Vælg og konfigurer de relevante metoder til beskyttelse mod datasikkerhedstrusler, herunder blød sletning, sikkerhedskopier, versionering og uforanderligt lager

Azure Storage tilbyder omfattende databeskyttelse for Blob Storage og Azure Data Lake Storage Gen2 for at hjælpe dig med at forberede dig på situationer, hvor du skal gendanne data, der er blevet slettet eller overskrevet. Databeskyttelse er en kritisk komponent i din sikkerhedsstrategi, i overensstemmelse med Zero Trust-principperne ved at antage brud og sikre, at du kan komme dig over sikkerhedshændelser. Det er vigtigt at tænke over, hvordan du bedst beskytter dine data, før en hændelse opstår, som kan kompromittere dem, hvad enten det er fra ondsindede aktører, ved en fejl ved et uheld eller operationelle fejl.

Anbefalinger til grundlæggende databeskyttelse

Hvis du leder efter grundlæggende databeskyttelsesdækning for din lagerkonto og de data, den indeholder, anbefaler Microsoft, at du begynder med følgende trin:

• Konfigurér en Azure Resource Manager-lås på lagringskontoen for at beskytte kontoen mod sletning eller konfigurationsændringer. Dette forhindrer utilsigtet eller uautoriseret sletning af hele lagringskontoen.
• Aktiver container soft delete for lagringskontoen for at gendanne en slettet container og dens indhold. Dette giver et sikkerhedsnet mod utilsigtet containersletning.
• Gem tilstanden af en blob med jævne mellemrum:
  • I forbindelse med Blob Storage-arbejdsbelastninger skal du aktivere blobversioner for automatisk at gemme tilstanden af dine data, hver gang en blob overskrives.
  • I forbindelse med Azure Data Lake Storage-arbejdsbelastninger skal du tage manuelle snapshots for at gemme tilstanden af dine data på et bestemt tidspunkt.

Oversigt over indstillinger for databeskyttelse

I følgende tabel opsummeres de tilgængelige indstillinger i Azure Storage til almindelige databeskyttelsesscenarier. Vælg de scenarier, der gælder for din situation, for at få mere at vide om de muligheder, der er tilgængelige for dig. Det er ikke alle funktioner, der er tilgængelige på nuværende tidspunkt for lagerkonti, hvor et hierarkisk navneområde er aktiveret.

Sikkerhedsnote: Implementering af flere lag af databeskyttelse giver dybdegående forsvar og sikrer, at du kan komme dig over forskellige typer hændelser, herunder ransomware-angreb, utilsigtede sletninger og ændringer af ondsindede data.

Databeskyttelse efter ressourcetype

I følgende tabel opsummeres indstillingerne for databeskyttelse i Azure Storage i henhold til de ressourcer, de beskytter.

Forståelsen af nuancerne i databeskyttelse i Azure Storage afslører flere operationelle indsigter og begrænsninger, som er vigtige for både sikkerhed og overholdelse:

• En Azure Resource Manager-lås beskytter ikke en container mod sletning, kun selve lagringskontoen.
• Sletning af lagringskonti fejler, hvis der er mindst én container med versionsniveau, uforanderlig lagring aktiveret, hvilket beskytter mod utilsigtet kontosletning.
• Container-sletning fejler, hvis der findes mindst én blob i containeren, uanset om uforanderlighedspolitikken er låst eller ulåst.
• Hvis du overskriver indholdet af den aktuelle version af blob'en, oprettes der en ny version. En uforanderlighedspolitik beskytter en versions metadata mod at blive overskrevet og sikrer dataintegritet.
• Selvom en lovlig tilbageholdelse eller en låst tidsbaseret opbevaringspolitik gælder i containerens omfang, er lagringskontoen også beskyttet mod sletning, hvilket giver overholdelsesbeskyttelse.
• Understøttes ikke i øjeblikket for Data Lake Storage workloads (gælder for blob-versionering og point-in-time gendannelse).
• AzCopy og Azure Data Factory er indstillinger, der understøttes for både Blob Storage- og Data Lake Storage-arbejdsbelastninger. Objektreplikering understøttes kun for Blob Storage-arbejdsbelastninger.

Gendan slettede eller overskrevne data

Hvis du skal gendanne data, der er blevet overskrevet eller slettet, afhænger den måde, du fortsætter på, af, hvilke databeskyttelsesindstillinger du har aktiveret, og hvilken ressource der blev påvirket. I følgende tabel beskrives de handlinger, du kan udføre for at gendanne data.

Oversigt over omkostningsovervejelser

It-katastrofeberedskab

Azure Storage vedligeholder altid flere kopier af dine data, så de er beskyttet mod planlagte og ikke-planlagte hændelser, herunder midlertidige hardwarefejl, netværks- eller strømafbrydelser og massive naturkatastrofer. Redundans sikrer, at din lagerkonto opfylder sine mål for tilgængelighed og holdbarhed, selv i tilfælde af fejl.

Hvis der sker en fejl i et datacenter, og din lagringskonto er redundant på tværs af to geografiske regioner (geo-redundant), har du mulighed for at overføre din konto fra primærregionen til sekundærregionen. Denne kapacitet er afgørende for forretningskontinuitet og katastrofeberedskabsplanlægning.

Bedste praksis for implementering af databeskyttelse

Når du implementerer databeskyttelse for Azure Storage, bør du overveje disse anbefalinger:

• Implementér forsvar i dybden: Brug flere beskyttelsesmekanismer sammen. For eksempel kan man kombinere blob-versionering, soft delete og uforanderlighedspolitikker for omfattende beskyttelse mod forskellige typer datatab.
• Regelmæssig testning: Test jævnligt dine datagendannelsesprocedurer for at sikre, at de fungerer som forventet, og at dit team er fortrolig med gendannelsesprocessen.
• Planlægning af opbevaringsperioder: Sæt passende opbevaringsperioder baseret på dine compliance-krav, men overvej også lagringsomkostningerne forbundet med at gemme blødt slettede data og versioner.
• Brug uforanderlighedspolitikker til overholdelse: For regulerede industrier skal uforanderlighedspolitikker implementeres på containere eller blob-versioner for at opfylde WORM (Write Once, Read Many) overholdelseskrav.
• Overvågningsbeskyttelsesstatus: Brug Azure Monitor og Azure Policy til at spore, hvilke lagringskonti der har databeskyttelsesfunktioner aktiveret, og identificere eventuelle huller i din beskyttelsesstrategi.
• Dokumentér din strategi: Vedligehold klar dokumentation af din databeskyttelseskonfiguration, herunder hvilke funktioner der er aktiveret, opbevaringsperioder og gendannelsesprocedurer.
• Overvej omkostninger versus beskyttelse: Selvom omfattende databeskyttelse er vigtig, bør du afveje beskyttelsesniveauet mod lagringsomkostningerne. Brug livscyklusstyringspolitikker til automatisk at slette gamle versioner og snapshots baseret på dine krav.
• Geo-redundans for kritiske data: For forretningskritiske data anvendes geo-redundant lagring (GRS eller GZRS) for at sikre datatilgængelighed, selv hvis en hel region bliver utilgængelig.
• Kombiner med backup-løsninger: For ekstra beskyttelse kan du overveje at bruge Azure Backup til Azure Files eller tredjeparts backup-løsninger, der tilbyder ekstra gendannelsesmuligheder og langvarig opbevaring.