Controllo di sicurezza: backup e ripristino
Il backup e il ripristino illustrano i controlli per garantire che i backup di dati e configurazione nei diversi livelli di servizio vengano eseguiti, convalidati e protetti.
BR-1: Garantire backup automatici regolari
| CIS Controls v8 ID(s) | NIST SP 800-53 r4 ID | ID PCI-DSS v3.2.1 |
|---|---|---|
| 11.2 | CP-2, CP-4, CP-9 | N/D |
Principio di sicurezza: garantire il backup delle risorse critiche per l'azienda, durante la creazione delle risorse o tramite criteri applicati alle risorse esistenti.
linee guida di Azure: per le risorse supportate da Backup di Azure (ad esempio macchine virtuali di Azure, SQL Server, database HANA, database PostgreSQL di Azure, condivisioni file, BLOB o dischi), abilitare Backup di Azure e configurare la frequenza e il periodo di conservazione desiderati. Per la macchina virtuale di Azure, è possibile usare Criteri di Azure per abilitare automaticamente il backup usando Criteri di Azure.
Per le risorse o i servizi non supportati da Backup di Azure, usare la funzionalità di backup nativa fornita dalla risorsa o dal servizio. Azure Key Vault, ad esempio, offre una funzionalità di backup nativa.
Per le risorse o i servizi che non sono supportati da Backup di Azure né hanno una funzionalità di backup nativa, valutare le esigenze di backup e emergenza e creare un meccanismo personalizzato in base ai requisiti aziendali. Per esempio:
- Se usi Azure Storage per la conservazione dei dati, abilita il versionamento dei blob per la tua archiviazione, il che ti permetterà di conservare, recuperare e ripristinare ogni versione di ciascun oggetto archiviato nel tuo Azure Storage.
- Le impostazioni di configurazione del servizio possono in genere essere esportate nei modelli di Azure Resource Manager.
'implementazione di Azure e contesto aggiuntivo:
- Come abilitare il Backup di Azure
- Abilitazione Automatica del Backup alla Creazione di Macchine Virtuali Tramite Criteri di Azure
indicazioni aws: per le risorse supportate da AWS Backup (ad esempio EC2, S3, EBS o RDS), abilitare AWS Backup e configurare la frequenza e il periodo di conservazione desiderati.
Per risorse/servizi non supportati da AWS Backup, ad esempio AWS KMS, abilitare la funzionalità di backup nativa come parte della creazione delle risorse.
Per le risorse o i servizi che non sono supportati da AWS Backup né hanno una funzionalità di backup nativa, valutare le esigenze di backup e emergenza e creare un meccanismo personalizzato in base ai requisiti aziendali. Per esempio:
- Se Amazon S3 viene usato per l'archiviazione dei dati, abilitare il controllo delle versioni S3 per il bucket di archiviazione che consentirà di mantenere, recuperare e ripristinare ogni versione di ogni oggetto archiviato nel bucket S3.
- Le impostazioni di configurazione del servizio possono in genere essere esportate nei modelli CloudFormation.
implementazione AWS e contesto aggiuntivo:
- risorse supportate da AWS Backup e applicazioni di terze parti controllo delle versioni di Amazon S3: https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html
- procedure consigliate per AWS CloudFormation
linee guida GCP: per le risorse supportate da Google Cloud Backup (ad esempio motore di computer, archiviazione cloud e contenitori), abilitare il backup GCP e configurare la frequenza e il periodo di conservazione desiderati.
Per le risorse o i servizi non supportati da Google Cloud Backup, usare la funzionalità di backup nativa fornita dalla risorsa o dal servizio. Secret Manager, ad esempio, offre una funzionalità di backup nativa.
Per le risorse o i servizi che non sono supportati da Google Cloud Backup né hanno una funzionalità di backup nativa, valutare le esigenze di backup e emergenza e creare un meccanismo personalizzato in base ai requisiti aziendali. Per esempio:
- Se si usa Google Storage per l'archiviazione dei dati di backup, abilitare il controllo delle versioni di archiviazione per il controllo delle versioni degli oggetti che consentirà di conservare, recuperare e ripristinare ogni versione di ogni oggetto archiviato in Google Storage.
implementazione GCP e contesto aggiuntivo
- soluzioni di backup e ripristino di emergenza con Google Cloud
- Creare e gestire backup su richiesta e automatici
stakeholder della sicurezza dei clienti (Ulteriori informazioni):
- Politiche e standard
- architettura di sicurezza
- Sicurezza dell'infrastruttura e Sicurezza degli endpoint
- preparazione agli eventi imprevisti
BR-2: Proteggere i dati di backup e ripristino
| Versione 8 dei Controlli CIS ID(s) | NIST SP 800-53 r4 ID(s) | ID PCI-DSS v3.2.1 |
|---|---|---|
| 11.3 | CP-6, CP-9 | 3.4 |
principio di sicurezza: assicurarsi che i dati e le operazioni di backup siano protetti dall'esfiltrazione dei dati, dalla compromissione dei dati, da ransomware/malware e da utenti interni malintenzionati. I controlli di sicurezza che devono essere applicati includono il controllo di accesso utente e di rete, la crittografia dei dati inattivi e in transito.
indicazioni di Azure: usare l'autenticazione a più fattori e Azure RBAC per proteggere le operazioni critiche di Azure Backup, come l'eliminazione, la modifica della conservazione, gli aggiornamenti alla configurazione del backup. Per le risorse supportate da Backup di Azure, usare Azure RBAC per separare i compiti e abilitare l'accesso granulare e creare endpoint privati all'interno della rete virtuale di Azure per eseguire backup e ripristino dei dati in modo sicuro dai vault dei servizi di ripristino.
Per le risorse supportate da Backup di Azure, i dati di backup vengono crittografati automaticamente usando chiavi gestite dalla piattaforma Azure con crittografia AES a 256 bit. È anche possibile scegliere di crittografare i backup usando una chiave gestita dal cliente. In questo caso, assicurarsi che anche la chiave gestita dal cliente in Azure Key Vault sia nell'ambito di backup. Se si utilizza una chiave gestita dal cliente, impiegare il "soft delete" e la "protezione dalla cancellazione definitiva" in Azure Key Vault per proteggere le chiavi da eliminazioni accidentali o dannose. Per i backup locali con Backup di Azure, la crittografia dei dati inattivi viene fornita usando la passphrase fornita.
Proteggere i dati di backup da eliminazioni accidentali o dannose, ad esempio attacchi ransomware/tentativi di crittografare o manomettere i dati di backup. Per le risorse supportate da Backup di Azure, abilitare l'eliminazione temporanea per garantire il ripristino di elementi senza perdita di dati per un massimo di 14 giorni dopo un'eliminazione non autorizzata e abilitare l'autenticazione a più fattori usando un PIN generato nel portale di Azure. Abilitare anche l'archiviazione con ridondanza geografica o il ripristino tra aree per garantire che i dati di backup siano ripristinabili in caso di emergenza nell'area primaria. È anche possibile abilitare lo Storage con ridondanza di zona (ZRS) per assicurarsi che i backup siano ripristinabili durante i guasti di zona.
Nota: se si usa la funzionalità di backup nativa di una risorsa o i servizi di backup diversi da Backup di Azure, fare riferimento alle baseline di Microsoft Cloud Security Benchmark (e dei servizi) per implementare i controlli precedenti.
Implementazione di Azure e contesto aggiuntivo:
- Panoramica delle funzionalità di sicurezza in Backup di Azure
- Crittografia dei dati di backup tramite chiavi gestite dal cliente
- Funzionalità di sicurezza per proteggere i backup ibridi da attacchi
- Backup di Azure : impostare il ripristino tra aree
Guida AWS: Utilizzare il controllo di accesso AWS IAM per proteggere AWS Backup. Ciò include la protezione dell'accesso al servizio AWS Backup e dei punti di backup e ripristino. I controlli di esempio includono:
- Usare l'autenticazione a più fattori (MFA) per operazioni critiche, ad esempio l'eliminazione di un punto di backup/ripristino.
- Usare Secure Sockets Layer (SSL)/Transport Layer Security (TLS) per comunicare con le risorse AWS.
- Usare AWS KMS insieme a AWS Backup per crittografare i dati di backup usando cmk gestito dal cliente o un cmk gestito da AWS associato al servizio AWS Backup.
- Usare AWS Backup Vault Lock per l'archiviazione non modificabile dei dati critici.
- Proteggere i bucket S3 tramite criteri di accesso, disabilitando l'accesso pubblico, applicando la crittografia dei dati inattivi e il controllo delle versioni.
Implementazione di AWS econtesto aggiuntivo:
- Sicurezza in AWS Backup
- Buone pratiche di sicurezza per Amazon S3
indicazioni GCP: usare account dedicati con l'autenticazione più avanzata per eseguire operazioni di backup e ripristino critiche, ad esempio eliminazione, conservazione delle modifiche, aggiornamenti alla configurazione del backup. Ciò proteggerebbe i dati di backup da eliminazioni accidentali o dannose, ad esempio attacchi ransomware/tentativi di crittografare o manomettere i dati di backup.
Per le risorse supportate da GCP Backup, usare Google IAM con ruoli e autorizzazioni per separare i compiti e abilitare l'accesso con granularità fine e configurare una connessione di accesso ai servizi privati a VPC per eseguire in modo sicuro il backup e il ripristino dei dati dall'appliance di backup/ripristino.
I dati di backup vengono crittografati automaticamente a livello di piattaforma usando l'algoritmo AES (Advanced Encryption Standard), AES-256.
Nota: se si usa la funzionalità di backup nativa di una risorsa o i servizi di backup diversi da GCP Backup, è necessario fare riferimento alle rispettive linee guida per implementare i controlli di sicurezza. Ad esempio, è anche possibile proteggere istanze di vm specifiche dall'eliminazione impostando la proprietà deletionProtection in una risorsa dell'istanza di macchina virtuale.
implementazione GCP econtesto aggiuntivo:
- i criteri di conservazione e il blocco delle politiche di conservazione
- Servizio di backup e ripristino di emergenza
- Impedire l'eliminazione accidentale di macchine virtuali
Stakeholder della sicurezza dei clienti (Scopri di più):
- architettura di sicurezza
- La sicurezza dell'infrastruttura e degli endpoint
- preparazione agli eventi imprevisti
BR-3: Monitorare i backup
| CIS Controls v8 ID(s) | NIST SP 800-53 r4 ID(s) | ID PCI-DSS v3.2.1 |
|---|---|---|
| 11.3 | CP-9 | N/D |
principio di sicurezza: assicurarsi che tutte le risorse protette critiche per l'azienda siano conformi ai criteri di backup definiti e allo standard.
linee guida di Azure: monitorare l'ambiente di Azure per assicurarsi che tutte le risorse critiche siano conformi dal punto di vista del backup. Usare Criteri di Azure per verificare e applicare controlli di backup. Per le risorse supportate da Backup di Azure, il Centro backup consente di gestire centralmente il patrimonio di backup.
Assicurarsi che le operazioni di backup critiche (eliminazione, conservazione delle modifiche, aggiornamenti alla configurazione del backup) vengano monitorate, controllate e presenti avvisi. Per le risorse supportate da Backup di Azure, monitorare l'integrità complessiva del backup, ricevere avvisi per gli incidenti critici di backup e verificare le azioni degli utenti attivate sulle casseforti.
Nota: se applicabile, usare anche criteri predefiniti (Criteri di Azure) per assicurarsi che le risorse di Azure siano configurate per il backup.
implementazione di Azure e contesto aggiuntivo:
- Governare il patrimonio di backup con il Centro Backup
- Monitorare e gestire i backup usando il centro backup
- soluzioni di monitoraggio e creazione di report per Backup di Azure
guida AWS: AWS Backup funziona con altri strumenti AWS per consentire di monitorare i carichi di lavoro. Questi strumenti includono quanto segue:
- Usare AWS Backup Audit Manager per monitorare le operazioni di backup per garantire la conformità.
- Usare CloudWatch e Amazon EventBridge per monitorare i processi di backup di AWS.
- Usare CloudWatch per tenere traccia delle metriche, creare allarmi e visualizzare i dashboard.
- Usare EventBridge per visualizzare e monitorare gli eventi di AWS Backup.
- Usare Amazon Simple Notification Service (Amazon SNS) per sottoscrivere argomenti correlati a AWS Backup, ad esempio backup, ripristino ed eventi di copia.
implementazione di AWS econtesto aggiuntivo:
- AWS Backup Monitoring
- Monitoraggio degli eventi di AWS Backup con EventBridge
- Monitoraggio delle metriche di AWS Backup con CloudWatch
- Uso di Amazon SNS per tenere traccia degli eventi di AWS Backup
- Controllare i backup e creare report con AWS Backup Audit Manager
indicazioni GCP: monitorare l'ambiente di backup e ripristino di emergenza per assicurarsi che tutte le risorse critiche siano conformi dal punto di vista del backup. Utilizzare la politica dell'organizzazione per il backup per verificare e applicare tali controlli. Per le risorse supportate per il backup GCP, La Console di gestione consente di gestire centralmente il patrimonio di backup.
Assicurarsi che le operazioni di backup critiche (eliminazione, conservazione delle modifiche, aggiornamenti alla configurazione del backup) vengano monitorate, controllate e presenti avvisi. Per le risorse supportate da GCP Backup, monitorare l'integrità complessiva del backup, ricevere avvisi sugli incidenti di backup critici e verificare le azioni utente attivate.
Nota: se applicabile, usare anche i criteri predefiniti (Criteri organizzativi) per assicurarsi che le risorse di Google siano configurate per il backup.
Implementazione GCP e contesto aggiuntivo:
Portatori di interesse per la sicurezza dei clienti (Scopri di più):
BR-4: testare regolarmente il backup
| CIS Controls versione 8 ID(s) | NIST SP 800-53 r4 ID(s) | ID PCI-DSS v3.2.1 |
|---|---|---|
| 11.5 | CP-4, CP-9 | N/D |
Principio di sicurezza: eseguire periodicamente dei test di ripristino dei dati del backup per verificare che le configurazioni e la disponibilità dei dati di backup soddisfino le esigenze di ripristino come definito nell'RTO (Recovery Time Objective) e nell'RPO (Recovery Point Objective).
linee guida di Azure: eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino definite nell'obiettivo RTO e RPO.
Potrebbe essere necessario definire la strategia di test di ripristino del backup, inclusi l'ambito di test, la frequenza e il metodo, in quanto l'esecuzione del test di recupero completo ogni volta può essere difficile.
implementazione di Azure e contesto aggiuntivo:
- Come ripristinare i file dal backup di macchine virtuali di Azure
- Come ripristinare le chiavi di Key Vault in Azure
guida AWS: eseguire periodicamente i test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino definite in RTO (Recovery Time Objective) e RPO (Recovery Point Objective).
Potrebbe essere necessario definire la strategia di test di ripristino del backup, inclusi l'ambito di test, la frequenza e il metodo, in quanto l'esecuzione del test di recupero completo ogni volta può essere difficile. Implementazione di AWS econtesto aggiuntivo:
indicazioni GCP: Eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni e la disponibilità dei dati di backup soddisfino le esigenze di ripristino come definito negli obiettivi di RTO e RPO.
Potrebbe essere necessario definire la strategia di test di ripristino del backup, inclusi l'ambito di test, la frequenza e il metodo, in quanto l'esecuzione del test di recupero completo ogni volta può essere difficile.
implementazione GCP e contesto aggiuntivo:
Partecipanti alla sicurezza dei clienti (Scopri di più):