Реализация элементов управления безопасностью для защиты резервных копий

  • 7 мин

Одним из наиболее важных шагов для защиты данных является создание надежной инфраструктуры резервного копирования. Но при этом не менее важно обеспечить безопасность процессов резервного копирования и надежную защиту резервных копий. Azure Backup обеспечивает безопасность для среды резервного копирования как при передаче, так и при хранении данных. В этом уроке перечислены возможности безопасности в Службе архивации Azure, которые помогают защитить данные резервного копирования и удовлетворить потребности в безопасности вашего бизнеса.

Управление удостоверениями и доступом пользователей

Учетные записи хранения, которые используются хранилищами Служб восстановления, изолированы и недоступны для пользователей-злоумышленников. Доступ разрешается только через операции управления Azure Backup, такие как восстановление. Azure Backup позволяет контролировать операции с помощью детализированного доступа через управление доступом на основе ролей Azure. Управление доступом на основе ролей Azure позволяет отделять обязанности в команде и предоставлять пользователям доступ только к пользователям, необходимым для выполнения своих заданий.

Azure Backup предоставляет три встроенные роли для операций управления резервным копированием:

  • Участник резервного копирования: создание резервных копий и управление ими, кроме удаления хранилища служб восстановления и предоставления доступа к другим пользователям
  • Оператор резервного копирования: все, что участник делает, кроме удаления резервных копий и управления политиками резервного копирования
  • Средство чтения резервных копий: разрешения для просмотра всех операций управления резервными копиями

Дополнительные сведения об управлении доступом на основе ролей Azure для управления Azure Backup.

Azure Backup предоставляет несколько встроенных средств управления безопасностью, которые позволяют предотвращать и обнаруживать уязвимости системы безопасности, а также реагировать на них. См. сведения об элементах управления безопасностью для Azure Backup.

Изоляция данных с помощью Azure Backup

С помощью Azure Backup архивированные данные резервного копирования хранятся в управляемой корпорацией Майкрософт подписке и клиенте Azure. Внешние пользователи или гости не имеют прямого доступа к этому хранилищу резервных копий или его содержимому, обеспечивая изоляцию резервных данных из рабочей среды, в которой находится источник данных.

В Azure все передаваемые данные и обмен данными безопасно передаются с помощью протоколов HTTPS и TLS 1.2+ . Эти данные остаются в магистральной сети Azure, обеспечивая надежную и эффективную передачу данных. Данные резервного копирования, находящиеся в состоянии покоя, шифруются по умолчанию с помощью ключей, управляемых Microsoft. Вы также можете принести собственные ключи для шифрования, если требуется более широкий контроль над данными. Чтобы повысить защиту, можно использовать неизменяемость, которая предотвращает изменение или удаление данных до его срока хранения. Azure Backup предоставляет различные варианты, такие как обратимое удаление, остановка резервного копирования и удаление данных или хранение данных, если вам нужно остановить резервное копирование в любое время. Чтобы защитить критически важные операции, можно добавить многопользовательскую авторизацию (MUA), которая добавляет дополнительный уровень защиты с помощью ресурса Azure с именем Azure Resource Guard.

Этот надежный подход гарантирует, что даже в скомпрометированной среде существующие резервные копии не могут быть изменены или удалены несанкционированными пользователями.

Для резервного копирования виртуальных машин Azure не требуется подключение к Интернету.

Для резервного копирования виртуальных машин Azure требуется перемещение данных с диска виртуальной машины в хранилище Служб восстановления. Но все необходимые подключения и передача данных обрабатываются только в магистральной сети Azure, без доступа к виртуальной сети. Поэтому для резервного копирования виртуальных машин Azure, размещенных в защищенных сетях, не требуется предоставлять доступ к каким-либо IP-адресам или полным доменным именам.

Частные конечные точки для Azure Backup

Теперь вы можете использовать частные конечные точки для безопасного резервного копирования данных с серверов внутри виртуальной сети в хранилище Служб восстановления. Частная конечная точка использует IP-адрес из адресного пространства виртуальной сети для хранилища, поэтому вам не нужно предоставлять виртуальные сети общедоступным IP-адресам. Частные конечные точки можно использовать для резервного копирования и восстановления баз данных SQL и SAP HANA, которые работают в виртуальных машинах Azure. Их также можно использовать для локальных серверов с помощью агента MARS.

Дополнительные сведения о частных конечных точках для Azure Backup можно узнать здесь.

Шифрование данных

Шифрование защищает данные и помогает соблюсти корпоративные требования к обеспечению безопасности и соответствия. Шифрование данных выполняется на многих этапах работы службы Azure Backup.

Мягкое удаление

Azure Backup предоставляет функции безопасности для защиты данных резервного копирования даже после удаления. При обратимом удалении резервной копии виртуальной машины данные резервного копирования сохраняются в течение 14 дополнительных дней, что позволяет восстановить этот элемент резервной копии без потери данных. Дополнительное хранение данных резервного копирования в течение 14 дней в состоянии "мягкого удаления" не влечет за собой никаких затрат. Узнайте больше о мягком удалении.

Azure Backup теперь также усовершенствовал обратимое удаление, чтобы повысить вероятность восстановления данных после удаления. Подробнее.

Неизменяемые хранилища

Неизменяемое хранилище может помочь защитить данные резервного копирования, блокируя любые операции, которые могут привести к потере точек восстановления. Кроме того, можно заблокировать неизменяемый параметр хранилища, чтобы сделать его необратимым, что может препятствовать отключению неизменяемости и удалению резервных копий любых вредоносных субъектов. Узнайте больше о неизменяемых хранилищах.

Авторизация нескольких пользователей

Многопользовательская авторизация (MUA) для Azure Backup позволяет добавить дополнительный уровень защиты к критически важным операциям в хранилищах служб восстановления и хранилищах резервных копий. Для MUA служба Azure Backup использует ресурс Azure Resource Guard, чтобы обеспечить выполнение критических операций только с соответствующей авторизацией. Дополнительные сведения о многопользовательской авторизации для Azure Backup.

Улучшенное мягкое удаление

Усовершенствованное мягкое удаление дает вам возможность восстанавливать данные даже после их удаления, случайного или вредоносного. Он работает путем задержки постоянного удаления данных на определенное время, предоставляя вам возможность восстановить данные. Вы также можете сделать мягкое удаление постоянно активным, чтобы предотвратить его отключение. Дополнительные сведения о расширенных возможностях мягкого удаления для резервного копирования.

Мониторинг подозрительных действий и создание оповещений о них

Azure Backup предоставляет встроенные возможности мониторинга и оповещения для просмотра и настройки действий для событий, связанных с Azure Backup. Отчеты резервного копирования служат для отслеживания использования, аудита резервных копий и восстановления и выявления ключевых тенденций на различных уровнях детализации. Использование средств мониторинга и создания отчетов в Azure Backup предоставляет важные сведения о несанкционированных, подозрительных или вредоносных действиях сразу же после их появления.

Средства безопасности для защиты гибридных резервных копий

Azure Backup использует агент Служб восстановления Microsoft Azure (MARS) для резервного копирования и восстановления файлов, папок, томов или состояний системы с локального компьютера в Azure. Службы MARS теперь поддерживают средства безопасности для защиты гибридных резервных копий. К этим функциям относятся:

  • При выполнении критически важных операций, таких как изменение парольной фразы, добавляется дополнительный уровень аутентификации. Это гарантирует, что такие операции могут выполнять только пользователи с действительными учетными данными Azure. Узнайте больше о функциях, которые препятствуют атакам.
  • Удаленные данные резервных копий хранятся в течение дополнительных 14 дней после удаления. Это гарантирует возможность восстановить данные в течение указанного периода времени, так что данные не будут утеряны даже в случае атаки. Кроме того, повышение минимального числа точек восстановления позволяет защититься от повреждения данных. Узнайте о восстановлении удаленных данных резервных копий.
  • Для данных, защищенных агентом Службы восстановления Microsoft Azure (MARS), назначается парольная фраза для шифрования данных перед отправкой в Azure Backup. Расшифровка выполняется только после получения резервной копии из Azure Backup. Эта парольная фраза известна только пользователю, создавшему ее, и агенту, для которого она настроена. Эти данные никогда не передаются службе и не предоставляются в общий доступ. Это обеспечивает полную безопасность ваших данных, поскольку даже при непреднамеренном раскрытии (например, в результате атаки типа "человек посередине" на сеть) данные невозможно использовать без парольной фразы, которая никогда не передаётся по сети.

Положение безопасности и уровни безопасности

Azure Backup предоставляет функции безопасности на уровне хранилища для защиты данных резервного копирования, которые в нем хранятся. Эти меры безопасности охватывают параметры, связанные с решением Azure Backup для хранилищ, и защищенные источники данных, содержащиеся в хранилищах.

Уровни безопасности для хранилищ Azure Backup классифицируются следующим образом:

  • Отличный (максимум): этот уровень представляет самую высокую безопасность, которая обеспечивает комплексную защиту. Это можно сделать, если все данные резервного копирования защищены от случайного удаления и защищаются от атак программ-шантажистов. Для обеспечения высокого уровня безопасности необходимо выполнить следующие условия:

  • Хорошее (адекватное): это означает надежный уровень безопасности, который обеспечивает надежную защиту данных. Защищает существующие резервные копии от непреднамеренного удаления и улучшает потенциал для восстановления данных. Чтобы достичь этого уровня безопасности, необходимо включить неизменяемость с блокировкой или обратимым удалением.

  • Fair (Minimum/Average): это базовый уровень безопасности, подходящий для стандартных требований к защите. Основные операции резервного копирования пользуются дополнительным уровнем защиты. Для достижения минимальной безопасности необходимо включить многопользовательскую авторизацию (MUA) в хранилище.

  • Плохое (плохое или нет): это означает недостаток в мерах безопасности, которые менее подходят для защиты данных. На этом уровне не существуют ни расширенные защитные функции, ни исключительно обратимые возможности. Безопасность на уровне "Нет" обеспечивает защиту только от случайных удалений.

Вы можете просматривать уровни безопасности во всех источниках данных в соответствующих хранилищах и управлять ими с помощью Центра непрерывности бизнес-процессов Azure.

Обеспечение соответствия стандартизированным требованиям к безопасности

Чтобы помочь организациям соответствовать национальным или региональным и отраслевым требованиям, определяющим сбор и использование данных отдельных лиц, Microsoft Azure и Azure Backup предлагает полный набор сертификатов и аттестаций. См. список сертификатов соответствия требованиям