ベストプラクティス 8.3 - データ復旧メカニズムを確保して、脅威から保護する

悪意あるアクティビティから保護するために、組織のセキュリティフレームワーク内で定められているガイドラインに従ってください。それらの 日本語ガイド: AWS クラウド環境をランサムウェアから保護する には、インシデント前およびインシデント対応の一環としての重要な項目の概要が説明されていて、ネットワークコントロール、パッチ適用、最小特権許可などが含まれています。SAP システムの場合、脅威は他のアプリケーションと同様ですが、影響はより大きくなる可能性があります。SAP がレコードのシステムの場合や、ミッションクリティカルなトランザクションのために必要とされる場合は、以下の提案を検討して、悪意ある攻撃からバックアップを保護してください。

提案 8.3.1 – 追加のコントロールで個別アカウントのバックアップを保護する

データのプライマリコピーから隔離されたアカウントでバックアップを直接、またはレプリケーションを使用して保護することにより、システム侵害がデータ復旧メカニズムにも影響を与えるリスクを最小化できます。

セカンダリアカウントは、ユースケースに応じたアクセス要件を持つ “データバンカー” として見ることができます。

Amazon S3 を使用するバックアップの場合、追加のコントロールとして、write-once-read-many (WORM) モデルを使用してオブジェクトを保存する S3 Object Lock、または 多要素認証削除を含めることができます。 .

レプリケーションを使用する場合は、使用可能なさまざまなオプション、例えば、 削除マーカーレプリケーション (デフォルトでは、削除マーカーはレプリケートされません) や S3 レプリケーション時間制御などを理解してください .コストを最適化するには、プライマリとセカンダリの両方のバケットでハウスキーピングが実行されることを確認します。

提案 8.3.2 – 復旧能力を検証する

バックアップは、悪意あるアクティビティからデータを保護する最後の防衛線ですが、バックアップが不完全であったり、バックアップが有効でなかったりするために復旧できない場合は役に立ちません。バックアップにアクセスできない場合や復号化できない場合も、復旧は不可能です。暗号化キーと認証情報をどのように保護するか考慮してください。

代替アカウントでの再構築も含めて、悪意あるシナリオに応じた復旧テストを実行してください。