Výběr a konfigurace vhodných metod pro ochranu před hrozbami zabezpečení dat, včetně obnovitelného odstranění, záloh, správy verzí a neměnného úložiště
Azure Storage poskytuje komplexní ochranu dat pro Blob Storage a Azure Data Lake Storage Gen2, abyste se mohli připravit na scénáře, ve kterých potřebujete obnovit odstraněná nebo přepsáná data. Ochrana dat je důležitou součástí vaší strategie zabezpečení, která je v souladu s principy nulové důvěryhodnosti tím, že za předpokladu porušení zabezpečení a zajištění toho, abyste se mohli zotavit z incidentů zabezpečení. Je důležité myslet na to, jak nejlépe chránit vaše data před incidentem, který by mohl ohrozit zabezpečení, ať už od aktérů se zlými úmysly, náhodného odstranění nebo provozních chyb.
Doporučení pro základní ochranu dat
Pokud hledáte základní pokrytí ochrany dat pro váš účet úložiště a data, která obsahuje, microsoft doporučuje, abyste začali následujícími kroky:
- Nakonfigurujte zámek Azure Resource Manageru na účtu úložiště, který chrání účet před odstraněním nebo změnami konfigurace. Tím se zabrání náhodnému nebo neoprávněnému odstranění celého účtu úložiště.
- Povolte softwarové odstranění kontejneru pro účet úložiště pro obnovení odstraněného kontejneru a jeho obsahu. To poskytuje bezpečnostní síť proti náhodnému odstranění kontejneru.
-
Uložte stav objektu blob v pravidelných intervalech:
- U úloh blob Storage povolte, aby správa verzí objektů blob automaticky ukládala stav dat při každém přepsání objektu blob.
- V případě úloh Azure Data Lake Storage pořiďte ruční snímky a uložte stav dat v určitém časovém okamžiku.
Přehled možností ochrany dat
Následující tabulka shrnuje možnosti dostupné ve službě Azure Storage pro běžné scénáře ochrany dat. Zvolte scénáře, které se vztahují na vaši situaci, a získejte další informace o dostupných možnostech. V tuto chvíli nejsou pro účty úložiště s povoleným hierarchickým oborem názvů k dispozici všechny funkce.
Poznámka: Implementace několika vrstev ochrany dat poskytuje hloubkovou ochranu a zajišťuje zotavení z různých typů incidentů, včetně útoků ransomwaru, náhodných odstranění a úprav škodlivých dat.
| Scénář | Možnost ochrany dat | Doporučení | Výhoda ochrany | K dispozici pro Data Lake Storage |
|---|---|---|---|---|
| Zabrání odstranění nebo změně účtu úložiště. | Zámek Azure Resource Manageru Víc se uč... |
Zamkněte všechny účty úložiště pomocí zámku Azure Resource Manageru, abyste zabránili odstranění účtu úložiště. | Chrání účet úložiště před odstraněním nebo změnami konfigurace. Nechrání kontejnery nebo objekty blob v účtu před odstraněním nebo přepsáním. |
Ano |
| Zabrání odstranění verze objektu blob v intervalu, který řídíte. | Zásady neměnnosti ve verzi objektu blob Víc se uč... |
Nastavte zásady neměnnosti pro jednotlivé verze objektů blob, které chrání důležité obchodní dokumenty, například kvůli splnění právních nebo zákonných požadavků na dodržování předpisů. | Chrání verzi objektu blob před odstraněním a jeho metadata před přepsáním. Operace přepsání vytvoří novou verzi. Pokud má alespoň jeden kontejner povolenou neměnnost na úrovni verze, je účet úložiště také chráněn před odstraněním. Odstranění kontejneru selže, pokud v kontejneru existuje alespoň jeden objekt blob. |
Ne |
| Zabrání odstranění nebo úpravě kontejneru a jeho objektů blob v intervalu, který řídíte. | Zásady neměnnosti v kontejneru Víc se uč... |
Nastavte v kontejneru zásady neměnnosti, které chrání důležité obchodní dokumenty, například kvůli splnění právních nebo zákonných požadavků na dodržování předpisů. | Chrání kontejner a jeho objekty blob před všemi odstraněními a přepsáním. Pokud platí blokování z právních důvodů nebo uzamčené zásady uchovávání informací na základě času, je účet úložiště také chráněn před odstraněním. Kontejnery, pro které nebyly nastaveny žádné zásady neměnnosti, nejsou chráněné před odstraněním. |
Ano |
| Obnovení odstraněného kontejneru v zadaném intervalu | Obnovitelné odstranění kontejneru Víc se uč... |
Povolte obnovitelné odstranění kontejneru pro všechny účty úložiště s minimálním intervalem uchovávání dat sedmi dnů. Povolení správy verzí objektů blob a obnovitelného odstranění objektů blob společně s obnovitelným odstraněním kontejneru za účelem ochrany jednotlivých objektů blob v kontejneru Ukládat kontejnery, které vyžadují různá období uchovávání, v samostatných účtech úložiště. |
Odstraněný kontejner a jeho obsah se můžou obnovit během doby uchovávání. Je možné obnovit pouze operace na úrovni kontejneru (například Odstranit kontejner). Obnovitelné odstranění kontejneru neumožňuje obnovit jednotlivé objekty blob v kontejneru, pokud se tento objekt blob odstraní. |
Ano |
| Automaticky uloží stav objektu blob v předchozí verzi, když se přepíše. | Správa verzí objektů blob Víc se uč... |
Povolte správu verzí objektů blob společně s obnovitelným odstraněním kontejneru a obnovitelné odstranění objektů blob pro účty úložiště, u kterých potřebujete optimální ochranu dat objektů blob. Ukládejte data objektů blob, která nevyžadují správu verzí v samostatném účtu, aby se omezily náklady. |
Každá operace zápisu objektu blob vytvoří novou verzi. Aktuální verze objektu blob může být obnovena z předchozí verze, pokud je aktuální verze odstraněna nebo přepsána. | Ne |
| Obnovení odstraněného objektu blob nebo verze objektu blob v zadaném intervalu | Obnovitelné odstranění objektu blob Víc se uč... |
Povolte obnovitelné odstranění objektů blob pro všechny účty úložiště s minimálním intervalem uchovávání dat sedmi dnů. Povolení správy verzí objektů blob a obnovitelného odstranění kontejneru společně s obnovitelným odstraněním objektů blob pro zajištění optimální ochrany dat objektů blob Ukládejte objekty blob, které vyžadují různá období uchovávání v samostatných účtech úložiště. |
Odstraněný objekt blob nebo verze objektu blob se může obnovit během doby uchovávání. | Ano |
| Obnovení sady objektů blob bloku do předchozího bodu v čase | Obnovení k určitému bodu v čase Víc se uč... |
Pokud chcete použít obnovení k určitému bodu v čase, abyste se vrátili k dřívějšímu stavu, navrhněte aplikaci tak, aby odstranila jednotlivé objekty blob bloku a neodstraňovat kontejnery. | Sada objektů blob bloku se může vrátit k jejich stavu v určitém bodě v minulosti. Vrátí se jenom operace prováděné s objekty blob bloku. Všechny operace prováděné s kontejnery, objekty blob stránky nebo doplňovacími objekty blob se nevrátí. |
Ne |
| Ručně uložte stav objektu blob v daném bodu v čase. | Snímek objektu blob Víc se uč... |
Doporučujeme jako alternativu ke správě verzí objektů blob, pokud správa verzí není vhodná pro váš scénář, kvůli nákladům nebo jiným aspektům nebo když má účet úložiště povolený hierarchický obor názvů. | Objekt blob se může obnovit ze snímku, pokud se objekt blob přepíše. Pokud se objekt blob odstraní, odstraní se také snímky. | Ano |
| Objekt blob je možné odstranit nebo přepsat, ale data se pravidelně kopírují do druhého účtu úložiště. | Zavedení vlastního řešení pro kopírování dat do druhého účtu pomocí replikace objektů azure Storage nebo nástroje, jako je AzCopy nebo Azure Data Factory. | Doporučeno pro ochranu proti neočekávaným úmyslným akcím nebo nepředvídatelným scénářům. Vytvořte druhý účet úložiště ve stejné oblasti jako primární účet, abyste se vyhnuli poplatkům za výchozí přenos dat. |
Data je možné obnovit z druhého účtu úložiště, pokud dojde k ohrožení primárního účtu jakýmkoli způsobem. | Podporuje se AzCopy a Azure Data Factory. Replikace objektů se nepodporuje. |
Ochrana dat podle typu prostředku
Následující tabulka shrnuje možnosti ochrany dat azure Storage podle prostředků, které chrání.
| Možnost ochrany dat | Chrání účet před odstraněním. | Chrání kontejner před odstraněním. | Chrání objekt před odstraněním. | Chrání objekt před přepsáním. |
|---|---|---|---|---|
| Zámek Azure Resource Manageru | Ano | Ne | Ne | Ne |
| Zásady neměnnosti ve verzi objektu blob | Ano | Ano | Ano | Ano |
| Zásady neměnnosti v kontejneru | Ano | Ano | Ano | Ano |
| Obnovitelné odstranění kontejneru | Ne | Ano | Ne | Ne |
| Správa verzí objektů blob | Ne | Ne | Ano | Ano |
| Obnovitelné odstranění objektu blob | Ne | Ne | Ano | Ano |
| Obnovení k určitému bodu v čase | Ne | Ne | Ano | Ano |
| Snímek objektu blob | Ne | Ne | Ne | Ano |
| Vrácení vlastního řešení pro kopírování dat do druhého účtu | Ne | Ano | Ano | Ano |
Pochopení nuancí ochrany dat ve službě Azure Storage ukazuje několik provozních přehledů a omezení, která jsou důležitá pro zabezpečení i dodržování předpisů:
- Zámek Azure Resource Manageru nechrání kontejner před odstraněním, pouze samotný účet úložiště.
- Odstranění účtu úložiště selže, pokud existuje alespoň jeden kontejner s povoleným neměnným úložištěm na úrovni verze a poskytuje ochranu před náhodným odstraněním účtu.
- Odstranění kontejneru selže, pokud v něm existuje alespoň jeden blob, bez ohledu na to, zda je zásada neměnnosti uzamčená nebo odemknutá.
- Přepsání obsahu aktuální verze objektu blob vytvoří novou verzi. Zásady neměnnosti chrání metadata verze před přepsáním a zajišťují integritu dat.
- Zatímco je právní pozastavení nebo časově uzamčené zásady uchovávání uplatněny na úrovni kontejneru, je účet úložiště také chráněn před odstraněním, což zajistí ochranu souladu.
- V současné době není podporováno pro úlohy Data Lake Storage (týká se verzování objektů blob a obnovení k určitému časovému bodu).
- AzCopy a Azure Data Factory jsou možnosti podporované pro úlohy Blob Storage i Data Lake Storage. Replikace objektů se podporuje jenom pro úlohy blob Storage.
Obnovení odstraněných nebo přepsáných dat
Pokud byste měli potřebovat obnovit data, která byla přepsána nebo odstraněna, způsob, jakým budete pokračovat, závisí na tom, které možnosti ochrany dat jste povolili a které prostředky byly ovlivněny. Následující tabulka popisuje akce, které můžete provést k obnovení dat.
| Odstraněný nebo přepsáný prostředek | Možné akce obnovení | Požadavky na obnovení |
|---|---|---|
| Účet úložiště | Pokus o obnovení odstraněného účtu úložiště |
Účet úložiště byl původně vytvořen pomocí modelu nasazení Azure Resource Manager a během posledních 14 dnů byl odstraněn. Od odstranění původního účtu se nevytvořil nový účet úložiště se stejným názvem. |
| Kontejner | Obnovení obnovitelně odstraněného kontejneru a jeho obsahu |
Je povolené obnovitelné odstranění kontejneru a doba uchovávání obnovitelného odstranění kontejneru ještě nevypršela. |
| Kontejnery a objekty blob | Obnovení dat z druhého účtu úložiště | Všechny operace kontejnerů a objektů blob se efektivně replikovaly do druhého účtu úložiště. |
| Objekt blob (libovolný typ) | Obnovení objektu blob z předchozí verze |
Správa verzí objektů blob je povolená a objekt blob má jednu nebo více předchozích verzí. |
| Objekt blob (libovolný typ) | Obnovení obnovitelného odstraněného objektu blob |
Obnovitelné odstranění objektu blob je povolené a nevypršela platnost intervalu uchovávání obnovitelného odstranění. |
| Objekt blob (libovolný typ) | Obnovení objektu blob ze snímku |
Objekt blob má jeden nebo více snímků. |
| Sada objektů blob bloku | Obnovení sady objektů blob bloku do jejich stavu v dřívějším bodu v čase |
Obnovení k určitému bodu v čase je povolené a bod obnovení je v intervalu uchovávání informací. Účet úložiště nebyl ohrožen nebo poškozen. |
| Verze objektu blob | Obnovení obnovitelně odstraněné verze |
Obnovitelné odstranění objektu blob je povolené. |
Shrnutí aspektů nákladů
| Možnost ochrany dat | Důležité informace o nákladech |
|---|---|
| Zámek Azure Resource Manageru pro účet úložiště | Za konfiguraci zámku v účtu úložiště se neúčtují žádné poplatky. |
| Zásady neměnnosti ve verzi objektu blob | Za povolení neměnnosti na úrovni verze v kontejneru se neúčtují žádné poplatky. Vytvoření, úprava nebo odstranění zásad uchovávání informací na základě času nebo blokování z právních důvodů ve verzi objektu blob vede k poplatkům za transakce zápisu. |
| Zásady neměnnosti v kontejneru | Bez poplatků za konfiguraci zásad neměnnosti v kontejneru. |
| Obnovitelné odstranění kontejneru | Bez poplatků za povolení obnovitelného odstranění kontejneru pro účet úložiště. Data v obnovitelném kontejneru se účtují stejným tempem jako aktivní data, dokud se trvale nesmažou. |
| Správa verzí objektů blob | Za povolení správy verzí objektů blob pro účet úložiště se neúčtují žádné poplatky. Po povolení správy verzí objektů blob vytvoří každá operace zápisu nebo odstranění objektu blob v účtu novou verzi, což může vést ke zvýšení nákladů na kapacitu. Verze objektu blob se účtuje na základě jedinečných bloků nebo stránek. Náklady se proto zvyšují, protože se základní objekt blob liší od konkrétní verze. Změna úrovně objektu blob nebo objektu blob může mít dopad na fakturaci. Další informace najdete v tématu Ceny a fakturace. Správa životního cyklu slouží k odstranění starších verzí podle potřeby k řízení nákladů. Další informace najdete v tématu Optimalizace nákladů pomocí automatizace úrovní přístupu služby Azure Blob Storage. |
| Obnovitelné odstranění objektu blob | Bez poplatků za povolení obnovitelného odstranění objektů blob pro účet úložiště. Data v obnovitelném odstraněném objektu blob se účtují stejným tempem jako aktivní data, dokud se trvale odstraněný objekt blob nespouští. |
| Obnovení k určitému bodu v čase | Bez poplatků za povolení obnovení k určitému bodu v čase pro účet úložiště; Povolení obnovení k určitému bodu v čase ale také umožňuje správu verzí objektů blob, obnovitelné odstranění a kanál změn, z nichž každá může mít za následek další poplatky. Při provádění operace obnovení se vám účtuje obnovení k určitému bodu v čase. Náklady na operaci obnovení závisí na množství obnovovaných dat. Další informace najdete v tématu Ceny a fakturace. |
| Snímky objektů blob | Data ve snímku se účtují na základě jedinečných bloků nebo stránek. Náklady se proto zvyšují, protože se základní objekt blob liší od snímku. Změna úrovně objektu blob nebo snímku může mít dopad na fakturaci. Další informace najdete v tématu Ceny a fakturace. Správa životního cyklu slouží k odstranění starších snímků podle potřeby k řízení nákladů. Další informace najdete v tématu Optimalizace nákladů pomocí automatizace úrovní přístupu služby Azure Blob Storage. |
| Kopírování dat do druhého účtu úložiště | Udržování dat v druhém účtu úložiště bude mít za následek náklady na kapacitu a transakce. Pokud se druhý účet úložiště nachází v jiné oblasti než zdrojový účet, kopírování dat do druhého účtu bude navíc účtovat poplatky za výchozí přenos dat. |
Zotavení po havárii
Azure Storage vždy udržuje více kopií dat, aby byla chráněná před plánovanými a neplánovanými událostmi, včetně přechodných selhání hardwaru, výpadků sítě nebo napájení a obrovských přírodních katastrof. Redundance zajišťuje, že váš účet úložiště splňuje cíle dostupnosti a stálosti i v případě selhání.
Pokud dojde k selhání v datovém centru a váš účet úložiště je redundantní ve dvou geografických oblastech (geograficky redundantní), máte možnost provést převzetí služeb po selhání účtu z primární oblasti do sekundární oblasti. Tato schopnost je zásadní pro plánování provozní kontinuity a zotavení po havárii.
Důležité
Převzetí služeb při selhání spravované zákazníkem se v současné době nepodporuje u účtů úložiště s povoleným hierarchickým oborem názvů.
Osvědčené postupy pro implementaci ochrany dat
Při implementaci ochrany dat pro Azure Storage zvažte tato doporučení:
- Implementujte hloubkovou ochranu: Společně používejte více mechanismů ochrany. Kombinujte například verzování objektů blob, soft delete a zásady neměnnosti pro komplexní ochranu před různými typy ztráty dat.
- Pravidelné testování: Pravidelně testujte postupy obnovení dat, abyste zajistili, že budou fungovat podle očekávání a že váš tým bude znát proces obnovení.
- Plánování doby uchovávání: Nastavte vhodná období uchovávání na základě vašich požadavků na dodržování předpisů, ale zvažte také náklady na úložiště spojené se zachováním obnovitelně odstraněných dat a verzí.
- Pro dodržování předpisů používejte zásady neměnnosti: V regulovaných odvětvích implementujte zásady neměnnosti pro kontejnery nebo verze objektů blob, které splňují požadavky WORM (Write Once, Read Many).
- Monitorování stavu ochrany: Pomocí služby Azure Monitor a Azure Policy můžete sledovat, které účty úložiště mají povolené funkce ochrany dat, a identifikovat případné mezery ve vaší strategii ochrany.
- Zdokumentujte svou strategii: Udržujte jasnou dokumentaci konfigurace ochrany dat, včetně funkcí, které jsou povolené, doby uchovávání a postupy obnovení.
- Zvažte náklady vs. ochranu: I když je komplexní ochrana dat důležitá, vyvažte úroveň ochrany před náklady na úložiště. Pomocí zásad správy životního cyklu můžete automaticky odstraňovat staré verze a snímky na základě vašich požadavků.
- Geografická redundance pro kritická data: Pro důležitá obchodní data použijte geograficky redundantní úložiště (GRS nebo GZRS) k zajištění dostupnosti dat i v případě, že je celá oblast nedostupná.
- Kombinovat s řešeními zálohování: Pokud chcete zajistit další ochranu, zvažte použití služby Azure Backup pro azure Files nebo řešení zálohování třetích stran, která poskytují další možnosti obnovení a dlouhodobé uchovávání.