セキュリティに関する考慮事項
バックアップインフラストラクチャを設定する場合、見落とせないのがセキュリティです。バックアップインフラストラクチャは、システムやデータにアクセスするバックドアとして使用される可能性があります。
このセクションでは、セキュリティ上の問題になる可能性がある点を防護し、機密データを危険にさらすリスクを低下させる助けになる、いくつかの推奨事項について説明します。
一般的な考慮事項
バックアップインフラストラクチャサーバー上のゲストOSを適切な時機に確実にアップデートすること。バックアップインフラストラクチャサーバーに最新のアップデートおよびパッチをインストールして、攻撃者がゲストOSの脆弱性に付け込むリスクを最小にします。
バックアップとレプリカ
バックアップまたはレプリカそのものが脆弱性の原因になる可能性があります。バックアップおよびレプリカに格納されているデータを保護するために、次の推奨事項を検討してください。
- ターゲットサーバーの物理的なセキュリティを確認する 。ターゲットサーバー(バックアップリポジトリおよびホスト)が存在する部屋に入室する権限を持っているのが、認可された人員だけであることを確認します。
- バックアップとレプリカへのユーザーアクセスを制限する 。認可されたユーザーだけが、ターゲットサーバー上のバックアップおよびレプリカにアクセスする権限を持っていることを確認します。
- バックアップ内のデータを暗号化する 。 Veeam Backup & Replication に組み込まれている暗号化を使用して、バックアップのデータを保護します。バックアップ内のデータのセキュリティを保証するには、「暗号化のベストプラクティス」に従ってください。
データ通信チャネル
バックアップデータは、送信中、つまりネットワーク経由でソースからターゲットに通信されるときに、インターセプトされる可能性があります。バックアップトラフィックの通信チャネルを保護するために、次の推奨事項を考慮してください。
- バックアップトラフィックを隔離する 。バックアップインフラストラクチャコンポーネント(バックアップサーバー、バックアッププロキシ、リポジトリなど)間のデータの転送に、隔離されたネットワークを使用します。
- ネットワークトラフィックを暗号化する 。 Veeam Backup & Replication はデフォルトで、パブリックネットワーク間を移動するネットワークトラフィックを暗号化します。同一ネットワークの境界内での機密データの通信を確実に保護するために、プライベートネットワーク内のバックアップトラフィックを暗号化することもできます。詳細については、「ネットワークデータ暗号化の有効化」を参照してください。
バックアップサーバーのインターネットアクセス
一部のVeeam Backup & Replication 機能では、バックアップサーバーからアウトバウンドのインターネット接続ができる必要があります。たとえば、製品のアップデートチェック、自動ライセンスアップデートおよびライセンスの使用状況のレポート機能を有効化するには、バックアップサーバーがインターネットに接続され、インターネット上のサーバーにリクエストを送信できる必要があります。
ただし、インターネットからバックアップサーバーへのインバウンド接続を許可してはなりません。インターネット経由でリモートからバックアップサーバーを管理する場合、踏み台サーバーに Veeam Backup & Replication コンソールを展開できます。リモートからバックアップサーバーを管理するサービスプロバイダーは、Veeam Backup Remote Access機能を使用できます。詳細については、「Veeam Cloud Connectガイド」の「リモートアクセスコンソールの使用」セクションを参照してください。
RDPアクセスに使用するアカウントに踏み台サーバーのLocal Administrator権限を与えてはならず、RDPアクセスまたは他のいかなるリモートコンソール接続に対しても、決して保存されたログイン情報機能を使用してはなりません。グループポリシーを使用して、ユーザーがRDPにログイン情報を保存するのを制限できます。詳細については、Experts Exchangeを参照してください。
ログイン情報
バックアップインフラストラクチャサーバーへの高い権限のアクセス権を獲得した攻撃者は、ユーザーアカウントのログイン情報を取得して、環境内の他のシステムを危険にさらすことがあります。
特に、バックアッププロキシは攻撃のターゲットとみなす必要があります。バックアップ時に、プロキシは、バックアップサーバーから必要なログイン情報を入手して、仮想インフラストラクチャサーバーにアクセスします。バックアッププロキシの管理者権限を持っている個人は、ログイン情報をインターセプトし、それを使用して仮想インフラストラクチャにアクセスできます。
ログイン情報の窃取の最も可能性がある原因の1つは、ゲストOSのアップデートがなく、古い認証プロトコルを使用していることです。リスクを緩和するために、次の推奨事項を考慮してください。
- SSHに強固な暗号化アルゴリズムを選択する 。バックアップインフラストラクチャの一部として展開されるLinuxサーバーと通信するために、 Veeam Backup & Replication はSSHを使用します。SSHトンネルの場合、必ず強固で定評ある暗号化アルゴリズムを、十分なキー長で使用します。プライベートキーが非常に安全な場所に保持され、第三者が発見できないことを確認します。
- SSHを経由してリモートサーバーに接続するときに、パスワード認証を使用しないようにする 。キーベースのSSH認証の使用は、通常、パスワード認証の使用より安全とみなされ、MITM攻撃に対して脆弱ではありません。
Veeam Backup & Replication データベース
考慮する必要がある別のセキュリティ上の懸念に、Veeam Backup & Replication 構成データベースの保護があります。データベースには、バックアップインフラストラクチャ内の仮想サーバーや、その他のシステムに接続するのに必要なユーザーアカウントのログイン情報が格納されています。データベースに格納されているパスワードは、すべて暗号化されています。ただし、バックアップサーバーの管理者権限を持つユーザーは、パスワードを解読でき、潜在的な脅威となります。
Veeam Backup & Replication構成データベースを保護するために、次の推奨事項を考慮してください。
- データベースへのユーザーアクセスを制限する 。 Veeam Backup & Replication構成データベースをホスティングするバックアップサーバーやサーバーにアクセスできるのが、認可されたユーザーだけであることを確認します(データベースがリモートサーバー上で実行されている場合)。
- 設定情報のバックアップ内のデータを暗号化する 。設定情報のバックアップのデータ暗号化を有効化して、構成データベースに格納されている機密データを保護します。詳細については、「暗号化された設定情報のバックアップの作成」を参照してください。
Veeam Cloud Connect
Veeam Cloud Connectは、プロバイダー側とテナント側の間の通信をTLSで保護します。攻撃者がプロバイダーのプライベートキーを入手すると、バックアップトラフィックの盗聴や解読が可能になります。攻撃者はまた、証明書を使用してプロバイダーになりすますこともできます(中間者攻撃)。
Veeam Cloud Connectプロバイダーは、次の推奨事項を検討してください。
証明書を安全な場所に保管する 。TLS証明書が非常に安全な場所に保管され、第三者が発見できないことを確認します。