Azure Backup aanbevolen beveiligingsprocedures voor het beveiligen van back-upgegevens

Ransomware vormt een ernstig risico door hoge herstelkosten en operationele onderbrekingen te stimuleren, waardoor preventie en snel herstel essentieel zijn voor bedrijfstolerantie. Veilige back-ups fungeren als de laatste verdedigingslinie, waardoor kosteneffectief gegevensherstel mogelijk is zonder losgeld te betalen of langdurige downtime te hebben.

Microsoft prioriteit geeft aan cyberveiligheid. Azure beveiligingsbasislijnen zijn afgestemd op industriestandaarden zoals Center for Internet Security (CIS) en National Institute of Standards and Technology (NIST). De Microsoft Cloud Security Benchmark (MCSB) definieert deze basislijnen. McSB biedt prescriptieve richtlijnen voor het beveiligen van workloads, gegevens en services in Azure en omgevingen met meerdere clouds. Het controlegebied back-up en herstel benadrukt geconfigureerde, geïsoleerde en bewaakte back-ups om te beschermen tegen ransomware en destructieve aanvallen.

In dit artikel wordt beschreven hoe Azure Backup organisaties helpt bij het beveiligen van back-upgegevens, het verminderen van het ransomware-risico en het garanderen van betrouwbaar herstel tijdens beveiligingsincidenten. Azure Backup is een veilige, rendabele service die een breed scala aan workloads beveiligt en gegevens opslaat in Recovery Services-kluizen en Backup-kluizen. Ingebouwde beveiligings-, versleutelings-, bewakings- en opslagreplicatie voor Azure Backup u helpen bij het handhaven van de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens. Met afstemming op het Secure Future Initiative van Microsoft bevat Azure Backup mogelijkheden zoals autorisatie voor meerdere gebruikers, onveranderbaarheid, voorlopig verwijderen, privé-eindpunten, beveiligingswaarschuwingen en rapportage. Deze mogelijkheden creëren een logische air gap en maken continue monitoring van de beveiligingsstatus van back-ups mogelijk.

Azure Backup helpt back-upgegevens te beveiligen via vier kernbeveiligingspijlers:

• Access Control: hiermee kunt u bepalen wie toegang heeft tot uw back-upgegevens
• Beveiligde back-upopslag: Back-ups van gegevens veilig uitvoeren en opslaan
• Herstelbaarheid van gegevens: zorg ervoor dat de BCDR-gegevens veilig en herstelbaar zijn
• Back-upgovernance: BCDR-gegevens beheren, bewaken en bedreigingen erin detecteren

In het volgende diagram ziet u de aanbevolen beveiligingsprocedures voor de BCDR-gegevens (bedrijfscontinuïteit en herstel na noodgevallen) van een organisatie in de vier pijlers:

Pijler 1 - Toegangsbeheer

Effectieve back-upbeveiliging is afhankelijk van sterk toegangsbeheer en het afdwingen van minimale bevoegdheden om back-upgegevens en -bewerkingen te beveiligen. In deze sectie worden de Azure Backup mogelijkheden beschreven die ondersteuning bieden voor toegangsbeheer.

• Meervoudige verificatie (MFA): voegt een extra beveiligingslaag toe door meer verificatie te vereisen tijdens het aanmelden, waardoor het risico op onbevoegde toegang wordt verminderd.
• Azure op rollen gebaseerd toegangsbeheer (Azure RBAC):hiermee kunt u definiëren wie toegang heeft tot Azure resources, welke acties ze kunnen uitvoeren en het bereik van die toegang om machtigingen met minimale bevoegdheden af te dwingen.
• Multiuser-autorisatie (MUA):voegt een extra beveiligingslaag toe voor kritieke bewerkingen op Recovery Services-kluizen en Backup-kluizen door expliciete goedkeuring van een beveiligingsbeheerder te vereisen.

Meervoudige verificatie (MFA)

Meervoudige verificatie (MFA) voegt een extra beveiligingslaag toe door meer verificatie te vereisen tijdens het aanmelden. Door een tweede factor af te dwingen, vermindert u het risico op onbevoegde toegang, omdat aanvallers deze verificatie niet eenvoudig kunnen verkrijgen of repliceren. MFA beschermt de toegang tot Azure Backup en back-upgegevens, zelfs wanneer gebruikersreferenties worden aangetast. Azure Backup ondersteunt veilig beheerde, phishingbestendige MFA om gebruikersaccounts te beschermen. MFA wordt nu afgedwongen voor alle aanmeldingen van Azure portal en wordt uitgebreid naar PowerShell-, CLI- en hulpprogramma's voor infrastructuur als code. Zie voor meer informatie:

• Update over MFA-vereisten voor Azure aanmelding - Microsoft Community Hub.
• Overzicht van MFA.
• MFA inschakelen.

Maak als best practice twee of meer accounts voor toegang tot noodgevallen. Met deze actie helpt u het risico te beperken dat u geen toegang meer hebt tot uw Microsoft Entra-organisatie wanneer beheerdersaanmelding of uw accountactivering niet beschikbaar is. Meer informatie over het beheren van beheerdersaccounts voor noodtoegang. Microsoft Entra ID raadt ook aanbevolen procedures aan voor alle isolatieconfiguraties. Meer informatie over Microsoft Entra ID best practices.

Op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC)

Azure op rollen gebaseerd toegangsbeheer (Azure RBAC) kunt u bepalen wie toegang heeft tot Azure resources, welke acties ze kunnen uitvoeren en het bereik van die toegang. Door machtigingen met minimale bevoegdheden af te dwingen, vermindert u het risico op onbedoelde of schadelijke wijzigingen in de back-upomgeving, terwijl gebruikers alleen de toegang hebben die nodig is om hun taken uit te voeren. Meer informatie over het gebruik van Azure RBAC voor het beheren van back-upgegevens in Azure Backup.

Azure Backup biedt de volgende ingebouwde rollen voor het beheren van back-upbeheerbewerkingen:

In het volgende diagram wordt uitgelegd hoe verschillende Azure ingebouwde rollen werken.

In het diagram ziet u hoe ingebouwde rollen verschillende toegangsbereiken definiëren voor back-upgegevens voor vier gebruikers.

• Gebruiker2 en Gebruiker3 zijn Back-uplezers en hebben de machtiging om alleen de back-ups te bewaken en de back-upservices weer te geven. In termen van het bereik van de toegang heeft Gebruiker2 alleen toegang tot de resources van Abonnement1 en Gebruiker3 heeft alleen toegang tot de resources van Abonnement2,
• Gebruiker4 is een back-upoperator en heeft de machtiging om back-up in te schakelen, back-up op aanvraag te activeren, herstelbewerkingen te activeren, samen met de mogelijkheden van een back-uplezer. In dit scenario is het bereik echter beperkt tot Abonnement2.
• Gebruiker1 is een inzender voor back-ups en heeft de machtiging om kluizen te maken, back-upbeleid te maken/te wijzigen/te verwijderen en back-ups te stoppen, samen met de mogelijkheden van een back-upoperator. In dit scenario is het bereik echter beperkt tot Abonnement1.

Als beste werkwijzen:

• Gebruik aangepaste rollen in Azure RBAC om machtigingen te definiëren die overeenkomen met specifieke taakverantwoordelijkheden en continu toegang met minimale bevoegdheden binnen de organisatie afdwingen. Meer informatie over de Azure-beheer- en governancemachtigingen voor het maken van aangepaste rollen.

• Wijs rollen alleen toe op het benodigde bereik (abonnement, resourcegroep of resource) om te voorkomen dat ruimere toegang wordt verleend dan nodig is, en wijs nooit machtigingen toe op het hoofdniveau van de tenant, tenzij dit expliciet vereist is.

Autorisatie voor meerdere gebruikers (MUA)

MuA (Multiuser Authorization) voegt een extra beveiligingslaag toe voor kritieke bewerkingen op Recovery Services-kluizen en Backup-kluizen. Gebruik een Azure resource met de naam Resource Guard om ervoor te zorgen dat bevoegde bewerkingen alleen worden uitgevoerd met expliciete goedkeuring. Beheerders met verhoogde rollen, zoals abonnementseigenaren of RBAC-beheerders, kunnen anders back-upgegevens verwijderen of beveiligingscontroles uitschakelen, opzettelijk of via aangetaste referenties. Wanneer u MUA op een kluis inschakelt, is voor elke destructieve of ingrijpende bewerking goedkeuring van een beveiligingsbeheerder vereist, waardoor het risico op gegevensverlies en beveiligingsinbreuken afneemt.

MuA (Multiuser Authorization) beveiligt kritieke bewerkingen, zoals onveranderbaarheid uitschakelen, wijzigingen in back-upbeleid, herstelacties en updates van versleutelingsinstellingen. Als u MUA niet inschakelt, kan elke aangetaste gebruiker met toegang tot Back-upbijdrager deze bewerkingen uitvoeren en gegevensverlies veroorzaken, dus moet u MUA inschakelen in de kluis om de beveiliging te versterken.

Als beste werkwijzen:

• Maak Resource Guard in een andere tenant dan de primaire tenant die als host fungeert voor productie. Resource Guard maximaliseert de isolatie van machtigingen en voorkomt overname van toegang op groepsniveau op Resource Guard. Deze mogelijkheid zorgt ervoor dat gecompromitteerde referenties in de primaire tenant geen kritieke bewerkingen met MUA-beveiliging kunnen uitvoeren, tenzij een beveiligingsbeheerder in de secundaire tenant deze expliciet goedkeurt. Het dwingt controle tussen tenants af voor kritieke back-upbewerkingen. Meer informatie over het maken van Resource Guard in een andere tenant en het toevoegen van MUA.

• Gebruik Microsoft Entra Privileged Identity Management (PIM) voor tijdelijke toegang tot kritieke bewerkingen door alleen de rol Back-up MUA-operator toe te wijzen aan de Resource Guard. Deze rol voorkomt verwijderingsmachtigingen, dwingt minimale bevoegdheden af en zorgt voor Just-In-Time-toegang. Stel altijd begin- en einddatums in voor roltoewijzingen en controleer regelmatig actieve toewijzingen om onbedoelde of langdurige toegang te voorkomen. Meer informatie over het toewijzen van gebruikersmachtigingen met PIM.

Meer informatie over MuA (Multiuser Authorization) voor Azure Backup.

Pijler 2 - Beveiligde back-upopslag

Sterke back-upbeveiliging is afhankelijk van versleuteling en netwerkbeveiliging voor back-up- en herstelbewerkingen. Azure Backup valideert de gegevensintegriteit tijdens deze processen en meldt u wanneer de validatie mislukt. De volgende belangrijke functies versterken de beveiliging en bieden meer controle over back-ups.

• Versleuteling van back-upgegevens: Beschermt back-upgegevens in rust en tijdens overdracht met versleuteling, inclusief opties voor door de klant beheerde sleutels (CMK's) waarmee versleutelingssleutels kunnen worden beheerd.
• Privé-eindpunten voor back-upgegevensoverdracht: biedt beveiligde, privéconnectiviteit met back-upopslag en bewaart gegevensoverdracht binnen een beveiligde netwerkgrens.

Versleuteling van back-upgegevens

Versleuteling zorgt ervoor dat back-upgegevens zowel at-rest als in transit worden beveiligd. Met Azure Backup worden al uw back-upgegevens standaard versleuteld met Microsoft beheerde sleutels. Alle gegevens in kluizen worden in rust versleuteld met 256-bits AES-versleuteling (Advanced Encryption Standard) die compatibel is met FIPS 140-2 (Federal Information Processing Standards). Alle communicatie en gegevensoverdracht via HTTPS en Transport Layer Security (TLS) 1.2+ om ervoor te zorgen dat gegevens tijdens overdracht worden versleuteld en binnen Azure netwerk blijven. Azure Backup ondersteunt ook back-up en herstel van Azure Virtuele Machines (VM's) die hun besturingssysteem/gegevensschijven hebben versleuteld met Azure Disk Encryption (ADE).

Als u controle wilt houden over de versleutelingssleutel door sleutelrotatie en de levenscyclus te configureren, of uw eigen sleutels voor versleuteling wilt gebruiken, gebruikt u Customer-Managed Keys (CMK) voor de versleuteling van de back-upgegevens. Meer informatie over het inschakelen van CMK.

Als beste werkwijzen:

• Beveilig CMK-gerelateerde wijzigingen met MUA door multiuser-autorisatie in te schakelen voor de kluis. Met deze functie voorkomt u dat gebruikers met machtigingen voor inzender voor back-ups versleutelingssleutels of de bijbehorende beheerde identiteit wijzigen zonder goedkeuring. MUA beschermt kritieke bewerkingen, zoals het overschakelen van Microsoft beheerde sleutels naar CMK en het wijzigen van CMK-versleutelingsinstellingen.

• Schakel infrastructuurversleuteling bij het maken van de kluis in om te voldoen aan de nalevingsvereisten voor dubbele versleuteling op de opslaglaag. Infrastructuurversleuteling is alleen van toepassing tijdens het maken. U kunt het versleutelingstype niet inschakelen wanneer de back-upkopieën van de gegevensbron in de kluis worden opgeslagen.

Meer informatie over versleuteling van back-upgegevens.

Privé-eindpunten voor back-upgegevensoverdracht

Privé-eindpunten bieden beveiligde, privéconnectiviteit voor back-upopslag en bewaren van gegevensoverdracht binnen een beveiligde netwerkgrens. Elk privé-eindpunt maakt gebruik van een of meer privé-IP-adressen van uw Azure Virtual Network (VNet), waarmee de back-upservice rechtstreeks in uw VNet wordt geplaatst. Deze aanpak minimaliseert de blootstelling aan het openbare internet en vermindert het risico op onbevoegde toegang of gegevensschendingen. Meer informatie over privé-eindpunten voor Azure Backup.

Voor Azure VM's vindt alle communicatie en gegevensoverdracht plaats via de Azure-infrastructuur, dus er zijn geen firewall-uitzonderingen vereist. Voor databases die worden uitgevoerd op Azure VM's en voor on-premises servers, maken privé-eindpunten beveiligde netwerkconnectiviteit mogelijk voor back-up- en herstelbewerkingen.

Meer informatie over het maken en beheren van privé-eindpunten (met v2-ervaring) voor Azure Backup.

Pijler 3 - Herstelbaarheid van gegevens

Herstelbaarheid van back-upgegevens is essentieel voor het onderhouden van bedrijfscontinuïteit en het minimaliseren van downtime tijdens incidenten met gegevensverlies. Onveranderbare kluizen beschermen back-upgegevens tegen verwijdering of wijziging, zelfs tijdens beveiligingsinbreuken, terwijl voorlopig verwijderen ondersteuning biedt voor actief herstel van back-upgegevens van onbedoelde of schadelijke verwijderingen. In deze sectie vindt u een overzicht van de mogelijkheden waarmee u ervoor kunt zorgen dat back-upgegevens kunnen worden hersteld wanneer dat nodig is.

• Onveranderbaarheid voor back-upgegevens: beschermt back-upgegevens tegen verwijdering of wijziging door write-once, read-many (WORM) opslag- en kluisvergrendelingsstatussen af te dwingen om destructieve bewerkingen te voorkomen.
• Voorlopig verwijderen voor permanente verwijdering van back-upgegevens: behoudt verwijderde back-upgegevens gedurende een configureerbare periode, waardoor herstel van onbedoelde of schadelijke verwijderingen mogelijk is.
• Gegevensredundantie voor back-upgegevensbeveiliging: ondersteunt meerdere opties voor gegevensredundantie om back-upgegevens te beschermen tegen hardwarefouten en regionale storingen.
• Herstel tussen abonnementen voor herstel van back-upgegevens: Maakt herstel van back-upgegevens naar een geïsoleerd abonnement mogelijk wanneer het primaire abonnement gecompromitteerd is of niet wordt vertrouwd.

Onveranderbaarheid voor back-upgegevens

Onveranderbare kluizen zorgen ervoor dat wanneer back-upgegevens zijn opgeslagen, verwijdering wordt geblokkeerd totdat de gedefinieerde bewaarperiode verloopt. Met deze beveiliging blijft de gegevensintegriteit behouden en worden back-ups beschermd tegen zowel interne als externe bedreigingen. Onveranderbare kluizen blokkeren ook destructieve bewerkingen, zoals het verminderen van retentie, het stoppen van back-ups of het verwijderen van back-upgegevens.

Onveranderbaarheid is van toepassing op twee lagen: de opslaglaag via WORM-beveiliging (write-once, read-many) en de beheerlaag via twee kluisvergrendelingsstatussen: ingeschakeld en vergrendeld. In de status Ingeschakeld kan een inzender voor back-ups onveranderbaarheid uitschakelen wanneer operationele flexibiliteit is vereist, zoals het aanpassen van retentie of het stoppen van back-ups. In de vergrendelde status kan onveranderbaarheid ongedaan worden, waardoor EVENTUELE vernietiging van back-upgegevens wordt voorkomen en automatisch WORM-beveiliging wordt afgedwongen op de onderliggende opslag. Organisaties met nalevingsvereisten voor opslag op basis van WORM moeten onveranderbaarheid in de vergrendelde status gebruiken.

In het volgende diagram wordt de workflow voor gegevensbescherming met een onveranderbare kluis in vergrendelde status getoond.

Als beste werkwijzen:

• Controleer alle beveiligde items en back-upbeleidsregels voordat u de onveranderbaarheid vergrendelt, omdat de onveranderbaarheid op kluisniveau geldt. Nadat u onveranderbaarheid hebt vergrendeld, kunt u geen bewaarperioden wijzigen die zijn gedefinieerd in back-upbeleid of back-upgegevens verwijderen voordat de geconfigureerde bewaarperiode verloopt.

• Onveranderbaarheid behouden in de status Ingeschakeld wanneer flexibiliteit vereist is, zoals wanneer back-upbeleid niet gedefinieerd blijft of wanneer u verwacht dat back-upgegevens moeten worden verwijderd. Met deze status kan een inzender voor back-ups het back-upbeleid voor beveiligde items aanpassen. Gebruik Multi-User Authorization (MUA) op de kluis om selectief toe te staan dat de onveranderbaarheid tijdelijk wordt uitgeschakeld wanneer dat nodig is.

• Vergrendel de onveranderbaarheid om productiegegevens te beschermen tegen gecompromitteerde inloggegevens en interne bedreigingen, omdat geen enkele gebruiker back-updata of de kluis kan verwijderen. Vergrendelde onveranderbaarheid voorkomt ook dat het abonnement wordt geannuleerd, omdat Azure kaders afdwingt die verwijdering van alle resources vereisen voordat ze worden geannuleerd, waardoor onveranderbaarheid blokkeert.

Meer informatie over onveranderbaarheid voor back-upgegevens.

Soft delete voor bescherming van back-upgegevens tegen permanente verwijdering

Met voorlopig verwijderen kunt u back-upgegevens herstellen na onbedoelde of schadelijke verwijdering. De service bewaart verwijderde back-upgegevens gedurende een configureerbare periode van maximaal 180 dagen (standaard 14 dagen), die een inzender voor back-ups kan gebruiken om deze te herstellen wanneer dat nodig is. Deze beveiliging voorkomt permanent gegevensverlies veroorzaakt door onbedoelde acties.

Als aanbevolen procedure stelt u de bewaarperiode voor voorlopig verwijderen in op meer dan 35 dagen of lijnt u deze af met de bewaarperiode van uw back-upbeleid. Op deze manier blijven verwijderde back-upgegevens gedurende dezelfde periode als de retentieperiode van het beleid in de status Voorlopig verwijderd en blijven ze beschikbaar voor herstel.

Meer informatie over zacht verwijderen.

Gegevensredundantie voor back-upgegevensbeveiliging

Azure Backup ondersteunt meerdere opties voor gegevensredundantie, waaronder lokaal redundante opslag (LRS), zone-redundante opslag (ZRS) en geografisch redundante opslag (GRS). LRS repliceert drie keer back-upgegevens binnen één datacenter in de primaire regio. ZRS onderhoudt de gegevenslocatie en verbetert de tolerantie binnen dezelfde regio door back-upgegevens in beschikbaarheidszones te repliceren. GRS repliceert back-upgegevens naar een secundaire regio om te beschermen tegen storingen in de hele regio.

Als beste werkwijzen:

• Kies Zone-redundante opslag (ZRS) tijdens het maken van de kluis, omdat Azure Backup werkt als zone-redundante service voor zowel Recovery Services-kluizen als Backup-kluizen. Met deze redundantie blijft de kluis operationeel tijdens een zonegebonden storing.

• Selecteer Geografisch redundante opslag (GRS) wanneer strikte gegevensisolatie vereist is. Secundaire kopieën van back-upgegevens bevinden zich in een andere regio en bieden bescherming tegen storingen in de hele regio.

• Pas de back-upstrategie 3-2-1-1 toe door drie kopieën van gegevens (één productie en twee back-ups) te onderhouden, deze op twee verschillende mediatypen op te slaan en één kopie offsite samen met één onveranderbare en geïsoleerde back-up te bewaren. Deze werkstroom versterkt de beveiliging tegen ransomwarebedreigingen.

  In de volgende werkstroom voor back-upbeveiliging ziet u hoe Azure Backup het mechanisme 3-2-1-1 implementeert voor Azure VM-gegevensbeveiliging.

  1. De Azure-VM host de primaire gegevenskopie, terwijl Azure Backup de eerste back-upkopie in een Recovery Services-kluis onderhoudt. Back-upgegevens in de Recovery Services-kluis maken gebruik van Azure Blob-opslag, waar u onveranderbaarheid kunt inschakelen en vergrendelen om verwijdering of verkorting van de bewaartermijn vóór het verstrijken te voorkomen. Autorisatie door meerdere gebruikers (MUA) versterkt de beveiliging verder door op goedkeuring gebaseerde controle af te dwingen voor kritieke bewerkingen in de kluis.

  2. Een geïsoleerde tweede back-upkopie voegt tolerantie toe via geografisch redundante opslag (GRS). Dit mechanisme repliceert back-upgegevens naar een fysiek gescheiden secundaire regio en biedt een sterke isolatie van de primaire omgeving. Voor scenario's waarvoor scheiding tussen verschillende mediatypen is vereist, biedt een offline back-upkopie op tapes meer isolatie en bescherming.

  Azure Backup integreert met Azure Advisor en Microsoft Defender voor Cloud die de configuratie van back-upbeveiliging voor productieomgevingen aanbevelen. U vindt deze aanbevelingen in de sectie Beveiliging in beide services.

Meer informatie over opslagredundantietypen voor Azure Backup in Recovery Services-kluizen en Backup-kluis.

Abonnementoverschrijdend herstel van back-upgegevens

Als een abonnement wordt aangetast of als u de vertrouwensrelatie in het primaire abonnement verliest, gebruikt u herstel tussen abonnementen om gegevens te herstellen naar een geïsoleerd abonnement binnen dezelfde tenant. Met deze mogelijkheid kunt u Azure virtuele machines herstellen door nieuwe VM's te maken of schijven te herstellen vanaf Azure Backup herstelpunten naar elk toegestaan abonnement, terwijl RBAC-besturingselementen worden uitgevoerd.

Omdat herstelbewerkingen gevoelige gegevens kunnen blootstellen, kunt u herstel- en herstelacties voor meerdere abonnementen classificeren als kritieke bewerkingen onder MUA (Multi-User Authorization). Dit besturingselement zorgt ervoor dat beveiligingsbeheerders back-upgegevens kunnen openen en herstellen.

Meer informatie over het inschakelen van herstel tussen abonnementen voor Azure Backup in Recovery Services-kluis en Backup-kluis.

Pijler 4 – Back-upbeheer

Effectieve gegevensbeheer en -beheer helpen u inzicht te hebben in de beveiliging, naleving en integriteit van uw back-upgegevens. In deze sectie vindt u een overzicht van de belangrijkste functies die een duidelijke zichtbaarheid bieden en waarmee u de beveiliging van back-upgegevens kunt verbeteren.

• Beveiligingspostuur voor bedrijfscontinuïteit en herstel na noodgevallen (BCDR): evalueert de beveiliging van beveiligde items en categoriseert deze in vier niveaus op basis van de aanwezigheid van beveiligingscontroles, zoals onveranderbaarheid, voorlopig verwijderen en autorisatie voor meerdere gebruikers.
• Azure-beleid voor back-upgegevensbeveiliging: biedt ingebouwde Azure Policy definities voor het controleren en afdwingen van beveiligingsfuncties voor back-upgegevensbronnen, zoals onveranderbaarheid, voorlopig verwijderen en privé-eindpuntgebruik.
• Beveiligingswaarschuwingen en -rapporten voor het bewaken van de beveiliging van back-upgegevens: biedt realtime inzicht in de beveiligingsstatus van uw back-upomgeving met ingebouwde waarschuwingen en uitgebreide rapportage via Azure Monitor logboeken en werkmappen.

Bedrijfscontinuïteit en beveiligingspostuur voor herstel na noodgevallen

De beveiligingspostuur voor bedrijfscontinuïteit en herstel na noodgevallen (BCDR), onderdeel van de Resiliency-service, helpt u bij het beoordelen en toepassen van beveiligingscontroles voor back-upgegevens in uw omgeving. Hiermee categoriseert u de beveiliging van beveiligde items in vier verschillende niveaus.

De volgende tabel bevat een overzicht van deze beveiligingsniveaus en de bijbehorende vereisten:

Als best practice evalueert en verbetert u regelmatig uw BCDR-beveiligingspostuur met behulp van beveiligingsscores en beveiligingsniveaus om hiaten in de beveiliging van uw back-upitems te identificeren. Zorg ervoor dat alle productie-items die zijn beveiligd met Azure Backup goede of uitstekende beveiligingsniveaus handhaven om uw algehele beveiligingspostuur te versterken. Verbeter deze beveiligingsniveaus door onveranderbaarheid, soft delete en autorisatie door meerdere gebruikers (MUA) voor uw kluizen in te schakelen.

Azure-beleid voor back-upgegevensbeveiliging

Met Azure Policy kunt u organisatiestandaarden afdwingen en naleving op schaal beoordelen. Azure Backup ondersteunt meerdere controlebeleidsregels en wijzigbare aliassen die u kunt gebruiken om naleving van back-upitems te evalueren en aangepaste beleidsregels te implementeren wanneer dat nodig is. De volgende tabel bevat de Azure Policy definities die u kunt gebruiken om beveiligingsfuncties af te dwingen voor uw back-upworkloads.

Beveiligingswaarschuwingen en -rapporten voor het bewaken van back-upgegevensbeveiliging

Met beveiligingswaarschuwingen krijgt u realtime inzicht in de beveiligingsstatus van uw back-upomgeving en kunt u snel verdachte activiteiten detecteren. Ingebouwde waarschuwingen waarschuwen u direct voor gebeurtenissen zoals het verwijderen van gegevens in een kluis waarvoor soft delete is ingeschakeld of beveiligingswijzigingen met een verminderde bewaartermijn, zonder dat extra configuratie nodig is of aangepaste waarschuwingen hoeven te worden gemaakt. Wanneer u monitorinstellingen inschakelt in de kluiseigenschappen, ontvangt u automatisch de beveiligingswaarschuwingen die worden vermeld in Monitor Azure Backup beveiligde gegevensbronnen.

U kunt ook een actiegroep configureren voor het ontvangen van meldingen via spraakoproepen, Korte berichtenservice (SMS) of e-mail wanneer een beveiligingswaarschuwing wordt geactiveerd. Meer informatie over Azure Monitor actiegroepen. Azure Backup rapporten helpen u bij het analyseren van de status van uw back-upomgeving door u toe te staan aangepaste query's te schrijven in diagnostische logboeken. Azure Backup maakt gebruik van Azure Monitor logboeken en Azure werkmappen om u uitgebreide inzichten te geven in uw hele back-upomgeving.

Meer informatie over het configureren van Azure Backup rapporten.

Samenvatting van best practices voor gegevensbescherming

Acceptatie van aanbevolen best practices voor elke beveiligingsmogelijkheid versterkt de gereedheid en reactie van ransomware. Deze aanpak vermindert ransomwarerisico's, beperkt potentiële impact en verbetert de beveiligingspostuur van uw productieback-upgegevensbronnen.

Verwante inhoud

Overzicht van beveiligingsfuncties in Azure Backup.