Recovery Services Vault 백업 불변성 점검

설명

Recovery Services Vault의 immutability는 보존 기간이 끝나기 전 백업을 잃게 하는 삭제나 보존 기간 단축을 제한합니다. 랜섬웨어나 권한 오남용으로 복구 지점이 제거되는 위험을 줄이는 데 도움이 됩니다.

Unlocked는 보호가 활성화됐지만 해제할 수 있는 상태이고, Locked는 되돌릴 수 없는 상태입니다. 보호 대상은 지원되는 Vault 저장 백업이며, 모든 리소스 설정이나 운영 백업을 보호하는 것은 아닙니다.

잠재적 영향

백업이 너무 일찍 삭제되면 장애나 침해 이전 상태로 복구하지 못해 서비스 중단과 데이터 손실이 커질 수 있습니다.

해결 방법

지원되는 Vault 저장 백업의 보존 요구에 맞게 immutability를 활성화하세요. Unlocked에서 정책과 복원 작업을 검증한 뒤, 운영 변경에 미치는 영향을 확인하고 Locked로 전환하세요. Soft delete와 접근 제어를 함께 유지하세요.

예시

Vault 설정을 비교합니다. 기존 Vault를 변경할 때는 실제 이름을 유지하고 Terraform의 교체 계획을 확인하세요.

변경 전

resource "azurerm_recovery_services_vault" "recovery_vault" {
  name                = "app-recovery-vault"
  location            = azurerm_resource_group.example.location
  resource_group_name = azurerm_resource_group.example.name
  sku                 = "Standard"
  immutability        = "Disabled"
}

백업 불변성 보호를 비활성화합니다.

변경 후

resource "azurerm_recovery_services_vault" "recovery_vault" {
  name                = "protected-recovery-vault"
  location            = azurerm_resource_group.example.location
  resource_group_name = azurerm_resource_group.example.name
  sku                 = "Standard"
  immutability        = "Locked"
}

보호를 활성화하고 잠급니다. Locked로 전환하면 되돌릴 수 없으므로 보존 정책과 운영 요구를 먼저 검증하세요.

참조

• CWE-754
• Azure Recovery Services Vault immutability 문서
• Azure Backup 불변성 보호 범위와 잠금