Með geymslu fyrir marga leigjendur deila margir notendur sama innviði, en dulkóðun tryggir að gögn þeirra haldist persónuleg og örugg. Hér eru lykilatriðin:

• Gögn í hvíld: Dulkóðaðu skrár með AES-256 eða notaðu dulkóðun á fullum diski til að vernda geymd gögn.
• Gögn í flutningi: Notaðu TLS 1.3 eða IPsec til að tryggja gögn sem flytjast um netkerfi.
• Einangrun leigjanda: Úthlutaðu einstökum dulkóðunarlyklum fyrir hvern leigjanda til að koma í veg fyrir krossaðgang.
• Lykilstjórnun: Snúðu lyklum reglulega, geymdu þá á öruggan hátt og notaðu fjölþátta auðkenningu til að fá aðgang.
• Aðgangsstýring: Hlutverkatengdar heimildir og rauntímavöktun tryggja rétta meðhöndlun gagna.

Dulkóðun kemur ekki aðeins í veg fyrir gagnaleka heldur verndar einnig gegn líkamlegum þjófnaði, veikleikum á netinu og bilun í aðgangsstýringu. Með því að sameina sterkar dulkóðunaraðferðir með réttri lyklastjórnun og eftirliti, getur umhverfi með mörgum leigjendum verið öruggt og samhæft.

Bestu starfsvenjur til að nota Azure Key Vault í vefþjónustu fyrir marga leigjendur

Helstu dulkóðunaraðferðir

Vernd gagna felur í sér að dulkóða bæði geymdar og sendar upplýsingar með því að nota mörg öryggislög.

Dulkóðun geymslu

Geymsludulkóðun tryggir gögn í hvíld með því að nota tvær meginaðferðir:

Full-Disk dulkóðun (FDE)
Þessi aðferð dulkóðar allt geymsludrif, verndar gegn líkamlegum þjófnaði eða óviðkomandi aðgangi. Það notar venjulega AES-256 staðalinn.

Dulkóðun á skráarstigi
Þessi aðferð úthlutar einstökum dulkóðunarlyklum á einstakar skrár og möppur, sem býður upp á nákvæmari stjórn. Það sameinar venjulega:

• AES fyrir dulkóðun skráarefnis
• RSA fyrir lyklaskipti
• HMAC til að sannreyna heilleika gagna

Net dulkóðun

Dulkóðun netsins tryggir að gögn séu áfram örugg þegar þau fara á milli kerfa og notenda. Algengar samskiptareglur eru:

Transport Layer Security (TLS)
TLS 1.3 býður upp á háþróaða eiginleika eins og:

• Perfect Forward Secretcy (PFS)
• Núll ferð fram og til baka (0-RTT)
• Sterk vörn gegn mann-í-miðju árásum

IPsec (Internet Protocol Security)
IPsec starfar á IP-laginu og veitir:

• Authentication Header (AH) til heilindaskoðunar
• Encapsulating Security Payload (ESP) fyrir dulkóðun
• Internet Key Exchange (IKE) fyrir örugga lykladreifingu

Næsta skref í öflugri dulkóðun er skilvirk lyklastjórnun.

Lykilstjórnun

Rétt lyklastjórnun er nauðsynleg til að viðhalda dulkóðunarheilleika. Gott kerfi inniheldur:

Lyklaframleiðsla og geymsla

• Vélbúnaðaröryggiseiningar (HSM) til að búa til örugga lykla
• Dulkóðuð geymsla með afritum á mörgum stöðum
• Skýr skil milli aðallykla og gagnadulkóðunarlykla

Aðgangsstýring

• Hlutverkabundin aðgangsstýring (RBAC) til að stjórna lykilheimildum
• Fjölþátta auðkenning fyrir mikilvægar lykilaðgerðir
• Alhliða endurskoðunarskrár fyrir alla lykiltengda starfsemi

Lífsferilsstjórnun
Lyklar þurfa reglulega uppfærslur og örugga förgun. Staðlaðar venjur eru meðal annars:

• Snúið gagnadulkóðunarlyklum á ársfjórðungi
• Snúið aðallyklum árlega
• Eyða lyklum á öruggan hátt samkvæmt DOD 5220.22-M stöðlum
• Notkun lykilútgáfu til að viðhalda aðgangi að eldri gögnum

Setja upp dulkóðun með mörgum leigjendum

Við skulum kafa ofan í að stilla dulkóðun með mörgum leigjendum, byggja á dulkóðunaraðferðum og lykilstjórnunaraðferðum sem ræddar voru áðan. Þessi uppsetning tryggir örugga og skilvirka uppsetningu.

Velja dulkóðunargerðir

Til að ná jafnvægi á milli öryggis og frammistöðu skaltu íhuga að nota mörg dulkóðunarlög:

Verndun gagna í hvíld

• Notaðu AES-256 til að dulkóða skrár.
• Sækja um Gagnsær gagnadulkóðun (TDE) fyrir gagnagrunna.
• Virkja dulkóðun hljóðstyrks fyrir sameiginlegt geymsluumhverfi.

Að tryggja gögn í flutningi

• Notaðu TLS 1.3 fyrir öll API samskipti.
• Sækja um dulkóðun frá enda til enda fyrir viðkvæmar aðgerðir.
• Veldu öruggar samskiptareglur fyrir afrit og afritunarferli.

Uppsetning leigjandalykla

Hver leigjandi þarf sinn eigin dulkóðunarlykla til að tryggja einangrun gagna. Hér er hvernig á að stilla þau:

Uppsetning aðallykla

• Mynda a einstakur aðallykill fyrir hvern leigjanda sem notar FIPS 140-2 samhæfðar HSM.
• Geymdu aðallykla í aðskildar öruggar enclaves.
• Sjálfvirkur snúningur lykla á hverjum tíma 90 dagar til að auka öryggi.

Lykiluppbygging leigjanda

• Búa til Gagna dulkóðunarlyklar (DEK) sérstakur fyrir hvern leigjanda.
• Dulkóða DEK með því að nota aðallykil leigjanda.
• Halda aðskildum útgáfum af lyklum til að styðja við endurheimt gagna þegar þörf krefur.

Þessi skref laga lykilstjórnunarferlið að umhverfi með mörgum leigjendum.

Uppsetning aðgangsstýringar

Öflugar aðgangsstýringar eru mikilvægar til að einangra gögn leigjanda á áhrifaríkan hátt:

Auðkenningarrammi

• Notaðu OAuth 2.0 með JWT táknum fyrir örugga auðkenningu.
• Krefjast fjölþátta auðkenning (MFA) fyrir forréttindaaðgerðir.
• Innleiða Hlutverkabundin aðgangsstýring (RBAC) fyrir nákvæma leyfisstjórnun.

Einangrun leigjandagagna

• Úthlutaðu einstökum leigjandaauðkennum til að búa til sérstakt dulkóðunarsamhengi.
• Notaðu sérstaka lyklageymslu fyrir hvern leigjanda til að auka einangrun.

Öryggisstig	Snúningstíðni lykils	MFA krafa	Aðgangur að skráningarumfangi
Basic	Á 180 daga fresti	Valfrjálst	Aðeins lykilviðburðir
Standard	Á 90 daga fresti	Nauðsynlegt fyrir stjórnendur	Allir aðgangsviðburðir
Aukið	Á 30 daga fresti	Nauðsynlegt fyrir alla notendur	Fullir endurskoðunarskrár

Eftirlit og samræmi

• Stilla rauntíma viðvaranir fyrir óviðkomandi aðgangstilraunir.
• Gerðu sjálfvirkan eftirlitseftirlit til að vera í takt við reglur.
• Haltu ítarlegum endurskoðunarskrám fyrir alla dulkóðunartengda starfsemi.

Þessi uppsetning tryggir bæði öryggi og ábyrgð í fjölleigjanda umhverfi.

sbb-itb-59e1987

Öryggisleiðbeiningar

Til að auka vernd viðkvæmra gagna og tryggja samræmi, framfylgja ströngum öryggisráðstöfunum samhliða dulkóðunar- og lykilstjórnunaraðferðum. Þessar leiðbeiningar eru hannaðar til að styrkja öryggi geymsluumhverfis með mörgum leigjendum.

Skipulag fyrir lyklaskipti

Skilgreindu lykilsnúningsbil byggt á næmni gagna og kröfum um samræmi:

Regluleg snúningsbil

Gagnaflokkun	Snúningstíðni	Afritunarkröfur	Uppsagnarfrestur
Gagnrýnið	30 dagar	Daglega utan lóðar	7 dagar
Viðkvæm	90 dagar	Vikulega utan síðunnar	14 dagar
Standard	180 dagar	Mánaðarlega útaf staðnum	30 dagar

Samskiptareglur um neyðarsnúning

• Snúðu lyklum strax ef grunur leikur á málamiðlun.
• Notaðu sérstaka neyðarlykla fyrir mikilvæg kerfi og tryggðu að allar snúningar séu skráðar.

Stöðugt áætlun um lyklaskipti ætti að vera parað við stöðugt eftirlit með virkni kerfisins til að greina frávik við fyrsta tækifæri.

Öryggiseftirlit

Þegar lykilsamskiptareglum hefur verið komið á skaltu viðhalda öryggi með stöðugu og virku eftirliti:

Rauntíma eftirlit

• Fylgstu með lykilnotkun og aðgangsmynstri í rauntíma.
• Settu upp viðvaranir fyrir allar tilraunir til óviðkomandi aðgangs.

Aðgangsmæling

Eftirlitsstig	Mælingar	Viðvörunarþröskuldur	Svartími
Kerfisbreiður	Lyklanotkun, aðgangur	>10 misheppnaðar tilraunir	5 mínútur
Leiganda tiltekið	Gagnaaðgangur, API símtöl	Skyndileg hljóðstyrksaukning	15 mínútur
Stjórnunarlegt	Forréttindarekstur	Allar óheimilar aðgerðir	Strax

Uppfyllir gagnastaðla

Til að samræma dulkóðunarsamskiptareglur skaltu fylgja þessum staðfestu gagnastöðlum:

Samþætting samræmisramma

• Notaðu FIPS 140-2 fullgiltar dulritunareiningar.
• Farið eftir GDPR 32. gr dulkóðunarkröfur.
• Gakktu úr skugga um að lykilstjórnun sé í takt við HIPAA reglugerðum.

Skjalakröfur

• Halda skrár yfir alla helstu stjórnunarstarfsemi.
• Haltu ítarlegum dulkóðunarúttektarslóðum.
• Skráðu verklagsreglur um viðbrögð við atvikum vandlega.

Staðfestingarferli

• Framkvæma eftirlitsúttektir á ársfjórðungi.
• Framkvæma árlega skarpskyggnipróf til að greina veikleika.
• Uppfærðu öryggisvottorð reglulega eftir þörfum.

Algeng vandamál og lagfæringar

Dulkóðun í geymslu með mörgum leigjendum fylgir eigin áskorunum. Hér að neðan munum við takast á við nokkur algeng vandamál og hagnýtar leiðir til að takast á við þau, með áherslu á frammistöðu, lykilstjórnun og jafnvægi á milli öryggi og notagildis.

Hraði og árangur

Dulkóðun getur hægt á aðgerðum vegna aukinnar vinnslu sem hún krefst. Svona á að halda hlutunum gangandi:

• Vélbúnaðarhröðun
  Notkun vélbúnaðarhraðla eins og Intel AES-NI getur dregið úr örgjörvanotkun en viðhalda dulkóðunarstöðlum.
• Skyndiminni aðferðir
  Snjall skyndiminni getur bætt árangur án þess að skerða öryggi. Hér er stutt sundurliðun:

Stig skyndiminni	Framkvæmd	Frammistöðuaukning	Öryggissjónarmið
Minni	Dulkóðuð skyndiminni fyrir virk gögn	Hraðari aðgangur	Lágmarks aukin áhætta
Þing	Tímabundin lyklageymslur	Minni leynd	Skammtímaáhrif
Diskur	Sértæk dulkóðun fyrir tiltekin svæði	Betri I/O skilvirkni	Stillanlegar varnir

Þegar frammistaða hefur verið fínstillt er nauðsynlegt að takast á við hugsanleg vandamál með lykilstjórnendum.

Lykilstjórnunarmál

Rétt lykilstjórnun skiptir sköpum fyrir einangrun leigjenda og heildarheilleika kerfisins. Þriggja hæða lyklakerfi er mjög áhrifaríkt þegar það er útfært á réttan hátt:

• Einangrun leigjanda
  • Gakktu úr skugga um að aðal-, leigjanda- og gagnalyklar séu einangraðir til að koma í veg fyrir aðgang milli leigjenda.
  • Staðfestu að sjálfvirk lykladreifing þoki ekki leigjendamörkum.
  • Notaðu einstaka öryggisafritunaraðferðir fyrir lykla hvers leigjanda á meðan viðhalda sameinuðu endurheimtarferli fyrir stjórnendur.

Lyklastjórnun er aðeins hluti af jöfnunni. Jafn mikilvægt er að samræma sterkt öryggi og þægindi notenda.

Öryggi vs. Auðveldi í notkun

Til að ná réttu jafnvægi milli öryggis og notagildis þarf ígrundaða aðgangsstýringu og sjálfvirkni:

• Hagræðing aðgangsstýringar
  Örugg gögn án þess að gera þau of flókin fyrir notendur með því að innleiða eiginleika eins og:

Eiginleiki	Öryggisstig	Áhrif notenda	Framkvæmd
Einskráning	Hátt	Lágmarks röskun	Þjónusta sambandsins
Hlutverkamiðaður aðgangur	Sterkur	Miðlungs margbreytileiki	Nákvæmar heimildir
Réttlátur aðgangur	Mjög hár	Smá tafir	Tímabundin skilríki

• Sjálfvirkni og samþætting
  Sjálfvirku snúning lykla og notaðu API-drifnar öryggisstýringar til að draga úr handavinnu. Að kynna sjálfsafgreiðslugáttir getur einnig einfaldað venjubundin verkefni.
• Vöktun og viðvaranir
  Settu upp öflugt eftirlitskerfi til að greina og leysa vandamál snemma:
  • Fylgstu með dulkóðunarframmistöðu í rauntíma.
  • Fylgstu með lykilnotkun til að koma auga á frávik.
  • Sjálfvirk viðbrögð við algengum vandamálum.

Reglulegar úttektir og endurgjöf notenda eru nauðsynleg fyrir stöðugar umbætur. Íhugaðu samstarf við veitendur eins og Serverion til að hagræða dulkóðunarstjórnun og takast á við árangursáskoranir á áhrifaríkan hátt.

Samantekt

Þessi hluti tekur saman helstu aðferðir til að tryggja geymslu margra leigjenda með dulkóðun. Lykillinn er að sameina mörg lög af dulkóðun, vélbúnaðarhröðun og snjallt skyndiminni til að vernda gögn á sama tíma og árangursáhrifin eru lítil.

Með því að dulkóða gögn bæði á geymslu- og netstigi og framfylgja ströngri lyklastjórnun, eru leigjandagögn áfram einangruð. Vélbúnaðarhröðun og skilvirk skyndiminni hjálpa til við að draga úr afköstum dulkóðunar, sem tryggir að öryggi hægir ekki á hlutunum.

Kjarnaþættir skilvirkrar dulkóðunar eru:

• Aðgangsstýringar sem byggja á hlutverkum að takmarka aðgang að gögnum
• Skilríkisútvegun á réttum tíma fyrir aukið öryggi
• Sjálfvirk tímaáætlun fyrir lyklaskipti til að koma í veg fyrir varnarleysi
• Reglulegar öryggisúttektir til að greina og takast á við áhættu

Með leigjanda-sértækum lyklum er aðgangsstjórnun styrkt enn frekar með því að:

• Notar einstaka dulkóðunarlykla fyrir hvern leigjanda
• Innleiðing AES-256 og önnur iðnviðurkennd reiknirit
• Viðhald nákvæmar aðgangsskrár fyrir ábyrgð
• Að ráða sjálfvirk eftirlitskerfi til að greina frávik

Tengdar bloggfærslur

• Dulkóðun frá enda til enda fyrir hýsingu útskýrð
• Lyklastjórnun í dulkóðunarhýsingu frá enda til enda
• Gátlisti fyrir Cloud Storage API öryggi
• Hvernig á að tryggja Cloud Storage API tengingar