1. 数据安全，从微盟不再威猛谈起
在数据已经成为企业最宝贵的财富资产的今天，我们来讨论云上的数据安全问题，有很多人认为我的数据上云了，这样就已经非常的安全了，其实不然。因为无论在云上与云下，企业用户都是数据的主人，也就是说您要对自己的数据负责。如果大家回忆一下过往的数据安全事件，从Facebook用户数据泄漏、招聘网站前程无忧个人求职简历泄露，快递公司圆通用户信息数据被出售，直到最近我们看到微盟的公告。在IT运维与数据管理领域，人祸有时比天灾还要可怕。我们今日看到的这些行业的翘楚都在面临着数据安全问题，难道数据在云上不安全吗？我们应该如何未雨绸缪，防患于未然？让我们一一道来。
2. 解决认知上的谬误，牢记责任共担模型
其实各大云服务提供商都有在自己的网站上发布责任共担模型，从 AWS，Azure，到腾讯与阿里云无例外，为什么云服务提供商都要对责任共担模型进行声明呢？我们来看一下责任共担模型的内容，在些我们以微软的责任同担模型为例。
从上图您可以了解到，云服务商的主要责任是保证云服务的运行，而您的主要责任是保证您在云端的数据与应用可以正常的进行访问与控制。在技术支持方面，云端的数据处理技术主要是底层的数据复制，不能防止逻辑上的错误，也就是说主从站点的读写是一致的，如果您错误的删除了数据或是有人从内部进行恶意的破坏，那么从属站点也一样也找不到您想要恢复的数据，企业必须要考虑有效的备份机制。从安全性的角度来说，云厂商保证的是基础架构的安全，比如物理安全、应用安全与人员的访问控制。从数据层级，企业来自于内部与外部的威胁都会使企业蒙受损失，内部：意外删除，恶意攻击，员工报复。还有来自外部的勒索病毒，恶意软件等。这些都是对企业形成数据安全的隐患，如果企业不进行数据保护会发生什么？诚然，在责任共担模型下，企业要对自己的数据负责，如果没有进行数据保护企业将面对，数据无法访问，数据丢失，安全的漏洞，监管的压力等等。
从上图您可以了解到，云服务商的主要责任是保证云服务的运行，而您的主要责任是保证您在云端的数据与应用可以正常的进行访问与控制。在技术支持方面，云端的数据处理技术主要是底层的数据复制，不能防止逻辑上的错误，也就是说主从站点的读写是一致的，如果您错误的删除了数据或是有人从内部进行恶意的破坏，那么从属站点也一样也找不到您想要恢复的数据，企业必须要考虑有效的备份机制。从安全性的角度来说，云厂商保证的是基础架构的安全，比如物理安全、应用安全与人员的访问控制。从数据层级，企业来自于内部与外部的威胁都会使企业蒙受损失，内部：意外删除，恶意攻击，员工报复。还有来自外部的勒索病毒，恶意软件等。这些都是对企业形成数据安全的隐患，如果企业不进行数据保护会发生什么？诚然，在责任共担模型下，企业要对自己的数据负责，如果没有进行数据保护企业将面对，数据无法访问，数据丢失，安全的漏洞，监管的压力等等。
3. 来自于 Veeam 的建议
在此背景下，如何保证您的企业业务永远在线，并且不会受到内部与外部威胁的干扰。如何激活自己的数据安全能力，在物理、虚拟化和多云基础架构之间安全地移动数据，就是当今的企业希望转向数据智能管理的原因。我们来看看来自于 Veeam 的建议：
- 永远的 3-2-1-0 备份原则，利用备份产生多个数据副本
- 备份数据的隔离存储与裂隙备份， TaaS 磁带即服务
- 做好病毒防御，建立 隔离环境与安全的恢复数据
- 进行角色分权机制，监控内部人员的数据访问行为，形成审计流程
- 建立企业的攻防演练环境，保证企业员工的数据安全敏感性
3.1 永远的 3-2-1-0 备份原则，利用备份产生多个数据副本
3-2-1-0 数据管理规则具有极大的普遍性，适用于所有企业与个人以及所有环境类型,包括物理、虚拟和云端。利用这个数据管理原则，可以使企业远离来自于内部与外部的威胁。此规则说明了企业需要至少需要有3个数据副本，存储在2种以上的介质上（并考虑裂隙备份的原则），至少1个异地备份，0 则 表示“0 数据错误或丢失”。
Veeam Backup & Replication™ 可帮助您满足所有 3-2-1-0的备份规则要求。如比说，至少拥有数据的三个副本 ，设置 Backup Job (备份作业) 来为您的每一个云中的虚拟机创建若干备份，并将数据副本存储在两个不同的介质上：您可将备份存储至下列任何介质：磁带、磁盘、云存储与云服务商等等。保存一份异地备份的副本：设置 Backup Copy Job(备份复制工作) 来利用内置广域网加速更快速地转移数据副本到异地备份，或者使用 Veeam Cloud Connect 将异地备份存储至服务提供商基础架构，如下图。
3.2 备份数据的隔离存放与裂隙备份
在去年，我有幸与一位国际知名企业的CIO谈未来IT服务中心的建设与发展。由于双方一见如故，也就谈到了他最关心的内容——数据与信息安全，诚然，今日的网络与信息安全问题要比以往任何时候都要来的迫切与重要。作为CIO，他还把这一项目内容放到了他今年的考核指标中，当下要为企业考虑的备份即服务，不仅仅是异地备份（Offsite Backup）这么简单，他还必需要考虑，有隙备份架构（Air-Gap Backup infrastrcture）与 隔离恢复（ Isolated Recovery）。在深入的与其企业IT核心管理团队交流后，他们相信Veeam真的可以帮助到企业，实现数据信息的安全与管理。
Veeam 基于Veeam Cloud Connect的备份即服务
早在2014年，随着 Veeam® Backup ＆ Replication™ v8的发布，Veeam推出了一项名为Veeam Cloud Connect的新技术 - 专门为服务提供商使用，用于创建和提供远程备份即服务。在2016年，Veeam Backup＆Replication v9 为Veeam Cloud Connect添加了复制功能，这一年Veeam的云服务提供商可以为他们的客户提供基于云基础架构的备份即服务和容灾即服务。从2014年Veeam Cloud Connect 备份即服务 GA，到现在已经有6个年头了，可以证明这是个成熟而稳定的技术。
当有人问我 Veeam 备份即服务有什么特性时，我总是说简单、强大，开箱即用。因为Veeam的BaaS确实简约不简单，无需VPN，能上网就可连接， 多租户，存储管理，打表计费，Restful- API对接，一样都不缺。Veeam 可以提供强大、可靠的特性和功能，帮助企业规避灾难性数据丢失风险。借助 Veeam Cloud Connect，您将能够实现：
- 多租户的结构：多租户结构的Veeam Cloud Connect 易于管理与经营，可以方便给CSP/MSP 进行备份即服务的经营，或是企业分子司、事业部门独立核算的备份服务使用，Veeam的云服务提供商VCSP，既可以只收取云上备份即服务的费用，也可以将云上云下一起运营。
- 云上异地备份： 通过 SSL 安全连接，无需搭建复杂的VPN环境，就可以将物理和虚拟内容异地备份至托管云存储库，此功能可以适配任何公有云和私有云的基础架构。
- 可视化与控制：通过备份控制台直接访问和恢复托管备份存储库中的数据，可以细粒度的将云数据进行恢复，云存储库的使用情况对用户透明。
- 现代备份架构： 充分利用 Veeam Backup & Replication版本中的各种备份技术，包括支持内置的广域网加速、永久增量备份、面向虚拟机 (VM) 和 VM 磁盘的并行备份处理、GFS（祖父-父-子关系备份链）保留策略等。
- 端到端的加密： 对处于源端（在离开源端网络之前）的数据、传输中的数据和静态数据进行加密，确保用户可以安心的进行数据备份，加密并不会对数据压缩比与WAN 加速造成不利影响。
- 隔离存放与裂隙备份： 用离线与归档的功能，形成一个不可访问的数据环境，防止企业的数据被恶意的篡改，防止内部人员恶意破坏
Tape as a Service 磁带即服务
当我们在与客户交流与进行架构设计时，经常会有架构师问我，如果租户自己错误的删除了数据将如何处理？这时我们通常要考虑这是BaaS流程本身所要求的，因为这是租户自己的数据，租户有权利决定是否删除它。紧接着，CSP/MSP的架构师会问另一个问题，如果这是恶意攻击呢？我非常理解，因为虽然在 VCSP 端受到保护, 但对备份到云存储库的内容的最终控制权掌握在租户手中。
在Veeam Cloud Connect 中添加了内部保护机制, 这允许 VCSP 在租户的云存储库上放置一个策略, 以保护备份免受恶意攻击。启用此选项后, 当备份或备份链中的特定还原点从云存储库中删除或做数据老化（Age）操作时，实际的备份文件不会立即删除, 而是被移动到存储库上的回收站文件夹中。详见下方图片，Keep deleted backup files for 14 Days 这可以按定义的天数保持要被删除的备份。
设定删除数据在回收站中保留的时间
同时，利用Veeam的有间隙备份（Air-Gapped Backup）选项, VCSP 可以使用 "租户到磁带" 功能创建备份服务以实现更长期的保留。这允许 VCSP 为其租户提供额外级别的数据保护 Tape as a Service。租户将备份数据的副本发送到他们的云上存储库, 然后 VCSP 将备份配置到磁带, 以便将另一个数据副本发送到磁带介质。如果存在需要恢复的情况 (如果云存储库中的数据不可用), VCSP 可以从磁带启动还原。VCSP 提供的磁带即服务, 以帮助租户实现合规性和内部策略, 而无需维护自己的磁带基础结构，这将在很大程度上降低客户自己维护磁带的复杂程度，同时也包括人力和时间成本。要利用这一新功能, VCSP 需要在 Cloud Connect 服务器上，配置磁带设备，磁带可以由服务提供商存储, 也可以运回租户, 如下图所示。Veeam 磁带即服务示意图
3.3 做好病毒防御，建立 隔离环境与安全的恢复数据
备份是个周而复始的日常任务，而病毒的出现则是突发性的事件，这就造成了0 Day 攻击的现象，以下图为例，备份每天都在运行，而随着备份的进行，新的病毒也一并随着备份数据存储到了备份介质中，随着时间的推移，反病毒厂商会制作新的病毒库，用来抵抗病毒。而在数据还原时，通常我们都不能将数据直接还原到生产环境中，原因很简单，我们担心二次感染的的出现， Veeam Secure Restore 可以彻底解决这个问题。
Veeam Secure Restore 工作原理
如下图，首先，我们在已有的备份集中找到需要的还原点，在Datalabs中将需要还原的磁盘挂载，同时启动杀毒软件进行扫描，如果发现病毒，则启动杀毒，并把主机还原至无网络的状态，等待处理。如果没有发现病毒，则直接还原到生产环境。Veeam的Datalabs创造了一个隔离的数据还原环境，与此同时，在隔离的环境中进行杀毒，这样就可以确保数据还原的安全性。
3.4 做好角色分权机制，监控内部人员的数据访问行为，形成审计流程
做好角色分权机制
在此我们需要说明的是，企业对于人员数据访问控制权限应做到责任分明，相互监督。这次的安全事件，从始至终是由一个人来完成的，也就是没有团队的参与，一个人就可以造成如此严重的后果，那么这个企业的安全与用户管理机制一定是有问题的。
Veeam 对数据的操作人员的权限有着非常严格的要求，您可以按需要为使用数据管理平台的用户或用户组分配以下角色之一：
- Veeam Restore操作员
- Veeam备份查看器
- Veeam备份操作员
- Veeam备份管理员
- Veeam磁带操作员
除了分配给用户的角色，您还可以定义了用户的活动范围，角色安全性的设置还可以细化到，开始和停止备份作业，或是执行还原操作。不同角色的用户可以执行不同的操作集：
| 角色 | 运作方式 |
|---|---|
| Veeam Restore操作员 | 可以使用现有的备份和数据副本执行还原操作 |
| Veeam备份查看人员 | 拥有对Veeam Backup＆Replication 的“只读”访问权限，可以查看现有作业并查看作业会话详细信息，适用于一般的运维人员 |
| Veeam备份操作员 | 可以启动和停止现有作业，导出备份以及创建VeeamZip备份 |
| Veeam备份管理员 | 可以执行Veeam Backup＆Replication中的所有管理活动。 |
| Veeam磁带操作员 | 可以管理磁带并执行以下操作：磁带库存，磁带导出，磁带弹出，磁带目录，盘点存库，目录库，重新扫描库，导入磁带，从驱动器弹出磁带。 |
您可以看到Veeam将定义备份作业，执行还原操作，执行备份操作与磁带操作的角色进行了分权，从用户管理上保证了企业数据管理人员的责权分明，使企业从根源上远离风险。下图演示了在Veeam软件 中要将角色分配给用户或用户组的过程。
[
监控内部人员的数据访问行为，形成审计流程
就微盟这次发生的问题来说，准确的分析是来自于内部员式的报复，员工在接触数据时没有不正当的操作，这些操作没有进行记录与审计，都是企业面临的实现问题。通常在威胁形成的时候，做什么补救的措施都显得很苍白，祸起萧墙，是企业不想看到，确又最难以防范的，所以对源头的治理才是最重要。如何尽早的发现不正当的数据操作，及时的制止，有又多个企业可以避免受风险呢？Veeam ONE 中包含了一个值得注意功能，那就是对的基础架构变更与数据操作监测与审计，它会监测数据管理人员对备份数据或是基础架构操作的异常访问行为，这些警报可以提供数据管理人员数据访问行为的可视性，以确保您的业务安全性与可用性。
如下图，这个审计报告说明的是基础架构变更的活动。
如下图，这个审计报告说明的是数据还源操作人员的活动。
3.5 建立攻防演练环境，保证企业员工的数据安全敏感性
数据安防发展到今日，许多企业的安防管理已经从救火，防火，发展到放火。如下图，从监控到发现问题，再到容量规划，Veeam One 这个企业级的监控软件可以帮您做到防患于未然。而Veeam Backup & Replication 和 Veeam Availability Orchestrator 的组合可以从DRP的角度出发，帮助企业实现容灾与数据管理自动化。使企业可以利用 Datalabs 形成攻防演练环境，保证企业员工的数据安全敏感性在 Datalabs 的虚拟环境中放火，进行漏扫盲测则可以加速企业安防的迭代发展。可以这样说，在一个可以控制的环境中放火，体现了企业安防管理的现代化程度。
Veeam 助力企业实现安防现代化今日的数据保护市场已经由数据保护走向了数据治理，Veeam 可以提供从系统的安全升级，数据安全的备份和恢复，到备份上云、数据离场，再到数据的离线备份，可以说将安防与数据安全进行了有机的结合，将备份即服务提升到一个新的高度。
结论
综上所述，在数据安全如此重要的今天。只有企业按照3-2-1-0的数据管理办法，考虑有隙备份架构与 隔离恢复。做好数据管理人员的角色分权，并监控其数据访问行为，形成审计机制。周期性的进行防真演练，保证企业员工的数据安全敏感性，这样才能从根本上实现数据安全！发挥数据的价值，从而利用数据促进企业的创新与数字化转型！
用卫盟！让企业的数据更威猛！
欢迎下载与试用
本文中所提到的内容与应用场景只是简单的举例，我们希望您可以亲自尝试，并把您的感受与经验分享给我们，以是是试用的链接。
试用链接：Veeam Backup & Replication v10
https://www.veeam.com/cn/downloads.html
最后，还是希望与您多多讨论，详细内容也可以参考Veeam的官方手册查看详细内容，今后还会计划推出更多精彩内容。请长按下并关注，为了让更多的人看到请点下右下角“在看”啊！;-)
