Encriptación de datos en almacenamiento de azurra

Azure Storage es la columna vertebral de innumerables aplicaciones nativas de la nube, lagos de datos, soluciones de respaldo y cargas de trabajo de empresa. Con ese papel central viene una responsabilidad innegable: proteger datos dondequiera que resida. Encryption es la base de esa protección, asegurando que la información confidencial permanece confidencial incluso si los atacantes evitan los controles de red o la seguridad física. Microsoft Azure proporciona un marco de cifrado que cubre datos tanto en reposo como en transito, con opciones completamente controladas

Este artículo amplía las capacidades de encriptación de núcleo dentro de Azure Storage, incluyendo Azure Blob Storage, Azure Files, Queue Storage y Table Storage. Caminamos a través de cada capa de encriptación, cómo configurarlo, y las decisiones que importan para el cumplimiento, el rendimiento y el control operativo.

Encriptación en el descanso

La cifrado en reposo protege los datos cuando se escribe a los medios físicos dentro de los centros de datos de Azure. Esto incluye todo desde los bloques de disco bruto utilizados por las máquinas virtuales a los niveles de almacenamiento de objetos en Blob Storage. Azure implementa la encriptación en reposo utilizando una combinación de encriptación transparente del lado del almacenamiento, cifrado de nivel de infraestructura y cifrado opcional del lado del cliente.

Encriptación de servicio de almacenamiento de azufre (SSE)

SSE es el mecanismo de cifrado predeterminado para todas las cuentas de almacenamiento de Azure nuevas y existentes. Encripta datos en la capa de servicio de almacenamiento antes de escribir en disco y descifrarlo cuando se lee. Este proceso es totalmente transparente para aplicaciones; no se necesitan cambios de código, no se requieren banderas de configuración y ninguna sintonización de rendimiento.

SSE cubre todos los servicios de almacenamiento de Azure: Blob Storage (bloqueo bloques, blobs de apéndice, y blobs de página), Azure Files (incluyendo acciones de archivo), Queue Storage y Table Storage. Para Azure Managed Disks, que back virtual machine storage, encryption es manejado por separado por Azure Disk Encryption o servidor de cifrado (SSE + claves de seguridad gestionadas por plataforma).

Encriptación de infraestructura

Más allá de SSE, Azure Storage ofrece cifrado de infraestructura], que añade una segunda capa de cifrado al nivel de infraestructura de almacenamiento. Mientras que SSE protege los datos sobre los discos físicos, la encriptación de infraestructuras encripta los datos de nuevo antes de que se escriba a la red interna del almacenamiento y capas de caché del cluster. Esto es particularmente relevante para los clientes sujetos a regímenes de cumplimiento estrictos que requieren todos

El cifrado de infraestructuras está habilitado a nivel de cuenta de almacenamiento y utiliza claves gestionadas por plataformas. No requiere cambios en aplicaciones o código cliente. El cambio es una pequeña carga de escritura (por lo general insignificante para la mayoría de las cargas de trabajo) y que no puede ser deshabilitado una vez habilitado. Su organización debe evaluar si una segunda capa de cifrado es necesaria sobre la base de políticas internas, guía regulatoria o requisitos contractuales.

Claves administradas por clientes (CMK)

Para las organizaciones que necesitan controlar sus propias claves de cifrado – ya sea para cumplir con los mandatos de cumplimiento, implementar los horarios de rotación clave, o integrarse con los sistemas de gestión clave existentes–Azure Storage soporta Customer-Managed Keys (CMK) almacenado en Azure Key Vault. Cuando CMK está habilitado, la clave de encriptación de datos se almacena en su propia instancia.

El servicio de almacenamiento sigue cifrando datos usando AES-256, pero la clave de cifrado clave (KEK) que protege las claves de cifrado de datos (DEKs) es gestionada por usted. Puede elegir entre una clave Key Vault gestionada por la tecla (protegido por software o HSM) o un [LTK]

Consideraciones importantes para CMK:

  • Si usted deshabilita o elimina la clave en Key Vault, Azure Storage no accederá a los datos. Esto efectivamente hace que la cuenta de almacenamiento sea inaccesible y puede llevar a la pérdida de datos permanente si no se gestiona cuidadosamente.
  • CMK está disponible para Blob Storage, Azure Files, Queue Storage, Table Storage, y Azure Data Lake Storage Gen2.
  • CMK no admite Azure Managed Disks directamente; ese escenario utiliza el cifrado lado servidor con claves gestionadas por el cliente (SSE + CMK).
  • La vigilancia de las operaciones clave a través de los registros de auditoría Key Vault y Azure Monitor es esencial para detectar intentos de acceso no autorizados o una caducidad clave.

Claves provistas por clientes (CPK)

Para Blob Storage, hay una tercera opción clave llamada Claves provistas por clientes (CPK). CPK permite a un cliente proporcionar una clave de cifrado en el momento de cada solicitud, en lugar de almacenar la clave en Key Vault. La clave se utiliza para esa operación de lectura o escritura única y no se mantiene enteramente por Azure.

Cifrado en Tránsito

El cifrado en tránsito asegura datos a medida que se mueve a través de redes, protegiéndolo de la interceptación, ataques de hombre en medio y escuchas. Azure Storage proporciona múltiples mecanismos –desde la aplicación obligatoria de HTTPS hasta el cifrado de SMB para acciones de archivos– para asegurar que los datos nunca se transmiten en texto claro.

HTTPS Enforcement

Todos los puntos de referencia Azure Storage soportan HTTPS (HTTP sobre TLS 1.2 o superior). Por defecto, tanto HTTP como HTTPS son aceptados, pero la mejor práctica es enforce secure transfer] a nivel de la cuenta de almacenamiento. Este ajuste rechaza cualquier solicitud hecha sobre HTTP, bloqueando conexiones de clientes malconfigurados o aplicaciones heredadas que no admiten la transferencia de un portal Azure.

Cuando se construyen aplicaciones que consumen Azure Storage, siempre usen el esquema URI en cadenas de conexión. Para el desarrollo y la prueba, asegúrese de que no se utilicen puntos finales HTTP en tuberías de producción. Los SDKs Azure imponen HTTPS por defecto cuando usan cadenas de conexión que incluyen el sufijo de punto final predeterminado.

Requisitos de la versión TLS

Azure Storage admite TLS 1.0, 1.1 y 1.2 desde el lado cliente. Sin embargo, Microsoft aconseja desactivar TLS 1.0 y 1.1 para cumplir con los estándares de seguridad modernos. Empezando con el Azure Storage REST API versión 2021-06-08, puede establecer una versión menos TLS] requerimiento en el nivel de la cuenta de almacenamiento.

Para configurar la versión TLS mínima:

  • Vaya a la cuenta de almacenamiento en el portal Azure.
  • Seleccione Configuración] bajo la sección Seguridad + networking.
  • Establecer la versión Minimum TLS a 1.2.

Esta configuración se aplica a todos los puntos finales, incluyendo Blob, File, Queue y Table storage. Audit para cualquier aplicación heredada que pueda confiar en TLS 1.0 o 1.1 antes de hacer cumplir la actualización.

Encriptación SMB para archivos Azure

Azure Files utiliza el protocolo Server Message Block (SMB) para el acceso a la cuota de archivos. SMB 3.0 e incluye una cifrado incorporado que protege datos en tránsito entre el cliente y la cuota de archivo. Cuando accede a una cuota de archivo Azure de un cliente compatible (Windows 8/Server 2012 o posterior, Linux con el cliente del kernel de CIFS 4.0+), la conexión se cifra automáticamente en la red.

Para clientes en locales que se conectan vía VPN o ExpressRoute, el cifrado SMB garantiza que los datos que atraviesan la red pública (cuando sea aplicable) sigan siendo confidenciales. En las redes internas de Azure, se recomienda encriptar aún para protegerse contra posibles ataques de movimiento lateral dentro del centro de datos.

Puntos finales privados y puntos finales de servicio

Mientras que el cifrado protege los datos en tránsito, los controles de nivel de red reducen aún más la exposición. Azure Private Endpoints] asigna una dirección IP privada a la cuenta de almacenamiento desde su red virtual, llevando efectivamente el servicio de almacenamiento dentro de su red VNet. El tráfico entre su red virtual y la cuenta de almacenamiento viaja por la red de backbone de Microsoft, no por Internet público.

Los puntos finales de servicio proporcionan un beneficio similar a nivel de subred pero sin una IP privada. Ambas opciones se integran perfectamente con SSE y configuraciones de cifrado en tránsito.

Gestión y rotación clave

El cifrado eficaz depende de prácticas claves fuertes. Incluso con SSE utilizando claves gestionadas por plataformas, su organización mantiene la propiedad de los datos y la responsabilidad legal de su protección. Las claves deben ser rotadas periódicamente para limitar el impacto de un compromiso clave potencial o para satisfacer requisitos de cumplimiento como PCI DSS, HIPAA o SOC 2.

Para las cuentas de almacenamiento que utilizan CMK, la rotación se gestiona a través de Azure Key Vault. Puede configurar la rotación automática mediante la configuración de una política de rotación en la clave – por ejemplo, cada 90 días. Azure Storage recoge la nueva versión clave y vuelve a encriptar las claves de cifrado de datos con la última clave. No se requiere tiempo de inactividad o intervención manual. Para las teclas administradas por plataforma (SSE predeterminado), Microsoft rota internamente sin visibilidad del cliente.

La auditoría de uso clave es directa con registros diagnósticos de Bóveda Clave. Exportar registros a un espacio de trabajo Log Analytics o almacenamiento de azufre y establecer alertas para operaciones como , , o . Cualquier patrón de acceso clave inesperado podría indicar un intento de de desciframiento no autorizado.

Trae tu propia llave (BYOK) con HSM

Para las organizaciones de industrias altamente reguladas, Azure Key Vault Managed HSM ofrece un módulo de seguridad de hardware validado de nivel 140-2 (HSM) para almacenar claves de cifrado. Puede generar la clave en los locales y transferirla de forma segura al HSM mediante un proceso llamado Traer su propia clave (BYOK).

Cumplimiento y alineación regulatoria

Encryption in Azure Storage maps directly to compliance requirements across major frameworks. SSE cumple los mandatos de cifrado en reposo en ISO 27001, SOC 2, y FedRAMP Moderate. Encriptación de infraestructura se alinea con los requisitos para el cifrado de doble capa visto en estándares federales específicos. CMK proporciona la separación clave necesaria para CJIS (Criminal Justice Information Services) y IRS 1075 datos independientes donde no tienen acceso.

Es su responsabilidad verificar que su configuración de cifrado elegida cumple con los controles específicos en su ámbito de cumplimiento. Azure proporciona documentación de cumplimiento e informes de auditoría a través de la página Microsoft Compliance Offerings . Use Azure Policy para hacer cumplir los ajustes de cifrado en toda su organización, como requerir CMK para todas las cuentas de almacenamiento que contengan datos de producción o enviar una versión mínima de TLS de 1.2.

Consideraciones de la ejecución

Encriptación en Azure Storage introduce una sobrecarga mínima. SSE funciona a nivel de nodos de almacenamiento y está optimizado para rendimiento. En la mayoría de los puntos de referencia, el costo de CPU de la encriptación AES-256 está muy por debajo de la latencia de la red I/O. La cifrado de infraestructura añade un pequeño costo de amplificación de escritura, pero para las cargas de trabajo típicas (contablaciones de bloques generales) del 5%)

CMK añade latencia de red para operaciones de desvío clave porque el servicio de almacenamiento debe llamar a Key Vault para descifrar el DEK en cada montura o embrague. Esta latencia es típicamente inferior a 10 ms por llamada, y el resultado está en caché, por lo que las solicitudes posteriores dentro de la misma sesión no incurren en la parte superior.

Resumen de las mejores prácticas

Implementar el cifrado en Azure Storage requiere planificación pero no complejidad. Las siguientes prácticas le ayudarán a construir una postura de encriptación robusta:

  • Verify SSE is enabled. Está en forma predeterminada, pero auditando cuentas existentes creadas con versiones anteriores de Azure Storage API o herramientas de gestión para asegurar que ninguna cuenta tenga descifrado deshabilitado.
  • Permitir la ejecución segura de transferencias en cada cuenta de almacenamiento para garantizar la comunicación sólo con HTTPS.
  • Set minimum TLS version to 1.2 en todas las cuentas de almacenamiento de producción. Prueba la compatibilidad de cliente heredada antes de la ejecución.
  • Use claves gestionadas por el cliente para cargas de trabajo sujetas a requisitos de cumplimiento que encomiendan el control clave o la separación de funciones.
  • ]Encriptación de infraestructura de implementación si su marco de cumplimiento requiere explícitamente encriptación de doble capa.
  • Rotate keys regularly –automatizar la rotación usando las políticas de Key Vault para evitar errores manuales.
  • Operaciones de encriptación de monitor] a través de diagnósticos de Azure Monitor y Key Vault. Establecer alertas para borrar claves, desactivar o intentar fallas de acceso.
  • Use Azure Policy] para hacer cumplir los requisitos de cifrado, como exigir CMK para ciertos grupos de recursos o bloquear el acceso HTTP.
  • Consider client-side encryption] para datos ultrasensibles que deben encriptarse antes de llegar a Azure Storage. Las bibliotecas cliente de Azure Storage apoyan esto, pero añade complejidad y debe ser reservado para escenarios excepcionales.
  • Prueba su plan de recuperación de desastres] con las teclas CMK. Si su Bóveda Clave está en una región diferente y falla, ¿puede todavía acceder a su cuenta de almacenamiento? Utilice la replicación de clave de múltiples registros o una Bóveda de respaldo.

Al encriptar en reposo, encriptar en tránsito y una gestión clave fuerte, se puede lograr una postura de seguridad que satisfaga las exigencias del cumplimiento de la empresa moderna sin sacrificar el rendimiento o la simplicidad operacional. Para más detalles, consulte la ]Azure Storage Service Encryption documentation y la ]]