REL09-BP02 Protezione e crittografia dei backup - Framework AWS Well-Architected
Guida all'implementazioneRisorse

REL09-BP02 Protezione e crittografia dei backup

Controlla e rileva l'accesso ai backup utilizzando l'autenticazione e l'autorizzazione. Previeni e rileva se l'integrità dei dati dei backup è compromessa utilizzando la crittografia.

Implementa controlli di sicurezza per impedire l'accesso non autorizzato ai dati di backup. Esegui la crittografia dei backup per proteggere la riservatezza e l'integrità dei dati.

Anti-pattern comuni:

  • Disporre di un accesso identico sia per i backup e l'automazione del ripristino sia per i dati.

  • Non codificare i backup.

  • Non implementare l'immutabilità per la protezione da cancellazioni o manomissioni.

  • Utilizzo dello stesso dominio di sicurezza per i sistemi di produzione e di backup.

  • Non convalidare l'integrità del backup mediante test regolari.

Vantaggi dell'adozione di questa best practice:

  • La protezione dei backup previene la manomissione dei dati, mentre la crittografia dei dati impedisce l'accesso in caso di esposizione accidentale.

  • Protezione avanzata contro il ransomware e altre minacce informatiche che prendono di mira l'infrastruttura di backup.

  • Tempi di ripristino ridotti a seguito di un incidente informatico grazie a processi di ripristino convalidati.

  • Funzionalità di continuità aziendale migliorate durante gli incidenti di sicurezza.

Livello di rischio associato se questa best practice non fosse adottata: elevato

Guida all'implementazione

Controlla e rileva l'accesso ai backup tramite l'autenticazione e l'autorizzazione, ad esempio con AWS Identity and Access Management (IAM). Previeni e rileva se l'integrità dei dati dei backup è compromessa utilizzando la crittografia.

Amazon S3 supporta diversi metodi di crittografia dei dati a riposo. Utilizzando la crittografia lato server, Amazon S3 accetta anche dati non crittografati e li crittografa man mano che vengono memorizzati. Utilizzando la crittografia lato client, l'applicazione del carico di lavoro è responsabile della crittografia dei dati prima che vengano inviati ad Amazon S3. Entrambi i metodi ti consentono di utilizzare AWS Key Management Service (AWS KMS) per creare ed archiviare la chiave di crittografia dei dati, oppure di utilizzarne una personalizzata (della quale sarai responsabile). Tramite AWS KMS, puoi impostare delle policy utilizzando IAM per regolare l'accesso alle chiavi dei dati, oltre che ai dati privi di crittografia.

Per Amazon RDS, se hai scelto di crittografare i database, anche i backup vengono crittografati. I backup di DynamoDB sono sempre crittografati. Quando usi AWS Elastic Disaster Recovery, vengono crittografati tutti i dati in transito e a riposo. Con Elastic Disaster Recovery, i dati a riposo possono essere crittografati tramite la chiave di crittografia dei volumi della crittografia predefinita in Amazon EBS o una chiave gestita dal cliente personalizzata.

Considerazioni sulla resilienza informatica

Per migliorare la sicurezza del backup contro le minacce informatiche, prendi in considerazione l'implementazione di questi controlli aggiuntivi oltre alla crittografia:

  • Implementa l'immutabilità utilizzando AWS Backup Vault Lock o Amazon S3 Object Lock per impedire che i dati di backup vengano alterati o eliminati durante il periodo di conservazione, proteggendoli dal ransomware e dall'eliminazione intenzionale.

  • Stabilisci l'isolamento logico tra gli ambienti di produzione e di backup con vault AWS Backup logicamente isolata per i sistemi critici, creando una separazione che aiuta a prevenire la compromissione simultanea di entrambi gli ambienti.

  • Convalida regolarmente l'integrità del backup utilizzando i test di ripristino AWS Backup per verificare che i backup non siano danneggiati e possano essere ripristinati con successo a seguito di un incidente informatico.

  • Implementa l'approvazione multiparte per le operazioni di ripristino critiche utilizzando l'approvazione AWS Backup multipartitica per prevenire tentativi di ripristino non autorizzati o dannosi richiedendo l'autorizzazione di più approvatori designati.

Passaggi dell'implementazione

  1. Utilizzo della crittografia su ciascuno dei datastore. Se i dati di origine sono crittografati, lo sarà anche il backup.

    • Utilizza la crittografia in Amazon RDS. Puoi configurare la crittografia dei dati a riposo utilizzando AWS Key Management Service al momento della creazione di un'istanza RDS.

    • Utilizza la crittografia sui volumi Amazon EBS. Puoi configurare la crittografia predefinita o specificare una chiave univoca al momento della creazione del volume.

    • Utilizza la crittografia di Amazon DynamoDB necessaria. DynamoDB codifica tutti i dati a riposo. Puoi utilizzare una chiave AWS KMS di proprietà di AWS o una chiave KMS gestita da AWS specificando una chiave archiviata nel tuo account.

    • Codifica i dati archiviati in Amazon EFS. Configura la crittografia al momento della creazione del file system.

    • Configura la crittografia nelle regioni di origine e di destinazione. Puoi configurare la crittografia dei dati a riposo in Amazon S3 utilizzando le chiavi archiviate in KMS tenendo presente che le chiavi sono specifiche per regione. Puoi specificare le chiavi di destinazione quando configuri la replica.

    • Scegli se utilizzare la crittografia Amazon EBS per Elastic Disaster Recovery predefinita o personalizzata. Questa opzione esegue la crittografia dei dati a riposo replicati nei dischi della sottorete dell'area di staging e nei dischi replicati.

  2. Implementazione delle autorizzazioni con privilegio minimo per accedere ai backup. Segui le best practice per limitare l'accesso a backup, snapshot e repliche in conformità con le best practice di sicurezza.

  3. Configura l'immutabilità per i backup critici. Per i dati critici, implementa AWS Backup Vault Lock o S3 Object Lock per impedire l'eliminazione o l'alterazione durante il periodo di conservazione specificato. Per informazioni sull'implementazione, consulta AWS Backup Vault Lock.

  4. Crea una separazione logica per gli ambienti di backup. Implementa una vault logicamente isolata AWS Backup per i sistemi critici che richiedono una protezione avanzata dalle minacce informatiche. Per una guida all'implementazione, consulta Building cyber resiliency with AWS Backup logically air-gapped vault.

  5. Implementa i processi di convalida del backup. Configura i test di ripristino AWS Backup per verificare regolarmente che i backup non siano danneggiati e possano essere ripristinati correttamente a seguito di un incidente informatico. Per ulteriori informazioni, consulta Convalidare la preparazione al ripristino con i test di ripristino AWS Backup.

  6. Configura l'approvazione multiparte per le operazioni di ripristino sensibili. Per i sistemi critici, implementa l'approvazione multiparte AWS Backup per richiedere l'autorizzazione di più approvatori designati prima di procedere con il ripristino. Per i dettagli sull'implementazione, consulta Migliorare la resilienza del ripristino con il supporto AWS Backup per l'approvazione multiparte.

Risorse

Documenti correlati:

Esempi correlati: