Dela via

Säkerhetskontroll: Säkerhetskopiering och återställning

  • Artikel

Säkerhetskopiering och återställning omfattar kontroller för att säkerställa att data och konfigurationssäkerhetskopior på de olika tjänstnivåerna utförs, verifieras och skyddas.

BR-1: Se till att göra regelbundna automatiska säkerhetskopior

CIS Controls v8 ID(er) NIST SP 800-53 r4 ID(er) PCI-DSS ID:er v3.2.1
11.2 CP-2, CP-4, CP-9 Ej tillämpligt

Säkerhetsprincip: Säkerställ säkerhetskopiering av affärskritiska resurser, antingen när resursen skapas eller framtvingas via principen för befintliga resurser.

Azure-vägledning: För resurser som stöds av Azure Backup (till exempel virtuella Azure-datorer, SQL Server, HANA-databaser, Azure PostgreSQL Database, filresurser, blobbar eller diskar) aktiverar du Azure Backup och konfigurerar önskad frekvens och kvarhållningsperiod. För virtuella Azure-datorer kan du använda Azure Policy för att aktivera säkerhetskopiering automatiskt med hjälp av Azure Policy.

För resurser eller tjänster som inte stöds av Azure Backup använder du den interna säkerhetskopieringsfunktionen som tillhandahålls av resursen eller tjänsten. Azure Key Vault tillhandahåller till exempel en inbyggd säkerhetskopieringsfunktion.

För resurser/tjänster som varken stöds av Azure Backup eller har en inbyggd säkerhetskopieringsfunktion utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar en egen mekanism enligt dina affärskrav. Till exempel:

  • Om du använder Azure Storage för datalagring aktiverar du blobversionshantering för dina lagringsblobar, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i Azure Storage.
  • Tjänstkonfigurationsinställningar kan vanligtvis exporteras till Azure Resource Manager-mallar.

Azure-implementering och ytterligare kontext:

AWS-vägledning: För resurser som stöds av AWS Backup (till exempel EC2, S3, EBS eller RDS) aktiverar du AWS Backup och konfigurerar önskad frekvens och kvarhållningsperiod.

För resurser/tjänster som inte stöds av AWS Backup, till exempel AWS KMS, aktiverar du den inbyggda säkerhetskopieringsfunktionen som en del av resursskapandet.

För resurser/tjänster som varken stöds av AWS Backup eller har en inbyggd säkerhetskopieringsfunktion utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar din egen mekanism enligt dina affärskrav. Till exempel:

  • Om Amazon S3 används för datalagring aktiverar du S3-versionshantering för din lagringshink, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i din S3-bucket.
  • Tjänstkonfigurationsinställningar kan vanligtvis exporteras till CloudFormation-mallar.

AWS-implementering och ytterligare kontext:

GCP-vägledning: För resurser som stöds av Google Cloud Backup (till exempel datormotor, molnlagring och containrar) aktiverar du GCP Backup och konfigurerar önskad frekvens och kvarhållningsperiod.

För resurser eller tjänster som inte stöds av Google Cloud Backup använder du den inbyggda säkerhetskopieringsfunktionen som tillhandahålls av resursen eller tjänsten. Secret Manager tillhandahåller till exempel en inbyggd säkerhetskopieringsfunktion.

För resurser/tjänster som varken stöds av Google Cloud Backup eller har en inbyggd säkerhetskopieringsfunktion utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar din egen mekanism enligt dina affärskrav. Till exempel:

  • Om du använder Google Storage för lagring av säkerhetskopierade data aktiverar du lagringsversionshantering för objektversionshantering, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i Google Storage.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):

BR-2: Skydda säkerhetskopierings- och återställningsdata

CIS Controls v8 ID(er) NIST SP 800-53 r4 ID:n PCI-DSS ID(s) v3.2.1
11.3 CP-6, CP-9 3.4

Säkerhetsprincip: Se till att säkerhetskopieringsdata och åtgärder skyddas mot dataexfiltrering, dataintrång, utpressningstrojaner/skadlig kod och skadliga insiders. De säkerhetskontroller som ska tillämpas omfattar användar- och nätverksåtkomstkontroll, datakryptering i vila och under överföring.

Azure-vägledning: Använd multifaktorautentisering och Azure RBAC för att skydda de kritiska Azure Backup-åtgärderna (till exempel ta bort, ändra kvarhållning, uppdatera säkerhetskopieringskonfigurationen). För Azure Backup-resurser som stöds använder du Azure RBAC för att separera uppgifter och aktivera detaljerad åtkomst och skapa privata slutpunkter i ditt virtuella Azure-nätverk för att på ett säkert sätt säkerhetskopiera och återställa data från dina Recovery Services-valv.

För resurser som stöds i Azure Backup krypteras säkerhetskopieringsdata automatiskt med azure-plattformshanterade nycklar med 256-bitars AES-kryptering. Du kan också välja att kryptera säkerhetskopiorna med hjälp av en kundhanterad nyckel. I det här fallet kontrollerar du att den kundhanterade nyckeln i Azure Key Vault också finns i säkerhetskopieringsomfånget. Om du använder en kundhanterad nyckel använder du skydd mot mjuk borttagning och rensning i Azure Key Vault för att skydda nycklar från oavsiktlig eller skadlig borttagning. För lokala säkerhetskopior med Azure Backup tillhandahålls kryptering i vila med den lösenfras som du anger.

Skydda säkerhetskopierade data från oavsiktlig eller skadlig borttagning, till exempel utpressningstrojanattacker/försök att kryptera eller manipulera säkerhetskopieringsdata. För resurser som stöds av Azure Backup aktiverar du mjuk borttagning för att säkerställa återställning av objekt utan dataförlust i upp till 14 dagar efter en obehörig borttagning och aktiverar multifaktorautentisering med hjälp av en PIN-kod som genererats i Azure-portalen. Aktivera även geo-redundant lagring eller återställning mellan regioner för att säkerställa att säkerhetskopieringsdata kan återställas när det uppstår en katastrof i den primära regionen. Du kan också aktivera zonredundant lagring (ZRS) för att säkerställa att säkerhetskopior kan återställas vid zonfel.

Obs! Om du använder en resurss interna säkerhetskopieringsfunktion eller andra säkerhetskopieringstjänster än Azure Backup läser du Microsoft Cloud Security Benchmark (och tjänstbaslinjer) för att implementera ovanstående kontroller.

Azure-implementering och ytterligare kontext:

AWS-vägledning: Använd AWS IAM-åtkomstkontroll för att skydda AWS Backup. Detta omfattar att skydda AWS Backup-tjänstens åtkomst och säkerhetskopierings- och återställningspunkter. Exempelkontroller är:

  • Använd multifaktorautentisering (MFA) för kritiska åtgärder, till exempel borttagning av en säkerhetskopierings-/återställningspunkt.
  • Använd Secure Sockets Layer (SSL)/Transport Layer Security (TLS) för att kommunicera med AWS-resurser.
  • Använd AWS KMS tillsammans med AWS Backup för att kryptera säkerhetskopieringsdata med antingen kundhanterad CMK eller en AWS-hanterad CMK som är associerad med AWS Backup-tjänsten.
  • Använd AWS Backup Vault Lock för oföränderlig lagring av kritiska data.
  • Skydda S3-bucketar med åtkomstpolicy, inaktivera offentlig åtkomst, tvinga på kryptering för lagrad data och versioneringskontroll.

AWS-implementering och ytterligare kontext:

GCP-vägledning: Använd dedikerade konton med den starkaste autentiseringen för att utföra kritiska säkerhetskopierings- och återställningsåtgärder, till exempel ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfigurationen. Detta skulle skydda säkerhetskopierade data från oavsiktlig eller skadlig borttagning, till exempel utpressningstrojanattacker/försök att kryptera eller manipulera säkerhetskopieringsdata.

För resurser som stöds av GCP Backup använder du Google IAM med roller och behörigheter för att separera uppgifter och aktivera detaljerad åtkomst, samt konfigurera en anslutning för åtkomst till privata tjänster till VPC för att på ett säkert sätt säkerhetskopiera och återställa data från säkerhetskopierings-/återställningsinstallationen.

Säkerhetskopieringsdata krypteras automatiskt som standard på plattformsnivå med hjälp av AES-algoritmen (Advanced Encryption Standard), AES-256.

Obs! Om du använder en resurss interna säkerhetskopieringsfunktion eller andra säkerhetskopieringstjänster än GCP Backup bör du läsa respektive riktlinje för att implementera säkerhetskontrollerna. Du kan till exempel också skydda specifika VM-instanser från att tas bort genom att ange egenskapen deletionProtection på en VM-instansresurs.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):

BR-3: Övervaka säkerhetskopior

CIS Controls v8 ID(er) NIST SP 800-53 r4 ID:n PCI-DSS ID:er v3.2.1
11.3 CP-9 Ej tillämpligt

Säkerhetsprincip: Se till att alla affärskritiska skyddsbara resurser är kompatibla med den definierade säkerhetskopieringsprincipen och standarden.

Azure-vägledning: Övervaka din Azure-miljö för att säkerställa att alla dina kritiska resurser är kompatibla ur ett säkerhetskopieringsperspektiv. Använd Azure Policy för säkerhetskopiering för att granska och framtvinga sådana kontroller. För resurser som stöds av Azure Backup hjälper Backup Center dig att centralt styra din säkerhetskopieringsegendom.

Se till att kritiska säkerhetskopieringsåtgärder (ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfigurationen) övervakas, granskas och har aviseringar på plats. För resurser som stöds av Azure Backup övervakar du övergripande säkerhetskopieringshälsa, får aviseringar om kritiska säkerhetskopieringsincidenter och granskar utlösta användaråtgärder i valv.

Obs! Använd i tillämpliga fall även inbyggda principer (Azure Policy) för att säkerställa att dina Azure-resurser har konfigurerats för säkerhetskopiering.

Azure-implementering och ytterligare kontext:

AWS-vägledning: AWS Backup fungerar med andra AWS-verktyg så att du kan övervaka dess arbetsbelastningar. De här verktygen innehåller följande:

  • Använd AWS Backup Audit Manager för att övervaka säkerhetskopieringsåtgärderna för att säkerställa efterlevnaden.
  • Använd CloudWatch och Amazon EventBridge för att övervaka AWS-säkerhetskopieringsprocesser.
  • Använd CloudWatch för att spåra mått, skapa larm och visa instrumentpaneler.
  • Använd EventBridge för att visa och övervaka AWS Backup-händelser.
  • Använd Amazon Simple Notification Service (Amazon SNS) för att prenumerera på AWS Backup-relaterade ämnen som säkerhetskopiering, återställning och kopieringshändelser.

AWS-implementering och ytterligare kontext:

GCP-vägledning: Övervaka din miljö för säkerhetskopiering och haveriberedskap för att säkerställa att alla dina kritiska resurser är kompatibla ur ett säkerhetskopieringsperspektiv. Använd organisationsprincip för säkerhetskopiering för att granska och framtvinga sådana kontroller. För resurser som stöds av GCP Backup hjälper hanteringskonsolen dig att centralt hantera din säkerhetskopieringsmiljö.

Se till att kritiska säkerhetskopieringsåtgärder (ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfigurationen) övervakas, granskas och har aviseringar på plats. För resurser som stöds av GCP-säkerhetskopiering övervakar du övergripande säkerhetskopieringshälsa, får aviseringar om kritiska säkerhetskopieringsincidenter och granskar utlösta användaråtgärder.

Obs! Använd i tillämpliga fall även inbyggda principer (organisationsprincip) för att säkerställa att dina Google-resurser har konfigurerats för säkerhetskopiering.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):

BR-4: Testa säkerhetskopiering regelbundet

CIS Controls v8 ID(er) NIST SP 800-53 r4 ID:n PCI-DSS ID:er v3.2.1
11.5 CP-4, CP-9 Ej tillämpligt

Säkerhetsprincip: Utför regelbundet dataåterställningstester av säkerhetskopian för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO (mål för återställningstid) och RPO (mål för återställningspunkt).

Azure-vägledning: Utför regelbundet dataåterställningstester av din säkerhetskopia för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller de återställningsbehov som definieras i RTO och RPO.

Du kan behöva definiera din strategi för säkerhetskopieringsåterställningstest, inklusive testomfånget, frekvensen och metoden eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång.

Azure-implementering och ytterligare kontext:

AWS-vägledning: Utför regelbundet dataåterställningstester av din säkerhetskopia för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO och RPO.

Du kan behöva definiera din strategi för säkerhetskopieringsåterställningstest, inklusive testomfånget, frekvensen och metoden eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång. AWS-implementering och ytterligare kontext:

GCP-vägledning: Utför regelbundet dataåterställningstester av säkerhetskopian för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO och RPO.

Du kan behöva definiera din strategi för säkerhetskopieringsåterställningstest, inklusive testomfånget, frekvensen och metoden eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):