Azure Backupは、保管されたバックアップデータを保護し、本番環境が侵害された場合の復旧をサポートします。 論理的なエアギャップ コンテナーとは、隔離と破壊的な操作に対する制御を組み合わせた状態を指します。 サイバーリカバリーエッセンシャルズ は、バックアップの脅威を評価し、復旧作業を準備するのに役立つ機能を統合しています。 サポートはボールト、ワークロード、地域によって異なります。
論理的なエアギャップ コンテナー
Azure Backupは、保護されたデータが存在する本番環境とは別の、Microsoft管理のAzureサブスクリプションおよびテナントに、バックアップ コンテナー内のバックアップ データを保存しています。 この論理的な分離により、バックアップデータは侵害されたワークロードの手の届かない場所に保たれます。 これは物理的あるいはオフラインのエアギャップではなく、また、コンテナーを管理できる ID に対する制御に代わるものでもありません。
Azure Backup によるデータの分離
外部ユーザーやゲストワークロードは、保管されたバックアップストレージの内容に直接アクセスできません。 Azure Backupは、Vaultとその設定されたアクセス制御を通じて、バックアップ操作(復元を含む)を管理します。
論理的なエアギャップ コンテナーの基本的な構成では、マルチユーザー認証 (MUA) が必要です。論理削除と暗号化はデフォルトで有効になっており、不変性はオプションです。 対応している場合は、常時有効な論理削除またはロックされた不変性を利用して、コンテナー内のデータを破壊的な削除から保護します。 これらのコントロールは、動作とサポート範囲がそれぞれ異なります。
ID とユーザー アクセスの管理と制御
Azure role-based access control(Azure RBAC)では、バックアップ操作を管理するために必要な権限のみを割り当てることができます。 Azure Backupは、タスクを分けるための3つの組み込みロールを提供しています:
- バックアップ貢献者:Recovery Servicesの保管庫を削除したり、他者へのアクセスを許可したりする以外、バックアップの作成・管理を行います。
- バックアップオペレーター:バックアップの削除やバックアップポリシーの管理を除くバックアップ操作を行います。
- バックアップリーダー:バックアップ管理操作を表示。
Azure RBAC for Azure Backupについて詳しく学びましょう。
バックアップデータの早期削除から保護する
ソフト削除は永久削除を遅らせ、設定された保存期間中に削除されたバックアップデータを回復可能に保ちます。 デフォルトの保持期間は14日で、最大180日まで延長可能です。 論理削除による保存期間の最初の 14 日間は追加料金は発生しませんが、それ以上の期間の保存には料金が発生する場合があります。 ソフト削除は無期限の保持を提供しません。 ロックされたイミュータビリティは、設定された保持期間またはイミュータビリティ期間の回復ポイントを失う可能性のある操作をブロックし、ロック設定は元に戻せません。 不変性はヴォールト内の保管されたデータに適用されます。ブロブ、ファイル、ディスクなどのリソースの運用バックアップには適用されません。
常時有効な論理削除の適用と利用可能性は、コンテナーの種類、ワークロード、リージョンによって異なります。 保護ルートを選択する前に、既定で有効なソフト削除 と 不可変のボールトサポート を確認してください。
マルチユーザー認可
MUAは、リカバリーサービス(Recovery Services)のヴォールトおよびバックアップヴォルトの重要な操作に追加の認可層を追加します。 Resource Guardを使用して、別の権限を持つユーザーが保護された操作を承認できるようにします。 MUAは、ボールト設定やバックアップデータを不正な変更から保護するのに役立ちます。 ソフト削除や不変性の代わりにはなりません。 Resource Guardを使ってMUAについて学びましょう。
データの暗号化
Azure Backupは、Microsoft管理キーでデフォルトで静止中のバックアップデータを暗号化します。 サポート対象の Recovery Services コンテナー ワークロードについては、Azure Key コンテナーに保存されたカスタマー マネージド キーを使用できます。 Azure BackupはHTTPSおよびTLS 1.2以降で転送中のデータを保護します。 Azure Backupは暗号化ディスクを用いたAzure VMのバックアップと復元もサポートしています。 詳細は、バックアップデータの暗号化、顧客管理キー、暗号化されたAzure VMのバックアップおよび復元を参照してください。
サイバーリカバリーの基本
Cyber recovery essentials は、疑わしいバックアップ回復ポイントを特定し、データをサポートされている復旧先に復元するための準備に焦点を当てています。 その機能セットには、大規模でのSafe Restore、脅威検出、クロスサブスクリプション復元、クロステナント復元が含まれます。 各機能には独自の支援範囲があります。 脅威検出とクロステナント復元はプレビュー段階です。
Azure Backup における脅威検出
Azure Backupの脅威検出は、Microsoft Defender for Serversからのセキュリティ信号を利用して、Azure VMバックアップの復旧ポイントの健全性を評価します。 潜在的に悪意のある、またはランサムウェアに感染した回復ポイントを特定します。 バックアップデータを直接スキャンするわけではありません。 この機能はプレビュー段階です。 Azure VMバックアップの脅威検出について学びましょう。
サブスクリプションやテナント間での復元
クロスサブスクリプション復元は、同じテナント内の別のサブスクリプションにサポートされている Azure VM バックアップを復元するのに役立ちます。 詳細や制限については、 クロスサブスクリプション復元を参照してください。
テナント間復元では、ソースとターゲットのコンテナーをマッピングした後、条件を満たすコンテナーに保存されたリカバリ ポイントを別のテナントに復元できます。 シナリオにはテナントロックアウト、ランサムウェア攻撃、テナント統合などがあります。 ターゲットテナント内のリソースガードは、MUAを通じてマッピング操作を保護します。 クロステナント復元はプレビュー段階で、ドキュメント化されたワークロードとリージョンのみをサポートします。 クロステナント復元について学びましょう。
その他のセキュリティ コントロール
Azure Backup には、セキュリティ上の脆弱性を防止、検知、対応するためのセキュリティ制御機能が搭載されています。 バックアップのAzureセキュリティベースラインについて学びましょう。
Azure VM バックアップにはインターネット接続は不要
Azure VMバックアップのトラフィックはAzureのバックボーンネットワークを利用し、仮想ネットワークへのアクセスを必要としません。 セキュリティ保護されたネットワーク内の Azure VM のバックアップでは、IP アドレスや完全修飾ドメイン名を許可する必要はありません。
Azure Backup のプライベート エンドポイント
プライベート エンドポイントは、Azure VM 上の SQL Server や SAP HANA、MARS エージェントによるバックアップ、DPM、サポート対象のファイル復元など、サポート対象の Recovery Services コンテナー ワークロードに対してプライベート接続を提供します。 サポートシナリオについては、Azure Backupのプライベートエンドポイントを参照してください。
ハイブリッド バックアップを保護するためのセキュリティ機能
Azure Backupはハイブリッドバックアップ向けのセキュリティ機能を提供しており、重要な操作に対する追加の認証、重要な操作に対するメール通知、アップロード前のパスフレーズによるMARSバックアップデータの暗号化などが含まれます。 データはダウンロード後にのみ復号され、パスフレーズはAzure Backupに送信されません。 これらのセキュリティ機能を使用するサポート済みハイブリッドバックアップ構成では、削除されたバックアップデータはさらに14日間保持され、破損からの回復を支援するために最低限の回復ポイント数が維持されます。 パスフレーズを保護し、必要に応じてデータを復元できるようにしましょう。 ハイブリッドバックアップのセキュリティ機能について学びましょう。
疑わしいアクティビティの監視とアラート
Azure Backupはバックアップ操作のための組み込み監視とアラートを提供します。 バックアップレポートを使ってバックアップや復元の活動を追跡し、傾向を特定しましょう。 さらなる監視オプションについては、「Azure Backupの監視と報告」をご覧ください。
セキュリティ態勢とセキュリティ レベル
Azure Backupのセキュリティレベルは、保護されたアイテムに適用されたセキュリティ設定の概要を示します。 バックアップ環境全体の構成ギャップを特定するために活用しましょう。
| セキュリティ レベル | Description | Requirements |
|---|---|---|
| 非常に良い | バックアップは、誤削除やランサムウェア攻撃から保護されています。 | 不可変性またはソフト削除は有効かつ不可逆(ロックまたは常時オン)であり、MUAはボールト上で有効化されています。 |
| よし | 既存のバックアップは誤って削除されることから保護されており、より良い復旧オプションがあります。 | 不変性がロックされているか、論理削除が有効になっています。 |
| 普通 | 重要なバックアップ作業には追加の保護層があります。 | このコンテナーではMUAが有効になっています。 |
| 悪い | 基本的な誤削除からの保護のみです。 | 高度な保護機能は有効になっていないか、可逆的な機能のみが有効になっています。 |
保護された項目全体のセキュリティ レベルを見直す方法を学びましょう。
標準化されたセキュリティ要件への準拠
Azure Backup では、適用される国、リージョン、業界固有の要件を評価するのに役立つサービス管理、認証、および保証を提供しています。 詳細はAzureコンプライアンスの提供内容を確認してください。