保護資料最重要的步驟之一，是擁有可靠的備份基礎結構。 但同樣重要的是，確保資料以安全的方式進行備份，並且隨時受到保護。 Azure 備份為您的備份環境提供安全性，您的資料在傳輸中和靜止時都是如此。 本文列出 Azure 備份中的安全性功能，協助您保護備份資料並滿足企業的安全性需求。
識別與使用者存取的管理與控制
系統會隔離復原服務保存庫所使用的儲存體帳戶，且使用者無法對其進行存取，以進行任何惡意用途。 只有透過 Azure 備份管理作業才允許該存取權，例如還原。 Azure 備份可透過 Azure 角色型存取控制 (Azure RBAC)，提供細微的存取控制來管理受控作業。 Azure RBAC 可讓您在團隊中區分職責，並僅將完成工作所需的存取權限授與使用者。
Azure 備份提供三種內建角色，用於控制備份管理作業：
- 備份參與者：可建立與管理備份，但無法刪除復原服務保存庫，也無法授與他人存取權限
- 備份操作員：具備參與者的所有權限，但無法移除備份或管理備份原則
- 備份讀取者：具備檢視所有備份管理作業的權限
深入了解如何使用 Azure 角色型存取控制來管理 Azure 備份。
Azure 備份在服務中內建多項安全性控制，用來預防、偵測及回應安全性弱點。 深入了解 Azure 備份的安全性控制。
Azure 備份的資料隔離
使用 Azure 備份時，保存庫中的備份資料會儲存在 Microsoft 管理的 Azure 訂用帳戶與租用戶中。 外部使用者或來賓無法直接存取此備份儲存體或其內容，確保備份資料與資料來源所在的生產環境彼此隔離。
在 Azure 中，所有通訊與傳輸中的資料都會透過 HTTPS 與 TLS 1.2+ 通訊協定安全傳輸。 這些資料會保留在 Azure 骨幹網路上，以確保可靠且高效率的資料傳輸。 靜態備份資料預設會使用 Microsoft 管理的金鑰進行加密。 如果您需要對資料有更高的控制權，也可以自備金鑰進行加密。 為了加強保護，您可以使用不可變性，防止資料在保留期間結束前遭到變更或刪除。 Azure 備份提供多種選項，例如虛刪除、停止備份並刪除資料，或在需要隨時停止備份時保留資料。 為了保護關鍵作業，您可以加入多使用者授權 (MUA)，透過名為 Azure Resource Guard 的 Azure 資源，增加額外的保護層。
這種強固的方法可確保即使環境遭到入侵，既有的備份也不會被未授權的使用者竄改或刪除。
Azure VM 備份不需要網際網路連線
Azure VM 的備份需要將資料從虛擬機器的磁碟移動至復原服務保存庫。 不過，所有必要的通訊與資料傳輸都僅會在 Azure 骨幹網路上進行，無需存取您的虛擬網路。 因此，放置於安全網路中的 Azure VM，其備份不需要允許任何 IP 或 FQDN 的存取。
Azure 備份的私人端點
您現在可以使用私人端點，將虛擬網路內伺服器的資料安全地備份至復原服務保存庫。 私人端點會使用 VNET 位址空間中的 IP 作為保存庫的位址，因此不需要將虛擬網路暴露給任何公共 IP。 私人端點可用於備份與還原在 Azure VM 中執行的 SQL 與 SAP Hana 資料庫。 也可搭配 MARS Agent 用於內部部署伺服器。
在這裡閱讀更多關於 Azure 備份私人端點的資訊。
資料的加密
加密可保護您的資料，並協助您履行組織的安全性與合規性承諾。 在 Azure 備份中，資料加密會在多個階段進行：
在 Azure 內部，Azure 儲存體與保存庫之間傳輸中的資料會受到 HTTPS 保護。 這些資料會保留在 Azure 骨幹網路上。
備份資料會自動使用平台管理的金鑰進行加密，您無需採取任何額外動作即可啟用。 您也可以使用儲存在 Azure Key Vault 中的客戶自控金鑰，來加密已備份的資料。 此功能適用於備份至復原服務保存庫的所有工作負載。
Azure 備份支援備份與還原其 OS 磁碟或資料磁碟使用 Azure 磁碟加密 (ADE) 與使用 CMK 加密磁碟的 VM。 如需詳細資訊，請參閱深入了解已加密的 Azure VM 與 Azure 備份。
當使用 MARS Agent 從內部部署伺服器進行備份時，資料會在上傳至 Azure 備份前先以密碼片語加密，並僅在從 Azure 備份下載後才會解密。 閱讀更多有助於保護混合式備份的安全性功能。
虛刪除
Azure 備份即使在刪除之後，也提供安全性功能來協助保護備份資料。 使用虛刪除時，如果您刪除了 VM 的備份，備份資料仍會額外保留 14 天，讓您在不造成資料遺失的情況下復原該備份項目。 處於「虛刪除狀態」的備份資料，其額外 14 天保留期間不會產生任何費用。 深入了解虛刪除。
Azure 備份也已強化虛刪除功能，以進一步提高在刪除後復原資料的成功機率。 了解詳情。
不可變保存庫
不可變保存庫可透過封鎖任何可能導致復原點遺失的作業，協助您保護備份資料。 此外，您可以鎖定不可變保存庫設定，使其無法回復，防止惡意行為者停用不可變性並刪除備份。 深入了解不可變保存庫。
多使用者授權
Azure 備份的多使用者授權 (MUA)，可為復原服務保存庫與備份保存庫上的關鍵作業增加額外的保護層。 在 MUA 中，Azure 備份會使用另一個名為 Resource Guard 的 Azure 資源，確保關鍵作業僅會在取得適當授權後才會執行。 深入了解 Azure 備份的多使用者授權。
強化虛刪除
強化虛刪除可讓您在資料遭到意外或惡意刪除後，仍能復原資料。 其運作方式是延遲資料的永久刪除一段指定時間，讓您有機會將資料取回。 您也可以將虛刪除設為一律啟用，以防止其被停用。 深入了解備份的強化虛刪除。
可疑活動的監視與警示
Azure 備份提供內建的監視與警示功能，可用來檢視並設定與 Azure 備份相關事件的動作。 備份報告可作為單一入口，用於追蹤使用量、稽核備份與還原，以及在不同精細層級識別關鍵趨勢。 使用 Azure 備份的監視和報告工具，可在任何未經授權、可疑或惡意活動發生時立即發出警示。
安全性功能有助於保護混合式備份
Azure 備份服務會使用 Microsoft Azure 復原服務 (MARS) Agent，將內部部署電腦上的檔案、資料夾，以及磁碟區或系統狀態備份與還原至 Azure。 MARS 現在也提供安全性功能，以協助保護混合式備份。 這些功能包括：
在執行變更密碼片語等關鍵作業時，系統會加入額外的驗證層。 此驗證可確保這類作業僅能由具備有效 Azure 認證的使用者執行。 深入了解可防止攻擊的功能。
已刪除的備份資料會自刪除日起額外保留 14 天。 這可確保資料在指定期間內仍可復原，因此即使發生攻擊也不會造成資料遺失。 此外，系統也會保留較多的最低復原點數量，以防止資料毀損。 深入了解如何復原已刪除的備份資料。
對於使用 Microsoft Azure 復原服務 (MARS) Agent 備份的資料，系統會使用密碼片語，確保資料在上傳至 Azure 備份前完成加密，並僅在從 Azure 備份下載後才會解密。 密碼片語的詳細資訊僅會提供給建立該密碼片語的使用者，以及設定該密碼片語的 Agent。 服務本身不會接收或共用任何密碼片語資訊。 這可確保資料的完整安全性，因為即使資料在不慎曝光的情況下遭到攔截 (例如網路中的中間人攻擊)，在沒有密碼片語的情況下也無法使用，而且密碼片語不會經由網路傳送。
安全性態勢與安全性層級
Azure 備份在保存庫層級提供安全性功能，以保護其中儲存的備份資料。 這些安全性措施涵蓋與保存庫相關的 Azure 備份解決方案設定，以及保存庫中受保護的資料來源。
Azure 備份保存庫的安全性層級分類如下：
極佳 (最高)：此層級代表最高等級的安全性，可確保全面性的保護。 當所有備份資料皆受到意外刪除防護，並可防禦勒索軟體攻擊時，即可達到此層級。 若要達到此高安全性層級，必須符合下列條件：
- 必須啟用不可變性或虛刪除的保存庫設定，且該設定需為不可回復 (已鎖定或一律啟用)。
- 保存庫上必須啟用多使用者授權 (MUA)。
良好 (足夠)：此層級代表穩健的安全性，可確保可靠的資料保護。 這會避免現有備份不慎遭到移除，並增強資料復原的可能性。 若要達到此層級，必須啟用具備鎖定功能的不可變性，或啟用虛刪除。
一般 (最低/平均)：此層級代表基本的安全性，適用於一般保護需求。 關鍵備份作業會受益於額外的保護層。 若要達到最低安全性，必須在保存庫上啟用多使用者授權 (MUA)。
不足 (不佳/無)：此層級表示安全性措施不足，不太適合用於資料保護。 在此層級中，既未啟用進階防護功能，也未具備僅可回復的保護能力。 無安全性層級主要僅提供防止意外刪除的保護。
您可以透過復原能力，檢視並管理各保存庫中所有資料來源的安全性層級。
符合標準化安全性需求
為協助組織符合管理個人資料蒐集與使用的國家/地區及產業特定需求，Microsoft Azure 與 Azure 備份提供一套完整的認證與證明。 查看合規性認證清單