Implementare controlli di sicurezza per proteggere i backup

  • 7 minuti

Uno dei passaggi più importanti che è possibile eseguire per proteggere i dati consiste nell'avere un'infrastruttura di backup affidabile. Ma è altrettanto importante assicurarsi che i dati vengano sottoposti a backup in modo sicuro e che i backup siano sempre protetti. Backup di Azure offre sicurezza all'ambiente di backup, sia quando i dati sono in transito che inattivi. Questa unità elenca le funzionalità di sicurezza di Backup di Azure che consentono di proteggere i dati di backup e soddisfare le esigenze di sicurezza dell'azienda.

Gestione e controllo dell'identità e dell'accesso degli utenti

Gli account di archiviazione usati dagli insiemi di credenziali di Servizi di ripristino sono isolati e gli utenti non possono accedervi per eventuali azioni dannose. L'accesso è consentito solo tramite le operazioni di gestione di Backup di Azure, ad esempio il ripristino. Backup di Azure consente di controllare le operazioni gestite tramite l'accesso con granularità fine usando controllo degli accessi in base al ruolo di Azure. Il controllo degli accessi in base al ruolo di Azure consente di separare i compiti all'interno del team e concedere solo la quantità di accesso agli utenti necessari per svolgere il proprio lavoro.

Backup di Azure offre tre ruoli predefiniti per controllare le operazioni di gestione dei backup:

  • Collaboratore backup: per creare e gestire i backup, ad eccezione dell'eliminazione dell'insieme di credenziali di Servizi di ripristino e dell'accesso ad altri utenti
  • Operatore di backup: tutto ciò che un collaboratore esegue tranne la rimozione del backup e la gestione dei criteri di backup
  • Lettore di backup: autorizzazioni per visualizzare tutte le operazioni di gestione dei backup

Altre informazioni su controllo degli accessi in base al ruolo di Azure per gestire Backup di Azure.

Backup di Azure include diversi controlli di sicurezza integrati nel servizio per impedire, rilevare e rispondere alle vulnerabilità di sicurezza. Altre informazioni sui controlli di sicurezza per Backup di Azure.

Isolamento dei dati con Backup di Azure

Con Backup di Azure, i dati di backup con insieme di credenziali vengono archiviati nella sottoscrizione e nel tenant di Azure gestiti da Microsoft. Gli utenti esterni o gli utenti guest non hanno accesso diretto a questa archiviazione di backup o al relativo contenuto, garantendo l'isolamento dei dati di backup dall'ambiente di produzione in cui risiede l'origine dati.

In Azure tutte le comunicazioni e i dati in transito vengono trasferiti in modo sicuro con https e protocolli tls 1.2+. Questi dati rimangono nella rete backbone di Azure garantendo una trasmissione dati affidabile ed efficiente. I dati di backup inattivi vengono crittografati per impostazione predefinita usando chiavi gestite da Microsoft. È anche possibile usare chiavi personalizzate per la crittografia se è necessario un maggiore controllo sui dati. Per migliorare la protezione, è possibile usare immutabilità, che impedisce la modifica o l'eliminazione dei dati prima del periodo di conservazione. Backup di Azure offre diverse opzioni, ad esempio eliminazione temporanea, arrestare il backup ed eliminare i dati o conservare i dati se è necessario arrestare i backup in qualsiasi momento. Per proteggere le operazioni critiche, è possibile aggiungere di autorizzazione multiutente (MUA) che aggiunge ulteriore livello di protezione usando una risorsa di Azure denominata Azure Resource Guard.

Questo approccio affidabile garantisce che, anche in un ambiente compromesso, i backup esistenti non possano essere manomessi o eliminati da utenti non autorizzati.

Connettività Internet non necessaria per il backup di macchine virtuali di Azure

Il backup delle macchine virtuali di Azure richiede lo spostamento dei dati dal disco della macchina virtuale all'insieme di credenziali di Servizi di ripristino. Tuttavia, tutte le comunicazioni e il trasferimento dei dati necessari si verificano solo nella rete backbone di Azure senza dover accedere alla rete virtuale. Di conseguenza, il backup di macchine virtuali di Azure inserite all'interno di reti protette non richiede l'accesso ad indirizzi IP o FQDN.

Endpoint privati per Backup di Azure

È ora possibile usare endpoint privati per eseguire il backup dei dati in modo sicuro dai server all'interno di una rete virtuale nell'insieme di credenziali di Servizi di ripristino. L'endpoint privato usa un indirizzo IP dello spazio indirizzi della rete virtuale per l'insieme di credenziali, quindi non è necessario esporre le reti virtuali ad indirizzi IP pubblici. Gli endpoint privati possono essere usati per eseguire il backup e il ripristino dei database SQL e SAP HANA eseguiti all'interno delle macchine virtuali di Azure. Può essere usato anche per i server locali usando l'agente MARS.

Altre informazioni sugli endpoint privati per Backup di Azure qui.

Crittografia dei dati

La crittografia protegge i dati e consente di soddisfare gli obblighi di sicurezza e conformità dell'organizzazione. La crittografia dei dati si verifica in molte fasi di Backup di Azure:

Eliminazione morbida

Backup di Azure offre funzionalità di sicurezza che consentono di proteggere i dati di backup anche dopo l'eliminazione. Con l'eliminazione temporanea, se si elimina il backup di una macchina virtuale, i dati di backup vengono conservati per 14 giorni aggiuntivi, consentendo il ripristino di tale elemento di backup senza perdita di dati. Il aggiuntivo di 14 giorni di conservazione dei dati di backup nello stato di eliminazione temporanea non comporta alcun costo. Altre informazioni sull'eliminazione temporanea.

Backup di Azure ha ora migliorato anche l'eliminazione temporanea per migliorare ulteriormente le possibilità di ripristino dei dati dopo l'eliminazione. Ulteriori informazioni.

Insiemi di credenziali non modificabili

L'insieme di credenziali non modificabile consente di proteggere i dati di backup bloccando eventuali operazioni che potrebbero causare la perdita di punti di ripristino. È inoltre possibile bloccare l'impostazione dell'insieme di credenziali non modificabile per renderla irreversibile che può impedire a qualsiasi attore malintenzionato di disabilitare l'immutabilità ed eliminare i backup. Altre informazioni sugli insiemi di credenziali non modificabili.

Autorizzazione multiutente

L'autorizzazione multiutente (MUA) per Backup di Azure consente di aggiungere un ulteriore livello di protezione alle operazioni critiche sugli insiemi di credenziali di Servizi di ripristino e sugli insiemi di credenziali di backup. Per MUA, Backup di Azure usa un'altra risorsa di Azure denominata Resource Guard per garantire che le operazioni critiche vengano eseguite solo con l'autorizzazione applicabile. Altre informazioni sull'autorizzazione multiutente per Backup di Azure.

Eliminazione soffice migliorata

L'eliminazione temporanea avanzata consente di recuperare i dati anche dopo l'eliminazione, accidentalmente o dannosa. Funziona ritardando l'eliminazione permanente dei dati in base a una durata specificata, offrendo l'opportunità di recuperarli. È anche possibile rendere l'eliminazione temporanea sempre attiva per impedire che venga disabilitata. Altre informazioni sull'eliminazione temporanea avanzata per backup.

Monitoraggio e avvisi di attività sospette

Backup di Azure offre funzionalità predefinite di monitoraggio e avvisi per visualizzare e configurare azioni per gli eventi correlati a Backup di Azure. i report di backup fungono da destinazione uno-stop per tenere traccia dell'utilizzo, del controllo dei backup e dei ripristini e identificare le tendenze chiave a diversi livelli di granularità. Usando gli strumenti di monitoraggio e creazione di report di Backup di Azure è possibile inviare avvisi a qualsiasi attività non autorizzata, sospetta o dannosa non appena si verificano.

Funzionalità di sicurezza per la protezione dei backup ibridi

Il servizio Backup di Azure usa l'agente di Servizi di ripristino di Microsoft Azure (MARS, Microsoft Azure Recovery Services) per eseguire il backup e il ripristino di file, cartelle e dello stato del volume o del sistema da un computer locale ad Azure. MARS offre ora funzionalità di sicurezza per proteggere i backup ibridi. Queste funzionalità includono:

  • Viene aggiunto un ulteriore livello di autenticazione ogni volta che viene eseguita un'operazione critica, ad esempio la modifica di una passphrase. Questa convalida consiste nel garantire che tali operazioni possano essere eseguite solo dagli utenti con credenziali di Azure valide. Altre informazioni sulle funzionalità che impediscono attacchi.
  • I dati di backup eliminati vengono conservati per altri 14 giorni dalla data di eliminazione. Ciò garantisce la recuperabilità dei dati entro un determinato periodo di tempo, quindi non si verifica alcuna perdita di dati anche se si verifica un attacco. Inoltre, viene mantenuto un numero maggiore di punti di ripristino minimi per proteggersi dai dati danneggiati. Altre informazioni sul ripristino dei dati di backup eliminati.
  • Per i dati di cui è stato eseguito il backup usando l'agente servizi di ripristino di Microsoft Azure, viene usata una passphrase per assicurarsi che i dati vengano crittografati prima del caricamento in Backup di Azure e decrittografati solo dopo il download da Backup di Azure. I dettagli della passphrase sono disponibili solo per l'utente che ha creato la passphrase e l'agente configurato con esso. Non viene trasmesso o condiviso con il servizio. In questo modo si garantisce una sicurezza completa dei dati, poiché tutti i dati esposti inavvertitamente (ad esempio un attacco man-in-the-middle sulla rete) non sono utilizzabili senza la passphrase e la passphrase non viene inviata in rete.

Comportamento di sicurezza e livelli di sicurezza

Backup di Azure offre funzionalità di sicurezza a livello di insieme di credenziali per proteggere i dati di backup archiviati. Queste misure di sicurezza includono le impostazioni associate alla soluzione Backup di Azure per gli insiemi di credenziali e le origini dati protette contenute negli insiemi di credenziali.

I livelli di sicurezza per gli insiemi di credenziali di Backup di Azure sono classificati come segue:

  • Eccellente (massimo): questo livello rappresenta la massima sicurezza, che garantisce una protezione completa. È possibile ottenere questo risultato quando tutti i dati di backup sono protetti da eliminazioni accidentali e difende dagli attacchi ransomware. Per ottenere questo livello elevato di sicurezza, è necessario soddisfare le condizioni seguenti:

  • Buono (adeguato): questo significa un livello di sicurezza affidabile, che garantisce la protezione dei dati affidabile. Protegge i backup esistenti dalla rimozione imprevista e migliora il potenziale per il ripristino dei dati. Per ottenere questo livello di sicurezza, è necessario abilitare l'immutabilità con un blocco o un'eliminazione temporanea.

  • Fair (Minimum/Average): rappresenta un livello di sicurezza di base, appropriato per i requisiti di protezione standard. Le operazioni di backup essenziali traggono vantaggio da un ulteriore livello di protezione. Per ottenere una sicurezza minima, è necessario abilitare l'autorizzazione multiutente (MUA) nell'insieme di credenziali.

  • Poor (Bad/None): indica una carenza di misure di sicurezza, che è meno adatta per la protezione dei dati. In questo livello, non sono state applicate funzionalità protettive avanzate né esclusivamente reversibili. La sicurezza a livello None offre protezione principalmente da eliminazioni accidentali.

È possibile visualizzare e gestire i livelli di sicurezza in tutte le origini dati nei rispettivi insiemi di credenziali tramite il Centro continuità aziendale di Azure.

Conformità ai requisiti di sicurezza standardizzati

Per aiutare le organizzazioni a rispettare i requisiti nazionali/regionali e specifici del settore che regolano la raccolta e l'uso dei dati dei singoli utenti, Microsoft Azure & Backup di Azure offre un set completo di certificazioni e attestazioni. Vedere l'elenco delle certificazioni di conformità