Najlepsze praktyki zabezpieczeń usługi Azure Backup dotyczące ochrony danych kopii zapasowych

Ransomware stanowi poważne zagrożenie, ponieważ generuje wysokie koszty przywracania działania i zakłócenia działalności operacyjnej, co sprawia, że zapobieganie i szybkie odzyskiwanie sprawności mają kluczowe znaczenie dla odporności przedsiębiorstwa. Bezpieczne kopie zapasowe stanowią ostatnią linię obrony, umożliwiając ekonomiczne odtworzenie danych bez płacenia okupu i bez konieczności znoszenia długotrwałego przestoju.

Microsoft stawia bezpieczeństwo cybernetyczne na pierwszym miejscu. Linie bazowe zabezpieczeń platformy Azure są zgodne ze standardami branżowymi, takimi jak Center for Internet Security (CIS) i National Institute of Standards and Technology (NIST). Test porównawczy zabezpieczeń Microsoft Cloud (MCSB) definiuje te punkty odniesienia. McSB zawiera normatywne wskazówki dotyczące zabezpieczania obciążeń, danych i usług w środowiskach Azure i wielochmurowych. Obszar kontroli kopii zapasowych i odzyskiwania kładzie nacisk na skonfigurowane, izolowane i monitorowane kopie zapasowe w celu ochrony przed oprogramowaniem ransomware i destrukcyjnymi atakami.

Ten artykuł opisuje, jak Azure Backup pomaga organizacjom chronić dane kopii zapasowych, zmniejszać ryzyko ransomware oraz przygotowywać się do odzyskiwania podczas incydentów bezpieczeństwa. Azure Backup chroni obciążenia za pośrednictwem magazynów usług Recovery Services oraz magazynów Backup. Jego możliwości w zakresie bezpieczeństwa, szyfrowania, monitorowania i odzyskiwania wspierają dwa powiązane rezultaty: ochronę danych przechowywanych w odizolowanym logicznie sejfie oraz podstawy cyberodzyskiwania do oceny zagrożeń i przygotowania operacji odzyskiwania. Te rezultaty opierają się na istniejących możliwościach usług. Wsparcie różni się w zależności od obciążenia, magazynu i regionu. Przegląd znajdziesz w sekcji bezpieczeństwo i odzyskiwanie cybernetyczne w Azure Backup.

Azure Backup pomaga chronić dane kopii zapasowej za pomocą czterech podstawowych filarów zabezpieczeń:

• Access Control: pomaga kontrolować, kto uzyskuje dostęp do danych kopii zapasowej
• Bezpieczny magazyn kopii zapasowych: bezpieczne wykonywanie i przechowywanie danych kopii zapasowych
• Możliwość odzyskiwania danych: upewnij się, że dane BCDR są bezpieczne i możliwe do odzyskania
• Zarządzanie kopiami zapasowymi: zarządzanie, monitorowanie i wykrywanie zagrożeń w danych BCDR

Na poniższym diagramie przedstawiono najlepsze rozwiązania w zakresie zabezpieczeń dotyczące danych ciągłości działania i odzyskiwania po awarii (BCDR) organizacji w czterech filarach:

Obszar 1 — Kontrola dostępu

Skuteczne zabezpieczenia kopii zapasowych zależą od silnej kontroli dostępu i wymuszania najniższych uprawnień w celu ochrony danych i operacji kopii zapasowej. W tej sekcji przedstawiono możliwości usługi Azure Backup obsługujące kontrolę dostępu.

• Uwierzytelnianie wieloskładnikowe (MFA): dodaje dodatkową warstwę zabezpieczeń, wymagając większej weryfikacji podczas logowania, co zmniejsza ryzyko nieautoryzowanego dostępu.
• Kontrola dostępu oparta na rolach na platformie Azure (Azure RBAC): umożliwia zdefiniowanie, kto może uzyskiwać dostęp do zasobów platformy Azure, jakie działania może wykonywać oraz jaki jest zakres tego dostępu, aby egzekwować zasadę najmniejszych uprawnień.
• Autoryzacja wieloużytkownikowa (MUA): dodaje dodatkową warstwę ochrony dla operacji o krytycznym znaczeniu w magazynach usługi Recovery Services i magazynach kopii zapasowych, wymagając wyraźnego zatwierdzenia przez administratora zabezpieczeń.

Uwierzytelnianie wieloskładnikowe (MFA)

Uwierzytelnianie wieloskładnikowe (MFA) dodaje dodatkową warstwę zabezpieczeń, wymagając większej weryfikacji podczas logowania. Wymuszając drugi czynnik, zmniejszasz ryzyko nieautoryzowanego dostępu, ponieważ osoby atakujące nie mogą łatwo uzyskać ani zreplikować tej weryfikacji. Uwierzytelnianie wieloskładnikowe chroni dostęp do Azure Backup i danych kopii zapasowych nawet wtedy, gdy zabezpieczenia poświadczeń użytkownika zostaną naruszone. Azure Backup obsługuje bezpieczne zarządzane, odporne na wyłudzanie informacji uwierzytelnianie wieloskładnikowe w celu ochrony kont użytkowników. Uwierzytelnianie wieloskładnikowe jest teraz wymagane przy wszystkich logowaniach do portalu Azure i obejmuje także narzędzia PowerShell, CLI oraz infrastruktury jako kodu. Aby dowiedzieć się więcej, zobacz:

• Zaktualizuj wymagania dotyczące uwierzytelniania wieloskładnikowego dla logowania Azure — Microsoft Community Hub.
• Omówienie uwierzytelniania wieloskładnikowego.
• Jak włączyć uwierzytelnianie wieloskładnikowe.

Najlepszym rozwiązaniem jest utworzenie co najmniej dwóch kont dostępu awaryjnego. Ta akcja pomaga zmniejszyć ryzyko zablokowania organizacji Microsoft Entra, gdy logowanie administratora lub aktywacja konta jest niedostępna. Dowiedz się więcej o zarządzaniu kontami administratora dostępu awaryjnego. Microsoft Entra ID również zaleca najlepsze rozwiązania dotyczące wszystkich konfiguracji izolacji. Dowiedz się więcej na temat najlepszych praktyk dotyczących Microsoft Entra ID.

Kontrola dostępu oparta na rolach platformy Azure (Azure RBAC)

Kontrola dostępu do zasobów platformy Azure oparta na rolach (Azure RBAC) pomaga określić, kto może uzyskiwać dostęp do zasobów platformy Azure, jakie działania może wykonywać i jaki jest zakres tego dostępu. Wymuszając uprawnienia o najniższych uprawnieniach, można zmniejszyć ryzyko przypadkowych lub złośliwych zmian w środowisku tworzenia kopii zapasowych, zapewniając jednocześnie użytkownikom tylko dostęp wymagany do wykonywania zadań. Dowiedz się więcej o używaniu mechanizmu Azure RBAC do zarządzania danymi kopii zapasowej w usłudze Azure Backup.

Azure Backup udostępnia następujące wbudowane role do kontrolowania operacji zarządzania kopiami zapasowymi:

Na poniższym diagramie wyjaśniono, jak działają różne role wbudowane Azure.

Na diagramie pokazano, jak wbudowane role definiują różne zakresy dostępu do danych kopii zapasowych dla czterech użytkowników.

• Użytkownik2 i Użytkownik3 to czytelnicy kopii zapasowych i mają uprawnienia tylko do monitorowania kopii zapasowych i wyświetlania usług kopii zapasowych. Jeśli chodzi o zakres dostępu, użytkownik User2 może uzyskać dostęp tylko do zasobów subskrypcji1, a Użytkownik3 może uzyskać dostęp tylko do zasobów subskrypcji2,
• Użytkownik4 jest Operatorem kopii zapasowych i ma uprawnienia do włączania tworzenia kopii zapasowych, uruchamiania tworzenia kopii zapasowych na żądanie, uruchamiania przywracania, a także uprawnienia roli Czytelnik kopii zapasowych. Jednak w tym scenariuszu jego zakres jest ograniczony tylko do Subscription2.
• Użytkownik1 jest współtwórcą kopii zapasowych i ma uprawnienia do tworzenia sejfów, tworzenia, modyfikowania i usuwania zasad tworzenia kopii zapasowych oraz zatrzymywania kopii zapasowych, a także uprawnienia przysługujące operatorowi kopii zapasowych. Jednak w tym scenariuszu jego zakres jest ograniczony wyłącznie do subskrypcji Subscription1.

Najlepsze rozwiązania:

• Użyj ról niestandardowych w usłudze Azure RBAC, aby zdefiniować uprawnienia odpowiadające konkretnemu zakresowi obowiązków na danym stanowisku i konsekwentnie egzekwować w całej organizacji zasadę dostępu z najniższymi uprawnieniami. Dowiedz się więcej o uprawnieniach dotyczących zarządzania platformą Azure i nadzoru do tworzenia ról niestandardowych.

• Przypisuj role tylko w wymaganym zakresie (subskrypcji, grupy zasobów lub zasobu), aby uniknąć przyznania szerszego dostępu, niż jest to konieczne, i nigdy nie przypisuj uprawnień na poziomie głównego zakresu dzierżawy, chyba że jest to wyraźnie wymagane.

Autoryzacja wielu użytkowników (MUA)

Autoryzacja wieloosobowa (MUA) zapewnia dodatkową warstwę ochrony dla krytycznych operacji w magazynach usługi Recovery Services i magazynach kopii zapasowych. Użyj zasobu Azure o nazwie Resource Guard, aby upewnić się, że uprzywilejowane operacje są uruchamiane tylko z jawnym zatwierdzeniem. Administratorzy z podwyższonymi uprawnieniami, takimi jak właściciele subskrypcji lub administratorzy RBAC, mogą w inny sposób usuwać dane kopii zapasowej lub wyłączać mechanizmy kontroli zabezpieczeń, celowo lub za pośrednictwem poświadczeń, których zabezpieczenia zostały naruszone. Po włączeniu usługi MUA w magazynie każda destrukcyjna lub duża operacja wymaga zatwierdzenia od administratora zabezpieczeń, co zmniejsza ryzyko utraty danych i naruszeń zabezpieczeń.

Autoryzacja wielu użytkowników (MUA) chroni krytyczne operacje, takie jak wyłączenie niezmienności, zmiany zasad kopii zapasowych, akcje przywracania i aktualizacje ustawień szyfrowania. Jeśli nie włączysz funkcji MUA, każdy użytkownik z przejętym kontem i uprawnieniami roli Współautor kopii zapasowych może wykonać te operacje i spowodować utratę danych, dlatego należy włączyć funkcję MUA w magazynie, aby zwiększyć bezpieczeństwo.

Najlepsze rozwiązania:

• Utwórz Resource Guard w innym dzierżawcy niż dzierżawca podstawowy, który obsługuje środowisko produkcyjne. Funkcja Resource Guard maksymalizuje izolację uprawnień i uniemożliwia dziedziczenie dostępu na poziomie grupy w funkcji Resource Guard. Ta funkcja zapewnia, że naruszone poświadczenia w dzierżawie podstawowej nie mogą wykonywać operacji krytycznych chronionych przez usługę MUA, chyba że administrator zabezpieczeń w dzierżawie pomocniczej jawnie je zatwierdzi. Wymusza kontrolę międzydzierżawną w przypadku krytycznych operacji tworzenia kopii zapasowych. Dowiedz się, jak utworzyć usługę Resource Guard w innej dzierżawie i dodać usługę MUA.

• Użyj rozwiązania Microsoft Entra Privileged Identity Management (PIM) do tymczasowego uzyskiwania dostępu do operacji o znaczeniu krytycznym przez przypisanie wyłącznie roli Backup MUA Operator w usłudze Resource Guard. Ta rola eliminuje uprawnienia do usuwania, wymusza zasadę najmniejszych uprawnień i zapewnia dostęp dokładnie na czas. Zawsze ustawiaj daty rozpoczęcia i zakończenia przypisań ról i okresowo przeglądaj aktywne przypisania, aby zapobiec niezamierzonemu lub długotrwałemu dostępowi. Dowiedz się, jak przypisać uprawnienia użytkownika przy użyciu usługi PIM.

Dowiedz się więcej o autoryzacji wieloużytkownika (MUA) dla Azure Backup.

Filar 2 — Bezpieczny magazyn kopii zapasowych

Silne zabezpieczenia kopii zapasowych opierają się na szyfrowaniu i zabezpieczeniach sieci w operacjach tworzenia kopii zapasowych i przywracania. Azure Backup weryfikuje integralność danych podczas tych procesów i powiadamia Cię, gdy walidacja zakończy się niepowodzeniem. Poniższe kluczowe funkcje jeszcze bardziej wzmacniają bezpieczeństwo i zapewniają większą kontrolę nad kopiami zapasowymi.

• Szyfrowanie danych kopii zapasowej: chroni dane kopii zapasowej magazynowanych i przesyłanych za pomocą szyfrowania, w tym opcje kluczy zarządzanych przez klienta (CMK) w celu kontrolowania kluczy szyfrowania.
• Prywatne punkty końcowe do transferu danych kopii zapasowych: zapewniają bezpieczną, prywatną łączność z magazynem kopii zapasowych i utrzymują transfer danych w obrębie chronionej granicy sieci.

Szyfrowanie danych kopii zapasowej

Szyfrowanie gwarantuje, że dane kopii zapasowej są chronione zarówno w spoczynku, jak i podczas przesyłania. W przypadku Azure Backup wszystkie dane kopii zapasowej są domyślnie szyfrowane przy użyciu kluczy zarządzanych Microsoft. Wszystkie dane w sejfach są szyfrowane w spoczynku z użyciem 256-bitowego algorytmu Advanced Encryption Standard (AES), zgodnego ze standardem Federal Information Processing Standards (FIPS) 140-2. Cała komunikacja i transfer danych za pośrednictwem protokołów HTTPS i Transport Layer Security (TLS) 1.2+ zapewniająca, że dane przesyłane są szyfrowane i pozostają w sieci Azure. Azure Backup obsługuje również tworzenie kopii zapasowych i przywracanie Azure Virtual Machines (maszyn wirtualnych), które mają swoje dyski systemu operacyjnego/danych zaszyfrowane za pomocą usługi Azure Disk Encryption (ADE).

Aby włączyć kontrolę nad kluczem szyfrowania przez skonfigurowanie rotacji i cyklu życia kluczy lub użycie własnych kluczy do szyfrowania, użyj Customer-Managed Keys (CMK) na potrzeby szyfrowania danych kopii zapasowej. Dowiedz się więcej o tym, jak włączyć CMK.

Najlepsze rozwiązania:

• Chroń zmiany związane z kluczem CMK przy użyciu MUA przez włączenie autoryzacji wielu użytkowników w magazynie. Ta funkcja uniemożliwia użytkownikom z uprawnieniami Współautor kopii zapasowej zmienianie kluczy szyfrowania lub skojarzonej tożsamości zarządzanej bez zatwierdzenia. Usługa MUA chroni krytyczne operacje, takie jak przełączanie się z kluczy zarządzanych Microsoft na klucz cmK i modyfikowanie ustawień szyfrowania cmK.

• Włącz szyfrowanie infrastruktury podczas tworzenia sejfu, aby spełnić wymagania zgodności dotyczące podwójnego szyfrowania w warstwie pamięci masowej. Szyfrowanie infrastruktury dotyczy tylko momentu tworzenia. Nie można włączyć typu szyfrowania, gdy kopie zapasowe źródła danych są przechowywane w magazynie.

Dowiedz się więcej o szyfrowaniu danych kopii zapasowej.

Prywatne punkty końcowe na potrzeby transferu danych kopii zapasowej

Prywatne punkty końcowe zapewniają bezpieczną, prywatną łączność z magazynem kopii zapasowych i przechowują transfer danych w granicach chronionej sieci. Każdy prywatny punkt końcowy używa co najmniej jednego prywatnego adresu IP z Azure Virtual Network (VNet), co powoduje bezpośrednie przeniesienie usługi kopii zapasowej do sieci wirtualnej. Takie podejście minimalizuje narażenie na publiczny Internet i zmniejsza ryzyko nieautoryzowanego dostępu lub naruszeń danych. Dowiedz się więcej o prywatnych punktach końcowych dla Azure Backup.

W przypadku maszyn wirtualnych platformy Azure cała komunikacja i transfer danych odbywają się za pośrednictwem infrastruktury platformy Azure, więc nie są wymagane wyjątki zapory. W przypadku baz danych działających na maszynach wirtualnych Azure i na serwerach lokalnych prywatne punkty końcowe umożliwiają bezpieczną łączność sieciową na potrzeby operacji tworzenia kopii zapasowych i przywracania.

Dowiedz się, jak tworzyć prywatne punkty końcowe (z obsługą wersji 2) i zarządzać nimi na potrzeby Azure Backup.

Filar 3 — możliwość odzyskiwania danych

Możliwość odzyskiwania danych kopii zapasowych ma kluczowe znaczenie dla utrzymania ciągłości działania i zminimalizowania przestojów podczas zdarzeń utraty danych. Redundancja danych i odzyskiwanie danych w różnych regionach wspierają odzyskiwanie po awarii (DR). W przypadku logicznie odizolowanego magazynu chroń punkty odzyskiwania magazynu przed przedwczesnym usunięciem za pomocą zawsze włączonego usuwania nietrwałego lub zablokowanej niezmienności, jeśli jest to obsługiwane. Soft delete chroni usunięte dane przez skonfigurowany okres przechowywania; nie jest to przechowywanie w nieskończoność. MUA dodaje autoryzację dla operacji krytycznych, ale nie zastępuje tych mechanizmów ochrony danych. Dowiedz się więcej o ochronie skrytki Logically odizolowanej od sieci.

Cyber recovery essentials uzupełnia planowanie DR, pomagając przygotować się na incydenty cybernetyczne. Przygotuj wspierane miejsca odzyskiwania i zweryfikuj procedury odzyskiwania; sygnały wykrywania zagrożeń mogą pomóc w wyborze punktu odzyskiwania, ale nie zastępują testu przywracania ani walidacji obciążenia.

• Niezmienność danych z kopii zapasowych: chroni dane kopii zapasowych przed usunięciem lub modyfikacją dzięki wymuszaniu pamięci jednokrotnego zapisu i wielokrotnego odczytu (WORM) oraz stanów blokady sejfu, co zapobiega operacjom destrukcyjnym.
• Usuwanie programowe chroniące dane kopii zapasowych przed trwałym usunięciem: Zachowuje usunięte dane kopii zapasowych przez konfigurowalny okres, co pozwala odzyskać je po przypadkowym lub złośliwym usunięciu.
• Nadmiarowość danych na potrzeby ochrony danych kopii zapasowych: obsługuje wiele opcji nadmiarowości danych w celu ochrony danych kopii zapasowej przed awariami sprzętowymi i awariami regionalnymi.
• Przywracanie między subskrypcjami na potrzeby odzyskiwania danych z kopii zapasowej: Umożliwia odzyskanie danych z kopii zapasowej do izolowanej subskrypcji, gdy podstawowa subskrypcja zostanie naruszona lub nie jest zaufana.
• Przywracanie między tenantami na potrzeby odzyskiwania danych kopii zapasowych (podgląd): Umożliwia odzyskiwanie danych z archiwum kopii zapasowych do innego tenanta, gdy dostęp do źródłowego tenanta zostanie utracony lub naruszony.

Niezmienność danych kopii zapasowej

Niezmienne skarbce zapewniają, że po zapisaniu danych kopii zapasowej ich usunięcie będzie zablokowane do momentu upływu zdefiniowanego okresu przechowywania. Ta ochrona zachowuje integralność danych i zabezpiecza kopie zapasowe zarówno przed zagrożeniami poufnymi, jak i zewnętrznymi. Niezmienne magazyny blokują również operacje destrukcyjne, takie jak skrócenie okresu przechowywania, zatrzymanie tworzenia kopii zapasowych lub usunięcie danych kopii zapasowych.

Niezmienność dotyczy dwóch warstw: warstwy magazynowania poprzez ochronę typu jednorazowy zapis, wielokrotny odczyt (WORM) oraz warstwy zarządzania poprzez dwa stany blokady sejfu — Włączony i Zablokowany. W stanie Włączone współautor kopii zapasowej może wyłączyć niezmienność, gdy wymagana jest elastyczność operacyjna, na przykład dostosowywanie przechowywania lub zatrzymywanie kopii zapasowych. W stanie zablokowanym niezmienności nie można już cofnąć, co uniemożliwia usunięcie danych kopii zapasowych i automatycznie wymusza ochronę WORM na bazowej warstwie pamięci masowej. Organizacje objęte wymaganiami dotyczącymi zgodności w zakresie pamięci masowej opartej na technologii WORM muszą stosować niezmienność w stanie „Zablokowany”.

Poniższy diagram przedstawia przepływ pracy związany z ochroną danych z wykorzystaniem niezmiennego magazynu typu vault w stanie zablokowanym.

Najlepsze rozwiązania:

• Przejrzyj wszystkie chronione elementy i zasady tworzenia kopii zapasowych przed zablokowaniem funkcji niezmienności, ponieważ niezmienność obowiązuje na poziomie magazynu. Po zablokowaniu niezmienności nie można modyfikować okresów przechowywania zdefiniowanych w zasadach tworzenia kopii zapasowych ani usuwać danych kopii zapasowej przed wygaśnięciem skonfigurowanego okresu przechowywania.

• Zachowaj niezmienność w stanie Włączone, gdy wymagana jest elastyczność, na przykład gdy zasady tworzenia kopii zapasowych pozostaną niezdefiniowane lub gdy przewidujesz konieczność usunięcia danych kopii zapasowej. Ten stan umożliwia współautorowi kopii zapasowej dostosowywanie zasad tworzenia kopii zapasowych dla chronionych elementów. Użyj autoryzacji wielu użytkowników (MUA) w magazynie, aby selektywnie zezwolić na tymczasowe wyłączenie niezmienności w razie potrzeby.

• Zablokuj niezmienność, aby chronić dane produkcyjne przed naruszonymi poświadczeniami i zagrożeniami poufnymi, ponieważ żaden użytkownik nie może usunąć danych kopii zapasowej ani magazynu. Zablokowana niezmienność uniemożliwia również anulowanie subskrypcji, ponieważ Azure wymusza zabezpieczenia wymagające usunięcia wszystkich zasobów przed anulowaniem, co blokuje niezmienność.

Dowiedz się więcej o niezmienności danych kopii zapasowej.

Usuwanie miękkie w celu ochrony danych kopii zapasowych przed trwałym usunięciem

Usuwanie miękkie pomaga odzyskać dane z kopii zapasowej po ich przypadkowym lub złośliwym usunięciu. Usługa zachowuje usunięte dane kopii zapasowej przez konfigurowalny okres do 180 dni (domyślnie 14 dni), których współautor kopii zapasowej może użyć do przywrócenia ich w razie potrzeby. Ta ochrona zapobiega trwałej utracie danych spowodowanej niezamierzonym działaniem.

Najlepszym rozwiązaniem jest ustawienie okresu przechowywania usuwania nietrwałego na więcej niż 35 dni lub dostosowanie go do przechowywania zasad kopii zapasowych. Dzięki temu usunięte dane kopii zapasowej pozostają w stanie miękkiego usunięcia przez taki sam okres jak okres przechowywania zasad i pozostają dostępne do odzyskania.

Dowiedz się więcej na temat miękkiego usuwania.

Nadmiarowość danych na potrzeby ochrony danych kopii zapasowych

Azure Backup obsługuje wiele opcji nadmiarowości danych, w tym magazyn lokalnie nadmiarowy (LRS), magazyn strefowo nadmiarowy (ZRS) i magazyn geograficznie nadmiarowy (GRS). LRS replikuje dane kopii zapasowych trzykrotnie w obrębie jednego centrum danych w regionie podstawowym. ZRS zapewnia rezydencję danych i zwiększa odporność na awarie w obrębie tego samego regionu, replikując dane kopii zapasowych między strefami dostępności. GRS replikuje dane kopii zapasowych do regionu pomocniczego, aby chronić przed awariami obejmującymi cały region.

Najlepsze rozwiązania:

• Wybierz magazyn nadmiarowy między strefami (ZRS) podczas tworzenia magazynu, ponieważ usługa Azure Backup działa jako usługa nadmiarowa między strefami zarówno dla magazynów usługi Recovery Services, jak i magazynów kopii zapasowych. Ta nadmiarowość utrzymuje działanie magazynu podczas awarii strefowej.

• Wybierz Magazyn geograficznie nadmiarowy (GRS), aby replikować dane kopii zapasowej magazynu do sparowanego regionu drugoplanowego w celu ochrony przed awariami obejmującymi cały region. Tam, gdzie jest to obsługiwane, włącz Cross Region Restore (CRR), jeśli potrzebujesz przywrócić z regionu drugorzędnego. GRS to nadmiarowość magazynu; nie tworzy niezależnej kopii kopii zapasowej ani kopii offline.

• Zaplanuj trzy kopie danych, w tym produkcyjne oraz co najmniej dwie kopie zapasowe, i oceń, jak każda z nich spełnia wymagania dotyczące typu pamięci, lokalizacji poza siedzibą, izolacji i testów odzyskiwania. Azure Backup obsługuje części projektu 3-2-1-1-0 poprzez kopie zapasowe przechowywane w magazynie usługi Recovery Services, poziomy Standard i Archive dla kwalifikujących się punktów odzyskiwania, georedundantne przechowywanie, niezmienność, monitorowanie i automatyzację przywracania. Replikacja i warstwowanie pamięci nie tworzą automatycznie niezależnych kopii zapasowych ani fizycznych nośników offline. Aby uzyskać mapowanie dla poszczególnych obciążeń i limity wsparcia, zobacz Planowanie strategii tworzenia kopii zapasowych 3-2-1-1-0 za pomocą usługi Azure Backup.

  Azure Backup integruje się z Azure Advisor i Microsoft Defender dla Chmury, które zalecają konfigurację zabezpieczeń związanych z kopiami zapasowymi dla środowisk produkcyjnych. Te zalecenia można znaleźć w sekcji Zabezpieczenia w obu usługach.

Dowiedz się więcej o typach nadmiarowości magazynowania w usłudze Azure Backup w magazynach usługi Recovery Services i magazynie usługi Backup.

Przywracanie między subskrypcjami w celu odzyskiwania danych z kopii zapasowej

Jeśli bezpieczeństwo subskrypcji zostanie naruszone lub utracisz zaufanie do subskrypcji podstawowej, użyj przywracania między subskrypcjami, aby przywrócić dane do izolowanej subskrypcji w obrębie tej samej dzierżawy. Ta funkcja umożliwia przywracanie maszyn wirtualnych platformy Azure przez tworzenie nowych maszyn wirtualnych lub przywracanie dysków z punktów przywracania usługi Azure Backup do dowolnej dozwolonej subskrypcji, z zachowaniem mechanizmów kontroli RBAC.

Ponieważ operacje przywracania mogą ujawniać poufne dane, należy klasyfikować operacje przywracania oraz przywracania między subskrypcjami jako operacje krytyczne w ramach autoryzacji wieloużytkownikowej (MUA). Dzięki tej kontroli administratorzy zabezpieczeń mogą uzyskiwać dostęp do danych kopii zapasowych i przywracać je.

Dowiedz się, jak włączyć przywracanie między subskrypcjami dla Azure Backup w magazynie usługi Recovery Services i magazynie usługi Backup.

Przywracanie między dzierżawami na potrzeby odzyskiwania danych kopii zapasowej (wersja zapoznawcza)

Jeśli stracisz dostęp do tenanta zawierającego twoje magazyny kopii zapasowych, na przykład z powodu blokady tenanta lub ataku ransomware, użyj przywracania między tenantami, aby odzyskać przechowywane dane kopii zapasowych do innego tenanta, którym zarządzasz. Mapujesz magazyn źródłowy na magazyn docelowy, a następnie przywracasz dane z docelowego tenanta. Resource Guard w docelowym dzierżawcy chroni operację mapowania poprzez autoryzację wielu użytkowników (MUA).

Dowiedz się więcej o przywracaniu między tenantami i jak go konfigurować.

Filar 4 — zarządzanie kopiami zapasowymi

Skuteczne zarządzanie danymi i zarządzanie nimi pomagają zrozumieć bezpieczeństwo, zgodność i integralność danych kopii zapasowej. W tej sekcji opisano najważniejsze funkcje, które zapewniają wyraźną widoczność i pomagają zwiększyć bezpieczeństwo danych kopii zapasowych.

• Stan zabezpieczeń ciągłości działania i odzyskiwania po awarii (BCDR): ocenia zabezpieczenia chronionych elementów i kategoryzuje je na cztery poziomy w oparciu o obecność mechanizmów kontroli zabezpieczeń, takich jak niezmienność, usuwanie nietrwałe i autoryzacja wielu użytkowników.
• Zasady platformy Azure dotyczące ochrony danych kopii zapasowych: udostępniają wbudowane definicje usługi Azure Policy do inspekcji oraz wymuszania stosowania funkcji zabezpieczeń dla źródeł danych kopii zapasowych, takich jak niezmienność, usuwanie programowe i korzystanie z prywatnych punktów końcowych.
• Alerty zabezpieczeń i raporty dotyczące monitorowania zabezpieczeń danych kopii zapasowych: zapewnia wgląd w stan zabezpieczeń środowiska kopii zapasowej za pomocą wbudowanych alertów i kompleksowego raportowania za pośrednictwem dzienników i skoroszytów Azure Monitor.

Ciągłość działania i stan zabezpieczeń odzyskiwania po awarii

Poziom zabezpieczeń ciągłości działania i odzyskiwania po awarii (BCDR), będący częścią usługi Resiliency, pomaga oceniać i stosować zabezpieczenia dla danych kopii zapasowych w całym środowisku. Kategoryzuje zabezpieczenia chronionych elementów na cztery odrębne poziomy.

W poniższej tabeli przedstawiono te poziomy zabezpieczeń i powiązane z nimi wymagania:

Najlepszym rozwiązaniem jest regularne ocenianie i poprawianie stanu zabezpieczeń BCDR przy użyciu ocen zabezpieczeń i poziomów zabezpieczeń w celu zidentyfikowania luk w ochronie elementów kopii zapasowej. Upewnij się, że wszystkie elementy środowiska produkcyjnego chronione przez usługę Azure Backup utrzymują poziom zabezpieczeń Good lub Excellent, aby wzmocnić ogólną postawę bezpieczeństwa. Zwiększ poziom zabezpieczeń, włączając niezmienność, usuwanie miękkie i autoryzację wieloużytkownika (MUA) w swoich magazynach.

Azure zasady ochrony danych kopii zapasowych

Usługa Azure Policy pomaga wymuszać standardy organizacyjne i oceniać zgodność na dużą skalę. Azure Backup obsługuje wiele zasad inspekcji i modyfikowalnych aliasów, których można użyć do oceny zgodności elementu kopii zapasowej i wdrażania zasad niestandardowych w razie potrzeby. W poniższej tabeli wymieniono definicje Azure Policy, których można użyć do wymuszania funkcji zabezpieczeń dla obciążeń kopii zapasowych.

Alerty zabezpieczeń i raporty dotyczące monitorowania zabezpieczeń danych kopii zapasowej

Alerty zabezpieczeń zapewniają wgląd w stan zabezpieczeń środowiska kopii zapasowej w czasie rzeczywistym i ułatwiają szybkie wykrywanie podejrzanych działań. Wbudowane alerty natychmiast informują o zdarzeniach, takich jak usunięcie danych w sejfie z włączoną funkcją usuwania programowego lub zmiany ustawień ochrony skracające okres przechowywania, bez konieczności dodatkowej konfiguracji ani tworzenia alertów niestandardowych. Po włączeniu ustawień monitorowania we właściwościach magazynu automatycznie otrzymujesz alerty zabezpieczeń wymienione w artykule Monitorowanie źródeł danych chronionych przez Azure Backup.

Możesz również skonfigurować grupę akcji, aby otrzymywać powiadomienia za pośrednictwem połączeń głosowych, krótkiej usługi wiadomości (SMS) lub wiadomości e-mail po wyzwoleniu alertu zabezpieczeń. Dowiedz się więcej o Azure Monitor grupach akcji. Azure Backup raporty ułatwiają analizowanie kondycji jednostki kopii zapasowej, umożliwiając pisanie niestandardowych zapytań dotyczących dzienników diagnostycznych. Azure Backup używa dzienników Azure Monitor i skoroszytów platformy Azure, aby zapewnić kompleksowy wgląd w całe środowisko tworzenia kopii zapasowych.

W przypadku kopii zapasowych maszyn wirtualnych Azure wykrywanie zagrożeń wykorzystuje sygnały Microsoft Defender for Servers do identyfikacji potencjalnie złośliwych lub zainfekowanych ransomware punktów odzyskiwania. Ta funkcja jest dostępna w podglądzie i nie zastępuje testów przywracania ani walidacji obciążenia.

Dowiedz się, jak skonfigurować raporty Azure Backup.

Podsumowanie najlepszych rozwiązań dotyczących ochrony danych

Wdrażaj te najlepsze praktyki, aby chronić dane w cybersejfie, wspierać ciągłość działania i odzyskiwanie po awarii oraz przygotować swoją organizację na incydenty cybernetyczne dzięki Cyber recovery essentials. Oceń ustawienia zabezpieczeń backupu, zaplanuj wspierane miejsca przywracania i testuj procedury odzyskiwania dla swoich obciążeń.

Treści powiązane

Omówienie funkcji zabezpieczeń w usłudze Azure Backup.