Übersicht über Sicherheitsfeatures in Azure Backup

  • Artikel

Einer der wichtigsten Schritte zum Schutz Ihrer Daten besteht darin, eine zuverlässige Sicherungsinfrastruktur anzuwenden. Es ist jedoch genauso wichtig, dafür zu sorgen, dass Ihre Daten auf sichere Weise gesichert werden und dass Ihre Sicherungen jederzeit geschützt sind. Azure Backup bietet Sicherheit für Ihre Sicherungsumgebung – sowohl während der Übertragung als auch bei ruhenden Daten. In diesem Artikel finden Sie Sicherheitsfunktionen von Azure Backup, die Ihnen helfen, Ihre Sicherungsdaten zu schützen und die Sicherheitsanforderungen Ihres Unternehmens zu erfüllen.

Verwalten und Steuern von Identitäten und Benutzerzugriff

Von Recovery Services-Tresoren verwendete Speicherkonten sind isoliert, sodass böswillige Akteure keinen Zugriff darauf erhalten. Der Zugriff ist nur über Azure Backup-Verwaltungsvorgänge, z. B. eine Wiederherstellung, zulässig. Mit Azure Backup können Sie die verwalteten Vorgänge über eine präzise Zugriffsverwaltung mithilfe der rollenbasierten Zugriffssteuerung in Azure (Azure RBAC) steuern. Mithilfe von Azure RBAC können Sie Aufgaben in Ihrem Team verteilen und Benutzern nur den Zugriff gewähren, den sie zur Ausführung ihrer Aufgaben benötigen.

Azure Backup bietet drei integrierte Rollen, um Vorgänge der Sicherungsverwaltung zu steuern:

  • Mitwirkender für Sicherungen: Erstellen und Verwalten von Sicherungen, außer Löschen von Recovery Services-Tresoren und Gewähren des Zugriffs für andere Personen
  • Sicherungsoperator: alle Berechtigungen eines Mitwirkenden, außer Entfernen von Sicherungen und Verwalten von Sicherungsrichtlinien
  • Sicherungsleser: Berechtigungen zum Anzeigen aller Vorgänge für die Sicherungsverwaltung

Weitere Informationen finden Sie unter Verwenden der rollenbasierten Zugriffssteuerung in Azure zum Verwalten von Azure Backup-Wiederherstellungspunkten.

Azure Backup verfügt über mehrere integrierte Sicherheitskontrollen, um Sicherheitsrisiken zu verhindern, zu erkennen und darauf zu reagieren. Erfahren Sie mehr über Sicherheitskontrollen für Azure Backup.

Datenisolation mit Azure Backup

Bei Azure Backup werden die gespeicherten Sicherungsdaten im von Microsoft verwalteten Azure-Abonnement und -Mandant gespeichert. Externe Benutzer oder Gäste haben keinen direkten Zugriff auf diesen Sicherungsspeicher oder deren Inhalte, um die Isolierung von Sicherungsdaten aus der Produktionsumgebung sicherzustellen, in der sich die Datenquelle befindet.

In Azure werden alle Kommunikationen und Daten während der Übertragung sicher mit HTTPS- und TLS 1.2+- Protokollen übertragen. Diese Daten verbleiben im Azure-Backbone-Netzwerk, um eine zuverlässige und effiziente Datenübertragung sicherzustellen. Die ruhenden Sicherungsdaten werden standardmäßig mit von Microsoft verwalteten Schlüsseln verschlüsselt. Sie können auch eigene Schlüssel für die Verschlüsselung mitbringen, wenn Sie eine bessere Kontrolle über die Daten benötigen. Um den Schutz zu verbessern, können Sie die Unveränderlichkeit benutzen, wodurch verhindert wird, dass Daten vor dem Aufbewahrungszeitraum geändert oder gelöscht werden. Azure Backup bietet Ihnen verschiedene Optionen, z . B. vorläufiges Löschen, Beenden der Sicherung und Löschung von Daten oder Aufbewahren von Daten, wenn Sie die Sicherungen jederzeit beenden müssen können. Um kritische Vorgänge zu schützen, können Sie Multi-User Authorization (MUA) hinzufügen, die eine zusätzliche Schutzebene mithilfe einer Azure-Ressource namens Azure Resource Guard hinzufügt.

Dieser robuste Ansatz stellt sicher, dass vorhandene Sicherungen selbst in einer kompromittierten Umgebung von nicht autorisierten Benutzern weder manipuliert noch gelöscht werden können.

Keine Internetkonnektivität für Azure-VM-Sicherungen erforderlich

Die Sicherung von virtuellen Azure-Computern erfordert das Verschieben von Daten vom Datenträger Ihres virtuellen Computers in den Recovery Services-Tresor. Die gesamte dazu erforderliche Kommunikation und Datenübertragung erfolgt jedoch ausschließlich im Azure-Backbone-Netzwerk, ohne dass auf Ihr virtuelles Netzwerk zugegriffen werden muss. Daher müssen Sie bei der Sicherung von virtuellen Azure-Computern, die sich in geschützten Netzwerken befinden, keinen Zugriff auf IP-Adressen oder FQDNs gewähren.

Private Endpunkte für Azure Backup

Sie können nun private Endpunkte verwenden, um Ihre Daten von Servern in einem virtuellen Netzwerk sicher in Ihrem Recovery Services-Tresor zu sichern. Der private Endpunkt verwendet eine IP-Adresse aus dem VNET-Adressraum für Ihren Tresor, sodass Sie die virtuellen Netzwerke nicht für öffentliche IP-Adressen verfügbar machen müssen. Private Endpunkte können zum Sichern und Wiederherstellen von SQL- und SAP HANA-Datenbanken verwendet werden, die auf Ihren virtuellen Azure-Computern ausgeführt werden. Sie können auch für lokale Server mit dem MARS-Agent verwendet werden.

Weitere Informationen zu privaten Endpunkten für Azure Backup finden Sie hier.

Verschlüsselung von Daten

Die Verschlüsselung schützt Ihre Daten und unterstützt Sie beim Einhalten der Sicherheits- und Complianceanforderungen Ihrer Organisation. Die Datenverschlüsselung erfolgt in vielen Phasen in Azure Backup:

Vorläufiges Löschen

Azure Backup bietet Sicherheitsfunktionen, um die Sicherungsdaten auch nach dem Löschen zu schützen. Wenn Sie das Backup einer VM löschen, bleiben die Backup-Daten noch 14 Tage lang erhalten, so dass die Wiederherstellung dieses Sicherungselements ohne Datenverlust möglich ist. Für die zusätzliche 14-tägige Aufbewahrung der Sicherungsdaten im Zustand vorläufiges Löschen fallen keine Kosten an. Erfahren Sie mehr über das vorläufige Löschen.

Azure Backup hat jetzt auch das vorläufige Löschen verbessert, um die Chancen auf die Wiederherstellung von Daten nach dem Löschen weiter zu verbessern. Weitere Informationen

Unveränderliche Tresore

Ein unveränderlicher Tresor kann Ihnen beim Schutz Ihrer Sicherungsdaten helfen, indem er alle Vorgänge blockiert, die zu einem Verlust von Wiederherstellungspunkten führen könnten. Darüber hinaus können Sie die Einstellung für den unveränderlichen Tresor sperren, um ihn unumkehrbar zu machen und zu verhindern, dass böswillige Akteure die Unveränderlichkeit deaktivieren und Sicherungen löschen können. Erfahren Sie mehr über unveränderliche Tresore.

Autorisierung mehrerer Benutzer

Mit der Mehrbenutzerautorisierung (Multi-User Authorization, MUA) für Azure Backup können Sie eine zusätzliche Schutzebene für kritische Vorgänge in Ihren Recovery Services- und Azure Backup-Tresoren hinzufügen. Für MUA verwendet Azure Backup eine weitere Azure-Ressource namens Resource Guard, um sicherzustellen, dass kritische Vorgänge nur mit geeigneter Autorisierung ausgeführt werden. Erfahren Sie mehr über die Mehrbenutzerautorisierung für Azure Backup.

Erweitertes vorläufiges Löschen

Mit erweitertem Löschen können Sie Ihre Daten wiederherstellen, auch wenn sie versehentlich oder böswillig gelöscht wurden. Es verzögert die endgültige Löschung der Daten um eine bestimmte Zeitspanne und gibt Ihnen die Möglichkeit, die Daten wiederherzustellen. Sie können vorläufiges Löschen auch als immer aktiviert einstellen, um zu verhindern, dass es deaktiviert wird. Erfahren Sie mehr über das erweiterte vorläufige Löschen für Backup.

Überwachung und Warnungen zu verdächtigen Aktivitäten

Azure Backup bietet integrierte Überwachungs- und Warnungsfunktionen zum Anzeigen und Konfigurieren von Aktionen für Ereignisse im Zusammenhang mit Azure Backup. Sicherungsberichte stellen den zentralen Ort für die Nachverfolgung der Nutzung, das Überwachen von Sicherungen und Wiederherstellungen und die Identifizierung wichtiger Trends mit unterschiedlicher Granularität dar. Mithilfe der Überwachungs- und Berichterstellungstools von Azure Backup können Sie über alle nicht autorisierten, verdächtigen oder bösartigen Aktivitäten benachrichtigt werden, sobald sie auftreten.

Sicherheitsfeatures für den Schutz von Hybridsicherungen

Azure Backup-Dienst verwendet den Microsoft Azure Recovery Services-Agent (MARS) zum Sichern und Wiederherstellen von Dateien, Ordnern und des Volume- oder Systemstatus von einem lokalen Computer in Azure. MARS bietet nun Sicherheitsfeatures für den Schutz von Hybridsicherungen. Zu den Features zählen:

  • Es wurde eine zusätzliche Authentifizierungsebene hinzugefügt, die bei allen kritischen Vorgängen wie Passphrasenänderungen zum Tragen kommt. Durch diese Überprüfung wird gewährleistet, dass solche Vorgänge nur von Benutzern durchgeführt werden können, die über gültige Azure-Anmeldeinformationen verfügen. Erfahren Sie mehr über die Features zur Verhinderung von Angriffen.

  • Gelöschte Sicherungsdaten werden für zusätzliche 14 Tage ab dem Löschdatum aufbewahrt. So wird gewährleistet, dass die Daten innerhalb des vorgegebenen Zeitraums wiederhergestellt werden können und auch bei Angriffen keine Datenverluste auftreten. Zum Schutz vor beschädigten Daten werden darüber hinaus auch mehr Mindestwiederherstellungspunkte gepflegt. Erfahren Sie mehr über das Wiederherstellen von gelöschten Sicherungsdaten.

  • Für Daten, die mit dem Microsoft Azure Recovery Services-Agent (MARS) gesichert werden, wird eine Passphrase verwendet, um sicherzustellen, dass die Daten vor dem Hochladen in Azure Backup verschlüsselt und erst nach dem Herunterladen von Azure Backup entschlüsselt werden. Die Informationen zur Passphrase sind nur für den Benutzer, der die Passphrase erstellt hat, und den Agent verfügbar, der mit ihr konfiguriert wurde. Es werden keinerlei Informationen an den Dienst übertragen oder für diesen freigegeben. Dadurch wird die umfassende Sicherheit Ihrer Daten gewährleistet, da alle Daten, die versehentlich offengelegt werden (z. B. bei einem Man-in-the-Middle-Angriff im Netzwerk), ohne die Passphrase unbrauchbar sind und die Passphrase nicht im Netzwerk übertragen wird.

Sicherheitsstatus und Sicherheitsstufen

Azure Backup bietet Sicherheitsfeatures auf Tresorebene, um die darin gespeicherten Sicherungsdaten zu schützen. Diese Sicherheitsmaßnahmen umfassen die mit der Azure Backup-Lösung verbundenen Einstellungen für den Tresor selbst und die im Tresor enthaltenen geschützten Datenquellen.

Sicherheitsstufen für Azure Backup-Tresore werden wie folgt kategorisiert:

  • Ausgezeichnet (Maximum): Diese Stufe stellt die höchste Sicherheit dar, die einen umfassenden Schutz gewährleistet. Sie können dies erreichen, wenn alle Sicherungsdaten vor versehentlichen Löschungen geschützt und vor Ransomware-Angriffen geschützt sind. Um dieses hohe Sicherheitsniveau zu erreichen, müssen die folgenden Bedingungen erfüllt sein:

  • Gut (Angemessen): Dies bedeutet eine robuste Sicherheitsstufe, die einen zuverlässigen Datenschutz gewährleistet. Es schützt bestehende Backups vor unbeabsichtigtem Entfernen und erhöht die Möglichkeiten der Datenwiederherstellung. Um diese Sicherheitsstufe zu erreichen, müssen Sie entweder die Unveränderbarkeit mit einer Sperre oder das Vorläufige Löschen aktivieren.

  • Ausreichend (Minimum): Stellt ein grundlegendes Sicherheitsniveau dar, das den Standardschutzanforderungen entspricht. Grundlegende Sicherungsvorgänge profitieren von einer zusätzlichen Schutzebene. Um minimale Sicherheit zu erreichen, müssen Sie die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) im Tresor aktivieren.

  • Schlecht (Nicht ausreichend/Keine): Weist auf einen Mangel an Sicherheitsmaßnahmen hin, so dass es für den Schutz von Daten weniger geeignet ist. Auf dieser Ebene gibt es weder erweiterte Schutzfunktionen noch ausschließlich reversible Funktionen. Diese Sicherheitsebene bietet hauptsächlich Schutz vor versehentlichen Löschungen.

Sie können die Sicherheitsstufen über alle Datenquellen in ihren jeweiligen Tresoren über das Azure Business Continuity Centeranzeigen und verwalten.

Compliance mit standardisierten Sicherheitsanforderungen

Um Organisationen bei der Einhaltung nationaler/regionaler und branchenspezifischer Anforderungen hinsichtlich der Erfassung und Nutzung personenbezogener Daten zu helfen, bieten Microsoft Azure und Azure Backup das umfassendste Angebot an Zertifizierungen und Nachweisen aller Clouddienstanbieter. Liste der Compliancezertifizierungen

Nächste Schritte