Proteggere l'account di archiviazione di Azure

L'Archiviazione di Azure offre un servizio di archiviazione cloud scalabile e affidabile per BLOB, file, code e tabelle in un unico account di archiviazione. Poiché un account di archiviazione può contenere dati con livelli di sensibilità molto diversi ed è spesso bersaglio di attacchi di esfiltrazione e ransomware, adotta misure deliberate per proteggere l'account, i dati che contiene e le identità che vi accedono.

Questo articolo fornisce raccomandazioni di sicurezza per aiutare a proteggere il tuo account Archiviazione di Azure. Queste raccomandazioni si applicano a tutti i servizi dati nell'account (Blobs, Files, Queues e Tables). Per indicazioni specifiche per ciascun servizio dati, consulta gli articoli sulla sicurezza correlati alla fine di questo articolo.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza specifica del servizio

Archiviazione di Azure ha caratteristiche architettoniche che influenzano il modo in cui lo distribuisci in modo sicuro. Le scelte che fai quando crei un account - modello di deployment, tipo, ridondanza e configurazione degli endpoint - sono difficili da modificare in seguito e influenzano la postura di sicurezza di ogni carico di lavoro che utilizza l'account.

Architettura degli account di archiviazione

  • Usa il modello di distribuzione Azure Resource Manager: crea nuovi account di archiviazione utilizzando il modello di distribuzione Azure Resource Manager. Gli account Resource Manager supportano il controllo di accesso basato sul ruolo (RBAC) di Azure, identità gestite, l'autorizzazione Microsoft Entra ID per dati, blocchi di risorse, tag e policy - nessuno dei quali è disponibile con il modello classico di deployment. Migra tutti gli account classici rimasti. Per ulteriori informazioni, consulta Migra un account di storage classico su Azure Resource Manager.

  • Separare account di archiviazione per carico di lavoro, ambiente e sensibilità: crea account separati per sviluppo, preproduzione e produzione, e account separati per dati di diverse classificazioni di sensibilità. Un account di archiviazione rappresenta un limite di attendibilità basato su chiavi condivise e un limite definito dai criteri: mescolare i carichi di lavoro in un unico account aumenta la portata di una compromissione e rende più difficile definire un accesso basato sul principio del privilegio minimo.

  • Usa un account per regione per l'isolamento regionale: Posizionare account nella regione dove i loro carichi di lavoro consumanti sono attivi riduce il trasferimento di dati tra regioni e semplifica i confini di conformità. Per le architetture multiregione, associa gli account regionali a uno storage con ridondanza geografica o alla replicazione degli oggetti, invece di gestire tutte le regioni da un unico account. Per altre informazioni, vedere Ridondanza di Archiviazione di Azure.

Uso appropriato di Archiviazione di Azure

  • Non usare le chiavi dell'account di archiviazione di Azure come credenziali dell'applicazione a lungo termine: le chiavi dell'account di archiviazione concedono il controllo completo dell'account e non possono essere limitate a un ambito. Le applicazioni dovrebbero utilizzare Microsoft Entra ID con identità gestite oppure, quando Entra ID non è un'opzione, token di breve durata con firma di accesso condiviso per delegazione utente (SAS). Per altre informazioni, vedere Autorizzare l'accesso ai dati in Archiviazione di Azure.

  • Non usare Archiviazione di Azure come archivio di segreti a uso generale: segreti, stringhe di connessione e certificati appartengono ad Azure Key Vault, che fornisce rotazione, politiche di accesso, protezione dei moduli di sicurezza hardware (HSM) e audit trail. Per altre informazioni, vedere Panoramica di Azure Key Vault.

Sicurezza di rete

Gli account di archiviazione sono raggiungibili via internet di default. Ridurre la superficie di attacco di rete è la modifica più efficace che si possa fare per proteggere un account da accessi non autorizzati, esfiltrazione di dati e ricognizione.

  • Disabilita l'accesso alla rete pubblica all'account di storage: Quando i tuoi clienti sono completamente in Azure o raggiungibili tramite collegamento privato, imposta l'accesso pubblico dell'account su Disabilitato in modo che vengano accettate solo le richieste tramite endpoint privati. Per altre informazioni, vedere Configurare i firewall e le reti virtuali di Archiviazione di Azure.

  • Usa endpoint privati per accedere da reti virtuali: un endpoint privato assegna un indirizzo IP privato dalla tua rete virtuale all'account di archiviazione e instrada il traffico attraverso la backbone Microsoft. Combinato con l'accesso alla rete pubblica disabilitato, gli endpoint privati eliminano l'esposizione a internet. Per ulteriori informazioni, vedere Utilizzare endpoint privati per Archiviazione di Azure.

  • Limitare l'accesso pubblico con il firewall di storage quando gli endpoint privati non sono pratici: se i client devono raggiungere l'account tramite rete pubblica, imposta l'azione predefinita del firewall su Nega e consente solo gli intervalli IP specifici, le subnet virtuali di rete (tramite endpoint di servizio) o le istanze di risorse che necessitano di accesso. Per altre informazioni, vedere Configurare i firewall e le reti virtuali di Archiviazione di Azure.

    • Consenti i servizi Microsoft attendibili quando devono accedere all'account: le regole del firewall con impostazione predefinita di blocco bloccano le richieste provenienti da altri servizi di Azure, ad esempio Backup di Azure, Log Analytics e Microsoft Defender for Storage, nonché dal portale di Azure e dalle pipeline di diagnostica. Aggiungi la funzione Consenti servizi Azure nella lista dei servizi affidabili per accedere a questa eccezione dell'account di archiviazione, così che i servizi di prima parte su cui ti affidi possano raggiungere l'account senza aprirlo a internet pubblico. Per altre informazioni, vedere Concedere l'accesso ai servizi attendibili di Azure.

    • Concedi l'accesso a istanze di risorse specifiche anziché ai servizi attendibili in generale: privilegia le regole per le istanze di risorsa, che autorizzano una risorsa Azure specifica e la relativa identità gestita, rispetto all'eccezione generale "Consenti servizi Microsoft attendibili". Le regole delle istanza di risorse producono una superficie di fiducia più piccola. Per altre informazioni, vedere Concedere l'accesso dalle istanze di risorse di Azure.

  • Associa account di archiviazione a un perimetro di sicurezza di rete: un perimetro di sicurezza di rete definisce confini logici tra le piattaforme come risorse di servizio e blocca il traffico esterno al perimetro di default, fornendo una difesa approfondita oltre le regole firewall per account. Per maggiori informazioni, vedi Perimetro di sicurezza di rete per Archiviazione di Azure.

  • Imporre una versione TLS minima di 1.2 o successiva: Configurare la versione TLS minima dell'account storage per rifiutare i client che negoziano versioni vecchie e obsolete. Per ulteriori informazioni, consulta Configurare la versione minima richiesta di Transport Layer Security (TLS) per un account di storage.

  • Richiedere trasferimento sicuro (HTTPS): Abilita che la proprietà richiesta per il trasferimento sicuro rifiuti qualsiasi richiesta effettuata tramite HTTP. Questo requisito si applica sia agli endpoint REST sia all'accesso SMB a File di Azure. Per maggiori informazioni, vedi Richiedere un trasferimento sicuro per un conto di archiviazione.

    • Alcuni scenari, come i vecchi client SMB o gli strumenti legacy, richiedono HTTP. In tali casi, isolare tali client in un segmento di rete controllato e farli migrare da HTTP il prima possibile.

  • Limitare la replicazione di oggetti tra tenant e le operazioni di copia: configurare l'account di archiviazione in modo da consentire operazioni di copia e di replicazione di oggetti solo da account di origine nello stesso tenant oppure solo da account di origine inseriti in un elenco di elementi consentiti. Questa configurazione impedisce il trasferimento dei dati attraverso i confini dei tenant da parte di utenti che possiedono permessi sul piano dati. Per ulteriori informazioni, vedi Ambito consentito per operazioni di copia e Impedire la replicazione di oggetti tra i tenant Microsoft Entra.

  • Usa i tag di servizio VNet per le regole in uscita verso Archiviazione di Azure: Quando limiti il traffico in uscita da una rete virtuale ad Archiviazione di Azure, usa il Storage service tag (o la variante specifica per regione) invece di intervalli IP codificati rigidamente. Microsoft mantiene il service tag man mano che lo spazio IP si evolve. Per altre informazioni, vedere Panoramica dei tag del servizio di Azure.

  • Preferire la rete globale Microsoft per il routing in ingresso: Configura la preferenza di routing di rete dell'account di archiviazione su routing di rete Microsoft in modo che il traffico in ingresso entri nel backbone Microsoft nel punto di presenza più vicino al client e rimanga sulla rete Microsoft da un'estremità all'altra. La pianificazione percorso Internet esce prima di The Microsoft Network e aumenta l'esposizione al percorso della rete Internet pubblica. Per altre informazioni, vedere Configurare le preferenze di routing di rete per Archiviazione di Azure.

Gestione delle identità e dell'accesso

Gli account di archiviazione supportano due modelli di autorizzazione: Microsoft Entra ID (basato sull'identità, auditabile, revocabile) e Chiave Condivisa (un segreto simmetrico con accesso completo all'account). Sposta i carichi di lavoro su Microsoft Entra ID dove possibile e considera la chiave condivisa come un fallback legacy.

  • Usa Microsoft Entra ID per autorizzare l'accesso ai dati: l'autorizzazione Microsoft Entra ID utilizza token OAuth 2.0 e si integra con Accesso Condizionale, identità gestite e audit trails RBAC. È superiore sotto ogni aspetto rispetto a Shared Key per l'accesso ai dati di piano. Per altre informazioni, vedere Autorizzare l'accesso ai dati in Archiviazione di Azure.

  • Dispermette l'autorizzazione della Chiave Condivisa: Imposta la allowSharedKeyAccess proprietà in false modo che l'account rifiuti qualsiasi richiesta firmata con le chiavi dell'account. Vengono accettate solo le richieste Microsoft Entra ID e, dove applicabile, le richieste SAS di delegazione utente. Per altre informazioni, vedere Impedire l'autorizzazione con chiave condivisa per un account di archiviazione di Azure.

  • Assegna ruoli RBAC al minimo ambito ragionevole: assegnare i ruoli integrati nel piano dati di archiviazione (ad esempio, Lettore dati di archiviazione BLOB, Collaboratore dati coda di archiviazione) a livello di contenitore, condivisione, coda o tabella quando possibile, anziché a livello di account o abbonamento. Per maggiori informazioni, vedi Autorizzare l'accesso ai blob usando il controllo di accesso basato sul ruolo di Azure.

  • Usa una SAS di delega utente invece di una SAS del servizio o dell'account quando è necessaria una SAS: una SAS di delega utente è firmata con una credenziale Microsoft Entra anziché con la chiave dell'account; pertanto, la revoca della chiave di delega dell'utente invalida immediatamente tutte le SAS emesse con essa. I token SAS di servizio e account firmati con chiavi di account non possono essere revocati singolarmente. Per altre informazioni, vedere Concedere accesso limitato alle risorse di Archiviazione di Azure tramite firme di accesso condiviso.

  • Se devi usare le chiavi dell'account, proteggile e ruotale: conserva le chiavi dell'account in Azure Key Vault, recuperale in runtime invece di incorporarle nella configurazione e ruotale su una cadenza definita. Avere una procedura di rotazione documentata che eviti i tempi di inattività usando entrambi i tasti durante il rollover. Per altre informazioni, vedere Gestire le chiavi di accesso dell'account di archiviazione.

  • Assegna ruoli di archiviazione privilegiati just-in-time con Microsoft Entra Privileged Identity Management (PIM): Per i ruoli che consentono modifiche al piano di gestione dell’archiviazione (come Storage Account Contributor o Owner), richiedi l’attivazione tramite PIM con approvazione e autenticazione a più fattori anziché assegnazioni permanenti. Per altre informazioni, vedere Che cos'è Microsoft Entra Privileged Identity Management?.

Protezione dei dati

Archiviazione di Azure cripta di default tutti i dati a riposo con chiavi gestite da Microsoft. Le raccomandazioni in questa sezione aggiungono il controllo del cliente, proteggono contro modifiche accidentali o malevole e riducono l'esposizione dei dati durante il transito e a riposo.

  • Configura le chiavi gestite dal cliente (CMK) per la crittografia a riposo: Usa una chiave che gestisci in Azure Key Vault o Managed HSM come chiave di crittografia dell'account. CMK ti permette di ruotare, auditare e revocare la chiave di crittografia indipendentemente dalle chiavi gestite da Microsoft. Supporta i requisiti di conformità che impongono il controllo delle chiavi da parte del cliente. Per altre informazioni, vedere Chiavi gestite dal cliente per la crittografia di archiviazione di Azure.

  • Abilita la crittografia dell'infrastruttura per la doppia crittografia in profondità della difesa: la crittografia dell'infrastruttura applica un secondo livello di crittografia gestionata dal servizio sopra il livello primario. Devi abilitarlo al momento della creazione dell'account. Per ulteriori informazioni, vedi Abilita la crittografia dell'infrastruttura per la doppia crittografia dei dati.

  • Usa scope di crittografia per isolare la crittografia per container o blob specifici: gli scope di crittografia permettono di applicare chiavi diverse o politiche di rotazione delle chiavi a livello di container o blob all'interno di un singolo account. Questa funzione è utile per carichi di lavoro multitenant che condividono un account ma necessitano di controllo delle chiavi per inquilino. Per maggiori informazioni, vedi Encryption scopes for gestione rete virtuale di Azure.

  • Abilita la crittografia Archiviazione di Azure per tutti i dati in transito: combina Secure transfer required = enabled (vedi Sicurezza di rete) con una versione TLS minima di 1.2 o successiva. Insieme garantiscono che l'account rifiuti sia le connessioni non criptate sia quelle debolmente criptate.

  • Usa la crittografia lato client per i dati più sensibili: per i dati il cui testo in chiaro non deve mai apparire sul server, cripta il client prima del caricamento. La crittografia lato client è complementare alla crittografia lato servizio e può essere utilizzata insieme a CMK per la protezione a livelli. Per il supporto e i pattern SDK per servizio, vedi Articoli di sicurezza correlati.

  • Proteggi l'account di archiviazione con un blocco di risorsa: applica un blocco CanNotDelete o ReadOnly per prevenire la cancellazione o la riconfigurazione accidentale o dannosa dell'account stesso. I blocchi si applicano alla risorsa dell'account, non ai dati al suo interno, quindi completano - non sostituiscono - la cancellazione soft e l'immutabilità. Per altre informazioni, vedere Applicare un blocco di Azure Resource Manager a un account di archiviazione.

Per le funzionalità di protezione dei dati specifiche dei servizi dati (criteri di immutabilità e WORM dei BLOB, ambiti di crittografia dei BLOB), vedere il sottoarticolo corrispondente in Articoli correlati sulla sicurezza.

Registrazione e monitoraggio

Gli account di archiviazione sono spesso bersagli di furto di credenziali, tentativi di esfiltrazione e configurazioni errate. Serve un registro continuo e il rilevamento delle minacce per rilevare e rispondere rapidamente agli attacchi.

  • Abilita Microsoft Defender per lo Storage: Defender for Storage fornisce rilevamento delle minacce, scansione malware al caricamento per blob e scoperta di dati sensibili. Segnala schemi di accesso anomali, IP dannosi noti e uscite di Tor, e attività di autenticazione insolite. Abilitalo a livello di abbonamento o account di archiviazione. Per ulteriori informazioni, consulta la Panoramica di Microsoft Defender for Storage.

    • Abilita la scansione malware per i caricamenti di blob su account che accettano contenuti non affidabili: la scansione malware ispeziona i blob caricati e segna o rimuove contenuti dannosi prima che possano essere serviti ai consumatori a valle. Per maggiori informazioni, consulta Analisi malware in Defender for Storage.

    • Abilita il rilevamento delle minacce ai dati sensibili: La scoperta di dati sensibili classifica i dati nell'account e dà priorità agli avvisi sui contenitori che contengono informazioni sensibili. Per ulteriori informazioni, vedi Scoperta di dati sensibili in Defender for Storage.

  • Invia le impostazioni di diagnostica a un'area di lavoro Log Analytics: configura le impostazioni di diagnostica nell'account e in ogni servizio dati (BLOB, file, code, tabelle) per inviare i log StorageRead, StorageWrite e StorageDelete, nonché tutte le metriche, a Log Analytics. Conserva i registri per il periodo richiesto dai tuoi obblighi di conformità. Per altre informazioni, vedere Monitoraggio di Archiviazione di Azure.

  • Verifica come ogni richiesta è autorizzata: i log di archiviazione registrano se ogni richiesta è stata autorizzata con Microsoft Entra ID, Chiave Condivisa, SAS o in modo anonimo. Consulta regolarmente i log per rilevare metodi di autorizzazione inaspettati, in particolare l'uso della chiave condivisa dopo averlo disabilitato o l'accesso anonimo dopo averlo disabilitato. Per maggiori informazioni, vedi Monitorare le richieste contro Archiviazione di Azure.

  • Allarme su eventi di sicurezza ad alto segnale: Configura gli avvisi Monitoraggio di Azure per eventi come rigenerazione delle chiavi, modifiche alle regole del firewall, modifiche all'accesso pubblico alla rete, uso delle chiavi condivise sugli account dove dovrebbe essere disabilitato e avvisi Defender for Storage. Per altre informazioni, vedere avvisi di log in Monitoraggio di Azure.

  • Inoltra i log a un SIEM centrale: per una risposta su scala enterprise, inoltra i log di storage da Log Analytics a Microsoft Sentinel o a un altro SIEM in modo che gli eventi di storage siano correlati con identità, rete e segnali endpoint. Per ulteriori informazioni, vedi Connetti Archiviazione di Azure a Microsoft Sentinel.

Conformità e governance

I controlli di governance rendono le configurazioni sicure predefinite e rilevano automaticamente la deriva. Per qualsiasi ambiente di storage con più di una manciata di account, l'applicazione dei criteri è l'unico modo sostenibile per mantenere coerente la configurazione di base.

  • Applica Criteri di Azure per far rispettare la sicurezza di base dello storage: assegna politiche integrate che bloccano configurazioni insicure al momento del deployment e audit gli account esistenti. I contenuti integrati di alto valore includono: richiedere trasferimento sicuro, richiedere TLS 1.2 minimo, negare l'accesso pubblico alla rete, negare l'accesso pubblico ai blob, richiedere la crittografia dell'infrastruttura e richiedere CMK. Per un elenco completo, consulta le definizioni integrate di Criteri di Azure per Archiviazione di Azure e Criteri di Azure Regulatory Compliance controls per Archiviazione di Azure.

  • Usa il benchmark di sicurezza cloud Microsoft (MCSB) come base: allinea i controlli di storage con i domini MCSB v2 per una postura di sicurezza coerente tra i servizi. Per ulteriori informazioni, consulta la Panoramica del benchmark di sicurezza cloud di Microsoft.

  • Tagga gli account di archiviazione con proprietario, classificazione dati e ambiente: i criteri di governance, la gestione dei costi e la risposta agli incidenti dipendono tutte da un sistema di tagging coerente. Applica i tag tramite Criteri di Azure così non possono essere omessiti al momento della creazione.

  • Esamina le offerte di conformità prima di memorizzare dati regolamentati: Archiviazione di Azure possiede certificazioni per i quadri normativi comuni (HIPAA, PCI DSS, FedRAMP, ISO 27001 e altri). Conferma la copertura per il carico di lavoro prima della distribuzione. Per maggiori informazioni, consulta le offerte di conformità di Archiviazione di Azure.

Backup e ripristino

La ridondanza tra aree geografiche e le procedure di failover convalidate garantiscono resilienza a livello di area geografica per l'account di archiviazione stesso. Per la protezione contro la cancellazione specifica dei servizi dati (cancellazione temporanea del BLOB, controllo della versione del BLOB, feed di modifiche, ripristino temporizzato, cancellazione temporanea della condivisione file e snapshot), vedere il sottoarticolo corrispondente in Articoli di sicurezza correlati.

  • Scegli un'opzione di ridondanza adeguata per i tuoi requisiti di ripristino: l'archiviazione con ridondanza geografica (GRS/RA-GRS/GZRS/RA-GZRS) replica i dati in una regione associata e supporta il failover avviato dal cliente per la resilienza a livello regionale. L'archiviazione con ridondanza della zona (ZRS/GZRS) protegge da guasti a livello di zona all'interno di un'area geografica. Per altre informazioni, vedere Ridondanza di Archiviazione di Azure.

  • Non fare affidamento sulla ridondanza geografica per la protezione dal ransomware: la replica con ridondanza esegue il mirroring dei dati, con eventuali danneggiamenti o eliminazioni dannose, nell'area associata. Abbina GRS a criteri di immutabilità, eliminazione temporanea e controllo delle versioni per proteggerti da ransomware e manomissioni. Per ulteriori informazioni, consulta Funzionalità di protezione dati in Archiviazione di Azure.

  • Esegui il failover e il failback avviati dal cliente: Per gli account con RA-GRS o RA-GZRS, esegui un failover pianificato per convalidare la procedura di ripristino prima che sia necessario. Per informazioni aggiuntive, vedere Ripristino di emergenza e failover dell'account di archiviazione.

Per indicazioni di sicurezza specifiche per ogni servizio dati Archiviazione di Azure, vedi:

Passaggi successivi

  • Ultimo aggiornamento: