Cloud-back-upoplossingen

Gebruik deze pagina om een cloud-back-upaanpak te kiezen die ook nog werkt na ransomware.

Focus: herstelbaarheid, bewaartermijn en bescherming tegen het verwijderen van back-ups.

Google Drive en OneDrive

Google Drive- en OneDrive-omgevingen hebben geen native functies waarmee ze hun gegevens kunnen herstellen na een ransomware-aanval die hun vorige versies heeft verwijderd. Daarom is het noodzakelijk om bepaalde oplossingen te overwegen om hun gegevens regelmatig te back-uppen en te beschermen.

Er kunnen verschillende oplossingen worden overwogen om dit doel te bereiken, elk met zijn voor- en nadelen.

Oplossing #1: Harde schijf

Deze oplossing bestaat uit het handmatig back-uppen van bestanden uit de Google Drive- of OneDrive-omgeving naar een externe harde schijf. Idealiter moet er een back-up van een OneDrive- of Google Drive-omgeving worden gemaakt op ten minste twee externe harde schijven om gegevensverlies te voorkomen als een van de harde schijven defect raakt. Hoewel deze oplossing het eenvoudigst te implementeren is, is ze ook het meest beperkend.

Oplossing #2: NAS

Een NAS (Network Attached Storage) is een fysieke netwerkopslagserver. Deze oplossing bestaat uit het installeren van een synchronisatieapplicatie op de NAS — namelijk Google Drive Desktop voor een Google Workspace-omgeving en OneDrive voor een O365-omgeving — om gedeelde schijven (Google Drive) en SharePoint-sites (OneDrive) regelmatig te synchroniseren en back-ups te maken op de NAS-schijven. Het is ook mogelijk om bepaalde typen RAID te gebruiken om de schijveveiligheid of fouttolerantie op de NAS te verbeteren.

Oplossing #3: AWS/Azure-opslagruimte

Azure (Microsoft) en AWS (Amazon) bieden betaalbare cloudopslagruimtes aan om back-ups op te slaan. Het idee is om alle gegevens uit Google Drive- en OneDrive-omgevingen regelmatig over te zetten naar een van deze opslagruimtes, handmatig of automatisch met behulp van een script en een machine die is gekoppeld aan een van deze omgevingen. Voor dit doel zijn verschillende gratis tools ontwikkeld en worden ze regelmatig bijgewerkt, namelijk rclone en duplicity, die zijn ontworpen om dit soort overdracht mogelijk te maken.

Oplossing #4: Oplossingen van derden

Bepaalde oplossingen van derden kunnen worden overwogen als geen van de vorige oplossingen geschikt is. Deze oplossingen maken back-ups zeer eenvoudig in gebruik, maar brengen aanzienlijke kosten met zich mee. Bij dit type oplossing geeft u een externe dienst toegang tot uw Google Drive- en OneDrive-omgeving, zodat deze op regelmatige basis automatisch gegevens kan ophalen. Deze oplossingen bieden ook functies voor gegevensherstel. Voorbeelden zijn Afi, Backupify, Spanning en SpinBackup.

Samenvattingstabel

Door al deze scenario's te analyseren, is het mogelijk om bepaalde criteria te definiëren en al deze oplossingen dienovereenkomstig te classificeren, zoals geïllustreerd in de volgende tabel:

Azure

Onveranderlijke Azure-back-ups

Azure-back-ups kunnen van twee soorten zijn, Backup Vault of Recovery Services, afhankelijk van uw datamodellen:

Er zijn 2 methoden om de onveranderlijkheid van deze back-ups te garanderen:

datasources$ (1)

1

Controleer of de functie Soft Delete is ingeschakeld.

Standaard is Soft Delete ingeschakeld voor Azure Recovery Services-kluizen. Deze functie beschermt back-ups tegen per ongeluk of kwaadwillig verwijderen gedurende een periode van 14 dagen zonder extra kosten. Als back-ups worden verwijderd en Soft Delete niet is ingeschakeld, kunnen noch u, noch Microsoft de verwijderde gegevens herstellen. Het is noodzakelijk om de volgende bescherming te implementeren om het volgende scenario te voorkomen:

1. Compromittering van de Azure-tenant en de kluizen;

2. Soft Delete uitschakelen;

3. Verwijderen van back-ups;

4. Herstel;

5. Definitieve verwijdering.

2

Gebruik Multi User Authorization (MUA) voor de Soft Delete-functie.

MUA voor Azure Backup gebruikt een nieuwe resource genaamd Resource Guard om ervoor te zorgen dat kritieke bewerkingen, zoals het uitschakelen van Soft Delete, het stoppen en verwijderen van back-ups, of het verkorten van de bewaartermijn van back-upbeleid, alleen met de juiste autorisatie worden uitgevoerd. Om het proces te begrijpen, is het noodzakelijk om 2 rollen te begrijpen die binnen de Azure-organisatie moeten worden gedefinieerd:

1. Backup Administrator: eigenaar van de Recovery Services Vault of Backup Vault die daarop beheer- en administratieve handelingen uitvoert;

2. Security Administrator: eigenaar van de Resource Guard, die optreedt als bewaker van kritieke bewerkingen op de kluis. Daarom beheert de Security Administrator de machtigingen die de Backup Administrator nodig heeft om kritieke bewerkingen op de kluis uit te voeren.

Om MUA te configureren, moet u:

• Controleren of Resource Guard en de Azure Recovery Services Vault zich in dezelfde Azure-regio bevinden;

• Controleren of de Backup Administrator geen contributor-rechten heeft op Resource Guard. U kunt Resource Guard in een andere Subscription van dezelfde Tenant of in een andere Tenant hebben;

• Volg de officiële Azure-procedure.

Bescherming van uw kritieke Azure-bewerkingen

Het configureren van onveranderlijke kluizen maakt de volgende beschermingen mogelijk:

• Recovery Services: Beschermt gegevens tegen verwijdering; Voorkomt wijziging of verwijdering van het back-upbeleid om de bewaartermijn van gegevens te verkorten.

• Backup Vaults: Beschermt gegevens tegen verwijdering

1

Log in op uw Azure Portal en zoek naar Recovery Services Vaults, Backup Vaults of de kluis die u wilt beschermen:

2

Klik op het tabblad Eigenschappen om de onveranderlijke kluis in te schakelen en de kluis te vergrendelen voor de duur van het back-upbeleid

Opmerking: deze stap kan niet ongedaan worden gemaakt; gebruik deze met voorzichtigheid voor gevoelige gegevens.

3

Herhaal deze handeling voor de andere kluizen die nodig zijn voor bedrijfscontinuïteit.

AWS

Beperkte oplossing (zonder SCP-rechten)

Opmerking: de eerste stap moet worden herhaald voor elke S3-bucket met gevoelige of technische gegevens die mogelijk nodig zijn voor productie.

1

Maak een S3-bucketbeleid dat het verwijderen van versies van de S3-bucket voorkomt.

1. In het Amazon S3-console, open de bucket en ga vervolgens naar Machtigingen.

   
2. Onder Bucketbeleid, klik op Bewerken.

3. Vervang het bestaande bucketbeleid (indien aanwezig) door de onderstaande JSON.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyVersionDeletion",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:DeleteObject*",
            "Resource": "arn:aws:s3:::my-bucket-name/*"
        }
    ]
}

Vervang my-bucket-name door uw bucketnaam.

2

Maak een waarschuwingsmechanisme om elke wijziging of verwijdering van deze bucket te detecteren.

1. Inschakelen AWS CloudTrail als dit nog niet is ingeschakeld.

2. Open de Amazon EventBridge-console (CloudWatch Events) en ga vervolgens naar Regels.

   
3. Klik op Regel maken. Selecteer AWS API Call via CloudTrail als gebeurtenistype.

   
4. Kies Specifieke bewerkingen en voeg toe:

   1. PutBucketPolicy

   2. DeleteBucketPolicy

   3. DeleteBucketLifecycle

   4. DeleteBucketPublicAccessBlock

   5. PutBucketPublicAccessBlock

   6. DeleteBucket als de bewerkingen waarvoor we een waarschuwing willen ontvangen.

5. Gebruik het onderstaande gebeurtenispatroon:

{
  "source": ["aws.s3"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["s3.amazonaws.com"],
    "eventName": ["DeleteBucket", "DeleteBucketLifecycle", "DeleteBucketPolicy", "PutBucketPolicy", "DeleteBucketPublicAccessBlock", "PutBucketPublicAccessBlock"],
    "requestParameters": {
      "bucketName": ["my-bucket-name"]
    }
  }
}

Vervang my-bucket-name met de bucket die u wilt beschermen.

1. Configureer het waarschuwingsdoel (bijvoorbeeld een SNS-topic voor meldingen of een Lambda-functie).