Architettura della soluzione dell'ambiente di ripristino isolato

L'architettura dell'ambiente di ripristino isolato utilizza un'istanza VMware Cloud Foundation for Classic - Automated con il servizio Veeam® , il cluster gateway e le opzioni Juniper® vSRX. Creano un ambiente di cyber-recupero protetto dall'aria e separato dall'ambiente di produzione. Questo ambiente di recupero isolato è gestito e accessibile da un team di cyber-recupero separato. Il servizio Veeam è potenziato con un repository Veeam Linux® temprato per l'archiviazione immutabile.

L'architettura della soluzione è adatta ai clienti che desiderano spostare una copia dei dati critici dall'ambiente di produzione, dai sistemi di backup e dal personale a un ambiente che richiede credenziali di sicurezza separate. L'architettura della soluzione non preclude nessuna delle opzioni VCF for Classic - Automated, come Caveonix, Entrust e VMware Aria® Operations™.

Architettura della soluzione per l'ambiente di ripristino isolato — Architettura della soluzione dell'ambiente di ripristino isolato

Gli elementi chiave dell'architettura dell'ambiente di recupero isolato comprendono:

I dati di produzione che devono essere recuperati in caso di cyberattacco sono soggetti a un backup di cyber-recupero nel sito di cyber-recupero e scritti su uno storage immutabile nel repository temprato Linux.
Il sito di cyber-recupero è l'account IBM Cloud®, il gruppo di risorse e la posizione del centro dati in cui si trova l'ambiente di recupero isolato. Se l'ambiente di produzione è in IBM Cloud, per l'ambiente di cyber-recupero si consiglia un account IBM Cloud diverso per consentire la segmentazione.
L'architettura della soluzione supporta solo i dati di produzione ospitati in un ambiente VMware vSphere®. Non supporta server fisici o altri hypervisor.
Il servizio Veeam nell'ambiente di ripristino isolato fornisce un backup di ripristino informatico delle macchine virtuali (VM) di produzione specificate. Scrive i dati di backup nel repository di backup temprato Linux nell'ambiente di ripristino isolato.
I proxy di backup del cyber-recupero, gestiti dal servizio Veeam nell'ambiente di ripristino isolato, devono essere ospitati nel sito di produzione. Questi proxy possono essere basati su Windows® o Linux, virtuali o fisici.
L'architettura della soluzione è indipendente dall'ambiente di backup di produzione esistente e non si integra con alcun sistema di produzione, ad eccezione degli host di produzione vCenter e vSphere.
Per le attività di cyber-recovery, il servizio Veeam abilita il montaggio dei file di backup del cyber-recovery dal repository Linux protetto in modalità di sola lettura in una sandbox. La sandbox è ospitata sull'istanza del server vSphere.
Possono esserci molte sandbox, ad esempio:
- Uno può essere utilizzato quotidianamente per la scansione dei file di backup di cyber-recupero.
- Uno o più di essi possono essere utilizzati secondo le necessità per le attività di cyber-recupero.
Le sandbox sono destinate alla scansione forense, all'analisi o ad altre attività di recupero informatico, come le indagini. Le sandbox non sono destinate all'esecuzione di carichi di lavoro di produzione. Per il ripristino, le macchine virtuali del cliente devono essere riportate nell'ambiente di produzione o in un altro ambiente specificato dal cliente utilizzando i metodi di ripristino Veeam.
Tutti i dispositivi sono riconfigurati per utilizzare i server ADDNS per le richieste DNS e NTP.
Il dimensionamento dell'ambiente di ripristino isolato dipende dalla dimensione massima dell'impronta di backup. Inoltre, il numero di sandbox necessarie e il numero di macchine virtuali recuperate da istanziare in qualsiasi momento.

Ambiente di produzione

L'ambiente di produzione è l'ambiente vSphere che ospita i dati di produzione. L'ambiente di produzione può trovarsi in IBM Cloud o altrove. Questo sito ospita:

I dati di produzione si riferiscono in particolare alle immagini delle macchine virtuali (VMDK) delle macchine virtuali in esecuzione nell'ambiente di produzione.
L'infrastruttura di backup di produzione è costituita da applicazioni e infrastrutture di backup esistenti utilizzate per proteggere i dati di produzione. L'architettura della soluzione dell'ambiente di ripristino isolato è indipendente dall'infrastruttura di backup di produzione e non si collega o interfaccia con essa.
Gli amministratori del backup sono il team esistente responsabile del backup di produzione. Per consentire la separazione dei compiti, i membri del team devono essere diversi dai membri del team di amministrazione del cyber-recupero.
IaaS sono il team esistente responsabile della manutenzione dell'infrastruttura. Per consentire la separazione dei compiti, i membri del team devono essere diversi dai membri del team di amministrazione del cyber-recupero.
Production vCenter gestisce gli host di produzione vSphere. Il server Veeam BUR richiede l'accesso al vCenter.
L'ESXi di produzione ospita i dati di produzione ed è gestito dal vCenter. Il server Veeam BUR richiede l'accesso agli host di produzione vSphere.
Il backup del Cyber-recovery è il backup dei dati di produzione nell'ambiente di ripristino isolato. Un backup di ripristino informatico è diverso da un backup di produzione.
Il traffico di controllo è l'accesso richiesto dal server di backup Veeam agli host di produzione vCenter ed ESXi per consentire le operazioni di cyberbackup.
Il proxy di backup per il cyber-recovery è un proxy di backup Veeam VMware utilizzato per trasportare i dati dall'ambiente di produzione al sito di cyber-recovery. È un componente dell'architettura che si colloca tra il server di cyber-backup e gli altri componenti dell'infrastruttura di cyber-backup. Mentre il server di cyber-backup amministra le attività, il proxy di cyber-recovery backup elabora i lavori e distribuisce il traffico di backup. Le attività di base del proxy di backup comprendono il recupero dei dati della macchina virtuale, la compressione, la de-duplicazione, la crittografia e l'inoltro al repository di backup del cyber-recovery. Per ulteriori informazioni, consultare Veeam backup proxy.

VCF for Classic - Automated istanza

L'istanza VCF for Classic - Automated fornisce le risorse di calcolo e di rete per ospitare le macchine virtuali e le sandbox. Se si utilizza l'opzione vSAN nell'ordine dell'istanza VCF for Classic - Automated, l'istanza VCF for Classic - Automated fornisce anche le risorse di storage.

L'istanza VCF for Classic - Automated consiste in un cluster consolidato con un minimo di tre host ESXi vSphere. Questo cluster ospita le seguenti macchine virtuali:

VMware vCenter® server appliance (VCSA)- Il VCSA gestisce le risorse vSphere e fornisce un unico piano di gestione per vSphere.
Cluster manager NSX-T™ - Il cluster manager NSX-T è composto da tre appliance manager che forniscono il piano di gestione e controllo della rete virtualizzata, nota anche come rete overlay.
Active Directory™ e servizio dei nomi di dominio - Le macchine virtuali ADDNS sono due Microsoft® Windows 2019 configurate per Active Directory e DNS. Questa opzione viene selezionata nel processo di ordinazione selezionando l'opzione Due VM Windows Server dedicate ad alta disponibilità sul cluster di gestione. Selezionando questa opzione, è necessario fornire le proprie licenze.
Istanza del servizio Veeam - Per ulteriori informazioni, vedere Componenti Veeam.
Cluster di gateway - Un cluster di gateway è costituito da due host ESXi vSphere forniti su gateway IBM Cloud. Fornisce le risorse per il funzionamento del gateway edge di rete. Queste risorse includono i firewall e la capacità di diventare i gateway predefiniti per le IBM Cloud sottoreti ad esse associate. In questa soluzione architettonica, il cluster ospita i firewall Juniper vSRX che funzionano come appliance virtuali. Sebbene le appliance Juniper vSRX possano essere eseguite direttamente sul cluster consolidato, non possono fungere da gateway predefinito per le subnet IBM Cloud, in quanto ciò richiede l'appliance gateway IBM Cloud.

L'architettura della soluzione aggiunge i seguenti componenti all'istanza VCF for Classic - Automated:

VM di gestione - Questa VM è una VM Linux che esegue Ansible. Ansible sono utilizzati per le attività di automazione che includono l'apertura del traferro per consentire i cyberbackup.
Server di salto - I server di salto e gli host bastione consentono l'accesso all'ambiente di ripristino isolato per i cyberamministratori.
Cybertoolset - I toolset per il cyber-recupero sono applicazioni da utilizzare all'interno del sito di cyber-recupero per scansionare, analizzare o pulire i dati del cyber-recupero.

L'istanza VCF for Classic - Automated utilizza i seguenti servizi IBM Cloud:

Servizio NFS- Se VMware vSAN non è specificato per l'istanza VCF for Classic - Automated, allora viene utilizzato IBM Cloud File Storage for Classic (NFS) o i datastore VMware. Il IBM Cloud File Storage for Classic (NFS) si trova nella rete di servizi IBM Cloud nel data center. I clienti non hanno accesso diretto all'infrastruttura di storage sottostante e utilizzano le condivisioni di file.
Servizio NTP - In questa architettura, l'ambiente di ripristino isolato utilizza i server ADDNS come fonte di tempo. I server ADDNS utilizzano il servizio NTP IBM Cloud come riferimento temporale.
Servizio DNS - In questa architettura, l'ambiente di ripristino isolato utilizza i server ADDNS per la risoluzione dei nomi. I server ADDNS utilizzano il servizio IBM Cloud DNS per le richieste che non possono risolvere direttamente.

Gli amministratori del cyber-recovery sono il team responsabile del funzionamento dell'ambiente di cyber-recovery. Per consentire la separazione dei compiti, i membri del team devono essere diversi dai team di produzione.

Repository con protezione avanzata Linux

Il deposito protetto è uno o più IBM Cloud server bare metal che eseguono un sistema operativo Linux supportato. Per ulteriori informazioni, vedere Veeam Linux hardened repository.

Servizi opzionali

I seguenti servizi sono opzionali ma consigliati per abilitare gli archivi di dati criptati, sia Key Protect che Hyper Protect Crypto Services per la gestione delle chiavi con il servizio KMIP:

Servizio Key Protect- Il servizio Key Protect è una soluzione di crittografia che consente di proteggere i dati nei datastore VMware utilizzando tecniche di crittografia a busta che si avvalgono di moduli di sicurezza hardware basati su cloud certificati FIPS 140-2 di livello 3. Per ulteriori informazioni, vedere Informazioni su Key Protect.
Hyper Protect Crypto Services- IBM Cloud Hyper Protect Crypto Services è un servizio dedicato di gestione delle chiavi e un modulo di sicurezza hardware che consente all'utente di assumere la proprietà del modulo di sicurezza hardware per gestire completamente le chiavi di crittografia ed eseguire operazioni crittografiche. Hyper Protect Crypto Services è costruito su hardware certificato FIPS 140-2 Livello 4. Per ulteriori informazioni, vedere Iniziare con IBM Cloud Hyper Protect Crypto Services.
Servizio KMIP - Il servizio Key Management Interoperability Protocol (KMIP) per VMware utilizza il servizio IBM Key Protect o il servizio Hyper Protect Crypto Services (HPCS) per creare, criptare e decriptare le chiavi di crittografia. Il servizio KMIP interfaccia il servizio Key Protect o HPCS con VMware vSphere.

Repository e servizi Internet

Gli archivi e i servizi Internet sono risorse utilizzate, ad esempio, dall'architettura della soluzione o dagli strumenti di recupero informatico dei clienti:

Le definizioni dei virus antivirus sono utilizzate dai software di scansione del malware per trovare il malware e vengono scaricate dai repository pubblici dei fornitori.
L'autenticazione a due fattori è un processo di sicurezza in cui gli utenti forniscono due diversi fattori di autenticazione per verificare se stessi. Il server di autenticazione è fornito da un fornitore di servizi ed è connesso pubblicamente.