Sicherheitskontrolle: Sicherung und Wiederherstellung

  • Artikel

Sicherung und Wiederherstellung umfasst Kontrollelemente, die sicherstellen, dass Daten- und Konfigurationssicherungen auf den verschiedenen Dienstebenen durchgeführt, validiert und geschützt werden.

BR-1: Sicherstellen regelmäßiger automatisierter Sicherungen

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
11.2 CP-2, CP-4, CP-9 –

Sicherheitsprinzip: Stellen Sie die Sicherung unternehmenskritischer Ressourcen sicher, entweder während der Ressourcenerstellung oder durch Eine Richtlinie für vorhandene Ressourcen.

Azure-Leitfaden: Aktivieren Sie für Azure Backup unterstützte Ressourcen (z. B. Azure-VMs, SQL Server, HANA-Datenbanken, Azure PostgreSQL-Datenbank, Dateifreigaben, Blobs oder Datenträger) Azure Backup und konfigurieren Sie die gewünschte Häufigkeit und Aufbewahrungsdauer. Für virtuelle Azure-Computer können Sie Azure Policy verwenden, um die Sicherung automatisch mithilfe von Azure Policy zu aktivieren.

Verwenden Sie für Ressourcen oder Dienste, die von Azure Backup nicht unterstützt werden, die native Sicherungsfunktion, die von der Ressource oder dem Dienst bereitgestellt wird. Azure Key Vault bietet beispielsweise eine native Sicherungsfunktion.

Bewerten Sie für Ressourcen/Dienste, die weder von Azure Backup unterstützt werden noch über eine native Sicherungsfunktion verfügen, Ihre Sicherungs- und Notfallanforderungen, und erstellen Sie Ihren eigenen Mechanismus gemäß Ihren Geschäftsanforderungen. Beispiel:

  • Wenn Sie Azure Storage für die Datenspeicherung verwenden, aktivieren Sie die Blobversionsverwaltung für Ihre Speicherblobs, mit der Sie jede Version jedes in Ihrem Azure Storage gespeicherten Objekts beibehalten, abrufen und wiederherstellen können.
  • Dienstkonfigurationseinstellungen können in der Regel in Azure Resource Manager-Vorlagen exportiert werden.

Azure-Implementierung und zusätzlicher Kontext:

AWS-Leitfaden: Aktivieren Sie AWS Backup für von AWS Backup unterstützte Ressourcen (z. B. EC2, S3, EBS oder RDS), und konfigurieren Sie die gewünschte Häufigkeit und Aufbewahrungsdauer.

Aktivieren Sie für Ressourcen/Dienste, die von AWS Backup nicht unterstützt werden, z. B. AWS KMS, das Feature für native Sicherungen im Rahmen der Ressourcenerstellung.

Bewerten Sie für Ressourcen/Dienste, die weder von AWS Backup unterstützt werden noch über eine native Sicherungsfunktion verfügen, Ihre Sicherungs- und Notfallanforderungen, und erstellen Sie Einen eigenen Mechanismus gemäß Ihren Geschäftsanforderungen. Beispiel:

  • Wenn Amazon S3 für die Datenspeicherung verwendet wird, aktivieren Sie die S3-Versionsverwaltung für Ihr Speicherbacket, sodass Sie jede Version jedes in Ihrem S3-Bucket gespeicherten Objekts beibehalten, abrufen und wiederherstellen können.
  • Dienstkonfigurationseinstellungen können in der Regel in CloudFormation-Vorlagen exportiert werden.

AWS-Implementierung und zusätzlicher Kontext:

GCP-Leitfaden: Aktivieren Sie GCP Backup für von Google Cloud Backup unterstützte Ressourcen (z. B. Computer-Engine, CloudSpeicher und Container), und konfigurieren Sie die gewünschte Häufigkeit und Aufbewahrungsdauer.

Verwenden Sie für Ressourcen oder Dienste, die von Google Cloud Backup nicht unterstützt werden, die native Sicherungsfunktion, die von der Ressource oder dem Dienst bereitgestellt wird. Der Geheimnis-Manager stellt beispielsweise eine native Sicherungsfunktion bereit.

Für Ressourcen/Dienste, die weder von Google Cloud Backup unterstützt werden noch über eine native Sicherungsfunktion verfügen, bewerten Sie Ihre Sicherungs- und Notfallanforderungen, und erstellen Sie Ihren eigenen Mechanismus gemäß Ihren Geschäftsanforderungen. Beispiel:

  • Wenn Sie Google Storage für die Speicherung von Sicherungsdaten verwenden, aktivieren Sie die Speicherversionsverwaltung für Ihre Objektversionsverwaltung, mit der Sie jede Version jedes in Ihrem Google Storage gespeicherten Objekts beibehalten, abrufen und wiederherstellen können.

GCP-Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

BR-2: Schützen von Sicherungs- und Wiederherstellungsdaten

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
11,3 CP-6, CP-9 3.4

Sicherheitsprinzip: Stellen Sie sicher, dass Sicherungsdaten und -vorgänge vor Datenexfiltration, Datenkompromittierung, Ransomware/Schadsoftware und böswilligen Insidern geschützt sind. Zu den Sicherheitskontrollen, die angewendet werden sollten, gehören die Benutzer- und Netzwerkzugriffssteuerung sowie die Datenverschlüsselung ruhender Daten und während der Übertragung.

Azure-Leitfaden: Verwenden Sie die mehrstufige Authentifizierung und Azure RBAC, um die wichtigen Azure Backup Vorgänge (z. B. Löschen, Aufbewahrung ändern, Aktualisieren der Sicherungskonfiguration) zu schützen. Für von Azure Backup unterstützte Ressourcen verwenden Sie Azure RBAC, um Aufgaben zu trennen und einen differenzierten Zugriff zu ermöglichen, und private Endpunkte in Ihrem virtuellen Azure-Netzwerk zu erstellen, um Daten geschützt in Ihren Recovery Services-Tresoren zu sichern und daraus wiederherzustellen.

Für von Azure Backup unterstützte Ressourcen werden Sicherungsdaten automatisch mit von der Azure-Plattform verwalteten Schlüsseln mit 256-Bit-AES-Verschlüsselung verschlüsselt. Sie können die Sicherungen auch mithilfe eines kundenseitig verwalteten Schlüssels verschlüsseln. Stellen Sie in diesem Fall sicher, dass sich der kundenseitig verwaltete Schlüssel im Azure-Key Vault ebenfalls im Sicherungsbereich befindet. Wenn Sie einen kundenseitig verwalteten Schlüssel verwenden, verwenden Sie vorläufiges Löschen und Löschen des Schutzes in Azure Key Vault, um Schlüssel vor versehentlichem oder böswilligem Löschen zu schützen. Für lokale Sicherungen mit Azure Backup erfolgt eine Verschlüsselung im Ruhezustand über die bereitgestellte Passphrase.

Schützen Sie Sicherungsdaten vor versehentlichen oder böswilligen Löschungen, z. B. Ransomware-Angriffe/Versuche, Sicherungsdaten zu verschlüsseln oder zu manipulieren. Für von Azure Backup unterstützte Ressourcen aktivieren Sie vorläufiges Löschen, um die Wiederherstellung von Elementen ohne Datenverlust bis zu 14 Tage nach einem nicht autorisierten Löschvorgang sicherzustellen, und aktivieren Sie die Multi-Faktor-Authentifizierung mithilfe einer im Azure-Portal generierten PIN. Aktivieren Sie außerdem georedundanten Speicher oder regionsübergreifende Wiederherstellung, um sicherzustellen, dass Sicherungsdaten bei einem Notfall in der primären Region wiederhergestellt werden können. Sie können auch zonenredundanten Speicher (ZRS) aktivieren, um sicherzustellen, dass Sicherungen bei Zonenausfällen wiederhergestellt werden können.

Hinweis: Wenn Sie das native Sicherungsfeature einer Ressource oder andere Sicherungsdienste als Azure Backup verwenden, lesen Sie den Microsoft Cloud Security Benchmark (und Dienstbaselines), um die oben genannten Steuerelemente zu implementieren.

Azure-Implementierung und zusätzlicher Kontext:

AWS-Leitfaden: Verwenden Sie die AWS IAM-Zugriffssteuerung, um AWS Backup zu schützen. Dies umfasst das Schützen des AWS Backup-Dienstzugriffs sowie sicherungs- und wiederherstellungspunkte. Beispiele für Steuerelemente sind:

  • Verwenden Sie die mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) für kritische Vorgänge, z. B. das Löschen eines Sicherungs-/Wiederherstellungspunkts.
  • Verwenden Sie Secure Sockets Layer (SSL)/Transport Layer Security (TLS) für die Kommunikation mit AWS-Ressourcen.
  • Verwenden Sie AWS KMS in Verbindung mit AWS Backup, um die Sicherungsdaten entweder mithilfe eines kundenseitig verwalteten CMK oder eines mit AWS verwalteten CMK zu verschlüsseln, das dem AWS Backup-Dienst zugeordnet ist.
  • Verwenden Sie AWS Backup Vault Lock für die unveränderliche Speicherung kritischer Daten.
  • Sichern Sie S3-Buckets durch Zugriffsrichtlinie, Deaktivieren des öffentlichen Zugriffs, Erzwingen der Verschlüsselung ruhender Daten und Versionsverwaltung.

AWS-Implementierung und zusätzlicher Kontext:

GCP-Leitfaden: Verwenden Sie dedizierte Konten mit der stärksten Authentifizierung, um wichtige Sicherungs- und Wiederherstellungsvorgänge auszuführen, z. B. Löschen, Aufbewahrungsänderungen und Aktualisierungen der Sicherungskonfiguration. Dies würde Sicherungsdaten vor versehentlichen oder böswilligen Löschungen schützen, z. B. Ransomware-Angriffe/Versuche, Sicherungsdaten zu verschlüsseln oder zu manipulieren.

Verwenden Sie für von GCP Backup unterstützte Ressourcen Google IAM mit Rollen und Berechtigungen, um Aufgaben zu trennen und differenzierten Zugriff zu ermöglichen, und richten Sie eine Private Services-Zugriffsverbindung mit VPC ein, um Daten sicher aus backup/recovery Anwendung zu sichern und wiederherzustellen.

Sicherungsdaten werden standardmäßig auf Plattformebene mit dem AES-Algorithmus (Advanced Encryption Standard) AES-256 automatisch verschlüsselt.

Hinweis: Wenn Sie das native Sicherungsfeature einer Ressource oder andere Sicherungsdienste als GCP Backup verwenden, sollten Sie sich zum Implementieren der Sicherheitskontrollen auf die entsprechende Richtlinie beziehen. Sie können beispielsweise auch bestimmte VM-Instanzen vor dem Löschen schützen, indem Sie die deleteProtection-Eigenschaft für eine VM instance Ressource festlegen.

GCP-Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

BR-3: Backups überwachen

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
11,3 CP-9 –

Sicherheitsprinzip: Stellen Sie sicher, dass alle unternehmenskritischen schutzfähigen Ressourcen mit der definierten Sicherungsrichtlinie und dem definierten Standard konform sind.

Azure-Leitfaden: Überwachen Sie Ihre Azure-Umgebung, um sicherzustellen, dass alle Wichtigen Ressourcen aus Sicherungssicht konform sind. Verwenden Sie Azure Policy für die Sicherung, um solche Kontrollen zu überwachen und zu erzwingen. Für Azure Backup unterstützten Ressourcen unterstützt Backup Center Sie bei der zentralen Steuerung Ihres Sicherungsbestands.

Stellen Sie sicher, dass kritische Sicherungsvorgänge (Löschen, Aufbewahrung von Änderungen, Aktualisierungen der Sicherungskonfiguration) überwacht, überwacht und Warnungen vorhanden sind. Überwachen Sie für Azure Backup unterstützten Ressourcen den gesamten Sicherungsstatus, erhalten Sie Warnungen zu kritischen Sicherungsvorfällen, und überwachen Sie ausgelöste Benutzeraktionen für Tresore.

Hinweis: Verwenden Sie ggf. auch integrierte Richtlinien (Azure Policy), um sicherzustellen, dass Ihre Azure-Ressourcen für die Sicherung konfiguriert sind.

Azure-Implementierung und zusätzlicher Kontext:

AWS-Leitfaden: AWS Backup arbeitet mit anderen AWS-Tools zusammen, damit Sie seine Workloads überwachen können. Hierzu gehören die folgenden Tools:

  • Verwenden Sie AWS Backup Audit Manager, um die Sicherungsvorgänge zu überwachen, um die Konformität sicherzustellen.
  • Verwenden Sie CloudWatch und Amazon EventBridge, um AWS Backup-Prozesse zu überwachen.
  • Verwenden Sie CloudWatch, um Metriken nachzuverfolgen, Alarme zu erstellen und Dashboards anzuzeigen.
  • Verwenden Sie EventBridge, um AWS Backup-Ereignisse anzuzeigen und zu überwachen.
  • Verwenden Sie Amazon Simple Notification Service (Amazon SNS), um AWS Backup-bezogene Themen wie Sicherung, Wiederherstellung und Kopierereignisse zu abonnieren.

AWS-Implementierung und zusätzlicher Kontext:

GCP-Leitfaden: Überwachen Sie Ihre Sicherungs- und Notfallwiederherstellungsumgebung, um sicherzustellen, dass alle Wichtigen Ressourcen aus Sicherungssicht konform sind. Verwenden Sie organisationsbezogene Richtlinien für die Sicherung, um solche Kontrollen zu überwachen und zu erzwingen. Für von GCP Backup unterstützte Ressourcen unterstützt die Verwaltungskonsole Sie bei der zentralen Steuerung Ihres Sicherungsbestands.

Stellen Sie sicher, dass kritische Sicherungsvorgänge (Löschen, Aufbewahrung von Änderungen, Aktualisierungen der Sicherungskonfiguration) überwacht, überwacht und Warnungen vorhanden sind. Überwachen Sie für von GCP Backup unterstützte Ressourcen die gesamte Sicherungsintegrität, erhalten Warnungen zu kritischen Sicherungsvorfällen und überwachen ausgelöste Benutzeraktionen.

Hinweis: Verwenden Sie ggf. auch integrierte Richtlinien (Organisationsrichtlinien), um sicherzustellen, dass Ihre Google-Ressourcen für die Sicherung konfiguriert sind.

GCP-Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

BR-4: Regelmäßiges Testen der Sicherung

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
11,5 CP-4, CP-9 –

Sicherheitsprinzip: Führen Sie regelmäßig Datenwiederherstellungstests Ihrer Sicherung durch, um zu überprüfen, ob die Sicherungskonfigurationen und die Verfügbarkeit der Sicherungsdaten die Wiederherstellungsanforderungen gemäß RTO (Recovery Time Objective) und RPO (Recovery Point Objective) erfüllen.

Azure-Leitfaden: Führen Sie regelmäßig Datenwiederherstellungstests Ihrer Sicherung durch, um zu überprüfen, ob die Sicherungskonfigurationen und die Verfügbarkeit der Sicherungsdaten den in RTO und RPO definierten Wiederherstellungsanforderungen entsprechen.

Möglicherweise müssen Sie Ihre Teststrategie für die Sicherungswiederherstellung einschließlich Testbereich, Häufigkeit und Methode definieren, da die Durchführung des vollständigen Wiederherstellungstests jedes Mal schwierig sein kann.

Azure-Implementierung und zusätzlicher Kontext:

AWS-Leitfaden: Führen Sie regelmäßig Datenwiederherstellungstests Ihrer Sicherung durch, um zu überprüfen, ob die Sicherungskonfigurationen und die Verfügbarkeit der Sicherungsdaten den in RTO und RPO definierten Wiederherstellungsanforderungen entsprechen.

Möglicherweise müssen Sie Ihre Teststrategie für die Sicherungswiederherstellung einschließlich Testbereich, Häufigkeit und Methode definieren, da die Durchführung des vollständigen Wiederherstellungstests jedes Mal schwierig sein kann. AWS-Implementierung und zusätzlicher Kontext:

GCP-Leitfaden: Führen Sie regelmäßig Datenwiederherstellungstests Ihrer Sicherung durch, um zu überprüfen, ob die Sicherungskonfigurationen und die Verfügbarkeit der Sicherungsdaten die Wiederherstellungsanforderungen gemäß der Definition in RTO und RPO erfüllen.

Möglicherweise müssen Sie Ihre Teststrategie für die Sicherungswiederherstellung einschließlich Testbereich, Häufigkeit und Methode definieren, da die Durchführung des vollständigen Wiederherstellungstests jedes Mal schwierig sein kann.

GCP-Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):