Segurança do Ambiente de Armazenamento de Objetos RNP
Aqui você encontra algumas informações de segurança da solução de Armazenamento Zadara, que foi adotada para a solução.
Levamos a sério e tornamos a segurança parte integrante de nossa oferta de armazenamento de objetos para Backup da RNP.
Com várias camadas de segurança, nossos clientes podem utilizar de privacidade e proteção de dados de ponta a ponta, desde a infraestrutura de armazenamento físico da solução até o link que suporta a transferência dos dados.
Classificação de dados
De um modo geral, a RNP mantém 3 tipos de dados em suas nuvens com a tecnologia Zadara, adotada para nossa solução de armazenamento:
Dados do cliente: Os clientes que usam o Ambiente da Zadara VPSA mantêm seus dados em volumes/contêineres que criam no Zadara Cloud. Como a RNP não tem visibilidade dos dados do cliente, tratamos tudo como informação mais sensível e crítica. O acesso é restrito apenas ao proprietário dos dados. É responsabilidade do cliente definir os requisitos de proteção de dados e alta disponibilidade para esses dados. A RNP fornece as ferramentas para garantir a privacidade, disponibilidade e proteção dos dados.
Dados de configuração do cliente: Esta categoria se refere aos metadados para os dados do cliente. A RNP usa esses dados para manter e proteger os dados do cliente. São dados críticos para a operação do sistema, mas não contêm nenhuma informação sensível. A RNP é responsável por protegê-lo e apoiá-lo.
Informações do cliente: Este é o banco de dados dos clientes da RNP que contém detalhes como informações de contato, endereços de e-mail e detalhes de cobrança. São dados altamente confidenciais, mas não críticos. A Zadara é responsável por protegê-lo e apoiá-lo. Essas informações são mantidas e protegidas pela Salesforce.com.
Segurança física
Nas instalações do IDC RNP (On Premisse), o cliente assume a responsabilidade pela segurança física, saúde física e acesso aos sistemas Zadara.
A RNP dispôe dos seguintes atributos físicos importantes de segurança:
Controles de acesso biométrico;
Vigilância 24x7;
Fontes de alimentação e geradores redundantes;
Supressão de incêndio robusta;
Controle climático cuidadosamente monitorado (para proteger os servidores que armazenam dados do cliente) .
Controle de Acesso Lógico
Comunicação segura
O Zadara Provisioning Portal, Command Center e Zadara VPSA ® expõem chamadas API RESTfull via HTTPS. Isso requer comunicação criptografada por SSL de 256 bits e identifica com segurança o servidor web Zadara com o qual o cliente está se comunicando.
O cliente GUI VPSA também se comunica com a API RESTfull do servidor web VPSA via HTTPS para garantir o mesmo nível de segurança.
O VPSA de cada cliente usa uma chave secreta de 128 bits para criptografar o segredo do CHAP, usando o padrão de criptografia avançada (AES), antes de armazenar o segredo do CHAP no disco.
Para a comunicação HTTPS, os usuários podem usar o certificado interno do Zadara ou trazer seus próprios certificados.
Gerenciamento de identidade
O Portal de provisionamento gera uma senha de inquilino aleatória de 128 bits e fornece essa senha, em formato criptografado, para o servidor de gerenciamento de identidade.
O ambiente de armazenamento ZADARA oferece um portal de provisionamento que suporta a autenticação de fator duplo usando o aplicativo móvel autenticador.
O Zadara Storage emprega um mecanismo de autenticação baseado em sessão como meio de identificar um usuário para cada solicitação HTTP para um VPSA.
Dados privados
Arquitetura VPSA
A arquitetura VPSA fornece os blocos de construção básicos para garantir total privacidade de dados para os usuários do Zadara:
Cada Controlador Virtual VPSA recebe recursos de computação dedicados (RAM e CPU vCores) e recursos de rede dedicados (NIC VFs) para particionar a manipulação de dados da pilha de IO por inquilino.
As unidades físicas são a unidade básica de alocação de armazenamento. Como resultado, apenas um único VPSA e, portanto, um único locatário tem acesso a qualquer unidade física.
As unidades físicas são expostas como iSCSI LUNs aos controladores virtuais VPSA por meio de uma rede de back-end separada, que não é acessível de fora do Zadara Storage Cloud.
O SCSI LUN Masking baseado em IQN é usado para garantir que as unidades de disco físicas sejam expostas apenas ao sistema VPSA autorizado.
Cada inquilino pode procurar a localização física (pelo número do nó de armazenamento) das unidades atribuídas a ele.
Os Volumes Virtuais de Bloco VPSA são apresentados como iSCSI/FC LUNs e são 'anexados' a Servidores em Nuvem selecionados. Novamente, SCSI LUN Masking e zoneamento FC são usados para impedir o acesso a esses Volumes Virtuais de outros Cloud Servers.
Do ponto de vista da rede, o VPSA recém-criado é isolado na VLAN do cliente que está conectada à Virtual Private Cloud (VPC) do cliente dentro da nuvem pública.
Tenant
O VPSA requer o uso do Challenge-Handshake Authentication Protocol (CHAP) sobre iSCSI para autenticar um servidor em nuvem para um VPSA. O CHAP requer que o Cloud Server e o VPSA conheçam um CHAP Secret compartilhado. Esta informação nunca é divulgada.
Cada VPSA mantém suas credenciais CHAP. Quando um VPSA é criado, ele gera automaticamente um nome de usuário CHAP (correspondente ao nome VPSA) e um segredo CHAP aleatório de 12 caracteres.
Um usuário VPSA pode modificar o nome de usuário CHAP e o segredo CHAP a qualquer momento. As conexões iSCSI existentes permanecerão válidas, mas as novas credenciais serão necessárias para estabelecer novas conexões.
Um usuário VPSA deve inserir esses valores no servidor de nuvem (iniciador iSCSI) para poder estabelecer uma conexão iSCSI com o VPSA.
O VPSA usa uma chave secreta de 128 bits para criptografar o segredo do CHAP, usando o padrão de criptografia avançada (AES), antes de armazenar o segredo do CHAP no disco. A própria chave secreta é armazenada em um local separado no Zadara Storage Cloud. O VPSA recupera a Chave Secreta do Zadara Storage Cloud em tempo de execução, descriptografa o CHAP Secret e o armazena no Kernel Space. Isso significa que o core-dumping do processo de modo de usuário do VPSA não revelará o CHAP Secret descriptografado.
O VPSA suporta autenticação CHAP mútua opcional e segredo CHAP por servidor.
Exclusão de dados
A Zadara aloca unidades dedicadas para cada cliente. Isso permite a destruição das unidades quando os clientes removem dados ou interrompem os serviços. Quando um cliente exclui os dados, ele pode usar a destruição lógica (feita de acordo com o padrão DoD 5220.22-M) ou comprar as unidades usadas da Zadara e destruí-las fisicamente.
Criptografia de dados
Zadara Storage suporta criptografia de dados em repouso (DAR) e dados em trânsito (DIF). Como a criptografia de dados requer sobrecarga de computação, deixamos que os usuários do Zadara avaliem a compensação entre segurança e desempenho. Portanto, a criptografia DAR e DIF são recursos opcionais e estão desabilitados por padrão.
Criptografia de dados em repouso
O gerenciamento de criptografia de dados em repouso é feito no controlador virtual VPSA e é definido volume por volume, ou seja, um usuário pode decidir que alguns volumes são criptografados, enquanto outros não são.
Um VPSA gera uma chave de criptografia aleatória exclusiva de 256 bits por volume criptografado e usa o padrão de criptografia avançada (AES) para criptografar e descriptografar os dados do volume.
As chaves de criptografia de volume são armazenadas no disco como texto cifrado, usando AES com uma chave de criptografia mestre de 256 bits, que é gerada a partir de uma senha de criptografia mestre fornecida pelo usuário.
A Senha Mestra de Criptografia não é salva no disco. Apenas seu hashsum SHA1 é salvo no disco, para fins de verificação. Como é praticamente impossível restaurar a Senha Mestra de Criptografia do hashsum SHA1, cada usuário é totalmente responsável por reter e proteger a Senha Mestra de Criptografia. Durante a operação do VPSA, a própria Senha Mestra de Criptografia é mantida na memória do kernel do VPSA. O core-dumping de qualquer processo do Modo de Usuário dentro do VPSA não revelará a Chave Mestra de Criptografia.
O método acima garante que os dados em repouso criptografados não possam ser acessados sem saber explicitamente a senha de criptografia mestre fornecida pelo usuário, fornecendo assim proteção total aos usuários do Zadara que optam pela criptografia de dados em repouso.
Criptografia de dados em trânsito
Para necessidades de segurança avançadas, o Zadara Storage oferece suporte à criptografia de dados em trânsito entre o servidor de nuvem do usuário e o VPSA usando o Internet Protocol Security (IPSec).
A Zadara usa o protocolo Internet Key Exchange (IKE) para negociar as chaves de criptografia IPSec com o Cloud Server de um usuário. As chaves de criptografia usadas para criptografar o Data-in-Flight são armazenadas apenas na memória do kernel (dos servidores VPSA e Cloud) e nunca são armazenadas em disco de nenhuma forma. Periodicamente, as chaves de criptografia são renegociadas pelos daemons IKE do VPSA e Cloud Servers.
Os usuários que usam sistemas de arquivos SMB no armazenamento Zadara podem usar "SMB Encrypt" para proteger o tráfego de arquivos dos servidores Windows.
Um usuário pode configurar o gatilho de renegociação para cada Cloud Server. Por exemplo, as chaves de criptografia podem ser renegociadas a cada hora, a cada 10 Gb de dados enviados/recebidos, etc.
Criptografia do Tráfego de Gerenciamento
Todo o tráfego de gerenciamento (WEB GUI, etc.) é criptografado usando TLS 1.2.
Backup para armazenamento de objetos
A cópia de dados em repouso S3 ou qualquer outro armazenamento de objeto equivalente é feita usando o protocolo HTTPS, portanto, os dados em trânsito são criptografados usando SSL.
Os dados armazenados no S3 são criptografados usando a criptografia do lado do servidor S3.
Se os dados forem criptografados em repouso no VPSA de origem, eles serão descriptografados antes de serem enviados (por HTTPs) para o armazenamento de objetos
Suporte via Zadara Operations Access
A equipe de operações da Zadara acessa a infraestrutura de nuvem para fins de manutenção.
Todo o tráfego de entrada/saída do Zadara Cloud para a Internet é protegido por um firewall complexo. O acesso é permitido apenas a partir de endereços IP do Zadara Offices e requer login VPN usando autenticação de fator duplo com senha de uso único (OTP).
O acesso aos controladores virtuais também requer autenticação de fator duplo com OTP. Esse acesso é permitido com um conjunto de comandos limitado, sem visibilidade dos sistemas de arquivos do cliente.
O Command Center (ferramenta de gerenciamento de nuvem) pode ser acessado nos escritórios da Zadara apenas usando autenticação de fator duplo com OTP.
O acesso à GUI do VPSA para administradores de nuvem do Zadara é controlado pelo administrador do VPSA.
Zadara mantém rastreamento de auditoria completo para a nuvem e os VPSA's - Log de acesso.
Esta página foi atualizada pela última vez em 20/01/2023.
Last updated