Segurança de dados dos Logs do Azure Monitor

Este artigo mostra como o Azure Monitor coleta, processa e protege dados de log e descreve os recursos de segurança que você pode usar para proteger ainda mais o ambiente do Azure Monitor. As informações neste artigo são específicas dos Logs do Azure Monitor e complementam as informações sobre a Central de Confiabilidade do Azure.

Os Logs do Azure Monitor gerenciam seus dados baseados em nuvem com segurança através de:

• Segregação de dados
• Retenção de dados
• Segurança física
• Gerenciamento de incidentes
• Conformidade
• Certificações de padrões de segurança

Entre em contato conosco com quaisquer perguntas, sugestões ou problemas sobre qualquer uma das seguintes informações, incluindo nossas políticas de segurança nas opções de suporte do Azure.

Enviando dados com segurança usando TLS

Para garantir a segurança dos dados em trânsito para o Azure Monitor, incentivamos você a configurar o agente para usar pelo menos o protocolo TLS 1.2. Versões mais antigas do TLS/Secure Sockets Layer (SSL) foram encontradas vulneráveis e enquanto ele ainda estiver atualmente trabalham para permitir a compatibilidade com versões anteriores, eles são não recomendáveis, e o setor está se movendo rapidamente para abandonar o suporte para esses protocolos mais antigos.

O PCI Security Standards Council estabeleceu um prazo para 30 de junho de 2018 para desabilitar as versões mais antigas de TLS/SSL e atualizar para protocolos mais seguros. Após o Azure ter descartado o suporte herdado, se seus agentes não conseguirem se comunicar usando no mínimo o TLS 1.3, você não conseguirá enviar dados para os Logs do Azure Monitor.

Recomendamos que você NÃO configure seu agente explicitamente para usar somente o TLS 1.3, a menos que isso seja necessário. É preferível permitir que o agente detecte, negocie e aproveite automaticamente os padrões de segurança futuros. Caso contrário, você poderá perder a segurança adicional dos padrões mais recentes e, possivelmente, terá problemas se o TLS 1.3 for eventualmente preterido em favor desses padrões mais recentes.

Diretrizes específicas da plataforma

Segregação de dados

Depois que seus dados são ingeridos pelo Azure Monitor, os dados são mantidos separados logicamente em cada componente no serviço. Todos os dados são marcados por workspace. Essa marcação persiste em todo o ciclo de vida dos dados e é imposta em cada camada do serviço. Os dados ficam armazenados em um banco de dados dedicado no cluster de armazenamento na região selecionada.

Retenção de dados

Dados indexados de pesquisa de log são armazenados e retidos de acordo com o plano de preço. Para obter mais informações, consulte Preços do Log Analytics.

Como parte do seu contrato de assinatura, a Microsoft mantem seus dados de acordo com os termos do contrato. Quando os dados do cliente são removidos, não ocorre a destruição de nenhuma unidade física.

A tabela a seguir lista algumas das soluções disponíveis e fornece exemplos de tipo de dados coletados.

A tabela a seguir mostra exemplos de tipos de dados:

Segurança física

O Azure Monitor é operado pelo pessoal da Microsoft e todas as atividades são registradas em log e podem ser auditadas. O Azure Monitor funciona como um serviço do Azure e atende a todos os requisitos de segurança e conformidade do Azure. Você pode exibir detalhes sobre a segurança física dos ativos do Azure na página 18 da Visão geral de Segurança do Microsoft Azure. Os direitos de acesso físico a áreas protegidas são alterados em até um dia útil para qualquer pessoa que não tenha mais responsabilidade pelo serviço Azure Monitor, incluindo transferência e encerramento. Você pode ler sobre a infraestrutura física global que usamos em Datacenters da Microsoft.

Gerenciamento de incidentes

O Azure Monitor tem um processo de gerenciamento de incidentes que todos os serviços Microsoft seguem. Resumidamente, nós:

• Usamos um modelo de responsabilidade compartilhada em que uma parte da responsabilidade pela segurança pertence à Microsoft e uma parte pertence ao cliente
• Gerencie incidentes de segurança do Azure:
  • Início de uma investigação sobre a detecção de um incidente
  • Avaliamos o impacto e a gravidade de um incidente por um membro da equipe de resposta a incidentes de plantão. Com base em evidências, a avaliação pode ou não resultar em um escalonamento adicional para a equipe de resposta de segurança.
  • Diagnosticamos um incidente por especialistas de resposta de segurança para conduzir a investigação forense ou técnica, identificar estratégias de contenção, atenuação e solução alternativa. Se a equipe de segurança acreditar que os dados do cliente podem ter sido expostos a um indivíduo ilegal ou não autorizado, a execução paralela do processo de Notificação de Incidente do Cliente começa em paralelo.
  • Estabilizamos e recuperamos do incidente. A equipe de resposta a incidentes cria um plano de recuperação para atenuar o problema. As etapas de contenção de crises, como a colocação em quarentena dos sistemas afetados, podem ocorrer imediatamente e em paralelo ao diagnóstico. Podem ser planejadas mitigações de longo prazo que ocorram após o risco imediato ter passado.
  • Fechamos o incidente e realizamos um post-mortem. A equipe de resposta a incidentes cria um post-mortem que descreve os detalhes do incidente, com a intenção de revisar as políticas, procedimentos e processos para evitar a recorrência do evento.
• Notifique os clientes dos incidentes de segurança:
  • Determinamos o escopo dos clientes afetados e fornecemos qualquer pessoa que seja afetada como um aviso detalhado conforme possível
  • Criamos um aviso para fornecer aos clientes informações suficientemente detalhadas para que possam realizar uma investigação do seu lado e atender quaisquer compromissos que tenham firmado com seus usuários finais ao não atrasar indevidamente o processo de notificação.
  • Confirmamos e declaramos o incidente, se necessário.
  • Notificamos os clientes com uma notificação de incidentes sem demora excessiva e acordo com qualquer compromisso contratual ou legal. As notificações de incidentes de segurança são entregue a um ou mais administradores do cliente por qualquer meio que a Microsoft selecione, inclusive por email.
• Conduza o treinamento e a prontidão de equipe:
  • Os funcionários da Microsoft devem concluir o treinamento de segurança e conscientização, o que os ajuda a identificar e relatar problemas de segurança suspeitos.
  • Os operadores que trabalham no serviço Microsoft Azure têm obrigações de treinamento adicionais que envolvem seu acesso a sistemas confidenciais que hospedam dados do cliente.
  • A equipe de resposta de segurança da Microsoft recebe treinamento especializado para suas funções

Embora seja raro, a Microsoft notifica cada cliente dentro de um dia se ocorrer perda significativa de dados dos clientes.

Para obter mais informações sobre como a Microsoft responde a incidentes de segurança, confira Microsoft Azure Security Response in the Cloud (Resposta de segurança do Microsoft Azure na nuvem).

Conformidade

O desenvolvimento do software Azure Monitor e o serviço de segurança da informação da equipe e o programa de governança dão suporte aos requisitos do negócio e aderem às leis e regulamentos descritos na Central de Confiabilidade do Microsoft Azure e na Conformidade da Central de Confiabilidade da Microsoft . Como os Logs do Azure Monitor estabelecem os requisitos de segurança, identificam os controles de segurança, gerenciam e monitoram os riscos também são descritos lá. Anualmente, revisamos as políticas, os padrões, os procedimentos e as diretrizes.

Cada membro de equipe de desenvolvimento recebe treinamento formal sobre a segurança de aplicativo. Internamente, usamos um sistema de controle de versão para o desenvolvimento de software. Cada projeto de software é protegido pelo sistema de controle de versão.

A Microsoft tem uma equipe de segurança e conformidade que monitora e analisa todos os serviços na Microsoft. Os responsáveis pela segurança de informações compõem a equipe e não são associados às equipes de engenharia que desenvolvem o Log Analytics. Os responsáveis pela segurança têm sua própria cadeia de gerenciamento e realizaram avaliações independentes dos produtos e serviços para garantir a segurança e a conformidade.

O conselho de diretores da Microsoft é notificado por um relatório anual sobre todos os programas de segurança da informação na Microsoft.

A equipe de serviço e desenvolvimento de software do Log Analytics trabalha ativamente com as equipes de conformidade e jurídica da Microsoft e outros parceiros do setor para adquirir várias certificações.

Certificações e atestados

O Azure Log Analytics atende aos seguintes requisitos:

• ISO/IEC 27001
• ISO/IEC 27018:2014
• ISO 22301
• PCI DSS (Padrão de Segurança de dados do Setor de Cartões de Pagamento (Compatível com PCI)) pelo PCI Security Standards Council.
• Compatível com SOC (Service Organization Controls) 1 Tipo 1 e SOC 2 Tipo 1
• HIPAA e HITECH para empresas que tenham um contrato de sócio corporativo HIPAA
• Critérios de engenharia comum do Windows
• Microsoft Trustworthy Computing (a página pode estar em inglês)
• Como um serviço do Azure, os componentes que o Azure Monitor usa seguem os requisitos de conformidade do Azure. Você pode ler mais em Conformidade do Microsoft Trust Center.

Fluxo de dados de segurança de computação em nuvem

O diagrama a seguir mostra uma arquitetura de segurança de nuvem como o fluxo de informações da empresa e como ele é protegido à medida que passa para o Azure Monitor e finalmente aparece no portal do Azure. Após o diagrama, mais informações sobre cada etapa.

1. Inscrever-se no Azure Monitor e coletar dados

Para sua organização enviar dados aos Logs do Azure Monitor, você deve configurar um agente do Windows ou Linux em execução em máquinas virtuais do Azure, ou em computadores físicos ou virtuais em seu ambiente ou outro provedor de nuvem. Se você usar o Operations Manager, você configura o agente do Operations Manager no grupo de gerenciamento. Os usuários (que podem ser você, outros usuários individuais ou um grupo de pessoas) criam um ou mais workspaces do Log Analytics e registram agentes usando uma das seguintes contas:

• ID Organizacional
• Conta da Microsoft - Outlook, Office Live, MSN

Um espaço de trabalho do Log Analytics é onde os dados são coletados, agregados, analisados e apresentados. Um workspace é usado principalmente como um meio para particionar dados e cada workspace é exclusivo. Por exemplo, talvez você queira ter seus dados de produção gerenciados com um workspace e seus dados de teste gerenciados com outro workspace. Os workspaces também ajudam um administrador a controlar o acesso dos usuários aos dados. Cada workspace pode ter várias contas de usuário associadas a ele, e cada conta de usuário pode acessar vários workspaces do Log Analytics. Você cria os workspaces com base na região do datacenter.

Para o Operations Manager, o grupo de gerenciamento do Operations Manager estabelece uma conexão com o serviço do Azure Monitor. Você configura quais sistemas gerenciados por agente no grupo de gerenciamento têm permissão para coletar e enviar dados para o serviço. Dependendo da solução que você habilitou, dados dessas soluções são enviados diretamente de um servidor de gerenciamento do Operations Manager para o serviço do Azure Monitor ou por causa do volume de dados coletados pelo sistema gerenciado por agente, são enviados diretamente do agente para o serviço. Para sistemas não monitorados pelo Operations Manager, cada um se conecta com segurança ao serviço do Azure Monitor diretamente.

Toda a comunicação entre os sistemas conectados e o serviço do Azure Monitor é criptografada. O protocolo TLS (HTTPS) é usado para criptografia. O processo SDL da Microsoft é seguido para garantir que o Log Analytics esteja atualizado com os avanços mais recentes nos protocolos criptográficos.

Cada tipo de agente coleta dados de log para o Azure Monitor. O tipo de dados coletados depende da configuração do seu espaço de trabalho e de outros recursos do Azure Monitor.

2. Enviar dados de agentes

Registre todos os tipos de agente com uma chave de registro, e uma conexão segura será estabelecida entre o agente e o serviço do Azure Monitor usando a autenticação baseada em certificado e TLS com a porta 443. O Azure Monitor usa um repositório secreto para gerar e manter as chaves. As chaves privadas são rotacionadas a cada 90 dias e armazenadas no Azure e são gerenciadas pelas operações do Azure que seguem práticas de conformidade e regulatórias estritas.

Com o Operations Manager, o grupo de gerenciamento registrado com um espaço de trabalho do Log Analytics estabelece uma conexão HTTPS segura com um servidor de gerenciamento do Operations Manager.

Para agentes do Windows ou do Linux em execução em máquinas virtuais do Azure, uma chave de armazenamento somente leitura é usada para ler eventos de diagnóstico nas tabelas do Azure.

Com agentes subordinados a um grupo de gerenciamento do Operations Manager que esteja integrado ao Azure Monitor, se o servidor de gerenciamento não puder se comunicar com o serviço por algum motivo, os dados coletados são armazenados localmente em um cache temporário no servidor de gerenciamento. Eles tentam reenviar os dados a cada oito minutos durante duas horas. Para dados que ignoram o servidor de gerenciamento e são enviados diretamente ao Azure Monitor, o comportamento é consistente com o agente do Windows.

O Windows ou os dados de agente do servidor de gerenciamento em cache são protegidos pelo armazenamento de credenciais do sistema operacional. Se o serviço não puder processar os dados depois de duas horas, os agentes colocarão os dados em fila. Se a fila encher, o agente começará a remover tipos de dados, começando com os dados de desempenho. O limite de fila do agente é uma chave do registro para que você possa modificá-lo, se necessário. Os dados coletados são compactados e enviados para o serviço, ignorando os bancos de dados de grupos de gerenciamento do Operations Manager, para que nenhuma carga seja adicionada a eles. Depois que os dados coletados forem enviados, eles serão removidos do cache.

Conforme descrito acima, os dados do servidor de gerenciamento ou de agentes conectados diretamente são enviados por TLS para data centers do Microsoft Azure. Opcionalmente, você pode usar o ExpressRoute para fornecer segurança extra para os dados. O ExpressRoute é uma maneira de se conectar diretamente ao Azure pela rede WAN existente, como um VPN MPLS (multi-protocol label switching), fornecida por um provedor de serviço de rede. Para obter mais informações, confira ExpressRoute e O tráfego do meu agente usa minha conexão do Azure ExpressRoute?.

3. O serviço do Azure Monitor recebe e processa os dados

O serviço do Azure Monitor garante que os dados de entrada sejam de uma fonte confiável ao validar certificados e a integridade dos dados com a autenticação do Azure. Os dados brutos não processados são armazenados em Hubs de Eventos do Azure na região em que eventualmente serão armazenados os dados em repouso. Os tipos de dados armazenados dependem dos tipos de soluções importados e usados para coletar dados. Em seguida, o serviço do Azure Monitor processa os dados brutos e os ingere-os no banco de dados.

O período de retenção dos dados coletados armazenados no banco de dados depende do plano de preços selecionado. Para a camada Livre, os dados coletados estão disponíveis por sete dias. Para a camada Paga, os dados coletados ficam disponíveis durante 31 dias por padrão, mas podem ser estendidos para 730 dias. Os dados são armazenados criptografados em repouso no armazenamento do Azure, para garantir a confidencialidade dos dados, e os dados são replicados na região local usando o armazenamento com redundância local (LRS) ou armazenamento com redundância de zona (ZRS) nas regiões com suporte. As duas últimas semanas de dados também são armazenadas em cache baseado em SSD, e esse cache é criptografado.

Não é possível alterar os dados no armazenamento do banco de dados após a ingestão, mas podem ser excluídos por meio do caminho de API de limpeza. Embora os dados não possam ser alterados, algumas certificações exigem que os dados sejam mantidos imutáveis e não possam ser alterados nem excluídos no armazenamento. A imutabilidade dos dados pode ser obtida pela exportação de dados para uma conta de armazenamento configurada como armazenamento imutável.

4. Use o Azure Monitor para acessar dados

Para acessar seu espaço de trabalho do Log Analytics, entre no portal do Azure usando a conta organizacional ou conta Microsoft configurada anteriormente. Todo o tráfego entre o portal e o Azure Monitor no serviço é enviado por um canal HTTPS seguro. Ao usar o portal, uma ID de sessão é gerada no cliente do usuário (navegador da Web) e dados são armazenados em um cache local até que a sessão seja encerrada. Após o encerramento, o cache é excluído. Os cookies do lado do cliente, que não contêm informações de identificação pessoal, não são removidos automaticamente. Os cookies de sessão são marcados como HTTPOnly e são protegidos. Após um período ocioso predeterminado, a sessão do portal do Azure é encerrada.

Chaves de segurança gerenciadas pelo cliente

Os dados no Azure Monitor são criptografados com chaves gerenciadas pela Microsoft. Você pode usar chaves de criptografia gerenciadas pelo cliente para proteger os dados e salvar consultas em seus workspaces. As chaves gerenciadas pelo cliente no Azure Monitor dão maior flexibilidade para gerenciar os controles de acesso aos logs.

Depois de configurados, os novos dados ingeridos em workspaces vinculados são criptografados com sua chave armazenada no Azure Key Vault ou no "HSM" Gerenciado do Azure Key Vault.

Armazenamento privado

Os Logs do Azure Monitor dependem do Armazenamento do Microsoft Azure em cenários específicos. Use armazenamento privado/gerenciado pelo cliente para gerenciar sua conta de armazenamento criptografada pessoalmente.

Rede do Link Privado

Rede do Link Privado do Azure permite vincular com segurança os serviços PaaS (plataforma como serviço) do Azure, incluindo o Azure Monitor, à sua rede virtual usando pontos de extremidade privados.

Sistema de Proteção de Dados do Cliente para Microsoft Azure

O Sistema de Proteção de Dados do Cliente para Microsoft Azure fornece uma interface para examinar e aprovar ou rejeitar solicitações de acesso a dados do cliente. Ele é usado quando um engenheiro da Microsoft precisa acessar os dados do cliente, seja em resposta a um tíquete de suporte iniciado pelo cliente ou a um problema identificado pela Microsoft. Para habilitar o Sistema de Proteção de Dados do Cliente, você precisa de um cluster dedicado.

Revisão de adulteração e imutabilidade

O Azure Monitor é uma plataforma de dados somente acréscimo, mas inclui provisionamentos para excluir dados para fins de conformidade. Você pode definir um bloqueio no workspace do Log Analytics para bloquear todas as atividades que podem excluir dados: limpeza, exclusão de tabela e alterações de retenção de dados no nível de tabela ou workspace. No entanto, esse bloqueio ainda pode ser removido.

Para proteger totalmente sua solução de monitoramento contra adulteração, recomendamos exportar dados para uma solução de armazenamento imutável.

Perguntas frequentes

Esta seção fornece respostas para perguntas comuns.

O agente de tráfego usa a minha conexão do Azure ExpressRoute?

O tráfego para o Azure Monitor usa o circuito do ExpressRoute de emparelhamento da Microsoft. Confira a documentação do ExpressRoute para obter uma descrição dos diferentes tipos de tráfego do ExpressRoute.