Proteja a sua conta Armazenamento do Azure

O Armazenamento do Azure fornece armazenamento na cloud escalável e duradouro para blobs, ficheiros, filas e tabelas numa única conta de armazenamento. Como uma conta de armazenamento pode conter dados com níveis de sensibilidade muito diferentes e é frequentemente alvo de ataques de exfiltração e ransomware, tome medidas deliberadas para proteger a conta, os dados que detém e as identidades que a acedem.

Este artigo fornece recomendações de segurança para ajudar a proteger a sua conta Armazenamento do Azure. Estas recomendações aplicam-se a todos os serviços de dados na conta (Blobs, Ficheiros, Filas e Tabelas). Para orientações específicas para cada serviço de dados, consulte os artigos relacionados sobre segurança no final deste artigo.

As recomendações de segurança neste artigo implementam os princípios do Confiança Zero: "Verificar explicitamente", "Usar acesso com privilégios mínimos" e "Assumir violação". Para obter orientações abrangentes sobre Confiança Zero, consulte o Centro de Orientação Confiança Zero.

Segurança específica do serviço

O Armazenamento do Azure tem características arquitetónicas que moldam a forma como o implementa de forma segura. As escolhas que faz ao criar uma conta – modelo de implementação, tipo, redundância e configuração do endpoint – são difíceis de alterar mais tarde e afetam a postura de segurança de cada carga de trabalho que utiliza a conta.

Arquitetura da conta de armazenamento

  • Use o modelo de implementação do Azure Resource Manager: Crie novas contas de armazenamento utilizando o modelo de implementação do Azure Resource Manager. As contas do Resource Manager suportam controlo de acesso baseado em papéis (RBAC) no Azure, identidades geridas, autorização Microsoft Entra ID para dados, bloqueios de recursos, etiquetas e políticas – nenhum dos quais está disponível no modelo clássico de implementação. Migra todas as contas clássicas que remantem. Para mais informações, consulte Migrar uma conta de armazenamento clássica para o Azure Resource Manager.

  • Separe contas de armazenamento por carga de trabalho, ambiente e sensibilidade: Crie contas separadas para desenvolvimento, pré-produção e produção, e contas separadas para dados de diferentes classificações de sensibilidade. Uma conta de armazenamento é uma fronteira de confiança baseada em chave partilhada e uma fronteira de política — misturar cargas de trabalho numa única conta aumenta o impacto de um comprometimento e torna mais difícil modelar o acesso com o menor privilégio.

  • Utilize uma conta por região para isolamento regional: Colocar as contas na região onde são executadas as cargas de trabalho que as utilizam reduz a transferência de dados entre regiões e simplifica as fronteiras de conformidade. Para designs multirregionais, emparelhe contas regionais com armazenamento geo-redundante ou replicação de objetos, em vez de servir todas as regiões a partir de uma única conta. Para obter mais informações, consulte redundância de armazenamento do Azure.

Uso apropriado do Armazenamento do Azure

  • Não use chaves de conta do Armazenamento do Azure como credenciais de aplicação duradouras: As chaves de conta de armazenamento concedem controlo total da conta e não podem ser abrangidas pelo âmbito do alcance. As aplicações devem usar o Microsoft Entra ID com identidades geridas ou, quando o Entra ID não for uma opção, tokens de assinatura partilhada de acesso por delegação de utilizadores (SAS) de curta duração. Para mais informações, consulte Autorizar o acesso a dados em Armazenamento do Azure.

  • Não use o Armazenamento do Azure como um armazenamento de segredos de uso geral: segredos, strings de ligação e certificados pertencem ao Azure Key Vault, que fornece rotação, políticas de acesso, proteção do módulo de segurança de hardware (HSM) e registos de auditoria. Para mais informações, consulte a visão geral do Azure Key Vault.

Segurança de rede

As contas de armazenamento são acessíveis pela internet por defeito. Reduzir a superfície de ataque de rede é a mudança mais eficaz que pode fazer para proteger uma conta contra acessos não autorizados, exfiltração de dados e reconhecimento.

  • Desative o acesso à rede pública à conta de armazenamento: Quando os seus clientes estiverem totalmente no Azure ou acessíveis através do Private Link, defina o acesso público da conta para Desativado, de modo a que apenas os pedidos através de endpoints privados sejam aceites. Para obter mais informações, consulte Configurar firewalls de armazenamento do Azure e redes virtuais.

  • Utilize pontos finais privados para acesso a partir de redes virtuais: Um ponto final privado atribui à conta de armazenamento um endereço IP privado da sua rede virtual e encaminha o tráfego através da rede principal da Microsoft. Combinado com o acesso à rede pública desativado, os endpoints privados eliminam a exposição à internet. Para obter mais informações, consulte Utilização de pontos finais privados para o Armazenamento do Azure.

  • Restringa o acesso público com o firewall de armazenamento quando os endpoints privados não forem práticos: Se os clientes tiverem de aceder à conta por rede pública, defina a ação padrão do firewall para Negar e permita apenas os intervalos de IP específicos, sub-redes virtuais de rede (via endpoints de serviço) ou instâncias de recursos que necessitem de acesso. Para obter mais informações, consulte Configurar firewalls de armazenamento do Azure e redes virtuais.

    • Permitir serviços Microsoft de confiança quando necessitam de aceder à conta: as regras de firewall de negação por predefinição bloqueiam pedidos de outros serviços do Azure (por exemplo, Azure Backup, Log Analytics e Microsoft Defender for Storage), bem como do portal do Azure e dos fluxos de diagnóstico. Adicione a opção Permitir serviços Azure na lista de serviços de confiança para aceder a esta exceção de conta de armazenamento, para que os serviços de primeira parte em que confia possam aceder à conta sem a abrir para a internet pública. Para mais informações, consulte Conceder acesso a serviços de Azure de confiança.

    • Conceder acesso a instâncias específicas de recursos em vez de serviços confiáveis de forma geral: Prefira regras de instância de recursos, que autorizam um recurso Azure nomeado e a sua identidade gerida, em vez da exceção geral "Permitir serviços Microsoft confiáveis". As regras de instância de recursos proporcionam uma superfície de confiança mais reduzida. Para obter mais informações, consulte Conceder acesso às instâncias de recursos do Azure.

  • Associe contas de armazenamento a um perímetro de segurança de rede: Um perímetro de segurança de rede define limites lógicos entre recursos de plataforma como serviço e bloqueia, por predefinição, o tráfego fora do perímetro, fornecendo uma defesa em profundidade para além das regras de firewall de cada conta. Para mais informações, consulte Perímetro de Segurança de Rede para Armazenamento do Azure.

  • Impor uma versão mínima TLS de 1.2 ou posterior: Configure a versão mínima TLS da conta de armazenamento para rejeitar clientes que negociam versões antigas e obsoletas. Para mais informações, consulte Configurar a versão mínima obrigatória do Transport Layer Security (TLS) para uma conta de armazenamento.

  • Exigir transferência segura (HTTPS): Permitir que a propriedade necessária para transferência segura rejeite qualquer pedido feito via HTTP. Este requisito aplica-se tanto aos endpoints REST como ao acesso SMB ao Ficheiros do Azure. Para mais informações, consulte Exigir transferência segura para uma conta de armazenamento.

    • Alguns cenários, como clientes PME mais antigos ou ferramentas legadas, requerem HTTP. Nesses casos, isole esses clientes num segmento de rede controlado e migre-os para fora do HTTP o mais rapidamente possível.

  • Restrinja a replicação de objetos entre locatários e as operações de cópia: Configure a conta de armazenamento para permitir operações de cópia e de replicação de objetos apenas a partir de contas de origem no mesmo locatário ou apenas a partir de contas de origem incluídas na lista de permissões. Esta configuração impede o movimento de dados através dos limites dos inquilinos por utilizadores que detêm permissões no plano de dados. Para mais informações, consulte Âmbito permitido para operações de cópia e Impedir a replicação de objetos entre os inquilinos Microsoft Entra.

  • Utilize etiquetas de serviço de VNet em regras de saída para o Armazenamento do Azure: Ao restringir o tráfego de saída de uma rede virtual para o Armazenamento do Azure, utilize a etiqueta de serviço Storage (ou a variante específica da região) em vez de intervalos de IP definidos de forma fixa. A Microsoft mantém a etiqueta de serviço à medida que o espaço IP evolui. Para obter mais informações, consulte Visão geral das marcas de serviço do Azure.

  • Preferir a rede global da Microsoft para o encaminhamento de entrada: Configure a preferência de encaminhamento de rede da conta de armazenamento para o encaminhamento pela rede da Microsoft, de modo a que o tráfego de entrada entre na rede principal da Microsoft no ponto de presença mais próximo do cliente e permaneça na rede da Microsoft de ponta a ponta. O encaminhamento de Internet sai da rede da Microsoft mais cedo e aumenta a exposição ao percurso da Internet pública. Para obter mais informações, consulte Configurar preferência de roteamento de rede para o Armazenamento do Azure.

Gestão de identidade e acesso

As contas de armazenamento suportam dois modelos de autorização: Microsoft Entra ID (baseado em identidade, auditável, revogável) e Chave Partilhada (um segredo simétrico com acesso total à conta). Mude as cargas de trabalho para o Microsoft Entra ID sempre que possível e trate a Chave Partilhada como um recurso legado.

  • Use o Microsoft Entra ID para autorizar o acesso a dados: A autorização do Microsoft Entra ID utiliza tokens OAuth 2.0 e integra-se com o Acesso Condicional, identidades geridas e registos de auditoria RBAC. É superior em todos os aspetos ao Shared Key no que diz respeito ao acesso ao plano de dados. Para mais informações, consulte Autorizar o acesso a dados em Armazenamento do Azure.

  • Desativar a autorização com Chave Partilhada: Defina a propriedade allowSharedKeyAccess como false para que a conta rejeite qualquer pedido assinado com as chaves da conta. São aceites apenas pedidos Microsoft Entra ID e, quando aplicável, pedidos SAS de delegação de utilizador. Para obter mais informações, consulte Impedir autorização de chave compartilhada para uma conta de armazenamento do Azure.

  • Atribua funções RBAC no menor âmbito razoável: Atribua as funções incorporadas do plano de dados do Storage (por exemplo, Leitor de Dados de Blobs do Storage, Contribuidor de Dados de Filas do Storage) ao nível do contentor, da partilha, da fila ou da tabela, quando possível, em vez de ao nível da conta ou da subscrição. Para mais informações, consulte Autorizar o acesso a blobs usando controlo de acesso baseado em papéis no Azure.

    • Adicionar condições ABAC para restringir ainda mais o acesso ao plano de dados: o controlo de acesso baseado em atributos (ABAC) do Azure permite anexar condições às atribuições de funções – por exemplo, restringir o acesso a blobs com uma etiqueta de índice específica ou sob um prefixo de caminho específico. Para mais informações, consulte Autorizar o acesso a blobs usando atribuições de funções no Azure com condições ABAC.

  • Utilize uma SAS de delegação de utilizador em vez de uma SAS de serviço ou de conta quando for necessária uma SAS: Uma SAS de delegação de utilizador é assinada com credenciais do Microsoft Entra em vez da chave da conta, pelo que a revogação da chave de delegação de utilizador invalida imediatamente todas as SAS emitidas a partir dela. Os tokens SAS de serviço e de conta assinados com chaves de conta não podem ser revogados individualmente. Para obter mais informações, consulte Conceder acesso limitado aos recursos do Armazenamento do Azure usando assinaturas de acesso compartilhado (SAS).

  • Se tiver de usar chaves de conta, proteja-as e roda-as: Armazene as chaves de conta no Azure Key Vault, recupere-as em tempo de execução em vez de as incorporar na configuração, e roda-as numa cadência definida. Tenha um procedimento de rotação documentado que evite a indisponibilidade utilizando ambas as chaves durante a rotação. Para obter mais informações, veja Gerir as chaves de acesso à conta de armazenamento.

  • Atribua funções de armazenamento privilegiadas just-in-time com o Microsoft Entra Privileged Identity Management (PIM): Para funções que permitem alterações no plano de gestão do armazenamento (como Storage Account Contributor ou Owner), exija ativação através do PIM, com aprovação e autenticação multifator, em vez de atribuições permanentes. Para obter mais informações, consulte O que é o Microsoft Entra Privileged Identity Management?.

Proteção de dados

O Armazenamento do Azure encripta, por defeito, todos os dados em repouso com chaves geridas pela Microsoft. As recomendações desta secção acrescentam controlo do cliente, protegem contra modificações acidentais ou maliciosas e reduzem a exposição de dados em trânsito e em repouso.

  • Configure chaves geridas pelo cliente (CMK) para encriptação em repouso: Use uma chave que gere no Azure Key Vault ou HSM Gerido como chave de encriptação da conta. O CMK permite-lhe alternar, auditar e revogar a chave de encriptação de forma independente das chaves geridas pela Microsoft. Suporta requisitos de conformidade que obrigam ao controlo das chaves do cliente. Para mais informações, consulte Chaves geridas pelo cliente para encriptação Armazenamento do Azure.

  • Ative a encriptação da infraestrutura para dupla encriptação de defesa em profundidade: A encriptação da infraestrutura aplica uma segunda camada de encriptação gerida por serviços sobre a camada principal de encriptação. Deves ativá-lo na criação da conta. Para mais informações, consulte Ativar encriptação de infraestrutura para dupla encriptação de dados.

  • Utilize âmbitos de encriptação para isolar a encriptação de contentores ou blobs específicos: Os âmbitos de encriptação permitem aplicar chaves diferentes ou políticas de rotação de chaves distintas, com granularidade ao nível do contentor ou do blob, numa única conta. Esta funcionalidade é útil para cargas de trabalho multicliente que partilham uma conta, mas necessitam de controlo de chaves por cliente. Para mais informações, veja Scope de encriptação para Armazenamento de Blobs.

  • Ativar a encriptação do Armazenamento do Azure para todos os dados em trânsito: Combinar Secure transfer required = enabled (ver Segurança de rede) com uma versão mínima TLS 1.2 ou posterior. Juntos, garantem que a conta rejeita tanto ligações não encriptadas como ligações fracamente encriptadas.

  • Use encriptação do lado do cliente para os dados mais sensíveis: Para dados cujo texto simples nunca deve aparecer no servidor, encripte o cliente antes do upload. A encriptação do lado do cliente é complementar à encriptação do lado do serviço e pode ser usada em conjunto com o CMK para proteção em camadas. Para suporte e padrões de SDK por serviço, consulte artigos de segurança relacionados.

  • Proteja a conta de armazenamento com um bloqueio de recursos: Aplique um bloqueio CanNotDelete ou ReadOnly para evitar eliminação ou reconfiguração acidental ou maliciosa da própria conta. Os bloqueios aplicam-se ao recurso da conta, não aos dados dentro dele, por isso complementam – não substituem – a eliminação suave e a imutabilidade. Para obter mais informações, consulte Aplicar um bloqueio do Azure Resource Manager a uma conta de armazenamento.

Para funcionalidades de proteção de dados específicas do serviço de dados (políticas de imutabilidade e WORM de blobs, âmbitos de encriptação de blobs), consulte o subartigo correspondente em Artigos relacionados sobre segurança.

Registo e monitorização

As contas de armazenamento são alvos frequentes de roubo de credenciais, tentativas de exfiltração e má configuração. É necessário registos contínuos e deteção de ameaças para detetar e responder rapidamente a ataques.

  • Ative o Microsoft Defender para Armazenamento: O Defender para Armazenamento fornece deteção de ameaças, análise de malware no upload para blobs e descoberta de dados sensíveis. Sinaliza padrões de acesso anómalos, IPs maliciosos conhecidos e saídas do Tor, e atividades de autenticação invulgares. Ative-o ao nível da subscrição ou da conta de armazenamento. Para mais informações, consulte Visão Geral do Microsoft Defender para Armazenamento.

    • Permitir a análise de malware para carregar blobs em contas que aceitam conteúdo não confiável: A análise de malware inspeciona os blobs carregados e marca ou remove conteúdo malicioso antes de poder ser servido aos consumidores a jusante. Para mais informações, consulte Análise de Malware no Defender para Armazenamento.

    • Permitir a deteção de ameaças de dados sensíveis: A descoberta de dados sensíveis classifica os dados na conta e prioriza alertas em contentores que contêm informações sensíveis. Para mais informações, consulte Descoberta de dados sensíveis no Defender for Storage.

  • Enviar definições de diagnóstico para um espaço de trabalho do Log Analytics: Configurar as definições de diagnóstico na conta e em cada serviço de dados (Blobs, Ficheiros, Filas, Tabelas) para enviar StorageRead, StorageWrite, e StorageDelete logs, além de todas as métricas, para o Log Analytics. Guarde registos durante o período exigido pelas suas obrigações de conformidade. Para obter mais informações, consulte Monitorar o Armazenamento do Azure.

  • Auditar como cada pedido é autorizado: Os registos de armazenamento registam se cada pedido foi autorizado com Microsoft Entra ID, Chave Partilhada, SAS ou anonimamente. Consulta os registos regularmente para detetar métodos de autorização inesperados, especialmente o uso de Chave Partilhada depois de o desativar ou o acesso anónimo depois de o desativar. Para mais informações, consulte Monitorizar pedidos contra o Armazenamento do Azure.

  • Alerta em eventos de segurança de alto sinal: Configure alertas do Azure Monitor para eventos como regeneração de chaves, alterações nas regras do firewall, alterações no acesso à rede pública, uso de chaves partilhadas em contas onde deva estar desativado e alertas do Defender para Armazenamento. Para obter mais informações, consulte Registrar alertas no Azure Monitor.

  • Encaminhe registos para um SIEM central: Para resposta em escala empresarial, encaminhe registos de armazenamento do Log Analytics para o Microsoft Sentinel ou outro SIEM, de modo a que os eventos de armazenamento se correlacionem com sinais de identidade, rede e endpoint. Para mais informações, consulte Connect Armazenamento do Azure to Microsoft Sentinel.

Conformidade e governança

Os controlos de governação tornam as configurações seguras como padrão e detetam deriva automaticamente. Para qualquer ambiente de armazenamento com mais do que um punhado de contas, a aplicação de políticas é a única forma sustentável de manter a linha de base consistente.

  • Aplique o Azure Policy para garantir a segurança básica do armazenamento: Atribua políticas incorporadas que bloqueiam configurações inseguras no momento da implementação e audite contas existentes. As funcionalidades incorporadas de elevado valor incluem: exigir a transferência segura, exigir o TLS 1.2 como mínimo, bloquear o acesso à rede pública, bloquear o acesso público a blobs, exigir encriptação da infraestrutura e exigir chaves geridas pelo cliente (CMK). Para uma lista completa, consulte as definições incorporadas do Azure Policy para Armazenamento do Azure e Azure Policy Regulatory Compliance controls for Armazenamento do Azure.

  • Use o Microsoft Cloud Security Benchmark (MCSB) como base: Alinhe os controlos de armazenamento com os domínios MCSB v2 para uma postura de segurança consistente entre os serviços. Para mais informações, consulte a Visão Geral do benchmark de segurança cloud da Microsoft.

  • Etiquetar contas de armazenamento com proprietário, classificação de dados e ambiente: Políticas de governação, gestão de custos e resposta a incidentes dependem todas de uma marcação consistente. Aplique etiquetas via Azure Policy para que não possam ser omitidas na criação.

  • Revise as ofertas de conformidade antes de armazenar dados regulados: o Armazenamento do Azure possui certificações para quadros regulatórios comuns (HIPAA, PCI DSS, FedRAMP, ISO 27001, entre outros). Confirme a cobertura para a sua carga de trabalho antes da implantação. Para mais informações, consulte as ofertas de conformidade do Armazenamento do Azure.

Backup e recuperação

Redundância entre regiões e procedimentos de failover validados proporcionam resiliência regional para a própria conta de armazenamento. Para proteção contra eliminação específica de serviços de dados (eliminação suave de blobs, versionamento de blobs, alimentação de alterações, restauração pontual no tempo, eliminação suave de partilha de ficheiros e snapshots), consulte o subartigo correspondente em Artigos relacionados de segurança.

  • Escolha uma opção de redundância adequada para as suas necessidades de recuperação: Armazenamento geo-redundante (GRS/RA-GRS/GZRS/RA-GZRS) replica dados para uma região emparelhada e suporta o failover iniciado pelo cliente para resiliência regional. O armazenamento redundante de zona (ZRS/GZRS) protege contra falhas ao nível da zona dentro de uma região. Para obter mais informações, consulte redundância de armazenamento do Azure.

  • Não conte com a geo-redundância como proteção contra ransomware: a replicação com redundância geográfica replica os dados — e qualquer corrupção ou eliminação maliciosa — para a região emparelhada. Combine o GRS com políticas de imutabilidade, eliminação recuperável e controlo de versões para proteção contra ransomware e adulteração. Para mais informações, consulte as funcionalidades de proteção de dados no Armazenamento do Azure.

  • Pratique o failover e o failback iniciados pelo cliente: Para contas com RA-GRS ou RA-GZRS, realize um exercício planeado de failover para validar o seu procedimento de recuperação antes de precisar dele. Para mais informações, consulte Recuperação de desastres e failover da conta de armazenamento.

Para orientações de segurança específicas para cada serviço de dados do Armazenamento do Azure, veja:

Passos seguintes

  • Última atualização a