IT-Funktion.“

Seit mehreren Jahren verzeichnet Emerge ein stark wachsendes Interesse an seinen Managed-Cybersecurity-Services. „Führungskräfte erkennen, dass Cyberangriffe inzwischen ein erhebliches Geschäftsrisiko darstellen“, sagt Kegley. „Jeder kennt jemanden, der von einem Angriff betroffen war, und die Anforderungen für den Abschluss einer Cybersicherheitsversicherung sind deutlich gestiegen.“ Einige Unternehmen, mit denen Emerge zusammenarbeitet, stehen unter dem Druck von Partnern in der Lieferkette, strengere Cybersicherheitsrichtlinien zu erfüllen – wodurch Compliance entscheidend für Umsatzsicherung und -steigerung wird.

Emerge bietet Managed Data Protection als Teil der OmniWATCH-Suite an Sicherheitslösungen an, die auch Penetrationstests, Sicherheits-Audits und Bedrohungserkennung umfassen. Bis 2022 setzte Emerge mehrere gängige Backup-Technologien ein. Doch das Sichern mehrerer Petabytes dauerte 24 Stunden, und die Wiederherstellung großer Datensätze nahm mitunter mehrere Tage in Anspruch. „Ein Unternehmen, das von einem Cyberangriff betroffen ist, kann sich keinen wochenlangen Ausfall leisten“, sagt Andrew Miller, Backup- und Disaster-Recovery-Spezialist. „Wir wollten eine schnellere Dateiwiederherstellung anbieten, damit unsere Kunden nach Angriffen oder Serverausfällen schnell wieder arbeitsfähig sind.“

Die Lösung

Emerge fand die passende Lösung  Cohesity DataProtect, das als Managed Service angeboten wird. DataProtect läuft in der Private Cloud von Emerge und reduziert Risiken durch unveränderliche Kopien, Multifaktor-Authentifizierung und rollenbasierte Zugriffskontrollen. Und es ist schnell. „Als die Cohesity-Lösung in unseren Tests einen 1,5-TB-Server in nur zwei Minuten wiederherstellte, dachten wir, es müsse ein Fehler sein!“ sagt Miller. „Unsere vorherige Lösung hätte mehrere Stunden oder sogar Tage in Anspruch nehmen können.“

Heute nutzt Emerge Cohesity DataProtect, um mehrere Petabyte an Kundendateien zu sichern – darunter VMs, virtuelle Desktops, Anwendungen und Daten. „Unternehmen, die unseren Cohesity-Powered-Service nutzen, erfüllen eine zentrale Anforderung für den Abschluss einer Cyberversicherung – nämlich die Aufbewahrung unveränderlicher Backup-Kopien außerhalb des eigenen Standorts“, sagt Kegley. Zum zusätzlichen Schutz nutzt Emerge die DataLock-Funktion von Cohesity, um einen Backup-Snapshot zu erstellen, den niemand – nicht einmal ein Administrator – ändern kann, bis die Sperre abläuft.

Für den großen Hersteller mit mehreren Standorten zahlte sich der Cohesity-Powered-Backup-und-Recovery-Service von Emerge bereits im ersten Monat mehrfach aus. Nur wenige Wochen nach der Implementierung von Cohesity DataProtect für Datensicherung und -wiederherstellung wurde der Hersteller von einem gezielten Ransomware-Angriff getroffen, der nahezu alle 65 VMs und 500 virtuellen Desktops verschlüsselte.

Kegley erinnert sich lebhaft daran, wie sich der Angriff entwickelte: „Zwar verwalten wir nicht die Cybersicherheit unserer Kunden, aber wir betreuen ihren Helpdesk. Am Morgen des Vorfalls erhielten wir einige Anrufe von Mitarbeitenden, die keinen Zugriff auf Systeme hatten“, sagt er. Emerge bestätigte schnell, dass bestimmte Produktionsserver verschlüsselt waren – und dass sich das Problem weiter ausbreitete. Der Sicherheitspartner des Herstellers stellte bald fest, dass es sich bei dem Vorfall um einen groß angelegten Angriff durch einen staatlich unterstützten Bedrohungsakteur handelte. „Zu diesem Zeitpunkt entschied sich das Incident-Response-Team des Herstellers – einschließlich Emerge und einem ‚Breach Coach‘ der Cybersicherheitsversicherung – dazu, alle Server herunterzufahren und den Wiederherstellungsprozess einzuleiten“, sagt Kegley.

Emerge handelte sofort, um saubere Dateien aus den Cohesity-Backups wiederherzustellen, und stellte ein Team zusammen, das drei Tage lang rund um die Uhr arbeitete. „Jede Minute zählte, denn jede Stunde Ausfallzeit kostet unseren Kunden 35.000 USD – 24 Stunden kosten 840.000 USD“, sagt Kegley.

Der erste Schritt bei der Wiederherstellung bestand darin, die aktuellste nicht infizierte Backup-Kopie zu identifizieren. „Das Forensikteam wusste zu diesem Zeitpunkt noch nicht, wann der Vorfall stattgefunden hatte“, erinnert sich Miller. „Zum Glück bietet uns Cohesity zwei Möglichkeiten, eine saubere Kopie unserer Daten zu identifizieren.“ Das Emerge-Team nutzte ein Tool eines Drittanbieters, um das aktuellste Backup ohne Angriffssignatur zu identifizieren. Die andere Methode, von der Miller später erfuhr, bestand darin, sich Cohesitys Bericht über Anomalien bei der Datenaufnahme anzusehen – ein Indikator dafür, wann ein Ransomware-Angriff begonnen hat.

Ausgehend von der sauberen Kopie begann Miller mit der Wiederherstellung von VMs und virtuellen Desktops in der vom Kunden gewünschten Reihenfolge – beginnend mit den geschäftskritischsten. „Cohesity verfügt über ausgezeichnete unternehmensweite Suchfunktionen“, sagt er. „Bei anderer Backup-Software, die ich verwendet habe, dauert allein das Auffinden der gewünschten Datei mehrere Schritte. Mit Cohesity war es ganz einfach: Dateinamen eingeben, die neueste Kopie aus der Liste auswählen und auf „Jetzt wiederherstellen“ klicken. Und zack – nur wenige Minuten später war die VM hochgefahren und begann mit der Migration in die Produktionsumgebung. Selbst große VMs waren in nur zwei Minuten wieder produktiv einsatzbereit.“ Die Ingenieure von Emerge meldeten sich an jeder VM an, um sicherzustellen, dass sie ordnungsgemäß funktionierte, bevor sie mit dem Netzwerk verbunden wurde. „Ein paar Minuten bei der Suche nach jeder VM zu sparen, mag trivial erscheinen – aber zwei Minuten mal 60 VMs bedeuten zwei Stunden schnellere Wiederherstellung, was unserem Industriekunden 70.000 USD einbrachte“, sagt Miller.

Der Wiederherstellungsprozess war so reibungslos, dass Emerge keinen Support von Cohesity benötigte – obwohl DataProtect erst einen Monat zuvor implementiert worden war.

Die Ergebnisse

Die schnelle Wiederherstellung von Dateien minimierte die geschäftlichen Auswirkungen des Angriffs. „Nur drei Tage nach dem Ransomware-Angriff hatten wir den Großteil der Betriebsabläufe unseres Industriekunden wiederhergestellt – genug, um die Produktion wieder aufzunehmen“, sagt Kegley. „Der Anbieter der Cyberversicherung unseres Kunden sagte, dass andere Unternehmen, die vom selben Angriff betroffen waren, zwei bis drei Wochen für eine teilweise Wiederherstellung benötigten. Wir würdigen unser Team – und Cohesity.“

Die schnelle Wiederherstellung hatte erhebliche Auswirkungen auf das Geschäftsergebnis. Die Wiederherstellung in nur drei Tagen statt der bei dieser Art von Angriff üblichen 14 bis 21 Tage sparte rund 12 Millionen US-Dollar an Ausfallkosten. Es wurde kein Lösegeld gezahlt.

Jetzt setzt Emerge Cohesity DataProtect für die Disaster Recovery ein – als Teil einer Hybrid-Cloud-Strategie. „Wir werden Cohesity DataProtect in unserer Private Cloud für aktuelle Backups nutzen und Microsoft Azure zur Archivierung einsetzen – das senkt die Kosten für unsere Kunden“, sagt Kegley. Fällt die Produktionsumgebung eines Kunden aus, kann Emerge dessen VMs entweder in der eigenen Private Cloud oder in Azure sofort hochfahren.

Kegley fasst zusammen: „Effektive Cybersicherheit beruht auf Menschen, Prozessen und Technologie. Cohesity DataProtect ist die Technologie, mit der unsere Teams die Prozesse etablieren können, die Kunden helfen, Risiken zu managen und sich nach einem Angriff oder ungeplanten Ausfall schnell zu erholen.“

Wichtige Vorteile

• 3 Tage zur Wiederherstellung von 80 % der beim Angriff verschlüsselten Dateien
• 11–18 Tage schnellere Wiederherstellung als bei dieser Art von Angriff üblich
• ~12 Mio. USD Einsparung bei Ausfallkosten
• Kein Lösegeld gezahlt

Über Emerge IT Solutions

Emerge wurde 2004 gegründet und verfolgt das Ziel, der vertrauenswürdigste Technologieberater im Ohio Valley zu sein. Dieses Ziel erreicht das Unternehmen durch erstklassiges technisches Know-how, führende Technologien, herausragenden Kundenservice und ein klares Bekenntnis zu langfristigen Partnerschaften. Das Team von Emerge besteht aus Dutzenden hochqualifizierten Ingenieuren, die ein umfassendes Portfolio an IT-Lösungen bereitstellen.