Microsoft Teams mentés: hol vannak valójában a Teams-adatai?

Ha Microsoft Teams mentés után keres megoldást, a legfontosabb tudnivaló ez: nincs olyan, hogy "Teams-adatbázis", amit le lehetne menteni. A Teams csak felület. Az üzenetek, a fájlok, a felvételek és a csapatstruktúra az Exchange Online, a SharePoint Online és a OneDrive for Business között szétszórva tárolódnak, mindegyik saját megőrzési határidővel. Natívan körülbelül 30 nap áll rendelkezésre egy törölt csapat vagy csatorna visszaállítására, a fájlokra pedig 93 napos lomtár. Időpont szerinti visszaállítás nincs — és egyik mechanizmus sem segít, ha a támadó egy hónapot vár. Az alábbiakban végigvesszük, hol van valójában az Ön Teams-adata, és ez mit jelent azon a napon, amikor vissza kell szerezni.

Egy tipikus eset

Egy hazai középvállalatnál a pénzügyi csapat hónapokig a Teams egy privát csatornájában egyeztette a szállítói kifizetéseket, a mellékletekkel együtt. A csoportvezető felmond, a HR pedig a szokásos rend szerint megszünteti a fiókját. Két hónappal később egy adóellenőrzés kapcsán elő kell keresni a levelezést — és kiderül, hogy a privát beszélgetések fele üres, a csatornába feltöltött fájlok egy része pedig hozzáférhetetlen, mert a távozó kollégához tartozó OneDrive-ról voltak megosztva.

Semmi nem "romlott el". Minden rendszer pontosan úgy működött, ahogy tervezték. Csak senki nem tudta, hogy a Teams valójában hova ír.

Hol tárolódik valójában a Teams-adat

Amit a Teams-ben lát	Ahol a Microsoft valójában tárolja
Csatornaüzenetek	A csapat mögötti Microsoft 365 Group postafiókjának rejtett mappájában
Privát és csoportos csevegések	Minden résztvevő saját Exchange Online postafiókjának rejtett mappájában
Csatornába feltöltött fájlok	A csapat SharePoint Online webhelyén, csatornánként külön mappában
Csevegésben megosztott fájlok	A feladó OneDrive for Business tárhelyén
Megbeszélés-felvételek	A szervező OneDrive-ján, csatornamegbeszélés esetén a csapat SharePoint-webhelyén
Csapat- és csatornastruktúra, tagság, jogosultságok	A Microsoft 365 Group és a Teams metaadatai, az Entra ID mögött
Lapok, alkalmazások, Planner-táblák	Az adott háttérszolgáltatásban — jellemzően egyáltalán nem a Teams-ben

Ebből két dolog következik közvetlenül. Egy: a Teams-ben látott fájl valójában SharePoint- vagy OneDrive-elem, tehát azoknak a szabályainak engedelmeskedik, nem a Teams szabályainak. Kettő: a csevegéselőzmény postafiókadat — vagyis amikor egy kilépő munkatárs postafiókját törlik, minden beszélgetésének az egyik oldalát törlik vele.

Mit fed le valójában a natív Microsoft Teams mentés

A Microsoft több valóban hasznos visszaállítási lehetőséget ad. Csak szűkebbek, mint azt a legtöbben feltételezik:

Törölt csapat — kb. 30 nap. A csapat törlése a mögötte álló Microsoft 365 Group "puha" törlését jelenti. Rendszergazda az alapértelmezett 30 napos ablakon belül helyreállíthatja a csoportot, és vele a csapatot. Utána véglegesen törlődik.

Törölt csatorna — kb. 30 nap. Egy törölt normál csatorna hasonló időablakon belül visszaállítható a Teams felületéről vagy az admin központból. A csatorna fájljai viszont külön kérdés: azok a SharePoint-webhelyen élnek, és a SharePoint saját határidejét követik.

Törölt fájlok — 93 nap. A SharePoint-webhelyről vagy OneDrive-ról törölt elemek először az első szintű, majd a második szintű lomtárba kerülnek, az eredeti törléstől számított összesen 93 napos ablakkal. A gyakorlatban erre a mechanizmusra gondolnak, akik azt mondják: "a fájlokat vissza tudjuk szerezni."

Törölt csevegőüzenetek — önkiszolgáló módon gyakorlatilag semmi. Nincs "üzenet visszaállítása" gomb sem a felhasználónak, sem a rendszergazdának. Ha egy üzenet törlődött, a visszanyerése attól függ, hogy egy megőrzési szabályzat éppen megtartotta-e — és a kinyerés ilyenkor eDiscovery-n keresztül történik, nem visszaállítással.

Vegye észre, mi hiányzik a listáról: bármilyen mód arra, hogy "állítsuk vissza a csapatot a múlt keddi állapotára". Minden natív mechanizmus egy-egy tárolóból kihalászott konkrét elem, adott határidőn belül, egyenként.

A megőrzési szabályzat nem mentés

Ez a leggyakoribb és legköltségesebb félreértés, érdemes tehát pontosan fogalmazni.

A megőrzési szabályzat (retention policy) megőrzési eszköz. Megakadályozza, hogy az adat egy megadott dátum előtt véglegesen eltűnjön, és akár kényszerítheti is a törlést utána. Jogi és megfelelési célt szolgál, és azt jól teljesíti. Amit nem ad: visszaállítást. Az adat a helyén marad, a felhasználók számára láthatatlanul, és compliance-rendszergazda tudja kinyerni eDiscovery-kereséssel és exporttal — olyan fájl formájában, amit aztán kézzel kell visszatölteni.

Ez a különbség incidens közben nem elméleti. Ott az a kérdés, hogy milyen gyorsan lesz újra működőképes a cég, és vissza tudnak-e térni egy ismerten jó állapotra. Egy eDiscovery-export egyikre sem válasz — arra válasz, hogy "ki tudjuk-e adni ezt az adatot, ha kötelezik rá". Ugyanezt a határvonalat részletesebben is végigvezetjük a megosztott felelősségi modellről szóló írásunkban: a Microsoft a platformért és a saját infrastruktúrájáért felel, az Ön adatának visszaállíthatósága a kívánt részletességgel viszont Önnél marad.

Hol szakad el a natív védelem

A várakozó támadó. A zsarolóvírus-üzemeltetők és a rosszindulatú belső szereplők egyaránt ismerik a megőrzési ablakokat. Az a tevékenység, amely 30 napnál hosszabban észrevétlen marad, kiüríti a csapat- és csatorna-visszaállítási ablakot, még mielőtt bárki hibajegyet nyitna. Hogy ez belülről hogy néz ki, arról a Microsoft 365 zsarolóvírus-helyreállítás írásunk szól.

Felülírás, nem törlés. A lomtár a törlést fogja el. Azt nem, ha egy szinkronizált mappa tömegesen felülírja a jó fájlokat titkosítottakkal, vagy ha egy tömeges metaadat-módosítás helyben átírja a tartalmat. Az elem soha nem lett törölve, tehát semmi nem kerül lomtárba.

Kilépő munkatársak. A bevezetőben leírt eset azért alattomos, mert nem hibának látszik, hanem rendes folyamatnak: a postafiók törlése szabályos offboarding-lépés, a következményei viszont csak hónapokkal később derülnek ki.

Részletesség. A valódi visszaállítási kérések szűkek: egy csatorna, egy beszélgetés egy szakasza, egy mappa a módosítás előtti állapotában. A natív eszközök a teljes objektum körül épülnek fel, és minden más kérésnél gyorsan kényelmetlenné válnak.

A bizonyíthatóság. A NIS2 hazai átvételéből fakadó kötelezettségek bemutatható, tesztelt helyreállítási képességet várnak el, dokumentálva. A "beállítottuk a megőrzési szabályzatokat" megőrzési válasz egy helyreállítási kérdésre — és a különbséget az auditorok egyre inkább ismerik.

Mit keressen egy Teams-mentési megoldásban

• Teljes lefedettség — csatornaüzenetek, csevegések, a csatornák mögötti SharePoint-dokumentumtárak, a csevegőfájlok mögötti OneDrive-mappák, valamint a csapat- és csatornastruktúra, a tagság és a jogosultságok
• Időpont szerinti visszaállítás, hogy a "módosítás előtti állapot" valós lehetőség legyen, ne rekonstrukciós feladat
• Részletes visszaállítás egyetlen csatorna, beszélgetés vagy mappa szintjén, a bérlő többi részének érintése nélkül
• A struktúra és a jogosultságok megőrzése, hogy a visszaállított csapat használhatóan jöjjön vissza, ne fájlhalomként
• Anomáliaérzékelés, amely a tömeges törlési és módosítási eseményeket menet közben jelzi, nem a 31. napon
• Auditálható visszaállítási naplók a NIS2, az ISO 27001 és a GDPR egyeztetésekhez
• Tesztelt visszaállítás — a nem tesztelt mentés nem védelmi intézkedés, hanem feltételezés

Mi függetlenek vagyunk: segítünk kiválasztani azt a megoldást, amely illeszkedik az Önök bérlőjéhez és kötelezettségeihez, majd bevezetjük és beüzemeljük kísért onboardinggal. Utána Önök birtokolják és üzemeltetik — nincs fekete doboz, és nem tőlünk függ, hogy visszakapják-e a saját adatukat. A Microsoft 365 mentés és helyreállítás oldalunk munkaterhelésenként mutatja be, mi kerül védelem alá, a Teams-szel együtt.

Ha nem biztos abban, hogy a jelenlegi beállítás túlélne egy olyan tömeges Teams-törlést, amit hat hétig senki nem vesz észre, pontosan erre válaszol egy felmérés: rövid, gyakorlati átvizsgálás arról, hol van ma az Önök Teams-adata, mely megőrzési ablakokra támaszkodnak valójában, és mit igényelne egy valódi visszaállítás.