Die Data Domain verfügt über das sogenannte Retention Lock Feature, für das jedoch ggf. eine zusätzliche Lizenz erworben werden muss.
Gerade in der heutigen Zeit, in denen Ransomware-Attacken (leider) fast an der Tagesordnung sind und mittlerweile zusätzlich manchmal noch durch Insider unterstützt werden, die z.B. Backups löschen, ist dies ein wichtiges Feature, welches allerdings nur relativ wenig Beachtung erhält.
Kurz gesagt sorgt Retention Lock dafür, dass Daten, die auf die Data Domain geschrieben werden, nicht vor Ablauf einer gewissen Aufbewahrungszeit gelöscht werden können.
Wenn man nun z.B. in der Backup-Applikation NetWorker aus Versehen (oder vielleicht auch absichtlich) ein Backup löschen möchte, bekommt man eine entsprechende Fehlermeldung präsentiert, die einem sagt, dass die Aufbewahrungszeit nicht erreicht ist und man das Backup daher nicht löschen kann.
Retention Lock wird auf der Data Domain auf Mtree-Ebene aktiviert, d.h. man kann Mtrees mit Retention Lock haben und gleichzeitig auch andere Mtrees ohne. Man kann auch Mtrees mit unterschiedlichen Retention Lock Editionen (zu den Editionen später mehr) haben.
Die Applikation, die die Daten auf die Data Domain schreibt, gibt dann für jede Datei die entsprechende Aufbewahrungszeit mit.
Auf der Data Domain kann man für jeden Retention Lock Mtree eine minimale und eine maximale Aufbewahrungszeit einstellen. D.h. die Applikation erhält dann auch eine entsprechende Fehlermeldung von der Data Domain, wenn sie sich außerhalb dieser Zeiten bewegt. Durch eine Begrenzung der maximalen Aufbewahrungsdauer kann man z.B. verhindern, dass man Daten versehentlich länger als eigentlich gewünscht speichern kann. Z.B. wenn man weiß, dass man keine Daten länger als ein Jahr aufbewahren möchte, kann man dies so einstellen. Damit wird verhindert, dass man versehentlich Daten für einen längeren Zeitraum speichert. Die möglichen Aufbewahrungszeiten können jedoch auch später noch angepasst werden.
Diverse Backup- & Archivierungsprogramme unterstützen dieses Feature.
Beispielsweise kann man einen CIFS-Share von der Data Domain an die Mail-Archivierungslösung Enterprise Vault exportieren. Der CIFS-Share liegt auf der Data Domain auf einem Mtree mit Retention Lock. Enterprise Vault unterstützt Retention Lock und kann daher die Aufbewahrungszeit mitgeben.
Wie bereits oben erwähnt unterstützten auch die Dell EMC Backup-Produkte wie z.B. NetWorker Retention Lock.
Ich werde auf die Einbindung in NetWorker in einem späteren Beitrag näher eingehen.
Von Retention Lock gibt es zwei Editionen – Governance und Compliance.
Der Hauptunterschied besteht darin, dass ein Data Domain Admin die Governance Edition auch wieder deaktivieren kann. Sprich der Schutz beruht darauf, dass die Data Domain nicht kompromittiert wurde, bzw. dass der DD Admin hier nicht das schwarze Schaf ist. Aber die Governance Edition verhindert z.B. das Löschen von Backups mit Hilfe der Backup Applikation oder bei Enterprise Vault den Löschvorgang auf dem CIFS-Share.
Für die Compliance Edition muss man zwingend noch ein Benutzerkonto für einen Security Admin anlegen. Sobald man die Compliance Edition aktiviert, wird bei diversen Tätigkeiten auf der Data Domain dann auch der Security Admin benötigt, bei welchem es sich im Idealfall um eine andere Person als den normale DD Admin handel.
Alle Tätigkeiten, die in irgendeiner Weise die Integrität der Daten gefährden könnten, wie z.B. Änderung der Zeiteinstellungen, erfordern beide Admins. Zudem können danach solche Tätigkeiten nur noch auf der Kommandozeile erledigt werden.
Aber auch diese beiden zusammen können einmal geschriebene Daten auf der Data Domain nicht entfernen. Wurde die Aufbewahrungszeit einmal gesetzt, bleibt die Dateien da, bis diese Zeit abgelaufen ist.
Wichtig bei der Compliance Edition ist noch, dass man die maximale Aufbewahrungsdauer nur erhöhen, nicht verringern kann, selbst wenn es keine Daten gibt, deren Aufbewahrungszeit länger als das neue Maximum ist.
Für welche Edition man sich entscheidet, hängt von mehreren Faktoren ab.
Die Compliance Edition ist ohne Frage sicherer, birgt aber auf der anderen Seite Risiken.
Vielleicht wollte man bei einem jährlichen Backup Job einstellen, dass das Backup für 12 Monate aufbewahrt wird, hat sich dabei aber verklickt und versehentlich (und unbemerkt) 12 Jahre ausgewählt. Dann bleiben die Daten auch 12 Jahre da.
Es kommt auch hin und wieder vor, dass man z.B. ein größeres Datenwachstum als gedacht hat und die Data Domain vollzulaufen droht. Und dann ist vielleicht auch gerade kein Budget für eine Erweiterung da. Was macht man häufig in diesem Fall? Richtig, die Aufbewahrungszeit von Backups verringern und alte Backups löschen.
Ersteres kann man natürlich nach wie vor tun, doch gewinnt man damit erst in Wochen oder gar Monaten Speicherplatz, bis die alten Backups von alleine ablaufen. Ate Backups kann man bei der Compliance Edition eben nicht löschen, sodass man hier nicht kurzfristig für Platz sorgen kann. Dann steht man vor der Entscheidung, doch noch irgendwo Geld für die Erweiterung aufzutreiben oder auf Backups zu verzichten.
Seit 2006 bin ich im Data Protection Bereich tätig und habe über die Jahre Erfahrungen mit diversen Produkten sammeln können. Darunter NetBackup, Avamar und natürlich vor allem NetWorker. Mit NetWorker habe ich seit meiner Ausbildung zum Fachinformatiker – Fachrichtung Anwendungsentwicklung – zu tun und habe mich auch auf diesen spezialisiert – vor allem in Kombination mit der Data Domain als Backup Storage. Darüber hinaus programmiere ich gerne in der Sprache Perl, sei es nun beruflich oder privat.