Översikt över säkerhet och cyberåterställning i Azure Backup

Azure Backup hjälper till att skydda säkerhetskopierade data i valvet och stödjer återställning när produktionsmiljöer komprometteras. Logiskt luftgapad valv beskriver ett utfall som kombinerar isolering med kontroller mot destruktiva operationer. Cyber recovery essentials samlar kapaciteter som hjälper dig att bedöma backup-hot och förbereda återhämtningsoperationer. Stödet varierar beroende på vault, arbetsbelastning och region.

Logiskt isolerat valv

Azure Backup lagrar arkiverad säkerhetskopieringsdata i en Microsoft-hanterad Azure-prenumeration och klientorganisation, separat från produktionsmiljön där den skyddade datan finns. Denna logiska separation hjälper till att hålla säkerhetskopior utom räckhåll för en komprometterad arbetsbelastning. Det är inte ett fysiskt eller offline air gap, och det ersätter inte kontroller över identiteter som kan hantera valv.

Dataisolering med Azure Backup

Externa användare och gästarbetsbelastningar har inte direkt tillgång till innehållet i valvskyddad backuplagring. Azure Backup hanterar säkerhetskopieringsoperationer, inklusive återställning, via återställningstjänstvalvet och dess konfigurerade åtkomstkontroller.

Det grundläggande resultatet för logiskt luftgapade valv kräver fleranvändarautorisering (MUA); mjuk borttagning och kryptering är aktiverade som standard, och oföränderlighet är valfri. Skydda valvdata från destruktiv radering genom att använda antingen alltid aktiverad mjuk radering eller låst oföränderlighet, där det stöds. Dessa kontroller har olika beteenden och olika begränsningar.

Hantering och kontroll av identitet och användaråtkomst

Azure rollbaserad åtkomstkontroll (Azure RBAC) låter dig tilldela endast de behörigheter som användare behöver för att hantera säkerhetskopieringsoperationer. Azure Backup erbjuder tre inbyggda roller för att hjälpa dig att separera arbetsuppgifterna:

• Deltagare för säkerhetskopiering: Skapa och hantera säkerhetskopior, förutom att ta bort Recovery Services-valvet eller ge åtkomst till andra.
• Backup-operatör: Utför backupoperationer förutom att ta bort backuper och hantera backuppolicys.
• Backup Reader: Visa backuphanteringsoperationer.

Läs mer om Azure RBAC för Azure Backup.

Skydda säkerhetskopieringsdata från för tidig radering

Mjuk borttagning fördröjer permanent radering och håller raderade säkerhetskopieringsdata återställbara under den konfigurerade bevarandeperioden. Standardlagringstiden är 14 dagar och kan förlängas upp till 180 dagar. De första 14 dagarna av lagringstid för mjuk borttagning medför ingen extra kostnad; längre lagringstid kan medföra avgifter. mjuk borttagning ger inte obegränsat bevarande. Låst oföränderligt läge blockerar operationer som kan orsaka förlust av återställningspunkter under den konfigurerade kvarhållnings- eller oföränderlighetstiden, och den låsta inställningen kan inte ångras. Oföränderlighet gäller valvdata i valvet; det gäller inte operativa säkerhetskopior för resurser som blobs, filer och diskar.

Tillämpningen och tillgängligheten av alltid påslagen mjuk borttagning varierar beroende på valvtyp, arbetsbelastning och region. Granska mjuk borttagning med säkerhet som standard och stöd för oföränderligt valv innan du väljer ett skyddsalternativ.

Fleranvändarbehörighet

MUA lägger till en extra behörighetsnivå till kritiska operationer på Recovery Services-valv och backup-valv. Den använder Resource Guard så att en separat auktoriserad användare kan godkänna skyddade operationer. MUA hjälper till att skydda arkivinställningar och säkerhetskopieringsdata från obehöriga ändringar. Det ersätter inte soft delete eller immutabilitet. Lär dig om MUA med hjälp av Resource Guard.

Kryptering av data

Azure Backup krypterar säkerhetskopieringsdata i vila som standard med Microsoft-hanterade nycklar. För stödda Recovery Services vault-arbetsbelastningar kan du använda kundhanterade nycklar lagrade i Azure Key Vault. Azure Backup skyddar data under överföring med HTTPS och TLS 1.2 eller senare. Azure Backup stödjer också säkerhetskopiering och återställning av Azure-VM:ar med krypterade diskar. För detaljer, se kryptering av säkerhetskopiodata, kundhanterade nycklar samt säkerhetskopiering och återställning av krypterade Azure-VM:ar.

Grunderna i cyberåterställning

Cyber recovery essentials fokuserar på att förbereda sig för att identifiera misstänkta backup-återställningspunkter och återställa data till en stödd återställningsdestination. Dess funktionsuppsättning inkluderar Safe Restore i stor skala, hotdetektering, återställning över prenumerationer och återställning över flera klientorganisationer. Varje funktion har sin egen supportomfattning. Hotidentifiering och återställning mellan klientorganisationer är i förhandsversion.

Threat detection in Azure Backup

Azure Backup threat detection använder säkerhetssignaler från Microsoft Defender for Servers för att bedöma hälsan hos Azure VM:s backupåterställningspunkter. Den identifierar potentiellt skadliga eller ransomware-infekterade återställningspunkter. Den skannar inte säkerhetskopiedata direkt. Kapaciteten är i förhandsversion. Lär dig om hotdetektering för Azure VM-backuper.

Återställ mellan prenumerationer och klienter

Återställning mellan prenumerationer kan hjälpa dig att återställa stödda Azure VM-backuper till en annan prenumeration i samma tenant. För detaljer och begränsningar, se återställning mellan prenumerationer.

Cross-tenant återställning låter dig återställa kvalificerade valvåterställningspunkter till en annan tenant efter att ha kartlagt käll- och målvalv. Scenarier inkluderar inlåsning av tenant, ransomware-attacker och konsolidering av hyresgäster. En Resource Guard i målklientorganisationen skyddar mappningsåtgärden genom MUA. Återställning mellan klientorganisationer finns i förhandsgranskning och stöder endast dokumenterade arbetsbelastningar och regioner. Lär dig om återställning mellan klientorganisationer.

Andra säkerhetskontroller

Azure Backup har också inbyggda säkerhetskontroller för att förebygga, upptäcka och svara på säkerhetssårbarheter. Lär dig om Azure-säkerhetsbasen för Backup.

Internetanslutning krävs inte för säkerhetskopiering av Azure VM

Azure VM:s backuptrafik använder Azure-backbone-nätverket och kräver ingen åtkomst till ditt virtuella nätverk. Du behöver inte tillåta IP-adresser eller fullt kvalificerade domännamn för säkerhetskopiering av Azure-VM:ar i skyddade nätverk.

Private endpoints for Azure Backup

Privata endpoints tillhandahåller privat anslutning för stödda Recovery Services vault-arbetsbelastningar, inklusive SQL Server och SAP Hana i Azure VMs, MARS-agentbackuper, DPM och stödd filåterställning. För stödda scenarier, se privata endpoints för Azure Backup.

Säkerhetsfunktioner som hjälper till att skydda hybridsäkerhetskopior

Azure Backup tillhandahåller säkerhetsfunktioner för hybrida säkerhetskopior, inklusive extra autentisering för kritiska operationer, e-postnotiser för kritiska operationer och kryptering av MARS-säkerhetskopieringsdata med en lösenfras före uppladdning. Data dekrypteras först efter nedladdning, och lösenfrasen skickas inte till Azure Backup. För stödda hybrida backupkonfigurationer som använder dessa säkerhetsfunktioner sparas raderad backupdata i ytterligare 14 dagar, och ett minimum antal återställningspunkter upprätthålls för att hjälpa till att återställa från korruption. Skydda lösenfrasen så att du kan återställa data när det behövs. Läs om säkerhetsfunktioner för hybridbackup.

Övervakning och aviseringar om misstänkt aktivitet

Azure Backup tillhandahåller inbyggd övervakning och varningar för säkerhetskopieringsoperationer. Använd säkerhetskopieringsrapporter för att spåra säkerhetskopierings- och återställningsaktivitet samt identifiera trender. För fler övervakningsalternativ, se övervakning och rapportering för Azure Backup.

Säkerhetsstatus och säkerhetsnivåer

Azure Backup säkerhetsnivåer sammanfattar säkerhetsinställningar som tillämpas på skyddade objekt. Använd dem för att identifiera konfigurationsluckor i din backup-miljö.

Lär dig hur du granskar säkerhetsnivåer bland skyddade objekt.

Efterlevnad av standardiserade säkerhetskrav

Azure Backup tillhandahåller servicekontroller, certifieringar och attestationer som kan hjälpa dig att bedöma tillämpliga nationella, regionala och branschspecifika krav. Gå igenom Azure-efterlevnadserbjudanden för detaljer.

Nästa steg

• Säker som standard med mjuk borttagning för Azure Backup
• Säkerhetsfunktioner för att skydda hybridsäkerhetskopior som använder Azure Backup
• regulatoriska efterlevnadskontroller i Azure Policy för Azure Backup