Přehled funkcí zabezpečení ve službě Azure Backup

Jedním z nejdůležitějších kroků, které můžete podniknout k ochraně svých dat, je mít spolehlivou zálohovací infrastrukturu. Je ale stejně důležité zajistit, aby se vaše data zálohovala zabezpečeným způsobem a aby vaše zálohy byly chráněny vždy. Azure Backup poskytuje zabezpečení vašeho zálohovacího prostředí – při přenosu dat i v klidu. Tento článek obsahuje seznam možností zabezpečení ve službě Azure Backup, které pomáhají chránit zálohovaná data a splňovat požadavky vaší firmy na zabezpečení.

Správa a řízení identit a přístupu uživatelů

Účty úložiště používané trezory služby Recovery Services jsou izolované a uživatelé k nim nemají přístup za žádným škodlivým účelem. Přístup je povolený jenom prostřednictvím operací správy služby Azure Backup, jako je obnovení. Azure Backup umožňuje řídit spravované operace prostřednictvím jemně odstupňovaného přístupu pomocí řízení přístupu na základě role Azure (Azure RBAC). Azure RBAC umožňuje rozdělit role a odpovědnosti v rámci vašeho týmu a udělit uživatelům pouze takovou úroveň přístupu, jaká je nezbytná k výkonu jejich práce.

Azure Backup poskytuje tři předdefinované role pro řízení operací správy zálohování:

  • Přispěvatel zálohování: Vytvoření a správa záloh s výjimkou odstranění trezoru služby Recovery Services a udělení přístupu ostatním
  • Operátor zálohování: Všechno, co přispěvatel dělá kromě odstraňování záloh a správy zásad zálohování
  • Čtenář záloh: Oprávnění k zobrazení všech operací správy zálohování

Přečtěte si další informace o řízení přístupu na základě role v Azure pro správu služby Azure Backup.

Azure Backup má do služby integrované několik bezpečnostních prvků, které brání bezpečnostním zranitelnostem, detekují je a reagují na ně. Přečtěte si další informace o bezpečnostních prvcích pro Azure Backup.

Izolace dat pomocí služby Azure Backup

Se službou Azure Backup se zálohovaná data uložená v trezoru ukládají v předplatném a tenantovi Azure spravovaném Microsoftem. Externí uživatelé nebo hosté nemají přímý přístup k tomuto úložišti zálohování nebo jeho obsahu, čímž je zajištěna izolace zálohovaných dat od produkčního prostředí, ve kterém se nachází zdroj dat.

V Azure se veškerá komunikace a přenášená data bezpečně přenášejí pomocí protokolů HTTPS a TLS 1.2+ . Tato data zůstávají v páteřní síti Azure a zajišťují tak spolehlivý a efektivní přenos. Uložená data záloh se ve výchozím nastavení šifrují pomocí klíčů spravovaných Microsoftem. Pokud potřebujete větší kontrolu nad daty, můžete také použít vlastní klíče pro šifrování. K vylepšení ochrany můžete použít neměnnost, která brání změnám nebo odstranění dat před jejich dobou uchovávání. Azure Backup nabízí různé možnosti, jako je měkké odstranění, zastavení zálohování a odstranění dat nebo uchovávání dat, pokud potřebujete kdykoli zastavit zálohování. K ochraně kritických operací můžete přidat autorizaci více uživatelů (MUA), která poskytuje další vrstvu ochrany pomocí prostředku Azure s názvem Azure Resource Guard.

Tento robustní přístup zajišťuje, že i v napadeném prostředí nelze se stávajícími zálohami manipulovat ani je odstranit neoprávněnými uživateli.

Pro zálohování virtuálních počítačů Azure se nevyžaduje připojení k internetu

Zálohování virtuálních počítačů Azure vyžaduje přesun dat z disku virtuálního počítače do trezoru služby Recovery Services. Veškerá požadovaná komunikace a přenos dat se ale děje pouze v páteřní síti Azure, aniž by bylo nutné přistupovat k vaší virtuální síti. Proto zálohování virtuálních počítačů Azure umístěných v zabezpečených sítích nevyžaduje povolení přístupu k žádným IP adresám nebo plně kvalifikovaným názvům domén.

Privátní koncové body pro Azure Backup

Pomocí Private Endpoints teď můžete bezpečně zálohovat data ze serverů uvnitř virtuální sítě do trezoru služby Recovery Services. Privátní koncový bod používá IP adresu z adresního prostoru virtuální sítě pro váš trezor, takže virtuální sítě nemusíte vystavovat žádným veřejným IP adresám. Privátní koncové body je možné použít k zálohování a obnovení databází SQL a SAP HANA spuštěných na vašich virtuálních počítačích Azure. Lze jej také použít pro servery v místním prostředí pomocí agenta MARS.

Další informace o privátních koncových bodech pro Službu Azure Backup najdete tady.

Šifrování dat

Šifrování chrání vaše data a pomáhá splnit závazky organizace týkající se zabezpečení a dodržování předpisů. Šifrování dat probíhá v mnoha fázích ve službě Azure Backup:

Měkké odstranění

Azure Backup poskytuje funkce zabezpečení, které pomáhají chránit zálohovaná data i po odstranění. Při měkkém odstranění se při odstranění zálohy virtuálního počítače zachovají zálohovaná data po dobu dalších 14 dnů, což umožňuje obnovení této zálohované položky bez ztráty dat. Další 14denní uchovávání zálohovaných dat ve stavu měkkého odstranění není zpoplatněno. Další informace o měkkém odstranění

Služba Azure Backup teď také vylepšila měkké odstranění, aby se zlepšila šance na obnovení dat po odstranění. Další informace.

Nemodifikovatelná úložiště

Neměnný trezor úložiště vám může pomoct chránit zálohovaná data tím, že blokuje všechny operace, které by mohly vést ke ztrátě bodů obnovení. Kromě toho můžete nastavení neměnného trezoru uzamknout, aby bylo nevratné, a zabránit tak všem škodlivým aktérům v zakázání neměnnosti a odstranění záloh. Přečtěte si další informace o neměnných vaultech.

Víceuživatelská autorizace

Víceuživatelová autorizace (MUA) pro Azure Backup umožňuje přidat další vrstvu ochrany do důležitých operací v trezorech služby Recovery Services a trezorech služby Backup. V případě MUA azure Backup používá jiný prostředek Azure, který se nazývá Resource Guard, aby se zajistilo, že se kritické operace provádějí jenom s příslušnou autorizací. Přečtěte si další informace o autorizaci více uživatelů pro Azure Backup.

Obnovení mezi tenanty (Preview)

Obnova mezi nájemci vám umožní obnovit data zálohy uložená v trezoru ze zdrojového nájemce do jiného cílového nájemce poté, co namapujete zdrojový a cílový trezor. Použijte ho k obnově ze situací, jako je zablokování tenanta, útoky ransomwarem a konsolidace tenantů. Resource Guard chrání operaci mapování. Zjistěte více o obnově mezi nájemci.

Vylepšené měkké odstranění

Vylepšené měkké odstranění poskytuje možnost obnovit data i po jejich odstranění, omylem nebo zlými úmysly. Funguje tak, že zpozdí trvalé odstranění dat o zadanou dobu trvání a poskytne vám příležitost je obnovit. Můžete také nastavit obnovitelné odstranění jako trvale zapnuté, aby se zabránilo jeho zakázání. Přečtěte si další informace o vylepšeném soft delete pro zálohování.

Monitorování a upozornění na podezřelé aktivity

Azure Backup poskytuje integrované možnosti monitorování a upozorňování pro zobrazení a konfiguraci akcí pro události související se službou Azure Backup. Sestavy zálohování slouží jako centrální místo pro sledování využití, auditování záloh a obnovení a identifikaci klíčových trendů na různých úrovních členitosti. Pomocí nástrojů pro monitorování a vytváření sestav služby Azure Backup vás lze na jakoukoli neoprávněnou, podezřelou nebo škodlivou aktivitu upozornit okamžitě po jejím výskytu.

Funkce zabezpečení pro ochranu hybridních záloh

Služba Azure Backup používá agenta Mars (Microsoft Azure Recovery Services) k zálohování a obnovení souborů, složek a stavu svazku nebo systému z místního počítače do Azure. MARS teď poskytuje funkce zabezpečení, které pomáhají chránit hybridní zálohy. Patří k nim:

  • Při každé důležité operaci, jako je změna přístupového hesla, se přidá další vrstva ověřování. Toto ověření zajišťuje, aby tyto operace mohly provádět jenom uživatelé, kteří mají platné přihlašovací údaje Azure. Přečtěte si další informace o funkcích, které brání útokům.

  • Odstraněná zálohovaná data se uchovávají po dobu dalších 14 dnů od data odstranění. Tím se zajistí možnost obnovy dat v daném časovém období, takže nedojde ke ztrátě dat ani v případě, že dojde k útoku. Navíc se udržuje větší počet minimálních bodů pro obnovení, které chrání před poškozenými daty. Přečtěte si další informace o obnovení odstraněných zálohovach dat.

  • U dat zálohovaných pomocí agenta MARS (Microsoft Azure Recovery Services) se používá šifrovací heslo k zajištění, že data jsou před nahráním do služby Azure Backup zašifrována a dešifrována jsou až po stažení ze služby Azure Backup. Podrobnosti přístupové fráze jsou k dispozici pouze uživateli, který přístupovou frázi vytvořil, a agentovi, který je s ní nakonfigurován. Nic se nepřenáší ani se službou nesdílí. Tím zajistíte úplné zabezpečení vašich dat, protože všechna data, která jsou neúmyslně vystavená (například při útoku typu man-in-the-middle v síti), jsou nepoužitelná bez přístupového hesla a přístupové heslo se neposílá přes síť.

Stav zabezpečení a úrovně zabezpečení

Azure Backup poskytuje funkce zabezpečení na úrovni trezoru, které chrání zálohovaná data uložená v trezoru. Tato bezpečnostní opatření zahrnují nastavení přidružená k řešení Azure Backup pro trezory služby Recovery Services a chráněné zdroje dat obsažené v trezorech služby Recovery Services.

Úrovně zabezpečení pro trezory Služby Azure Backup jsou rozdělené do kategorií následujícím způsobem:

  • Vynikající (Maximum):: Tato úroveň představuje nejvyšší zabezpečení, které zajišťuje komplexní ochranu. Toho dosáhnete, když jsou všechna zálohovaná data chráněná před náhodným odstraněním a před útoky ransomwaru. Aby bylo možné dosáhnout vysoké úrovně zabezpečení, musí být splněny následující podmínky:

  • Dobré (adekvátní): To značí robustní úroveň zabezpečení, která zajišťuje spolehlivou ochranu dat. Chrání stávající zálohy před nezamýšleným odebráním a vylepšuje potenciál pro obnovení dat. Pokud chcete dosáhnout této úrovně zabezpečení, musíte povolit buď neměnnost se zámkem, nebo obnovitelné odstranění.

  • Uspokojivé (Minimum/Průměr): Představuje základní úroveň zabezpečení, která je vhodná pro standardní požadavky na ochranu. Nezbytné operace zálohování využívají další vrstvu ochrany. Pokud chcete dosáhnout minimálního zabezpečení, musíte v trezoru povolit autorizaci více uživatelů (MUA).

  • Špatná (Špatná/Žádná): To značí nedostatek bezpečnostních opatření, což je méně vhodné pro ochranu dat. Na této úrovni nejsou zavedeny pokročilé ochranné funkce ani výhradně reverzibilní schopnosti. Zabezpečení na úrovni Žádné poskytuje ochranu především pouze před náhodnými odstraněními.

Úrovně zabezpečení ve všech datových zdrojích můžete zobrazit a spravovat v příslušných trezorech prostřednictvím nástroje Resiliency.

Dodržování standardizovaných požadavků na zabezpečení

Microsoft Azure a Azure Backup nabízejí komplexní sadu certifikací a osvědčení, které pomáhají organizacím dodržovat národní/regionální a oborové požadavky týkající se shromažďování a používání osobních údajů jednotlivců. Podívejte se na seznam certifikací souladu s předpisy.

Další kroky

  • Poslední aktualizace v