De essentiële infrastructuur van Veeam Availability voor gegevensbescherming
De infrastructuur van Veeam Availability is cruciaal voor de bescherming en herstel van gegevens in de meeste organisaties. Bij het opzetten van deze infrastructuur is het van groot belang om het principe te onthouden dat een gegevensbeschermingssysteem niet afhankelijk mag zijn van de omgeving die het moet beschermen. Dit is bijzonder belangrijk in het geval dat de productieomgeving uitvalt, aangezien de back-upserver ook afhankelijk zou zijn van domeincontrollers voor authenticatie, naamresolutie en andere essentiële processen.
Domein of Werkgroep?
Wat betreft beveiliging en beheer zijn er verschillende opties beschikbaar voor het configureren van de Veeam-infrastructuur, variërend van de meest veilige tot minder veilige mogelijkheden:
- Voeg de componenten van Veeam toe aan een beheerdomein in een aparte Active Directory Forest en bescherm de administratieve accounts met multifactor-authenticatie (MFA).
- Voeg de componenten van Veeam toe aan een onafhankelijke werkgroep en plaats ze in een gescheiden netwerk indien nodig.
- Voeg de componenten van Veeam toe aan het productiedomein, maar zorg ervoor dat accounts met administratieve bevoegdheden zijn beveiligd met multifactor-authenticatie.
De Beste Praktijk
De beste praktijk voor een veiligere implementatie is de componenten van Veeam toe te voegen aan een beheerdomein dat zich in een afzonderlijke Active Directory Forest bevindt, waarbij de administratieve accounts worden beschermd met multifactor-authenticatie. Op deze manier is de Veeam-infrastructuur niet afhankelijk van de omgeving die zij moet beschermen.
Configuratie van Werkgroep
Bij het gebruik van een werkgroep moet elk systeem onafhankelijk worden geconfigureerd, inclusief lokale beveiligingsbeleid, gebruikers en machtigingen. In grotere omgevingen kan dit leiden tot een moeizame administratie. Bovendien kan Kerberos-authenticatie niet worden gebruikt, omdat alleen NTLM wordt ondersteund.
Een werkgroep is moeilijker te verdedigen tegen interne bedreigingen, zoals een ontevreden werknemer, aangezien lokale accounts op de werkservers worden gebruikt en het niet mogelijk is om een enkele gebruiker op Active Directory-niveau te blokkeren. Ook wordt het complexer om de conformiteit en de beveiliging van het systeem te toetsen, wat een probleem kan zijn voor het voldoen aan regelgeving.
Voordelen van een Werkgroep:
- Makkelijk en snel te configureren.
- Scheidt de Veeam-accounts van de geprivilegieerde accounts van het productiedomein, wat helpt bij het voorkomen van aanvallen van keyloggers en schendingen in het productiedomein.
- Afhankelijkheid van de omgeving die moet worden beschermd.
- Vereist geen extra servers zoals domeincontrollers, NTP en DNS.
Nadelen:
- Grote administratieve last in grotere omgevingen.
- Geen Kerberos-communicatie mogelijk, alleen NTLM.
- Moeilijker om aan beveiligingsnormen te voldoen en bewijsmateriaal van conformiteit te genereren.
- Het systeem gMSA kan niet worden gebruikt voor gastauthenticatie tijdens back-upinteracties.
Configuratie van Beheerdomein
Deze configuratie, die het toevoegen van een onafhankelijk beheerdomein in een afzonderlijke Active Directory Forest inhoudt, is ideaal voor grotere omgevingen. Hoewel deze optie enige complexiteit met zich meebrengt, vergemakkelijkt het de centrale administratie van beleid en gebruikersmachtigingen. Bovendien kan het uitschakelen van AD-accounts met één klik helpen interne bedreigingen snel te mitigeren.
Voordelen van een Beheerdomein:
- Eenvoudig te beheren.
- Uitschakeling van accounts met één klik.
- Afhankelijkheid van de omgeving die moet worden beschermd.
- Veilige communicatie via Kerberos tussen de Veeam-componenten.
- Gebruik van groepsbeleid om het domein te beheren en eenvoudiger aan beveiligingsnormen te voldoen.
- Mogelijkheid tot integratie van multifactor-authenticatie (MFA) voor een extra beveiligingslaag.
Nadelen:
- Vereist extra infrastructuurcomponenten.
- Vereist meer technische kennis voor een correcte configuratie.
Vertrouwen tussen Bosken (Forest Trusts)
Forest Trusts zijn nuttig wanneer er een oplossing voor administratieve autonomie wordt gezocht in een omgeving met meerdere Active Directory-bosken. Een forest trust stelt een productiedomein in staat om unidirectioneel te vertrouwen op een beheerdomein, waardoor een soepele ervaring voor authenticatie en autorisatie tussen de bossen wordt geboden.
- Een unidirectioneel trust: Leden van het vertrouwende bos kunnen de middelen van het bos waarop het vertrouwen is gevestigd gebruiken, maar het vertrouwen werkt alleen in één richting.
Dit is nuttig wanneer het productiedomein vertrouwen in het beheerdomein wil hebben met een unidirectionele vertrouwensrelatie. In dit geval zou het productiedomein de vertrouwensrelatie naar het beheerdomein tot stand brengen.
Conclusie
De keuze tussen een beheerdomein en een werkgroep hangt af van de grootte van de infrastructuur en de beveiligingsbehoeften van de organisatie. Voor grotere omgevingen is de implementatie van een onafhankelijk beheerdomein en de bescherming met multifactor-authenticatie de veiligste optie, waardoor wordt gegarandeerd dat gegevensbeschermingssystemen zoals Veeam niet afhankelijk zijn van de infrastructuur die zij moeten beschermen. Een werkgroep kan echter nuttig zijn voor kleinere omgevingen waar de complexiteit en de nalevingsvereisten geringer zijn.
Bij het nemen van beslissingen over de organisatie van de Veeam-infrastructuur is het essentieel om rekening te houden met de langetermijnbeveiliging en het beheergemak om de kritieke gegevens van de organisatie te beschermen.
Bron: Veeam