Security Tip van de week: Een NAS in het tuinhok
Security.nl lanceert een nieuw onderdeel waar elke week een andere professional, expert, onderzoeker of lezer een security tip geeft. Persoonlijke tips, varierend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.
Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.
Deze week de tip van Didier Stevens
Backups! Maak jij er? En heb je ze al gebruikt? Of tenminste getest?
Zelf maak ik verschillende soorten back-ups. En ik heb ze getest en gebruikt.
Waarom maak ik back-ups? Om vernietiging van mijn data te voorkomen. En om mijn pc's in een vorige toestand terug te kunnen plaatsen. Mocht er bijvoorbeeld een malware besmetting zijn of als mijn besturingssysteem niet meer naar behoren werkt.
En ik heb overal data, niet alleen op pc's, maar ook op andere toestellen en zelfs diensten. Daar maak ik ook back-ups van. Bijvoorbeeld de data op mijn gsm, maar ook mijn blog, mijn Twitter data, ... Zelfs de data op mijn NAS met RAID. Ook data op papier. Als die data belangrijk genoeg is, ga ik die scannen. Foto's van voor de digitale fotografie. Al heb ik daar soms wel een analoge back-up van: de negatieven. VHS filmpjes. Er is zoveel data.
Waar bewaar ik mijn back-ups? Hangt ervan af.
Data back-ups heb ik in huis, op zak (draagbare USB 1TB schijf) en in de woning van een vertrouwenspersoon. Versleuteld. Off-site back-ups zijn belangrijk. Deze beschermen je data in geval van een ramp. Bij een woningbrand zullen niet alleen mijn pc's vernietigd zijn, maar ook de back-ups in mijn woning. Dus daarom heb ik ook back-ups bij een vertrouwenspersoon. Heb jij die niet, of woont hij te ver, zoek dan een andere oplossing. Harde schijf of dvd's in een bankkluis. Een NAS in het tuinhok (los van de woning). Een NAS bij de buren. Een harde schijf in de wagen. Er zijn zoveel mogelijkheden. Maar steeds de back-up goed versleutelen. En een back-up van de sleutels maken. Wat ook op papier kan.
Ramp
Waar ik woon in Brussel is de kans op natuurrampen niet zo groot. Maar jij kan ergens wonen waar wel wat meer risico is. Bijvoorbeeld een overstroming. Of een bosbrand. Denk er eens over na. Dan moet je off-site backup wel ergens zijn waar die natuurramp niet gelijktijdig toeslaat. Maar er kan ook een inbraak zijn, waarbij je pc én back-up worden gestolen. Dus off-site.
Online backup diensten gebruik ik niet. Omdat terabytes aan data uploaden te lang duurt. En ook de download zou te lang duren.
Systeem back-ups heb ik alleen in huis. Niet off-site. Als mijn woning vernietigd wordt, dan zijn mijn pc's er ook aan. Als ik een vervangende pc koop, zal het een ander model zijn. Dus hiervoor is die systeem back-up nutteloos.
Wanneer ik een nieuwe pc koop, maak ik een systeem back-up nog voor ik die pc laat starten van de harde schijf. Zo kan ik die pc in zijn toestand van aankoop terug plaatsen. Bijvoorbeeld als ik hem doorverkoop of als ik hem moet terugbrengen naar de winkel.
Vertrouwen
Vroeger maakte ik een volledige systeem back-up van de laptop die ik meenam naar elke (security) conferentie die ik aandeed. En éénmaal terug thuis deed ik een restore van die back-up. Ook wanneer er geen incidenten waren op het draadloos netwerk. Dat was dan een goede restore test.
Maar nu komt mijn laptop niet meer op het draadloos netwerk van conferenties. Daar heb ik nu 3G en VPN voor. Tot dat ook weer te link wordt, en dan zien we wel weer verder.
In het bedrijfsleven zijn back-ups een onderdeel van een groter geheel: het Business Continuity Plan. En zo iets heb ik ook gemaakt, maar dan aangepast aan mijn privésituatie. Als er mij iets overkomt, dan heeft mijn familie toegang tot een document waarin ik uitleg waar ik digitaal overal data heb, en hoe zij er toegang tot verkrijgen. Het risico hoeft niet noodzakelijk mijn overlijden te zijn. Een hersenschudding kan ook al veel roet in het eten gooien. Beeld je bijvoorbeeld in dat je al je paswoorden vergeet. Wat doe je dan? In mijn geval helpt mijn familie mij met het document dat ik voor hun gemaakt heb. Want ik vertrouw mijn familie. 100%.
Didier Stevens is een Belgische beveiligingsonderzoeker die onlangs het bedrijf Didier Stevens Lab oprichtte.
Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.
Zie https://en.wikipedia.org/wiki/IT_risk
Voor een particulier zijn de meeste van bovenstaande maatregelen regelrecht paranoïde.
Sommigen zijn waardevol, maar moeten altijd bezien worden in de juiste context.
R = L × I
Dat is het nou juist met een particulier. Veel data heeft sentimentele waarde en geen monetaire waarde. Dus formules helpen helemaal niet.
R = L × I
Dat is het nou juist met een particulier. Veel data heeft sentimentele waarde en geen monetaire waarde. Dus formules helpen helemaal niet.
Impact is op vele manieren te beschrijven, dus ook sentimentele waarde kan hieronder vallen...
R = L × I
Dat is het nou juist met een particulier. Veel data heeft sentimentele waarde en geen monetaire waarde. Dus formules helpen helemaal niet.
Impact is op vele manieren te beschrijven, dus ook sentimentele waarde kan hieronder vallen...
Het gaat hem niet om deze formule, maar om de volledige analyse. In het bedrijfsleven eindigen deze analyses steeds met een "kosten-baten analyse". De financiële waarde van de asset en de kosten die je maakt om deze asset te beschermen.
Een particulier denkt niet in termen van "de foto's van mijn overleden grootouders zijn mij €100 waard, dus ik koop een harddisk van maximum €100".
Sommigen zijn waardevol, maar moeten altijd bezien worden in de juiste context.
Sentimentele waarde is ook een context...
R = L × I
Dat is het nou juist met een particulier. Veel data heeft sentimentele waarde en geen monetaire waarde. Dus formules helpen helemaal niet.
De formule helpt ook in een bedrijfssituatie weinig, omdat de (werkelijke) getallen eraan hangen lastig is.
Zowel de kans op een verlies inschatten, als ook de echte waarde van de betreffende gegevens is in de praktijk erg lastig.
"Voor de particulier is de vraag simpelweg zo'n backup kost me zoveel, is dat het me waard " , en in die afweging volgt dan impliciet de waarde van de data.
Natuurlijk kan het gebeuren dat de backup te duur gevonden werd, en de spijt dat het eigenlijk wel het geld waard geweest was volgt als de data verloren zijn.
Net zoals geld terug bij een slechte service, of afgeblazen reis toch niet het ongemak, of de ergernis dekt.
Je ziet het ook bij donaties voor doelen waar mensen met de mond erg achter staan. Met de portemonnee valt dat vaak erg tegen.
Zoals de Amerikanen zeggen, "Put your money where your mouth is".
Sentimentele waarde is ook een context...
En hoe kom je dan tot de conclusie dat mijn tips paranoïde zijn? Ken jij dan mijn context?
Ik heb thuis een fileserver waar ik regelmatig backups op maak van mijn werkdisk en van de fileserver maak ik 2 backups op externe disken, van deze externe disken heb ik er 1 thuis in de kast en de andere ligt elders.
Sommige backups maak ik alleen naar m'n fileserver die zijn "nice to have" maar sommige zijn onvervangbaar.
Je zegt net dat je 1 terabyte hebt, niet gaan overdrijven met 'terabytes' dan heh.
En gemiddeld veranderd er niet zoveel aan je persoonlijke data, van dag tot dag. Incrementele backups draaien naar een online dienst gaat daarom prima.
En miepen over 'datalimiet' en 'duur' niet doen, want http://www.backblaze.com/
"Voor de particulier is de vraag simpelweg zo'n backup kost me zoveel, is dat het me waard " , en in die afweging volgt dan impliciet de waarde van de data.
Natuurlijk kan het gebeuren dat de backup te duur gevonden werd, en de spijt dat het eigenlijk wel het geld waard geweest was volgt als de data verloren zijn.
Klopt. En het is nuttig om de particulier hier aan het denken te zetten.
Je zegt net dat je 1 terabyte hebt, niet gaan overdrijven met 'terabytes' dan heh.
Nee, dat lees je verkeerd. Ik heb veel meer dan dat. Maar ik heb wel 1TB dagelijks op zak. Een subset dus.
R = L × I
Natuurlijk kan het gebeuren dat de backup te duur gevonden werd, en de spijt dat het eigenlijk wel het geld waard geweest was volgt als de data verloren zijn.
Backups is gelijk aan een brandverzekering, het kost geld maar wat als het mis gaat en je had het niet?
R = L × I
Natuurlijk kan het gebeuren dat de backup te duur gevonden werd, en de spijt dat het eigenlijk wel het geld waard geweest was volgt als de data verloren zijn.
Backups is gelijk aan een brandverzekering, het kost geld maar wat als het mis gaat en je had het niet?
Wel duh. Dan kost het je zelf geld of bezit.
Van een (inboedel) verzekering krijg je overigens alleen maar geld, en dan meestal de dagwaarde terug.
Als je dat verlies zelf financieel kunt dragen kun je die afweging best maken.
Je hebt, ook met verzekering, nog steeds zelf de schrik, de overlast en het werk om vervangende spullen te vinden.
Zonder werkende backup zul je het zonder je onvervangbare data moeten doen, en de vervangbare data dan maar vervangen, ten koste van tijd en moeite.
Dus opnieuw installeren, downloaden, nazoeken, herschrijven van die scriptie die bijna klaar was.
Je maakt dagelijks voor van alles een risico inschatting, soms accuraat, soms overschat, soms onderschat, en je neemt je kansen. Of niet, en neem je een verzekering, of zie je af van een activiteit of hobby, of besteed je geld en tijd aan een backup.
Achteraf zeuren als je afweging verkeerd uitpakt is des mensen. (en zeker des Nederlanders).
Wel duh. Dan kost het je zelf geld of bezit.
Van een (inboedel) verzekering krijg je overigens alleen maar geld, en dan meestal de dagwaarde terug.
Als je dat verlies zelf financieel kunt dragen kun je die afweging best maken.
Je hebt, ook met verzekering, nog steeds zelf de schrik, de overlast en het werk om vervangende spullen te vinden.
Zonder werkende backup zul je het zonder je onvervangbare data moeten doen, en de vervangbare data dan maar vervangen, ten koste van tijd en moeite.
Dus opnieuw installeren, downloaden, nazoeken, herschrijven van die scriptie die bijna klaar was.
Je maakt dagelijks voor van alles een risico inschatting, soms accuraat, soms overschat, soms onderschat, en je neemt je kansen. Of niet, en neem je een verzekering, of zie je af van een activiteit of hobby, of besteed je geld en tijd aan een backup.
Achteraf zeuren als je afweging verkeerd uitpakt is des mensen. (en zeker des Nederlanders).
Als mensen zouden inzien dat backups gelijk zijn aan de verzekering die ze op hun inboedel afsluiten zouden meer mensen hun foto's niet alleen op die ene laptop bewaren.
Sentimentele waarde is ook een context...
En hoe kom je dan tot de conclusie dat mijn tips paranoïde zijn? Ken jij dan mijn context?
Mijn conclusie is dat het geen advies is maar angst aanjagen. Hiermee bereik je meestal het tegenovergestelde van wat je wil bereiken. En dat is jammer, want dat zet IT-security in een hoek waar we denk ik nou juist uit willen: hel en verdoemenis preken. Met zo'n preek kweek je geen awareness maar fatalisme...
Je vinger kun je niet zo snel vergeten!
Een oplosing is wel eenvoudig en redelijk betaalbaar te realiseren. Zoek een betrouwbare partner op een andere locatie ver genoeg van je vandaan, schaf beiden een NAS aan en laat deze over het internet kruislings een backup maken (netbackup/rsync). Offsite, dus de data is tegen allerlei onheil bestand.
Zelf heb ik een vergelijkbare NAS bij mijn schoonouders neergezet en dit werkt vrijwel zonder problemen en omkijken. Ik heb gekozen voor een wekelijkse block-level backup (differentials) en krijg keurig een mail of de backup goed is gelopen. Alleen moet ik de schoonouders af en toe nog opvoeden om de data ook daadwerkelijk naar het NAS te kopieren ;)
Sentimentele waarde is ook een context...
En hoe kom je dan tot de conclusie dat mijn tips paranoïde zijn? Ken jij dan mijn context?
Mijn conclusie is dat het geen advies is maar angst aanjagen. Hiermee bereik je meestal het tegenovergestelde van wat je wil bereiken. En dat is jammer, want dat zet IT-security in een hoek waar we denk ik nou juist uit willen: hel en verdoemenis preken. Met zo'n preek kweek je geen awareness maar fatalisme...
Security.nl wordt niet gelezen door de gemiddelde thuisgebruiker.
En aanraden om een offsite backup te maken is geen FUD. Ik heb het even opgezocht, in 2010 waren er in Nederland 47.000 woningbranden, wat dus iets meer zou zijn dan 0,5% van de gezinnen in Nederland. Dat is pakweg 1 Nederlander op 100 die hierdoor getroffen wordt.
En tel daar de kansen van ander onheil (crashende schijven, diefstal) bovenop en dan is het een risico om rekening mee te houden. Vraag maar eens rond in je kennisenkring wie zich er al voor het hoofd heeft geslagen omdat bijvoorbeeld de digitale trouwfoto's verloren zijn gegaan.
Aan de andere kant, als je je hele hebben en houden op facebook zet dan valt er nog wel wat terug te halen ;)
Security.nl wordt niet gelezen door de gemiddelde thuisgebruiker.
En aanraden om een offsite backup te maken is geen FUD. Ik heb het even opgezocht, in 2010 waren er in Nederland 47.000 woningbranden, wat dus iets meer zou zijn dan 0,5% van de gezinnen in Nederland. Dat is pakweg 1 Nederlander op 100 die hierdoor getroffen wordt.
Security.nl wordt gelezen door IT-ers met hopelijk het security aspect van hun werk voldoende belicht. Maar het zijn wel de mensen die de rest van hun wereld informeren over o.a. risk mitigation.
Ach ja, ik doe wel eens bizar. Je zou mijn domotica systeem eens moeten zijn ;-)
Ach ja, ik doe wel eens bizar. Je zou mijn domotica systeem eens moeten zijn ;-)
Je loopt een groter risico je back-up te verliezen bij een inbraak dan bij brand.
Een NAS in je schuur, met temperatuurschommelingen (heet in de zomer, etc..) en vocht zal deze een korte levensduur hebben. Ik adviseer altijd 2 externe HD's te gebruiken en er voor te zorgen dat er minimaal 1 op een andere veilige locatie ligt. Denk aan familie of op je werk in een afgesloten bureaulade. Uiteraard versleuteld. Truecrypt en Robocopy zijn 2 handige tools.
Een NAS kan uiteraard ook, je zou gebruik kunnen maken van wederzijds vertrouwen met een overbuurman. Je plaatst bij elkaar een NAS welke je met Wifi aan elkaar koppelt. Dit is vooral voor kleine organisaties handig. De NAS staat in je eigen netwerk en niet is dat van de buurman.
Zie mijn reactie van 11:47. Inderdaad lijkt me een NAS in de schuur niet de beste oplossing en dagelijks/wekelijks slepen met een externe schijf is ook nogal een gedoe. Daarom met een partner ieder zijn eigen NAS in de meterkast. Beiden reserveren een deel (bijv 1TB) voor de ander zijn backup en via een Netbackup de job schedulen en je hebt geen omkijken meer.
En een NAS over Wifi backuppen zou ik niet aanraden ivm performance. Waarom niet via bekabeling over het internet? Veel stabieler, sneller bij breedband van tegenwoordig, verbinding te versleutelen etc.
En een NAS over Wifi backuppen zou ik niet aanraden ivm performance. Waarom niet via bekabeling over het internet? Veel stabieler, sneller bij breedband van tegenwoordig, verbinding te versleutelen etc.
Groot gelijk!
Vandaar Robocopy, met de optie mirror, is een backup in minuten gemaakt. Net zoiets als rsync. Maar het maakt natuurlijk niet uit hoe je de infrastructuur aanlegt, echter is een kabel vaak onpraktisch met de overburen. Dit is wel essentieel, want bij brand in bedrijfsunits zijn soms ook de naastgelegen buren de klos. Het liefst een wederzijdse backup tussen losstaande units. Via het internet kan ook, maar kan belastend zijn voor de internet verbinding van je buurman, of je eigen. Wifi is nog altijd veel sneller dan je upstream snelheid.
Als je dan toch je NAS goed synced kan je net zo goed vanaf je NAS werken, hoeven je schoonouders ook niet meer te kopiëren.
Ik heb thuis een ReadyNAS Duo staan, waarop ik mijn server backups laat uitvoeren via rsync over SSH.
Mijn eigen laptop laat ik synchroniseren via freefilesync.
Nu heb ik eigenlijk een probleem, beide manieren zetten de backups niet versleuteld weg.
Hebben jullie hier een goede oplossing voor?
Ik vind een versleutelde TrueCrypt file container geen oplossing aangezien deze gauw corrupted kan raken op de ReadyNAS.
Gr.
Bij de meeste online back-up bedrijven kan je een back-up op disk aanleveren. Daarn is het gewoon incrementals of differentiële back-ups maken.
Als je toch moet restoren, is er vaak de mogelijkheid dat de back-up per korier bij je wordt afgeleverd. Ok hier zitten wel kosten aan, maar dan speelt de vraag weer wat is het je waard?
Peter
In Truecrypt volumes van 1 TB heb ik ook niet echt vertrouwen. De snelheid zal wel navenant zijn.
In Truecrypt volumes van 1 TB heb ik ook niet echt vertrouwen. De snelheid zal wel navenant zijn.
Simpel, file system encryptie gebruiken. Als de NAS gestolen wordt moet de stroom eraf dus dan is je data veilig. Nadeel is wel verlies in performance van de NAS helaas.
(en ja natuurlijk is het zo dat de encryptie sleuten dan theoretisch uit het geheugen gehaald kan worden terwijl hij aan staat etc, maar zo geavanceerd zijn inbrekers niet... anders gingen ze jou niet bestelen).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
