Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure Backup hilft, im Tresor gespeicherte Sicherungsdaten zu schützen und unterstützt die Wiederherstellung, wenn Produktionsumgebungen kompromittiert werden. Logisch isolierter Tresor beschreibt ein Ergebnis, das Isolierung mit Kontrollen gegen zerstörerische Vorgänge kombiniert. Cyber Recovery Essentials vereint Fähigkeiten, die Ihnen helfen, Backup-Bedrohungen zu bewerten und Wiederherstellungsvorgänge vorzubereiten. Die Unterstützung variiert je nach Vault, Workload und Region.
Logisch isolierter Tresor
Azure Backup speichert Tresor-Sicherungsdaten in einem von Microsoft verwalteten Azure-Abonnement und Tenant, getrennt von der Produktionsumgebung, in der sich die geschützten Daten befinden. Diese logische Trennung hilft, Backup-Daten außerhalb der Reichweite einer kompromittierten Workload zu halten. Es handelt sich nicht um eine physische oder vom Netzwerk getrennte Luftlücke und ersetzt keine Zugriffssteuerungen für Identitäten, die den Tresor verwalten können.
Datenisolation mit Azure Backup
Externe Benutzer und Gastworkloads haben keinen direkten Zugriff auf den Inhalt des gesicherten Sicherungsspeichers. Azure Backup verwaltet Backup-Operationen, einschließlich der Wiederherstellung, über den Tresor und dessen konfigurierte Zugriffskontrollen.
Das grundlegende Ergebnis eines logisch getrennten Tresors erfordert eine Mehrbenutzerautorisierung (MUA); Vorläufiges Löschen und Verschlüsselung sind standardmäßig aktiviert, und Unveränderlichkeit ist optional. Schützen Sie im Tresor gespeicherte Daten vor zerstörerischer Löschung, indem Sie entweder ein ständig aktiviertes vorläufiges Löschen oder gesperrte Unveränderlichkeit verwenden, sofern dies unterstützt wird. Diese Steuerelemente haben unterschiedliche Verhaltensweisen und unterschiedliche Begrenzungen.
Verwalten und Steuern von Identitäten und Benutzerzugriff
Die rollenbasierte Zugriffskontrolle von Azure (Azure RBAC) ermöglicht es Ihnen, nur die Berechtigungen zuzuweisen, die Benutzer zur Verwaltung von Backup-Operationen benötigen. Azure Backup bietet drei integrierte Rollen, die Ihnen helfen, Zuständigkeiten zu trennen:
- Mitwirkender für Sicherungen: Erstellen und Verwalten von Sicherungen, außer für Löschen von Recovery Services-Tresoren oder Gewähren des Zugriffs für andere Personen
- Backup-Operator: Führt Backup-Operationen aus, mit Ausnahme des Entfernens von Backups und der Verwaltung von Backup-Richtlinien.
- Backup-Reader: Zeigt Backup-Verwaltungsvorgänge an.
Erfahren Sie mehr über Azure RBAC für Azure Backup.
Sicherungsdaten vor vorzeitiger Löschung schützen
Soft Delete verzögert die dauerhafte Löschung und hält gelöschte Backup-Daten während der konfigurierten Speicherzeit wiederherstellbar. Die Standardaufbewahrungsfrist beträgt 14 Tage und kann auf bis zu 180 Tage verlängert werden. Die ersten 14 Tage der Soft-Delete-Aufbewahrung verursachen keine zusätzlichen Kosten; eine längere Aufbewahrung kann Gebühren verursachen. Soft Delete bietet keine unbegrenzte Aufbewahrung. Die gesperrte Unveränderlichkeitseinstellung blockiert Operationen, die den Verlust von Wiederherstellungspunkten für die konfigurierte Retentions- oder Unveränderlichkeitsdauer verursachen könnten, und die gesperrte Einstellung kann nicht rückgängig gemacht werden. Unveränderlichkeit gilt für im Tresor gespeicherte Daten im Tresor; sie gilt nicht für operative Sicherungen von Ressourcen wie Blobs, Dateien und Festplatten.
Die Durchsetzung und Verfügbarkeit von Always-on-Soft-Delete variiert je nach Vault-Typ, Arbeitslast und Region. Überprüfen Sie standardmäßig sichere Funktion „Vorläufiges Löschen“ und Unterstützung für unveränderliche Tresore, bevor Sie sich für eine Schutzweise entscheiden.
Autorisierung mehrerer Benutzer
MUA fügt kritischen Operationen auf Recovery Services-Tresoren und Backup-Tresoren eine zusätzliche Autorisierungsschicht hinzu. Es verwendet Resource Guard, damit ein separater autorisierter Benutzer geschützte Operationen genehmigen kann. MUA hilft, Tresoreinstellungen und Sicherungsdaten vor unbefugten Änderungen zu schützen. Es ersetzt nicht Soft Delete oder Unveränderlichkeit. Lerne mehr über MUA mit Resource Guard.
Verschlüsselung von Daten
Azure Backup verschlüsselt Backup-Daten standardmäßig im gespeicherten Zustand mit von Microsoft verwalteten Schlüsseln. Für unterstützte Recovery Services Vault-Workloads können Sie kundenverwaltete Schlüssel verwenden, die in Azure Key Vault gespeichert sind. Azure Backup schützt Daten während der Übertragung mit HTTPS und TLS 1.2 oder neuer. Azure Backup unterstützt außerdem das Sichern und Wiederherstellen von Azure-VMs mit verschlüsselten Festplatten. Details finden Sie unter Verschlüsselung von Sicherungsdaten, kundenverwalteten Schlüsseln sowie Sicherung und Wiederherstellung verschlüsselter Azure-VMs.
Grundlagen der Cyberwiederherstellung
Cyber Recovery Essentials konzentriert sich darauf, verdächtige Backup-Wiederherstellungspunkte zu identifizieren und Daten an ein unterstütztes Ziel für die Wiederherstellung zurückzubringen. Zu den Funktionen gehören Safe Restore in großem Maßstab, Bedrohungserkennung, Cross-Subscription-Wiederherstellung und Cross-Tenant-Wiederherstellung. Jede Fähigkeit hat ihren eigenen Unterstützungsumfang. Bedrohungserkennung und mandantenübergreifende Wiederherstellung befinden sich in der Vorschau.
Bedrohungserkennung in Azure Backup
Azure Backup Threat Detection verwendet Sicherheitssignale von Microsoft Defender for Servers, um den Zustand von Azure-VM-Backup-Wiederherstellungspunkten zu bewerten. Es identifiziert potenziell bösartige oder von Ransomware infizierte Wiederherstellungspunkte. Es scannt Sicherungsdaten nicht direkt. Die Funktion ist in der Vorschau. Erfahren Sie mehr über Bedrohungserkennung für Azure-VM-Backups.
Wiederherstellung über Abonnements und Mandanten hinweg
Cross-Subscription-Wiederherstellung kann Ihnen helfen, unterstützte Azure-VM-Backups auf ein anderes Abonnement im selben Tenant wiederherzustellen. Für Einzelheiten und Einschränkungen siehe mandantenübergreifende Wiederherstellung.
Die mandantenübergreifende Wiederherstellung ermöglicht es Ihnen, nach der Zuordnung der Quell- und Zieltresore berechtigte Tresor-Wiederherstellungspunkte in einen anderen Mandanten wiederherzustellen. Szenarien umfassen Mandantensperrung, Ransomware-Angriffe und Mandantenkonsolidierung. Ein Resource Guard im Zieltenant schützt den Zuordnungsvorgang durch MUA. Die tenantübergreifende Wiederherstellung ist in der Vorschau und unterstützt nur dokumentierte Arbeitslasten und Regionen. Erfahren Sie mehr über die mandantenübergreifende Wiederherstellung.
Weitere Sicherheitskontrollen
Azure Backup verfügt außerdem über integrierte Sicherheitsmaßnahmen, um Sicherheitslücken zu verhindern, zu erkennen und darauf zu reagieren. Erfahren Sie mehr über die Azure-Sicherheitsgrundlage für Backup.
Keine Internetkonnektivität für Azure-VM-Sicherungen erforderlich
Der Azure-VM-Backup-Verkehr nutzt das Azure-Backbone-Netzwerk und benötigt keinen Zugriff auf Ihr virtuelles Netzwerk. Sie müssen keine IP-Adressen oder vollständig qualifizierte Domainnamen für die Sicherung von Azure-VMs in gesicherten Netzwerken erlauben.
Private endpoints for Azure Backup
Private Endpunkte bieten private Konnektivität für unterstützte Recovery Services Vault-Workloads, einschließlich SQL Server und SAP HANA in Azure-VMs, MARS-Agenten-Backups, DPM und unterstützter Dateiwiederherstellung. Informationen zu unterstützten Szenarien finden Sie unter Private Endpunkte für Azure Backup.
Sicherheitsfeatures für den Schutz von Hybridsicherungen
Azure Backup bietet Sicherheitsfunktionen für hybride Backups, darunter zusätzliche Authentifizierung für kritische Operationen, E-Mail-Benachrichtigungen für kritische Operationen und MARS-Backup-Datenverschlüsselung mit einer Passphrase vor dem Hochladen. Die Daten werden erst nach dem Download entschlüsselt, und die Passphrase wird nicht an Azure Backup übertragen. Für unterstützte hybride Backup-Konfigurationen, die diese Sicherheitsfunktionen nutzen, werden gelöschte Backup-Daten zusätzlich 14 Tage aufbewahrt, und eine Mindestanzahl an Wiederherstellungspunkten wird gepflegt, um die Wiederherstellung nach einer Beschädigung zu unterstützen. Schützen Sie die Passphrase, damit Sie Daten bei Bedarf wiederherstellen können. Erfahren Sie mehr über Sicherheitsfunktionen für hybride Backups.
Überwachung und Warnungen zu verdächtigen Aktivitäten
Azure Backup bietet integrierte Überwachung und Warnungen für Backup-Operationen. Verwenden Sie Backup-Berichte, um Backup- und Wiederherstellungsaktivitäten zu verfolgen und Trends zu erkennen. Weitere Überwachungsoptionen finden Sie unter Monitoring und Reporting für Azure Backup.
Sicherheitsstatus und Sicherheitsstufen
Azure Backup-Sicherheitsstufen fassen Sicherheitseinstellungen zusammen, die auf geschützte Objekte angewendet werden. Nutzen Sie sie, um Konfigurationslücken in Ihrer Backup-Umgebung zu identifizieren.
| Sicherheitsstufe | Beschreibung | Requirements |
|---|---|---|
| Ausgezeichnet | Backups sind vor versehentlicher Löschung und Ransomware-Angriffen geschützt. | Unveränderlichkeit oder vorläufiges Löschen ist aktiviert und unumkehrbar (gesperrt oder immer eingeschaltet) und MUA ist für den Tresor aktiviert. |
| Gut | Bestehende Backups sind vor versehentlicher Löschung geschützt und bieten bessere Wiederherstellungsmöglichkeiten. | Unveränderlichkeit ist gesperrt oder vorläufiges Löschen ist aktiviert. |
| Akzeptabel | Kritische Backup-Operationen haben eine zusätzliche Schutzschicht. | MUA ist für den Tresor aktiviert. |
| Schlecht | Nur grundlegender Schutz gegen versehentliches Löschen. | Erweiterte Schutzfunktionen sind nicht aktiviert, oder nur reversible Schutzfunktionen sind aktiviert. |
Lernen Sie, wie Sie Sicherheitsstufen über geschützte Gegenstände hinweg überprüfen können.
Compliance mit standardisierten Sicherheitsanforderungen
Azure Backup bietet Servicekontrollen, Zertifizierungen und Bescheinigungen, die Ihnen helfen können, relevante nationale, regionale und branchenspezifische Anforderungen zu bewerten. Überprüfen Sie die Azure-Compliance-Angebote für Details.