Выбор и настройка подходящих методов для защиты от угроз безопасности данных, включая обратимое удаление, резервное копирование, управление версиями и неизменяемое хранилище
Служба Azure Storage обеспечивает всестороннюю защиту данных для Blob Storage и Azure Data Lake Storage Gen2, чтобы помочь вам подготовиться к сценариям, требующим восстановления данных после их удаления или перезаписи. Защита данных является критически важным компонентом стратегии безопасности, выравнивая принципы нулевого доверия, предполагая нарушение и обеспечивая восстановление после инцидентов безопасности. Важно подумать о том, как лучше защитить данные до возникновения инцидента, который может скомпрометировать его, будь то от вредоносных субъектов, случайного удаления или операционных ошибок.
Рекомендации по базовой защите данных
Если для учетной записи хранения и содержащихся в ней данных необходимо обеспечить базовую защиту, то корпорация Майкрософт рекомендует выполнить действия, описанные ниже.
- Настройте блокировку Azure Resource Manager для учетной записи хранения, чтобы защитить учетную запись от удаления или изменения конфигурации. Это предотвращает случайное или несанкционированное удаление всей учетной записи хранения.
- Включите обратимое удаление контейнера для учетной записи хранения для восстановления удаленного контейнера и его содержимого. Это обеспечивает защиту от случайного удаления контейнера.
-
Сохраните состояние blob с регулярными интервалами:
- Для рабочих нагрузок хранилища BLOB-объектов включите управление версиями BLOB-объектов, чтобы автоматически сохранять состояние данных при каждой перезаписи BLOB-объекта.
- Для рабочих нагрузок Azure Data Lake Storage делайте моментальные снимки вручную, чтобы сохранять состояние данных в определенный момент времени.
Общие сведения о вариантах защиты данных
В таблице, представленной ниже, приведены варианты, доступные в службе хранилища Microsoft Azure для распространенных сценариев защиты данных. Выберите сценарии, применимые к вашей ситуации, чтобы получить дополнительные сведения о доступных параметрах. В настоящее время для учетных записей хранения с включенным иерархическим пространством имен доступны не все функции.
Примечание по безопасности. Реализация нескольких уровней защиты данных обеспечивает глубинную защиту и гарантирует, что вы можете восстановиться от различных типов инцидентов, включая атаки программ-шантажистов, случайные удаления и изменения вредоносных данных.
| Сценарий | Параметр защиты данных | Рекомендации | Преимущество защиты | Доступно для Data Lake Storage |
|---|---|---|---|---|
| Предотвращение удаления или изменения учетной записи хранения. | Блокировка Azure Resource Manager Подробнее... |
Заблокируйте все учетные записи хранения с блокировкой Azure Resource Manager, чтобы предотвратить удаление учетной записи хранения. | Защищает учетную запись хранения от удаления или изменений конфигурации. Не защищает контейнеры и BLOB-объекты в учетной записи от удаления или перезаписи. |
Да |
| Предотвращение удаления версии BLOB-объекта в течение заданного интервала. | Политика неизменности версии BLOB-объекта Подробнее... |
Установите политику неизменяемости отдельной версии BLOB-объектов для защиты критически важных для бизнеса документов, например, чтобы обеспечить соответствие законодательным или нормативным требованиям. | Защищает версию BLOB-объекта от удаления и ее метаданные от перезаписи. Операция перезаписи создает версию. Если по крайней мере в одном контейнере включена политика неизменности на уровне версии, учетная запись хранения также будет защищена от удаления. Удаление контейнера завершается сбоем, если в нем существует хотя бы один BLOB-объект. |
нет |
| Предотвращает удаление или изменение контейнера и его BLOB-объектов в течение заданного интервала. | Политика неизменяемости контейнера Подробнее... |
Установите политику неизменяемости контейнера для защиты критически важных для бизнеса документов, например, чтобы обеспечить соответствие законодательным или нормативным требованиям. | Защищает контейнер и его BLOB-объекты от всех операций удаления и перезаписи. Если действует удержание по юридическим причинам или заблокирована политика хранения на основе времени, учетная запись хранения также защищена от удаления. Контейнеры, для которых не задана политика неизменяемости, не защищены от удаления. |
Да |
| Восстановление удаленного контейнера в течение указанного интервала. | Обратимое удаление контейнера Подробнее... |
Включите обратимое удаление контейнера для всех учетных записей хранения с минимальным 7-дневным интервалом хранения. Включите управление версиями BLOB-объектов и обратимое удаление BLOB-объектов, а также обратимое удаление контейнера, чтобы защитить отдельные BLOB-объекты в контейнере. Храните контейнеры, для которых требуются разные периоды хранения, в отдельных учетных записях хранения. |
Удаленный контейнер и его содержимое можно восстанавливать в течение периода хранения. Восстановлению подлежат только операции уровня контейнера (например, операция Удалить контейнер). Обратимое удаление контейнера не позволяет восстановить отдельный BLOB-объект в контейнере, если этот BLOB-объект удален. |
Да |
| Автоматическое сохранение состояния BLOB-объекта в предыдущей версии при перезаписи. | Управление версиями BLOB-объекта Подробнее... |
Включите управление версиями BLOB-объектов, обратимое удаление контейнера и обратимое удаление BLOB-объектов для учетных записей хранения, где требуется оптимальная защита данных BLOB-объектов. Храните данные BLOB-объектов, не требующие управления версиями, в отдельной учетной записи для ограничения затрат. |
Каждая операция записи BLOB-объекта создает новую версию. Текущая версия BLOB-объекта может быть восстановлена из предыдущей версии, если текущая версия удалена или перезаписана. | нет |
| Восстановление удаленного BLOB-объекта или версии BLOB-объекта в течение указанного интервала. | Обратимое удаление BLOB-объекта Подробнее... |
Включите обратимое удаление BLOB-объекта для всех учетных записей хранения с минимальным 7-дневным интервалом хранения. Включите управление версиями BLOB-объектов и обратимое удаление контейнеров, а также обратимое удаление BLOB-объектов для оптимизации защиты данных BLOB-объектов. Храните BLOB-объекты, для которых требуются разные периоды хранения, в отдельных учетных записях хранения. |
Удаленный BLOB-объект или версию BLOB-объекта можно восстановить в течение периода хранения. | Да |
| Восстановление набора блочных BLOB-объектов до состояния на предыдущий момент времени. | Восстановление на определенный момент времени Подробнее... |
Чтобы применить восстановление на момент времени для возвращения к более раннему состоянию, создайте приложение для удаления отдельных блочных BLOB-объектов, а не удаления контейнеров. | Набор блочных BLOB-объектов можно вернуть в состояние на определенный момент в прошлом. Обращению подлежат только операции, выполняемые с блочными BLOB-объектами. Любые операции, выполняемые с контейнерами, страничными BLOB-объектами или добавленными BLOB-объектами, не подлежат обращению. |
нет |
| Сохранение состояния BLOB-объекта на определенный момент времени. | Моментальный снимок большого двоичного объекта Подробнее... |
Рекомендуется в качестве альтернативы управления версиями BLOB-объектов, если управление версиями не подходит для вашего сценария из-за затрат или других соображений, а также если в учетной записи хранения включено иерархическое пространство имен. | BLOB-объект можно восстановить из моментального снимка, если он перезаписан. При удалении BLOB-объекта моментальные снимки также удаляются. | Да |
| BLOB-объект можно удалить или перезаписать, однако данные регулярно копируются во вторую учетную запись хранения. | Выполните откат собственного решения для копирования данных во вторую учетную запись с помощью репликации объектов службы хранилища Microsoft Azure или средства, подобного AzCopy, или Фабрики данных Azure. | Рекомендуется для обеспечения защиты от непредвиденных намеренных действий или непредсказуемых ситуаций. Создайте вторую учетную запись хранения в том же регионе, что и основная учетная запись, чтобы избежать оплаты исходящего трафика. |
Данные можно восстановить из второй учетной записи хранения, если основная учетная запись будет каким-либо образом повреждена. | AzCopy и Фабрика данных Azure поддерживаются. Репликация объектов не поддерживается. |
Защита данных по типу ресурса
В следующей таблице приведены варианты защиты данных службы хранилища Microsoft Azure в соответствии с защищаемыми ресурсами.
| Параметр защиты данных | Защита учетной записи от удаления | Защита контейнера от удаления | Защита объекта от удаления | Защищает объект от перезаписи |
|---|---|---|---|---|
| Блокировка Azure Resource Manager | Да | нет | нет | нет |
| Политика неизменности версии BLOB-объекта | Да | Да | Да | Да |
| Политика неизменяемости контейнера | Да | Да | Да | Да |
| Обратимое удаление контейнера | нет | Да | нет | нет |
| Управление версиями BLOB-объекта | нет | нет | Да | Да |
| Обратимое удаление BLOB-объекта | нет | нет | Да | Да |
| Восстановление на определенный момент времени | нет | нет | Да | Да |
| Моментальный снимок большого двоичного объекта | нет | нет | нет | Да |
| Развертывание собственного решения для копирования данных во вторую учетную запись | нет | Да | Да | Да |
Понимание нюансов защиты данных в службе хранилища Azure показывает несколько операционных аналитических сведений и ограничений, важных как для безопасности, так и для соответствия требованиям.
- Блокировка Azure Resource Manager не защищает контейнер от удаления только самой учетной записи хранения.
- Удаление аккаунта хранения не удается, если есть хотя бы один контейнер с неизменяемым хранилищем на уровне версий, что обеспечивает защиту от случайного удаления аккаунта.
- Ошибка удаления контейнера возникает, если в контейнере существует хотя бы один BLOB, независимо от того, заблокирована или разблокирована политика неизменяемости.
- Перезапись содержимого текущей версии большого двоичного объекта создает новую версию. Политика неизменяемости защищает метаданные версии от перезаписи, обеспечивая целостность данных.
- Хотя юридическое удержание или заблокированная временная политика хранения действует на уровне контейнера, учетная запись хранения также защищена от удаления, обеспечивая соответствие требованиям.
- В настоящее время не поддерживается для нагрузок "Data Lake Storage" (применяется к версиям объектов BLOB и восстановлению на определенный момент времени).
- AzCopy и Фабрика данных Azure — это параметры, поддерживаемые для рабочих нагрузок хранилища BLOB-объектов и Data Lake Storage. Репликация объектов поддерживается только для рабочих нагрузок хранилища BLOB-объектов.
Восстановление удаленных или перезаписанных данных
Если необходимо восстановить удаленные или перезаписанные данные, способ действий зависит от активированных вариантов защиты данных, а также затронутых ресурсов. В следующей таблице описаны действия, которые можно предпринять для восстановления данных.
| Удаленный или перезаписанный ресурс | Возможные действия восстановления | Требования к восстановлению |
|---|---|---|
| учетная запись хранения | Попытаться восстановить удаленную учетную запись хранения |
Учетная запись хранения изначально была создана с помощью модели развертывания Azure Resource Manager и была удалена в период последних 14 дней. Новая учетная запись хранения с таким же именем не должна быть создана после удаления исходной учетной записи. |
| Контейнер | Восстановление обратимо удаленного контейнера и его содержимого |
Обратимое удаление контейнера включено, и срок хранения для обратимого удаления контейнера еще не истек. |
| Контейнеры и BLOB-объекты | Восстановление данных из второй учетной записи хранения | Все операции с контейнерами и BLOB-объектами были эффективно реплицированы во вторую учетную запись хранения. |
| BLOB-объект (любой тип) | Восстановление большого двоичного объекта из предыдущей версии |
Управление версиями BLOB-объектов включено, и для BLOB-объекта имеется одна или несколько предыдущих версий. |
| BLOB-объект (любой тип) | Восстановление обратимо удаленного BLOB-объекта |
Обратимое удаление BLOB-объекта включено, и срок хранения для обратимого удаления не истек. |
| BLOB-объект (любой тип) | Восстановление BLOB-объекта из моментального снимка |
Для BLOB-объекта имеется один или несколько моментальных снимков. |
| Набор блочных BLOB-объектов | Восстановление набора блочных BLOB-объектов в их состоянии в более ранний момент времени |
Восстановление на момент времени включено, и точка восстановления находится в пределах интервала хранения. Учетная запись хранения не была скомпрометирована или повреждена. |
| Версия BLOB-объекта | Восстановление обратимой версии |
Обратимое удаление BLOB-объектов включено |
Рекомендации по затратам
| Параметр защиты данных | Рекомендации по затратам |
|---|---|
| Блокировка Azure Resource Manager для учетной записи хранения | Бесплатная настройка блокировки учетной записи хранения. |
| Политика неизменности версии BLOB-объекта | Бесплатное включение политики неизменности на уровне версии в контейнере. Создание, изменение или удаление политики хранения на основе времени или удержания по юридическим причинам для версии BLOB-объекта оплачивается из расчета за транзакцию записи. |
| Политика неизменяемости контейнера | Бесплатная настройка политики неизменяемости для контейнера. |
| Обратимое удаление контейнера | Бесплатное включение обратимого удаления контейнера для учетной записи хранения. Данные в обратимо удаленном контейнере оплачиваются по той же ставке, что и активные данные, пока обратимо удаленный контейнер не будет окончательно удален. |
| Управление версиями BLOB-объекта | Бесплатное включение управления версиями BLOB-объектов для учетной записи хранения. После включения управления версиями BLOB-объектов каждая операция записи или удаления в BLOB-объекте в учетной записи создает новую версию, что может привести к увеличению затрат на ресурсы. Плата за версию BLOB-объекта взимается на основе уникальных блоков или страниц. Таким образом, затраты увеличиваются, поскольку BLOB-объект отличается от определенной версии. Изменение уровня BLOB-объекта или версии BLOB-объекта может оказать влияние на затраты. Дополнительные сведения см. в статье Цены и выставление счетов. Используйте функцию управления жизненным циклом для удаления старых версий по мере необходимости, чтобы контролировать затраты. Дополнительные сведения см. в статье Оптимизация затрат путем автоматизации уровней доступа к Хранилищу BLOB-объектов Azure. |
| Обратимое удаление BLOB-объекта | Бесплатное включение обратимого удаления BLOB-объекта для учетной записи хранения. Данные в обратимо удаленном BLOB-объекте оплачиваются по той же ставке, что и активные данные, пока обратимо удаленный BLOB-объект не будет окончательно удален. |
| Восстановление на определенный момент времени | За включение восстановления на момент времени для учетной записи хранения плата не взимается. Однако включение восстановления на момент времени также позволяет использовать управление версиями BLOB-объектов, обратимое удаление и канал изменений, что может привести к дополнительным издержкам. При выполнении операции восстановления оплачивается восстановление на момент времени. Стоимость операции восстановления зависит от объема восстанавливаемых данных. Дополнительные сведения см. в статье Цены и выставление счетов. |
| Моментальные снимки BLOB-объектов | Данные в моментальном снимке оплачиваются на основе объема уникальных блоков или страниц. Таким образом, затраты увеличиваются, поскольку BLOB-объект отличается от моментального снимка. Изменение уровня BLOB-объекта или моментального снимка может оказать влияние на затраты. Дополнительные сведения см. в статье Цены и выставление счетов. Используйте функцию управления жизненным циклом для удаления старых моментальных снимков по мере необходимости, чтобы контролировать затраты. Дополнительные сведения см. в статье Оптимизация затрат путем автоматизации уровней доступа к Хранилищу BLOB-объектов Azure. |
| Копирование данных во вторую учетную запись хранения | Хранение данных во второй учетной записи хранения повлечет за собой затраты за объем и стоимость операций. Если вторая учетная запись хранения размещена в регионе, отличном от региона исходной учетной записи, то при копировании данных во вторую учетную запись также будет взиматься плата за исходящий трафик. |
Аварийное восстановление
В службе хранилища Microsoft Azure всегда хранится несколько копий данных для защиты от запланированных и незапланированных событий, включая временные сбои оборудования, сети или энергоснабжения, масштабные стихийные бедствия и т. д. Избыточность гарантирует, что учетная запись хранения будет соответствовать целям доступности и устойчивости даже в случае сбоев.
Если в центре обработки данных возникает сбой, а учетная запись хранения является геоизбыточной в двух географических регионах, вы можете переключить учетную запись с первичного региона на вторичный регион. Эта возможность имеет решающее значение для обеспечения непрерывности бизнес-процессов и планирования аварийного восстановления.
Это важно
В настоящее время управляемая клиентом отработка отказа не поддерживается для учетных записей хранения с включенным иерархическим пространством имен.
Рекомендации по реализации защиты данных
При реализации защиты данных для службы хранилища Azure рассмотрите следующие рекомендации:
- Реализуйте более подробную защиту: используйте несколько механизмов защиты вместе. Например, объедините версионирование BLOB, обратимое удаление и политики неизменяемости для всесторонней защиты от различных типов потери данных.
- Регулярное тестирование. Периодически тестируйте процедуры восстановления данных, чтобы убедиться, что они работают должным образом и что ваша команда знакома с процессом восстановления.
- Планирование периода хранения: Установите соответствующие периоды хранения на основе ваших требований к соблюдению, а также учитывайте затраты на хранение, связанные с сохранением мягко удаленных данных и версий.
- Используйте политики неизменяемости для соответствия требованиям: для регулируемых отраслей реализуйте политики неизменяемости в контейнерах или версиях BLOB-объектов для соответствия требованиям WORM (запись один раз, чтение много).
- Мониторинг состояния защиты: используйте Azure Monitor и политику Azure, чтобы отслеживать, какие учетные записи хранения имеют функции защиты данных и определить все пробелы в стратегии защиты.
- Задокументируйте стратегию: Поддерживайте четкую документацию по конфигурации защиты данных, включая включенные функции, периоды хранения и процедуры восстановления.
- Учитывайте затраты и защиту: хотя комплексная защита данных важна, балансируйте уровень защиты от затрат на хранение. Используйте политики управления жизненным циклом для автоматического удаления старых версий и моментальных снимков в соответствии с вашими требованиями.
- Геоизбыточное использование критически важных данных: для критически важных для бизнеса данных используйте геоизбыточное хранилище (GRS или GZRS), чтобы обеспечить доступность данных даже в том случае, если весь регион становится недоступным.
- В сочетании с решениями резервного копирования. Для дополнительной защиты рекомендуется использовать Azure Backup для файлов Azure или сторонние решения резервного копирования, обеспечивающие дополнительные варианты восстановления и долгосрочное хранение.