Selezionare e configurare i metodi appropriati per la protezione dalle minacce alla sicurezza dei dati, inclusi eliminazione temporanea, backup, controllo delle versioni e archiviazione non modificabile
Azure Storage offre una protezione completa dei dati per Blob Storage e Azure Data Lake Storage Gen2 per aiutarti a prepararti agli scenari in cui è necessario ripristinare i dati eliminati o sovrascritti. La protezione dei dati è un componente fondamentale della strategia di sicurezza, allineata ai principi Zero Trust presupponendo la violazione e assicurandosi di poter eseguire il ripristino dagli eventi imprevisti della sicurezza. È importante pensare a come proteggere al meglio i dati prima che si verifichi un evento imprevisto che potrebbe comprometterlo, sia da utenti malintenzionati, dall'eliminazione accidentale o da errori operativi.
Raccomandazioni per la protezione dati di base
Se si sta cercando una copertura per la protezione dei dati di base per l'account di archiviazione e i dati in esso contenuti, Microsoft consiglia di eseguire i passaggi seguenti per iniziare:
- Configurare un blocco di Azure Resource Manager nell'account di archiviazione per proteggere l'account dalle modifiche di eliminazione o configurazione. Ciò impedisce l'eliminazione accidentale o non autorizzata dell'intero account di archiviazione.
- Abilitare l'eliminazione temporanea del contenitore per l'account di archiviazione per ripristinare un contenitore eliminato e i relativi contenuti. Ciò garantisce una rete di sicurezza contro l'eliminazione accidentale di contenitori.
-
Salvare lo stato di un BLOB a intervalli regolari:
- Per i carichi di lavoro di Archiviazione BLOB, abilitare il controllo delle versioni dei BLOB per salvare automaticamente lo stato dei dati ogni volta che un BLOB viene sovrascritto.
- Per i carichi di lavoro di Azure Data Lake Storage, creare snapshot manuali per salvare lo stato dei dati in un determinato momento.
Informazioni generali sulle opzioni di protezione dati
La tabella seguente riepiloga le opzioni disponibili in Archiviazione di Azure per scenari comuni di protezione dati. Per altre informazioni sulle opzioni disponibili, scegliere gli scenari applicabili alla propria situazione. Non tutte le funzionalità sono attualmente disponibili per gli account di archiviazione con uno spazio dei nomi gerarchico abilitato.
Nota sulla sicurezza: l'implementazione di più livelli di protezione dei dati fornisce una difesa approfondita e garantisce il ripristino da vari tipi di eventi imprevisti, tra cui attacchi ransomware, eliminazioni accidentali e modifiche ai dati dannosi.
| Scenario | Opzione di protezione dei dati | Consigli | Vantaggio protezione | Disponibile per Data Lake Storage |
|---|---|---|---|---|
| Impedire l'eliminazione o la modifica di un account di archiviazione. | Blocco di Azure Resource Manager Ulteriori informazioni... |
Bloccare tutti gli account di archiviazione con un blocco di Azure Resource Manager per impedire l'eliminazione dell'account di archiviazione. | Protegge l'account di archiviazione dall'eliminazione o dalle modifiche della configurazione. Non protegge i contenitori o i BLOB nell'account dall'eliminazione o dalla sovrascrittura. |
Sì |
| Impedire l'eliminazione di una versione del BLOB per un intervallo controllato. | Criteri di immutabilità per una versione del BLOB Ulteriori informazioni... |
Impostare criteri di immutabilità per una singola versione del BLOB per proteggere i documenti critici, ad esempio per soddisfare requisiti di conformità legali o normativi. | Protegge una versione del BLOB dall'eliminazione e dalla sovrascrittura dei relativi metadati. Un'operazione di sovrascrittura implica la creazione di una nuova versione. Se l'immutabilità a livello di versione è abilitata per almeno un contenitore, anche l'account di archiviazione risulta protetto dall'eliminazione. L'eliminazione del contenitore non riesce se nel contenitore esiste almeno un BLOB. |
NO |
| Impedire l'eliminazione o la modifica di un contenitore e dei relativi BLOB per un intervallo controllato. | Criteri di immutabilità per un contenitore Ulteriori informazioni... |
Impostare criteri di immutabilità per un contenitore per proteggere i documenti critici, ad esempio per soddisfare requisiti di conformità legali o normativi. | Protegge un contenitore e i relativi BLOB da tutte le operazioni di eliminazione e sovrascrittura. Quando sono attivi criteri di blocco a fini giudiziari o criteri di conservazione basati sul tempo bloccati, anche l'account di archiviazione risulta protetto dall'eliminazione. I contenitori per i quali non sono stati impostati criteri di immutabilità non sono protetti dall'eliminazione. |
Sì |
| Ripristinare un contenitore eliminato entro un intervallo specificato. | Eliminazione temporanea contenitori Ulteriori informazioni... |
Abilitare l'eliminazione temporanea dei contenitori per tutti gli account di archiviazione, con un intervallo di conservazione minimo di sette giorni. Abilitare il controllo delle versioni e l'eliminazione temporanea dei BLOB, unitamente all'eliminazione temporanea dei contenitori, per proteggere i singoli BLOB presenti in un contenitore. Archiviare i contenitori che richiedono periodi di conservazione diversi in account di archiviazione separati. |
Un contenitore eliminato e il relativo contenuto possono essere ripristinati entro il periodo di conservazione. È possibile ripristinare solo le operazioni a livello di contenitore, ad esempio Elimina contenitore. L'eliminazione temporanea del contenitore non consente di ripristinare un singolo BLOB nel contenitore se tale BLOB viene eliminato. |
Sì |
| Salvare automaticamente lo stato di un BLOB in una versione precedente quando viene sovrascritto. | Controllo delle versioni dei BLOB Ulteriori informazioni... |
Abilitare il controllo delle versioni dei BLOB, unitamente all'eliminazione temporanea dei contenitori e all'eliminazione temporanea dei BLOB, per gli account di archiviazione in cui è necessaria una protezione ottimale per i dati dei BLOB. Archiviare in un account separato i dati dei BLOB che non richiedono il controllo delle versioni per limitare i costi. |
Ogni operazione di sovrascrittura dei BLOB implica la creazione di una nuova versione. La versione corrente di un BLOB può essere ripristinata da una versione precedente se la versione corrente viene eliminata o sovrascritta. | NO |
| Ripristinare un BLOB eliminato o una versione eliminata di un BLOB entro un intervallo specificato. | Eliminazione temporanea dei BLOB Ulteriori informazioni... |
Abilitare l'eliminazione temporanea dei BLOB per tutti gli account di archiviazione, con un intervallo di conservazione minimo di sette giorni. Abilitare il controllo delle versioni dei BLOB e l'eliminazione temporanea dei contenitori, unitamente all'eliminazione temporanea dei BLOB, per una protezione ottimale dei dati del BLOB. Archiviare i BLOB che richiedono periodi di conservazione diversi in account di archiviazione separati. |
Un BLOB eliminato o una versione eliminata di un BLOB può essere ripristinato entro il periodo di conservazione. | Sì |
| Ripristinare un set di BLOB in blocchi a un momento specifico precedente. | Ripristino temporizzato Ulteriori informazioni... |
Per usare il ripristino temporizzato per eseguire il ripristino a uno stato precedente, progettare l'applicazione in modo da eliminare singoli BLOB in blocchi invece di eliminare i contenitori. | È possibile ripristinare un set di BLOB in blocchi allo stato in cui si trovavano in un momento specifico nel passato. Vengono ripristinate solo le operazioni eseguite su BLOB in blocchi. Eventuali operazioni eseguite su contenitori, BLOB di pagine o BLOB di accodamento non vengono ripristinate. |
NO |
| Salvare manualmente lo stato di un BLOB a un momento specifico. | Snapshot del BLOB Ulteriori informazioni... |
Consigliato come alternativa al controllo delle versioni dei BLOB quando il controllo delle versioni non è appropriato per lo scenario, a causa dei costi o di altre considerazioni oppure quando per l'account di archiviazione è abilitato uno spazio dei nomi gerarchico. | Se sovrascritto, un BLOB può essere ripristinato da uno snapshot. Se il BLOB viene eliminato, vengono eliminati anche gli snapshot. | Sì |
| Un BLOB può essere eliminato o sovrascritto, ma i dati vengono copiati regolarmente in un secondo account di archiviazione. | Implementare una soluzione personalizzata per copiare i dati in un secondo account usando la replica di oggetti di Archiviazione di Azure oppure uno strumento come AzCopy o Azure Data Factory. | Consigliato per una protezione ottimale contro azioni intenzionali impreviste o scenari imprevedibili. Creare il secondo account di archiviazione nella stessa area dell'account primario per evitare addebiti in uscita. |
I dati possono essere ripristinati dal secondo account di archiviazione se l'account primario risulta compromesso in qualsiasi modo. | AzCopy e Azure Data Factory sono supportati. La replica di oggetti non è supportata. |
Protezione dati in base al tipo di risorsa
La tabella seguente riepiloga le opzioni di protezione dati di Archiviazione di Azure in base alle risorse protette.
| Opzione di protezione dei dati | Protegge un account dall'eliminazione | Protegge un contenitore dall'eliminazione | Protegge un oggetto dall'eliminazione | Protegge un oggetto da sovrascrizioni |
|---|---|---|---|---|
| Blocco di Azure Resource Manager | Sì | NO | NO | NO |
| Criteri di immutabilità per una versione del BLOB | Sì | Sì | Sì | Sì |
| Criteri di immutabilità per un contenitore | Sì | Sì | Sì | Sì |
| Eliminazione temporanea contenitori | NO | Sì | NO | NO |
| Controllo delle versioni dei BLOB | NO | NO | Sì | Sì |
| Eliminazione temporanea dei BLOB | NO | NO | Sì | Sì |
| Ripristino temporizzato | NO | NO | Sì | Sì |
| Snapshot del BLOB | NO | NO | NO | Sì |
| Soluzione di roll-your-own per copiare i dati in un secondo account | NO | Sì | Sì | Sì |
Comprendere le sfumature della protezione dei dati in Archiviazione di Azure rivela diverse informazioni operative e restrizioni importanti sia per la sicurezza che per la conformità:
- Un blocco di Azure Resource Manager non protegge un contenitore dall'eliminazione, ma solo dall'account di archiviazione stesso.
- L'eliminazione dell'account di archiviazione non riesce se è presente almeno un contenitore in cui è abilitata l'archiviazione immutabile a livello di versione, offrendo protezione dall'eliminazione accidentale dell'account.
- L'eliminazione del contenitore ha esito negativo se nel contenitore esiste almeno un blob, indipendentemente dal fatto che il criterio di immutabilità sia bloccato o sbloccato.
- La sovrascrittura del contenuto della versione corrente del BLOB crea una nuova versione. Un criterio di immutabilità protegge i metadati di una versione dalla sovrascrittura, garantendo l'integrità dei dati.
- Anche se un blocco legale o un criterio di conservazione basato sul tempo bloccato è attivo nell'ambito del contenitore, l'account di archiviazione è protetto anche dall'eliminazione, fornendo protezione della conformità.
- Non attualmente supportato per i carichi di lavoro di Data Lake Storage (si applica al controllo delle versioni dei BLOB e al ripristino temporizzato).
- AzCopy e Azure Data Factory sono opzioni supportate sia per l'archiviazione BLOB che per i carichi di lavoro di Data Lake Storage. La replica di oggetti è supportata solo per i carichi di lavoro di archiviazione BLOB.
Ripristinare i dati eliminati o sovrascritti
Se è necessario ripristinare i dati sovrascritti o eliminati, il modo in cui si procede dipende dalle opzioni di protezione dati abilitate e dalla risorsa interessata. Nella tabella seguente vengono descritte le azioni che è possibile eseguire per ripristinare i dati.
| Risorsa eliminata o sovrascritta | Possibili azioni di ripristino | Requisiti per il ripristino |
|---|---|---|
| Account di archiviazione | Tentativo di ripristino dell'account di archiviazione eliminato |
L'account di archiviazione è stato creato inizialmente con il modello di distribuzione Azure Resource Manager ed è stato eliminato negli ultimi 14 giorni. Non è stato creato un nuovo account di archiviazione con lo stesso nome dopo l'eliminazione dell'account originale. |
| Contenitore | Ripristinare il contenitore eliminato temporaneamente e il relativo contenuto |
L'eliminazione temporanea del contenitore è abilitata e il periodo di conservazione dell'eliminazione temporanea del contenitore non è ancora scaduto. |
| Contenitori e BLOB | Ripristinare i dati da un secondo account di archiviazione | Tutte le operazioni di contenitori e BLOB sono state replicate in un secondo account di archiviazione in modo efficace. |
| BLOB (qualsiasi tipo) | Ripristinare un BLOB da una versione precedente |
Il controllo delle versioni dei BLOB è abilitato e il BLOB dispone di una o più versioni precedenti. |
| BLOB (qualsiasi tipo) | Ripristinare un BLOB eliminato temporaneamente |
L'eliminazione temporanea del BLOB è abilitata e l'intervallo di conservazione dell'eliminazione temporanea non è scaduto. |
| BLOB (qualsiasi tipo) | Ripristinare un BLOB da uno snapshot |
Il BLOB dispone di uno o più snapshot. |
| Set di BLOB in blocchi | Ripristinare un set di BLOB in blocchi allo stato in cui si trovava in un momento precedente |
Il ripristino temporizzato è abilitato e il punto di ripristino rientra nell'intervallo di conservazione. L'account di archiviazione non è stato compromesso o danneggiato. |
| Versione dei BLOB | Ripristinare una versione eliminata temporaneamente |
L'eliminazione temporanea del BLOB è abilitata |
Riepilogo delle considerazioni relative ai costi
| Opzione di protezione dei dati | Considerazioni sul costo |
|---|---|
| Blocco di Azure Resource Manager per un account di archiviazione | Nessun addebito per configurare un blocco in un account di archiviazione. |
| Criteri di immutabilità per una versione del BLOB | Nessun addebito per abilitare la non modificabilità a livello di versione in un contenitore. La creazione, la modifica o l'eliminazione di un criterio di conservazione basato sul tempo o di un blocco a fini giudiziari in una versione dei BLOB comporta un addebito per la transazione di scrittura. |
| Criteri di immutabilità per un contenitore | Nessun addebito per configurare un criterio di non modificabilità in un contenitore. |
| Eliminazione temporanea contenitori | Nessun addebito per abilitare l'eliminazione temporanea del contenitore per un account di archiviazione. I dati contenuti in un contenitore eliminato temporaneamente vengono fatturati alla stessa tariffa dei dati attivi fino a quando il contenitore eliminato temporaneamente non viene eliminato definitivamente. |
| Controllo delle versioni dei BLOB | Nessun addebito per abilitare il controllo delle versioni dei BLOB per un account di archiviazione. Dopo l'abilitazione del controllo delle versioni dei BLOB, ogni operazione di scrittura o eliminazione in un BLOB dell'account crea una nuova versione, con conseguente aumento dei costi di capacità. Una versione dei BLOB viene fatturata in base a blocchi o pagine univoci. I costi aumentano quindi man mano che il BLOB di base si discosta da una versione specifica. La modifica del livello di un BLOB o di una versione dei BLOB può avere un impatto sulla fatturazione. Per altre informazioni, vedere Prezzi e fatturazione. Usare la gestione del ciclo di vita per eliminare le versioni precedenti in base alle esigenze in modo da controllare i costi. Per altre informazioni, vedere Ottimizzare i costi automatizzando i livelli di accesso all'archiviazione BLOB di Azure. |
| Eliminazione temporanea dei BLOB | Nessun addebito per abilitare l'eliminazione temporanea dei BLOB per un account di archiviazione. I dati contenuti in un BLOB eliminato temporaneamente vengono fatturati alla stessa tariffa dei dati attivi fino a quando il BLOB eliminato temporaneamente non viene eliminato definitivamente. |
| Ripristino temporizzato | Nessun addebito per abilitare il ripristino temporizzato per un account di archiviazione. Tuttavia, l'abilitazione del ripristino temporizzato abilita anche il controllo delle versioni dei BLOB, l'eliminazione temporanea e il feed di modifiche, ognuno dei quali può comportare altri addebiti. Il ripristino temporizzato viene fatturato quando si esegue un'operazione di ripristino. Il costo di un'operazione di ripristino dipende dalla quantità di dati da ripristinare. Per altre informazioni, vedere Prezzi e fatturazione. |
| Snapshot di BLOB | I dati in uno snapshot vengono fatturati in base a blocchi o pagine univoci. I costi aumentano quindi man mano che il BLOB di base si discosta dallo snapshot. La modifica del livello di un BLOB o di uno snapshot può avere un impatto sulla fatturazione. Per altre informazioni, vedere Prezzi e fatturazione. Usare la gestione del ciclo di vita per eliminare gli snapshot meno recenti in base alle esigenze per controllare i costi. Per altre informazioni, vedere Ottimizzare i costi automatizzando i livelli di accesso all'archiviazione BLOB di Azure. |
| Copiare i dati in un secondo account di archiviazione | La gestione dei dati in un secondo account di archiviazione comporterà costi di capacità e di transazione. Se il secondo account di archiviazione si trova in un'area diversa da quella dell'account di origine, la copia dei dati nel secondo account comporterà inoltre addebiti in uscita. |
Ripristino di emergenza
Archiviazione di Azure conserva sempre più copie dei dati in modo da proteggerli da eventi pianificati e non pianificati, inclusi errori hardware temporanei, interruzioni della rete o dell'alimentazione e importanti calamità naturali. La ridondanza garantisce che l'account di archiviazione soddisfi gli obiettivi di disponibilità e durabilità anche in presenza di errori.
Se si verifica un errore in un data center e l'account di archiviazione è ridondante in due aree geografiche (con ridondanza geografica), è possibile eseguire il failover dell'account dall'area primaria all'area secondaria. Questa funzionalità è fondamentale per la continuità aziendale e la pianificazione del ripristino di emergenza.
Importante
Il failover gestito dal cliente non è attualmente supportato per gli account di archiviazione con uno spazio dei nomi gerarchico abilitato.
Procedure consigliate per l'implementazione della protezione dei dati
Quando si implementa la protezione dei dati per Azure Storage, prendere in considerazione queste raccomandazioni:
- Implementare la difesa avanzata: usare più meccanismi di protezione insieme. Ad esempio, combinare il controllo delle versioni dei BLOB, l'eliminazione temporanea e i criteri di immutabilità per una protezione completa contro vari tipi di perdita di dati.
- Test regolari: testare periodicamente le procedure di ripristino dei dati per assicurarsi che funzionino come previsto e che il team abbia familiarità con il processo di ripristino.
- Pianificazione del periodo di conservazione: impostare i periodi di conservazione appropriati in base ai requisiti di conformità, ma considerare anche i costi di archiviazione associati alla conservazione dei dati e delle versioni eliminati temporaneamente.
- Usare i criteri di immutabilità per la conformità: per i settori regolamentati, implementare criteri di immutabilità nei contenitori o nelle versioni BLOB per soddisfare i requisiti di conformità WORM (Write Once, Read Many).
- Monitorare lo stato di protezione: usare Monitoraggio di Azure e Criteri di Azure per tenere traccia degli account di archiviazione con funzionalità di protezione dei dati abilitate e identificare eventuali lacune nella strategia di protezione.
- Documentare la strategia: mantenere una documentazione chiara della configurazione della protezione dei dati, incluse le funzionalità abilitate, i periodi di conservazione e le procedure di ripristino.
- Considerare i costi e la protezione: sebbene la protezione dei dati completa sia importante, bilanciare il livello di protezione dai costi di archiviazione. Usare i criteri di gestione del ciclo di vita per eliminare automaticamente le versioni precedenti e gli snapshot in base alle esigenze.
- Ridondanza geografica per i dati critici: per i dati critici per l'azienda, usare l'archiviazione con ridondanza geografica (GRS o GZRS) per garantire la disponibilità dei dati anche se un'intera area non è disponibile.
- Combinare con soluzioni di backup: per una protezione aggiuntiva, è consigliabile usare Backup di Azure per File di Azure o soluzioni di backup di terze parti che offrono opzioni di ripristino aggiuntive e conservazione a lungo termine.