Proteggi il tuo Archiviazione BLOB di Azure

Archiviazione BLOB di Azure memorizza enormi quantità di dati sugli oggetti non strutturati in container. Spesso è bersaglio di esfiltrazione, ransomware e incidenti di esposizione pubblica. Questo articolo fornisce raccomandazioni sulla sicurezza specifiche per i contenitori BLOB, i BLOB e gli spazi dei nomi gerarchici di Azure Data Lake Storage.

Annotazioni

Questo articolo tratta pratiche di sicurezza specifiche per Archiviazione BLOB di Azure. Per indicazioni sulla sicurezza a livello di account, consulta Proteggere il tuo account Archiviazione di Azure.

Sicurezza di rete

  • Esporre domini personalizzati, siti Web statici e qualsiasi contenuto BLOB accessibile pubblicamente con Frontdoor di Azure: termina TLS in Frontdoor di Azure con un certificato gestito, abilita il WAF e limita l'accesso alla rete pubblica dell'account di archiviazione in modo che solo Frontdoor possa raggiungere l'origine. La funzione di dominio personalizzato di Archiviazione di Azure non supporta certificati TLS gestiti, e Frontdoor aggiunge protezione WAF, limite di flusso di entrata e logging che mancano all'accesso anonimo ai container. Per maggiori informazioni, vedi Use Frontdoor di Azure with Archiviazione di Azure blobs.

  • Disabilita l'endpoint statico del sito web quando non è in uso: Il $web container rimane leggibile al pubblico mentre la funzione statica del sito web è abilitata, anche se allowBlobPublicAccess è false. Disabilita la funzione di sito statico sugli account che non ne hanno bisogno. Per ulteriori informazioni, consultare Hosting di siti Web statici in Archiviazione di Azure.

Gestione delle identità e dell'accesso

Accesso pubblico anonimo

  • Disabilita l'accesso pubblico anonimo alla lettura nell'account di storage: imposta la allowBlobPublicAccess proprietà in false modo che nessun container nell'account possa essere pubblico, indipendentemente dalla configurazione a livello di container. Per altre informazioni, vedere Panoramica: risoluzione dell'accesso anonimo in lettura ai dati BLOB.

  • Verifica e correggi eventuali accessi anonimi esistenti: usa le indicazioni in Correggere l'accesso anonimo in lettura ai dati BLOB per trovare i contenitori che consentono l'accesso pubblico e renderli privati o configurarli per una condivisione esplicita basata su SAS.

SAS e ABAC a livello di blob

  • Preferire un SAS con delega utente rispetto a un SAS di servizio per l'accesso ai BLOB: una firma di accesso condiviso (SAS) con delega utente è firmata con una credenziale Microsoft Entra. La revoca della chiave di delega utente invalida immediatamente ogni SAS emesso da tale chiave, fornendo un meccanismo di revoca di cui i SAS di servizio e di account non dispongono. Per altre informazioni, vedere Creare una firma di accesso condiviso di delega utente.

  • Ambito del servizio SAS con criteri di accesso memorizzati per la revocabilità: se occorre utilizzare un SAS di servizio, associarlo a un criterio di accesso memorizzato sul contenitore. Puoi poi modificare o cancellare la policy per revocare ogni SAS che vi fa referenza. Senza una policy, un SAS di servizio può essere revocato solo ruotando le chiavi del conto, il che influisce su tutti gli altri SAS presenti nell'account. Per altre informazioni, vedere Definire un criterio di accesso archiviato.

  • Usa i blob index tag per condizionare l'accesso tramite ABAC: combina i blob index tag con le condizioni di controllo di accesso basato su attributi (ABAC) per concedere l'accesso di lettura solo a blob con valori specifici del tag - ad esempio, Classification=Public. Questo approccio permette a un singolo ruolo assegnato di servire molti chiamanti senza concedere accesso a dati sensibili taggati. Per maggiori informazioni, vedi Autorizza l'accesso ai blob utilizzando condizioni ABAC.

Protezione dei dati

  • Usa gli ambiti di crittografia per i BLOB per isolare la crittografia per contenitori o BLOB specifici: gli ambiti di crittografia consentono di applicare chiavi diverse o criteri di rotazione delle chiavi con granularità a livello di contenitore o di BLOB all'interno di un unico account. Questa funzione è utile per carichi di lavoro multitenant che condividono un account ma necessitano di controllo delle chiavi per inquilino. Per maggiori informazioni, vedi Encryption scopes for gestione rete virtuale di Azure.

  • Usa la crittografia lato client per i dati blob che non devono mai apparire sul server in testo chiaro: cripta il contenuto blob nel client prima del caricamento. L'SDK si integra con Azure Key Vault o Managed HSM per la gestione delle chiavi. Combinare con il CMK lato servizio per una protezione stratificata. Per altre informazioni, vedere Crittografia lato client per BLOB.

Immutabilità e WORM

  • Configurare politiche di conservazione basate sul tempo per i dati regolamentati: applicare la conservazione temporale a livello di container o versione per prevenire la modifica o la cancellazione dei blob per un periodo fisso. L'immutabilità a livello di versione offre un controllo più fine e puoi abilitarla o estenderla su versioni individuali. Per altre informazioni, vedere Archiviare dati blob critici per l'azienda con archiviazione immutabile.

  • Utilizzare le detenzioni legali per la conservazione a tempo indeterminato dovute a esigenze legali o investigative: le detenzioni legali impediscono la cancellazione finché un utente autorizzato non libera esplicitamente la detenzione, senza una durata fissa. Per altre informazioni, vedere Archiviare dati blob critici per l'azienda con archiviazione immutabile.

  • Blocca le politiche di retention per renderle non modificabili: gli utenti con permessi appropriati possono accorciare o eliminare una politica di retention sbloccata. Bloccare la polizza rende il periodo di mantenimento un impegno a senso unico. Blocca solo dopo aver validato la durata della polizza. Per maggiori informazioni, vedi Configura le politiche di immutabilità per i container.

Operazioni di replicazione e copia degli oggetti

  • Limita la replica degli oggetti agli account sorgente che controlli: Configura la lista di account sorgente consentita dell'account di destinazione in modo che solo gli account sorgente noti e affidabili possano inviare i dati. Per altre informazioni, vedere Configurare la replica di oggetti.

  • Impedire la replicazione di oggetti tra tenant: Non consentire criteri di replicazione i cui account di origine e di destinazione appartengono a tenant Microsoft Entra diversi. Questa restrizione impedisce a un utente autorizzato di configurare la replica su un tenant esterno. Per altre informazioni, vedere Impedire la replica di oggetti nei tenant di Microsoft Entra.

  • Limitare l'ambito consentito per le operazioni di copia: Configurare l'account per consentire operazioni di copia solo dagli account sorgente nello stesso tenant o con lo stesso abbonamento. Questa configurazione blocca un percorso comune di esfiltrazione: la copia da un account privato a un account controllato dall'attaccante. Per ulteriori informazioni, vedi Ambito consentito per le operazioni di copia.

Backup e ripristino

  • Abilita la versione dei blob per preservare le versioni precedenti durante la scrittura e la cancellazione: Quando abiliti la versionazione, ogni operazione di scrittura o cancellazione crea una nuova versione e mantiene lo stato precedente. Puoi accedere alle versioni e ripristinarle. Per altre informazioni, vedere Controllo delle versioni del BLOB.

  • Abilita la cancellazione soft per blob e container: la cancellazione soft conserva i blob e i container cancellati per un periodo di conservazione prestabilito, così puoi ripristinarli durante quel periodo. Configura separatamente la cancellazione soft a livello di container e a livello di blob, e abilita entrambe. Per maggiori informazioni, vedi Soft delete per i blob e Soft delete per i container.

  • Abilitare il ripristino temporizzato per gli account per BLOB in blocchi: il ripristino temporizzato funziona con il controllo delle versioni e l'eliminazione temporanea per ripristinare un intervallo di BLOB in blocchi a una data e ora specifica nel passato. Questa funzione è utile per il recupero da ransomware. Il ripristino temporizzato richiede di abilitare il controllo delle versioni, la cancellazione soft del BLOB e il feed di modifiche. Per altre informazioni vedere l'articolo relativo al Ripristino temporizzato per i BLOB in blocchi.

  • Abilita il feed delle modifiche per l'audit e l'analisi forense: Il feed delle modifiche è un registro ordinato e immutabile di tutte le modifiche apportate ai BLOB nell'account. Oltre a consentire il ripristino puntuale, fornisce un record di audit duraturo per le indagini. Per ulteriori informazioni, vedere il supporto al feed di modifica in Archiviazione BLOB di Azure.

Azure Data Lake Storage

Data Lake Storage aggiunge uno spazio di nomi gerarchico e liste di controllo accessi (ACL) simili a POSIX a gestione rete virtuale di Azure. ACL e RBAC funzionano insieme: concedono un accesso di massima tramite RBAC e lo perfezionano nel file system con le ACL.

  • Usare RBAC per l'accesso a grana grossa e ACL per l'accesso a grana fine: assegnare ruoli RBAC integrati per i BLOB a livello di contenitore o di account per concedere un accesso esteso. Poi, usa ACL su directory e file per limitare l'accesso all'interno del container. Non usare solo le ACL per i permessi di cui un utente ha bisogno su un intero container. RBAC è più efficiente da valutare e auditare. Per altre informazioni, vedere Modello di controllo di accesso in Azure Data Lake Storage.

  • Applica le ACL predefinite sulle directory per ereditare i permessi sui nuovi elementi figli: Le ACL predefinite si applicano a file e directory creati dopo aver impostato l'ACL. Impostali a livello di directory per evitare di gestire le ACL su singoli file. Per ulteriori informazioni, consulta le liste di controllo degli accessi in Azure Data Lake Storage.

  • Abilita lo spazio di nomi gerarchico alla creazione dell'account: Non puoi abilitare lo spazio gerarchico su un account esistente senza la migrazione. Se sai che un carico di lavoro utilizza la semantica di Data Lake Storage, abilitalo subito invece di migrarlo in seguito. Per ulteriori informazioni, consulta Azure Data Lake Storage hierarchical namespace.

Registrazione e monitoraggio

  • Avviso in caso di risultati di accesso anonimo dopo avere disabilitato l'accesso anonimo: quando si imposta allowBlobPublicAccess su false, filtra i log di archiviazione per AuthenticationType == "Anonymous" e avvisa in caso di eventuali risultati. Questi eventi indicano un client configurato in modo errato oppure un tentativo di scansione. Per altre informazioni, vedere Monitoraggio di Archiviazione di Azure.

  • Abilita e agisci sui verdetti di scansione malware di Defender for Storage: Quando abiliti la scansione malware, configura la risposta automatica (eliminazione dei blob, tag di quarantena o soppressione del flusso di lavoro a valle) sui MalwareScanningResult verdetti in modo che i blob dannosi identificati non possano essere serviti ai consumatori. Per ulteriori informazioni, consulta Rispondi ai risultati della scansione malware in Defender for Storage.

  • Tieni traccia delle modifiche ai tag di indice dei BLOB per individuare la deriva della classificazione: se usi i tag di indice dei BLOB per definire le condizioni di accesso ABAC, le modifiche a tali tag cambiano direttamente chi può leggere il BLOB. Registra e avvisa in caso di SetBlobTags operazioni contro contenitori sensibili. Per maggiori informazioni, consulta Gestire e trovare dati su Archiviazione BLOB di Azure con tag blob index.

Passaggi successivi

  • Ultimo aggiornamento: