Recursos de segurança para ajudar a proteger backups híbridos que usam o Backup do Azure

Preocupações sobre problemas de segurança, como malware, ransomware e invasão, estão aumentando. Esses problemas de segurança podem ser dispendiosos em termos de dinheiro e dados. Para se proteger contra esses ataques, o Backup do Azure agora fornece recursos de segurança para ajudar a proteger os backups híbridos. Este artigo aborda como habilitar e aproveitar esses recursos para proteger cargas de trabalho locais usando o MABS (Servidor de Backup do Microsoft Azure), o DPM (Data Protection Manager) e o agente dos Serviços de Recuperação do Microsoft Azure (MARS). Esses recursos incluem:

• Prevenção. Uma camada adicional de autenticação será adicionada sempre que uma operação crítica, como a alteração de senha, for executada. Essa validação é garantir que essas operações possam ser realizadas apenas por usuários com credenciais válidas do Azure.
• Alertas. Uma notificação por email é enviada ao administrador da assinatura sempre que uma operação crítica, como a exclusão de dados de backup, é executada. Este email garante que o usuário receba uma notificação rapidamente sobre tais ações.
• Recuperação. Os dados de backup excluídos são retidos por mais 14 dias desde a data da exclusão. Isso garante a capacidade de recuperação de dados em um determinado período de tempo de maneira que não haja perda de dados mesmo se houver um ataque. Além disso, mais pontos de recuperação mínimos são mantidos para proteção contra dados corrompidos.

Requisitos mínimos de versão

Habilite os recursos de segurança somente se você estiver usando:

• Agente de Backup do Azure: agente mínimo versão 2.0.9052. Depois de habilitar esses recursos, atualize a versão do agente para executar operações críticas.
• Servidor de Backup do Azure: Agente mínimo do Backup do Azure versão 2.0.9052 com a atualização 1 do Servidor de Backup do Azure.
• Microsoft System Center Data Protection Manager: versão do agente de Backup do Azure 2.0.9052 com o Data Protection Manager 2012 R2 UR12/ Data ou Data Protection Manager 2016 UR2.

Habilitar recursos de segurança

Se você estiver criando um cofre de Serviços de Recuperação, poderá usar todos os recursos de segurança. Se você estiver trabalhando com um cofre existente, habilite os recursos de segurança executando estas etapas:

1. Entre no portal do Azure usando suas credenciais do Azure.

2. Selecione Procurar e digite Serviços de Recuperação.

   
   

   A lista de cofres de Serviços de Recuperação aparecerá. Nesta lista, selecione um cofre. O painel de cofres selecionados será aberto.

3. Na lista de itens que aparece sob o cofre, em Configurações, selecione Propriedades.

   

4. Em Configurações de Segurança, selecione Atualizar.

   

   O link de atualização abre o painel Configurações de Segurança , que fornece um resumo dos recursos e permite habilitá-los.

5. Habilite os recursos de segurança e selecione Salvar.

   

Recuperar dados de backup excluídos

Se a configuração de recursos de segurança estiver habilitada, o Backup do Azure reterá os dados de backup excluídos por mais 14 dias e não os excluirá imediatamente se a operação Parar backup com excluir dados de backup for executada. Para restaurar esses dados no período de 14 dias, execute as seguintes etapas, dependendo do que você estiver usando:

Para usuários do agente dos Serviços de Recuperação do Azure :

1. Se o computador em que os backups estavam acontecendo ainda estiver disponível, proteja novamente as fontes de dados excluídas e use os dados de Recuperação para o mesmo computador nos Serviços de Recuperação do Azure, para se recuperar de todos os pontos de recuperação antigos.
2. Se este computador não estiver disponível, use Recuperar em um computador alternativo para usar outro computador dos Serviços de Recuperação do Azure para obter esses dados.

Para usuários do Servidor de Backup do Azure :

1. Se o servidor em que os backups estavam acontecendo ainda estiver disponível, proteja novamente as fontes de dados excluídas e use o recurso Recuperar Dados para recuperar de todos os pontos de recuperação antigos.
2. Se esse servidor não estiver disponível, use Recuperar dados de outro Servidor de Backup do Azure para usar outra instância do Servidor de Backup do Azure para obter esses dados.

Para usuários do Data Protection Manager :

1. Se o servidor em que os backups estavam acontecendo ainda estiver disponível, proteja novamente as fontes de dados excluídas e use o recurso Recuperar Dados para recuperar de todos os pontos de recuperação antigos.
2. Se esse servidor não estiver disponível, use Adicionar DPM Externo para usar outro servidor do Data Protection Manager para obter esses dados.

Evitar ataques

Foram adicionadas verificações para garantir que somente os usuários válidos possam executar várias operações. Isso inclui adicionar uma camada extra de autenticação e manter um intervalo de retenção mínimo para fins de recuperação.

Autenticação para executar operações críticas

Como parte da adição de uma camada extra de autenticação para operações críticas, você será solicitado a inserir um PIN de segurança ao executar o Stop Protection com operações Excluir dados e Alterar Senha para DPM, MABS e MARS.

Além disso, com o MARS versão 2.0.9262.0 e posterior, as operações para remover um volume do backup de arquivo/pasta MARS, adicionar uma nova configuração de exclusão para um volume existente, reduzir a duração da retenção e mover para um agendamento de backup menos frequente também são protegidas com um PIN de segurança para segurança adicional.

Para receber este PIN:

1. Entre no portal do Azure.
2. Navegue até o Cofre dos Serviços de Recuperação>Configurações>Propriedades.
3. Em PIN de Segurança, selecione em Gerar. Isso abre um painel que contém o PIN a ser inserido na interface do usuário do agente dos Serviços de Recuperação do Azure. Esse PIN é válido por apenas cinco minutos e é gerado automaticamente após esse período.

Salvar e gerenciar a frase secreta do agente MARS em Azure Key Vault

Backup do Azure fornece a opção de salvar e gerenciar a frase secreta do agente MARS em Azure Key Vault usando Azure portal, PowerShell e CLI. Esse recurso permite o armazenamento seguro da senha de criptografia usada para operações de backup e restauração, eliminando a necessidade de mantê-la em locais externos, permitindo o acesso controlado por meio de permissões Key Vault. Saiba como configurar o cofre dos Serviços de Recuperação para salvar a senha do agente MARS em Azure Key Vault e gerenciá-lo para operações de backup e restauração.

Manter um intervalo mínimo de retenção

Para garantir que sempre haja um número válido de pontos de recuperação disponíveis, as seguintes verificações foram adicionadas:

• Para a retenção diária, é necessário no mínimo sete dias de retenção.
• Para a retenção semanal, é necessário no mínimo quatro semanas de retenção.
• Para a retenção mensal, é necessário no mínimo três meses de retenção.
• Para a retenção anual, é necessário no mínimo um ano de retenção.

Notificações para operações críticas

Normalmente, quando uma operação crítica é executada, o administrador da assinatura recebe uma notificação por e-mail com detalhes sobre a operação. Você pode configurar destinatários de email adicionais para essas notificações usando o portal do Azure.

Os recursos de segurança mencionados neste artigo fornecem mecanismos de defesa contra ataques direcionados. Mais importante, se ocorrer um ataque, esses recursos lhe darão a capacidade de recuperar seus dados.

Solucionar erros

Suporte à imutabilidade

Quando a imutabilidade do cofre dos Serviços de Recuperação está habilitada, as operações que reduzem a retenção de backup na nuvem ou removem o backup de nuvem de fontes de dados locais são bloqueadas.

Suporte de Imutabilidade para DPM e MABS

Esse recurso é compatível com o agente MARS versão 2.0.9250.0 e superiores a partir do DPM 2022 UR1 e MABS v4.

A seguinte tabela lista as operações não permitidas no DPM conectado a uma recuperação imutável:

Suporte à imutabilidade para o MARS

A tabela a seguir lista as operações não permitidas para o MARS quando a imutabilidade está habilitada no cofre dos Serviços de Recuperação. Outras operações, como aumentar a retenção e excluir um arquivo/pasta do backup, são permitidas.

Próximas etapas

• Comece a usar o cofre dos Serviços de Recuperação do Azure para habilitar esses recursos.
• Baixe o agente mais recente dos Serviços de Recuperação do Azure para ajudar a proteger computadores Windows e proteger seus dados de backup contra ataques.