5 Veeam Backup & Replication 13.1 ist ab sofort verfügbar – mit Verbesserungen bei Identitätsschutz, Hypervisor-Unterstützung, Malware-Erkennung, Backup-Infrastruktur und betrieblicher Automatisierung. Die automatisierte Wiederherstellung von Active-Directory-Gesamtstrukturen und die erweiterte Hypervisor-Palette werden die meiste Aufmerksamkeit bekommen, und das zu Recht. Die folgenreicheren Änderungen für Speicherteams betreffen jedoch das Repository, und sie weisen in eine einheitliche Richtung. Veeam 13.1 behandelt das Backup-Repository als etwas, mit dem man während einer Wiederherstellung arbeitet, und nicht bloß als Ort, an dem Backups landen. Diese Unterscheidung ist wichtig, weil die meisten Backup-Architekturen noch immer rund um den Schreibpfad entworfen werden. Jobs laufen durch, Unveränderlichkeit ist konfiguriert, die Kapazität wird überwacht. Was danach geschieht – wer auf die Daten zugreifen kann, von wo aus und ob jemand nachgewiesen hat, dass sie sich wiederherstellen lassen –, hängt meist von demselben Backup-Server ab, der die Backups überhaupt erst erstellt hat. Mehrere der Repository-Änderungen in 13.1 sollen genau diese Abhängigkeit aufbrechen. Der Nur-Lese-Zugriff auf Repositorys ist die entscheidende Änderung Ein zweiter Server mit Veeam Backup & Replication, etwa an einem Disaster-Recovery-Standort, kann sich jetzt mit einem unveränderlichen Objektspeicher-Repository verbinden, das bereits vom Produktions-Backup-Server verwaltet wird. Der zweite Server kann die gespeicherten Daten weder beschreiben noch ändern. Er kann das Repository für Wiederherstellungen, Prüfungen der Wiederherstellbarkeit und forensische oder Ransomware-Scans über die Data Integration API nutzen, ohne die Zuständigkeit zu übernehmen oder laufende Backup-Jobs zu stören. Bisher konnte der Zugriff auf das Repository von einem anderen Backup-Server aus eine Übertragung der Zuständigkeit erfordern. Das brachte Koordinationsaufwand mit sich und erschwerte regelmäßige Tests, insbesondere wenn die Produktionsumgebung verfügbar bleiben musste. In der Praxis waren Wiederherstellungstests von einem separaten Server aus daher eher ein Vorhaben als gelebte Praxis. Der Nur-Lese-Zugriff trennt den Produktions-Backup-Betrieb sauberer von Wiederherstellungsaktivitäten. Ein Unternehmen könnte einen sekundären Veeam-Server mit Zugriff auf ein unveränderliches Repository betreiben und ihn nutzen, um: Wiederherstellungen zu testen, ohne das Produktions-Repository zu verändern Backup-Daten nach verdächtigen Aktivitäten zu untersuchen Wiederherstellungspunkte aus einer separaten Verwaltungsumgebung heraus zu validieren Daten wiederherzustellen, wenn der primäre Server von Veeam nicht mehr verfügbar ist Beim letzten Punkt lohnt es sich zu verweilen. Ein kompromittierter oder nicht verfügbarer Backup-Server war bisher an sich schon ein Wiederherstellungsproblem, weil der Weg zu den Daten über ihn führte. Mit dem Nur-Lese-Zugriff wird eine Standby-Verwaltungsumgebung zu einer unterstützten Konfiguration statt zu einem Workaround. Dabei lohnt es sich, genau zu sein, was die Funktion leistet und was nicht. Die Option gilt für unveränderliche Objektspeicher-Repositorys, und der Nur-Lese-Zugriff wird ausgewählt, wenn das Repository auf dem zweiten Server verbunden wird. Die Veeam-Dokumentation ergänzt ein wichtiges Detail: Die Zugangsdaten, mit denen das Repository hinzugefügt wird, sollten selbst nur Leserechte haben, weil Zugangsdaten mit Vollzugriff zu unvorhersehbarem Verhalten führen können. Der Nur-Lese-Modus begrenzt, was der sekundäre Veeam-Server tut. Er isoliert nicht das zugrunde liegende Speichernetzwerk und ersetzt weder getrennte Zugangsdaten noch Netzwerksegmentierung oder dokumentierte Zugriffsverfahren. Objektspeicher-Extents heben die Obergrenze für unstrukturierte Daten auf Objektspeicher kann jetzt als Extent in den Scale-out-Backup-Repositorys für das Backup unstrukturierter Daten genutzt werden. Kapazität lässt sich schrittweise über On-Premises- oder Cloud-basierte Objektspeicher-Bereitstellungen hinzufügen, ohne das Repository neu zu gestalten oder laufende Jobs zu unterbrechen. Das ist wichtig, weil unstrukturierte Daten selten in vorhersehbaren Schritten wachsen. Dateifreigaben, Video-Repositorys, Forschungsdaten, Konstruktionsdateien und von Anwendungen erzeugte Inhalte können einem festen Backup-Ziel schnell entwachsen. Ein Scale-out-Repository lässt die Speicherkapazität mit den geschützten Daten wachsen und hält die Backup-Verwaltung in Veeam – was wiederum bedeutet, dass eine Kapazitätsentscheidung keine Neugestaltung des Repositorys mehr erzwingt. Mehrere verwandte Verbesserungen machen den Schutz großer Dateibestände günstiger: Die Großvater-Vater-Sohn-Aufbewahrung (GFS) lässt sich direkt in NAS- und Objektspeicher-Backup-Jobs konfigurieren. Wöchentliche, monatliche und jährliche Wiederherstellungspunkte verweisen dabei auf vorhandene Backup-Daten, statt zusätzliche Vollkopien zu erfordern. Dateien über 32 MB können inkrementell verarbeitet werden, sodass Veeam nur geänderte Teile überträgt, statt die gesamte Datei erneut zu lesen. Änderungen an Zugriffssteuerungslisten können bei inkrementellen Backups erfasst und bei der Wiederherstellung erneut angewendet werden. Zusätzliche Parallelität auf der Quellseite verbessert den Durchsatz beim Schutz großer einzelner Dateifreigaben. Objektspeicher beseitigt viele Beschränkungen fester Kapazität, macht aber die Dimensionierung für Ingest-Rate, Aufbewahrungsfrist und Wiederherstellungsdurchsatz nicht überflüssig. Netzwerkbandbreite, Gateway-Ressourcen und die Leistung der zugrunde liegenden Speicherknoten bestimmen weiterhin, wie schnell Daten geschützt und wiederhergestellt werden können. Wissen, was das Repository tatsächlich enthält Der Verbrauch von Objektspeicher ließ sich allein anhand logischer Backup-Größen nur schwer abschätzen. Durch Block-Wiederverwendung und andere Optimierungen kann der für eine Backup-Kette angezeigte Wert erheblich von der physisch belegten Kapazität abweichen. Veeam 13.1 zeigt jetzt beides an: „Backup size“ für die logische Größe und „Actual size“ für die nach Optimierungen tatsächlich belegte Kapazität – entweder für eine bestimmte Repository-Ebene oder für alle Ebenen zusammen. Das ist eine kleine Änderung mit überproportionalem Nutzen für alle, die Tiering- oder Scale-out-Speicher betreiben, denn Erweiterungsentscheidungen können endlich auf gemessener Auslastung beruhen statt auf Schätzungen aus der geschützten Kapazität. Zudem verbessert sie die Abstimmung zwischen Backup-, Infrastruktur- und Finanzteams: Backup-Administratoren können zeigen, was physische Kapazität belegt, und Speicheradministratoren können Erweiterungen planen, bevor das Repository an seine betrieblichen Grenzen stößt. Erkennung, Unveränderlichkeit und Tests erfüllen unterschiedliche Aufgaben Unstrukturierte Daten machen bei den meisten Unternehmen einen großen Teil der wertvollen Informationen aus und lassen sich während eines Ransomware-Vorfalls nur schwer überwachen. Angreifer können Dateien in großen Freigaben verschlüsseln, umbenennen oder löschen und dabei unbemerkt bleiben, bis Benutzer melden, dass sie nicht mehr auf Daten zugreifen können. Veeam 13.1 erweitert die Malware-Erkennung auf Workloads mit unstrukturierten Daten. Analysen auf Dateiebene können verdächtige Muster wie massenhaftes Umbenennen oder Löschen erkennen, während Scans auf Indicators of Compromise ein weiteres Signal für potenziell schädliche Aktivitäten liefern. Veeam Threat Hunter unterstützt jetzt auch Backups von Dateifreigaben und Objektspeicher, mit automatisierten Scans nach dem Backup oder Prüfungen bei Bedarf über Signaturerkennung und anpassbare YARA-Regeln. Beide Funktionen erfordern die Advanced Edition der Veeam Universal License, daher gehört die Lizenzierung in die Upgrade-Planung. Zusammen mit dem Nur-Lese-Zugriff auf Repositorys ergibt sich eine klare Aufgabenteilung: Veeam überwacht Backup-Aktivitäten, analysiert Daten und hilft, geeignete Wiederherstellungspunkte zu finden. Unveränderlicher Objektspeicher verhindert, dass geschützte Backup-Objekte während ihrer Aufbewahrungsfrist geändert oder gelöscht werden. Ein sekundärer Veeam-Server kann im Nur-Lese-Modus auf das Repository zugreifen, um Untersuchungen durchzuführen und nachzuweisen, dass die Wiederherstellung funktioniert. Keiner dieser Bausteine allein entscheidet darüber, ob sich ein Unternehmen von Ransomware erholt. Die Erkennung erklärt, was passiert ist, die Unveränderlichkeit bewahrt nutzbare Wiederherstellungspunkte, und Tests bestätigen, dass sich diese Punkte innerhalb des geforderten Zeitfensters wiederherstellen lassen. Die Repository-Änderungen in 13.1 sind gerade im Zusammenspiel interessant, weil jede dieser drei Aufgaben von einem anderen Teil der Architektur übernommen werden kann. Mehr Flexibilität bei der Aufbewahrung – mit einer Kehrseite Eine neue Copy-Richtlinie für die Archive Tier des Scale-out-Backup-Repositorys ermöglicht es, qualifizierte GFS-Wiederherstellungspunkte direkt nach ihrer Erstellung ins Archiv zu kopieren, während die lokale Version bis zu ihrem regulären Ablauf in der Performance Tier bleibt. Copy- und Move-Richtlinien lassen sich kombinieren: Aktuelle Wiederherstellungspunkte bleiben auf schnellerem Speicher, während eine weitere Kopie auf günstigerem Archivspeicher aufbewahrt wird. Eine Einschränkung sollten Sie prüfen, bevor Sie darauf aufbauen: Die Copy-Richtlinie gilt nur für Direct-Archival-Konfigurationen, also eine Performance Tier und eine Archive Tier. Konfigurationen mit einer Capacity Tier dazwischen unterstützen den Copy-Modus nicht. Archiv-Repositorys lassen sich zudem mit einer Mindestdauer der Unveränderlichkeit konfigurieren – einer festen Anzahl von Tagen, in denen Daten weder gelöscht noch geändert werden können –, statt für die gesamte Aufbewahrungsfrist unveränderlich zu bleiben. Das ist für die Kontrolle der Archivkosten wirklich nützlich, und es ist zugleich die einzige neue Option in diesem Release, die eine Wiederherstellungsposition unbemerkt schwächen kann. Ein kurzes Unveränderlichkeitsfenster schützt die Zeit direkt nach dem Schreiben eines Backups, setzt ältere Wiederherstellungspunkte aber der Löschung aus, solange sie betrieblich oder rechtlich womöglich noch benötigt werden. Das Fenster sollte sich danach richten, wie lange eine Kompromittierung typischerweise unentdeckt bleibt, wie viele saubere historische Wiederherstellungspunkte das Unternehmen benötigt und was Vorschriften verlangen – nicht danach, wie viel Kapazität Sie zurückgewinnen möchten. Die Direct-Archive-Optionen gelten für unterstützte Archivdienste wie Veeam Data Cloud Vault Archive, Azure Archive und Amazon S3 Glacier, nicht für jedes S3-kompatible Repository. Eine On-Premises-Objektspeicherplattform kann daher die primäre unveränderliche Wiederherstellungsebene bleiben, während ein separater Archivdienst selten genutzte Daten über längere Zeiträume vorhält. Zwei kleinere Änderungen, die erwähnenswert sind Veeam 13.1 führt einen Gateway-Modus für das Backup von IBM-AIX- und Oracle-Solaris-Agenten auf S3-kompatiblen Objektspeicher ein. Backup- und Wiederherstellungsverkehr läuft dabei über einen in Veeam zugewiesenen Gateway-Server, statt dass jeder geschützte Endpunkt das Objektspeichersystem direkt erreichen muss. Für die vielen Unternehmen, die kritische Unix-Systeme noch in isolierten Netzwerksegmenten betreiben, beseitigt das ein echtes Hindernis bei der Bereitstellung. Das Gateway wird allerdings Teil des Datenpfads und sollte daher für den Durchsatz dimensioniert werden, den es nun trägt. Das Release erweitert zudem die Hypervisor-Unterstützung erheblich: Citrix XenServer, XCP-ng und Sangfor aSV werden nativ unterstützt, Platform9 und VergeOS kommen über die Universal Hypervisor API hinzu. Die Folge für das Repository wird leicht übersehen: Wenn immer mehr Plattformen auf dieselbe Backup-Infrastruktur zusammenlaufen, wird ein auf einen einzigen Hypervisor ausgerichtetes Repository zur Einschränkung dafür, welche Plattformen Sie einführen können. S3-kompatibler Objektspeicher entkoppelt beides, sodass Entscheidungen zur Virtualisierung und zum Speicher nicht mehr ein und dieselbe Entscheidung sind. Was Veeam 13.1 für Scality ARTESCA bedeutet Scality ARTESCA bietet ein S3-kompatibles On-Premises-Repository, das auf Backup und Cyber-Resilienz ausgelegt ist. ARTESCA ist im Veeam-Ready-Programm als Veeam Ready Repository – Primary Target (auf Englisch) für Veeam Backup & Replication 13 gelistet, mit validierten Attributen wie Unveränderlichkeit von Objekten, IAM und STS, Unterstützung der Smart Object Storage API und Governance-Modus. Drei der Änderungen in 13.1 passen direkt zur Art, wie ARTESCA eingesetzt wird. Der Nur-Lese-Modus für Repositorys unterstützt Wiederherstellungstests und Untersuchungen von einem sekundären Veeam-Server aus, während das unveränderliche Repository unter der Verwaltung der Produktion bleibt. Objektspeicher-Extents lassen die Repositorys für unstrukturierte Daten in Veeam horizontal mit der geschützten Kapazität wachsen. Und der Einsatz von S3 Object Lock durch ARTESCA, um Backup-Objekte über ihre gesamte Aufbewahrungsfrist zu bewahren, ist die Hälfte der oben beschriebenen Aufgabenteilung auf Speicherebene – Veeam analysiert und orchestriert, die Speicherplattform setzt durch. Scality bietet außerdem die ARTESCA+ Veeam Unified Software Appliance an, die Veeam Backup & Replication mit ARTESCA-Objektspeicher kombiniert. Sie ist als Veeam Ready für Veeam Backup & Replication 13 gelistet und kann als primäres Backup-System oder als sekundäres Repository mit einer Standby-Instanz von Veeam bereitgestellt werden – eine Konfiguration, die durch den Nur-Lese-Zugriff auf Repositorys deutlich nützlicher wird als bisher. Wie bei jedem Plattform-Update sollten der genaue Veeam-Build, die ARTESCA-Version und die geplante Architektur vor dem Upgrade von Produktivsystemen anhand aktueller Kompatibilitätsinformationen validiert werden. Eine besser nutzbare Wiederherstellungsebene aufbauen Die Objektspeicher-Änderungen in Veeam 13.1 sind bedeutsam, weil sie adressieren, was nach dem Schreiben der Backup-Daten geschieht. Der Nur-Lese-Zugriff unterstützt Wiederherstellungsvorgänge außerhalb des Produktions-Backup-Servers. Malware-Scans liefern Nachweise über die Integrität unstrukturierter Daten. Objektspeicher-Extents fangen Wachstum auf, und die Anzeige der tatsächlichen Größe macht die Kapazitätsplanung zu einer Messung statt einer Schätzung. Nichts davon kommt automatisch mit dem Upgrade. Ein Unternehmen, das 13.1 installiert und sonst nichts ändert, hat dieselbe Wiederherstellungsarchitektur wie zuvor, nur mit mehr verfügbaren Optionen. Die Arbeit besteht darin zu entscheiden, welche dieser Optionen ins Design gehören: ob ein zweiter Server Nur-Lese-Zugriff erhalten soll, ob das Unveränderlichkeitsfenster realistischen Entdeckungszeiten standhält und ob in letzter Zeit jemand im Produktionsmaßstab wiederhergestellt hat, sodass die Antwort überhaupt etwas aussagt. Das Ziel bleibt dasselbe: saubere Wiederherstellungspunkte bewahren, während eines Vorfalls den Zugriff darauf sicherstellen und nachweisen, dass die Umgebung Daten in der Geschwindigkeit wiederherstellen kann, die das Unternehmen benötigt. Häufig gestellte Fragen Was ist neu in Veeam Backup & Replication 13.1 für Objektspeicher? Die wichtigste Neuerung ist der Nur-Lese-Zugriff auf unveränderlichen Objektspeicher von einem zweiten Backup-Server aus. Das Release bringt außerdem Objektspeicher-Extents für Repositorys mit unstrukturierten Daten, die Anzeige der tatsächlichen Kapazität neben der logischen Backup-Größe, eine Copy-Richtlinie für die Archive Tier und eine Mindestdauer der Unveränderlichkeit, einen Gateway-Modus für AIX- und Solaris-Backups sowie Malware-Erkennung und Threat-Hunter-Unterstützung für unstrukturierte Daten. Kann ein zweiter Veeam-Server auf ein unveränderliches Objektspeicher-Repository zugreifen? Ja. Mit Veeam 13.1 kann ein zweiter Backup-Server ein unveränderliches Objektspeicher-Repository im Nur-Lese-Modus hinzufügen. Der sekundäre Server kann Wiederherstellungen, Prüfungen der Wiederherstellbarkeit und unterstützte forensische Vorgänge durchführen, ohne die Daten zu ändern oder die Zuständigkeit vom Produktionsserver zu übernehmen. Veeam empfiehlt, dass auch die verwendeten Zugangsdaten nur Leserechte haben. Verbessert Veeam 13.1 das NAS-Backup auf Objektspeicher? Ja. Objektspeicher kann als Extent in Scale-out-Repositorys für das Backup unstrukturierter Daten genutzt werden. Das Release ergänzt zudem GFS-Aufbewahrung in NAS-Backup-Jobs, inkrementelle Verarbeitung von Dateien über 32 MB, Nachverfolgung von ACL-Änderungen, bessere Leistung bei einzelnen Freigaben und zusätzliche Malware-Erkennung. Unterstützt Veeam Backup & Replication 13.1 Scality ARTESCA? Scality ARTESCA ist Veeam Ready für Veeam Backup & Replication 13 und unterstützt validierte Objektspeicher-Funktionen wie Unveränderlichkeit, IAM und STS, SOSAPI und Governance. Der genaue Build von Veeam 13.1 und die ARTESCA-Version sollten vor dem Produktiveinsatz anhand der neuesten Kompatibilitätsinformationen bestätigt werden.
