分享方式：

Azure 備份中的安全性功能概觀

  • 文章

保護您的資料最重要的步驟之一，就是擁有可靠的備份基礎結構。 但請務必以安全的方式備份資料，這樣才能隨時保護您的備份。 Azure 備份為您的備份環境提供安全性，您的資料在傳輸中和靜止時都是如此。 本文列出 Azure 備份中的安全性功能，協助保護您的備份資料，並符合您企業的安全性需求。

管理與控制身分識別和使用者存取

系統會隔離復原服務保存庫所使用的儲存體帳戶，且使用者無法對其進行存取，以進行任何惡意用途。 只有透過 Azure 備份管理作業才允許該存取權，例如還原。 Azure 備份可讓您使用 Azure 角色型存取控制 (Azure RBAC)，透過細部存取來控制受控作業。 Azure RBAC 可讓您區隔小組內的職責，只授與使用者執行份內工作所需的存取權。

Azure 備份提供三種用來控制備份管理作業的內建角色：

  • 備份參與者：可建立和管理備份，但刪除復原服務保存庫和賦予他人存取權除外
  • 備份操作員：可執行參與者有權執行的所有動作，但移除備份和管理備份原則除外
  • 備份讀取者：有權檢視所有備份管理作業

深入了解使用 Azure 角色型存取控制來管理 Azure 備份。

Azure 備份有數個服務內建的安全性控制項，可防止、偵測及回應安全性弱點。 深入了解 Azure 備份的安全性控制項。

使用 Azure 備份的資料隔離

使用 Azure 備份時，保存的備份資料會儲存在受 Microsoft 管理的 Azure 訂用帳戶和租用戶中。 外部使用者或來賓無法直接存取此備份儲存體或其內容，以確保備份資料與資料來源所在的生產環境隔離。

在 Azure 中，傳輸中的所有通訊和資料都會使用 HTTPS 和 TLS 1.2+ 通訊協定安全地進行傳輸。 此資料會保留在 Azure 骨幹網路上，以確保可靠且有效率的資料傳輸。 待用備份資料預設會使用 Microsoft 管理的金鑰來進行加密。 如果您需要更充分地控制資料，也可以攜帶自己的金鑰進行加密。 若要增強保護，您可以使用不變性，這可防止資料在其保留期間之前遭到變更或刪除。 Azure 備份提供各種選項，例如虛刪除、停止備份和刪除資料，或是保留資料 (如果您需要隨時停止備份)。 若要保護重要作業，您可以使用名為 Azure Resource Guard 的 Azure 資源，新增添加額外保護層的多使用者授權 (MUA)。

這種健全的方法可確保即使是在遭到入侵的環境中，未經授權的使用者也無法竄改或刪除現有的備份。

Azure VM 備份不需要網際網路連線

備份 Azure VM 需要將資料從虛擬機器磁碟移至復原服務保存庫。 不過，所有必要的通訊和資料傳輸只會發生在 Azure 骨幹網路上，而不需要存取您的虛擬網路。 因此，放置在安全網路中的 Azure VM 備份不會要求您允許存取任何 IP 或 FQDN。

Azure 備份的私人端點

您現在可以使用私人端點，從虛擬網路內部的伺服器將資料安全地備份到復原服務保存庫。 私人端點會針對您的保存庫使用 VNET 位址空間中的 IP，因此您不需要向任何公用 IP 公開虛擬網路。 私人端點可用於備份和還原在您的 Azure VM 中執行的 SQL 和 SAP Hana 資料庫， 也可以用於使用 MARS 代理程式的內部部署伺服器。

請在這裡詳讀 Azure 備份的私人端點詳細資料。

資料加密

加密可保護您的資料安全，並協助您符合組織安全性和合規性承諾。 資料加密會在 Azure 備份的許多階段進行：

虛刪除

Azure 備份提供安全性功能，即使在刪除之後，也能協助保護備份資料。 使用虛刪除，如果您刪除了虛擬機器的備份，備份資料會額外保留 14 天，以便在沒有遺失資料的情況下復原該備份項目。 處於「虛刪除」狀態的備份資料會額外保留 14 天，且不會產生任何費用。 深入了解虛刪除。

Azure 備份現在也已增強虛刪除功能，以進一步改善在刪除後復原資料的機會。 深入了解。

不可變保存庫

Immutable 保存庫可藉由封鎖任何可能導致復原點遺失的作業，協助您保護備份資料。 此外，您可以鎖定不可變保存庫設定，使其無法復原，進而防止任何惡意執行者停用不變性及刪除備份。 深入了解固定值。

多使用者授權

適用於 Azure 備份的多使用者授權 (MUA)，可讓您為復原服務保存庫和備份保存庫上的重要作業增加額外的保護層。 針對 MUA，Azure 備份使用另一種名為資源防護的 Azure 資源，以確保僅在獲得適用授權的情況下執行重要作業。 深入了解 Azure 備份的多使用者授權。

增強式虛刪除

增強的虛刪除可讓您即使在資料遭到刪除、意外或惡意之後，也能復原資料。 其運作方式是延遲指定期間永久刪除資料，讓您有機會擷取資料。 您也可以讓虛刪除永遠開啟，以防止停用。 深入了解適用於備份的增強式虛刪除。

可疑活動的監視與警示

Azure 備份提供內建的監視和警示功能，以檢視和設定與 Azure 備份相關的事件動作。 備份報告提供一站式目的地服務，以供追蹤使用量、稽核備份與還原，以及找出不同細微性層級的主要趨勢。 使用 Azure 備份的監視和報告工具，可在任何未經授權、可疑或惡意活動發生時立即發出警示。

安全性功能有助於保護混合式備份

Azure 備份服務使用 Microsoft Azure 復原服務 (MARS) 代理程式，將檔案、資料夾，以及磁碟區或系統狀態，從內部部署電腦備份與還原至 Azure。 MARS 現在提供安全性功能，有助於保護混合式備份。 這些功能包括：

  • 每當執行重要作業 (如變更複雜密碼) 時，就會多一道驗證。 這項驗證用來確保只有具備有效 Azure 認證的使用者，才能執行這類作業。 深入了解防止攻擊的功能。

  • 已刪除的備份資料會額外保留 14 天 (從刪除日期算起)。 這可確保指定時間週期內的資料復原能力，所以即使發生攻擊，也不會遺失任何資料。 此外，會維護較多的最低復原點，以防範損毀資料。 深入了解復原已刪除的備份資料。

  • 對於使用 Microsoft Azure 復原服務 (MARS) 代理程式備份的資料，在上傳至 Azure 備份之前，會使用複雜密碼來確保已加密資料，而且只有在從 Azure 備份下載之後才會解密。 複雜密碼詳細資訊僅供建立複雜密碼的使用者，以及用該複雜密碼設定的代理程式使用。 不會使用服務傳輸或共用任何內容。 這可確保資料的完整安全性，因為如果沒有複雜密碼，不慎洩漏的任何資料 (例如網路上的中間人攻擊) 都無法使用，而且複雜密碼不會透過網路傳送。

安全性態勢和安全性層級

Azure 備份提供保存庫等級的安全性功能，保護內部儲存的備份資料。 這些安全性措施包含與 Azure 備份解決方案相關聯的設定、保存庫，以及保存庫內所包含的受保護資料來源。

Azure 備份保存庫的安全性層級分類如下：

  • 非常好 (最大值)：此層級代表最高安全性，可確保全面保護。 當所有備份資料都受到意外刪除的保護，並防範勒索軟體攻擊時，您即可達成此目的。 若要達到此高安全性層級，必須符合下列條件：

  • 良好 (適當)：這表示健全的安全性層級，可確保可靠的資料保護。 這會防止現有備份不會不慎遭到移除，並增強資料復原的可能性。 若要達到此安全性層級，您必須啟用使用鎖定的不變性或虛刪除。

  • 公平 (最低/平均)：這代表基本層級的安全性，適用於標準保護需求。 基本備份作業受益於額外的保護層。 若要達到最低安全性，您必須在保存庫上啟用多使用者授權 (MUA)。

  • 不良 (劣/無)：這表示安全性措施不足，較不適合資料保護。 在此層級中，既沒有進階防護功能，也沒有完全可逆的功能。 [無] 層級安全性提供主要從意外刪除的保護。

您可以透過 Azure 營運持續性中心，檢視及管理其各自保存庫中所有資料來源的安全性層級。

符合標準化的安全性需求

為協助組織遵循國家/地區、區域和業界針對控管個人資料收集和使用的特定要求，Microsoft Azure 與 Azure 備份提供一套完善的認證和證明。 請參閱合規性認證的清單

下一步