Partilhar via

Controle de segurança: backup e recuperação

  • Artigo

O Backup and Recovery abrange controles para garantir que os backups de dados e configurações nas diferentes camadas de serviço sejam executados, validados e protegidos.

BR-1: Garanta backups automatizados regulares

Controles CIS v8 ID(s) NIST SP 800-53 r4 ID(s) PCI-DSS ID(s) v3.2.1
11.2 CP-2, CP-4, CP-9 N/A

Princípio de segurança: Garantir o backup de recursos críticos para os negócios, seja durante a criação de recursos ou aplicado por meio de políticas para recursos existentes.

Orientação do Azure : Para recursos com suporte no Backup do Azure (como VMs do Azure, SQL Server, bases de dados HANA, Base de Dados PostgreSQL do Azure, Partilhas de Ficheiros, Blobs ou Discos), ative o Backup do Azure e configure a frequência e o período de retenção desejados. Para a VM do Azure, você pode usar a Política do Azure para ter o backup habilitado automaticamente usando a Política do Azure.

Para recursos ou serviços não suportados pelo Backup do Azure, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Azure Key Vault fornece um recurso de backup nativo.

Para recursos/serviços que não são suportados pelo Backup do Azure nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastres e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usar o Armazenamento do Azure para armazenamento de dados, habilite o controle de versão de blob para seus blobs de armazenamento, o que permitirá preservar, recuperar e restaurar todas as versões de cada objeto armazenado no Armazenamento do Azure.
  • As definições de configuração de serviço geralmente podem ser exportadas para modelos do Azure Resource Manager.

implementação do Azure e contexto adicional:

orientação da AWS: para recursos compatíveis com o AWS Backup (como EC2, S3, EBS ou RDS), habilite o AWS Backup e configure a frequência e o período de retenção desejados.

Para recursos/serviços não suportados pelo AWS Backup, como o AWS KMS, habilite o recurso de backup nativo como parte de sua criação de recursos.

Para recursos/serviços que não são suportados pelo AWS Backup nem têm um recurso nativo de backup, avalie suas necessidades de backup e desastres e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se o Amazon S3 for usado para armazenamento de dados, habilite o versionamento do S3 para seu bucket de armazenamento, o que permitirá preservar, recuperar e restaurar todas as versões de todos os objetos armazenados no bucket do S3.
  • As definições de configuração do serviço geralmente podem ser exportadas para modelos do CloudFormation.

implementação da AWS e contexto adicional:

orientação do GCP: para recursos compatíveis com o Google Cloud Backup (como Compute Engine, Cloud Storage e Containers), ative o GCP Backup e configure a frequência e o período de retenção desejados.

Para recursos ou serviços não suportados pelo Google Cloud Backup, use o recurso de backup nativo fornecido pelo recurso ou serviço. Por exemplo, o Secret Manager fornece um recurso de backup nativo.

Para recursos/serviços que não são compatíveis com o Google Cloud Backup nem têm um recurso de backup nativo, avalie suas necessidades de backup e desastres e crie seu próprio mecanismo de acordo com seus requisitos de negócios. Por exemplo:

  • Se você usa o Armazenamento do Google para armazenamento de dados de backup, ative o controle de versão do armazenamento para o controle de versão do objeto, o que permitirá preservar, recuperar e restaurar todas as versões de todos os objetos armazenados no Armazenamento do Google.

implementação do GCP e contexto adicional:

Intervenientes na segurança do cliente (Saiba mais):

BR-2: Proteja os dados de backup e recuperação

Controles CIS v8 ID(s) NIST SP 800-53 r4 ID(s) PCI-DSS ID(s) v3.2.1
11.3 CP-6, CP-9 3.4

Princípio de segurança: Garantir que os dados e operações de backup estejam protegidos contra exfiltração de dados, comprometimento de dados, ransomware/malware e insiders mal-intencionados. Os controlos de segurança que devem ser aplicados incluem o controlo do acesso ao utilizador e à rede, a encriptação de dados em repouso e em trânsito.

Orientação do Azure: Use uma autenticação multifator e o RBAC do Azure para proteger as operações críticas do Backup do Azure (como exclusão, alterações de retenção, atualizações da configuração de backup). Para recursos com suporte do Backup do Azure, use o RBAC do Azure para segregar tarefas e permitir acesso detalhado, e criar pontos de extremidade privados na sua Rede Virtual do Azure para fazer backup e restaurar dados com segurança dos seus cofres de Serviços de Recuperação.

Para recursos suportados do Backup do Azure, os dados de backup são automaticamente criptografados usando chaves gerenciadas pela plataforma Azure com criptografia AES de 256 bits. Você também pode optar por criptografar os backups usando uma chave gerenciada pelo cliente. Nesse caso, verifique se a chave gerenciada pelo cliente no Cofre de Chaves do Azure também está no escopo de backup. Se você usar uma chave gerenciada pelo cliente, use a proteção de exclusão suave e limpeza no Cofre de Chaves do Azure para proteger as chaves contra exclusão acidental ou mal-intencionada. Para backups locais usando o Backup do Azure, a criptografia em repouso é fornecida usando a senha fornecida.

Proteja os dados de backup contra exclusão acidental ou maliciosa, como ataques/tentativas de ransomware de criptografar ou adulterar dados de backup. Para recursos com suporte do Backup do Azure, habilite a exclusão suave para garantir a recuperação de itens sem perda de dados por até 14 dias após uma exclusão não autorizada e habilite a autenticação multifator usando um PIN gerado no portal do Azure. Habilite também o armazenamento com redundância geográfica ou a restauração entre regiões para garantir que os dados de backup possam ser restaurados quando houver um desastre na região primária. Você também pode habilitar o ZRS (Zone-redundant Storage, armazenamento com redundância de zona) para garantir que os backups sejam restauráveis durante falhas zonais.

Observação: se você usar o recurso de backup nativo de um recurso ou serviços de backup diferentes do Backup do Azure, consulte o Microsoft Cloud Security Benchmark (e as linhas de base do serviço) para implementar os controles acima.

implementação do Azure e contexto adicional:

Orientação da AWS: use o controlo de acesso do AWS IAM para proteger o AWS Backup. Isso inclui proteger o acesso ao serviço de backup da AWS e os pontos de backup e restauração. Exemplos de controles incluem:

  • Use a autenticação multifator (MFA) para operações críticas, como a exclusão de um ponto de backup/restauração.
  • Use o Secure Sockets Layer (SSL)/Transport Layer Security (TLS) para se comunicar com os recursos da AWS.
  • Use o AWS KMS em conjunto com o AWS Backup para criptografar os dados de backup usando uma CMK gerenciada pelo cliente ou uma CMK gerenciada pela AWS associada ao serviço de backup da AWS.
  • Use o AWS Backup Vault Lock para armazenamento imutável de dados críticos.
  • Proteja buckets do S3 por meio de políticas de acesso, desativando o acesso público, impondo criptografia de dados em repouso e controle de versão.

implementação da AWS e contexto adicional:

pt-PT: orientações do GCP: use contas dedicadas com a autenticação mais forte para realizar operações críticas de backup e recuperação, como exclusão, alterações de retenção e atualizações na configuração de backup. Esta prática protegerá os dados de backup contra exclusão acidental ou maliciosa, como ataques de ransomware ou tentativas de criptografar ou manipular dados de backup.

Para recursos compatíveis com o GCP Backup, utilize o Google IAM com funções e permissões para segregar tarefas e habilitar acesso granular. Configure uma conexão de acesso a serviços privados à VPC para realizar backup e restaurar dados com segurança a partir do sistema de backup/recuperação.

Os dados de backup são automaticamente criptografados por padrão no nível da plataforma usando o algoritmo AES (Advanced Encryption Standard), AES-256.

Nota: Se você usar o recurso de backup nativo de um recurso ou serviços de backup diferentes do GCP Backup, deverá consultar a respetiva diretriz para implementar os controles de segurança. Por exemplo, você também pode proteger instâncias específicas de VM contra exclusão definindo a propriedade deletionProtection em um recurso de instância de VM.

implementação do GCP e contexto adicional:

Intervenientes na segurança do cliente (Saiba mais):

BR-3: Monitorizar cópias de segurança

Controles CIS v8 ID(s) NIST SP 800-53 r4 ID(s) PCI-DSS ID(s) v3.2.1
11.3 CP-9 N/A

Princípio de segurança: Garantir que todos os recursos essenciais para os negócios estejam em conformidade com a política e o padrão de backup definidos.

orientação do Azure: Monitore o seu ambiente do Azure para garantir que todos os seus recursos críticos estejam em conformidade do ponto de vista de backup. Utilize a Política do Azure para auditar e impor controles de backup. Para recursos com suporte do Backup do Azure, o Centro de Backup ajuda você a controlar centralmente sua propriedade de backup.

Certifique-se de que as operações críticas de backup (exclusão, retenção de alterações, atualizações na configuração de backup) sejam monitoradas, auditadas e tenham alertas em vigor. Para recursos com suporte do Backup do Azure, monitore a saúde geral dos backups, receba alertas sobre incidentes críticos de backup e audite as ações dos utilizadores nos cofres.

Observação: quando aplicável, use também políticas internas (Política do Azure) para garantir que seus recursos do Azure estejam configurados para backup.

implementação do Azure e contexto adicional:

de orientação da AWS: o AWS Backup funciona com outras ferramentas da AWS para capacitá-lo a monitorar suas cargas de trabalho. Essas ferramentas incluem o seguinte:

  • Use o AWS Backup Audit Manager para monitorar as operações de backup e garantir a conformidade.
  • Use o CloudWatch e o Amazon EventBridge para monitorar os processos do AWS Backup.
  • Use o CloudWatch para rastrear métricas, criar alarmes e visualizar painéis.
  • Use o EventBridge para visualizar e monitorar eventos do AWS Backup.
  • Use o Amazon Simple Notification Service (Amazon SNS) para assinar tópicos relacionados ao AWS Backup, como eventos de backup, restauração e cópia.

implementação da AWS e contexto adicional:

orientação do GCP: Monitore seu ambiente de backup e recuperação de desastres para garantir que todos os seus recursos críticos estejam em conformidade do ponto de vista do backup. Utilize a Política Organizacional de backup para auditar e impor esses controles. Para recursos suportados pelo GCP Backup, o Console de Gerenciamento ajuda você a controlar centralmente sua propriedade de backup.

Certifique-se de que as operações críticas de backup (exclusão, retenção de alterações, atualizações na configuração de backup) sejam monitoradas, auditadas e tenham alertas em vigor. Para recursos suportados pelo GCP Backup, monitore a integridade geral do backup, seja alertado sobre incidentes críticos de backup e audite as ações acionadas pelo usuário.

Observação: quando aplicável, use também políticas integradas (Política organizacional) para garantir que seus recursos do Google estejam configurados para backup.

implementação do GCP e contexto adicional:

Intervenientes na segurança do cliente (Saiba mais):

BR-4: Teste regularmente as cópias de segurança

Controles CIS v8 ID(s) NIST SP 800-53 r4 ID(s) PCI-DSS ID(s) v3.2.1
11.5 CP-4, CP-9 N/A

Princípio de segurança: Execute periodicamente testes de recuperação de dados do seu backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO (Recovery Time Objetive) e RPO (Recovery Point Objetive).

Orientação Azure: realize periodicamente testes de recuperação de dados do seu backup para verificar se as configurações e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo, a frequência e o método do teste, pois a execução do teste de recuperação completa sempre pode ser difícil.

implementação do Azure e contexto adicional:

orientação da AWS: execute periodicamente testes de recuperação de dados do seu backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo, a frequência e o método do teste, pois a execução do teste de recuperação completa sempre pode ser difícil. implementação da AWS e contexto adicional:

orientação do GCP: Execute periodicamente testes de recuperação de dados do seu backup para verificar se as configurações de backup e a disponibilidade dos dados de backup atendem às necessidades de recuperação, conforme definido no RTO e no RPO.

Talvez seja necessário definir sua estratégia de teste de recuperação de backup, incluindo o escopo, a frequência e o método do teste, pois a execução do teste de recuperação completa sempre pode ser difícil.

implementação do GCP e contexto adicional:

Intervenientes na segurança do cliente (Saiba mais):