Azure Backup: Bewährte Methoden zum Schutz von Sicherungsdaten

Ransomware stellt ein ernstes Risiko dar, indem hohe Wiederherstellungskosten und Betriebsunterbrechungen verursacht werden, wodurch Prävention und schnelle Wiederherstellung für die Geschäftsresilienz von entscheidender Bedeutung sind. Sichere Sicherungen dienen als letzte Verteidigungslinie und ermöglichen eine kostengünstige Wiederherstellung von Daten, ohne Lösegeld zu zahlen oder dauerhafte längere Ausfallzeiten zu verursachen.

Microsoft priorisiert Cybersicherheit. Azure Sicherheitsgrundwerte entsprechen Branchenstandards wie Center for Internet Security (CIS) und National Institute of Standards and Technology (NIST). Der Microsoft Cloud Security Benchmark (MCSB) definiert diese Basispläne. Der MCSB bietet präskriptive Anleitungen zum Sichern von Workloads, Daten und Diensten in Azure- und Multicloud-Umgebungen. Der Bereich "Sicherung und Wiederherstellung" betont konfigurierte, isolierte und überwachte Sicherungen, um vor Ransomware und destruktiven Angriffen zu schützen.

In diesem Artikel wird beschrieben, wie Azure Backup Organisationen dabei hilft, Sicherungsdaten zu schützen, Ransomware-Risiken zu reduzieren und eine zuverlässige Wiederherstellung während Sicherheitsvorfällen sicherzustellen. Azure Backup ist ein sicherer, kostengünstiger Dienst, der eine breite Palette von Workloads schützt und Daten in Recovery Services-Tresoren und Sicherungstresorn speichert. Integrierte Sicherheit, Verschlüsselung, Überwachung und Speicherreplikation für Azure Backup helfen Ihnen bei der Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten. In Übereinstimmung mit der Secure Future Initiative von Microsoft umfasst Azure Backup Funktionen wie Mehrbenutzerautorisierung, Unveränderlichkeit, vorläufiges Löschen, private Endpunkte, Sicherheitswarnungen und Berichte. Diese Funktionen erstellen eine logische Lücke (Air Gap) und ermöglichen die kontinuierliche Überwachung des Sicherheitsstatus von Sicherungen.

Azure Backup hilft beim Schutz von Sicherungsdaten über vier Kernsicherheitspfeiler:

• Access Control: Hilft Ihnen, zu steuern, wer auf Ihre Sicherungsdaten zugreift.
• Sicherer Sicherungsspeicher: Sicheres Durchführen und Speichern von Sicherungsdaten
• Wiederherstellbarkeit von Daten: Sicherstellen, dass die BCDR-Daten sicher und wiederherstellbar sind
• Backup-Governance: Steuern, überwachen und Bedrohungen in Ihren BCDR-Daten erkennen

Das folgende Diagramm zeigt die bewährten Sicherheitsmethoden für die Geschäftskontinuitäts- und Notfallwiederherstellungsdaten einer Organisation in den vier Säulen:

Säule 1 - Access Control

Eine wirksame Backup-Sicherheit setzt eine strikte Zugriffskontrolle und die Durchsetzung des Least-Privilege-Prinzips voraus, um Backup-Daten und -Prozesse zu schützen. In diesem Abschnitt werden die Azure Backup Funktionen beschrieben, die die Zugriffssteuerung unterstützen.

• Mehrstufige Authentifizierung (Multifactor Authentication, MFA): Fügt eine zusätzliche Sicherheitsebene hinzu, indem während der Anmeldung mehr Überprüfung erforderlich ist, wodurch das Risiko eines nicht autorisierten Zugriffs verringert wird.
• Azure rollenbasierte Zugriffssteuerung (Azure RBAC):Hier können Sie definieren, wer auf Azure Ressourcen zugreifen kann, welche Aktionen ausgeführt werden können, und den Umfang dieses Zugriffs, um Berechtigungen mit den geringsten Rechten zu erzwingen.
• Multiuser-Autorisierung (MUA): Fügt eine zusätzliche Schutzebene für kritische Vorgänge auf Recovery Services-Tresoren und Backup-Tresoren hinzu, indem die ausdrückliche Genehmigung durch einen Sicherheitsadministrator erforderlich ist.

Multi-Faktor-Authentifizierung (MFA)

Die mehrstufige Authentifizierung (Multifactor Authentication, MFA) fügt eine zusätzliche Sicherheitsebene hinzu, indem während der Anmeldung mehr Überprüfung erforderlich ist. Durch das Erzwingen eines zweiten Faktors verringern Sie das Risiko eines nicht autorisierten Zugriffs, da Angreifer diese Überprüfung nicht einfach abrufen oder replizieren können. MFA schützt den Zugriff auf Azure Backup- und Sicherungsdaten, auch wenn Benutzeranmeldeinformationen kompromittiert werden. Azure Backup unterstützt sicher verwaltete, phishingsichere MFA, um Benutzerkonten zu schützen. MFA wird jetzt für alle Azure Portalanmeldungen erzwungen und auf PowerShell-, CLI- und Infrastruktur-as-Code-Tools erweitert. Weitere Informationen finden Sie unter:

• Aktualisieren der MFA-Anforderungen für Azure Anmeldung – Microsoft Community Hub.
• Übersicht über die MFA.
• So aktivieren Sie MFA.

Erstellen Sie als bewährte Methode zwei oder mehr Notfallzugriffskonten. Diese Aktion trägt dazu bei, das Risiko zu mindern, aus Ihrer Microsoft-Entra-Organisation ausgesperrt zu werden, wenn die Administratoranmeldung oder die Kontoaktivierung nicht verfügbar ist. Weitere Informationen zum Verwalten von Administratorkonten für den Notfallzugriff. Microsoft Entra ID empfiehlt außerdem bewährte Methoden für alle Isolationskonfigurationen. Erfahren Sie mehr über Microsoft Entra ID bewährten Methoden.

Rollenbasierte Zugriffssteuerung von Azure (Azure RBAC)

Azure rollenbasierte Zugriffssteuerung (Azure RBAC) hilft Ihnen zu definieren, wer auf Azure Ressourcen zugreifen kann, welche Aktionen ausgeführt werden können, und den Umfang dieses Zugriffs. Durch das Erzwingen von Berechtigungen mit geringsten Berechtigungen verringern Sie das Risiko versehentlicher oder böswilliger Änderungen an der Sicherungsumgebung, und stellen Sie sicher, dass Benutzer nur den Zugriff haben, der zum Ausführen ihrer Aufgaben erforderlich ist. Erfahren Sie mehr über die Verwendung Azure RBAC zum Verwalten von Sicherungsdaten in Azure Backup.

Azure Backup bietet die folgenden integrierten Rollen zum Steuern von Sicherungsverwaltungsvorgängen:

Im folgenden Diagramm wird erläutert, wie verschiedene Azure integrierten Rollen funktionieren.

Das Diagramm zeigt, wie integrierte Rollen unterschiedliche Bereiche des Zugriffs auf Sicherungsdaten für vier Benutzer definieren.

• User2 und User3 sind Sicherungsleser und verfügen über die Berechtigung, nur die Sicherungen zu überwachen und die Sicherungsdienste anzuzeigen. Im Hinblick auf den Umfang des Zugriffs kann User2 nur auf die Ressourcen von Subscription1 zugreifen, und Benutzer3 kann nur auf die Ressourcen von Subscription2 zugreifen,
• User4 ist ein Sicherungsoperator und verfügt über die Berechtigung zum Aktivieren der Sicherung, Auslösen von On-Demand-Sicherungen, Auslösen von Wiederherstellungen sowie der Funktionen eines Sicherungslesers. In diesem Szenario ist der Anwendungsbereich jedoch nur auf das Abonnement2 beschränkt.
• User1 ist ein Mitwirkender für Sicherungen und verfügt über die Berechtigung, Tresore zu erstellen, Sicherungsrichtlinien zu erstellen, zu ändern und zu löschen sowie Sicherungen zu beenden, zusätzlich zu den Fähigkeiten eines Sicherungsoperators. In diesem Szenario ist der Umfang jedoch nur auf "Subscription1" beschränkt.

Als bewährte Methoden:

• Verwenden Sie benutzerdefinierte Rollen in Azure RBAC, um Berechtigungen zu definieren, die bestimmten Aufgabenverantwortlichkeiten entsprechen, und erzwingen Sie kontinuierlich den Zugriff auf die geringsten Berechtigungen in der gesamten Organisation. Erfahren Sie mehr über die Azure-Verwaltungs- und Governanceberechtigungen zum Erstellen benutzerdefinierter Rollen.

• Weisen Sie Rollen nur im erforderlichen Bereich (Abonnement, Ressourcengruppe oder Ressource) zu, um zu vermeiden, dass breiterer Zugriff als erforderlich gewährt wird, und weisen Sie niemals Berechtigungen im Stammmandantenbereich zu, es sei denn, es ist explizit erforderlich.

Mehrbenutzerautorisierung (MultiUser Authorization, MUA)

Die Mehrbenutzerautorisierung (Multiuser Authorization, MUA) bietet eine zusätzliche Schutzebene für kritische Vorgänge in Recovery Services-Tresoren und Sicherungstresoren. Verwenden Sie eine Azure Ressource namens Resource Guard, um sicherzustellen, dass privilegierte Vorgänge nur mit expliziter Genehmigung ausgeführt werden. Administratoren mit erhöhten Rollen, z. B. Abonnementbesitzer oder RBAC-Administratoren, können auf andere Weise Sicherungsdaten löschen oder Sicherheitskontrollen deaktivieren, entweder absichtlich oder durch kompromittierte Anmeldeinformationen. Wenn Sie MUA für einen Tresor aktivieren, erfordert jeder destruktive Vorgang oder Vorgang mit großen Auswirkungen die Genehmigung eines Sicherheitsadministrators, wodurch das Risiko von Datenverlusten und Sicherheitsverletzungen verringert wird.

Die Mehrbenutzerautorisierung (MultiUser Authorization, MUA) schützt kritische Vorgänge wie Unveränderlichkeits deaktivieren, Änderungen der Sicherungsrichtlinien, Wiederherstellungsaktionen und Verschlüsselungseinstellungsupdates. Wenn Sie MUA nicht aktivieren, kann jeder kompromittierte Benutzer mit Zugriff auf Sicherungsmitwirkende diese Vorgänge ausführen und Datenverlust verursachen, sodass Sie MUA im Tresor aktivieren sollten, um die Sicherheit zu stärken.

Als bewährte Methoden:

• Erstellen Sie den Resource Guard in einem anderen Mandanten als dem primären Mandanten, der die Produktionsumgebung hostet. Resource Guard maximiert die Berechtigungsisolation und verhindert die Vererbung des Zugriffs auf Gruppenebene auf Resource Guard. Diese Funktion stellt sicher, dass kompromittierte Anmeldeinformationen im primären Mandanten keine MUA-geschützten kritischen Vorgänge ausführen können, es sei denn, ein Sicherheitsadministrator im sekundären Mandanten genehmigt sie explizit. Es gewährleistet mandantenübergreifende Kontrolle bei kritischen Sicherungsvorgängen. Erfahren Sie, wie Sie Resource Guard in einem anderen Mandanten erstellen und MUA hinzufügen.

• Verwenden Sie Microsoft Entra Privileged Identity Management (PIM) für den temporären Zugriff auf kritische Operationen, indem Sie dem Resource Guard nur die Rolle „Backup MUA Operator“ zuweisen. Diese Rolle vermeidet Löschberechtigungen, erzwingt die geringsten Berechtigungen und stellt den Just-in-Time-Zugriff sicher. Legen Sie für Rollenzuweisungen immer Start- und Enddaten fest und überprüfen Sie regelmäßig aktive Zuweisungen, um unbeabsichtigten oder übermäßig langen Zugriff zu verhindern. Erfahren Sie, wie Sie Benutzerberechtigungen mithilfe von PIM zuweisen.

Erfahren Sie mehr über die Mehrbenutzerautorisierung (MultiUser Authorization, MUA) für Azure Backup.

Säule 2 – Sicherer Sicherungsspeicher

Starke Sicherungssicherheit basiert auf Verschlüsselung und Netzwerksicherheit über Sicherungs- und Wiederherstellungsvorgänge hinweg. Azure Backup überprüft die Datenintegrität während dieser Prozesse und benachrichtigt Sie, wenn die Überprüfung fehlschlägt. Die folgenden wichtigsten Features stärken die Sicherheit weiter und bieten eine bessere Kontrolle über Sicherungen.

• Verschlüsselung von Sicherungsdaten: Schützt ruhende und übertragene Sicherungsdaten mit Verschlüsselung, einschließlich Optionen für vom Kunden verwaltete Schlüssel (CMK), um Verschlüsselungsschlüssel zu steuern.
• Private Endpunkte für die Sicherung der Datenübertragung: Bietet sichere, private Konnektivität zum Sicherungsspeicher und hält die Datenübertragung innerhalb einer geschützten Netzwerkgrenze.

Verschlüsselung von Sicherungsdaten

Die Verschlüsselung stellt sicher, dass Sicherungsdaten sowohl im Ruhezustand als auch während der Übertragung geschützt sind. Mit Azure Backup werden alle Ihre Sicherungsdaten standardmäßig mit Microsoft verwalteten Schlüsseln verschlüsselt. Alle Daten in Tresoren werden im Ruhezustand mit einer 256-Bit-AES-Verschlüsselung (Advanced Encryption Standard) verschlüsselt, die den Federal Information Processing Standards (FIPS) 140-2 entspricht. Alle Kommunikations- und Datenübertragungen erfolgen über HTTPS und Transport Layer Security (TLS) 1.2+, wodurch sichergestellt wird, dass Daten während der Übertragung verschlüsselt sind und innerhalb des Azure-Netzwerks verbleiben. Azure Backup unterstützt auch die Sicherung und Wiederherstellung von Azure Virtual Machines (VMs), die ihre Betriebssystem-/Datendatenträger mit Azure Disk Encryption (ADE) verschlüsselt haben.

Um die Kontrolle über den Verschlüsselungsschlüssel durch die Konfiguration von Schlüsselrotation und Lebenszyklus zu ermöglichen oder eigene Schlüssel für die Verschlüsselung der Sicherungsdaten zu verwenden, nutzen Sie Customer-Managed Keys (CMK). Erfahren Sie mehr über das Aktivieren von CMK.

Als bewährte Methoden:

• Schützen Sie CMK-bezogene Änderungen mit MUA, indem Sie die Mehrbenutzerautorisierung für den Tresor aktivieren. Dieses Feature verhindert, dass Benutzer mit Berechtigungen für Sicherungsmitwirkende Verschlüsselungsschlüssel oder die zugeordnete verwaltete Identität ohne Genehmigung ändern. MUA schützt kritische Vorgänge wie den Wechsel von Microsoft verwalteten Schlüsseln zu CMK und Ändern der CMK-Verschlüsselungseinstellungen.

• Aktivieren Sie die Infrastrukturverschlüsselung bei der Tresorerstellung, um die Complianceanforderungen für die duale Verschlüsselung auf speicherebene zu erfüllen. Die Infrastrukturverschlüsselung gilt nur zur Erstellungszeit. Sie können den Verschlüsselungstyp nicht aktivieren, wenn die Sicherungskopien der Datenquelle im Tresor gespeichert werden.

Erfahren Sie mehr über die Verschlüsselung von Sicherungsdaten.

Private Endpunkte für die Sicherung der Datenübertragung

Private Endpunkte bieten sichere, private Konnektivität zum Sichern des Speichers und halten die Datenübertragung innerhalb einer geschützten Netzwerkgrenze. Jeder private Endpunkt verwendet eine oder mehrere private IP-Adressen aus Ihrem Azure Virtual Network (VNet), wodurch der Sicherungsdienst direkt in Ihr VNet eingebunden wird. Dieser Ansatz minimiert die Gefährdung des öffentlichen Internets und verringert das Risiko eines unbefugten Zugriffs oder von Datenschutzverletzungen. Weitere Informationen zu privaten Endpunkten für Azure Backup.

Für Azure VMs erfolgen alle Kommunikations- und Datenübertragungen über das Azure Fabric, sodass keine Firewall-Ausnahmen erforderlich sind. Für Datenbanken, die auf Azure virtuellen Computern und auf lokalen Servern ausgeführt werden, ermöglichen private Endpunkte sichere Netzwerkkonnektivität für Sicherungs- und Wiederherstellungsvorgänge.

Erfahren Sie, wie Sie private Endpunkte (mit v2-Erfahrung) für Azure Backup erstellen und verwalten.

Säule 3 – Wiederherstellbarkeit von Daten

Die Wiederherstellbarkeit von Sicherungsdaten ist für die Aufrechterhaltung der Geschäftskontinuität und die Minimierung von Ausfallzeiten bei Datenverlusten von entscheidender Bedeutung. Unveränderliche Tresore schützen Sicherungsdaten vor Löschung oder Änderung, auch bei Sicherheitskompromittierungen, während soft delete aktive Wiederherstellung von Sicherungsdaten vor versehentlichen oder böswilligen Löschungen unterstützt. In diesem Abschnitt werden die Funktionen beschrieben, mit denen Sie sicherstellen können, dass Sicherungsdaten bei Bedarf wiederhergestellt werden können.

• Unveränderlichkeit für Sicherungsdaten: Schützt Sicherungsdaten vor Löschung oder Änderung, indem WORM-Speicher (Write-Once, Read-Many) und Tresorsperrstatus erzwungen werden, um destruktive Vorgänge zu verhindern.
• Vorläufiges Löschen für den dauerhaften Löschschutz von Sicherungsdaten: Speichert gelöschte Sicherungsdaten für einen konfigurierbaren Zeitraum und ermöglicht die Wiederherstellung von versehentlichen oder böswilligen Löschungen.
• Datenredundanz für den Schutz von Sicherungsdaten: Unterstützt mehrere Datenredundanzoptionen, um Sicherungsdaten vor Hardwarefehlern und regionalen Ausfällen zu schützen.
• Abonnementübergreifende Wiederherstellung von Sicherungsdaten: Ermöglicht die Wiederherstellung von Sicherungsdaten in ein isoliertes Abonnement, wenn das primäre Abonnement kompromittiert ist oder ihm nicht vertraut werden kann.

Unveränderlichkeit für Sicherungsdaten

Unveränderliche Tresore stellen sicher, dass Sicherungsdaten, sobald sie gespeichert sind, bis zum Ablauf der definierten Aufbewahrungsfrist nicht gelöscht werden können. Dieser Schutz behält die Datenintegrität bei und schützt Sicherungen sowohl von Insider- als auch von externen Bedrohungen. Unveränderliche Tresore blockieren auch destruktive Vorgänge wie das Reduzieren der Aufbewahrung, das Beenden von Sicherungen oder das Löschen von Sicherungsdaten.

Die Unveränderlichkeit gilt auf zwei Ebenen: auf der Speicherebene durch WORM-Schutz (Write-Once, Read-Many) und auf der Verwaltungsebene durch zwei Tresorsperrstatus: „Aktiviert“ und „Gesperrt“. Im Status "Aktiviert" kann ein Sicherungsmitwirkender die Unveränderlichkeit deaktivieren, wenn die betriebliche Flexibilität erforderlich ist, z. B. das Anpassen der Aufbewahrung oder das Beenden von Sicherungen. Im gesperrten Zustand wird die Unveränderlichkeit unumkehrbar, wodurch das Löschen oder Zerstören von Sicherungsdaten verhindert und der WORM-Schutz auf dem zugrunde liegenden Speicher automatisch durchgesetzt wird. Organisationen mit Complianceanforderungen für den WORM-basierten Speicher müssen die Unveränderlichkeit im Gesperrten Zustand verwenden.

Das folgende Diagramm zeigt den Workflow für den Datenschutz mit einem unveränderlichen Tresor im gesperrten Zustand.

Als bewährte Methoden:

• Überprüfen Sie alle geschützten Elemente und Sicherungsrichtlinien, bevor Sie die Unveränderlichkeit sperren, da die Unveränderlichkeit auf Tresorebene gilt. Nachdem Sie die Unveränderlichkeit gesperrt haben, können Sie aufbewahrungszeiträume, die in Sicherungsrichtlinien definiert sind, nicht ändern oder Sicherungsdaten löschen, bevor die konfigurierte Aufbewahrung abläuft.

• Behalten Sie die Unveränderlichkeit im Status "Aktiviert" bei, wenn Flexibilität erforderlich ist, z. B. wenn Sicherungsrichtlinien nicht definiert bleiben oder wenn Sie davon ausgehen, dass Sicherungsdaten gelöscht werden müssen. Dieser Zustand ermöglicht es einem Sicherungsmitwirkenden, Sicherungsrichtlinien für geschützte Elemente anzupassen. Verwenden Sie die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) für den Tresor, um bei Bedarf selektiv die vorübergehende Deaktivierung der Unveränderlichkeit zuzulassen.

• Sperren Sie die Unveränderlichkeit, um Produktionsdaten vor kompromittierten Anmeldeinformationen und Insider-Bedrohungen zu schützen, da kein Benutzer Sicherungsdaten oder den Tresor löschen kann. Die gesperrte Unveränderlichkeit verhindert auch die Kündigung des Abonnements, da Azure Schutzmechanismen erzwingt, die verlangen, dass vor der Kündigung alle Ressourcen gelöscht werden, was durch die Unveränderlichkeit verhindert wird.

Erfahren Sie mehr über die Unveränderlichkeit für Sicherungsdaten.

Soft Delete als Schutz vor permanenter Löschung von Backup-Daten

Soft Delete hilft Ihnen, Sicherungsdaten nach versehentlichem oder böswilligem Löschen wiederherzustellen. Der Dienst behält gelöschte Sicherungsdaten für einen konfigurierbaren Zeitraum von bis zu 180 Tagen (Standard 14 Tage), mit dem ein Sicherungsmitwirkender es bei Bedarf wiederherstellen kann. Dieser Schutz verhindert dauerhaften Datenverlust durch unbeabsichtigte Aktionen.

Als bewährte Methode sollten Sie die Aufbewahrungsdauer für vorläufiges Löschen auf mehr als 35 Tage festlegen oder sie an die Aufbewahrung Ihrer Sicherungsrichtlinie anpassen. Auf diese Weise verbleiben gelöschte Sicherungsdaten für denselben Zeitraum wie die Aufbewahrungsdauer der Richtlinie im Zustand „vorläufig gelöscht“ und sind für die Wiederherstellung verfügbar.

Erfahren Sie mehr über das vorläufige Löschen.

Datenredundanz für den Schutz von Sicherungsdaten

Azure Backup unterstützt mehrere Datenredundanzoptionen, einschließlich lokal redundanter Speicher (LRS), Zonenredundanter Speicher (ZRS) und georedundanten Speicher (GRS). LRS repliziert Sicherungsdaten dreimal innerhalb eines einzelnen Rechenzentrums in der primären Region. ZRS gewährleistet Datenresidenz und verbessert die Ausfallsicherheit innerhalb derselben Region, indem es Sicherungsdaten über Verfügbarkeitszonen hinweg repliziert. GRS repliziert Sicherungsdaten in eine sekundäre Region, um vor regionsweiten Ausfallen zu schützen.

Als bewährte Methoden:

• Wählen Sie während der Tresorerstellung zonenredundanten Speicher (ZRS) aus, da Azure Backup als zonenredundanter Dienst für Wiederherstellungsdienste-Tresore und Sicherungstresor fungiert. Diese Redundanz sorgt dafür, dass der Vault während eines Zonenausfalls betriebsbereit bleibt.

• Wählen Sie georedundanten Speicher (GRS) aus, wenn eine strenge Datenisolation erforderlich ist. Sekundäre Kopien von Sicherungsdaten befinden sich in einer anderen Region und bieten Schutz vor regionsweiten Fehlern.

• Wenden Sie die 3-2-1-1-Sicherungsstrategie an, indem Sie drei Kopien von Daten (eine Produktion und zwei Sicherungen) verwalten, sie auf zwei verschiedenen Medientypen speichern und eine Kopie außerhalb der Website zusammen mit einer unveränderlichen und isolierten Sicherung beibehalten. Dieser Workflow stärkt den Schutz vor Ransomware-Bedrohungen.

  Der folgende Sicherungsschutzworkflow veranschaulicht, wie Azure Backup den 3-2-1-1-Mechanismus für Azure VM-Datenschutz implementiert.

  1. Die Azure VM hostt die primäre Datenkopie, während Azure Backup die erste Sicherungskopie in einem Wiederherstellungsdienstetresor verwaltet. Sicherungsdaten im Recovery Services-Tresor verwenden Azure Blob Storage, wo Sie die Unveränderlichkeit aktivieren und sperren können, um eine Löschung oder Reduzierung der Aufbewahrung vor Ablauf zu verhindern. Die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) stärkt die Sicherheit weiter, indem eine genehmigungsbasierte Kontrolle über kritische Vorgänge im Tresor erzwungen wird.

  2. Eine isolierte zweite Sicherungskopie fügt Resilienz über georedundanten Speicher (GRS) hinzu. Dieser Mechanismus repliziert Sicherungsdaten in eine physisch getrennte sekundäre Region und bietet eine starke Isolation von der primären Umgebung. Für Szenarien, die eine Trennung zwischen verschiedenen Medientypen erfordern, bietet eine Offline-Sicherungskopie auf Banden mehr Isolation und Schutz.

  Azure Backup in Azure Advisor und Microsoft Defender for Cloud integriert, die die Konfiguration der sicherungsbezogenen Sicherheit für Produktionsumgebungen empfehlen. Diese Empfehlungen finden Sie im Abschnitt "Sicherheit " in beiden Diensten.

Erfahren Sie mehr über Speicherredundanztypen für Azure Backup in Recovery Services Vaults und Backup Vault.

Abonnementübergreifende Wiederherstellung von Sicherungsdaten

Wenn ein Abonnement kompromittiert wird oder Sie das Vertrauen in Ihr primäres Abonnement verlieren, verwenden Sie die abonnementübergreifende Wiederherstellung, um Daten in einem isolierten Abonnement innerhalb desselben Mandanten wiederherzustellen. Mit dieser Funktion können Sie virtuelle Computer in Azure aus Azure Backup-Wiederherstellungspunkten wiederherstellen, indem Sie neue VMs erstellen oder Datenträger wiederherstellen – in einem beliebigen zulässigen Abonnement und unter Einhaltung der RBAC-Kontrollen.

Da Wiederherstellungsvorgänge vertrauliche Daten verfügbar machen können, klassifizieren Sie Wiederherstellungs- und Abonnementübergreifende Wiederherstellungsaktionen als kritische Vorgänge unter der Mehrbenutzerautorisierung (Multi-User Authorization, MUA). Mit diesem Steuerelement wird sichergestellt, dass Sicherheitsadministratoren auf Sicherungsdaten zugreifen und diese wiederherstellen können.

Erfahren Sie, wie Sie die abonnementübergreifende Wiederherstellung für Azure Backup im Recovery Services-Tresor und Backup-Tresor aktivieren.

Säule 4 – Backup-Governance

Effektive Datengovernance und -verwaltung helfen Ihnen, die Sicherheit, Compliance und Integrität Ihrer Sicherungsdaten zu verstehen. In diesem Abschnitt werden die wichtigsten Features beschrieben, die eine klare Sichtbarkeit bieten und Ihnen helfen, die Sicherheit von Sicherungsdaten zu stärken.

• Sicherheitsstatus für Geschäftskontinuität und Notfallwiederherstellung (BCDR): Bewertet die Sicherheit geschützter Elemente und kategorisiert sie basierend auf dem Vorhandensein von Sicherheitskontrollen wie Unveränderlichkeit, vorläufigem Löschen und Mehrbenutzerautorisierung in vier Ebenen.
• Azure Richtlinien für den Schutz von Sicherungsdaten: Bietet integrierte Azure Policy Definitionen zum Überwachen und Erzwingen von Sicherheitsfeatures für Sicherungsdatenquellen, z. B. Unveränderlichkeit, soft delete und private Endpunktverwendung.
• Sicherheitswarnungen und Berichte zur Überwachung der Sicherung der Datensicherheit: Bietet Echtzeit-Einblicke in den Sicherheitsstatus Ihrer Sicherungsumgebung mit integrierten Warnungen und umfassenden Berichten über Azure Monitor Protokolle und Arbeitsmappen.

Sicherheitsstatus für Geschäftskontinuität und Notfallwiederherstellung

Die Sicherheitslage für Geschäftskontinuität und Notfallwiederherstellung (BCDR), als Teil des Resiliency-Diensts, unterstützt Sie dabei, Sicherheitskontrollen für Sicherungsdaten in Ihrer gesamten Umgebung zu bewerten und anzuwenden. Es kategorisiert die Sicherheit von geschützten Elementen in vier verschiedene Ebenen.

Die folgende Tabelle enthält die folgenden Sicherheitsstufen und die zugehörigen Anforderungen:

Als bewährte Methode bewerten und verbessern Sie ihren BCDR-Sicherheitsstatus regelmäßig, indem Sie Sicherheitsbewertungen und Sicherheitsstufen verwenden, um Lücken beim Schutz Ihrer Sicherungselemente zu identifizieren. Stellen Sie sicher, dass alle Mit Azure Backup geschützten Produktionselemente ein gutes oder ausgezeichnetes Sicherheitsniveau erhalten, um Ihren gesamten Sicherheitsstatus zu stärken. Verbessern Sie diese Sicherheitsniveaus, indem Sie Unveränderlichkeit, vorläufiges Löschen und Mehrbenutzerautorisierung (MUA) für Ihre Tresore aktivieren.

Azure Richtlinien für den Schutz von Sicherungsdaten

Azure Policy unterstützt Sie bei der Durchsetzung von Organisationsstandards und der Bewertung der Compliance im großen Stil. Azure Backup unterstützt mehrere Überwachungsrichtlinien und modifizierbare Aliase, mit denen Sie die Compliance von Sicherungselementen bewerten und benutzerdefinierte Richtlinien bei Bedarf bereitstellen können. In der folgenden Tabelle sind die Azure Policy Definitionen aufgeführt, mit denen Sie Sicherheitsfeatures für Ihre Sicherungsworkloads erzwingen können.

Sicherheitswarnungen und Berichte zur Überwachung der Sicherheit von Sicherungsdaten

Sicherheitswarnungen bieten Ihnen Echtzeitsicht in den Sicherheitsstatus Ihrer Sicherungsumgebung und helfen Ihnen, verdächtige Aktivitäten umgehend zu erkennen. Integrierte Benachrichtigungen benachrichtigen Sie sofort über Ereignisse wie das Löschen von Daten in einem soft-delete-aktivierten Tresor oder Schutzänderungen mit eingeschränkter Aufbewahrung, ohne dass zusätzliche Konfiguration oder benutzerdefinierte Warnungserstellung erforderlich ist. Wenn Sie Überwachungseinstellungen in den Tresoreigenschaften aktivieren, erhalten Sie automatisch die Sicherheitswarnungen, die unter Monitor Azure Backup geschützten Datenquellen aufgeführt sind.

Sie können eine Aktionsgruppe auch so konfigurieren, dass Benachrichtigungen über Sprachanrufe, SMS (Short Message Service) oder E-Mails empfangen werden, wenn eine Sicherheitswarnung ausgelöst wird. Erfahren Sie mehr über Azure Monitor Aktionsgruppen. Azure Backup Berichte helfen Ihnen, den Zustand Ihrer Sicherungsumgebung zu analysieren, indem Sie benutzerdefinierte Abfragen in Diagnoseprotokolle schreiben können. Azure Backup verwendet Azure Monitor Protokolle und Azure Arbeitsmappen, um Ihnen umfassende Einblicke in Ihre gesamte Sicherungsumgebung zu geben.

Erfahren Sie, wie Sie Azure Backup Berichte konfigurieren.

Zusammenfassung der bewährten Methoden zum Datenschutz

Die Umsetzung empfohlener bewährter Verfahren über alle Sicherheitsfunktionen hinweg stärkt die Bereitschaft gegenüber Ransomware und die Reaktionsfähigkeit. Dieser Ansatz reduziert Ransomware-Risiken, begrenzt potenzielle Auswirkungen und verbessert den Sicherheitsstatus Ihrer Produktions-Backup-Datenquellen.

Verwandte Inhalte

Übersicht der Sicherheitsfeatures in Azure Backup.