Boas práticas de segurança do Azure Backup para proteger os dados de backup

O ransomware representa um risco sério ao gerar elevados custos de recuperação e perturbações operacionais, tornando a prevenção e a recuperação rápida críticas para a resiliência empresarial. Backups seguros funcionam como a última linha de defesa, permitindo uma restauração de dados económica sem pagar resgates ou sofrer indisponibilidades prolongadas.

A Microsoft dá prioridade à cibersegurança. As bases de segurança do Azure alinham-se com normas da indústria como o Center for Internet Security (CIS) e o National Institute of Standards and Technology (NIST). O Microsoft Cloud Security Benchmark (MCSB) define estas referências. O MCSB fornece orientação prescritiva para proteger cargas de trabalho, dados e serviços em ambientes Azure e multicloud. A sua área de controlo de Backup e Recuperação enfatiza backups configurados, isolados e monitorizados para proteger contra ransomware e ataques destrutivos.

Este artigo descreve como o Azure Backup ajuda as organizações a proteger os dados de backup, reduzir o risco de ransomware e garantir uma recuperação fiável durante incidentes de segurança. O Azure Backup é um serviço seguro e económico que protege uma vasta gama de cargas de trabalho e armazena dados em cofres de Serviços de Recuperação e Cofres de Backup. A segurança, encriptação, monitorização e replicação de armazenamento integradas para o Azure Backup ajudam-no a manter a confidencialidade, integridade e disponibilidade dos dados. Em alinhamento com a Iniciativa Futuro Seguro da Microsoft, o Azure Backup inclui funcionalidades como autorização multiutilizador, imutabilidade, soft delete, endpoints privados, alertas de segurança e relatórios. Estas capacidades criam uma brecha lógica e permitem a monitorização contínua da postura de segurança de backup.

O Azure Backup ajuda a proteger os dados de backup através de quatro pilares de segurança essenciais:

• Controlo de Acesso: Ajuda-o a controlar quem acede aos seus dados de backup
• Armazenamento seguro de cópias de segurança: Efetue e armazene dados de cópia de segurança de forma segura
• Recuperação de dados: Garantir que os dados BCDR são seguros e recuperáveis
• Governação de Backup: Governe, monitorize e detete ameaças nos seus dados BCDR

O diagrama seguinte mostra as melhores práticas de segurança para os dados de continuidade do negócio e recuperação de desastres (BCDR) de uma organização ao longo dos quatro pilares:

Pilar 1 - Controlo de Acesso

A segurança eficaz das cópias de segurança depende de um controlo de acesso rigoroso e da aplicação dos privilégios mínimos para proteger os dados e operações das cópias de segurança. Esta secção descreve as capacidades do Azure Backup que suportam controlo de acesso.

• Autenticação multifator (MFA): Adiciona uma camada extra de segurança ao exigir mais verificação durante o início de sessão, reduzindo o risco de acesso não autorizado.
• Controlo de acesso baseado em funções no Azure (Azure RBAC): Permite-lhe definir quem pode aceder aos recursos do Azure, que ações podem realizar e o âmbito desse acesso para impor permissões de privilégio mínimo.
• Autorização multiutilizador (MUA): Adiciona uma camada extra de proteção para operações críticas em cofres de Serviços de Recuperação e cofres de Backup, exigindo aprovação explícita de um administrador de segurança.

Autenticação multifator (MFA)

A autenticação multifator (MFA) acrescenta uma camada extra de segurança ao exigir mais verificação durante o início de sessão. Ao aplicar um segundo fator, reduz o risco de acesso não autorizado porque os atacantes não conseguem obter ou replicar facilmente essa verificação. O MFA protege o acesso ao Azure Backup e aos dados de backup mesmo quando as credenciais dos utilizadores são comprometidas. O Azure Backup suporta MFA gerido de forma segura e resistente ao phishing para ajudar a proteger as contas dos utilizadores. A MFA é agora obrigatória para todos os inícios de sessão no portal do Azure e foi também alargada ao PowerShell, à CLI e às ferramentas de infraestrutura como código. Para saber mais, consulte:

• Atualização sobre os requisitos de MFA para iniciar sessão no Azure - Microsoft Community Hub.
• Visão geral do MFA.
• Como ativar a MFA.

Como boa prática, crie duas ou mais contas de acesso de emergência. Esta ação ajuda a mitigar o risco de ser bloqueado na sua organização Microsoft Entra quando o login do administrador ou a ativação da conta não estiverem disponíveis. Saiba mais sobre gerir contas de administrador de acesso de emergência. O Microsoft Entra ID também recomenda as melhores práticas para todas as configurações de isolamento. Saiba mais sobre as melhores práticas do Microsoft Entra ID.

Controlo de acesso baseado em funções do Azure (Azure RBAC)

O controlo de acesso baseado em papéis do Azure (Azure RBAC) ajuda-o a definir quem pode aceder aos recursos do Azure, que ações podem realizar e o âmbito desse acesso. Ao aplicar permissões de privilégio mínimo, reduz o risco de alterações acidentais ou maliciosas no ambiente de backup, garantindo que os utilizadores têm apenas o acesso necessário para realizar as suas tarefas. Saiba mais sobre como usar o Azure RBAC para gerir dados de backup no Azure Backup.

O Azure Backup fornece os seguintes papéis incorporados para controlar as operações de gestão de backups:

O diagrama seguinte explica como funcionam diferentes funções integradas no Azure.

O diagrama mostra como os papéis incorporados definem diferentes limites de acesso aos dados de backup para quatro utilizadores.

• O Utilizador 2 e o Utilizador 3 são Leitores de Backup e têm permissão para monitorizar apenas os backups e visualizar os serviços de backup. Em termos do âmbito do acesso, o Utilizador2 só pode aceder aos Recursos da Subscrição1, e o Utilizador3 só pode aceder aos Recursos da Subscrição2,
• O Utilizador 4 é um Operador de Backup e tem permissão para ativar backups, ativar backups a pedido, acionar restauros, juntamente com as capacidades de um Backup Reader. No entanto, nesse cenário, seu escopo é limitado apenas à Assinatura2.
• O Utilizador 1 é um Contribuidor de Backup e tem permissão para criar cofres, criar/modificar/eliminar políticas de backup e parar backups, juntamente com as capacidades de um Operador de Backup. No entanto, neste cenário, o seu âmbito limita-se apenas à Subscrição1.

Como melhores práticas:

• Use funções personalizadas no Azure RBAC para definir permissões que correspondam a responsabilidades específicas do trabalho e para garantir continuamente o acesso de privilégios mínimos em toda a organização. Saiba mais sobre a gestão e as permissões de governação do Azure para criar papéis personalizados.

• Atribua funções apenas no âmbito necessário (subscrição, grupo de recursos ou recurso) para evitar conceder um acesso mais amplo do que o necessário e nunca atribua permissões no âmbito do inquilino raiz, a menos que tal seja explicitamente exigido.

Autorização multiutilizador (MUA)

A autorização multiutilizador (MUA) adiciona uma camada extra de proteção para operações críticas em cofres de Serviços de Recuperação e cofres de Backup. Use um recurso Azure chamado Resource Guard para garantir que as operações privilegiadas correm apenas com aprovação explícita. Administradores com funções elevadas, como proprietários de subscrições ou administradores RBAC, podem de outra forma eliminar dados de backup ou desativar controlos de segurança, seja intencionalmente ou através de credenciais comprometidas. Quando ativa o MUA num cofre, todas as operações destrutivas ou de elevado impacto requerem a aprovação de um administrador de segurança, reduzindo o risco de perda de dados e de violações de segurança.

A autorização multiutilizador (MUA) protege operações críticas como desativação da imutabilidade, alterações de políticas de backup, ações de restauro e atualizações de definições de encriptação. Se não ativares o MUA, qualquer utilizador comprometido com acesso ao Contribuidor de Backup pode realizar estas operações e causar perda de dados, por isso deves ativar o MUA no cofre para reforçar a segurança.

Como melhores práticas:

• Crie o Resource Guard num tenant diferente do tenant principal que hospeda a produção. O Resource Guard maximiza o isolamento das permissões e impede a herança de acesso a nível de grupo no Resource Guard. Esta capacidade garante que credenciais comprometidas no tenant principal não possam realizar operações críticas protegidas por MUA, a menos que um administrador de segurança no tenant secundário as aprove explicitamente. Aplica o controlo entre inquilinos para operações críticas de backup. Aprende a criar o Resource Guard num tenant diferente e adiciona MUA.

• Utilize o Microsoft Entra Privileged Identity Management (PIM) para obter acesso temporário a operações críticas, atribuindo apenas a função Backup MUA Operator no Resource Guard. Esta função não inclui permissões de eliminação, aplica o princípio do menor privilégio e garante acesso apenas no momento necessário. Defina sempre as datas de início e fim das atribuições de funções e reveja periodicamente as atribuições ativas para evitar acessos não intencionais ou prolongados. Aprenda a atribuir permissões de utilizador usando PIM.

Saiba mais sobre a autorização Multiutilizador (MUA) para o Azure Backup.

Pilar 2 - Armazenamento de Backup Seguro

Uma segurança forte de backups baseia-se na encriptação e na segurança de rede ao longo das operações de backup e restauro. O Azure Backup valida a integridade dos dados durante estes processos e notifica-o quando a validação falha. As seguintes características-chave reforçam ainda mais a segurança e proporcionam maior controlo sobre os backups.

• Encriptação de dados de backup: Protege os dados de backup em repouso e em trânsito com encriptação, incluindo opções para chaves geridas pelo cliente (CMK) para controlar chaves de encriptação.
• Endpoints privados para transferência de dados de backup: Proporciona conectividade segura e privada ao armazenamento de backup e mantém a transferência de dados dentro de um limite de rede protegido.

Encriptação dos dados de backup

A encriptação garante que os dados de backup estão protegidos tanto em repouso como em trânsito. Com o Azure Backup, todos os seus dados de backup são encriptados por defeito com chaves geridas pela Microsoft. Todos os dados nos cofres são encriptados quando armazenados com o padrão de encriptação Advanced Encryption Standard (AES) de 256 bits, em conformidade com a norma Federal Information Processing Standards (FIPS) 140-2. Toda a comunicação e transferência de dados via HTTPS e Transport Layer Security (TLS) 1.2+ assegurando que os dados em trânsito são encriptados e permanecem dentro da Azure Network. O Azure Backup também suporta backup e restauro de Máquinas Virtuais do Azure (VMs) cujos discos do sistema operativo/dados estão encriptados com Azure Disk Encryption (ADE).

Para permitir controlar a chave de encriptação, configurando a rotação e o ciclo de vida da chave, ou utilizar as suas próprias chaves para a encriptação, use Chaves geridas pelo cliente (CMK) para a encriptação dos dados da cópia de segurança. Saiba mais sobre como ativar a CMK.

Como melhores práticas:

• Proteja as alterações relacionadas com CMK com MUA ativando a autorização Multiutilizador no vault. Esta funcionalidade impede que utilizadores com permissões de Contribuidor de Backup alterem chaves de encriptação ou a identidade gerida associada sem aprovação. O MUA protege operações críticas, como a mudança de chaves geridas pela Microsoft para CMK e a modificação das definições de encriptação CMK.

• Ativar a encriptação de infraestrutura durante a criação do cofre para satisfazer os requisitos de conformidade relativos à encriptação dupla na camada de armazenamento. A encriptação da infraestrutura aplica-se apenas aquando da criação. Não podes ativar o tipo de encriptação quando as cópias de backup da fonte de dados são guardadas no cofre.

Saiba mais sobre encriptação de dados de backup.

Endpoints privados para transferência de dados de backup

Os endpoints privados fornecem conectividade segura e privada ao armazenamento de backup e mantêm a transferência de dados dentro de um limite de rede protegido. Cada endpoint privado utiliza um ou mais endereços IP privados da sua Rede Virtual do Azure (VNet), o que traz o serviço de backup diretamente para o seu VNet. Esta abordagem minimiza a exposição à internet pública e reduz o risco de acesso não autorizado ou violações de dados. Saiba mais sobre endpoints privados para Azure Backup.

Para VMs Azure, toda a comunicação e transferência de dados ocorre através do Azure fabric, pelo que não são necessárias exceções ao firewall. Para bases de dados a correr em VMs Azure e para servidores locais, os endpoints privados permitem conectividade de rede segura para operações de backup e restauro.

Aprenda a criar e gerir endpoints privados (com experiência v2) para o Azure Backup.

Pilar 3 - Recuperação de dados

A recuperação de dados de backup é fundamental para manter a continuidade do negócio e minimizar o tempo de inatividade durante incidentes de perda de dados. Os cofres imutáveis protegem os dados de cópia de segurança contra eliminação ou modificação, mesmo em caso de comprometimento de segurança, enquanto a eliminação recuperável permite a recuperação ativa dos dados de cópia de segurança após eliminações acidentais ou maliciosas. Esta secção descreve as capacidades que o ajudam a garantir que os dados de backup permaneçam recuperáveis quando necessário.

• Imutabilidade para dados de backup: Protege os dados de backup contra eliminação ou modificação, através da aplicação de armazenamento de escrita única e leitura múltipla (WORM) e de estados de bloqueio do cofre para evitar operações destrutivas.
• Eliminação suave para proteção permanente contra eliminação de dados de backup: Mantém os dados de backup apagados por um período configurável, permitindo a recuperação de eliminações acidentais ou maliciosas.
• Redundância de dados para proteção de dados de backup: Suporta múltiplas opções de redundância de dados para proteger os dados de backup contra falhas de hardware e interrupções regionais.
• Restauro entre subscrições para recuperação de dados de backup: Permite a recuperação de dados de backup para uma subscrição isolada quando a subscrição principal está comprometida ou não confiável.

Imutabilidade para dados de backup

Os cofres imutáveis garantem que, depois de os dados de cópia de segurança serem armazenados, a eliminação fica bloqueada até expirar o período de retenção definido. Esta proteção preserva a integridade dos dados e protege os backups contra ameaças internas e externas. Os cofres imutáveis também bloqueiam operações destrutivas, como reduzir o período de retenção, interromper as cópias de segurança ou eliminar dados das cópias de segurança.

A imutabilidade aplica-se em duas camadas: a camada de armazenamento através da proteção write-once, read-many (WORM), e a camada de gestão através de dois estados de bloqueio do vault - Ativado e Bloqueado. No estado Habilitado, um Contribuidor de Backup pode desativar a imutabilidade quando for necessária flexibilidade operacional, como ajustar a retenção ou parar backups. No estado Bloqueado, a imutabilidade torna-se irreversível, o que impede qualquer destruição dos dados de backup e aplica automaticamente a proteção WORM no armazenamento subjacente. Organizações com requisitos de conformidade para armazenamento baseado em WORM devem usar a imutabilidade no estado Bloqueado.

O diagrama seguinte mostra o fluxo de trabalho para proteção de dados com o cofre imutável em estado bloqueado.

Como melhores práticas:

• Revê todos os itens protegidos e políticas de backup antes de bloquear a imutabilidade, porque a imutabilidade aplica-se ao nível do cofre. Depois de bloquear a imutabilidade, não pode modificar os períodos de retenção definidos nas políticas de backup nem eliminar dados de backup antes de a retenção configurada expirar.

• Mantenha a imutabilidade no estado Ativado quando for necessária flexibilidade, como quando as políticas de backup permanecem indefinidas ou quando antecipa a necessidade de eliminar dados de backup. Este estado permite que um Contribuidor de Backup ajuste as políticas de backup para itens protegidos. Use a Autorização Multiutilizador (MUA) no vault para permitir seletivamente a desativação temporária da imutabilidade quando necessário.

• Bloqueie a imutabilidade para proteger os dados de produção contra credenciais comprometidas e ameaças internas, porque nenhum utilizador pode apagar dados de backup ou o cofre. A imutabilidade bloqueada também impede o cancelamento da subscrição, pois o Azure impõe barreiras que exigem a eliminação de todos os recursos antes do cancelamento, o que bloqueia a imutabilidade.

Saiba mais sobre a imutabilidade dos dados de backup.

Eliminação suave para proteção contra eliminação permanente de dados de cópia de segurança

A eliminação suave ajuda-te a recuperar dados de backup após eliminação acidental ou maliciosa. O serviço retém dados de backup apagados por um período configurável até 180 dias (por defeito 14 dias), que um Contribuidor de Backup pode usar para os restaurar quando necessário. Esta proteção previne a perda permanente de dados causada por ações não intencionais.

Como boa prática, defina o período de retenção de eliminação suave para mais de 35 dias ou alinhe-o com a sua política de retenção de backups. Desta forma, os dados de backup eliminados permanecem no estado de eliminação suave durante o mesmo tempo que a retenção da política e permanecem disponíveis para recuperação.

Saiba mais sobre a eliminação suave.

Redundância de dados para proteção de dados de backup

O Azure Backup suporta múltiplas opções de redundância de dados, incluindo armazenamento localmente redundante (LRS), armazenamento redundante por zona (ZRS) e armazenamento geo-redundante (GRS). O LRS replica dados de backup três vezes dentro de um único centro de dados na região primária. O ZRS mantém a residência de dados e melhora a resiliência dentro da mesma região replicando os dados de backup entre zonas de disponibilidade. O GRS replica dados de backup para uma região secundária para proteger contra falhas regionais.

Como melhores práticas:

• Escolha armazenamento redundante por zona (ZRS) durante a criação do cofre porque o Azure Backup funciona como um serviço redundante de zona tanto para os cofres de Serviços de Recuperação como para os cofres de Backup. Esta redundância mantém o cofre operacional durante uma interrupção zonal.

• Selecione armazenamento geo-redundante (GRS) quando for necessário isolamento estrito de dados. Cópias secundárias dos dados de backup residem numa região diferente e oferecem proteção contra falhas regionais.

• Aplique a estratégia de backup 3-2-1-1 mantendo três cópias de dados (uma de produção e duas de backup), armazenando-as em dois tipos de suportes diferentes e mantendo uma cópia fora do local juntamente com uma cópia de segurança imutável e isolada. Este fluxo de trabalho reforça a proteção contra ameaças de ransomware.

  O seguinte fluxo de trabalho de proteção de backup ilustra como o Azure Backup implementa o mecanismo 3-2-1-1 para a proteção de dados de VMs Azure.

  1. A VM do Azure aloja a cópia principal dos dados, enquanto o Azure Backup mantém a primeira cópia de backup num cofre de Serviços de Recuperação. Os dados de cópia de segurança no cofre dos Serviços de Recuperação utilizam o Armazenamento de Blobs do Azure, onde pode ativar e bloquear a imutabilidade para evitar a eliminação ou a redução do período de retenção antes da expiração. A autorização multiutilizador (MUA) reforça ainda mais a segurança ao impor controlo baseado em aprovação sobre operações críticas no vault.

  2. Uma segunda cópia de segurança isolada adiciona resiliência através de armazenamento geo-redundante (GRS). Este mecanismo replica dados de backup para uma região secundária fisicamente separada e proporciona forte isolamento do ambiente primário. Para cenários que exigem separação entre diferentes tipos de suportes, uma cópia de cópia de segurança offline em fitas oferece mais isolamento e proteção.

  O Azure Backup integra-se com o Assistente do Azure e o Microsoft Defender para a Cloud, que recomendam a configuração da segurança relacionada com backups para ambientes de produção. Pode encontrar estas recomendações na secção de Segurança em ambos os serviços.

Saiba mais sobre os tipos de redundância de armazenamento para o Azure Backup nos cofres de Serviços de Recuperação e no Cofre de Backup.

Restauro entre subscrições para recuperação de dados de backup

Se uma subscrição ficar comprometida ou deixar de confiar na subscrição principal, utilize o restauro entre subscrições para recuperar dados para uma subscrição isolada dentro do mesmo inquilino. Esta funcionalidade permite-lhe restaurar máquinas virtuais Azure criando novas VMs ou restaurando discos a partir dos pontos de restauro do Azure Backup para qualquer subscrição permitida, respeitando os controlos RBAC.

Como as operações de restauro podem expor dados sensíveis, classifique as ações de restauro e de restauro entre subscrições como operações críticas ao abrigo da autorização multiutilizador (MUA). Este controlo garante que os administradores de segurança possam aceder e restaurar dados de backup.

Aprenda como ativar a restauração por subscrição cruzada para o Azure Backup no cofre de Serviços de Recuperação e no cofre de Backup.

Pilar 4 – Governação de backup

Uma governação e gestão eficaz dos dados ajudam-no a compreender a segurança, conformidade e integridade dos seus dados de backup. Esta secção descreve as principais funcionalidades que proporcionam visibilidade clara e ajudam a reforçar a segurança dos dados de backup.

• Postura de Segurança de Continuidade do Negócio e Recuperação de Desastres (BCDR): Avalia a segurança dos itens protegidos e categoriza-os em quatro níveis com base na presença de controlos de segurança, como imutabilidade, soft delete e autorização multiutilizador.
• Azure Policies para proteção de dados de backup: Fornece definições incorporadas do Azure Policy para auditar e aplicar funcionalidades de segurança para fontes de dados de backup, como imutabilidade, soft delete e uso de endpoints privados.
• Alertas e Relatórios de Segurança para monitorizar a segurança dos dados de backup: Oferece visibilidade em tempo real sobre o estado de segurança do seu ambiente de backup, com alertas incorporados e relatórios abrangentes através dos registos e livros de exercícios do Azure Monitor.

Continuidade do negócio e postura de segurança em recuperação de desastres

A postura de continuidade do negócio e recuperação de desastres (BCDR), parte do serviço de Resiliência, ajuda-o a avaliar e aplicar controlos de segurança para dados de backup em todo o seu ambiente. Categoriza a segurança dos itens protegidos em quatro níveis distintos.

A tabela seguinte descreve estes níveis de segurança e os requisitos associados:

Como boa prática, avalie e melhore regularmente a sua postura de segurança BCDR, utilizando pontuações e níveis de segurança para identificar lacunas na proteção dos seus itens de backup. Garanta que todos os itens de produção protegidos com o Azure Backup mantêm níveis de segurança Bons ou Excelentes para reforçar a sua postura geral de segurança. Melhore estes níveis de segurança ativando a imutabilidade, a eliminação suave e a autorização de vários utilizadores (MUA) nos seus cofres.

Azure Policies para proteção de dados de backup

A Política do Azure ajuda-o a aplicar padrões organizacionais e a avaliar a conformidade em escala. O Azure Backup suporta múltiplas políticas de auditoria e alias modificáveis que pode usar para avaliar a conformidade dos itens de backup e implementar políticas personalizadas quando necessário. A tabela seguinte lista as definições do Azure Policy que pode usar para impor funcionalidades de segurança para as suas cargas de trabalho de backup.

Alertas e relatórios de segurança para monitorização da segurança dos dados de backup

Os alertas de segurança dão-lhe uma visibilidade em tempo real sobre o estado de segurança do seu ambiente de backup e ajudam-no a detetar rapidamente atividades suspeitas. Os alertas integrados notificam-no imediatamente de eventos como a eliminação de dados num cofre com eliminação recuperável ativada ou alterações de proteção com retenção reduzida, sem necessidade de configuração adicional ou de criação de alertas personalizados. Quando ativas as definições do monitor nas propriedades do vault, recebes automaticamente os alertas de segurança listados nas fontes de dados protegidas do Monitor Azure Backup.

Também pode configurar um grupo de ações para receber notificações através de chamadas de voz, Serviço de Mensagens Curtas (SMS) ou email quando um alerta de segurança é ativado. Saiba mais sobre grupos de ação do Azure Monitor. Os relatórios do Azure Backup ajudam-no a analisar a saúde do seu estado de backup, permitindo-lhe escrever consultas personalizadas em logs de diagnóstico. O Azure Backup utiliza registos do Azure Monitor e livros de exercícios do Azure para lhe dar uma visão completa de todo o seu ambiente de backup.

Aprenda a configurar relatórios do Azure Backup.

Resumo das melhores práticas de proteção de dados

A adoção das melhores práticas recomendadas em cada capacidade de segurança fortalece a prontidão e a resposta a ransomware. Esta abordagem reduz o risco de ransomware, limita o impacto potencial e melhora a postura de segurança das suas fontes de dados de backup em produção.

Conteúdo relacionado

Visão geral das funcionalidades de segurança no Azure Backup.