Azure 备份中的安全功能概述

保护数据所要采取的最重要措施之一是使用可靠的备份基础结构。 但是,确保以安全方式备份数据并随时保护备份也同样重要。 Azure 备份为备份环境中的传输中数据和静态数据提供安全措施。 本文列出了 Azure 备份中的安全功能,这些功能可帮助你保护备份数据并满足企业的安全需求。

管理和控制标识与用户访问

恢复服务保管库使用的存储帐户是隔离的,恶意用户无法对其进行访问。 仅允许通过 Azure 备份管理操作(例如还原)进行访问。 借助 Azure 备份,可使用 Azure 基于角色的访问控制 (Azure RBAC) 通过精细访问权限来控制托管的操作。 使用 Azure RBAC 可以在团队内部实现职责分离,仅向用户授予完成其作业所需的访问权限。

Azure 备份提供了三个内置角色来控制备份管理操作:

  • 备份参与者:可创建和管理备份,但无法删除恢复服务保管库和向他人授予访问权限
  • 备份操作员:可执行参与者能做的所有操作,但无法删除备份和管理备份策略
  • 备份读取者:有权查看所有备份管理操作

详细了解用于管理 Azure 备份的 Azure 基于角色的访问控制

Azure 备份服务中内置了多个安全控制机制,用于防止、检测和应对安全漏洞。

在来宾与 Azure 存储之间进行隔离

使用 Azure 备份(包括虚拟机备份,以及 VM 备份中的 SQL 和 SAP HANA)时,备份数据会存储在 Azure 存储中,来宾无法直接访问备份存储或其内容。 通过虚拟机备份,备份快照创建和存储由 Azure 结构来完成,来宾只暂停工作负载以进行应用程序一致备份,不参与其他操作。 使用 SQL 和 SAP HANA 时,备份扩展会暂时获得对特定 Blob 的写入访问权限。 这样,即使在遭到入侵的环境中,现有备份也不会遭到篡改或者被来宾删除。

无需建立 Internet 连接即可创建 Azure VM 备份

备份 Azure VM 需要将虚拟机磁盘中的数据移到恢复服务保管库。 但是,所需的通信和数据传输全部只在 Azure 主干网络中发生,无需访问虚拟网络。 因此,放置在受保护网络中的 Azure VM 备份不需要你授予对任何 IP 或 FQDN 的访问权限。

数据加密

加密可以保护数据,并帮助组织履行在安全性与合规性方面做出的承诺。 数据加密在 Azure 备份中分多个阶段进行:

软删除

Azure 备份提供了安全功能来帮助保护备份数据,即使删除后也能提供保护。 借助软删除,如果你删除了某个 VM 的备份,备份数据将保留额外的 14 天,让用户能在不丢失数据的情况下恢复该备份项。 以“软删除”状态将备份数据额外保留 14 天不会产生任何费用。 详细了解软删除

不可变保管库

不可变保管库可以通过阻止任何可能导致恢复点丢失的操作来帮助保护备份数据。 此外,可以锁定不可变保管库设置以使其不可逆,来防止任何恶意行动者禁用不可变性和删除备份。 详细了解不可变保管库

多用户授权

用于 Azure 备份的多用户授权 (MUA) 可为恢复服务保管库和备份保管库上的关键操作增添一层额外的保护。 对于 MUA,Azure 备份使用另一个称为资源防护的 Azure 资源来确保仅在适用的授权下执行关键操作。 详细了解 Azure 备份的多用户授权

增强型软删除

增强的软删除使你能够恢复数据,即使数据被意外或恶意删除。 它的工作原理是将数据永久删除延迟一段时间,从而为你提供检索数据的机会。 还可以使软删除始终处于打开状态,以防止它被禁用。 详细了解用于备份的增强软删除

可疑活动的监视和警报

Azure 备份提供内置监视和警报功能,用于查看和配置 Azure 备份相关事件的操作。 备份报表充当一站式目标,在其中能够以不同的粒度级别跟踪使用情况、审核备份和还原,以及识别关键趋势。 使用 Azure 备份的监视和报告工具可以在发生任何未经授权的、可疑的或恶意的活动后立即获得警报。

用于帮助保护混合备份的安全功能

Azure 备份服务使用 Azure 恢复服务 (MARS) 代理将本地计算机中的文件、文件夹以及卷或系统状态备份和还原到 Azure。 MARS 现在提供用于保护混合备份的安全功能。 这些功能包括:

  • 执行关键操作(例如更改密码)时,会添加额外的身份验证层。 使用此验证,确保只有具有有效 Azure 凭据的用户才可执行此类操作。 详细了解用于防止攻击的功能

  • 删除的备份数据自删除之日起会额外保留 14 天。 这可以确保能够在给定的时间段内恢复数据,因此即使遭到攻击,也不会丢失数据。 此外,还保留了更多的最小恢复点,以防止数据损坏。 详细了解如何恢复已删除的备份数据

  • 对于使用 Azure 恢复服务 (MARS) 代理进行备份的数据,可以使用通行短语来确保在将数据上传到 Azure 备份之前对其进行加密,仅在从 Azure 备份下载后才将其解密。 通行短语详细信息仅提供给创建了该通行短语的用户,以及使用该通行短语配置的代理。 不会通过服务传输任何信息,也不会与服务共享任何信息。 这可以全面确保数据的安全性,因为在没有通行短语的情况下,无法使用无意中公开的任何数据(例如,在网络中出现中间人攻击时就是如此),而通行短语不会通过网络发送。

安全状况和安全级别

Azure 备份在保管库级别提供安全功能,以保护存储在其中的备份数据。 这些安全措施包括与保管库的 Azure 备份解决方案关联的设置以及保管库中受保护的数据源。

Azure 备份保管库的安全级别分类如下:

  • 优秀(最高):这一级别代表了最高安全性,确保全面保护。 当所有备份数据都受到保护,不会被意外删除,并能抵御勒索软件攻击时,就实现了此级别的保护。 要实现此高级别的安全性,必须满足以下条件:

  • 良好(充分):表示可靠的安全级别,确保可靠的数据保护。 它保护现有备份免受意外删除的防护,并增强数据恢复的潜力。 若要达到此级别的安全性,必须启用锁定以实现不可变性或启用软删除。

  • 一般(最低/普通):表示符合标准保护要求的基本安全级别。 基本备份操作受益于额外的一层保护。 若要获得最低的安全性,必须在保管库上启用多用户授权 (MUA)。

  • 差(不合格/无):表示安全措施存在缺陷,不太适合数据保护。 在此级别,既没有高级防护功能,也没有完全可逆的功能。 “无”级别安全性仅提供主要防止意外删除的保护。

符合标准化安全要求

为帮助组织遵守有关收集和使用个人数据的国家、地区和行业特定要求,Azure 和 Azure 备份提供了一套全面的认证和证明。 查看符合性认证列表

后续步骤