Belajar Veeam - Encryption & Key Management
Episode ini membahas enkripsi backup AES-256 per job untuk melawan ransomware dan memenuhi compliance, pengelolaan backup encryption key (password protection dan key storage), serta audit: log, report, dan cyber event response. Kalian memahami enkripsi aktif vs pasif dan praktik key management yang benar.
#Pendahuluan
Setelah jaringan diamankan di episode 14, kita menutup celah terakhir di sisi data: enkripsi. Backup adalah konsentrasi data paling berharga di organisasi — jika repository dicuri atau dibawa keluar, isinya harus tidak terbaca tanpa kunci. Di episode 15 kita membahas enkripsi AES-256 per job, pengelolaan key, dan audit.
Enkripsi backup punya dua dimensi: melindungi dari luar (pencurian/copy repository) dan kadang menyerang balik (backup terenkripsi tidak berguna bagi ransomware yang mencoba membacanya). Keduanya memakai mekanisme yang sama.
#Enkripsi Backup: AES-256
#Enkripsi Aktif (Per Job)
Veeam mengenkripsi backup dengan AES-256 pada level blok, per job — masing-masing job punya kunci enkripsi sendiri. Saat backup berjalan, setiap blok dienkripsi sebelum ditulis ke repository:
Data VM ──▶ Proxy (AES-256 encrypt) ──▶ Repository (terenkripsi)Aktifkan dari job: Storage → Advanced → Encryption, masukkan password. Job, replication, dan backup copy job bisa memakai kebijakan yang sama.
#Enkripsi Pasif dan Lainnya
- At-rest encryption pada repository/storage level — dilakukan storage, bukan Veeam; tetap disarankan kombinasi.
- In-transit — komunikasi Veeam memakai TLS 1.2+ (episode 13); enkripsi data di alur proxy→repo ditangani Veeam bila diaktifkan.
- Untuk object storage, enkripsi sisi klien memastikan data di cloud tidak terbaca oleh penyedia.
#Kapan Mengaktifkan
Selalu aktifkan jika:
- Backup dikirim ke cloud/object storage (data keluar dari perimeter).
- Backup disimpan di media yang bisa dicuri (tape, disk lepas, off-site).
- Compliance (PCI-DSS, HIPAA, GDPR) mewajibkan enkripsi.
Note
Enkripsi bukan tanpa biaya: CPU proxy bekerja lebih keras, dan dedup ratio menurun (blok yang sama dienkripsi menghasilkan output berbeda — tidak bisa di-dedup lintas blok). Untuk repository lokal yang aman, kalian bisa memilih enkripsi hanya di kapasitas tier/off-site. Pertimbangkan trade-off performa vs keamanan.
#Backup Encryption Key Management
#Satu Kunci, Banyak Salinan
Masalah terbesar enkripsi backup bukan membuat kuncinya, melainkan mengelolanya. Kehilangan kunci = kehilangan backup secara permanen — file tetap ada tapi tidak terbaca. Prinsipnya:
- Simpan kunci di lebih dari satu tempat (misal password manager tim + vault terpusat).
- Jangan simpan kunci di server VBR yang sama — jika server hilang, kunci ikut hilang.
- Dokumentasikan siapa yang memegang kunci dan prosedur pemulihan.
#Best Practices
- Gunakan password yang kuat dan unik per job (atau per kelompok job).
- Pertimbangkan integrasi HSM / KMS untuk key storage terpusat.
- Catat hash password di tempat aman untuk verifikasi tanpa menyimpan plaintext.
- Rotasi kunci saat personel yang memegangnya keluar.
#Audit: Log, Report, dan Cyber Event Response
#Log dan Session Logs
Veeam menyimpan log mendetail di C:\ProgramData\Veeam\Backup\... (episode 16). Untuk audit, yang penting:
- Session logs — riwayat tiap job/restore (siapa menjalankan, hasil, durasi).
- Security logs — perubahan konfigurasi, koneksi server, akses konsol.
- Windows Event Log — autentikasi dan perubahan service.
#Report untuk Compliance
Jadikan reporting otomatis (detail di episode 20 dengan Veeam ONE): backup job success rate, restore point retention, kapasitas repository, dan unverified backups. Report inilah bukti compliance saat audit eksternal:
Get-VBRBackupSession -Last | Group-Object Result | Select-Object Name,Count#Cyber Event Response
Saat serangan terdeteksi (episode 13 — CyberDCR):
- Isolasi — putuskan host terinfeksi; jangan restore dari repo yang dicurigai.
- Identifikasi — tentukan backup mana yang clean vs suspect (Malware Detection).
- Pulihkan — Cleanroom Recovery di environment terisolasi.
- Audit — kumpulkan log untuk forensik dan perbaikan.
- Laporkan — dokumentasi lengkap untuk compliance dan pelajaran.
Warning
Kunci enkripsi yang hilang tidak bisa dipulihkan — tidak ada backdoor di AES-256. Inilah alasan mengapa manajemen kunci harus didesain sebelum enkripsi diaktifkan, bukan setelahnya. Buat prosedur "orang hilang / kunci hilang" dan uji pemulihan kunci minimal setahun sekali.
#Verifikasi
Pastikan setelah episode ini:
- Job penting terenkripsi AES-256; backup copy ke cloud ikut terenkripsi.
- Kunci backup disimpan di 2+ lokasi aman, tidak di server VBR.
- Report status job rutin berjalan (episode 20 untuk Veeam ONE).
- Prosedur cyber event response tertulis dan dipahami tim.
#Penutup
Inti yang harus dibawa pulang:
- Enkripsi AES-256 per job melindungi backup dari pencurian dan membaca-ulang ransomware.
- Aktifkan untuk cloud/off-site dan media yang bisa dicuri; perhatikan dampak dedup.
- Key management adalah tanggung jawab tertinggi: simpan di 2+ tempat, jangan di server VBR.
- Audit via log, session logs, dan report compliance.
- Cyber event response: isolasi → identifikasi → Cleanroom → audit → laporkan.
Di episode 16 selanjutnya kita akan membahas troubleshooting & support — support bundles dan log di C:\ProgramData\Veeam, session logs, kasus umum (proxy fail, repo penuh, SFTP/storage timeout), serta Veeam Community, Technical Support berbayar, dan Veeam Universal License (VUL). Kalian akan menjadi admin yang tidak panik saat job gagal!