Säkerhetskontroll: Säkerhetskopiering och återställning

  • Artikel

Säkerhetskopiering och återställning omfattar kontroller för att säkerställa att data och konfigurationssäkerhetskopior på olika tjänstnivåer utförs, valideras och skyddas.

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

CIS Controls v8 ID(s) NIST SP 800-53 r4 ID:n PCI-DSS ID(s) v3.2.1
11.2 CP-2, CP-4, CP-9 Ej tillämpligt

Säkerhetsprincip: Säkerställ säkerhetskopiering av affärskritiska resurser, antingen när resursen skapas eller framtvingas via principen för befintliga resurser.

Azure-vägledning: För Azure Backup resurser som stöds (till exempel virtuella Azure-datorer, SQL Server, HANA-databaser, Azure PostgreSQL Database, filresurser, blobbar eller diskar) aktiverar du Azure Backup och konfigurerar önskad frekvens och kvarhållningsperiod. För virtuella Azure-datorer kan du använda Azure Policy för att aktivera säkerhetskopiering automatiskt med hjälp av Azure Policy.

För resurser eller tjänster som inte stöds av Azure Backup använder du den interna säkerhetskopieringsfunktionen som tillhandahålls av resursen eller tjänsten. Azure Key Vault tillhandahåller till exempel en inbyggd säkerhetskopieringsfunktion.

För resurser/tjänster som varken stöds av Azure Backup eller har en inbyggd säkerhetskopieringsfunktion, utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar din egen mekanism enligt dina affärskrav. Exempel:

  • Om du använder Azure Storage för datalagring aktiverar du blobversionshantering för dina lagringsblobar, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i Azure Storage.
  • Tjänstkonfigurationsinställningar kan vanligtvis exporteras till Azure Resource Manager mallar.

Azure-implementering och ytterligare kontext:

AWS-vägledning: För resurser som stöds av AWS Backup (till exempel EC2, S3, EBS eller RDS) aktiverar du AWS Backup och konfigurerar önskad frekvens och kvarhållningsperiod.

För resurser/tjänster som inte stöds av AWS Backup, till exempel AWS KMS, aktiverar du den inbyggda säkerhetskopieringsfunktionen som en del av resursskapandet.

För resurser/tjänster som varken stöds av AWS Backup eller har en inbyggd säkerhetskopieringsfunktion utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar din egen mekanism enligt dina affärskrav. Exempel:

  • Om Amazon S3 används för datalagring aktiverar du S3-versionshantering för din lagringsserveruppsättning, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i S3-bucketen.
  • Tjänstkonfigurationsinställningar kan vanligtvis exporteras till CloudFormation-mallar.

AWS-implementering och ytterligare kontext:

GCP-vägledning: För resurser som stöds av Google Cloud Backup (till exempel datormotor, molnlagring och containrar) aktiverar du GCP Backup och konfigurerar önskad frekvens och kvarhållningsperiod.

För resurser eller tjänster som inte stöds av Google Cloud Backup använder du den interna säkerhetskopieringsfunktionen som tillhandahålls av resursen eller tjänsten. Secret Manager tillhandahåller till exempel en inbyggd säkerhetskopieringsfunktion.

För resurser/tjänster som varken stöds av Google Cloud Backup eller har en inbyggd säkerhetskopieringsfunktion utvärderar du dina säkerhetskopierings- och katastrofbehov och skapar din egen mekanism enligt dina affärskrav. Exempel:

  • Om du använder Google Storage för lagring av säkerhetskopieringsdata aktiverar du versionshantering av lagring för objektversionering, vilket gör att du kan bevara, hämta och återställa varje version av varje objekt som lagras i Google Storage.

GCP-implementering och ytterligare kontext:

Kunders säkerhetsintressenter (Läs mer):

BR-2: Skydda säkerhetskopierings- och återställningsdata

CIS Controls v8 ID(s) NIST SP 800-53 r4 ID:n PCI-DSS ID(s) v3.2.1
11,3 CP-6, CP-9 3.4

Säkerhetsprincip: Se till att säkerhetskopieringsdata och åtgärder skyddas mot dataexfiltrering, dataintrång, utpressningstrojaner/skadlig kod och skadliga insiders. De säkerhetskontroller som ska tillämpas omfattar användar- och nätverksåtkomstkontroll, datakryptering i vila och under överföring.

Azure-vägledning: Använd multifaktorautentisering och Azure RBAC för att skydda kritiska Azure Backup åtgärder (till exempel ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfiguration). För Azure Backup resurser som stöds använder du Azure RBAC för att separera uppgifter och aktivera detaljerad åtkomst och skapa privata slutpunkter i azure-Virtual Network för att på ett säkert sätt säkerhetskopiera och återställa data från dina Recovery Services-valv.

För Azure Backup resurser som stöds krypteras säkerhetskopieringsdata automatiskt med azure-plattformshanterade nycklar med 256-bitars AES-kryptering. Du kan också välja att kryptera säkerhetskopiorna med hjälp av en kundhanterad nyckel. I det här fallet kontrollerar du att den kundhanterade nyckeln i Azure-Key Vault också finns i säkerhetskopieringsomfånget. Om du använder en kundhanterad nyckel använder du skydd mot mjuk borttagning och rensning i Azure Key Vault för att skydda nycklar från oavsiktlig eller skadlig borttagning. För lokala säkerhetskopior med Azure Backup tillhandahålls kryptering i vila med den lösenfras som du anger.

Skydda säkerhetskopierade data från oavsiktlig eller skadlig borttagning, till exempel utpressningstrojanattacker/försök att kryptera eller manipulera säkerhetskopieringsdata. För Azure Backup resurser som stöds aktiverar du mjuk borttagning för att säkerställa återställning av objekt utan dataförlust i upp till 14 dagar efter en obehörig borttagning och aktiverar multifaktorautentisering med hjälp av en PIN-kod som genereras i Azure Portal. Aktivera även geo-redundant lagring eller återställning mellan regioner för att säkerställa att säkerhetskopieringsdata kan återställas när det inträffar en katastrof i den primära regionen. Du kan också aktivera zonredundant lagring (ZRS) för att säkerställa att säkerhetskopior kan återställas vid zonfel.

Obs! Om du använder en resurs interna säkerhetskopieringsfunktion eller andra säkerhetskopieringstjänster än Azure Backup läser du Microsoft Cloud Security Benchmark (och tjänstbaslinjer) för att implementera ovanstående kontroller.

Azure-implementering och ytterligare kontext:

AWS-vägledning: Använd AWS IAM-åtkomstkontroll för att skydda AWS Backup. Detta inkluderar att skydda AWS Backup-tjänstens åtkomst och säkerhetskopierings- och återställningspunkter. Exempelkontroller är:

  • Använd multifaktorautentisering (MFA) för kritiska åtgärder, till exempel borttagning av en säkerhetskopia/återställningspunkt.
  • Använd Secure Sockets Layer (SSL)/Transport Layer Security (TLS) för att kommunicera med AWS-resurser.
  • Använd AWS KMS tillsammans med AWS Backup för att kryptera säkerhetskopieringsdata antingen med hjälp av kundhanterad CMK eller en AWS-hanterad CMK som är associerad med AWS Backup-tjänsten.
  • Använd AWS Backup Vault Lock för oföränderlig lagring av kritiska data.
  • Skydda S3-bucketar via åtkomstprincip, inaktivera offentlig åtkomst, framtvinga vilande datakryptering och versionshanteringskontroll.

AWS-implementering och ytterligare kontext:

GCP-vägledning: Använd dedikerade konton med den starkaste autentiseringen för att utföra kritiska säkerhetskopierings- och återställningsåtgärder, till exempel ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfiguration. Detta skulle skydda säkerhetskopieringsdata från oavsiktlig eller skadlig borttagning, till exempel utpressningstrojanattacker/försök att kryptera eller manipulera säkerhetskopieringsdata.

För resurser som stöds av GCP Backup använder du Google IAM med roller och behörigheter för att separera uppgifter och aktivera detaljerad åtkomst samt konfigurera en anslutning till VPC för åtkomst till privata tjänster för att på ett säkert sätt säkerhetskopiera och återställa data från säkerhetskopierings-/återställningsinstallationen.

Säkerhetskopieringsdata krypteras automatiskt som standard på plattformsnivå med hjälp av AES-algoritmen (Advanced Encryption Standard), AES-256.

Obs! Om du använder en resurss interna säkerhetskopieringsfunktion eller andra säkerhetskopieringstjänster än GCP Backup bör du läsa respektive riktlinje för att implementera säkerhetskontrollerna. Du kan till exempel också skydda specifika VM-instanser från borttagning genom att ange egenskapen deletionProtection på en VM-instansresurs.

GCP-implementering och ytterligare kontext:

Kunders säkerhetsintressenter (Läs mer):

BR-3: Övervaka säkerhetskopior

CIS Controls v8 ID(s) NIST SP 800-53 r4 ID:n PCI-DSS ID(s) v3.2.1
11,3 CP-9 Ej tillämpligt

Säkerhetsprincip: Se till att alla affärskritiska skyddsbara resurser är kompatibla med den definierade säkerhetskopieringsprincipen och standarden.

Azure-vägledning: Övervaka din Azure-miljö för att säkerställa att alla viktiga resurser är kompatibla ur ett säkerhetskopieringsperspektiv. Använd Azure Policy för säkerhetskopiering för att granska och framtvinga sådana kontroller. För Azure Backup resurser som stöds hjälper Backup Center dig att centralt styra din säkerhetskopieringsegendom.

Se till att kritiska säkerhetskopieringsåtgärder (ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfigurationen) övervakas, granskas och har aviseringar på plats. För Azure Backup resurser som stöds kan du övervaka övergripande säkerhetskopieringshälsa, få aviseringar om kritiska säkerhetskopieringsincidenter och granska utlösta användaråtgärder i valv.

Obs! Använd även inbyggda principer (Azure Policy) om det är tillämpligt för att säkerställa att dina Azure-resurser har konfigurerats för säkerhetskopiering.

Azure-implementering och ytterligare kontext:

AWS-vägledning: AWS Backup fungerar med andra AWS-verktyg så att du kan övervaka dess arbetsbelastningar. Dessa verktyg omfattar följande:

  • Använd AWS Backup Audit Manager för att övervaka säkerhetskopieringsåtgärderna för att säkerställa efterlevnaden.
  • Använd CloudWatch och Amazon EventBridge för att övervaka AWS Backup-processer.
  • Använd CloudWatch för att spåra mått, skapa larm och visa instrumentpaneler.
  • Använd EventBridge för att visa och övervaka AWS Backup-händelser.
  • Använd Amazon Simple Notification Service (Amazon SNS) för att prenumerera på AWS Backup-relaterade ämnen som säkerhetskopiering, återställning och kopiering av händelser.

AWS-implementering och ytterligare kontext:

GCP-vägledning: Övervaka din miljö för säkerhetskopiering och haveriberedskap för att säkerställa att alla dina kritiska resurser är kompatibla ur ett säkerhetskopieringsperspektiv. Använd organisationsprincip för säkerhetskopiering för att granska och framtvinga sådana kontroller. För resurser som stöds av GCP Backup hjälper hanteringskonsolen dig att centralt styra din säkerhetskopieringsegendom.

Se till att kritiska säkerhetskopieringsåtgärder (ta bort, ändra kvarhållning, uppdateringar av säkerhetskopieringskonfigurationen) övervakas, granskas och har aviseringar på plats. För resurser som stöds av GCP Backup övervakar du övergripande säkerhetskopieringshälsa, får aviseringar om kritiska säkerhetskopieringsincidenter och granskar utlösta användaråtgärder.

Obs! Använd i förekommande fall även inbyggda principer (organisationsprincip) för att säkerställa att dina Google-resurser har konfigurerats för säkerhetskopiering.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):

BR-4: Testa säkerhetskopiering regelbundet

CIS-kontroller v8 ID:n NIST SP 800-53 r4 ID:n PCI-DSS ID(er) v3.2.1
11.5 CP-4, CP-9 Ej tillämpligt

Säkerhetsprincip: Utför regelbundet dataåterställningstester av din säkerhetskopia för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO (mål för återställningstid) och RPO (mål för återställningspunkt).

Azure-vägledning: Utför regelbundet dataåterställningstester av din säkerhetskopia för att verifiera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO och RPO.

Du kan behöva definiera din teststrategi för säkerhetskopieringsåterställning, inklusive testomfång, frekvens och metod eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång.

Azure-implementering och ytterligare kontext:

AWS-vägledning: Utför regelbundet dataåterställningstester av din säkerhetskopia för att verifiera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO och RPO.

Du kan behöva definiera din teststrategi för säkerhetskopieringsåterställning, inklusive testomfång, frekvens och metod eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång. AWS-implementering och ytterligare kontext:

GCP-vägledning: Utför regelbundet dataåterställningstester av din säkerhetskopia för att kontrollera att säkerhetskopieringskonfigurationerna och tillgängligheten för säkerhetskopieringsdata uppfyller återställningsbehoven enligt definitionen i RTO och RPO.

Du kan behöva definiera din teststrategi för säkerhetskopieringsåterställning, inklusive testomfång, frekvens och metod eftersom det kan vara svårt att utföra det fullständiga återställningstestet varje gång.

GCP-implementering och ytterligare kontext:

Intressenter för kundsäkerhet (Läs mer):