Compartilhar via

Controle de segurança: backup e recuperação

  • Artigo

O backup e a recuperação abrangem controles para garantir que os backups de dados e de configuração nas diferentes camadas de serviço sejam executados, validados e protegidos.

BR-1: garantir backups automatizados regulares

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.2 CP-2, CP-4, CP-9 N/A

Princípio de segurança: garanta o backup de recursos comercialmente críticos, seja durante a criação de recursos ou imposto por meio da política para recursos existentes.

diretrizes do Azure: para recursos com suporte do Backup do Azure (como VMs do Azure, SQL Server, bancos de dados do HANA, Banco de Dados PostgreSQL do Azure, Compartilhamentos de Arquivos, Blobs ou Discos), habilite o Backup do Azure e configure o período de frequência e retenção desejados. Para a VM do Azure, você pode usar o Azure Policy para ter o backup habilitado automaticamente usando o Azure Policy.

Para recursos ou serviços sem suporte do Backup do Azure, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Azure Key Vault fornece uma funcionalidade de backup nativa.

Para recursos/serviços que não têm suporte do Backup do Azure nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usar o Armazenamento do Azure para armazenamento de dados, habilite o controle de versão de blobs para seus blobs de armazenamento, o que permitirá que você preserve, recupere e restaure todas as versões de cada objeto armazenado no Armazenamento do Azure.
  • As configurações de serviço geralmente podem ser exportadas para modelos do Azure Resource Manager.

implementação do Azure e contexto adicional:

diretrizes do AWS: para recursos compatíveis com o Backup da AWS (como EC2, S3, EBS ou RDS), habilite o Backup do AWS e configure o período de retenção e frequência desejados.

Para recursos/serviços não compatíveis com o Backup do AWS, como o KMS do AWS, habilite o recurso de backup nativo como parte de sua criação de recursos.

Para recursos/serviços que não têm suporte do Backup do AWS nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se o Amazon S3 for usado para armazenamento de dados, habilite o controle de versão S3 para o bucket de armazenamento, o que permitirá que você preserve, recupere e restaure todas as versões de cada objeto armazenado em seu bucket S3.
  • As configurações de serviço geralmente podem ser exportadas para modelos CloudFormation.

Implementação do AWS e contexto adicional:

diretrizes do GCP: para recursos com suporte do Backup do Google Cloud (como Compute Engine, Cloud Storage e Contêineres), habilite o Backup do Google Cloud e configure a frequência e o período de retenção desejados.

Para recursos ou serviços sem suporte do Google Cloud Backup, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Gerenciador de Segredos fornece uma funcionalidade de backup nativa.

Para recursos/serviços que não têm suporte do Google Cloud Backup nem têm uma funcionalidade de backup nativa, avalie suas necessidades de backup e desastre e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usar o Google Storage para armazenamento de dados de backup, habilite o controle de versão de armazenamento para o controle de versão do objeto, o que permitirá que você preserve, recupere e restaure todas as versões de cada objeto armazenado no Armazenamento do Google.

implementação do GCP e contexto adicional:

Partes interessadas na segurança do cliente (Saiba mais):

BR-2: proteger dados de backup e recuperação

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.3 CP-6, CP-9 3.4

Princípio de Segurança: Assegure que os dados e operações de backup estão protegidos contra exfiltração de dados, comprometimento de dados, ransomware e malware, e ataques internos maliciosos. Os controles de segurança que devem ser aplicados incluem controle de acesso de rede e usuário, criptografia de dados em repouso e em trânsito.

Diretrizes do Azure: use a autenticação multifator e o RBAC do Azure para proteger as operações críticas de Backup do Azure (como exclusão, alteração de retenção, atualizações na configuração de backup). Para recursos com suporte pelo Backup do Azure, use o RBAC do Azure para separar as tarefas e habilitar o acesso refinado e criar pontos de extremidade privados em sua Rede Virtual do Microsoft Azure para fazer backup e restaurar os dados com segurança de seus cofres dos Serviços de Recuperação.

Para recursos com suporte do Backup do Azure, os dados de backup são criptografados automaticamente usando chaves gerenciadas pela plataforma do Azure com criptografia AES de 256 bits. Você também pode optar por criptografar os backups usando uma chave gerenciada pelo cliente. Nesse caso, verifique se a chave gerenciada pelo cliente no Azure Key Vault também está no escopo de backup. Se você usar uma chave gerenciada pelo cliente, use a proteção de exclusão temporária e de limpeza do Azure Key Vault para proteger chaves contra exclusão acidental ou mal-intencionada. Para backups locais usando o Backup do Azure, a criptografia inativa é concedida usando a frase secreta fornecida por você.

Proteja os dados de backup contra exclusão acidental ou mal-intencionada, como ataques/tentativas de ransomware para criptografar ou adulterar dados de backup. Para recursos com suporte do Backup do Azure, habilite a exclusão reversível para garantir a recuperação de itens sem perda de dados por até 14 dias após uma exclusão não autorizada e habilite a autenticação multifator usando um PIN gerado no portal do Azure. Habilite também o armazenamento com redundância geográfica ou restauração entre regiões para garantir que os dados de backup sejam restaurados quando houver um desastre na região primária. Você também pode habilitar o ZRS (Armazenamento com Redundância de Zona) para garantir que os backups sejam restauráveis durante falhas zonais.

Observação: se você usar o recurso de backup nativo de um recurso ou serviços de backup diferentes do Backup do Azure, consulte o Microsoft Cloud Security Benchmark (e linhas de base de serviço) para implementar os controles acima.

implementação do Azure e contexto adicional:

Diretrizes da AWS: use o controle de acesso IAM da AWS para proteger o AWS Backup. Isso inclui assegurar o acesso ao serviço de Backup da AWS e os pontos de backup e restauração. Os controles de exemplo incluem:

  • Use a MFA (autenticação multifator) para operações críticas, como exclusão de um ponto de backup/restauração.
  • Use o SSL (Secure Sockets Layer)/Transport Layer Security (TLS) para se comunicar com os recursos da AWS.
  • Use o KMS do AWS em conjunto com o Backup do AWS para criptografar os dados de backup usando o CMK gerenciado pelo cliente ou um CMK gerenciado pela AWS associado ao serviço de Backup do AWS.
  • Use o Bloqueio do Cofre de Backup do AWS para armazenamento imutável de dados críticos.
  • Proteja os buckets S3 através da política de acesso, desativando o acesso público, impondo a criptografia de dados em repouso e controle de versão.

Implementação do AWS e contexto adicional:

Diretrizes do GCP: use contas dedicadas com a autenticação mais forte para executar operações críticas de backup e recuperação, como exclusão, alterações de retenção e atualizações na configuração de backup. Isso protegeria os dados de backup contra exclusão acidental ou mal-intencionada, como ataques/tentativas de ransomware para tentar criptografar ou adulterar dados de backup.

Para recursos compatíveis com o backup do GCP, use o IAM do Google com funções e permissões para segregar tarefas e habilitar o controle de acesso granular. Configure uma conexão de acesso de serviços privados ao VPC para fazer backup e restaurar dados com segurança a partir do dispositivo de Backup/Recuperação.

Os dados de backup são criptografados automaticamente por padrão no nível da plataforma usando o algoritmo AES (Advanced Encryption Standard), AES-256.

Observação: se você usar o recurso de backup nativo de um recurso ou serviços de backup que não sejam o Backup do GCP, consulte a respectiva diretriz para implementar os controles de segurança. Por exemplo, você também pode proteger instâncias de VM específicas contra exclusão definindo a propriedade deletionProtection em um recurso de instância de VM.

Implementação do GCP e contexto adicional:

Partes interessadas de segurança do cliente (Saiba mais):

BR-3: monitorar backups

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.3 CP-9 N/A

o princípio de segurança: verifique se todos os recursos protegíveis críticos para os negócios estão em conformidade com a política de backup e o padrão definidos.

Diretrizes do Azure: monitore seu ambiente do Azure para garantir que todos os seus recursos críticos estejam em conformidade do ponto de vista do backup. Use Azure Policy de backup para auditar e impor esses controles. Para recursos compatíveis com o Backup do Azure, o Centro de Backup ajuda você a controlar centralmente seu patrimônio de backup.

Verifique se as operações de backup críticas (excluir, alterar retenção, atualizações na configuração de backup) são monitoradas, auditadas e têm alertas em vigor. Para recursos com suporte pelo Backup do Azure, monitore a integridade geral do backup, seja alertado sobre incidentes críticos de backup e faça auditoria das ações disparadas pelo usuário nos cofres.

Observação: quando aplicável, use também políticas internas (Azure Policy) para garantir que os recursos do Azure estejam configurados para backup.

implementação do Azure e contexto adicional:

Diretrizes da AWS: AWS Backup funciona com outras ferramentas da AWS para habilitar você a monitorar suas cargas de trabalho. Essas ferramentas incluem o seguinte:

  • Use o Gerenciador de Auditoria de Backup da AWS para monitorar as operações de backup para garantir a conformidade.
  • Use o CloudWatch e o Amazon EventBridge para monitorar os processos de Backup do AWS.
  • Use o CloudWatch para acompanhar as métricas, criar alarmes e exibir painéis.
  • Use EventBridge para exibir e monitorar eventos de Backup do AWS.
  • Use o Amazon Simple Notification Service (Amazon SNS) para se inscrever em tópicos relacionados ao AWS Backup, como eventos de backup, restauração e cópia.

implementação da AWS e contexto adicional:

Diretrizes do GCP: Monitore o seu ambiente de Backup e Recuperação de Desastres para garantir que todos os seus recursos críticos estejam em conformidade sob a perspectiva de backup. Use a Política Organizacional para fazer backup para auditar e impor esses controles. Para recursos compatíveis com o Backup do GCP, o Console de Gerenciamento ajuda você a controlar centralmente seu patrimônio de backup.

Verifique se as operações de backup críticas (excluir, alterar retenção, atualizações na configuração de backup) são monitoradas, auditadas e têm alertas em vigor. Para recursos compatíveis com o Backup do GCP, monitore a integridade geral do backup, receba alertas sobre incidentes críticos de backup e revise as ações desencadeadas pelo usuário.

Observação: quando aplicável, use também políticas internas (Política Organizacional) para garantir que os recursos do Google estejam configurados para backup.

implementação do GCP e contextos adicionais:

Partes interessadas em segurança do cliente (Saiba mais):

BR-4: testar o backup regularmente

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
11.5 CP-4, CP-9 N/A

princípio de segurança: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO (Objetivo de Tempo de Recuperação) e RPO (Objetivo de Ponto de Recuperação).

diretrizes do Azure: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois a execução do teste de recuperação completa sempre pode ser difícil.

implementação do Azure e contexto adicional:

diretrizes da AWS: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois a execução do teste de recuperação completa sempre pode ser difícil. implementação da AWS e contexto adicional:

diretrizes do GCP: execute periodicamente testes de recuperação de dados do backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo de teste, a frequência e o método, pois a execução do teste de recuperação completa sempre pode ser difícil.

implementação do GCP e contexto adicional:

Partes interessadas em segurança de cliente (Saiba mais):