Управление безопасностью: резервное копирование и восстановление
Резервное копирование и восстановление охватывает аспекты управления, касающиеся обеспечения выполнения, проверки и защиты резервных копий данных и конфигураций на разных уровнях служб.
BR-1: обеспечение регулярного автоматического резервного копирования
| Идентификаторы элементов управления CIS v8 | Идентификатор (-ы) NIST SP 800-53 r4 | Идентификаторы PCI-DSS v3.2.1 |
|---|---|---|
| 11.2 | CP-2, CP-4, CP-9 | Н/Д |
Принцип безопасности. Обеспечьте резервное копирование критически важных для бизнеса ресурсов во время создания ресурсов или принудительное применение с помощью политики для существующих ресурсов.
Руководство По Azure. Для Azure Backup поддерживаемых ресурсов (таких как виртуальные машины Azure, SQL Server, базы данных HANA, база данных Azure PostgreSQL, общие папки, большие двоичные объекты или диски) включите Azure Backup и настройте требуемую частоту и срок хранения. Для виртуальных машин Azure можно использовать Политику Azure, чтобы автоматически включить резервное копирование.
Для ресурсов или служб, не поддерживаемых Azure Backup, используйте встроенную возможность резервного копирования, предоставляемую ресурсом или службой. Например, azure Key Vault предоставляет встроенную возможность резервного копирования.
Для ресурсов или служб, которые не поддерживаются Azure Backup и не имеют собственной возможности резервного копирования, оцените свои потребности в резервном копировании и аварийном копировании и создайте собственный механизм в соответствии с бизнес-требованиями. Пример:
- Если вы используете службу хранилища Azure для хранения данных, включите управление версиями BLOB-объектов для больших двоичных объектов хранилища, что позволит сохранять, извлекать и восстанавливать каждую версию каждого объекта, хранящегося в службе хранилища Azure.
- Параметры конфигурации службы обычно можно экспортировать в шаблоны azure Resource Manager.
Реализация Azure и дополнительный контекст:
- Включение Azure Backup
- Автоматическое включение резервного копирования при создании виртуальной машины с использованием Политики Azure
Руководство AWS. Для ресурсов, поддерживаемых AWS Backup (таких как EC2, S3, EBS или RDS), включите AWS Backup и настройте требуемую частоту и срок хранения.
Для ресурсов и служб, не поддерживаемых AWS Backup, таких как AWS KMS, включите встроенную функцию резервного копирования при создании ресурса.
Для ресурсов и служб, которые не поддерживаются AWS Backup и не имеют собственной возможности резервного копирования, оцените свои потребности в резервном копировании и аварийном копировании и создайте собственный механизм в соответствии с бизнес-требованиями. Пример:
- Если для хранения данных используется Amazon S3, включите управление версиями S3 для резервного набора хранилища, что позволит сохранять, извлекать и восстанавливать каждую версию каждого объекта, хранящегося в контейнере S3.
- Параметры конфигурации службы обычно можно экспортировать в шаблоны CloudFormation.
Реализация AWS и дополнительный контекст:
- Ресурсы, поддерживаемые AWS Backup, и сторонние приложения Управление версиями Amazon S3: https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html
- Рекомендации по AWS CloudFormation
Руководство GCP. Для поддерживаемых ресурсов Google Cloud Backup (таких как Computer Engine, Облачное хранилище и Контейнеры) включите GCP Backup и настройте нужную частоту и срок хранения.
Для ресурсов или служб, не поддерживаемых Google Cloud Backup, используйте встроенную возможность резервного копирования, предоставляемую ресурсом или службой. Например, диспетчер секретов предоставляет встроенную возможность резервного копирования.
Для ресурсов или служб, которые не поддерживаются Google Cloud Backup и не имеют собственной возможности резервного копирования, оцените свои потребности в резервном копировании и аварийном копировании и создайте собственный механизм в соответствии с бизнес-требованиями. Пример:
- Если вы используете Google Storage для хранения резервных копий данных, включите управление версиями хранилища для управления версиями объектов, что позволит сохранять, извлекать и восстанавливать каждую версию каждого объекта, хранящегося в хранилище Google.
Реализация GCP и дополнительный контекст:
- Решения для резервного копирования и аварийного восстановления с помощью Google Cloud
- Создание и автоматическое резервное копирование по запросу и управление ими
Заинтересованные лица, заинтересованные в обеспечении безопасности клиентов (дополнительные сведения):
- Политика и стандарты
- Архитектура безопасности
- Безопасность инфраструктуры и конечных точек
- Подготовка инцидентов
BR-2: защита данных резервного копирования и восстановления
| Идентификаторы элементов управления CIS v8 | Идентификатор (-ы) NIST SP 800-53 r4 | Идентификаторы PCI-DSS v3.2.1 |
|---|---|---|
| 11,3 | CP-6, CP-9 | 3.4 |
Принцип безопасности. Обеспечьте защиту данных и операций резервного копирования от кражи данных, компрометации данных, программ-шантажистов и вредоносных программ и злоумышленников. К необходимым элементам управления безопасностью относятся управление доступом на уровне пользователей и сети, а также шифрование неактивных и передаваемых данных.
Руководство Azure. Используйте многофакторную проверку подлинности и Azure RBAC для защиты критически важных операций Azure Backup (например, удаление, хранение изменений, обновление конфигурации резервного копирования). Для ресурсов с поддержкой Azure Backup используйте RBAC Azure для разделения обязанностей и обеспечения детального управления доступом, а также создайте частные конечные точки в своей виртуальной сети Azure для безопасного резервного копирования и восстановления данных из хранилищ Служб восстановления.
Для ресурсов с поддержкой Azure Backup данные резервного копирования автоматически шифруются с помощью ключей, управляемых платформой Azure, с 256-битным алгоритмом шифрования AES. Вы также можете зашифровать резервные копии с помощью ключа, управляемого клиентом. В этом случае убедитесь, что ключ, управляемый клиентом, в Key Vault Azure также находится в область резервного копирования. Если вы используете ключ, управляемый клиентом, используйте обратимое удаление и защиту от очистки в Azure Key Vault, чтобы защитить ключи от случайного или вредоносного удаления. Для локальных резервных копий с Azure Backup шифрование неактивных данных выполняется с использованием парольной фразы, которую вы указываете.
Защитите данные резервного копирования от случайного или злонамеренного удаления, например атак программ-шантажистов или попыток шифрования или незаконного изменения данных резервных копий. Для ресурсов с поддержкой Azure Backup включите обратимое удаление, чтобы обеспечить восстановление элементов без потери данных в течение 14 дней после несанкционированного удаления, а также многофакторную проверку подлинности с помощью ПИН-кода, создаваемого на портале Azure. Кроме того, включите геоизбыточное хранилище или восстановление между регионами, чтобы обеспечить возможность восстановления данных резервных копий в случае аварии в основном регионе. Вы также можете включить хранилище, избыточное между зонами (ZRS), чтобы обеспечить возможность восстановления резервных копий во время зональных сбоев.
Примечание. Если вы используете встроенную функцию резервного копирования ресурса или службы резервного копирования, отличные от Azure Backup, см. microsoft Cloud Security Benchmark (и базовые показатели служб), чтобы реализовать указанные выше элементы управления.
Реализация Azure и дополнительный контекст:
- Общие сведения о средствах безопасности в Azure Backup
- Шифрование данных резервного копирования с использованием ключей, управляемых клиентом
- Средства безопасности для защиты гибридных резервных копий
- Включение восстановления между регионами в Azure Backup
Руководство ПО AWS. Используйте управление доступом AWS IAM для защиты AWS Backup. Сюда входит защита доступа к службе AWS Backup, а также точек резервного копирования и восстановления. Примеры элементов управления:
- Используйте многофакторную проверку подлинности (MFA) для критических операций, таких как удаление точки резервного копирования или восстановления.
- Используйте протокол TLS для взаимодействия с ресурсами AWS.
- Используйте AWS KMS в сочетании с AWS Backup для шифрования данных резервного копирования с помощью управляемого клиентом CMK или управляемого AWS CMK, связанного со службой AWS Backup.
- Используйте блокировку AWS Backup Vault для неизменяемого хранения критически важных данных.
- Защита контейнеров S3 с помощью политики доступа, отключения общего доступа, принудительного шифрования неактивных данных и управления версиями.
Реализация AWS и дополнительный контекст:
Руководство GCP. Используйте выделенные учетные записи с самой надежной проверкой подлинности для выполнения критических операций резервного копирования и восстановления, таких как удаление, хранение изменений, обновление конфигурации резервного копирования. Это позволит защитить данные резервного копирования от случайного или злонамеренного удаления, например от атак программ-шантажистов или попыток шифрования или незаконного изменения данных резервного копирования.
Для ресурсов, поддерживаемых GCP Backup, используйте Google IAM с ролями и разрешениями для разделения обязанностей и обеспечения детального доступа, а также настройте подключение доступа к частным службам к VPC для безопасного резервного копирования и восстановления данных из (модуль) резервного копирования и восстановления.
Данные резервных копий автоматически шифруются по умолчанию на уровне платформы с помощью алгоритма AES-256.
Примечание. Если вы используете встроенную функцию резервного копирования ресурса или службы резервного копирования, отличные от GCP Backup, следует обратиться к соответствующему руководству по реализации элементов управления безопасностью. Например, можно также защитить определенные экземпляры виртуальных машин от удаления, задав свойство deletionProtection для ресурса экземпляра виртуальной машины.
Реализация GCP и дополнительный контекст:
- Политики хранения и блокировки политик хранения
- Служба резервного копирования и аварийного восстановления
- Предотвращение случайного удаления виртуальной машины
Заинтересованные лица, заинтересованные в обеспечении безопасности клиентов (дополнительные сведения):
BR-3: отслеживание резервных копий
| Идентификаторы элементов управления CIS v8 | Идентификатор (-ы) NIST SP 800-53 r4 | Идентификаторы PCI-DSS v3.2.1 |
|---|---|---|
| 11,3 | CP-9 | Н/Д |
Принцип безопасности. Убедитесь, что все критически важные для бизнеса защищенные ресурсы соответствуют определенной политике и стандарту резервного копирования.
Руководство по Azure. Отслеживайте среду Azure, чтобы убедиться, что все критически важные ресурсы соответствуют требованиям с точки зрения резервного копирования. Используйте Политика Azure для резервного копирования для аудита и применения таких элементов управления. Для Azure Backup поддерживаемых ресурсов центр резервного копирования помогает централизованно управлять резервным пространством.
Убедитесь, что критически важные операции резервного копирования (удаление, хранение изменений, обновления конфигурации резервного копирования) отслеживаются, проверяются и создаются оповещения. Для Azure Backup поддерживаемых ресурсов отслеживайте общую работоспособность резервного копирования, получайте оповещения о критических инцидентах резервного копирования и проверяйте действия пользователей в хранилищах.
Примечание. Если применимо, также используйте встроенные политики (Политика Azure), чтобы убедиться, что ресурсы Azure настроены для резервного копирования.
Реализация Azure и дополнительный контекст:
- Управление резервным хранилищем с помощью Центра резервного копирования
- Мониторинг резервных копий и работа с ними с помощью Центра резервного копирования
- Решения для мониторинга и отчетности для Azure Backup
Руководство по AWS. Aws Backup работает с другими инструментами AWS, чтобы позволить вам отслеживать рабочие нагрузки. К ним относятся следующие программы:
- Используйте AWS Backup Audit Manager для мониторинга операций резервного копирования, чтобы обеспечить соответствие требованиям.
- Используйте CloudWatch и Amazon EventBridge для мониторинга процессов резервного копирования AWS.
- Используйте CloudWatch для отслеживания метрик, создания оповещений и просмотра панелей мониторинга.
- Используйте EventBridge для просмотра и мониторинга событий резервного копирования AWS.
- Используйте Amazon Simple Notification Service (Amazon SNS), чтобы подписаться на разделы, связанные с AWS Backup, такие как резервное копирование, восстановление и копирование событий.
Реализация AWS и дополнительный контекст:
- Мониторинг резервного копирования AWS
- Мониторинг событий резервного копирования AWS с помощью EventBridge
- Мониторинг метрик AWS Backup с помощью CloudWatch
- Использование Amazon SNS для отслеживания событий резервного копирования AWS
- Аудит резервных копий и создание отчетов с помощью AWS Backup Audit Manager
Руководство GCP. Отслеживайте среду резервного копирования и аварийного восстановления, чтобы убедиться, что все критически важные ресурсы соответствуют требованиям с точки зрения резервного копирования. Используйте политику организации для резервного копирования для аудита и применения таких элементов управления. Для ресурсов, поддерживаемых GCP Backup, консоль управления помогает централизованно управлять резервным пространством.
Убедитесь, что критически важные операции резервного копирования (удаление, хранение изменений, обновления конфигурации резервного копирования) отслеживаются, проверяются и создаются оповещения. Для ресурсов, поддерживаемых GCP Backup, отслеживайте общую работоспособность резервного копирования, получайте оповещения о критически важных инцидентах резервного копирования и проверяйте действия, активированные пользователем.
Примечание. Если применимо, также используйте встроенные политики (политика организации), чтобы убедиться, что ресурсы Google настроены для резервного копирования.
Реализация GCP и дополнительный контекст:
Заинтересованные лица по обеспечению безопасности клиентов (подробнее):
- Подготовка инцидентов
- Ответственные за управление соответствием требованиям безопасности
BR-4: планомерная проверка резервного копирования
| Идентификаторы элементов управления CIS v8 | Идентификатор (-ы) NIST SP 800-53 r4 | Идентификаторы PCI-DSS v3.2.1 |
|---|---|---|
| 11,5 | CP-4, CP-9 | Н/Д |
Принцип безопасности. Периодически выполняйте тесты восстановления данных резервной копии, чтобы убедиться, что конфигурация резервного копирования и доступность резервных копий данных соответствуют потребностям восстановления, определенным в RTO (целевое время восстановления) и RPO (целевая точка восстановления).
Рекомендации Azure. Периодически выполняйте тесты восстановления данных резервной копии, чтобы убедиться, что конфигурации резервного копирования и доступность данных резервного копирования соответствуют требованиям восстановления, определенным в RTO и RPO.
Может потребоваться определение стратегии проверок восстановления резервных копий, включая область, частоту и метод проверок, так как постоянное выполнение полной проверки восстановления является затруднительным.
Реализация Azure и дополнительный контекст:
- Восстановление файлов из резервной копии виртуальной машины Azure
- Как восстановить резервную копию ключей Key Vault в Azure
Рекомендации AWS. Периодически выполняйте тесты восстановления данных резервной копии, чтобы убедиться, что конфигурации резервного копирования и доступность данных резервного копирования соответствуют потребностям восстановления, определенным в RTO и RPO.
Может потребоваться определение стратегии проверок восстановления резервных копий, включая область, частоту и метод проверок, так как постоянное выполнение полной проверки восстановления является затруднительным. Реализация AWS и дополнительный контекст:
Руководство по GCP. Периодически выполняйте тесты восстановления данных резервной копии, чтобы убедиться, что конфигурации резервного копирования и доступность данных резервного копирования соответствуют потребностям восстановления, определенным в RTO и RPO.
Может потребоваться определение стратегии проверок восстановления резервных копий, включая область, частоту и метод проверок, так как постоянное выполнение полной проверки восстановления является затруднительным.
Реализация GCP и дополнительный контекст:
Заинтересованные лица по обеспечению безопасности клиентов (подробнее):