ランサムウェアは、高い復旧コストと運用上の中断を促進し、予防と迅速な回復をビジネスの回復性に不可欠にすることで、深刻なリスクを伴います。 セキュリティで保護されたバックアップは防御の最後の行として機能し、身代金を支払ったり、長時間のダウンタイムに耐えたりすることなく、コスト効率の高いデータ復元を可能にします。
Microsoftはサイバーの安全性に優先順位を付けます。 Azureセキュリティ ベースラインは、Center for Internet Security (CIS) や National Institute of Standards and Technology (NIST) などの業界標準に準拠しています。 Microsoft Cloud セキュリティ ベンチマーク (MCSB) はこれらのベースラインを定義します。 MCSB は、Azureおよびマルチクラウド環境全体でワークロード、データ、サービスをセキュリティで保護するための規範的なガイダンスを提供します。 バックアップと回復の制御領域では、ランサムウェアや破壊的な攻撃から保護するために、構成、分離、監視されたバックアップが強調されています。
この記事では、Azure Backupが、組織がバックアップ データを保護し、ランサムウェアのリスクを軽減し、セキュリティ インシデント時に信頼性の高い回復を確保する方法について説明します。 Azure Backupは、幅広いワークロードを保護し、Recovery Services コンテナーとバックアップ コンテナーにデータを格納する、セキュリティで保護されたコスト効率の高いサービスです。 Azure Backup用の組み込みのセキュリティ、暗号化、監視、ストレージ レプリケーションは、データの機密性、整合性、可用性を維持するのに役立ちます。 Microsoftの Secure Future Initiative に合わせて、Azure Backupには、マルチユーザー承認、不変性、論理的な削除、プライベート エンドポイント、セキュリティ アラート、レポートなどの機能が含まれています。 これらの機能により、論理的なエアギャップが作成され、バックアップ セキュリティ体制の継続的な監視が可能になります。
Azure Backupは、次の 4 つの主要なセキュリティの柱を通じてバックアップ データを保護するのに役立ちます。
- Access Control: バックアップ データにアクセスするユーザーを制御するのに役立ちます
- セキュリティで保護されたバックアップ ストレージ: バックアップ データを安全に実行して格納する
- データの回復可能性: BCDR データが安全で回復可能であることを確認する
- バックアップ ガバナンス: BCDR データの脅威の管理、監視、検出
次の図は、4 つの柱にわたる組織のビジネス継続性とディザスター リカバリー (BCDR) データのセキュリティのベスト プラクティスを示しています。
第1の柱 - アクセス制御
効果的なバックアップ セキュリティは、バックアップ データと操作を保護するために、強力なアクセス制御と最小特権の適用に依存します。 このセクションでは、アクセス制御をサポートするAzure Backup機能について説明します。
- 多要素認証 (MFA): サインイン時により多くの検証を必要とすることで、セキュリティレイヤーを追加し、未承認のアクセスのリスクを軽減します。
- Azureロールベースのアクセス制御 (Azure RBAC): Azureリソースにアクセスできるユーザー、実行できるアクション、およびそのアクセスのスコープを定義して、最小特権のアクセス許可を適用できます。
- マルチユーザー承認 (MUA): セキュリティ管理者に明示的な承認を要求することで、Recovery Services コンテナーとバックアップ コンテナーに対する重要な操作に対する保護レイヤーを追加します。
多要素認証 (MFA)
多要素認証 (MFA) では、サインイン時により多くの検証が必要なため、セキュリティレイヤーが追加されます。 第 2 の要素を適用することで、攻撃者はこの検証を簡単に取得またはレプリケートできないため、不正アクセスのリスクを軽減できます。 MFA は、ユーザーの資格情報が侵害された場合でも、Azure Backupデータとバックアップ データへのアクセスを保護します。 Azure Backupでは、セキュリティで保護されたフィッシングに強い MFA がサポートされ、ユーザー アカウントの保護に役立ちます。 MFA は、Azure ポータルのすべてのサインインに適用され、PowerShell、CLI、およびコードとしてのインフラストラクチャ ツールに拡張されました。 詳細については、以下をご覧ください。
ベスト プラクティスとして、2 つ以上の緊急アクセス アカウントを作成します。 このアクションは、管理者のサインインまたはアカウントのアクティブ化が利用できない場合に、Microsoft Entra組織からロックアウトされるリスクを軽減するのに役立ちます。 緊急アクセス管理者アカウントの管理について詳しくは、こちらをご覧ください。 Microsoft Entra IDでは、すべての分離構成のベスト プラクティスも推奨されます。 Microsoft Entra IDのベスト プラクティスの詳細を確認します。
Azure ロールベースのアクセス制御 (Azure RBAC)
Azureロールベースのアクセス制御 (Azure RBAC) は、Azureリソースにアクセスできるユーザー、実行できるアクション、およびそのアクセスのスコープを定義するのに役立ちます。 最小限の特権のアクセス許可を適用することで、バックアップ環境に対する偶発的または悪意のある変更のリスクを軽減しながら、ユーザーが自分のタスクを実行するために必要なアクセス権のみを持っていることを確認します。 Azure RBAC を使用してAzure Backupのバックアップ データを管理する方法について説明します。
Azure Backupには、バックアップ管理操作を制御するための次の組み込みロールが用意されています。
| Role | Description |
|---|---|
| バックアップ共同作成者 | Recovery Services コンテナーの削除や他のユーザーへのアクセスの割り当てを除き、すべてのバックアップ操作を作成および管理できます。 このロールは、完全なバックアップ管理管理を提供します。 |
| バックアップオペレーター | バックアップの削除とバックアップ ポリシーの管理を除くすべての共同作成者操作を実行できます。 このロールは共同作成者と同等ですが、データの削除によるバックアップの停止やオンプレミス リソースの登録の削除など、破壊的なアクションを制限します。 |
| バックアップ リーダー | 変更を加えずにすべてのバックアップ管理操作を表示できます。 このロールは、バックアップ アクティビティの監視と監査に適しています。 |
次の図では、組み込みロールのさまざまなAzureのしくみについて説明します。
この図は、組み込みロールで 4 人のユーザーのバックアップ データへのアクセスのさまざまなスコープを定義する方法を示しています。
- User2 と User3 はバックアップ リーダーであり、バックアップのみを監視し、バックアップ サービスを表示するアクセス許可を持ちます。 アクセスの範囲に関しては、User2 は Subscription1 のリソースにのみアクセスでき、User3 は Subscription2 のリソースにのみアクセスできます。
- User4 はバックアップ オペレーターであり、バックアップを有効にし、オンデマンド バックアップをトリガーし、復元をトリガーする権限と、バックアップ リーダーの機能を持っています。 ただし、このシナリオでは、そのスコープは Subscription2 のみに制限されています。
- User1 はバックアップ共同作成者であり、バックアップ オペレーターの機能と共に、コンテナーの作成、バックアップ ポリシーの作成/変更/削除、バックアップの停止を行うアクセス許可を持っています。 ただし、このシナリオでは、スコープは Subscription1 のみに制限されます。
ベスト プラクティスとして:
Azure RBAC のカスタム ロールを使用して、特定の職務に一致するアクセス許可を定義し、組織全体で最小限の特権アクセスを継続的に適用します。 カスタム ロールを作成するためのAzure管理とガバナンスのアクセス許可の詳細について説明します。
必要なスコープ (サブスクリプション、リソース グループ、またはリソース) でのみロールを割り当てて、必要以上に広範なアクセス権を付与しないようにし、明示的に必要でない限りルート テナント スコープでアクセス許可を割り当てないようにします。
マルチユーザー承認 (MUA)
マルチユーザー承認 (MUA) により、Recovery Services コンテナーとバックアップ コンテナーに対する重要な操作に対する保護レイヤーが追加されます。 Resource Guard と呼ばれるAzure リソースを使用して、特権操作が明示的な承認でのみ実行されるようにします。 サブスクリプション所有者や RBAC 管理者など、管理者特権を持つ管理者は、バックアップ データを削除したり、セキュリティ制御を意図的に無効にしたり、資格情報の侵害を通じて無効にしたりすることができます。 ボールトで MUA を有効にすると、破壊的な操作や影響の大きい操作を行うたびに、セキュリティ管理者の承認が必要になり、データ損失やセキュリティ侵害のリスクを軽減できます。
マルチユーザー承認 (MUA) は、不変無効化、バックアップ ポリシーの変更、復元アクション、暗号化設定の更新などの重要な操作を保護します。 MUA を有効にしない場合、バックアップ共同作成者アクセス権を持つ侵害されたユーザーは、これらの操作を実行してデータ損失を引き起こす可能性があるため、セキュリティを強化するには、コンテナーで MUA を有効にする必要があります。
ベスト プラクティスとして:
運用環境をホストするプライマリ テナントとは異なるテナントに Resource Guard を作成します。 Resource Guard は、アクセス許可の分離を最大化し、Resource Guard でのグループ レベルのアクセスの継承を防ぎます。 この機能により、セカンダリ テナントのセキュリティ管理者が明示的に承認しない限り、プライマリ テナントの侵害された資格情報が MUA で保護された重要な操作を実行できなくなります。 重要なバックアップ操作に対してテナント間制御が適用されます。 別のテナントで Resource Guard を作成し、MUA を追加する方法について説明します。
Resource Guard でバックアップ MUA オペレーター ロールのみを割り当てることで、重要な操作に一時的にアクセスするには、Microsoft Entra Privileged Identity Management (PIM) を使用します。 このロールは、削除アクセス許可を回避し、最小限の特権を適用し、Just-In-Time アクセスを保証します。 ロールの割り当ての開始日と終了日を常に設定し、アクティブな割り当てを定期的に確認して、意図しないアクセスや長時間のアクセスを防ぎます。 PIM を使用してユーザーのアクセス許可を割り当てる方法について説明します。
Azure Backupのマルチユーザー承認 (MUA) の詳細について説明します。
柱 2 - セキュリティで保護されたバックアップ ストレージ
強力なバックアップ セキュリティは、バックアップ操作と復元操作全体の暗号化とネットワーク セキュリティに依存します。 Azure Backupは、これらのプロセス中にデータの整合性を検証し、検証が失敗したときに通知します。 次の主な機能により、セキュリティがさらに強化され、バックアップをより詳細に制御できます。
- バックアップ データの暗号化: 暗号化キーを制御するためのカスタマー マネージド キー (CMK) のオプションを含め、保存時および転送中のバックアップ データを暗号化で保護します。
- バックアップ データ転送用のプライベート エンドポイント: バックアップ ストレージへのセキュリティで保護されたプライベート接続を提供し、保護されたネットワーク境界内でデータ転送を維持します。
バックアップ データの暗号化
暗号化により、バックアップ データは保存時と転送中の両方で保護されます。 Azure Backupでは、すべてのバックアップ データが既定でMicrosoftマネージド キーで暗号化されます。 コンテナー内のすべてのデータは、Federal Information Processing Standards (FIPS) 140-2 に準拠した 256 ビット Advanced Encryption Standard (AES) 暗号化で保存時に暗号化されます。 HTTPS およびトランスポート層セキュリティ (TLS) 1.2 以降を介した通信とデータ転送はすべて、転送中のデータが暗号化され、Azure ネットワーク内に残ります。 Azure Backupでは、OS/データ ディスクが Azure Disk Encryption (ADE) で暗号化されているAzure 仮想マシン (VM) のバックアップと復元もサポートされています。
キーのローテーションとライフサイクルを構成して暗号化キーを制御したり、暗号化用に独自のキーを持ち込んだりするには、バックアップ データの暗号化に Customer-Managed キー (CMK) を使用します。 CMK を有効にする方法の詳細を確認します。
ベスト プラクティスとして:
コンテナーでマルチユーザー承認を有効にすることで、MUA を使用して CMK 関連の変更を保護します。 この機能により、バックアップ共同作成者のアクセス許可を持つユーザーは、承認なしで暗号化キーまたは関連付けられているマネージド ID を変更できなくなります。 MUA は、Microsoftマネージド キーから CMK への切り替え、CMK 暗号化設定の変更などの重要な操作を保護します。
ストレージ層でのデュアル暗号化のコンプライアンス要件を満たすために、コンテナーの作成時にインフラストラクチャ暗号化を有効にします。 インフラストラクチャの暗号化は、作成時にのみ適用されます。 データソースのバックアップ コピーがコンテナーに格納されている場合、暗号化の種類を有効にすることはできません。
バックアップ データの暗号化について詳しくは、こちらをご覧ください。
バックアップ データ転送用のプライベート エンドポイント
プライベート エンドポイントは、バックアップ ストレージへのセキュリティで保護されたプライベート接続を提供し、保護されたネットワーク境界内でデータ転送を維持します。 各プライベート エンドポイントは、Azure Virtual Network (VNet) の 1 つ以上のプライベート IP アドレスを使用します。これにより、バックアップ サービスが VNet に直接取り込まれます。 このアプローチにより、パブリック インターネットへの露出を最小限に抑え、不正アクセスやデータ侵害のリスクを軽減します。 Azure Backupのプライベート エンドポイントの詳細について説明します。
Azure VM の場合、すべての通信とデータ転送は Azure ファブリック経由で行われるため、ファイアウォールの例外は必要ありません。 Azure VM 上で実行されているデータベースとオンプレミス サーバーの場合、プライベート エンドポイントを使用すると、バックアップと復元の操作のためにセキュリティで保護されたネットワーク接続が有効になります。
Azure Backupのプライベート エンドポイント (v2 エクスペリエンス) を作成および管理する方法について説明します。
柱 3 - データの回復可能性
バックアップ データの回復可能性は、ビジネス継続性を維持し、データ損失インシデント時のダウンタイムを最小限に抑えるために重要です。 イミュータブル ボールトは、セキュリティ侵害時であってもバックアップ データを削除や変更から保護します。一方で、ソフト削除は、偶発的または悪意のある削除が行われた場合でも、バックアップ データの能動的な復旧を可能にします。 このセクションでは、バックアップ データが必要なときに回復可能な状態を維持するのに役立つ機能について説明します。
- バックアップ データの不変性: 破壊的操作を防ぐために、書き込み 1 回、読み取り多 (WORM) ストレージ、コンテナー ロックの状態を適用することで、バックアップ データを削除または変更から保護します。
- バックアップ データの完全な削除保護のための論理的な削除: 削除されたバックアップ データを構成可能な期間保持し、偶発的または悪意のある削除からの復旧を可能にします。
- バックアップ データ保護のデータ冗長性: ハードウェア障害やリージョンの障害からバックアップ データを保護するための複数のデータ冗長オプションをサポートします。
- バックアップ データ復旧のためのクロス サブスクリプション復元: プライマリ サブスクリプションが侵害または信頼されていない場合に、分離されたサブスクリプションへのバックアップ データの復旧を有効にします。
バックアップ データの不変性
不変コンテナーを使用すると、バックアップ データが格納されると、定義された保持期間が経過するまで削除がブロックされます。 この保護により、データの整合性が維持され、内部と外部の両方の脅威からバックアップが保護されます。 不変ボールトでは、リテンション期間の短縮、バックアップの停止、バックアップ データの削除などの破壊的な操作も防止します。
不変性は 2 つの層に適用されます。1 つはストレージ層で、一度書き込むと何度でも読み取り可能な（WORM）保護により実現され、もう 1 つは管理層で、2 つのボールト ロック状態（Enabled と Locked）により実現されます。 [有効] 状態では、バックアップ共同作成者は、リテンション期間の調整やバックアップの停止など、運用上の柔軟性が必要な場合に不変性を無効にすることができます。 ロック状態では、不変性は元に戻すことができなくなります。これにより、バックアップ データが破棄されるのを防ぎ、基になるストレージに WORM 保護が自動的に適用されます。 WORM ベースのストレージのコンプライアンス要件を持つ組織は、ロックされた状態で不変性を使用する必要があります。
次の図は、ロック状態のイミュータブル ボールトを使用したデータ保護のワークフローを示しています。
ベスト プラクティスとして:
不変性はコンテナー レベルで適用されるため、不変性をロックする前に、保護されているすべての項目とバックアップ ポリシーを確認してください。 不変性をロックした後は、バックアップ ポリシーで定義されている保持期間を変更したり、構成された保持期間の有効期限が切れる前にバックアップ データを削除したりすることはできません。
バックアップ ポリシーが未定義のままである場合や、バックアップ データを削除する必要が予想される場合など、柔軟性が必要な場合は、不変性を有効な状態に保ちます。 この状態により、バックアップ共同作成者は保護された項目のバックアップ ポリシーを調整できます。 ボールト上でマルチユーザー承認 (MUA) を使用すると、必要な場合にのみ、不変性を一時的に無効にできるように選択的に許可できます。
ユーザーがバックアップ データやコンテナーを削除できないため、不変性をロックして、侵害された資格情報や内部関係者の脅威から運用データを保護します。 また、ロックされた不変性により、サブスクリプションの取り消しも防止されます。Azureでは、取り消しの前にすべてのリソースを削除する必要があるガードレールが適用され、不変性がブロックされます。
バックアップ データの完全な削除保護のための論理削除
論理的な削除は、偶発的または悪意のある削除後にバックアップ データを回復するのに役立ちます。 このサービスは、削除されたバックアップ データを最大 180 日間 (既定では 14 日間) 保持します。この期間、バックアップ共同作成者は必要に応じて復元できます。 この保護により、意図しないアクションによって引き起こされる永続的なデータ損失を防ぐことができます。
ベスト プラクティスとして、論理的な削除の保持期間を 35 日以上に設定するか、バックアップ ポリシーの保持期間に合わせます。 これにより、削除されたバックアップ データは、ポリシーの保持期間と同じ期間ソフト削除状態のままとなり、復旧可能な状態が維持されます。
バックアップ データ保護のためのデータ冗長性
Azure Backupでは、ローカル冗長ストレージ (LRS)、ゾーン冗長ストレージ (ZRS)、geo 冗長ストレージ (GRS) など、複数のデータ冗長オプションがサポートされます。 LRS は、プライマリ リージョンの 1 つのデータセンター内でバックアップ データを 3 回レプリケートします。 ZRS は、可用性ゾーン間でバックアップ データをレプリケートすることで、データ所在地を維持し、同じリージョン内の回復性を向上させます。 GRS は、リージョン全体の停止から保護するために、バックアップ データをセカンダリ リージョンにレプリケートします。
ベスト プラクティスとして:
Azure Backupは Recovery Services コンテナーと Backup コンテナーの両方のゾーン冗長サービスとして動作するため、コンテナーの作成時にゾーン冗長ストレージ (ZRS) を選択します。 この冗長性により、ゾーン障害が発生している間もボールトは稼働を維持します。
厳密なデータ分離が必要な場合は、geo 冗長ストレージ (GRS) を選択します。 バックアップ データのセカンダリ コピーは別のリージョンに存在し、リージョン全体の障害に対する保護を提供します。
3-2-1-1 バックアップ戦略を適用するには、データの 3 つのコピー (1 つの運用と 2 つのバックアップ) を保持し、2 つの異なるメディアの種類に格納し、1 つのコピーをオフサイトに保持し、1 つの不変バックアップと分離バックアップを保持します。 このワークフローにより、ランサムウェアの脅威に対する保護が強化されます。
次のバックアップ保護ワークフローは、Azure Backupが VM データ保護をAzureするための 3-2-1-1 メカニズムを実装する方法を示しています。
Azure VM はプライマリ データ コピーをホストしますが、Azure Backupは Recovery Services コンテナー内の最初のバックアップ コピーを保持します。 Recovery Services コンテナー内のバックアップ データには Azure Blob Storage が使用され、このストレージでは、イミュータビリティを有効にしてロックすることで、有効期限が切れる前の削除や保持期間の短縮を防ぐことができます。 マルチユーザー承認 (MUA) は、ボールトに対する重要な操作を承認ベースで制御することで、セキュリティをさらに強化します。
分離された 2 つ目のバックアップ コピーは、geo 冗長ストレージ (GRS) による回復性を追加します。 このメカニズムは、バックアップ データを物理的に分離されたセカンダリ リージョンにレプリケートし、プライマリ環境から強力に分離します。 異なるメディアの種類に分ける必要があるシナリオでは、テープ上のオフライン バックアップ コピーにより分離と保護が強化されます。
Azure Backupは、運用環境のバックアップ関連のセキュリティの構成を推奨するAzure AdvisorおよびMicrosoft Defender for Cloudと統合されます。 これらの推奨事項は、両方のサービスの [セキュリティ ] セクションにあります。
Recovery Services コンテナーと Backup コンテナーのAzure Backupのストレージ冗長の種類の詳細について説明します。
バックアップ データ復旧のためのサブスクリプション間復元
サブスクリプションが侵害された場合、またはプライマリ サブスクリプションの信頼を失った場合は、サブスクリプション間の復元を使用して、同じテナント内の分離されたサブスクリプションにデータを回復します。 この機能を使用すると、RBAC 制御を受け入れながら、新しい VM を作成するか、Azure Backup復元ポイントから許可されたサブスクリプションにディスクを復元することで、Azure仮想マシンを復元できます。
復元操作では機密データを公開できるため、マルチユーザー承認 (MUA) の下で復元操作とサブスクリプション間復元アクションを重要な操作として分類します。 この制御により、セキュリティ管理者はバックアップ データにアクセスして復元できます。
Recovery Services コンテナーと Backup コンテナーのAzure Backupに対してサブスクリプション間の復元を有効にする方法について説明します。
柱 4 - バックアップ ガバナンス
効果的なデータ ガバナンスと管理は、バックアップ データのセキュリティ、コンプライアンス、整合性を理解するのに役立ちます。 このセクションでは、明確な可視性を提供し、バックアップ データのセキュリティを強化するのに役立つ主な機能について説明します。
- ビジネス継続性とディザスター リカバリー (BCDR) セキュリティ体制: 保護された項目のセキュリティを評価し、不変性、論理的な削除、マルチユーザー承認などのセキュリティコントロールの存在に基づいて 4 つのレベルに分類します。
- バックアップ データ保護のAzure ポリシー: 不変性、論理的な削除、プライベート エンドポイントの使用など、バックアップ データソースのセキュリティ機能を監査および適用するための組み込みのAzure Policy定義を提供します。
- バックアップ データのセキュリティを監視するためのセキュリティ アラートとレポート: 組み込みのアラートと、Azure Monitorログとブックを介した包括的なレポートを使用して、バックアップ環境のセキュリティ状態をリアルタイムで可視化できます。
ビジネス継続性とディザスター リカバリーのセキュリティ体制
回復性サービスの一部であるビジネス継続性とディザスター リカバリー (BCDR) セキュリティ体制は、環境全体のバックアップ データのセキュリティ制御を評価して適用するのに役立ちます。 保護された項目のセキュリティは、4 つの異なるレベルに分類されます。
次の表は、これらのセキュリティ レベルとそれに関連する要件の概要を示しています。
| セキュリティ レベル | Description | 要求事項 |
|---|---|---|
| 非常に良い | すべてのバックアップは、偶発的な削除やランサムウェア攻撃から保護されます。 | 不変性または論理削除のコンテナー設定が、有効で解除できない (ロック/常時オン) ようになっている必要があります。 マルチユーザー認可 (MUA) が、コンテナーで有効にされている必要があります。 |
| よし | 既存のバックアップは偶発的な削除から保護され、データ復旧の可能性が高くなります。 | ロック付きの不変性またはソフト削除を有効にする必要があります。 |
| 普通 | 重要なバックアップ操作はすべて、追加の保護レイヤーを取得します。 | vault で MUA を有効にする必要があります。 |
| 悪い | 偶発的な削除に対する基本的な保護のみ。 | 高度な保護機能も、元に戻せる機能のみが有効になっていません。 |
ベスト プラクティスとして、セキュリティ スコアとセキュリティ レベルを使用して、バックアップ項目の保護のギャップを特定することで、BCDR のセキュリティ体制を定期的に評価し、改善します。 Azure Backupで保護されているすべての運用項目が、全体的なセキュリティ体制を強化するために、適切または優れたセキュリティ レベルを維持していることを確認します。 コンテナーで不変性、論理削除、マルチユーザー承認 (MUA) を有効にすることで、これらのセキュリティ レベルを向上させます。
バックアップ データ保護のAzure ポリシー
Azure Policy は、組織の標準を適用してコンプライアンスを大規模に評価するのに役立ちます。 Azure Backupでは、複数の監査ポリシーと変更可能なエイリアスがサポートされています。これは、バックアップ項目のコンプライアンスを評価し、必要に応じてカスタム ポリシーを展開するために使用できます。 次の表に、バックアップ ワークロードのセキュリティ機能を適用するために使用できるAzure Policy定義を示します。
| Policy | エフェクツ |
|---|---|
| バックアップ ボルトに対してイミュータビリティを有効にする必要があります | Audit |
| Recovery Services コンテナーに対して不変性を有効にする必要がある | Audit |
| Recovery Services コンテナーでは、マルチユーザー承認 (MUA) を有効にする必要があります | Audit |
| バックアップ コンテナーに対してマルチユーザー承認 (MUA) を有効にする必要がある | Audit |
| バックアップ ボールトではソフト削除を有効にする必要がある | Audit |
| Recovery Services コンテナーで論理削除を有効にする必要があります | Audit |
| Azure Recovery Services コンテナーでは、バックアップ用にプライベート リンクを使用する必要があります | Audit |
| Azure Recovery Services コンテナーでは、パブリック ネットワーク アクセスを無効にする必要があります | 監査、変更 |
| バックアップにプライベート DNS ゾーンを使用するように Recovery Services コンテナーを構成する | 食事 |
| バックアップにプライベート エンドポイントを使用するように Recovery Services コンテナーを構成する | 食事 |
| Azure Recovery Services コンテナーでは、バックアップ データの暗号化にカスタマー マネージド キーを使用する必要があります | Audit |
バックアップ データのセキュリティを監視するためのセキュリティ アラートとレポート
セキュリティ アラートを使用すると、バックアップ環境のセキュリティ状態をリアルタイムで把握でき、疑わしいアクティビティを迅速に検出できます。 組み込みのアラートでは、論理的な削除が有効なコンテナーでのデータの削除や、保持期間が短縮された保護の変更などのイベントがすぐに通知されます。追加の構成やカスタム アラートの作成は必要ありません。 コンテナーのプロパティで監視設定を有効にすると、Azure Backup で保護されたデータ ソースの監視 に一覧表示されているセキュリティ アラートを自動的に受信します。
また、セキュリティ アラートがトリガーされたときに、音声通話、ショート メッセージ サービス (SMS)、または電子メールを介して通知を受信するようにアクション グループを構成することもできます。 Azure Monitorアクション グループの詳細を確認します。 Azure Backup レポートは、診断ログにカスタム クエリを記述できるようにすることで、バックアップ資産の正常性を分析するのに役立ちます。 Azure Backup では、Azure Monitor ログ と Azure Workbooks を使用して、バックアップ環境全体にわたる包括的な分析情報を提供します。
Azure Backup レポートを構成する方法について説明します。
データ保護のベスト プラクティスの概要
各セキュリティ機能に推奨されるベスト プラクティスを採用することで、ランサムウェアの準備と対応が強化されます。 このアプローチにより、ランサムウェアのリスクが軽減され、潜在的な影響が制限され、運用バックアップ データソースのセキュリティ体制が向上します。