Esclarecimento Técnico: Segurança contra Ransomware e Billing do Azure Backup (MABS)

Question

1. Proteção contra Ransomware no MABS O Microsoft Azure Backup Server (MABS) possui algum recurso nativo de proteção contra ransomware, como verificação de integridade dos backups, proteção contra exclusão maliciosa ou mecanismos de imutabilidade? Caso exista, como essa proteção pode ser habilitada?

2. Cobrança em Ambiente com Múltiplos Servidores Em um ambiente com 5 servidores, onde apenas 2 enviam backup para o Azure via MABS, a cobrança do Azure Backup será aplicada somente aos 2 servidores que enviam dados para o Azure ou a todos os 5 servidores protegidos pelo MABS?

Answer 1

Olá Infra, Você quer entender se o Microsoft Azure Backup Server (MABS) possui capacidades nativas de proteção contra ransomware, especificamente: Verificação da integridade do backup Proteção contra exclusão maliciosa ou acidental Imutabilidade (proteção estilo WORM) E como essas proteções podem ser habilitadas, se existirem.

O MABS não fornece imutabilidade verdadeira no local por si só, mas quando integrado ao Azure Backup (cofre do Recovery Services), ele se beneficia de várias proteções nativas contra ransomware fornecidas pelo Azure. Essas proteções são no nível do cofre, não recursos locais do MABS.

Proteções Nativas contra Ransomware se Aplicam ao MABS:

Proteção contra exclusão maliciosa ou acidental: Quando o MABS envia backups para o cofre do Azure Recovery Services, as seguintes proteções se aplicam:

Exclusão Suave (Habilitada por padrão): Os dados de backup excluídos são mantidos por 14 dias mesmo após a exclusão. Protege contra exclusão acionada por Ransomware e exclusão acidental por administrador. Aplica-se aos workloads MABS, DPM e MARS armazenados no Azure.

Recursos de segurança que protegem backups híbridos - Azure Backup | Azure Docs

Cofre Imutável (Proteção Mais Forte): Impede qualquer exclusão ou redução de retenção dos dados de backup

• Suporta armazenamento Write Once Read Many (WORM)
• Pode ser:
  • Ativado (reversível)
  • Ativado e Bloqueado (irreversível – recomendado para proteção contra ransomware)
• As cargas de trabalho suportadas incluem Azure Backup (Servidor e Agente) isso cobre explicitamente os backups do MABS armazenados no Azure Este é o único mecanismo de imutabilidade verdadeiro disponível para backups do MABS.

Conceito de Immutable Vault para Azure Backup - Azure Backup | Microsoft Learn

Autorização Multiusuário (MUA):

• Requer aprovação de um segundo usuário autorizado para realizar ações críticas, tais como: o Desativar recursos de segurança de backup o Excluir dados de backup
• Adiciona um controle do tipo "quatro olhos" resistente a ransomware

Alertas de Operações Críticas:

• Alertas por email enviados quando: o Tentativa de exclusão de backup o Configurações de segurança são modificadas
• Ajuda a detectar atividade de ransomware cedo

Como Ativar a Proteção contra Ransomware para MABS (O que é Suportado):

1. Use o Azure Backup (Cofre de Serviços de Recuperação): Certifique-se de que o MABS está configurado para fazer backup no Azure, e não apenas no disco
2. Ative o Cofre Imutável (Recomendado)
   • Vá para o cofre de serviços de recuperação > Propriedades > Configurações de Segurança
   • Ative a Imutabilidade • Bloqueie-o após validar (irreversível)
3. Ative a Autorização Multiusuário: Ative o MUA no cofre e atribua aprovadores com RBAC
4. Monitore Alertas: Certifique-se de que os administradores da assinatura recebam e-mails de alerta de segurança. Revise os alertas do Azure Monitor / Service Health.

As cobranças do Azure Backup aplicam-se apenas aos 2 servidores que realmente enviam dados de backup para o Azure via MABS e não a todos os 5 servidores protegidos pelo MABS.

O preço do Backup do Azure possui dois componentes cobráveis:

• Instâncias protegidas: cada carga de trabalho que é feita backup em um cofre de Serviços de Recuperação do Azure
• Armazenamento de backup: o armazenamento do Azure consumido por esses backups

Uma instância protegida é definida como uma fonte de dados que está sendo ativamente feita backup no Azure. Servidores que são protegidos apenas no disco local do MABS não se tornam instâncias protegidas no Azure e, portanto, não geram cobranças do Backup do Azure.

Algum documento útil que você pode consultar:

Visão geral dos recursos de segurança - Azure Backup | Microsoft Learn

Gerencie Backups com controle de acesso baseado em função Azure - Azure Backup | Microsoft Learn

Monitorar cargas de trabalho protegidas Azure Backup - Azure Backup | Microsoft Learn

Otimize custos para armazenamento de backup Azure com capacidade reservada - Azure Backup | Microsoft Learn

Pricing – Azure Backup | Microsoft Azure

Espero que isso ajude. E, por favor, sinta-se à vontade para entrar em contato se tiver mais alguma dúvida. Obrigado

Answer 2

Olá,Bharath Y P.

Gostaria de informar que as orientações fornecidas no tópico foram suficientes para esclarecer completamente minhas dúvidas. Agradeço pelo acompanhamento e pelo apoio prestado na resolução da questão.

Com as informações disponibilizadas, o assunto ficou totalmente esclarecido. Espero que este tópico também possa auxiliar outros membros da comunidade que venham a enfrentar situação semelhante.

Muito obrigado pela atenção e pelo suporte.