Изоляция учётных данных резервного копирования
Определение
Изоляция учётных данных резервного копирования — порядок доступа, при котором создавать, удалять и восстанавливать копии могут только отдельные служебные учётные записи. Учётные данные рабочей среды таких прав не получают, но контролируемый аварийный путь восстановления должен сохраняться.
Также ищут: Backup credential isolation · изоляция учётных данных backup · отдельные credentials бэкапа · backup access separation
Зачем это знать
Компрометация одной рабочей записи не должна одновременно уничтожать нагрузки, каталог и сами точки восстановления.
Карта понятия
Что подтверждено
Отдельный служебный контур учётных записей может защитить точки восстановления от данных, скомпрометированных в рабочей среде.
Граница применимости: Логически изолированные хранилища резервных копий.
Изоляция должна сохранять контролируемый аварийный путь восстановления; недоступные всем учётные данные превращают защищённую копию в тупик.
Граница применимости: Планирование доступа при кибервосстановлении.
Что проверить
- Разделите роли резервного копирования и рабочей среды.
- Проверьте право удаления.
- Испытайте аварийное восстановление.
Первоисточники
- Logically air-gapped vault
Фиксирует service-owned account boundary, compliance Vault Lock, encryption key choices и controlled cross-account restore.
- #StopRansomware Guide
Требует offline encrypted backups, регулярной проверки доступности и целостности и учитывает попытки ransomware удалить доступные копии.
Утверждения: 01
- Guide for Cybersecurity Event Recovery
Определяет recovery planning как цикл приоритизации, playbooks, realistic testing, metrics и улучшения по lessons learned.
Утверждения: 02
- AWS Backup Vault Lock
Разделяет governance и compliance lock, grace time и min/max retention; после grace compliance lock нельзя изменить.