Controle de Segurança: Backup e recuperação

  • Artigo

O backup e a recuperação abrangem controles para garantir que os backups de dados e de configuração em diferentes camadas de serviço sejam executados, validados e protegidos.

BR-1: garantir backups automatizados regulares

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.2 CP-2, CP-4, CP-9 N/D

Princípio de segurança: verifique o backup de recursos críticos para os negócios, seja durante a criação de recursos ou imposto por meio da política para recursos existentes.

Diretrizes do Azure: para Backup do Azure recursos com suporte (como VMs do Azure, SQL Server, bancos de dados HANA, Banco de Dados PostgreSQL do Azure, Compartilhamentos de Arquivos, Blobs ou Discos), habilite Backup do Azure e configure a frequência e o período de retenção desejados. Para a VM do Azure, é possível usar o Azure Policy para habilitar o backup automaticamente.

Para recursos ou serviços não compatíveis com Backup do Azure, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Azure Key Vault fornece um recurso de backup nativo.

Para recursos/serviços que não são compatíveis com Backup do Azure nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usar o Armazenamento do Azure para armazenamento de dados, habilite o controle de versão de blobs para seus blobs de armazenamento, o que permitirá preservar, recuperar e restaurar todas as versões de cada objeto armazenado no Armazenamento do Azure.
  • As configurações de serviço geralmente podem ser exportadas para modelos de Resource Manager do Azure.

Implementação do Azure e contexto adicional:

Diretrizes da AWS: para recursos compatíveis com o Backup da AWS (como EC2, S3, EBS ou RDS), habilite o Backup do AWS e configure a frequência e o período de retenção desejados.

Para recursos/serviços sem suporte do Backup da AWS, como o KMS do AWS, habilite o recurso de backup nativo como parte de sua criação de recursos.

Para recursos/serviços que não têm suporte no Backup da AWS nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se o Amazon S3 for usado para armazenamento de dados, habilite o controle de versão S3 para o backet de armazenamento, o que permitirá preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket S3.
  • As configurações de serviço geralmente podem ser exportadas para modelos cloudFormation.

Implementação do AWS e contexto adicional:

Diretrizes do GCP: para recursos com suporte do Google Cloud Backup (como Mecanismo de Computador, Armazenamento em Nuvem e Contêineres), habilite o Backup GCP e configure a frequência e o período de retenção desejados.

Para recursos ou serviços sem suporte do Google Cloud Backup, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Gerenciador de Segredos fornece um recurso de backup nativo.

Para recursos/serviços que não têm suporte no Google Cloud Backup nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usar o Google Storage para armazenamento de dados de backup, habilite o controle de versão de armazenamento para o controle de versão do objeto, o que permitirá preservar, recuperar e restaurar todas as versões de cada objeto armazenado no Armazenamento do Google.

Implementação do GCP e contexto adicional:

Stakeholders de segurança do cliente (Saiba mais):

BR-2: proteja os dados de backup e recuperação

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.3 CP-6, CP-9 3.4

Princípio de segurança: verifique se os dados e as operações de backup estão protegidos contra exfiltração de dados, comprometimento de dados, ransomware/malware e insiders mal-intencionados. Os controles de segurança que devem ser aplicados incluem controle de acesso de usuário e rede, criptografia de dados inativo e em trânsito.

Diretrizes do Azure: use a autenticação multifator e o RBAC do Azure para proteger as operações críticas de Backup do Azure (como excluir, alterar retenção, atualizações na configuração de backup). Para recursos com suporte pelo Backup do Azure, use o RBAC do Azure para separar as tarefas e habilitar o acesso refinado e criar pontos de extremidade privados em sua Rede Virtual do Microsoft Azure para fazer backup e restaurar os dados com segurança de seus cofres dos Serviços de Recuperação.

Para recursos com suporte pelo Backup do Azure, os dados de backup são criptografados automaticamente usando chaves gerenciadas pela plataforma do Azure com criptografia AES de 256 bits. Você também pode optar por criptografar os backups usando uma chave gerenciada pelo cliente. Nesse caso, verifique se a chave gerenciada pelo cliente no Key Vault do Azure também está no escopo do backup. Se você usar uma chave gerenciada pelo cliente, use a proteção contra exclusão e limpeza temporária no Azure Key Vault para proteger as chaves contra exclusão acidental ou mal-intencionada. Para o backups local usando o Backup do Azure, a criptografia inativa é prestada usando a senha que você fornecer.

Proteja os dados de backup contra exclusão acidental ou mal-intencionada, como ataques de ransomware/tentativas de criptografar ou adulterar dados de backup. Para recursos com suporte pelo Backup do Azure, habilite a exclusão temporária para garantir a recuperação de itens sem perda de dados por até 14 dias após uma exclusão não autorizada e habilita a autenticação multifator usando um PIN gerado no portal do Azure. Habilite também o armazenamento com redundância geográfica ou a restauração entre regiões para garantir que os dados de backup sejam restauráveis quando houver um desastre na região primária. Você também pode habilitar o ZRS (Armazenamento com Redundância de Zona) para garantir que os backups sejam restauráveis durante falhas zonais.

Observação: se você usar o recurso de backup nativo de um recurso ou serviços de backup diferentes de Backup do Azure, consulte o Microsoft Cloud Security Benchmark (e linhas de base de serviço) para implementar os controles acima.

Implementação do Azure e contexto adicional:

Diretrizes da AWS: use o controle de acesso do AWS IAM para proteger o Backup do AWS. Isso inclui proteger os pontos de backup e backup e restauração do serviço de Backup do AWS. Os controles de exemplo incluem:

  • Use a MFA (autenticação multifator) para operações críticas, como a exclusão de um ponto de backup/restauração.
  • Use SSL (Secure Sockets Layer)/Transport Layer Security (TLS) para se comunicar com recursos da AWS.
  • Use o KMS da AWS em conjunto com o Backup do AWS para criptografar os dados de backup usando o CMK gerenciado pelo cliente ou um CMK gerenciado pelo AWS associado ao serviço de Backup do AWS.
  • Use o AWS Backup Vault Lock para armazenamento imutável de dados críticos.
  • Proteja buckets S3 por meio da política de acesso, desabilite o acesso público, impondo a criptografia de dados em repouso e controle de controle de controle de versão.

Implementação do AWS e contexto adicional:

Diretrizes do GCP: use contas dedicadas com a autenticação mais forte para executar operações críticas de backup e recuperação, como excluir, alterar retenção, atualizações na configuração de backup. Isso protegeria os dados de backup contra exclusão acidental ou mal-intencionada, como ataques de ransomware/tentativas de criptografar ou adulterar dados de backup.

Para recursos compatíveis com o Backup do GCP, use o Google IAM com funções e permissões para separar tarefas e habilitar o acesso refinado e configurar uma conexão de acesso de serviços privados ao VPC para fazer backup e restaurar dados de backup/recuperação com segurança dispositivo.

Os dados de backup são criptografados automaticamente por padrão no nível da plataforma usando o algoritmo AES (Advanced Encryption Standard), AES-256.

Observação: se você usar o recurso de backup nativo de um recurso ou serviços de backup diferentes do Backup GCP, consulte a respectiva diretriz para implementar os controles de segurança. Por exemplo, você também pode proteger instâncias de VM específicas contra exclusão definindo a propriedade deletionProtection em um recurso de instância de VM.

Implementação do GCP e contexto adicional:

Stakeholders de segurança do cliente (Saiba mais):

BR-3: monitorar backups

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.3 CP-9 N/D

Princípio de segurança: verifique se todos os recursos protegíveis comercialmente críticos estão em conformidade com a política de backup e o padrão definidos.

Diretrizes do Azure: monitore seu ambiente do Azure para garantir que todos os seus recursos críticos estejam em conformidade de uma perspectiva de backup. Use Azure Policy para backup para auditar e impor esses controles. Para Backup do Azure recursos com suporte, o Centro de Backup ajuda você a controlar centralmente seu patrimônio de backup.

Verifique se as operações críticas de backup (excluir, alterar retenção, atualizações na configuração de backup) são monitoradas, auditadas e têm alertas em vigor. Para Backup do Azure recursos com suporte, monitore a integridade geral do backup, seja alertado sobre incidentes críticos de backup e audite ações de usuário disparadas em cofres.

Observação: quando aplicável, use também políticas internas (Azure Policy) para garantir que os recursos do Azure estejam configurados para backup.

Implementação do Azure e contexto adicional:

Diretrizes da AWS: o Backup da AWS funciona com outras ferramentas da AWS para capacitar você a monitorar suas cargas de trabalho. Essas ferramentas incluem as seguintes:

  • Use o Gerenciador de Auditoria de Backup da AWS para monitorar as operações de backup para garantir a conformidade.
  • Use o CloudWatch e o Amazon EventBridge para monitorar os processos de Backup da AWS.
  • Use o CloudWatch para acompanhar métricas, criar alarmes e exibir painéis.
  • Use EventBridge para exibir e monitorar eventos de Backup do AWS.
  • Use o Amazon SNS (Amazon Simple Notification Service) para assinar tópicos relacionados ao Backup da AWS, como eventos de backup, restauração e cópia.

Implementação do AWS e contexto adicional:

Diretrizes do GCP: monitore seu ambiente de Backup e Recuperação de Desastres para garantir que todos os seus recursos críticos estejam em conformidade de uma perspectiva de backup. Use a Política Organizacional para backup para auditar e impor esses controles. Para recursos com suporte do Backup do GCP, o Console de Gerenciamento ajuda você a controlar centralmente seu patrimônio de backup.

Verifique se as operações críticas de backup (excluir, alterar retenção, atualizações na configuração de backup) são monitoradas, auditadas e têm alertas em vigor. Para recursos com suporte do Backup do GCP, monitore a integridade geral do backup, seja alertado sobre incidentes críticos de backup e audite as ações disparadas pelo usuário.

Observação: quando aplicável, use também políticas internas (Política Organizacional) para garantir que os recursos do Google estejam configurados para backup.

Implementação do GCP e contexto adicional:

Stakeholders de segurança do cliente (Saiba mais):

BR-4: testar o backup regularmente

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11,5 CP-4, CP-9 N/D

Princípio de segurança: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, de acordo com definido no RTO (Objetivo de Tempo de Recuperação) e RPO (Objetivo de Ponto de Recuperação).

Diretrizes do Azure: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois executar o teste de recuperação completa sempre pode ser difícil.

Implementação do Azure e contexto adicional:

Diretrizes da AWS: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois executar o teste de recuperação completa sempre pode ser difícil. Implementação do AWS e contexto adicional:

Diretrizes do GCP: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, de acordo com definidos no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois executar o teste de recuperação completa sempre pode ser difícil.

Implementação do GCP e contexto adicional:

Stakeholders de segurança do cliente (Saiba mais):