Línea base de seguridad de Azure para Storage

Esta línea de base de seguridad aplica las directrices del Microsoft Cloud Security Benchmark versión 1.0 a Almacenamiento. El banco de pruebas de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo proteger las soluciones en la nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables al almacenamiento.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Azure Policy definiciones se enumerarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Storage, lo que puede dar lugar a mayores consideraciones de seguridad.

Seguridad de red

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Seguridad de red.

NS-1: Establecer límites de segmentación de red

Características

Integración de red virtual

Descripción: el servicio admite la implementación en la red virtual privada (VNet) del cliente. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

NS-2: Protección de servicios en la nube con controles de red

Características

Azure Private Link

Descripción: funcionalidad de filtrado de IP nativa del servicio para filtrar el tráfico de red (no confundirse con NSG o Azure Firewall). Más información.

Guía de configuración: implemente puntos de conexión privados para Azure Storage para establecer un punto de acceso privado para los recursos.

Referencia: Uso de puntos de conexión privados para Azure Storage

Deshabilitar el acceso a la red pública

Descripción: el servicio admite la deshabilitación del acceso a la red pública mediante el uso de una regla de filtrado de ACL de IP de nivel de servicio (no NSG o Azure Firewall) o mediante un modificador de alternancia "Deshabilitar acceso a red pública". Más información.

Guía de configuración: Deshabilite el acceso a la red pública utilizando el filtrado de IP ACL a nivel de servicio de Azure Storage o un interruptor de alternancia para el acceso a la red pública.

Referencia: Cambiar la regla de acceso de red predeterminada

Administración de identidades

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de identidades.

IM-1: Uso del sistema de autenticación e identidad centralizado

Características

Autenticación de Azure AD necesaria para el acceso al plano de datos

Descripción: el servicio admite el uso de la autenticación de Azure AD para el acceso al plano de datos. Más información.

Notas de características: El almacenamiento ofrece varias maneras de autorizar al plano de datos. Azure proporciona control de acceso basado en rol de Azure (RBAC de Azure) para un control específico sobre el acceso de un cliente a los recursos de una cuenta de almacenamiento. Use las credenciales de Azure AD siempre que sea posible como procedimiento recomendado de seguridad, en lugar de usar la clave de cuenta, que se puede poner en peligro más fácilmente. Cuando el diseño de la aplicación requiere firmas de acceso compartido para el acceso a Blob Storage, use credenciales de Azure AD para crear firmas de acceso compartido de delegación de usuarios (SAS) siempre que sea posible para una seguridad superior.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Autorización del acceso a datos en Azure Storage

Métodos de autenticación local para el acceso al plano de datos

Descripción: métodos de autenticación locales admitidos para el acceso al plano de datos, como un nombre de usuario local y una contraseña. Más información.

Notas de características: evite el uso de métodos o cuentas de autenticación local, que deben deshabilitarse siempre que sea posible. en su lugar, use Azure AD para autenticarse siempre que sea posible.

Guía de configuración: restrinja el uso de métodos de autenticación local para el acceso al plano de datos. En su lugar, use Azure Active Directory (Azure AD) como método de autenticación predeterminado para controlar el acceso al plano de datos.

Referencia: modelo de permisos SFTP

IM-3: Administrar identidades de aplicación de forma segura y automática

Características

Identidades administradas

Descripción: las acciones del plano de datos admiten la autenticación mediante identidades administradas. Más información.

Guía de configuración: use identidades administradas de Azure en lugar de entidades de servicio siempre que sea posible, lo que puede autenticarse en los servicios y recursos de Azure que admiten la autenticación de Azure Active Directory (Azure AD). Las credenciales de identidad administrada están totalmente administradas, rotadas y protegidas por la plataforma, lo que evita las credenciales codificadas de forma rígida en archivos de configuración o código fuente.

Referencia: Autorización del acceso a datos de blobs con identidades administradas para recursos de Azure

Entidades de servicio

Descripción: el plano de datos admite la autenticación mediante entidades de servicio. Más información.

Guía adicional: con Azure AD, puede usar el control de acceso basado en rol de Azure (Azure RBAC) para conceder permisos a una entidad de seguridad, que puede ser un usuario, grupo o entidad de servicio de aplicación. Azure AD autentica a la entidad de seguridad para emitir un token de OAuth 2.0. Después, el token se puede usar para autorizar una solicitud en Blob service.

Referencia: Autorización del acceso a blobs mediante Azure Active Directory

IM-7: Restringir el acceso a los recursos en función de las condiciones

Características

Acceso condicional para el plano de datos

Descripción: el acceso al plano de datos se puede controlar mediante directivas de acceso condicional de Azure AD. Más información.

Guía de configuración: defina las condiciones y criterios aplicables para el acceso condicional de Azure Active Directory (Azure AD) en la carga de trabajo. Considere casos de uso comunes, como bloquear o conceder acceso desde ubicaciones específicas, bloquear el comportamiento de inicio de sesión de riesgo o requerir dispositivos administrados por la organización para aplicaciones específicas.

Referencia: No permitir la autorización de clave compartida para usar el acceso condicional de Azure AD

IM-8: Restringir la exposición de credenciales y secretos

Características

Integración y almacenamiento de credenciales de servicio y secretos con soporte en Azure Key Vault.

Descripción: el plano de datos admite el uso nativo de Azure Key Vault para el almacén de credenciales y secretos. Más información.

Guía de configuración: asegúrese de que los secretos y las credenciales se almacenan en ubicaciones seguras, como Azure Key Vault, en lugar de insertarlos en archivos de código o configuración.

Referencia: Administración de claves de cuenta de almacenamiento con Key Vault y la CLI de Azure

Acceso con privilegios

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Acceso con privilegios.

PA-1: Separar y limitar usuarios con privilegios elevados o administrativos

Características

Cuentas de administrador local

Descripción: el servicio tiene el concepto de una cuenta administrativa local. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

PA-7: Siga el principio de administración suficiente (privilegios mínimos)

Características

RBAC de Azure para el plano de datos

Descripción: Azure Role-Based Access Control (Azure RBAC) se puede usar para administrar el acceso a las acciones del plano de datos del servicio. Más información.

Guía de configuración: Azure Storage admite el uso de Azure Active Directory (Azure AD) para autorizar solicitudes a datos de blobs. Con Azure AD, puede usar el control de acceso basado en rol de Azure (RBAC de Azure) para conceder permisos a una entidad de seguridad, que puede ser un usuario, grupo o entidad de servicio de aplicación.

La autorización de solicitudes en Azure Storage con Azure AD proporciona mayor seguridad y facilidad de uso a través de la autorización de clave compartida. Microsoft recomienda usar la autorización de Azure AD con las aplicaciones de blobs siempre que sea posible para garantizar el acceso con privilegios mínimos necesarios.

Referencia: Autorización del acceso a blobs mediante Azure Active Directory

PA-8: Determinación del proceso de acceso para la compatibilidad con proveedores en la nube

Características

Caja de seguridad del cliente

Descripción: La Customer Lockbox puede utilizarse para el acceso de soporte técnico de Microsoft. Más información.

Guía de configuración: En escenarios de soporte técnico en los que Microsoft necesita acceder a tus datos, utiliza Customer Lockbox para revisar y, a continuación, aprobar o rechazar las solicitudes de acceso a tus datos por parte de Microsoft.

Referencia: Customer Lockbox

Protección de los datos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Protección de datos.

DP-1: Detectar, clasificar y etiquetar datos confidenciales

Características

Clasificación y detección de datos confidenciales

Descripción: las herramientas (como Azure Purview o Azure Information Protection) se pueden usar para la detección y clasificación de datos en el servicio. Más información.

Notas de características: la integración de storage con Azure purview se encuentra actualmente en versión preliminar privada.

Guía de configuración: use Azure Purview para examinar, clasificar y etiquetar los datos confidenciales que residen en Azure Storage.

Referencia: Conexión a Azure Blob Storage en Microsoft Purview

DP-2: Supervisión de anomalías y amenazas dirigidas a datos confidenciales

Características

Prevención de filtración/pérdida de datos

Descripción: el servicio admite la solución DLP para supervisar el movimiento de datos confidenciales (en el contenido del cliente). Más información.

Guía de configuración: Defender for Storage analiza continuamente el flujo de telemetría generado por los servicios azure Blob Storage y Azure Files. Cuando se detectan actividades potencialmente malintencionadas, se generan alertas de seguridad. Estas alertas se muestran en Microsoft Defender for Cloud, junto con los detalles de la actividad sospechosa junto con los pasos de investigación pertinentes, las acciones de corrección y las recomendaciones de seguridad.

Microsoft Defender para Storage está integrado en Microsoft Defender for Cloud. Al habilitar las características de seguridad mejoradas de Microsoft Defender for Cloud en su suscripción, Microsoft Defender para Storage se habilita automáticamente para todas las cuentas de almacenamiento. Puede habilitar o deshabilitar Defender for Storage para cuentas de almacenamiento individuales en una suscripción específica.

Referencia: Configuración de Microsoft Defender para Storage

DP-3: Cifrar datos confidenciales en tránsito

Características

Cifrado de datos en tránsito

Descripción: el servicio admite el cifrado de datos en tránsito para el plano de datos. Más información.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Exigir una versión mínima necesaria de Seguridad de la capa de transporte (TLS) para las solicitudes a una cuenta de almacenamiento

DP-4: Habilitar el cifrado de datos en reposo de forma predeterminada

Características

Cifrado de datos en reposo mediante claves de plataforma

Descripción: se admite el cifrado de datos en reposo mediante claves de plataforma, cualquier contenido del cliente en reposo se cifra con estas claves administradas por Microsoft. Más información.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Cifrado de Azure Storage para datos en reposo

DP-5: Usar la opción de clave administrada por el cliente en el cifrado de datos en reposo cuando sea necesario

Características

Cifrado de datos en reposo mediante CMK

Descripción: el cifrado de datos en reposo mediante claves administradas por el cliente es compatible con el contenido del cliente almacenado por el servicio. Más información.

Guía de configuración: si es necesario para el cumplimiento normativo, defina el caso de uso y el ámbito de servicio donde se necesita el cifrado mediante claves administradas por el cliente. Habilitación e implementación del cifrado de datos en reposo para los datos dentro del ámbito mediante la clave administrada por el cliente para Azure Storage

Referencia: Claves administradas por el cliente para el cifrado de Azure Storage

DP-6: Uso de un proceso seguro de administración de claves

Características

Administración de claves en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier clave de cliente, secretos o certificados. Más información.

Guía de configuración: use Azure Key Vault para crear y controlar el ciclo de vida de las claves de cifrado, incluida la generación de claves, la distribución y el almacenamiento. Gire y revoque las claves en Azure Key Vault y el servicio en función de una programación definida o cuando haya una retirada o riesgo de claves. Cuando sea necesario usar la clave administrada por el cliente (CMK) en el nivel de carga de trabajo, servicio o aplicación, asegúrese de seguir los procedimientos recomendados para la administración de claves: use una jerarquía de claves para generar una clave de cifrado de datos (DEK) independiente con la clave de cifrado de claves (KEK) en el almacén de claves. Asegúrese de que las claves se registran con Azure Key Vault y se hace referencia a ellas a través de identificadores de clave desde el servicio o la aplicación. Si necesita traer su propia clave (BYOK) al servicio (por ejemplo, importar claves protegidas con HSM desde los HSM locales a Azure Key Vault), siga las instrucciones recomendadas para realizar la generación inicial de claves y la transferencia de claves.

Referencia: Administración de claves de cuenta de almacenamiento con Key Vault y la CLI de Azure

Administración de recursos

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de recursos.

AM-2: Usar solo servicios aprobados

Características

Compatibilidad con Azure Policy

Descripción: las configuraciones de servicio se pueden supervisar y aplicar a través de Azure Policy. Más información.

Guía de configuración: defina e implemente configuraciones de seguridad estándar para los recursos de red asociados a la cuenta de Azure Storage con Azure Policy. Utilice alias de Azure Policy en los espacios de nombres "Microsoft.Storage" y "Microsoft.Network" para crear directivas personalizadas para auditar o aplicar la configuración de red de los recursos de su cuenta de almacenamiento.

También puede usar definiciones de directivas integradas relacionadas con la cuenta de almacenamiento, como: Las cuentas de almacenamiento deben usar un punto de conexión de servicio de red virtual.

Referencia: Definiciones integradas de Azure Policy para Azure Storage

Registro y detección de amenazas

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Registro y detección de amenazas.

LT-1: Habilitación de las funcionalidades de detección de amenazas

Características

Oferta de microsoft Defender para servicio o producto

Descripción: El servicio tiene una solución específica de Microsoft Defender para supervisar y alertar sobre problemas de seguridad. Más información.

Guía de configuración: use Microsoft Defender para Storage para proporcionar una capa adicional de inteligencia de seguridad que detecte intentos inusuales y potencialmente dañinos de acceder o aprovechar las cuentas de almacenamiento. Usa funcionalidades avanzadas de detección de amenazas y datos de Inteligencia sobre amenazas de Microsoft para proporcionar alertas de seguridad contextuales. Estas alertas también incluyen pasos para mitigar las amenazas detectadas y evitar ataques futuros.

Referencia: Introducción a Microsoft Defender para Storage

LT-4: Habilitación del registro para la investigación de seguridad

Características

Registros de recursos de Azure

Descripción: el servicio genera registros de recursos que pueden proporcionar métricas y registros específicos del servicio mejorados. El cliente puede configurar estos registros de recursos y enviarlos a su propio receptor de datos, como una cuenta de almacenamiento o un área de trabajo de Log Analytics. Más información.

Guía de configuración: ingiere registros a través de Azure Monitor para agregar datos de seguridad generados por dispositivos de puntos de conexión, recursos de red y otros sistemas de seguridad. En Azure Monitor, use áreas de trabajo de Log Analytics para consultar y realizar análisis, y use cuentas de Azure Storage para el almacenamiento a largo plazo o archivado, opcionalmente con características de seguridad como almacenamiento inmutable y retención aplicada.

Referencia: Supervisión de Azure Blob Storage

Copia de seguridad y recuperación

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Copia de seguridad y recuperación.

BR-1: Garantizar copias de seguridad automatizadas normales

Características

Azure Backup

Descripción: el servicio de Azure Backup puede realizar una copia de seguridad del servicio. Más información.

Notas de características: Azure Backup solo se admite actualmente para Azure Blob Storage. Se puede realizar una copia de seguridad de los datos de cola y tabla mediante la herramienta de línea de comandos AzCopy.

Guía de configuración: habilite Azure Backup y configure el origen de copia de seguridad con una frecuencia deseada y con un período de retención deseado. Azure Backup le permite configurar fácilmente la copia de seguridad operativa para proteger bloques de blobs de tus cuentas de almacenamiento. La copia de seguridad de blobs se configura en el nivel de cuenta de almacenamiento. Por lo tanto, todos los blobs de la cuenta de almacenamiento están protegidos con copia de seguridad operativa.

Puede configurar la copia de seguridad para varias cuentas de almacenamiento mediante el Centro de copias de seguridad. También puede configurar la copia de seguridad de una cuenta de almacenamiento mediante las propiedades de protección de datos de la cuenta de almacenamiento.

Referencia: Información general sobre la copia de seguridad operativa para blobs de Azure

Funcionalidad de copia de seguridad nativa del servicio

Descripción: el servicio admite su propia funcionalidad de copia de seguridad nativa (si no usa Azure Backup). Más información.

Guía adicional: La copia de seguridad operativa de los blobs es una solución de copia de seguridad local. Por lo tanto, los datos de copia de seguridad no se transfieren al almacén de Backup, pero se almacenan en la propia cuenta de almacenamiento de origen. Sin embargo, el almacén de Backup sigue funcionando como unidad de administración de copias de seguridad. Además, se trata de una solución de copia de seguridad continua, lo que significa que no es necesario programar ninguna copia de seguridad y todos los cambios se conservarán y restaurarán desde el estado en un momento dado seleccionado.

Referencia: Información general sobre la copia de seguridad operativa para blobs de Azure

Pasos siguientes

• Consulte la introducción al banco de pruebas de seguridad en la nube de Microsoft.
• Más información sobre las líneas base de seguridad de Azure