> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/cyber-best-practices/nl/verhard-je-omgeving/readme/cloud-backup-solutions.md).

# Cloud-back-upoplossingen

Gebruik deze pagina om een cloud-back-upaanpak te kiezen die ook na ransomware nog werkt.

Focus: herstelbaarheid, bewaartermijn en bescherming tegen het verwijderen van back-ups.

## Google Drive en OneDrive

De omgevingen van Google Drive en OneDrive hebben geen ingebouwde functies waarmee hun gegevens kunnen worden hersteld na een ransomware-aanval die hun vorige versies heeft verwijderd. Daarom is het nodig bepaalde oplossingen te overwegen om hun gegevens regelmatig te back-uppen en te beschermen.

Er kunnen verschillende oplossingen worden overwogen om dit doel te bereiken, elk met zijn eigen voor- en nadelen.

#### Oplossing #1: harde schijf

Deze oplossing bestaat uit het handmatig back-uppen van bestanden uit de Google Drive- of OneDrive-omgeving naar een externe harde schijf. Idealiter moet een back-up van een OneDrive- of Google Drive-omgeving worden uitgevoerd op minstens twee externe harde schijven om gegevensverlies te voorkomen als een van de harde schijven defect raakt. Hoewel deze oplossing het eenvoudigst te implementeren is, is ze ook de meest beperkende.

#### Oplossing #2: NAS

Een NAS (Network Attached Storage) is een fysieke netwerkopslagserver. Deze oplossing bestaat uit het installeren van een synchronisatie-applicatie op de NAS (namelijk Google Drive Desktop voor een Google Workspace-omgeving en OneDrive voor een O365-omgeving) om gedeelde schijven (Google Drive) en SharePoint-sites (OneDrive) regelmatig te synchroniseren en back-ups op de NAS-schijven uit te voeren. Het is ook mogelijk bepaalde typen RAID te gebruiken om de schijfbeveiliging of fouttolerantie op de NAS te verbeteren.

#### Oplossing #3: AWS/Azure-opslagruimte

Azure (Microsoft) en AWS (Amazon) bieden betaalbare cloudopslagruimtes voor het opslaan van back-ups. Het idee is om alle gegevens uit de Google Drive- en OneDrive-omgevingen regelmatig over te zetten naar een van deze opslagruimtes, handmatig of automatisch met behulp van een script en een machine die is aangemeld bij een van deze omgevingen. Er zijn verschillende gratis tools voor dit doel ontwikkeld en worden regelmatig bijgewerkt, namelijk rclone en duplicity, die zijn ontworpen om dit type overdracht mogelijk te maken.

#### Oplossing #4: oplossingen van derden

Bepaalde oplossingen van derden kunnen worden overwogen als geen van de vorige oplossingen geschikt is. Deze oplossingen maken back-ups zeer eenvoudig in gebruik, maar brengen aanzienlijke kosten met zich mee. Dit type oplossing houdt in dat een dienst van derden toegang krijgt tot uw Google Drive- en OneDrive-omgeving, zodat deze op regelmatige basis automatisch gegevens kan ophalen. Deze oplossingen bieden ook functies voor gegevensherstel. Voorbeelden zijn Afi, Backupify, Spanning en SpinBackup.

#### Samenvattingstabel

Door al deze scenario's te analyseren, is het mogelijk bepaalde criteria te definiëren en al deze oplossingen dienovereenkomstig te classificeren, zoals geïllustreerd in de volgende tabel:

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/AFQB08o8mSXDN3Bpn1kA/Capture%20d%E2%80%99%C3%A9cran%202023%2007%2031%20%C3%A0%2017.12.43.png" alt=""><figcaption></figcaption></figure>

## Azure

### Onveranderlijke Azure-back-ups

Azure-back-ups kunnen van twee typen zijn: Backup Vault of Recovery Services, afhankelijk van uw datamodellen:

Er zijn 2 methoden om de onveranderlijkheid van deze back-ups te garanderen:

![datasources$ (1)](https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/PEovkNecoDHCY6IsuCjY/datasources$%20\(1\).png)

{% stepper %}
{% step %}

### Controleer of de functie Soft Delete is ingeschakeld.

Standaard is Soft Delete ingeschakeld op Azure Recovery Services-kluizen. Deze functie beschermt back-ups gedurende 14 dagen zonder extra kosten tegen per ongeluk of kwaadwillig verwijderen. Als back-ups worden verwijderd en Soft Delete niet is ingeschakeld, kunnen noch u noch Microsoft de verwijderde gegevens herstellen. Het is noodzakelijk de volgende bescherming te implementeren om het volgende scenario te voorkomen:

1. Compromittering van de Azure-tenant en de kluizen;
2. Soft Delete uitschakelen;
3. Verwijderen van back-ups;
4. Herstel;
5. Permanente verwijdering.
   {% endstep %}

{% step %}

### Gebruik Multi User Authorization (MUA) voor de Soft Delete-functie.

MUA voor Azure Backup gebruikt een nieuwe resource genaamd Resource Guard om ervoor te zorgen dat kritieke bewerkingen, zoals het uitschakelen van Soft Delete, het stoppen en verwijderen van back-ups, of het verkorten van de bewaartermijn van back-upbeleid, alleen met de juiste autorisatie worden uitgevoerd. Om het proces te begrijpen, is het nodig twee rollen te begrijpen die binnen de Azure-organisatie moeten worden gedefinieerd:

1. Backup Administrator: Eigenaar van de Recovery Services Vault of Backup Vault die daarop administratieve en beheerhandelingen uitvoert;
2. Security Administrator: Eigenaar van de Resource Guard, die optreedt als bewaker van kritieke bewerkingen op de kluis. Daarom beheert de Security Administrator de machtigingen die de Backup Administrator nodig heeft om kritieke bewerkingen op de kluis uit te voeren.

Om MUA te configureren, moet u:

* Controleer of Resource Guard en Azure Recovery Services Vault zich in dezelfde Azure-regio bevinden;
* Controleer of de Backup Administrator geen contributorrechten heeft op Resource Guard. U kunt Resource Guard in een ander abonnement binnen dezelfde tenant of in een andere tenant hebben;
* Volg de [officiële Azure-procedure](https://learn.microsoft.com/en-us/azure/backup/multi-user-authorization?pivots=vaults-recovery-services-vault\&tabs=azure-portal).
  {% endstep %}
  {% endstepper %}

### Uw kritieke Azure-bewerkingen beschermen

Het configureren van onveranderlijke kluizen biedt de volgende bescherming:

* Recovery Services: Beschermt gegevens tegen verwijdering; Voorkomt wijziging of verwijdering van het back-upbeleid om de bewaartermijn van gegevens te verkorten.
* Backup Vaults: Beschermt gegevens tegen verwijdering

{% stepper %}
{% step %}

### Meld u aan bij uw Azure Portal en zoek naar Recovery Services Vaults, Backup Vaults of de kluis die u wilt beschermen:

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/MWFclK9kP2Q2lFMd9X1E/azure_backups.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Klik op het tabblad Properties om de onveranderlijke kluis in te schakelen en de kluis te vergrendelen voor de duur van het back-upbeleid

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/ZzHlMwCmtaLqnBQ7DzPL/properties.png" alt=""><figcaption></figcaption></figure>

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/WWwVFlLK3PmK0E3CKwzM/lock.png" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Opmerking: deze stap kan niet ongedaan worden gemaakt, gebruik met voorzichtigheid voor gevoelige gegevens.
{% endhint %}
{% endstep %}

{% step %}

### Herhaal deze handeling voor de andere kluizen die nodig zijn voor bedrijfscontinuïteit.

{% endstep %}
{% endstepper %}

## AWS

### Beperkte oplossing (zonder SCP-rechten)

Opmerking: de eerste stap moet worden herhaald voor elke S3-bucket met gevoelige of technische gegevens die mogelijk nodig zijn voor productie.

{% stepper %}
{% step %}

### Maak een S3-bucketbeleid dat het verwijderen van S3-bucketversies voorkomt.

1. In de [Amazon S3-console](https://console.aws.amazon.com/s3/), open de bucket en ga vervolgens naar **Machtigingen**.

   <figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/zlasvnF6jetCEWMsM9HU/s3_bucket.png" alt=""><figcaption></figcaption></figure>
2. Onder **Bucketbeleid**, klik op **Bewerken**.
3. Vervang het bestaande bucketbeleid (indien aanwezig) door de onderstaande JSON.

```json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyVersionDeletion",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:DeleteObject*",
            "Resource": "arn:aws:s3:::my-bucket-name/*"
        }
    ]
}
```

{% hint style="info" %}
Vervang `my-bucket-name` door uw bucketnaam.
{% endhint %}
{% endstep %}

{% step %}

### Maak een waarschuwingsmechanisme om elke wijziging of verwijdering van deze bucket te detecteren.

1. Schakel [AWS CloudTrail](https://console.aws.amazon.com/cloudtrail/) in als dit nog niet is ingeschakeld.
2. Open de [Amazon EventBridge-console](https://console.aws.amazon.com/events/) (CloudWatch Events) en ga vervolgens naar **Regels**.

   <figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/hR7U3QBTJbuKd6BesVXp/eventwatch.png" alt=""><figcaption></figcaption></figure>
3. Klik op **Regel maken**. Selecteer **AWS API-aanroep via CloudTrail** als het gebeurtenistype.

   <figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/omj9E39h9kDkX8gX6nzU/event.png" alt=""><figcaption></figcaption></figure>
4. Kies **Specifieke bewerkingen** en voeg toe:
   1. PutBucketPolicy
   2. DeleteBucketPolicy
   3. DeleteBucketLifecycle
   4. DeleteBucketPublicAccessBlock
   5. PutBucketPublicAccessBlock
   6. DeleteBucket als de bewerkingen waarvoor we meldingen willen ontvangen.
5. Gebruik het onderstaande gebeurtenispatroon:

```json
{
  "source": ["aws.s3"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["s3.amazonaws.com"],
    "eventName": ["DeleteBucket", "DeleteBucketLifecycle", "DeleteBucketPolicy", "PutBucketPolicy", "DeleteBucketPublicAccessBlock", "PutBucketPublicAccessBlock"],
    "requestParameters": {
      "bucketName": ["my-bucket-name"]
    }
  }
}
```

{% hint style="info" %}
Vervang `my-bucket-name` met de bucket die u wilt beschermen.
{% endhint %}
{% endstep %}
{% endstepper %}

6. Configureer het waarschuwingsdoel (bijvoorbeeld een SNS-topic voor meldingen of een Lambda-functie).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/cyber-best-practices/nl/verhard-je-omgeving/readme/cloud-backup-solutions.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.