O Backup do Azure protege contra um servidor comprometido?

Question

Eu tenho um servidor Windows (físico, não VM do Azure!) cujos arquivos são automaticamente copiados para backup usando o Backup do Azure .

Se o servidor for comprometido, quanto dano pode causar aos invasores?

Antecedentes : Novas gerações de ransomware têm a tendência infeliz de procurar ativamente e excluir backups (cópias de sombra de volume, discos rígidos externos, etc.). Eu acho que é apenas uma questão de tempo antes que eles também iniciem os backups na nuvem.

Pesquisa que já fiz : penso que o pior dano que um atacante poderia fazer seria reduzir o período de retenção para o mínimo de 7 dias, destruindo assim backups com mais de uma semana. Analisei os Cmdlets do Powershell de backup do Azure (que parece ser a API oficial do Backup do Azure instrumentação) e não encontraram nenhuma maneira de excluir ou substituir explicitamente os pontos de recuperação.

Pergunta relacionada : Protegendo o Backup do Azure contra exclusão maliciosa . Essa pergunta é sobre o caso em que as credenciais de gerenciamento do Azure são comprometidas. Minha pergunta é sobre o caso em que apenas um servidor registrado no Vault é comprometido, mas as credenciais de gerenciamento são seguras.

    

Answer 1

Infelizmente, e bastante assustador, você está incorreto. você pode usar Remove-OBPolicy , que tem uma opção para excluir todos os backups associados com o parâmetro -DeleteBackup .

Eu não consigo pensar em uma maneira imediata de proteger contra isso também. Talvez seja possível trocar credenciais de alguma maneira.

Você pode fazer com que eles façam backup em um arquivador intermediário, sendo empurrados para lá. Infelizmente isso é muito mais uma solução bandaid.

The Remove-OBPolicy cmdlet removes the currently set backup policy (OBPolicy object). This stops the existing scheduled daily backups. If the DeleteBackup parameter is specified, then any data backed up according to this policy on the online backup server is deleted. If the DeleteBackup parameter is not specified, the existing backups are retained in accordance with the retention policy in effect when the backup was created.

    

Answer 2

O Azure apenas (novembro de 2016) adicionou novos recursos de segurança aos cofres dos Serviços de Recuperação que pode ser ativado nas configurações do armazenamento de recuperação e abordar exatamente esses problemas:

1. Prevention: New authentication layer added for critical operations like Delete Backup Data, Change Passphrase. These operations now require Security PIN available only to users with valid Azure credentials.

2. Alerting: Email notifications are sent for any critical operations that impact availability of backup data. These notifications enable users to detect attacks as soon as they occur.

3. Recovery: Azure backup retains deleted backup data for 14 days ensuring recovery using any old or recent recovery points. Also, minimum number of recovery points are always maintained such that there are always sufficient number of points to recover from.