StateWarden betrachtet Datenresilienz als Aufgabe des Systems Engineering. Die Plattform ist in Rust implementiert, um die Leistung zu optimieren und den System-Overhead zu reduzieren. Die folgenden Abschnitte erläutern die architektonischen Unterschiede zwischen StateWarden und herkömmlichen Enterprise-Backup-Lösungen.
1. Lokales Instant Mount (iSCSI/NBD) im Vergleich zu Cloud-basierter Wiederherstellung
Herkömmlicher Ansatz: Viele Lösungen erfordern für die Wiederherstellung oder Malware-Prüfung die Übertragung der gesicherten Daten in eine proprietäre Cloud-Infrastruktur. Dieser Prozess verursacht Latenz und bedeutet, dass Daten in Umgebungen Dritter übertragen werden.
Der StateWarden-Ansatz: StateWarden stellt Wiederherstellungsfunktionen vollständig On-Premises bereit.
- Lokale Blockbereitstellung: Die Instant-Mount-Technologie nutzt ein natives iSCSI-Target, das in den lokalen Agenten integriert ist. Administratoren können ein dedupliziertes Backup als schreibgeschütztes natives Laufwerk auf einer isolierten Analysemaschine einbinden.
- Lokale Bedrohungserkennung: Das Vigil-Subsystem prüft das eingebundene Laufwerk lokal mithilfe RAM-residenter Bloom-Filter und umgeht damit Cloud-basierte AV-APIs und externe Datenübertragungen.
- Ergebnis: Die Daten bleiben On-Premises, und die Wiederherstellung erfolgt lokal ohne externe Rechenkapazität.
2. Kernel-integriertes Smart CBT im Vergleich zu Dateisystem-Traversierung
Herkömmlicher Ansatz: Viele Backup-Werkzeuge setzen auf Volume Shadow Copies (VSS) auf Betriebssystemebene und durchlaufen das Dateisystem im Userspace, um geänderte Dateien zu identifizieren. Dies kann die I/O-Last auf Produktivdatenbanken erhöhen und größere inkrementelle Backups verursachen.
Der StateWarden-Ansatz: StateWarden nutzt eine Smart-CBT-Engine (Changed Block Tracking), die in den Host-Kernel und den Storage-Stack integriert ist, um Änderungen auf Blockebene zu verfolgen.
- Windows-Architektur: StateWarden wertet das rohe NTFS-USN-Journal aus und ordnet Änderungen über
FSCTL_GET_RETRIEVAL_POINTERSphysischen Logical Cluster Numbers (LCNs) zu, ohne Standard-Datei-APIs zu verwenden. - Linux-Architektur: Schreibvorgänge werden auf Ebene des Blockgeräts mithilfe von nativem
dm-eraund epochenbasierten Kernel-Tracking-Arrays abgefangen. - Ergebnis: Geänderte Sektoren werden mit minimalem IOPS-Overhead identifiziert, was Recovery Point Objectives (RPOs) ermöglicht, ohne die Datenbankleistung nennenswert zu beeinträchtigen.
3. Deterministische Bare-Metal-Recovery (BMR)
Herkömmlicher Ansatz: Bei einer Bare Metal Recovery (BMR), etwa der Migration eines physischen Linux-Servers auf eine Proxmox-VM (P2V), können Boot-Fehler aufgrund nicht passender EFI-Variablen (NVRAM) und konfliktbehafteter Bootloader auftreten.
Der StateWarden-Ansatz: Die BMR-Architektur von StateWarden rekonstruiert die Festplattengeometrie direkt während des Wiederherstellungsprozesses.
- Rekonstruktion auf Blockebene: Während einer Bare-Metal-Wiederherstellung mit der Kiosk-ISO rekonstruiert der Agent die zugrunde liegende Festplattengeometrie aus den Disk-Layout-Metadaten des Backups und erhält dabei die primären und sekundären GPT-Header.
- Sparse Recovery (Zero-Skip): Der Prozess nutzt
FSCTL_SET_ZERO_DATA(Windows) undBLKDISCARD/PUNCH_HOLE(Linux), um das Schreiben leerer Sektoren zu überspringen. Dies beschleunigt die Wiederherstellung und reduziert Schreibbelastung auf SSDs. - EFI-Korrekturen: Der Agent passt Bootloader-Pfade und Partitions-UUIDs während der Wiederherstellung an, damit das System über unterschiedliche Hardware-Topologien oder verschachtelte LVMs hinweg erfolgreich bootet.
4. Zero-Knowledge-Kryptoarchitektur
Herkömmlicher Ansatz: In manchen Systemen speichert der zentrale Verwaltungsserver Verschlüsselungsschlüssel, um globale Deduplizierung zu ermöglichen. Wird der zentrale Server kompromittiert, können sowohl die Speicherarrays als auch die Schlüssel offengelegt werden.
Der StateWarden-Ansatz: StateWarden setzt eine Zero-Knowledge-Architektur durch.
- Cascade-Kryptografie: StateWarden nutzt die PrimeKEM-Engine. Das Geräte-Pairing wird mit ML-KEM (Kyber) Post-Quanten-Kryptografie abgesichert. Daten im Ruhezustand werden mit AES-256-GCM verschlüsselt und mehreren kryptografischen Transformationen unterzogen.
- Speicherschutz: Der Master Key existiert nur während der Verschlüsselung im flüchtigen Speicher des lokalen Agenten und wird anschließend im RAM per Software-Zeroization explizit überschrieben.
- Isolierung der Control Plane: Die Artemis Control Plane orchestriert Aufgaben, hat aber keinen Zugriff auf Datenblöcke oder Entschlüsselungsschlüssel. Eine Kompromittierung der Control Plane legt keine Benutzerdaten offen.