Sicherheitsfeatures zum Schutz von Hybridsicherungen, die Azure Backup verwenden

Die Sorgen bezüglich Sicherheitsproblemen wie Schadsoftware, Ransomware und Eindringlingen werden immer größer. Diese Sicherheitsprobleme können erhebliche Daten- und finanzielle Verluste mit sich bringen. Um vor solchen Angriffen zu schützen, bietet Azure Backup jetzt Sicherheitsfeatures zum Schutz von Hybridsicherungen. In diesem Artikel wird beschrieben, wie Sie diese Features aktivieren und nutzen können, um lokale Workloads mithilfe von Microsoft Azure Backup Server (MABS), Data Protection Manager (DPM) und Microsoft Azure Recovery Services (MARS)-Agent zu schützen. Zu diesen Funktionen gehören:

• Prävention. Es wurde eine zusätzliche Authentifizierungsebene hinzugefügt, die bei allen kritischen Vorgängen wie Passphrasenänderungen zum Tragen kommt. Durch diese Überprüfung wird gewährleistet, dass solche Vorgänge nur von Benutzern durchgeführt werden können, die über gültige Azure-Anmeldeinformationen verfügen.
• Warnung. Eine E-Mail-Benachrichtigung wird immer dann an den Abonnementadministrator gesendet, wenn ein kritischer Vorgang wie das Löschen von Sicherungsdaten ausgeführt wird. Diese E-Mail stellt sicher, dass der Benutzer schnell über solche Aktionen benachrichtigt wird.
• Wiederherstellen. Gelöschte Sicherungsdaten werden für zusätzliche 14 Tage ab dem Löschdatum aufbewahrt. So wird gewährleistet, dass die Daten innerhalb des vorgegebenen Zeitraums wiederhergestellt werden können und auch bei Angriffen keine Datenverluste auftreten. Zum Schutz vor beschädigten Daten werden darüber hinaus auch mehr Mindestwiederherstellungspunkte gepflegt.

Hinweis

Aktivieren Sie die Multi-User-Autorisierung (MUA) auf Ihrem Recovery Services Tresor, um den kritischen Vorgang des Deaktivierens von Sicherheitsfunktionen mit einer zusätzlichen Schutzebene zu versehen. Erfahren Sie mehr.

Mindestversionsanforderungen

Aktivieren Sie die Sicherheitsfeatures nur, wenn Sie Folgendes verwenden:

• Azure Backup-Agent: Mindest-Agent Version 2.0.9052. Nachdem Sie diese Features aktiviert haben, aktualisieren Sie die Agentversion, um wichtige Vorgänge auszuführen.
• Azure Backup Server: Mindestens Azure Backup Agent Version 2.0.9052 mit Azure Backup Server Update 1.
• System Center Data Protection Manager: Minimale Azure Backup Agent Version 2.0.9052 mit Data Protection Manager 2012 R2 UR12/ Data Protection Manager 2016 UR2.

Hinweis

Stellen Sie sicher, dass Sie die Sicherheitsfunktionen nicht aktivieren, wenn Sie ein IaaS-VM-Backup verwenden. Derzeit stehen diese Features für die IaaS-VM-Sicherung nicht zur Verfügung, sodass die Aktivierung keine Auswirkungen hat.

Sicherheitsfunktionen aktivieren

Wenn Sie einen Recovery Services-Tresor erstellen, können Sie alle Sicherheitsfeatures verwenden. Wenn Sie mit einem vorhandenen Tresor arbeiten, aktivieren Sie Sicherheitsfeatures, indem Sie die folgenden Schritte ausführen:

1. Melden Sie sich mit Ihren Azure-Anmeldeinformationen beim Azure-Portal an.

2. Wählen Sie Durchsuchen, und geben Sie Recovery Services ein.

   
   

   Die Liste mit den Recovery Services-Tresoren wird angezeigt. Wählen Sie aus dieser Liste einen Tresor aus. Das ausgewählte Tresor-Dashboard wird geöffnet.

3. Wählen Sie in der Liste der Elemente, die unter dem Tresor angezeigt werden, unter "Einstellungen" die Option "Eigenschaften" aus.

   

4. Wählen Sie unter "Sicherheitseinstellungen" die Option "Aktualisieren" aus.

   

   Der Updatelink öffnet den Bereich "Sicherheitseinstellungen ", in dem eine Zusammenfassung der Features bereitgestellt wird und Sie diese aktivieren können.

5. Aktivieren Sie die Sicherheitsfeatures, und wählen Sie "Speichern" aus.

   

Wiederherstellen gelöschter Sicherungsdaten

Wenn die Einstellung für Sicherheitsfeatures aktiviert ist, behält Azure Backup gelöschte Sicherungsdaten für weitere 14 Tage bei und löscht sie nicht sofort, wenn die Sicherung mit dem Vorgang zum Löschen von Sicherungsdaten beendet wird. Um diese Daten im Zeitraum von 14 Tagen wiederherzustellen, führen Sie die folgenden Schritte aus, je nachdem, was Sie verwenden:

Für Benutzer des Azure Recovery Services-Agents :

1. Wenn der Computer, auf dem Sicherungen ausgeführt wurden, weiterhin verfügbar ist, schützen Sie die gelöschten Datenquellen erneut, und verwenden Sie die Wiederherstellungsdaten auf demselben Computer in Azure Recovery Services, um alle alten Wiederherstellungspunkte wiederherzustellen.
2. Wenn dieser Computer nicht verfügbar ist, verwenden Sie "Wiederherstellen" auf einem alternativen Computer , um diese Daten mithilfe eines anderen Azure Recovery Services-Computers abzurufen.

Für Azure Backup Server-Benutzer :

1. Wenn der Server, auf dem Sicherungen ausgeführt wurden, weiterhin verfügbar ist, schützen Sie die gelöschten Datenquellen erneut, und verwenden Sie das Feature "Daten wiederherstellen ", um aus allen alten Wiederherstellungspunkten wiederherzustellen.
2. Wenn dieser Server nicht verfügbar ist, verwenden Sie "Wiederherstellen von Daten von einem anderen Azure Backup Server ", um eine andere Azure Backup Server-Instanz zu verwenden, um diese Daten abzurufen.

Für Data Protection Manager-Benutzer :

1. Wenn der Server, auf dem Sicherungen ausgeführt wurden, weiterhin verfügbar ist, schützen Sie die gelöschten Datenquellen erneut, und verwenden Sie das Feature "Daten wiederherstellen ", um aus allen alten Wiederherstellungspunkten wiederherzustellen.
2. Wenn dieser Server nicht verfügbar ist, verwenden Sie "Externes DPM hinzufügen" , um einen anderen Data Protection Manager-Server zu verwenden, um diese Daten abzurufen.

Verhindern von Angriffen

Es wurden Prüfungen hinzugefügt, um sicherzustellen, dass bestimmte Vorgänge nur von gültigen Benutzern ausgeführt werden können. Dazu gehören das Hinzufügen einer zusätzlichen Authentifizierungsebene und die Beibehaltung eines mindesten Aufbewahrungsbereichs für Wiederherstellungszwecke.

Authentifizierung zum Ausführen wichtiger Vorgänge

Als Teil des Hinzufügens einer zusätzlichen Authentifizierungsebene für kritische Vorgänge werden Sie aufgefordert, eine Sicherheits-PIN einzugeben, wenn Sie "Stop Protection" mit Delete-Daten und Change Passphrase-Vorgängen für DPM, MABS und MARS ausführen.

Darüber hinaus werden mit MARS Version 2.0.9262.0 und höher die Vorgänge zum Entfernen eines Volumes aus der MARS-Datei-/Ordnersicherung, das Hinzufügen einer neuen Ausschlusseinstellung für ein vorhandenes Volume, die Reduzierung der Aufbewahrungsdauer und das Verschieben zu einem weniger häufigen Sicherungszeitplan auch durch eine Sicherheitsnadel für zusätzliche Sicherheit geschützt.

Hinweis

Derzeit wird für die folgenden DPM- und MABS-Versionen die Sicherheits-PIN für Schutz mit Datenlöschung beenden für Onlinespeicher unterstützt:

• DPM 2016 UR9 oder höher
• DPM 2019 UR1 oder höher
• MABS v3 UR1 oder höher

So erhalten Sie diese PIN:

1. Melden Sie sich beim Azure-Portal an.
2. Navigieren Sie zu Recovery Services-Tresor>Einstellungen>Eigenschaften.
3. Wählen Sie unter Sicherheits-PIN die Option Generieren aus. Dadurch wird ein Bereich geöffnet, der die PIN enthält, die in die Benutzeroberfläche des Azure Recovery Services-Agents eingegeben werden soll. Diese PIN ist nur fünf Minuten gültig und wird nach diesem Zeitraum automatisch generiert.

Einen minimalen Aufbewahrungsbereich beibehalten

Um sicherzustellen, dass immer eine gültige Anzahl von Wiederherstellungspunkten verfügbar ist, wurden die folgenden Überprüfungen hinzugefügt:

• Bei einer täglichen Aufbewahrung sollten mindestens sieben Aufbewahrungstage vorgesehen werden.
• Bei einer wöchentlichen Aufbewahrung sollten mindestens vier Aufbewahrungswochen vorgesehen werden.
• Für die monatliche Speicherung müssen mindestens drei Monate Aufbewahrung vorgenommen werden.
• Bei einer jährlichen Aufbewahrung sollte mindestens ein Aufbewahrungsjahr vorgesehen werden.

Benachrichtigungen für kritische Vorgänge

Wenn ein kritischer Vorgang ausgeführt wird, wird der Abonnementadministrator in der Regel eine E-Mail-Benachrichtigung mit Details zum Vorgang gesendet. Sie können zusätzliche E-Mail-Empfänger für diese Benachrichtigungen mithilfe des Azure-Portals konfigurieren.

Die in diesem Artikel erwähnten Sicherheitsfeatures bieten Abwehrmechanismen gegen gezielte Angriffe. Wenn ein Angriff auftritt, bieten Ihnen diese Features die Möglichkeit, Ihre Daten wiederherzustellen.

Fehler beheben

Vorgang	Fehlerdetails	Beschluss
Richtlinienänderung	Die Sicherungsrichtlinie konnte nicht geändert werden. Fehler: Der aktuelle Vorgang ist aufgrund eines internen Dienstfehlers [0x29834] fehlgeschlagen. Versuchen Sie den Vorgang nach einiger Zeit erneut. Wenn das Problem weiterhin besteht, wenden Sie sich an den Microsoft-Support.	Ursache: Dieser Fehler wird angezeigt, wenn Sicherheitseinstellungen aktiviert sind, Sie versuchen, den Aufbewahrungsbereich unter den oben angegebenen Mindestwerten zu verringern und sich in einer nicht unterstützten Version zu befinden (unterstützte Versionen werden in der ersten Notiz dieses Artikels angegeben). Empfohlene Maßnahme: In diesem Fall sollten Sie den Aufbewahrungszeitraum über dem festgelegten Mindestaufbewahrungszeitraum (sieben Tage für täglich, vier Wochen für wöchentlich, drei Wochen für monatlich oder ein Jahr jährlich) festlegen, um mit richtlinienbezogenen Updates fortzufahren. Optional wäre ein bevorzugter Ansatz, den Sicherungs-Agent, Azure Backup Server und/oder DPM-UR zu aktualisieren, um alle Sicherheitsupdates zu nutzen.
Passphrase ändern	Die eingegebene Sicherheits-PIN ist falsch. (ID: 100130) Geben Sie die richtige Sicherheits-PIN an, um diesen Vorgang abzuschließen.	Ursache: Dieser Fehler tritt auf, wenn Sie beim Ausführen eines kritischen Vorgangs (z. B. Änderungspassphrase) ungültige oder abgelaufene Sicherheits-PIN eingeben. Empfohlene Maßnahme: Um den Vorgang abzuschließen, müssen Sie eine gültige Sicherheits-PIN eingeben. Um die PIN zu erhalten, melden Sie sich am Azure-Portal an und navigieren zu Recovery Services vault > Einstellungen > Eigenschaften > Sicherheits-PIN generieren. Verwenden Sie diese PIN, um passphrase zu ändern.
Passphrase ändern	Fehler bei dem Vorgang. ID: 120002	Ursache: Dieser Fehler wird angezeigt, wenn Sicherheitseinstellungen aktiviert sind, Sie versuchen, die Passphrase zu ändern und sich in einer nicht unterstützten Version zu befinden (gültige Versionen, die in der ersten Notiz dieses Artikels angegeben sind). Empfohlene Maßnahme: Um die Passphrase zu ändern, müssen Sie zuerst den Sicherungs-Agent auf die Mindestversion 2.0.9052, Azure Backup Server auf mindestens Update 1 und/oder DPM auf mindestens DPM 2012 R2 UR12 oder DPM 2016 UR2 (Downloadlinks unten) aktualisieren und dann eine gültige Sicherheits-PIN eingeben. Um die PIN zu erhalten, melden Sie sich am Azure-Portal an und navigieren zu Recovery Services vault > Einstellungen > Eigenschaften > Sicherheits-PIN generieren. Verwenden Sie diese PIN, um passphrase zu ändern.

Unveränderlichkeitsunterstützung

Wenn für Ihren Recovery Services-Tresor Unveränderlichkeit aktiviert ist, werden Vorgänge blockiert, die die Aufbewahrung von Cloudsicherungen verkürzen oder die Cloudsicherung lokaler Datenquellen entfernen.

Unterstützung der Unveränderlichkeit für DPM und MABS

Dieses Feature wird mit MARS Agent Version 2.0.9250.0 und höher von DPM 2022 UR1 und MABS v4 unterstützt.

In der folgenden Tabelle sind die nicht zulässigen Vorgänge für DPM aufgeführt, die mit einer unveränderlichen Wiederherstellung verbunden sind:

Vorgang für unveränderlichen Tresor	Ergebnis mit DPM 2022 UR1, MABS v4 und dem neuesten MARS-Agent. Mit DPM 2022 UR2 oder MABS v4 UR1 können Sie die Option auswählen, um Onlinewiederherstellungspunkte nach Richtlinie beizubehalten, wenn der Schutz beendet oder eine Datenquelle aus einer Schutzgruppe aus der Konsole entfernt wird.	Ergebnis mit älterem DPM (MABS und/oder MARS-Agent
Datenquelle aus Schutzgruppe entfernen, die für die Onlinesicherung konfiguriert ist	81001: Das Sicherungselement(n) kann nicht gelöscht werden, da es aktive Wiederherstellungspunkte enthält und der ausgewählte Tresor ein unveränderlicher Tresor ist.	130001: Bei microsoft Azure Backup ist ein interner Fehler aufgetreten.
Beendigung des Schutzes mit Datenlöschung	81001: Das Sicherungselement(n) kann nicht gelöscht werden, da es aktive Wiederherstellungspunkte enthält und der ausgewählte Tresor ein unveränderlicher Tresor ist. Mit DPM 2022 UR2 oder MABS v4 UR1 können Sie die Option auswählen, um Onlinewiederherstellungspunkte nach Richtlinie beizubehalten, wenn der Schutz beendet oder eine Datenquelle aus einer Schutzgruppe aus der Konsole entfernt wird.	130001: Bei microsoft Azure Backup ist ein interner Fehler aufgetreten.
Reduzieren des Onlineaufbewahrungszeitraums	810002: Eine Verringerung der Aufbewahrungsdauer während der Änderung der Richtlinie/des Schutzes ist nicht zulässig, da der ausgewählte Tresor unveränderlich ist.	130001: Bei microsoft Azure Backup ist ein interner Fehler aufgetreten.
BefehlRemove-DPMChildDatasource	81001: Das Sicherungselement(n) kann nicht gelöscht werden, da es aktive Wiederherstellungspunkte enthält und der ausgewählte Tresor ein unveränderlicher Tresor ist. Verwenden Sie die neue Option -EnableOnlineRPsPruning mit -KeepOnlineData , um Daten nur bis zur Richtliniendauer aufzubewahren. Mit DPM 2022 UR2 oder MABS v4 UR1 können Sie die Option auswählen, um Onlinewiederherstellungspunkte nach Richtlinie beizubehalten, wenn der Schutz beendet oder eine Datenquelle aus einer Schutzgruppe aus der Konsole entfernt wird.	130001: Bei microsoft Azure Backup ist ein interner Fehler aufgetreten. Verwenden Sie das Flag "-KeepOnlineData ", um Daten aufzubewahren.

Unveränderlichkeitsunterstützung für MARS

In der folgenden Tabelle sind die für MARS nicht zulässigen Vorgänge aufgelistet, wenn im Recovery Services-Tresor Unveränderlichkeit aktiviert ist. Andere Vorgänge, z. B. die Erhöhung der Aufbewahrung und das Ausschließen einer Datei/eines Ordners aus der Sicherung, sind zulässig.

Unzulässiger Vorgang	Ergebnis mit dem neuesten MARS-Agenten	Ergebnis mit älterem MARS-Agent
Beenden des Schutzes durch Löschen von Daten für Systemstatus	Fehler 810001 Benutzer, der versucht, Sicherungselement zu löschen oder den Schutz mit Löschdaten zu beenden, bei denen das Sicherungselement einen gültigen (nicht abgelaufenen) Wiederherstellungspunkt aufweist.	Fehler 130001 Für Microsoft Azure Backup ist ein interner Fehler aufgetreten.
Beendigung des Schutzes mit Datenlöschung	Fehler 810001 Benutzer, der versucht, Sicherungselement zu löschen oder den Schutz mit Löschdaten zu beenden, bei denen das Sicherungselement einen gültigen (nicht abgelaufenen) Wiederherstellungspunkt aufweist.	Fehler 130001 Für Microsoft Azure Backup ist ein interner Fehler aufgetreten. MARS 2.0.9262.0 und höher bieten die Option, den Schutz zu beenden und Wiederherstellungspunkte gemäß der Policy in der Konsole beizubehalten.
Reduzieren des Onlineaufbewahrungszeitraums	Benutzer, der versucht, die Richtlinie oder den Schutz mit einer Reduzierung der Aufbewahrung zu ändern.	130001 Für Microsoft Azure Backup ist ein interner Fehler aufgetreten.
Remove-OBPolicy mit -DeleteBackup Fahne	810001 Benutzer, der versucht, Sicherungselement zu löschen oder den Schutz mit Löschdaten zu beenden, bei denen das Sicherungselement einen gültigen (nicht abgelaufenen) Wiederherstellungspunkt aufweist. Verwenden Sie das Flag "–EnablePruning" , um Sicherungen bis zum Aufbewahrungszeitraum beizubehalten.	130001 Für Microsoft Azure Backup ist ein interner Fehler aufgetreten. Verwenden Sie nicht das -DeleteBackup-Flag. MARS 2.0.9262.0 und höher bieten die Option, den Schutz zu beenden und Wiederherstellungspunkte gemäß der Policy in der Konsole beizubehalten.

Nächste Schritte

• Erste Schritte mit dem Azure Recovery Services Vault , um diese Features zu aktivieren.
• Laden Sie den neuesten Azure Recovery Services-Agent herunter, um Windows-Computer zu schützen und Ihre Sicherungsdaten vor Angriffen zu schützen.