Linha de base de segurança do Azure para Armazenamento
Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Armazenamento. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Armazenamento.
Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.
Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.
Observação
Os recursos não aplicáveis ao Armazenamento foram excluídos. Para ver como o Armazenamento é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança de armazenamento.
Perfil de segurança
O perfil de segurança resume os comportamentos de alto impacto do Armazenamento, o que pode resultar em maiores considerações de segurança.
Atributo de comportamento do serviço | Valor |
---|---|
Categoria do Produto | Armazenamento |
O cliente pode acessar HOST/SO | Sem Acesso |
O serviço pode ser implantado na rede virtual do cliente | Verdadeiro |
Armazena o conteúdo do cliente em repouso | Verdadeiro |
Segurança de rede
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.
NS-1: estabelecer limites de segmentação de rede
Recursos
Integração de rede virtual
Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
NS-2: proteger serviços de nuvem com controles de rede
Recursos
Link Privado do Azure
Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: implante pontos de extremidade privados para o Armazenamento do Azure para estabelecer um ponto de acesso privado para os recursos.
Referência: usar pontos de extremidade privados para o Armazenamento do Azure
Desabilitar o acesso à rede pública
Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: desabilite o acesso à rede pública usando a filtragem de ACL de nível de serviço do Armazenamento do Azure ou um comutador de alternância para acesso à rede pública.
Referência: alterar a regra de acesso à rede padrão
Gerenciamento de identidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.
IM-1: usar um sistema centralizado de identidade e autenticação
Recursos
Autenticação do Azure AD necessária para acesso ao plano de dados
Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Notas sobre o recurso: o armazenamento oferece várias maneiras de autorizar o plano de dados. O Azure fornece RBAC (controle de acesso baseado em função) para um controle refinado sobre o acesso de um cliente a recursos em uma conta de armazenamento. Use as credenciais do Azure AD, quando possível, como uma melhor prática de segurança, em vez de usar a chave de conta, que pode ser mais facilmente comprometida. Quando o design do aplicativo exigir assinaturas de acesso compartilhado para acesso ao Armazenamento de Blobs, use Azure AD credenciais para criar SAS (assinaturas de acesso compartilhado) de delegação de usuário quando possível para segurança superior.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: autorizar o acesso a dados no Armazenamento do Azure
Métodos de autenticação local para acesso ao plano de dados
Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.
Diretrizes de configuração: restrinja o uso de métodos de autenticação local para acesso ao plano de dados. EM vez disso, use o Azure AD (Azure Active Directory) como método de autenticação padrão para controlar o acesso ao plano de dados.
Referência: modelo de permissão SFTP
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Recursos
Identidades gerenciadas
Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.
Referência: autorizar o acesso a dados de blob com identidades gerenciadas para recursos do Azure
Entidades de Serviço
Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes adicionais: com Azure AD, você pode usar o RBAC (controle de acesso baseado em função) do Azure para conceder permissões a uma entidade de segurança, que pode ser um usuário, grupo ou entidade de serviço de aplicativo. A entidade de segurança é autenticada pelo Azure AD para retornar um token OAuth 2.0. Em seguida, o token pode ser usado para autorizar uma solicitação no serviço de Blob.
Referência: autorizar o acesso a blobs usando o Azure Active Directory
IM-7: restringir o acesso aos recursos com base nas condições
Recursos
Acesso condicional para o plano de dados
Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.
Referência: não permitir que a autorização de chave compartilhada use Azure AD acesso condicional
IM-8: restringir a exposição de credenciais e segredos
Recursos
Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault
Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou de configuração.
Referência: gerenciar chaves de conta de armazenamento com Key Vault e a CLI do Azure
Acesso privilegiado
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.
PA-1: separar e limitar usuários administrativos/altamente privilegiados
Recursos
Contas de Administração locais
Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)
Recursos
RBAC do Azure para Plano de Dados
Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: o Armazenamento do Azure dá suporte ao uso do Azure Active Directory (Azure AD) para autorizar solicitações para dados de blob. Com o Azure AD, você pode usar o RBAC do Azure (controle de acesso baseado em função do Azure) para conceder permissões a uma entidade de segurança, que pode ser um usuário, grupo ou entidade de serviço de aplicativo.
A autorização de solicitações no Armazenamento do Azure com o Azure AD fornece segurança superior e facilidade de uso em relação a autenticação de Chave Compartilhada. A Microsoft recomenda usar a autorização do Azure AD com aplicativos de blob quando possível para garantir o acesso com os privilégios mínimos necessários.
Referência: autorizar o acesso a blobs usando o Azure Active Directory
PA-8: determinar o processo de acesso para suporte ao provedor de nuvem
Recursos
Sistema de Proteção de Dados do Cliente
Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.
Referência: Sistema de Proteção de Dados do Cliente
Proteção de dados
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.
DP-1: Descobrir, classificar e rotular dados confidenciais
Recursos
Descoberta e classificação de dados confidenciais
Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas sobre o recurso: a integração de armazenamento com o Azure Purview está atualmente em versão prévia privada.
Diretrizes de configuração: use o Azure Purview para verificar, classificar e rotular todos os dados confidenciais que residem no Armazenamento do Azure.
Referência: Conectar-se ao Armazenamento de Blobs do Azure no Microsoft Purview
DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais
Recursos
Prevenção contra perda/vazamento de dados
Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: o Defender para Armazenamento analisa continuamente o fluxo de telemetria gerado pelos serviços Armazenamento de Blobs do Azure e Arquivos do Azure. Quando atividades potencialmente mal-intencionadas são detectadas, alertas de segurança são gerados. Esses alertas são exibidos no Microsoft Defender para Nuvem com os detalhes da atividade suspeita, bem como as etapas de investigação, as ações de correção e as recomendações de segurança relevantes.
O Microsoft Defender para Armazenamento é integrado ao Microsoft Defender para Nuvem. Quando você habilita os recursos de segurança aprimorados do Microsoft Defender para nuvem em sua assinatura, o Microsoft Defender para Armazenamento é habilitado automaticamente para todas as suas contas de armazenamento. Você pode habilitar ou desabilitar o Defender para Armazenamento para contas de armazenamento individuais em uma assinatura específica.
Referência: Configurar Microsoft Defender para Armazenamento
DP-3: criptografar dados confidenciais ativos
Recursos
Criptografia de dados em trânsito
Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: impor uma versão mínima necessária do protocolo TLS para solicitações a uma conta de armazenamento
DP-4: habilitar a criptografia de dados inativos por padrão
Recursos
Criptografia de dados em repouso usando chaves de plataforma
Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: Criptografia do Armazenamento do Azure para dados inativos
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário
Recursos
Criptografia de dados inativos usando a CMK
Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilitar e implementar a criptografia de dados inativos para os dados no escopo usando a chave gerenciada pelo cliente para o Armazenamento do Azure
Referência: chaves gerenciadas pelo cliente para criptografia do Armazenamento do Azure
DP-6: usar um processo de gerenciamento de chaves seguro
Recursos
Gerenciamento de chaves no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.
Referência: gerenciar chaves de conta de armazenamento com Key Vault e a CLI do Azure
Gerenciamento de ativos
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.
AM-2: usar apenas serviços aprovados
Recursos
Suporte ao Azure Policy
Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: defina e implemente configurações de segurança padrão para recursos de rede associados à sua Conta de Armazenamento do Azure com Azure Policy. Use aliases do Azure Policy nos namespaces "Microsoft.Storage" e "Microsoft.Network" para criar políticas personalizadas para auditar ou impor a configuração de rede dos recursos da sua conta de armazenamento.
Faça uso de definições de política internas relacionadas à conta de armazenamento, como: contas de armazenamento devem usar um ponto de extremidade de serviço de rede virtual
Referência: Azure Policy definições internas para o Armazenamento do Azure
Registro em log e detecção de ameaças
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.
LT-1: habilitar funcionalidades de detecção de ameaças
Recursos
Microsoft Defender para oferta de serviço/produto
Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: use Microsoft Defender para Armazenamento para fornecer uma camada adicional de inteligência de segurança que detecta tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de armazenamento. Ele usa recursos avançados de detecção de ameaças e dados da Inteligência contra Ameaças da Microsoft para fornecer alertas de segurança contextuais. Esses alertas também incluem etapas para atenuar as ameaças detectadas e evitar ataques futuros.
Referência: Introdução ao Microsoft Defender para Armazenamento
LT-4: habilitar o registro em log para investigação de segurança
Recursos
Azure Resource Logs
Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: ingerir logs por meio do Azure Monitor para agregar dados de segurança gerados por dispositivos de pontos de extremidade, recursos de rede e outros sistemas de segurança. No Azure Monitor, use workspaces do Log Analytics para consultar e executar análises. Use contas de armazenamento do Azure para armazenamento de longo prazo/arquivamento, opcionalmente com recursos de segurança como armazenamento imutável e isenções de retenção imposta.
Referência: monitoramento de Armazenamento de Blobs do Azure
Backup e recuperação
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.
BR-1: garantir backups automatizados regulares
Recursos
Serviço de Backup do Azure
Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recursos: atualmente, Backup do Azure só tem suporte para o Armazenamento de Blobs do Azure. Os dados de fila e tabela podem ser copiados usando a ferramenta de linha de comando AzCopy.
Diretrizes de configuração: habilite Backup do Azure e configure a fonte de backup em uma frequência desejada e com um período de retenção desejado. O Backup do Azure permite configurar facilmente o backup operacional para proteger BLOBs de blocos em suas contas de armazenamento. O backup de BLOBs é configurado no nível da conta de armazenamento. Portanto, todos os BLOBs na conta de armazenamento são protegidos com o backup operacional.
Você pode configurar o backup para várias contas de armazenamento usando o Centro de Backup. Você também pode configurar o backup para uma conta de armazenamento usando as propriedades de Proteção de Dados da conta de armazenamento.
Referência: Visão geral do backup operacional para Blobs do Azure
Funcionalidade de backup nativo de serviço
Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes adicionais: o backup operacional de blobs é uma solução de backup local. Portanto, os dados de backup não são transferidos para o cofre de backup, mas são armazenados na própria conta de armazenamento de origem. No entanto, o cofre de backup ainda serve como a unidade de gerenciamento de backups. Além disso, essa é uma solução de backup contínua, o que significa que você não precisa agendar nenhum backup e todas as alterações serão retidas e restauráveis a partir do estado em um momento determinado.
Referência: Visão geral do backup operacional para Blobs do Azure
Próximas etapas
- Confira a visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
- Saiba mais sobre a Linhas de base de segurança do Azure