Panoramica delle funzionalità di sicurezza in Backup di Azure

  • Articolo

Una delle decisioni più importanti che è possibile prendere per proteggere i dati consiste nel dotarsi di un'infrastruttura di backup affidabile. Tuttavia è altrettanto importante assicurarsi che i dati vengano sottoposti a backup in modo sicuro e che i backup siano sempre protetti. Backup di Azure fornisce sicurezza per l'ambiente di backup, sia quando i dati sono in transito che inattivi. In questo articolo vengono illustrate informazioni sulle funzionalità di sicurezza di Backup di Azure che consentono di proteggere i dati di backup e soddisfare le esigenze di sicurezza dell'azienda.

Gestione e controllo dell'identità e dell'accesso utente

Gli account di archiviazione usati dagli insiemi di credenziali di Servizi di ripristino sono isolati e gli utenti non possono accedervi per eventuali azioni dannose. L'accesso è consentito solo tramite le operazioni di gestione di Backup di Azure, ad esempio il ripristino. Backup di Azure consente di controllare le operazioni gestite tramite l'accesso con granularità fine tramite Controllo degli accessi in base al ruolo di Azure. Il controllo degli accessi in base al ruolo di Azure consente di separare i compiti all'interno del team e concedere solo la quantità di accesso agli utenti necessari per svolgere il proprio lavoro.

Backup di Azure offre tre ruoli predefiniti per controllare le operazioni di gestione del backup:

  • Collaboratore backup: per creare e gestire i backup, ad eccezione dell'eliminazione dell'insieme di credenziali di Servizi di ripristino e dell'accesso ad altri utenti
  • Operatore di backup: tutto ciò che un collaboratore esegue, ad eccezione della rimozione dei criteri di backup e gestione dei criteri di backup
  • Lettore di backup: autorizzazioni per visualizzare tutte le operazioni di gestione dei backup

Altre informazioni sul controllo degli accessi in base al ruolo di Azure per gestire Backup di Azure.

Backup di Azure include nel servizio diversi controlli di sicurezza predefiniti per prevenire, rilevare e rispondere alle vulnerabilità di sicurezza. Per altre informazioni, vedere Controlli di sicurezza per Backup di Azure.

Isolamento dei dati con Backup di Azure

Con Backup di Azure, i dati di backup con insieme di credenziali vengono archiviati nella sottoscrizione e nel tenant di Azure gestiti da Microsoft. Gli utenti esterni o gli utenti guest non hanno accesso diretto a questa archiviazione di backup o al relativo contenuto, garantendo l'isolamento dei dati di backup dall'ambiente di produzione in cui risiede l'origine dati.

In Azure, tutte le comunicazioni e i dati in transito vengono trasferiti in modo sicuro con protocolli HTTPS e TLS 1.2+ . Questi dati rimangono nella rete backbone di Azure garantendo una trasmissione dati affidabile ed efficiente. I dati di backup inattivi vengono crittografati per impostazione predefinita usando chiavi gestite da Microsoft. È anche possibile usare chiavi personalizzate per la crittografia se è necessario un maggiore controllo sui dati. Per migliorare la protezione, è possibile usare l'immutabilità, che impedisce la modifica o l'eliminazione dei dati prima del periodo di conservazione. Backup di Azure offre diverse opzioni, ad esempio l'eliminazione temporanea, l'arresto del backup e l'eliminazione dei dati o la conservazione dei dati se è necessario arrestare i backup in qualsiasi momento. Per proteggere le operazioni critiche, è possibile aggiungere l'autorizzazione multiutente (MUA) che aggiunge ulteriore livello di protezione usando una risorsa di Azure denominata Azure Resource Guard.

Questo approccio affidabile garantisce che, anche in un ambiente compromesso, i backup esistenti non possano essere manomessi o eliminati da utenti non autorizzati.

Connettività Internet non necessaria per il backup delle VM di Azure

Il backup delle macchine virtuali di Azure richiede lo spostamento dei dati dal disco della macchina virtuale all'insieme di credenziali di Servizi di ripristino. Tuttavia, tutte le comunicazioni e il trasferimento dei dati necessari avvengono solo nella rete backbone di Azure senza dover accedere alla rete virtuale. Per questo motivo, il backup delle VM di Azure inserite all'interno di reti protette non richiede di consentire l'accesso a qualsiasi IP o FQDN.

Endpoint privati per Backup di Azure

È ora possibile usare gli endpoint privati per eseguire il backup dei dati in modo sicuro dai server all'interno di una rete virtuale nell'insieme di credenziali di Servizi di ripristino. L'endpoint privato usa un indirizzo IP dallo spazio indirizzi della rete virtuale per l'insieme di credenziali, quindi non è necessario esporre le reti virtuali a indirizzi IP pubblici. È possibile usare gli endpoint privati per eseguire il backup e il ripristino dei database SQL e SAP HANA in esecuzione nelle macchine virtuali di Azure. Possono anche essere usati per i server locali che usano l'agente MARS.

Altre informazioni sugli endpoint privati per Backup di Azure sono disponibili qui.

Crittografia dei dati

La crittografia protegge i dati e consente di soddisfare gli obblighi di sicurezza e conformità dell'organizzazione. La crittografia dei dati si verifica in molte fasi in Backup di Azure:

  • All'interno di Azure, i dati in transito tra Archiviazione di Azure e l'insieme di credenziali sono protetti da HTTPS. Questi dati rimangono all'interno della rete backbone di Azure.

  • I dati di backup vengono crittografati automaticamente usando chiavi gestite dalla piattaforma e non è necessario eseguire alcuna azione esplicita per abilitarla. È anche possibile crittografare i dati di cui è stato eseguito il backup usando le chiavi gestite dal cliente archiviate in Azure Key Vault. si applica a tutti i carichi di lavoro di cui viene eseguito il backup nell'insieme di credenziali di Servizi di ripristino.

  • Backup di Azure supporta il backup e il ripristino di macchine virtuali di Azure con dischi del sistema operativo/dati crittografati con Crittografia dischi di Azure (ADE) e macchine virtuali con dischi crittografati cmk. Per altre informazioni, vedere Altre informazioni sulle macchine virtuali di Azure crittografate e sulle Backup di Azure.

  • Quando viene eseguito il backup dei dati dai server locali con l'agente MARS, i dati vengono crittografati con una passphrase prima del caricamento in Backup di Azure e decrittografati solo dopo il download da Backup di Azure. Altre informazioni sulle funzionalità di sicurezza per proteggere i backup ibridi.

Elimina temporaneamente

Backup di Azure offre funzionalità di sicurezza che consentono di proteggere i dati di backup anche dopo l'eliminazione. Con l'eliminazione temporanea, se si elimina il backup di una macchina virtuale, i dati di backup vengono conservati per 14 giorni aggiuntivi, consentendo il ripristino dell'elemento di backup senza perdita di dati. La conservazione aggiuntiva di 14 giorni dei dati di backup nello stato di eliminazione temporanea non comporta alcun costo. Altre informazioni sull'eliminazione temporanea.

Backup di Azure ha ora migliorato anche l'eliminazione temporanea per migliorare ulteriormente le possibilità di ripristino dei dati dopo l'eliminazione. Altre informazioni.

Insiemi di credenziali non modificabili

L'insieme di credenziali non modificabile consente di proteggere i dati di backup bloccando eventuali operazioni che potrebbero causare la perdita di punti di ripristino. È inoltre possibile bloccare l'impostazione dell'insieme di credenziali non modificabile per renderla irreversibile che può impedire a qualsiasi attore malintenzionato di disabilitare l'immutabilità ed eliminare i backup. Altre informazioni sugli insiemi di credenziali non modificabili.

Autorizzazione multiutente

L'autorizzazione multiutente (MUA) per Backup di Azure consente di aggiungere un ulteriore livello di protezione alle operazioni critiche sugli insiemi di credenziali di Servizi di ripristino e sugli insiemi di credenziali di backup. Per MUA, Backup di Azure usa un'altra risorsa di Azure denominata Resource Guard per garantire che le operazioni critiche vengano eseguite solo con l'autorizzazione applicabile. Altre informazioni sull'autorizzazione multiutente per Backup di Azure.

Eliminazione temporanea avanzata

L'eliminazione temporanea avanzata consente di recuperare i dati anche dopo l'eliminazione, accidentalmente o dannosa. Funziona ritardando l'eliminazione permanente dei dati in base a una durata specificata, offrendo l'opportunità di recuperarli. È anche possibile rendere sempre attiva l'eliminazione temporanea per impedirne la disabilitazione. Altre informazioni sull'eliminazione temporanea avanzata per il backup.

Monitoraggio e avvisi di attività sospette

Backup di Azure offre funzionalità di monitoraggio e avviso predefinite per visualizzare e configurare le azioni per gli eventi correlati a Backup di Azure. I report di Backup fungono da destinazione unica per tenere traccia dell'utilizzo, controllare backup e ripristino e rilevare le tendenze principali a diversi livelli di granularità. L'uso degli strumenti di monitoraggio e creazione di report di Backup di Azure consente di avvisare l'utente in caso di attività non autorizzate, sospette o dannose non appena si verificano.

Funzionalità di sicurezza per la protezione dei backup ibridi

Il servizio Backup di Azure usa l'agente di Servizi di ripristino di Microsoft Azure (MARS, Microsoft Azure Recovery Services) per eseguire il backup e il ripristino di file, cartelle e dello stato del volume o del sistema da un computer locale ad Azure. MARS ora offre funzionalità di sicurezza per la protezione dei backup ibridi. Queste funzionalità sono:

  • Ogni volta che viene eseguita un'operazione critica, come la modifica di una passphrase, viene aggiunto un ulteriore livello di autenticazione. Questa convalida serve a garantire che tali operazioni possano essere eseguite solo dagli utenti che hanno credenziali di Azure valide. Altre informazioni sulle funzionalità che impediscono gli attacchi.

  • I dati di backup eliminati vengono conservati per altri 14 giorni dalla data di eliminazione. In questo modo, viene garantita la possibilità di recuperare i dati entro un certo periodo di tempo, così da scongiurare la perdita di dati anche in caso di attacco. Inoltre, viene conservato un maggior numero di punti di recupero per prevenire il rischio di dati danneggiati. Altre informazioni sul ripristino dei dati di backup eliminati.

  • Per i dati sottoposti a backup con l'agente di Servizi di ripristino di Microsoft Azure (MARS), viene usata una passphrase per assicurarsi che i dati vengano crittografati prima del caricamento in Backup di Azure e decrittografati solo dopo il download da Backup di Azure. I dettagli della passphrase sono disponibili solo per l'utente che ha creato la passphrase e l'agente configurato con esso. Non viene trasmesso o condiviso niente con il servizio. In questo modo si garantisce una sicurezza completa dei dati, poiché tutti i dati esposti inavvertitamente (ad esempio un attacco man-in-the-middle sulla rete) non sono utilizzabili senza la passphrase e la passphrase non viene inviata in rete.

Comportamento di sicurezza e livelli di sicurezza

Backup di Azure fornisce funzionalità di sicurezza a livello di insieme di credenziali per proteggere i dati di backup archiviati. Queste misure di sicurezza includono le impostazioni associate alla soluzione Backup di Azure per gli insiemi di credenziali e le origini dati protette contenute negli insiemi di credenziali.

I livelli di sicurezza per gli insiemi di credenziali di Backup di Azure sono classificati come segue:

  • Eccellente (massimo):questo livello rappresenta la massima sicurezza, che garantisce una protezione completa. È possibile ottenere questo risultato quando tutti i dati di backup sono protetti da eliminazioni accidentali e difende dagli attacchi ransomware. Per ottenere questo livello elevato di sicurezza, è necessario soddisfare le condizioni seguenti:

  • Buono (adeguato): questo significa un livello di sicurezza affidabile, che garantisce la protezione dei dati affidabile. Protegge i backup esistenti dalla rimozione imprevista e migliora il potenziale per il ripristino dei dati. Per ottenere questo livello di sicurezza, è necessario abilitare l'immutabilità con un blocco o un'eliminazione temporanea.

  • Fair (Minimum/Average): rappresenta un livello di sicurezza di base, appropriato per i requisiti di protezione standard. Le operazioni di backup essenziali traggono vantaggio da un ulteriore livello di protezione. Per ottenere una sicurezza minima, è necessario abilitare l'autorizzazione multiutente (MUA) nell'insieme di credenziali.

  • Poor (Bad/None):indica una carenza di misure di sicurezza, meno idonee per la protezione dei dati. In questo livello, non sono state applicate funzionalità protettive avanzate né esclusivamente reversibili. La sicurezza a livello None offre protezione principalmente da eliminazioni accidentali.

È possibile visualizzare e gestire i livelli di sicurezza in tutte le origini dati nei rispettivi insiemi di credenziali tramite il Centro continuità aziendale di Azure.

Conformità ai requisiti di sicurezza standardizzati

Per aiutare le organizzazioni a rispettare i requisiti nazionali/regionali e specifici del settore che regolano la raccolta e l'uso dei dati dei singoli utenti, Microsoft Azure & Backup di Azure offrono un set completo di certificazioni e attestazioni. Elenco di certificazioni per la conformità

Passaggi successivi