Tuần 14: Compliance, Security & Data Governance

⏱️ 4 giờ

🔒 Security

⚖️ GDPR/HIPAA

🦠 Ransomware Defense

🎓 Kết Quả Học Tập

✅ Cấu hình backup encryption AES-256 và quản lý key
✅ Hiểu GDPR, HIPAA, PCI-DSS yêu cầu gì với backup
✅ Thiết lập immutability (WORM) chống ransomware
✅ Tạo audit report cho compliance officer/auditor
✅ Phân tích ransomware kill chain và điểm phòng thủ
✅ Hardening checklist cho Veeam infrastructure

Lý Thuyết: Regulatory Landscape

Các Quy Định Ảnh Hưởng Đến Backup Policy

Quy Định	Ngành	Yêu Cầu Backup	Retention	Veeam Solution
GDPR (EU)	Mọi tổ chức xử lý dữ liệu EU	Right to erasure, audit trail, data breach notification 72h	Không quá thời gian cần thiết	Backup encryption + access log + secure delete
HIPAA (US)	Healthcare, bảo hiểm y tế	Bảo vệ PHI, test DR hàng năm, access controls	6 năm (Medical records)	AES-256 + immutable repo + audit report
PCI-DSS v4	Payment card, fintech	Mã hóa cardholder data, network segmentation, log 1 năm	1 năm logs, 3 tháng accessible	Encrypted backup + isolated backup VLAN
Thông Tư 09 (VN)	Ngân hàng, tín dụng VN	Backup offsite, test phục hồi hàng quý, RTO < 4h	10 năm (giao dịch tài chính)	SOBR + offsite copy + SureBackup quarterly
ISO 27001	Mọi ngành (certification)	Information asset protection, business continuity plan	Theo risk assessment	Full backup strategy + documented DR plan

Lưu ý cho doanh nghiệp Việt Nam: Nếu công ty có khách hàng EU, phải tuân thủ GDPR đồng thời với các quy định VN. Hai bộ yêu cầu đôi khi mâu thuẫn — cần tư vấn pháp lý.

LAB 14A: Backup Encryption

AES-256

Standard encryption — không thể brute-force

At Rest

.VBK file trên disk/tape được encrypt

In Transit

Data truyền WAN cũng được mã hóa

Steps: Enable Encryption trên Backup Job

1. Mở backup job → Edit → tab Storage
2. Tick Enable backup file encryption
3. Password: đặt passphrase mạnh ≥16 ký tự (ví dụ: V3@mB@ckup$2024!)
4. Hint: Stored in KeePass vault - IT-Backup folder
5. Click OK → chạy lại job để tạo .VBK mới encrypted
6. Verify: browse file .VBK bằng text editor → hiện ký tự không đọc được = đã encrypted ✓

Step 4-5: Restore từ Encrypted Backup & Test Sai Password

Restore bình thường (có password):

1. Chọn restore point → Veeam prompt password
2. Nhập đúng password → restore proceeds
3. VM boot thành công ✓

Test không có password:

Attempting restore...
Backup encryption detected.
Password required.

Password: [wrong password entered]

Error: Cannot decrypt backup file.
Decryption key mismatch.
Operation aborted. ✓

(Expected behavior — security working)

Key Management: Veeam Password Manager vs External KMS

Veeam Password Manager (built-in)

+ Đơn giản, không cần hệ thống ngoài
+ Mã hóa password bằng Windows DPAPI
- Tied to Veeam server — nếu server mất = mất key
- Không phù hợp enterprise multi-site

External KMS (Enterprise)

+ HashiCorp Vault / Azure Key Vault / AWS KMS
+ Centralized key rotation policy
+ Audit log truy cập key
+ Tách biệt key với data (best practice)

LAB 14B: Immutability & WORM

Immutability (WORM — Write Once Read Many) ngăn chặn việc xóa hoặc sửa đổi backup file trong một khoảng thời gian nhất định. Ngay cả admin cũng không thể xóa backup trước khi hết hạn immutability.

Immutability: Linux Hardened Repository

┌────────────────────────────────────────────┐
│  Linux Hardened Repository (Ubuntu 22.04)  │
│  XFS filesystem + immutability flag        │
│                                            │
│  backup.vbk → chattr +i (immutable)        │
│                                            │
│  Ransomware tries: rm backup.vbk           │
│  → Operation not permitted ✓              │
│                                            │
│  Admin tries: rm -f backup.vbk             │
│  → Operation not permitted ✓              │
│  (even root cannot delete until expiry!)   │
│                                            │
│  After immutability expiry date:           │
│  → Normal deletion allowed                │
└────────────────────────────────────────────┘

Steps: Verify & Manage Immutability

1. Verify immutability active:

# Trên Linux Hardened Repo (SSH):
$ lsattr /mnt/backup-repo/*.vbk
----i--------e-- /mnt/backup-repo/backup2024-01-22.vbk
# "i" flag = immutable ✓

2. Thử xóa backup — WORM prevents:

$ sudo rm /mnt/backup-repo/backup2024-01-22.vbk
rm: cannot remove '...vbk': Operation not permitted ✓

# Trong Veeam Console: right-click backup → Delete
# Error: Cannot delete immutable backup. Expiry: 2024-02-21 ✓

3. Kiểm tra immutability expiry date: Trong Veeam Console → Backup → Properties → xem "Immutable until" date
4. Extend immutability period: Repository → Edit → Immutability period: 30 → 60 days (chỉ áp dụng cho backups mới)

LAB 14C: Audit & Compliance Reporting

Steps: Tạo Evidence Package cho Auditor

1. Full audit log: History → All Sessions — toàn bộ activity kể từ khi cài đặt
2. Export restore events (90 ngày):
- • History → Restore Sessions → Filter: Last 90 days
- • Right-click → Export to CSV
- • File: restore-events-Q4-2024.csv
3. Tạo scheduled compliance report (Veeam ONE):
- • Veeam ONE → Reports → Protected VMs Report
- • Schedule: monthly, email to [email protected]
- • Report includes: backup coverage, retention, SLA compliance
4. Evidence checklist cho auditor:
Documents to prepare:
- ✓ Backup job configuration screenshots
- ✓ Repository encryption status report
- ✓ Immutability policy document
- ✓ Last 90-day restore event CSV
- ✓ SureBackup verification reports (last 3 months)
- ✓ DR test results (date, RTO achieved, sign-off)
- ✓ Access control / RBAC configuration export
- ✓ Backup coverage report (% VMs protected)

Lý Thuyết: Ransomware Kill Chain & Veeam Defense

RANSOMWARE KILL CHAIN — Điểm Phòng Thủ Của Veeam:

[1] PHISHING EMAIL          ──▶ Nhân viên click link/attachment
         │                        DEFENSE: Email gateway, awareness training
         ▼
[2] CREDENTIAL THEFT        ──▶ Attacker lấy được domain credentials
         │                        DEFENSE: MFA cho Veeam console, RBAC least privilege
         ▼
[3] LATERAL MOVEMENT        ──▶ Attacker di chuyển trong network, tìm backup server
         │                        DEFENSE: Backup server NOT domain-joined
         ▼                        Isolated backup VLAN (attacker không thể reach)
[4] BACKUP DESTRUCTION      ──▶ Attacker cố xóa/encrypt backup files
         │                        DEFENSE: Immutable repository (WORM)
         ▼                        Air-gapped tape / offsite cloud (immutable)
[5] PRODUCTION ENCRYPTION   ──▶ Ransomware encrypt tất cả production VMs
         │                        DEFENSE: Detect anomaly via Veeam ONE alerts
         ▼
[6] RANSOM DEMAND           ──▶ Attacker đòi tiền chuộc
                                  DEFENSE: Restore từ clean backup
                                  3-2-1-1-0 rule: có bản sao sạch luôn tồn tại

3-2-1-1-0 Backup Rule (Extended)

3 bản sao dữ liệu
2 loại media khác nhau
1 bản offsite
1 bản offline/air-gapped/immutable
0 lỗi khi verify (SureBackup)

Isolation Strategy

• Backup server: standalone (NOT domain)
• Backup VLAN: no route từ user VLAN
• Repository Linux: single-purpose host
• Admin access: chỉ qua jump server + MFA
• Tape: physical air-gap (no network ever)

Bài Tập Thực Hành

BT1: GDPR Scenario — Right to Erasure

"Khách hàng Nguyễn Văn A gửi email yêu cầu xóa toàn bộ dữ liệu cá nhân của họ khỏi hệ thống của công ty bạn (theo GDPR Article 17 — Right to Erasure). Sau khi xóa từ production DB, họ nhắc rằng dữ liệu có thể còn trong backup."

Câu hỏi: Bạn làm gì?

• Vấn đề kỹ thuật: Không thể xóa selective một record khỏi file .VBK (full VM backup)
• Options: (a) Để backup tự expire theo retention, (b) Restore VM → xóa record → backup lại, (c) Delete entire backup chain
• Thực tế pháp lý: GDPR cho phép "legitimate processing grounds" cho backup — cần tư vấn Data Protection Officer
• Viết email response cho khách hàng và internal escalation procedure

BT2: HIPAA Audit — Chuẩn Bị Evidence Package

Bạn là Backup Admin của bệnh viện. Auditor HIPAA đến vào tuần tới. Lập danh sách đầy đủ các documents cần chuẩn bị.

Template Evidence List (điền thêm):

1. Backup policy document (có ngày ký duyệt)
2. Screenshot: encryption enabled trên tất cả PHI backup jobs
3. _______ (sinh viên điền)
4. _______ (sinh viên điền)
5. _______ (sinh viên điền)
6. DR test report với RTO đạt được (từ 12 tháng gần nhất)
7. _______ (sinh viên điền)
8. Access control list — ai có quyền access backup PHI data

BT3: Ransomware Response Playbook — 10-Step IR Plan

Viết Incident Response plan 10 bước khi phát hiện ransomware đang encrypt production VMs.

Phase 1: Contain (T+0 → T+30min)

1. [SINH VIÊN ĐIỀN — isolate infected VMs?]
2. [SINH VIÊN ĐIỀN — stop the spread?]
3. Notify CISO và management

Phase 2: Assess (T+30min → T+2h)

4. [SINH VIÊN ĐIỀN — scope of damage?]
5. Verify backup integrity (immutable copies safe?)
6. [SINH VIÊN ĐIỀN — identify patient zero?]

Phase 3: Recover (T+2h → T+RTO)

7. Restore critical systems từ clean backup
8. [SINH VIÊN ĐIỀN — verify clean before production?]
9. [SINH VIÊN ĐIỀN — credential reset?]

Phase 4: Post-Incident

10. Root cause analysis + lessons learned
+ Cập nhật hardening checklist
+ Report cho cơ quan chức năng (nếu cần)

BT4: Encryption Key Loss Scenario

"Veeam server bị crash hoàn toàn — phải cài lại từ đầu. Sau khi restore Veeam configuration DB, bạn phát hiện rằng password backup file của toàn bộ 200 VMs đã bị mất (không có ai ghi lại, password manager cũng bị format theo server)."

Câu hỏi:

• Có cách nào recover data không? (Trả lời: Không — AES-256 không có backdoor)
• Bài học rút ra: viết 5 quy trình cần implement ngay để tránh lặp lại
• Business impact: tính cost of this mistake (200 VMs × trung bình 30 ngày backup lost)
• Thiết kế quy trình key escrow: ai giữ key dự phòng, lưu ở đâu, review định kỳ?

Checklist Hoàn Thành Tuần 14

Enable AES-256 encryption trên backup job và verify .VBK encrypted Test restore với đúng password và cố restore với sai password Verify immutability flag trên Linux repo (lsattr) Thử xóa immutable backup — nhận "Operation not permitted" Export restore events CSV (90 ngày) cho auditor Hoàn thành Security Hardening Checklist (10 items) Hoàn thành 4 bài tập viết (GDPR, HIPAA, Ransomware IR, Key loss)