Proteja su Azure Blob Storage

Azure Blob Storage almacena grandes cantidades de datos de objetos no estructurados en contenedores. A menudo es objetivo de exfiltración, ransomware e incidentes de exposición pública. Este artículo ofrece recomendaciones de seguridad específicas para contenedores de blobs, blobs y espacios de nombres jerárquicos de Azure Data Lake Storage.

Note

Este artículo trata sobre prácticas de seguridad específicas de Azure Blob Storage. Para orientación sobre seguridad a nivel de cuenta, consulta Asegurar tu cuenta de Azure Storage.

Seguridad de red

  • Proporcione acceso a dominios personalizados, sitios web estáticos y cualquier contenido de blobs de acceso público con Azure Front Door: finalice la conexión TLS en Azure Front Door con un certificado administrado, habilite WAF y restrinja el acceso a la red pública de la cuenta de almacenamiento para que solo Front Door pueda acceder al origen. La función de dominio personalizado de Azure Storage no admite certificados TLS gestionados, y Front Door añade protección mediante WAF, limitación de tasa y registro, de los que carece el acceso anónimo a contenedores. Para más información, consulta Use Azure Front Door with Azure Storage blobs.

  • Deshabilitar el endpoint del sitio web estático cuando no esté en uso: El contenedor $web sigue siendo legible públicamente mientras esté habilitada la función de sitio web estático, incluso si allowBlobPublicAccess está false. Desactiva la función de sitio web estático en las cuentas que no la necesiten. Para más información, consulte Hospedaje de sitios web estáticos en Azure Storage.

Administración de identidades y acceso

Acceso público anónimo

SAS y ABAC a nivel de blob

  • Es preferible utilizar una firma de acceso compartido (SAS) de delegación de usuario en lugar de una SAS de servicio para el acceso a blobs: Una firma de acceso compartido (SAS) de delegación de usuario se firma con una credencial de Microsoft Entra. La revocación de la clave de delegación de usuario invalida inmediatamente todas las SAS emitidas a partir de ella, lo que proporciona una vía de revocación de la que carecen las SAS de servicio y de cuenta. Para obtener más información, consulte Creación de una SAS de delegación de usuarios.

  • Limite el alcance de las SAS de servicio con directivas de acceso almacenadas para facilitar la revocación: Si debe utilizar una SAS de servicio, asóciela a una directiva de acceso almacenada en el contenedor. Luego puedes modificar o eliminar la política para revocar todos los SAS que la referencian. Sin una directiva, una SAS de servicio solo puede revocarse rotando las claves de la cuenta, lo que afecta a todas las demás SAS de la cuenta. Para obtener más información, consulte Definición de una directiva de acceso almacenada.

  • Utiliza etiquetas de índice blob para condicionar el acceso vía ABAC: Combina etiquetas de índice blob con condiciones de control de acceso basado en atributos (ABAC) para conceder acceso de lectura solo a blobs con valores específicos de etiqueta, por ejemplo, Classification=Public. Este enfoque permite que una asignación de rol único sirva a muchos llamantes sin conceder acceso a datos etiquetados sensibles. Para obtener más información, consulte Autorizar el acceso a blobs mediante condiciones ABAC.

Protección de los datos

  • Utiliza los ámbitos de cifrado blob para aislar cifrado para contenedores o blobs específicos: Los ámbitos de cifrado permiten aplicar diferentes claves o políticas de rotación de claves a nivel de contenedor o blob, con granularidad dentro de una sola cuenta. Esta función es útil para cargas de trabajo multiinquilino que comparten una cuenta, pero necesitan control de claves para cada inquilino. Para más información, consulte Scope de cifrado para Blob Storage.

  • Utiliza cifrado del lado del cliente para datos de blobs que nunca deben aparecer en el servidor en texto plano: cifra el contenido de blob en el cliente antes de subirlo. El SDK se integra con Azure Key Vault o Managed HSM para la gestión de claves. Combínelo con una CMK del lado del servicio para obtener una protección por capas. Para obtener más información, consulte Cifrado del lado del cliente para blobs.

Inmutabilidad y WORM

  • Configurar políticas de retención basadas en el tiempo para los datos regulados: Aplicar la retención temporal a nivel de contenedor o versión para evitar la modificación o eliminación de blobs durante un periodo fijo. La inmutabilidad a nivel de versión proporciona un control más fino y puedes activarlo o ampliarlo en versiones individuales. Para más información, consulte Almacenamiento de datos de blobs críticos para la empresa con almacenamiento inmutable.

  • Utiliza las retenciones legales para retención indefinida impulsadas por necesidades legales o investigativas: Las retenciones legales impiden la eliminación hasta que un usuario autorizado resuelva explícitamente la retención, sin una duración fija. Para más información, consulte Almacenamiento de datos de blobs críticos para la empresa con almacenamiento inmutable.

  • Bloquear las políticas de retención para que no sean modificables: Los usuarios con permisos apropiados pueden acortar o eliminar una política de retención desbloqueada. Bloquear la póliza convierte el periodo de retención en un compromiso de ida única. Bloquee solo después de validar la duración de la directiva. Para más información, consulte Configurar políticas de inmutabilidad para contenedores.

Operaciones de replicación y copia de objetos

  • Restringir la replicación de objetos a cuentas fuente que controles: Configura la lista de cuentas fuente permitidas de la cuenta de destino para que solo las cuentas fuente conocidas y confiables puedan enviar datos. Para obtener más información, consulte Configuración de la replicación de objetos.

  • Prevenir la replicación de objetos entre inquilinos: No permitir políticas de replicación cuyas cuentas de origen y destino estén en diferentes tenants de Microsoft Entra. Esta restricción impide que un usuario autorizado configure la replicación a un inquilino externo. Para obtener más información, consulte Impedir la replicación de objetos en los inquilinos de Microsoft Entra.

  • Restringir el alcance permitido para las operaciones de copia: Configurar la cuenta para permitir operaciones de copia solo desde cuentas de origen en el mismo tenant o en la misma suscripción. Esta configuración bloquea una ruta común de exfiltración: copiar desde una cuenta privada a una controlada por el atacante. Para más información, consulte Alcance permitido para operaciones de copia.

Copia de seguridad y recuperación

  • Habilitar el control de versiones de blobs para conservar versiones anteriores en operaciones de escritura y eliminación: Al habilitar el control de versiones, cada operación de escritura o eliminación crea una nueva versión y conserva el estado anterior. Puede administrar y restaurar versiones. Para más información, consulte Control de versiones de blobs.

  • Activa eliminación suave para blobs y contenedores: Eliminación suave conserva los blobs y contenedores eliminados durante un periodo de retención determinado, para que puedas restaurarlos durante ese tiempo. Configura por separado la eliminación suave a nivel de contenedor y la eliminación suave a nivel de blob, y activa ambos. Para más información, consulta Eliminación suave para blobs y Eliminación suave para contenedores.

  • Habilite la restauración a un momento determinado para cuentas de blobs de bloque: la restauración a un momento determinado funciona con el control de versiones y la eliminación temporal para restaurar un rango de blobs de bloque a una marca de tiempo específica del pasado. Esta función es útil para la recuperación de ransomware. La restauración a un momento determinado requiere que habilite el control de versiones, la eliminación temporal de blobs y el feed de cambios. Para obtener más información, consulte la Restauración a un momento dado de los blobs en bloques.

  • Activa el feed de cambios para auditoría y forense: El feed de cambios es un registro ordenado e inalterable de cada cambio en los blobs de la cuenta. Además de permitir la restauración puntual, proporciona un registro de auditoría duradero para las investigaciones. Para obtener más información, consulte Compatibilidad con la fuente de cambios en Azure Blob Storage.

Almacén de Azure Data Lake

Data Lake Storage añade un espacio de nombres jerárquico y listas de control de acceso (ACLs) similares a POSIX a Blob Storage. Las ACL y RBAC funcionan conjuntamente: conceden acceso general mediante RBAC y lo afinan dentro del sistema de archivos mediante ACL.

  • Utilice RBAC para el acceso de nivel general y las ACL para el acceso de nivel detallado: Asigne roles RBAC integrados para blobs en el nivel de contenedor o de cuenta para conceder un acceso amplio. Luego, usa ACLs en directorios y archivos para restringir el acceso dentro del contenedor. No uses solo ACLs para los permisos que un usuario necesita en todo un contenedor. RBAC es más eficiente para evaluar y auditar. Para más información, consulte Modelo de control de acceso en Azure Data Lake Storage.

  • Aplicar ACL predeterminadas en directorios para heredar permisos a los elementos secundarios nuevos: Las ACL predeterminadas se aplican a los archivos y directorios creados después de establecer la ACL. Configúralas a nivel de directorio para evitar gestionar ACLs en archivos individuales. Para más información, consulte listas de control de acceso en Azure Data Lake Storage.

  • Activar el espacio de nombres jerárquico al crear la cuenta: No puedes habilitar el espacio de nombres jerárquico en una cuenta existente sin migración. Si sabes que una carga de trabajo usa la semántica de Data Lake Storage, actívala desde el principio en lugar de migrarla después. Para más información, consulta Azure Data Lake Storage hierarchical namespace.

Registro y supervisión

  • Genera una alerta por accesos anónimos tras deshabilitar el acceso anónimo: Cuando establezcas allowBlobPublicAccess en false, filtra los registros de almacenamiento por AuthenticationType == "Anonymous" y genera una alerta ante cualquier acceso. Estos resultados indican un cliente mal configurado o un intento de sondeo. Para más información, consulte Supervisión de Azure Storage.

  • Habilitar y actuar según los veredictos de escaneo de malware de Defender for Storage: Cuando activas el escaneo de malware, configura la respuesta automática (eliminación de blobs, etiqueta de cuarentena o supresión de flujo de trabajo posterior) sobre MalwareScanningResult los veredictos para que los blobs maliciosos identificados no puedan ser servidos a los consumidores. Para más información, consulte Responder a resultados de escaneo de malware en Defender for Storage.

  • Realizar un seguimiento de las modificaciones en las etiquetas del índice de blobs para detectar desviaciones en la clasificación: si utilizas etiquetas del índice de blobs para determinar las condiciones de acceso de ABAC, cualquier cambio en dichas etiquetas modifica directamente quién puede leer el blob. Registra y genera alertas sobre operaciones SetBlobTags realizadas contra contenedores sensibles. Para más información, consulte Administrar y encontrar datos en Azure Blob Storage con etiquetas de índice de blobs.

Pasos siguientes

  • Se actualizó por última vez el