Przegląd bezpieczeństwa i odzyskiwania cybernetycznego w Azure Backup

Azure Backup pomaga chronić dane kopii zapasowych przechowywane w magazynie i wspiera odzyskiwanie, gdy środowiska produkcyjne zostaną naruszone. Logicznie odizolowany magazyn opisuje efekt łączący izolację z zabezpieczeniami przed destrukcyjnymi operacjami. Cyber Recovery Essentials łączy możliwości, które pomagają ocenić zagrożenia dla kopii zapasowych i przygotować operacje odzyskiwania. Obsługa zależy od magazynu, obciążenia i regionu.

Logicznie odizolowany sejf

Azure Backup przechowuje dane kopii zapasowych przechowywane w magazynie w subskrypcji i dzierżawie/tenantcie firmy Microsoft zarządzanych przez firmę Microsoft, oddzielnie od środowiska produkcyjnego, w którym znajdują się chronione dane. To logiczne rozdzielenie pomaga utrzymać dane zapasowe poza zasięgiem skompromitowanego obciążenia roboczego. To nie jest fizyczna ani offline izolacja typu air gap i nie zastępuje kontroli nad tożsamościami, które mogą zarządzać magazynem.

Izolacja danych za pomocą usługi Azure Backup

Użytkownicy zewnętrzni i obciążenia gościnne nie mają bezpośredniego dostępu do zawartości magazynu kopii zapasowych w magazynie chronionym. Azure Backup zarządza operacjami kopii zapasowych, w tym przywracaniem, poprzez magazyn i skonfigurowane systemy kontroli dostępu.

Podstawowa konfiguracja logicznie odłączonego magazynu wymaga autoryzacji wielu użytkowników (MUA); miękkie usuwanie i szyfrowanie są domyślnie włączone, a niezmienność jest opcjonalna. Chroń dane przechowywane przed destrukcyjnym usuwaniem poprzez stosowanie zawsze włączonego miękkiego usuwania lub zablokowanej niezmienności, jeśli jest to obsługiwane. Te kontrolki mają różne zachowania i obsługiwane zakresy.

Zarządzanie tożsamościami i dostępem użytkowników

Kontrola dostępu oparta na rolach Azure (Azure RBAC) pozwala przypisać tylko te uprawnienia potrzebne użytkownikom do zarządzania operacjami backup. Azure Backup oferuje trzy wbudowane role, które pomagają oddzielić obowiązki:

  • Backup Contributor: Twórz i zarządzaj kopiami zapasowymi, z wyjątkiem usuwania skarbca Recovery Services lub przyznawania dostępu innym.
  • Operator kopii zapasowej: Wykonywanie operacji backupowych z wyjątkiem usuwania kopii zapasowych i zarządzania politykami backup.
  • Przeglądarka kopii zapasowych: Wyświetla operacje zarządzania kopiami zapasowymi.

Dowiedz się więcej o Azure RBAC for Azure Backup.

Chroń dane kopii zapasowej przed przedwczesnym usunięciem

Miękkie usuwanie opóźnia trwałe usunięcie i pozwala odzyskać usunięte dane kopii zapasowej podczas skonfigurowanego okresu przechowywania. Domyślny okres retencji wynosi 14 dni i może być wydłużony do 180 dni. Pierwsze 14 dni miękkiego usuwania nie wiąże się z dodatkową opłatą; dłuższe przechowywanie może wiązać się z opłatami. Usuwanie nietrwałe nie zapewnia bezterminowego przechowywania. Zablokowany tryb niezmienności blokuje operacje, które mogłyby powodować utratę punktów odzyskiwania przez skonfigurowany czas przechowywania lub okres niezmienności, a tego zablokowanego ustawienia nie można cofnąć. Niezmienność dotyczy danych przechowywanych w magazynie; nie dotyczy operacyjnych kopii zapasowych zasobów takich jak bloby, pliki i dyski.

Egzekwowanie i dostępność stale aktywnego miękkiego usuwania różnią się w zależności od typu magazynu, obciążenia roboczego i regionu. Przed wyborem ścieżki ochrony zapoznaj się z domyślnie bezpiecznym miękkim usuwaniem i obsługą niezmiennych skarbców przed wybraniem ścieżki ochrony.

Autoryzacja dla wielu użytkowników

MUA dodaje dodatkową warstwę autoryzacji do krytycznych operacji na skarbcach Recovery Services oraz Backup vaults. Wykorzystuje Resource Guard, aby osobny upoważniony użytkownik mógł zatwierdzać chronione operacje. MUA chroni ustawienia skarbca i kopie zapasowe danych przed nieautoryzowanymi zmianami. Nie zastępuje miękkiego usuwania ani niezmienności. Dowiedz się więcej o używaniu MUA z Resource Guard.

Szyfrowanie danych

Azure Backup domyślnie szyfruje dane kopii zapasowej w spoczynku za pomocą kluczy zarządzanych przez Microsoft. Dla obsługiwanych obciążeń vault Recovery Services możesz używać kluczy zarządzanych przez klientów przechowywanych w Azure Key Vault. Azure Backup chroni dane w trakcie transportu za pomocą HTTPS i TLS 1.2 lub nowszych. Azure Backup obsługuje także kopie zapasowe i przywracanie maszyn wirtualnych Azure z zaszyfrowanymi dyskami. Szczegóły znajdziesz w artykule o szyfrowaniu danych kopii zapasowych, kluczach zarządzanych przez klienta oraz kopii zapasowych i przywracaniu zaszyfrowanych maszyn wirtualnych Azure.

Podstawowe elementy cyberodzyskiwania

Cyber Recovery Essentials koncentruje się na przygotowaniu do identyfikacji podejrzanych punktów odzyskiwania kopii zapasowych oraz przywróceniu danych do wspieranego miejsca odzyskiwania. Zestaw możliwości obejmuje Bezpieczne Przywracanie na dużą skalę, wykrywanie zagrożeń, przywracanie między subskrypcjami oraz przywracanie między tenantami. Każda funkcja ma własny zakres wsparcia. Wykrywanie zagrożeń i przywracanie między dzierżawcami są w podglądzie.

Wykrywanie zagrożeń w Azure Backup

Wykrywanie zagrożeń w Azure Backup wykorzystuje sygnały bezpieczeństwa z Microsoft Defender for Servers do oceny stanu stanu punktów odzyskiwania kopii zapasowych Azure VM. Identyfikuje potencjalnie złośliwe lub zainfekowane ransomware punkty odzyskiwania. Nie skanuje bezpośrednio danych kopii zapasowej. Funkcja jest dostępna w wersji podglądowej. Dowiedz się o wykrywaniu zagrożeń dla kopii zapasowych Azure VM.

Przywracaj między subskrypcjami i dzierżawami

Przywracanie międzysubskrypcyjne może pomóc odzyskać obsługiwane kopie zapasowe maszyn wirtualnych Azure do innej subskrypcji w tej samej dzierżawie. Szczegóły i ograniczenia można znaleźć w przywracaniu między subskrypcjami.

Przywracanie między dzierżawcami pozwala przywrócić uprawnione punkty odzyskiwania przechowywane w skarbcu do innego dzierżawcy po mapowaniu skarbców źródłowych i docelowych. Scenariusze obejmują utratę dostępu dzierżawcy, ataki ransomware oraz konsolidację najemców. Resource Guard w docelowym tenantze chroni operację mapowania poprzez MUA. Przywracanie między tenantami jest w trybie preview i obsługuje tylko udokumentowane obciążenia i regiony. Dowiedz się więcej o przywracaniu między dzierżawami.

Inne środki bezpieczeństwa

Azure Backup posiada również wbudowane mechanizmy bezpieczeństwa, które zapobiegają, wykrywają i reagują na luki bezpieczeństwa. Dowiedz się więcej o bazie bezpieczeństwa platformy Azure dla usługi Kopia zapasowa.

Łączność z Internetem nie jest wymagana na potrzeby tworzenia kopii zapasowych maszyn wirtualnych platformy Azure

Ruch kopii zapasowych Azure VM korzysta z sieci szkieletowej Azure i nie wymaga dostępu do Twojej sieci wirtualnej. Nie trzeba zezwalać na adresy IP ani w pełni kwalifikowane nazwy domen do tworzenia kopii zapasowych maszyn wirtualnych Azure w zabezpieczonych sieciach.

Private endpoints for Azure Backup

Prywatne punkty końcowe zapewniają prywatną łączność dla obsługiwanych obciążeń magazynu Recovery Services, w tym SQL Server i SAP HANA w maszynach wirtualnych Azure, kopii zapasowych agenta MARS, DPM oraz obsługiwanego odzyskiwania plików. W przypadku wspieranych scenariuszy zobacz prywatne endpointy dla Azure Backup.

Funkcje zabezpieczeń, które ułatwiają ochronę hybrydowych kopii zapasowych

Azure Backup oferuje funkcje bezpieczeństwa dla hybrydowych kopii zapasowych, w tym dodatkowe uwierzytelnianie dla operacji krytycznych, powiadomienia e-mail dla operacji krytycznych oraz szyfrowanie danych kopii zapasowych MARS przy użyciu hasła przed przesłaniem. Dane są odszyfrowywane dopiero po pobraniu, a hasło szyfrujące nie jest przesyłane do Azure Backup. W obsługiwanych hybrydowych konfiguracjach kopii zapasowych wykorzystujących te funkcje bezpieczeństwa, usunięte dane kopii zapasowej są przechowywane przez dodatkowe 14 dni, a minimalna liczba punktów odzyskiwania jest utrzymwana, aby pomóc w odzyskiwaniu po uszkodzeniach. Chroń frazę hasła, aby móc przywrócić dane, gdy zajdzie taka potrzeba. Dowiedz się o funkcjach bezpieczeństwa dla hybrydowych kopii zapasowych.

Monitorowanie i alerty dotyczące podejrzanych działań

Azure Backup zapewnia wbudowany monitoring i powiadomienia dotyczące operacji backup. Użyj Raporty kopii zapasowych do śledzenia aktywności tworzenia kopii zapasowych i przywracania oraz identyfikowania trendów. Więcej opcji monitorowania można znaleźć w artykule monitoring and reporting for Azure Backup.

Stan bezpieczeństwa i poziomy bezpieczeństwa

Poziomy bezpieczeństwa Azure Backup podsumowują ustawienia bezpieczeństwa zastosowane do chronionych elementów. Użyj ich do identyfikacji luk konfiguracyjnych w całym Twoim środowisku kopii zapasowych.

Poziom zabezpieczeń Description Requirements
Doskonałe Kopie zapasowe są chronione przed przypadkowym usunięciem i atakami ransomware. Niezmienność lub miękkie usuwanie jest włączone i nieodwracalne (zablokowane lub zawsze włączone), a MUA jest włączone w magazynie.
Dobrze Istniejące kopie zapasowe są chronione przed przypadkowym usunięciem i mają lepsze opcje odzyskiwania. Niezmienność jest zablokowana lub miękkie usuwanie jest włączone.
Uczciwie Krytyczne operacje kopii zapasowej mają dodatkową warstwę ochrony. MUA jest włączone w skarbcu.
Kiepsko Tylko podstawowa ochrona przed przypadkowym usunięciem. Zaawansowane możliwości ochrony nie są włączone albo aktywne są tylko funkcje odwracalne.

Dowiedz się, jak przeglądać poziomy bezpieczeństwa w chronionych elementach.

Zgodność ze standardowymi wymaganiami dotyczącymi zabezpieczeń

Azure Backup oferuje mechanizmy kontrolne, certyfikaty i poświadczenia, które pomagają ocenić odpowiednie wymagania krajowe, regionalne i branżowe. Przejrzyj oferty zgodności platformy Azure, aby uzyskać szczegóły.

Następne kroki

  • Ostatnia aktualizacja o