Proteja seu Armazenamento de Blobs do Azure

Armazenamento de Blobs do Azure armazena grandes quantidades de dados não estruturados de objetos em contêineres. Frequentemente, é alvo de exfiltração, ransomware e incidentes de exposição pública. Este artigo fornece recomendações de segurança específicas para contêineres de blobs, blobs e namespaces hierárquicos do Azure Data Lake Storage.

Note

Este artigo aborda práticas de segurança específicas do Armazenamento de Blobs do Azure. Para orientações de segurança em nível de conta, veja Secure your Armazenamento do Azure account.

Segurança de rede

  • Use o Azure Front Door para domínios personalizados, sites estáticos e qualquer conteúdo de blob disponibilizado publicamente: Faça a terminação de TLS no Azure Front Door com um certificado gerenciado, habilite o WAF e restrinja o acesso à rede pública da conta de armazenamento para que somente o Front Door possa acessar a origem. O próprio recurso de domínio personalizado do Armazenamento do Azure não suporta certificados TLS gerenciados, e o Front Door adiciona proteção contra WAF, limitação de taxa e registro que o acesso anônimo a contêineres não tem. Para mais informações, consulte Usar o Azure Front Door com blobs do Armazenamento do Azure.

  • Desative o endpoint estático do site quando não estiver em uso: O $web contêiner permanece legível publicamente enquanto o recurso do site estático estiver ativado, mesmo que allowBlobPublicAccess seja false. Desative o recurso de site estático em contas que não precisam. Para obter mais informações, consulte Static website hosting in Armazenamento do Azure.

Gerenciamento de identidade e acesso

Acesso público anônimo

  • Desabilitar o acesso de leitura pública anônima na conta de armazenamento: Defina a propriedade allowBlobPublicAccess para false, para que nenhum contêiner na conta possa ser público, independentemente da configuração em nível de contêiner. Para obter mais informações, consulte Visão geral: Remediação do acesso de leitura anônimo para dados de blob.

  • Auditar e remediar qualquer acesso anônimo existente: Use as orientações em Remediar acesso anônimo de leitura a dados de blob para encontrar contêineres que permitam acesso público e convertê-los em acesso privado ou compartilhamento explícito baseado em SAS.

SAS e ABAC em nível de blob

  • Prefira SAS de delegação de usuário em vez de SAS de serviço para acessar blobs: uma assinatura de acesso compartilhado (SAS) de delegação de usuário é assinada com uma credencial do Microsoft Entra. Revogar a chave de delegação do usuário invalida imediatamente todos os SAS emitidos a partir dela, oferecendo um mecanismo de revogação ausente no SAS de serviço e no SAS de conta. Para obter mais informações, veja Cria uma SAS de delegação de usuário.

  • Limite o escopo do SAS de serviço com políticas de acesso armazenadas para permitir a revogação: se você precisar usar um SAS de serviço, associe-o a uma política de acesso armazenada no contêiner. Você pode então modificar ou excluir a política para revogar todos os SAS que a referenciarem. Sem uma política, um SAS de serviço só pode ser revogado alternando as chaves da conta, o que afeta todos os outros SAS dessa conta. Para obter mais informações, consulte Definir uma política de acesso armazenada.

  • Use marcas de índice de blob para condicionar o acesso via ABAC: combine marcas de índice de blob com condições de controle de acesso baseado em atributo (ABAC) para conceder acesso de leitura apenas a blobs com valores de marca específicos, por exemplo, Classification=Public. Essa abordagem permite que uma única atribuição de função atenda a muitos chamadores sem conceder acesso a dados sensíveis e marcados. Para ter mais informações, veja Autorizar acesso a blobs usando condições ABAC.

Proteção de dados

  • Use escopos de criptografia para blobs para isolar a criptografia de contêineres ou blobs específicos: os escopos de criptografia permitem aplicar chaves diferentes ou políticas de rotação de chaves com granularidade no nível do contêiner ou do blob em uma única conta. Esse recurso é útil para cargas de trabalho multilocatário que compartilham uma conta, mas precisam de controle de chaves por locatário. Para mais informações, veja Escopos de criptografia para Armazenamento de Blobs.

  • Use criptografia do lado do cliente para dados de blob que nunca devem aparecer no servidor em texto simples: Criptografe o conteúdo do blob no cliente antes do upload. O SDK se integra ao Azure Key Vault ou HSM Gerenciado para gerenciamento de chaves. Combine com CMK do lado de serviço para proteção em camadas. Para obter mais informações, consulte Criptografia do lado do cliente para blobs.

Imutabilidade e WORM

  • Configure políticas de retenção baseada em tempo para dados regulados: Aplique retenção baseada no tempo em nível de contêiner ou versão para evitar modificações ou exclusão de blobs por um período fixo. A imutabilidade em nível de versão oferece controle mais fino e você pode ativar ou estender em versões individuais. Para obter mais informações, consulte Armazenar dados de blob comercialmente críticos com armazenamento imutável.

  • Use bloqueios legais para retenção por tempo indeterminado motivada por necessidades legais ou investigativas: Bloqueios legais impedem a exclusão até que um usuário autorizado remova explicitamente o bloqueio, sem duração fixa. Para obter mais informações, consulte Armazenar dados de blob comercialmente críticos com armazenamento imutável.

  • Bloqueie políticas de retenção para torná-las não modificáveis: Usuários com permissões apropriadas podem encurtar ou excluir uma política de retenção desbloqueada. Bloquear a apólice torna o período de retenção um compromisso unilateral. Bloqueie somente após validar a duração da apólice. Para mais informações, veja Configurar políticas de imutabilidade para contêineres.

Operações de replicação de objetos e cópia

  • Restringa a replicação de objetos para contas fonte que você controla: Configure a lista de conta-fonte permitida da conta de destino para que apenas contas fonte confiáveis e conhecidas possam enviar dados. Para obter mais informações, consulte Configurar replicação de objeto.

  • Evite a replicação de objetos entre locatários: Não permita políticas de replicação cujas contas de origem e destino estejam em diferentes inquilinos Microsoft Entra. Essa restrição impede que um usuário autorizado configure a replicação para um locatário externo. Para obter mais informações, confira Impedir a replicação de objeto entre locatários do Microsoft Entra.

  • Restringa o escopo permitido para operações de cópia: Configure a conta para permitir operações de cópia apenas de contas de origem no mesmo tenant ou na mesma assinatura. Essa configuração bloqueia um caminho comum de exfiltração – copiar de uma conta privada para uma conta controlada pelo atacante. Para mais informações, veja Escopo permitido para operações de cópia.

Backup e recuperação

  • Ative o versionamento de blobs para preservar versões anteriores em operações de gravação e exclusão: Quando você habilita o versionamento, cada operação de gravação ou exclusão cria uma nova versão e mantém o estado anterior. Você pode endereçar e restaurar versões. Para obter mais informações, consulte controle de blob.

  • Ative a exclusão reversível para blobs e para contêineres: a exclusão reversível mantém blobs e contêineres excluídos por um período de retenção definido, para que você possa restaurá-los durante esse período. Configure separadamente a exclusão suave em nível de contêiner e a eliminação suave em nível de blob, e ative ambos. Para saber mais, confira Exclusão temporária para blobs e Exclusão temporária para contêineres.

  • Habilite a restauração pontual para contas de blob de blocos: a restauração pontual funciona com versionamento e exclusão reversível para restaurar um intervalo de blobs de blocos para um carimbo de data/hora específico no passado. Esse recurso é útil para a recuperação de ransomware. A restauração pontual exige que você ative o versionamento, a exclusão temporária de blobs e o feed de alterações. Para mais informações, consulte Restauração pontual para blobs de blocos.

  • Ative o feed de mudanças para auditoria e forense: O feed de alterações é um registro ordenado e imutável de todas as alterações nos blobs da conta. Além de permitir restauração pontual, ele fornece um registro duradouro de auditoria para investigações. Para obter mais informações, veja Suporte a feed de alterações no Armazenamento de Blobs do Azure.

Azure Data Lake Storage

O Data Lake Storage adiciona um namespace hierárquico e listas de controle de acesso (ACLs) semelhantes ao POSIX ao Armazenamento de Blobs. ACLs e RBAC trabalham juntos: concedem acesso grosseiro via RBAC e refinam dentro do sistema de arquivos com ACLs.

  • Use o RBAC para controle de acesso mais amplo e ACLs para controle de acesso granular: atribua funções internas de RBAC para blobs no nível do contêiner ou da conta para conceder acesso amplo. Depois, use ACLs em diretórios e arquivos para restringir o acesso dentro do contêiner. Não use ACLs apenas para as permissões que o usuário precisa em todo um contêiner. O RBAC é mais eficiente para avaliar e auditar. Para obter mais informações, consulte o modelo de controle de acesso no Azure Data Lake Storage.

  • Aplique ACLs padrão em diretórios para herdar permissões em novos itens filho: ACLs padrão são aplicadas a arquivos e diretórios criados após definir a ACL. Configure-as no nível do diretório para evitar gerenciar ACLs em arquivos individuais. Para mais informações, veja listas de controle de acesso no Azure Data Lake Storage.

  • Ative o namespace hierárquico na criação da conta: Você não pode ativar o namespace hierárquico em uma conta existente sem migração. Se você sabe que uma carga de trabalho usa semântica do Data Lake Storage, ative-a logo de cara em vez de migrar depois. Para mais informações, veja Azure Data Lake Storage hierarchical namespace.

Registro e monitoramento

  • Alerta sobre acessos anônimos após desativar o acesso anônimo: Quando você definir allowBlobPublicAccess como false, filtre os logs de armazenamento por AuthenticationType == "Anonymous" e gere um alerta sobre qualquer ocorrência. Essas ocorrências indicam um cliente mal configurado ou uma tentativa de varredura. Para saber mais, confira Monitorar o Armazenamento do Azure.

  • Ative e aja com base nos veredictos de análise de malware do Defender for Storage: ao ativar a varredura de malware, configure a resposta automática (exclusão de blobs, marca de quarentena ou supressão de fluxo de trabalho posterior) nos vereditos MalwareScanningResult para que blobs maliciosos identificados não possam ser fornecidos aos consumidores. Para mais informações, veja Responder aos resultados de Varredura de Malware no Defender for Storage.

  • Rastreie alterações nas marcas de índice de blob para identificar desvio de classificação: se você usar marcas de índice de blob para definir condições de acesso ABAC, alterações nessas marcas interferem diretamente em quem pode ler o blob. Registre e emita alertas sobre operações SetBlobTags em contêineres sensíveis. Consulte Gerenciar e localizar dados no Armazenamento de Blobs do Azure com marcas de índice de blobs.

Próximas Etapas 

  • Última atualização em