Sélectionner et configurer les méthodes appropriées pour la protection contre les menaces de sécurité des données, y compris la suppression réversible, les sauvegardes, le contrôle de version et le stockage immuable
Stockage Azure fournit une protection complète des données pour le stockage Blob et Azure Data Lake Storage Gen2 afin de vous aider à préparer les scénarios où vous devez récupérer des données qui ont été supprimées ou remplacées. La protection des données est un composant essentiel de votre stratégie de sécurité, en s’alignant sur les principes de confiance zéro en supposant une violation et en garantissant que vous pouvez récupérer des incidents de sécurité. Il est important de réfléchir à la façon de mieux protéger vos données avant qu’un incident ne se produise, ce qui peut compromettre, qu’il s’agisse d’acteurs malveillants, de suppression accidentelle ou d’erreurs opérationnelles.
Recommandations pour la protection de base des données
Si vous recherchez une couverture de protection des données de base pour votre compte de stockage et les données qu’il contient, Microsoft vous recommande de commencer par les étapes suivantes :
- Configurez un verrou Azure Resource Manager sur le compte de stockage pour protéger le compte contre les modifications de suppression ou de configuration. Cela empêche la suppression accidentelle ou non autorisée de l’ensemble du compte de stockage.
- Activez la suppression réversible de conteneur pour le compte de stockage afin de récupérer un conteneur supprimé et son contenu. Cela fournit un filet de sécurité contre la suppression accidentelle de conteneurs.
-
Enregistrez l’état d’un blob à intervalles réguliers :
- Pour les charges de travail du Stockage Blob, activez le contrôle de version des blobs pour enregistrer automatiquement l’état de vos données chaque fois qu’un blob est remplacé.
- Pour les charges de travail d’Azure Data Lake Storage, prenez des captures instantanées manuelles pour enregistrer l’état de vos données à un moment précis dans le temps.
Vue d’ensemble des options de protection des données
Le tableau suivant récapitule les options disponibles dans Stockage Azure pour les scénarios de protection des données courants. Choisissez les scénarios qui s’appliquent à votre situation pour en savoir plus sur les options disponibles. Pour l’heure, certaines fonctionnalités ne sont pas disponibles pour les comptes de stockage dans lesquels un espace de noms hiérarchique est activé.
Remarque de sécurité : L’implémentation de plusieurs couches de protection des données offre une protection approfondie et garantit que vous pouvez récupérer à partir de différents types d’incidents, notamment les attaques par ransomware, les suppressions accidentelles et les modifications de données malveillantes.
| Scénario | Option de protection des données | Recommandations | Avantage de la protection | Disponible pour Data Lake Storage |
|---|---|---|---|---|
| Empêcher la suppression ou la modification d’un compte de stockage. | Verrou Azure Resource Manager Approfondissez le sujet... |
Verrouillez l’ensemble de vos comptes de stockage avec un verrou Azure Resource Manager pour empêcher la suppression du compte de stockage. | Protège le compte de stockage contre la suppression et les changements de configuration. Ne protège pas les conteneurs ou objets blob du compte contre la suppression ou le remplacement. |
Oui |
| Empêcher la suppression d’une version du blob pendant un intervalle que vous contrôlez. | Stratégie d’immutabilité sur une version d’objet blob Approfondissez le sujet... |
Définissez une stratégie d’immuabilité sur une version individuelle du blob pour protéger des documents vitaux pour l’entreprise, par exemple, en réponse à des exigences de conformité légales ou réglementaires. | Empêche la suppression d’une version de blob et le remplacement de ses métadonnées. Une opération de remplacement crée une nouvelle version. Si l’immuabilité au niveau de la version est activée pour au moins un conteneur, le compte de stockage est également protégé contre la suppression. La suppression du conteneur échoue si au moins un blob existe dans le conteneur. |
Non |
| Empêcher la suppression ou la modification d’un conteneur et de ses blobs pendant un intervalle de temps que vous contrôlez. | Stratégie d’immuabilité sur un conteneur Approfondissez le sujet... |
Définissez une stratégie d’immuabilité sur un conteneur pour protéger des documents vitaux pour l’entreprise, par exemple, en réponse à des exigences de conformité légales ou réglementaires. | Protège un conteneur et ses blobs contre les suppressions et les remplacements. Quand une stratégie de conservation légale ou de rétention à durée déterminée est activée, le compte de stockage est également protégé contre la suppression. Les conteneurs pour lesquels aucune stratégie d’immuabilité n’a été définie ne sont pas protégés contre la suppression. |
Oui |
| Restaurer un conteneur supprimé dans un intervalle spécifié. | Suppression réversible de conteneur Approfondissez le sujet... |
Activez la suppression réversible de conteneur pour tous les comptes de stockage, avec un intervalle de rétention minimal de sept jours. Activez le contrôle de version et la suppression réversible des blobs avec une suppression réversible de conteneur pour protéger des blobs individuels dans un conteneur. Stockez les conteneurs qui nécessitent différentes périodes de rétention dans des comptes de stockage distincts. |
Vous pouvez restaurer un conteneur et son contenu supprimés pendant la période de rétention. Seules des opérations de niveau conteneur (par exemple, Supprimer le conteneur) peuvent être restaurées. La suppression réversible de conteneur ne vous permet pas de restaurer un objet blob individuel dans le conteneur si cet objet blob est supprimé. |
Oui |
| Enregistrer automatiquement l’état d’un objet blob dans une version antérieure quand il est remplacé. | Contrôle de version des objets blob Approfondissez le sujet... |
Activez le contrôle de version des blobs, ainsi que la suppression réversible de conteneur et de blob, pour les comptes de stockage où vous avez besoin d’une protection optimale pour les données de blob. Stockez les données blob qui ne nécessitent pas de contrôle de version dans un compte distinct pour limiter les coûts. |
Chaque opération d’écriture de blob crée une nouvelle version. La version actuelle d’un objet blob peut être restaurée à partir d’une version antérieure si la version actuelle est supprimée ou remplacée. | Non |
| Restaurer un blob supprimé ou une version de blob dans un intervalle spécifié. | Suppression réversible de blob Approfondissez le sujet... |
Activez la suppression réversible d’objet blob pour tous les comptes de stockage, avec un intervalle de rétention minimal de sept jours. Activez le contrôle de version de blob et la suppression réversible de conteneur avec la suppression réversible de blob pour une protection optimale des données de blob. Stockez les blobs qui nécessitent différentes périodes de rétention dans des comptes de stockage distincts. |
Vous pouvez restaurer un blob supprimé ou une version de blob au cours de la période de rétention. | Oui |
| Restaurer un ensemble d’objets blob de blocs à un point antérieur dans le temps. | Restauration dans le temps Approfondissez le sujet... |
Pour utiliser une restauration à un instant dans le passé afin de revenir à un état antérieur, concevez votre application pour supprimer des objets blob de blocs individuels au lieu de supprimer des conteneurs. | Un ensemble d’objets blob de blocs peut être rétabli dans l’état où il était à un point spécifique dans le passé. Seules les opérations effectuées sur des objets blob de blocs sont annulées. Les opérations effectuées sur les conteneurs, objets blob de pages ou objets blob d’ajout ne sont pas annulées. |
Non |
| Enregistrer manuellement l’état d’un blob à un moment donné. | Instantané d’objet blob Approfondissez le sujet... |
Solution recommandée en remplacement du contrôle de version d’objet blob quand le contrôle de version n’est pas adapté à votre scénario, pour des raisons de coût ou autres, ou quand un espace de noms hiérarchique est activé pour le compte de stockage. | Vous pouvez restaurer un blob remplacé à partir d’une capture instantanée. Si le blob est supprimé, les captures instantanées le sont également. | Oui |
| Un blob peut être supprimé ou remplacé, mais les données sont copiées régulièrement dans un deuxième compte de stockage. | Solution personnalisée pour copier les données vers un deuxième compte à l’aide de la réplication d’objet de Stockage Azure ou d’un outil tel qu’AzCopy ou Azure Data Factory. | Recommandé pour protéger votre tranquillité d’esprit contre des actions intentionnelles inattendues ou des scénarios imprévisibles. Créez le deuxième compte de stockage dans la même région que le compte principal afin d’éviter les frais de sortie. |
Les données peuvent être restaurées à partir du deuxième compte de stockage si le compte principal est compromis d’une manière ou d’une autre. | AzCopy et Azure Data Factory sont pris en charge. La réplication d’objet n’est pas prise en charge. |
Protection des données par type de ressource
Le tableau suivant récapitule les options de protection des données de Stockage Azure en fonction des ressources qu’elles protègent.
| Option de protection des données | Protège un compte contre la suppression | Protège un conteneur contre la suppression | Protège un objet contre la suppression | Protège un objet contre les remplacements |
|---|---|---|---|---|
| Verrou Azure Resource Manager | Oui | Non | Non | Non |
| Stratégie d’immutabilité sur une version d’objet blob | Oui | Oui | Oui | Oui |
| Stratégie d’immuabilité sur un conteneur | Oui | Oui | Oui | Oui |
| Suppression réversible de conteneur | Non | Oui | Non | Non |
| Contrôle de version des objets blob | Non | Non | Oui | Oui |
| Suppression réversible de blob | Non | Non | Oui | Oui |
| Restauration dans le temps | Non | Non | Oui | Oui |
| Instantané d’objet blob | Non | Non | Non | Oui |
| Solution personnalisée pour copier des données vers un deuxième compte | Non | Oui | Oui | Oui |
La compréhension des nuances de protection des données dans Stockage Azure révèle plusieurs insights opérationnels et restrictions importants pour la sécurité et la conformité :
- Un verrou Azure Resource Manager ne protège pas un conteneur contre la suppression, seul le compte de stockage lui-même.
- La suppression du compte de stockage échoue s’il existe au moins un conteneur avec un stockage immuable au niveau de la version activé, ce qui offre une protection contre la suppression accidentelle du compte.
- La suppression du conteneur échoue si au moins un blob existe dans le conteneur, que la stratégie d'immuabilité soit verrouillée ou non.
- Le remplacement du contenu de la version actuelle de l’objet blob crée une nouvelle version. Une stratégie d’immuabilité protège les métadonnées d’une version contre le remplacement, ce qui garantit l’intégrité des données.
- Quand une stratégie de conservation légale ou de rétention à durée déterminée est en vigueur au niveau du conteneur, le compte de stockage est également protégé contre la suppression, ce qui garantit la conformité.
- Actuellement non pris en charge pour les charges de travail du stockage Data Lake (s’applique au contrôle de versions d’objets blob et à la restauration à un instant dans le passé).
- AzCopy et Azure Data Factory sont des options prises en charge pour les charges de travail Stockage Blob et Data Lake Storage. La réplication d’objets est prise en charge uniquement pour les charges de travail de Stockage Blob.
Récupérer des données supprimées ou remplacées
Si vous devez récupérer des données qui ont été remplacées ou supprimées, la façon de procéder dépend des options de protection des données que vous avez activées et de la ressource concernée. Le tableau suivant décrit les actions que vous pouvez entreprendre pour récupérer les données.
| Ressource supprimée ou remplacée | Actions de récupération possibles | Exigences pour la récupération |
|---|---|---|
| Storage account | Tenter de récupérer le compte de stockage supprimé |
Le compte de stockage a été créé à l’origine avec le modèle de déploiement Azure Resource Manager, et a été supprimé au cours des 14 derniers jours. Aucun nouveau compte de stockage portant le même nom n’a été créé depuis la suppression du compte d’origine. |
| Conteneur | Récupérer le conteneur supprimé de manière réversible et son contenu |
La suppression réversible de conteneur est activée, et la période de rétention de suppression réversible de conteneur n’a pas encore expiré. |
| Conteneurs et objets blob | Restaurer des données à partir d’un deuxième compte de stockage | Toutes les opérations de conteneur et de blob ont été répliquées sur un deuxième compte de stockage. |
| Blob (tout type) | Restaurer un objet blob à partir d’une version précédente |
Le contrôle de version de blob est activé, et le blob a une ou plusieurs versions précédentes. |
| Blob (tout type) | Récupérer un blob supprimé de manière réversible |
La suppression réversible d’objet blob est activée et la période de rétention de suppression réversible n’a pas expiré. |
| Blob (tout type) | Restaurer un blob à partir d’un instantané |
Le blob a une ou plusieurs captures instantanées. |
| Ensemble d’objets blob de blocs | Récupérer un ensemble d’objets blob de blocs dans l’état où ils étaient à un point antérieur dans le temps |
La restauration à un instant dans le passé est activée et le point de restauration s’inscrit dans l’intervalle de rétention. Le compte de stockage n’a pas été compromis ou endommagé. |
| Version de blob | Récupérer une version supprimée de manière réversible |
La suppression réversible d’objets blob est activée |
Récapitulatif des considérations relatives au coût
| Option de protection des données | Considérations relatives aux coûts |
|---|---|
| Verrou Azure Resource Manager pour un compte de stockage | Aucuns frais pour configurer un verrou sur un compte de stockage. |
| Stratégie d’immutabilité sur une version d’objet blob | Aucun frais pour activer l’immuabilité au niveau de la version sur un conteneur. La création, la modification ou la suppression d’une stratégie de conservation légale ou de rétention limitée dans le temps portant sur une version blob entraîne des frais de transaction d’écriture. |
| Stratégie d’immuabilité sur un conteneur | Aucuns frais pour configurer une stratégie d’immuabilité sur un conteneur. |
| Suppression réversible de conteneur | Aucuns frais pour activer la suppression réversible de conteneur pour un compte de stockage. Les données d’un conteneur supprimé de manière réversible sont facturées au même tarif que les données actives jusqu’à ce que le conteneur supprimé de manière réversible soit supprimé définitivement. |
| Contrôle de version des objets blob | Aucuns frais pour activer le contrôle de version de blob pour un compte de stockage. Une fois le contrôle de version de blob activé, chaque opération d’écriture ou de suppression sur un blob dans le compte crée une nouvelle version, ce qui peut entraîner des coûts de capacité accrus. Une version de blob est facturée sur la base de pages ou de blocs uniques. Par conséquent, les coûts augmentent à mesure que le blob de base diverge d’une version particulière. La modification du niveau d’un blob ou d’une version de blob peut avoir une incidence sur la facturation. Pour plus d’informations, consultez Tarification et facturation. Utilisez la gestion du cycle de vie pour supprimer des versions antérieures en fonction des besoins afin de contrôler les coûts. Pour plus d’informations, consultez Optimiser les coûts en automatisant les niveaux d’accès au Stockage Blob Azure. |
| Suppression réversible de blob | Aucun frais pour activer la suppression réversible de blob pour un compte de stockage. Les données d’un blob supprimé de manière réversible sont facturées au même tarif que les données actives jusqu’à ce que le blob supprimé de manière réversible soit supprimé définitivement. |
| Restauration dans le temps | Aucuns frais pour activer la restauration à un instant dans le passé pour un compte de stockage. En revanche, l’activation de la restauration à un instant dans le passé a aussi pour effet d’activer le contrôle de version d’objet blob, la suppression réversible et le flux de modification, qui peuvent chacun occasionner des frais supplémentaires. Vous êtes facturé pour la restauration à un instant dans le passé quand vous effectuez une opération de restauration. Le coût d’une opération de restauration dépend de la quantité de données restaurées. Pour plus d’informations, consultez Tarification et facturation. |
| Instantanés d’objet blob | Les données d’un instantané sont facturées sur la base de pages ou de blocs uniques. Par conséquent, les coûts augmentent à mesure que le blob de base diverge de la capture instantanée. La modification du niveau d’un blob ou d’une capture instantanée peut avoir une incidence sur la facturation. Pour plus d’informations, consultez Tarification et facturation. Utilisez la gestion du cycle de vie pour supprimer des captures instantanées antérieures en fonction des besoins afin de contrôler les coûts. Pour plus d’informations, consultez Optimiser les coûts en automatisant les niveaux d’accès au Stockage Blob Azure. |
| Copier des données dans un deuxième compte de stockage | La maintenance des données dans un deuxième compte de stockage occasionne des coûts de capacité et de transaction. Si le deuxième compte de stockage se trouve dans une région différente de celle du compte source, la copie des données vers ce deuxième compte entraînera en sus des frais de sortie. |
Récupération d'urgence
Le service Stockage Azure conserve toujours plusieurs copies de vos données de façon à les protéger contre des événements planifiés ou non, notamment des défaillances matérielles temporaires, des pannes de réseau ou de courant et des catastrophes naturelles majeures. La redondance garantit que votre compte de stockage répond à ses objectifs en termes de disponibilité et de durabilité, même en cas de panne.
Si une défaillance se produit dans un centre de données et que votre compte de stockage est redondant sur deux régions géographiques (géoredondant), vous avez la possibilité de basculer votre compte de la région primaire vers la région secondaire. Cette fonctionnalité est essentielle pour la continuité d’activité et la planification de la reprise d’activité.
Important
Le basculement géré par le client n’est actuellement pas pris en charge pour les comptes de stockage dans lesquels un espace de noms hiérarchique est activé.
Meilleures pratiques pour l’implémentation de la protection des données
Lors de l’implémentation de la protection des données pour stockage Azure, tenez compte des recommandations suivantes :
- Implémentez la défense en profondeur : utilisez plusieurs mécanismes de protection ensemble. Par exemple, combinez le versionnage des blobs, la suppression logique et les stratégies d’immuabilité afin d'assurer une protection complète contre différents types de perte de données.
- Tests réguliers : testez régulièrement vos procédures de récupération de données pour vous assurer qu’elles fonctionnent comme prévu et que votre équipe est familiarisée avec le processus de récupération.
- Planification de la période de rétention : définissez les périodes de rétention appropriées en fonction de vos exigences de conformité, mais tenez également compte des coûts de stockage associés à la conservation des données et versions supprimées de manière réversible.
- Utilisez des stratégies d’immuabilité pour la conformité : pour les secteurs réglementés, appliquez des stratégies d’immuabilité sur des conteneurs ou des versions d’objets blob pour satisfaire aux exigences de conformité WORM (écriture unique, lecture multiple).
- Surveiller l’état de la protection : utilisez Azure Monitor et Azure Policy pour suivre les fonctionnalités de protection des données activées et identifier les lacunes dans votre stratégie de protection.
- Documentez votre stratégie : conservez une documentation claire de votre configuration de protection des données, notamment les fonctionnalités activées, les périodes de rétention et les procédures de récupération.
- Considérez les coûts par rapport à la protection : bien que la protection complète des données soit importante, équilibrez le niveau de protection contre les coûts de stockage. Utilisez des stratégies de gestion du cycle de vie pour supprimer automatiquement les anciennes versions et les captures instantanées en fonction de vos besoins.
- Géoredondance pour les données critiques : pour les données critiques pour l’entreprise, utilisez le stockage géoredondant (GRS ou GZRS) pour garantir la disponibilité des données même si une région entière devient indisponible.
- Combiner avec des solutions de sauvegarde : pour une protection supplémentaire, envisagez d’utiliser sauvegarde Azure pour Azure Files ou des solutions de sauvegarde tierces qui fournissent des options de récupération supplémentaires et une rétention à long terme.