NetBackup安全和加密为NetBackup主服务器、介质服务器和所连接客户端上的所有NetBackup相关操作提供保护。同时，也确保运行服务器和客户端的操作系统安全。备份数据通过加密过程和保管得到保护。通过网络发送的NetBackup数据受到专用安全网络端口的保护。
NetBackup安全和加密的各种级别和实施包含以下主题：
安全实施级别
| 安全层级 | 描述 |
| World level |
指定Web服务器访问以及传输和存储的加密磁带 |
| Enterprise level |
指定内部用户和安全管理员 |
| Datacenter level | 指定NetBackup操作 |
将World level、Enterprise level和Datacenter level相结合的模型是典型的NetBackup全功能场景。
通过最外层的World level，外部用户可以访问防火墙背后的企业Web服务器，并且加密磁带在异地传输和存储。
Enterprise level中，与内部用户、安全管理员和数据中心级相关的功能出现。在最深层，即Datacenter level，核心NetBackup安全功能通过工作组、单个数据中心或多个数据中心实现。
NetBackup访问控制
NetBackup访问控制（NBAC）功能将NetBackup产品身份验证和授权整合到 NetBackup中，从而提高了主服务器、介质服务器和客户端的安全性。
NBAC的要点包括：
▶ 身份验证和授权一起使用。
▶ NBAC使用来自可信来源的身份验证身份以可靠地识别相关方。然后可以根据这些身份为操作NetBackup提供支持访问决策。请注意，现已嵌入了NetBackup安全服务。
▶ NetBackup产品身份验证和授权由根代理、身份验证代理、授权引擎和图形用户界面组成。
▶ NBAC支持NetBackup目录库备份。
操作系统安全
通过执行以下操作，可以增强主服务器、介质服务器和客户端的操作系统安全性：
▶ 安装操作系统补丁（操作系统补丁包括应用于操作系统的升级，以使其以最高级别的系统完整性运行。注意：升级和补丁程序应保持在供应商指定的级别）。
▶ 遵循安全的防火墙程序。
▶ 采用最低权限管理
▶ 限制根用户
▶ 应用IP安全协议（IPSEC）硬件
▶ 关闭外向应用程序的未使用端口
▶ 提供运行NetBackup的安全基础
▶ 在调查中添加第一道情报以确定操作系统是否已被入侵
▶ 确保所有操作系统的安全实施相同
▶ 在异构环境中使用NBAC，增强各种系统之间的互操作性
标准NetBackup安全性
标准的NetBackup安全性仅包括操作系统和数据中心硬件组件提供的安全性。
授权的NetBackup用户以root或管理员身份进行管理。客户端数据未加密。主服务器、介质服务器和客户端都在本地企业数据中心内运行。未加密的数据通常存储在现场，没有灾难恢复计划的风险相对较高。如果被截获，发送到场外的数据可能会违反保密与合规要求。
客户端加密安全
客户端加密安全用于确保跨线路和磁带上数据的机密性。这种加密有助于降低组织内被动窃听的风险。随着磁带被移出现场，数据泄露的风险进一步降低。加密密钥位于客户端上，数据通信通过客户端和介质服务器之间的线路加密传输。客户端的数据加密可能是CPU密集型的。
以下备份策略类型支持使用客户端加密选项：
▶ AFS
▶ DB2
▶ DataStore
▶ DataTools-SQL-BackTrack
▶ Informix-On-BAR
▶ LOTUS_NOTES
▶ MS-Exchange
▶ MS-SharePoint
▶ MS-SQL-Server
▶ MS-Windows
▶ Oracle
▶ Split-Mirror
▶ Standard
▶ Sybase
值得注意的是，数据库的保护级别差异很大，从基于代理的备份到转储和清除（dump-and-sweep）方法。企业一直在为其关键数据库工作负载（尤其是SQL和 Oracle）实施透明数据加密（TDE），以保护此主数据副本。
关于TDE的担心一方面在于成本过高，一方面在于无法兼顾重删。同时，在扫描数据库转储之前，有可能会暴露在勒索攻击风险面之中。为此，NetBackup提供了更优解：
有客户已经从dump-and-sweep转向利用MSDP存储进行Oracle和MS-SQL备份。启用后，用于MS-SQL和Oracle的NetBackup流处理程序经过优化，可以对启用TDE的数据库执行重复数据删除。加密数据不会压缩，但它们可以达到与非TDE备份类似的重复数据删除率水平。
NBAC on master/media server...
主服务器、介质服务器和图形用户界面安全方法上的NBAC使用身份验证代理。代理向主服务器、介质服务器和图形用户界面提供凭据。
此数据中心示例使用主服务器和介质服务器上的 NetBackup访问控制来限制对部分NetBackup的访问。也可以使用此示例对NetBackup进行非root管理。NBAC 配置为在服务器和图形用户界面之间使用。非root用户可以使用操作系统登录到NetBackup。使用UNIX密码或Windows本地域来管理NetBackup。全局用户存储库（NIS/NIS+或Active Directory）也可用于管理NetBackup。此外，NBAC可用于限制某些个人对NetBackup的访问级别。例如，管理员可以将日常操作控制与添加新策略、机器人等环境配置分开。
△ NBAC on master and media server
NBAC完整安全
NBAC完整安全方法使用身份验证代理向主服务器、介质服务器和客户端提供凭据。此环境与NBAC主控、介质服务器和图形用户界面模型非常相似。主要区别在于参与NetBackup环境的所有主机都使用凭据进行可靠识别。非root管理员能够根据可配置的访问级别管理NetBackup客户端。请注意，用户身份可以存在于全局存储库中，例如Windows中的Active Directory或UNIX中的NIS。身份也可以存在于支持身份验证代理的主机上的本地存储库（UNIX 密码、本地Windows域）中。
△ NBAC完整配置