IBM Cloud Cyber Vault – Überblick

IBM Cloud Cyber Vault befindet sich in der Beta-Phase. Diese neue Lösung wird als Beta-Testversion bereitgestellt und steht ausschließlich für Evaluierungs- und Testzwecke für einen begrenzten Zeitraum zur Verfügung. Es werden keine Garantien, SLAs oder Supportleistungen gewährt, und Beta-Produkte sind nicht für den produktiven Einsatz vorgesehen. Lesen Sie die Nutzungsbedingungen von IBM, bevor Sie diese Lösung nutzen. Verwenden Sie IBM Cloud Cyber Vault während der Beta-Phase nicht für Produktions-Workloads.

IBM Cloud Cyber Vault ist eine verwaltete, air-gapped und S3-compatible-Speicherlösung, die unveränderlichen, isolierten Objektspeicher für den Schutz von Unternehmensdaten bietet. Cyber Vault wurde entwickelt, um kritische Daten vor Ransomware, versehentlichem Löschen und Insider-Bedrohungen zu schützen, indem es die im Compliance-Modus funktionierende Object Lock-Aufbewahrung, Verschlüsselung, identitätsbasierte Zugriffsbeschränkungen, Netzwerkisolierung, zeitlich begrenzten Schreibzugriff und automatisch bereitgestellte HMAC-Anmeldepaare in einer einzigen, bereitgestellten Vault-Ressource vereint.

Was ist IBM Cloud Cyber Vault?

IBM Cloud Cyber Vault ist eine Managed- S3-kompatible Speicherlösung, die auf den Primitiven IBM COS und IBM Cloud basiert und eine virtuelle Luftspalte, Unveränderlichkeit mit Object Lock, Verschlüsselung mit verwalteten FIPS 140-2 Level 3-Schlüsseln sowie integrierte Georedundanz bietet.

Wenn Sie einen Cyber Vault erstellen, richtet der Dienst automatisch einen gehärteten COS-Bucket ein, auf den die folgenden Schutzmaßnahmen angewendet werden:

  • Die Aufbewahrung im Compliance-Modus von Object Lock stellt sicher, dass jedes Objekt, das in den Tresor geschrieben wird, gesperrt wird und erst nach Ablauf seiner Aufbewahrungsfrist gelöscht oder überschrieben werden kann. Dieser Schutz kann von keinem Benutzer oder Administrator, auch nicht von Root-Benutzern, außer Kraft gesetzt werden.
  • Alle gespeicherten Daten werden durch Verschlüsselung geschützt. IBM verwaltet und wechselt die Schlüssel, die zur Verschlüsselung der Vault-Daten verwendet werden.
  • IAM-Einschränkungen: Der Cyber Vault wird mit dedizierten HMAC-Anmeldedaten bereitgestellt, deren Gültigkeitsbereich für Lese- und Schreib-Workflows getrennt festgelegt ist. Jeder Berechtigungssatz gewährt die für den jeweiligen Workflow erforderlichen Mindestberechtigungen gemäß einem Modell der geringstmöglichen Berechtigungen.
  • Der zeitlich begrenzte Schreibzugriff beschränkt das Schreiben in den Tresor optional auf ein definiertes tägliches Zeitfenster und stellt so sicher, dass Daten nur während der genehmigten Zeiten geschrieben werden können.
  • Kontextbasierte Einschränkungen (CBR) beschränken den Zugriff auf den Vault auf bestimmte Netzwerkzonen, VPC-CRNs oder private IP-CIDR-Bereiche und gewährleisten so eine Isolierung auf Netzwerkebene.
  • Lesezugriffskontrollen beschränken Lesevorgänge auf ausdrücklich autorisierte Identitäten und unterstützen so das Prinzip der geringsten Berechtigungen über den gesamten Datenlebenszyklus hinweg.

Zusammen sorgen diese Kontrollmaßnahmen für ein verifiziertes, softwaredefiniertes Air-Gap-Modell, das Backup- und Archivdaten vor Ransomware, Datenexfiltration und unbefugten Änderungen schützt.

Wichtigste Funktionen und Merkmale

Aufbewahrungsdauer von Object Lock im Compliance-Modus
Jedem Objekt, das in einem Cyber Vault gespeichert wird, wird automatisch eine Aufbewahrungssperre im Compliance-Modus (WORM – Write Once, Read Many) zugewiesen. Objekte können erst nach Ablauf der konfigurierten Aufbewahrungsfrist gelöscht oder geändert werden. Dies gilt für alle neuen Objekte, unabhängig von der IAM-Rolle des Anfragenden. Die Standardaufbewahrungsdauer kann bei der Erstellung auf einen Wert zwischen 0 und 3.650 Tagen festgelegt werden. Wenn diese Option aktiviert ist, wird 0 keine automatische Aufbewahrungssperre angewendet, sodass die Sicherungssoftware die objektbezogene Aufbewahrung direkt über die S3 Object-Lock-API verwalten kann.
Verschlüsselung
Alle Daten im Vault werden im Ruhezustand mithilfe von AES-256 verschlüsselt. IBM erstellt automatisch Verschlüsselungsschlüssel und wechselt diese regelmäßig, wobei die Schlüssel durch FIPS 140-2 Level 3-zertifizierte HSMs geschützt sind.
HMAC-Anmeldepaare mit festgelegter Gültigkeitsbereich
Beim Anlegen eines Tresors werden automatisch zwei HMAC-Zugangsdatenpaare mit festgelegter Gültigkeitsbereich bereitgestellt: ein Schreibschlüssel zur Verwendung durch Backup-Agenten und ein Leseschlüssel für Wiederherstellungsvorgänge und die Überprüfung im Rahmen von Audits. Anmeldedaten werden beim Aufrufen für einen begrenzten Zeitraum sicher angezeigt.
Schreibzugriff mit Zeitfenster
Wenn auf gesetzt enableTimeWindows ist true, ist der Schreibzugriff auf den Tresor auf ein definiertes tägliches Zeitfenster beschränkt, das durch und accessStartTime ( accessEndTime im Format HH:MM, 24-Stunden-Uhr) festgelegt wird. Schreibvorgänge außerhalb dieses Zeitfensters werden abgelehnt, wodurch Unternehmen strenge Erfassungszeitpläne umsetzen können.
Kontextbasierte Einschränkungen (CBR)
Die Konfiguration cbrRestrictions beschränkt den Zugriff auf den Tresor auf bestimmte Netzwerkzonen. Sie können den Zugriff von bestimmten VPCs eines Kontos (nach VPC-CRN) oder von privaten IP-CIDR-Bereichen (RFC 1918) aus autorisieren. Öffentliche Endpunkte können deaktiviert werden, indem der Zugriff ausschließlich auf private Endpunkte beschränkt wird.
Unveränderliche Konfiguration
Die Vault-Konfiguration ist dauerhaft und kann nach der Erstellung nicht mehr geändert werden. Überprüfen Sie alle Einstellungen sorgfältig, bevor Sie die Bereitstellung vornehmen. In der Beta-Version ist keine Update-API verfügbar.
Asynchrone Bereitstellung
Die Erstellung eines Vaults ist ein asynchroner Vorgang. Die API gibt HTTP mit 202 Accepted dem anfänglichen Status provisioning. zurück. Sie können den Endpunkt für den Vault-Status abfragen, um festzustellen, wann der Vault in den Status übergeht active.

Regionale Verfügbarkeit

IBM Cloud Cyber Vault ist derzeit in der folgenden Region verfügbar:

IBM Cloud Regionale Verfügbarkeit von Cyber Vault
Bereich Standort API-Endpunkt
us-south Dallas, Vereinigte Staaten https://solutions.private.cloud-object-storage.cloud.ibm.com/v1

Die Unterstützung für weitere IBM Cloud-Regionen wird in einer zukünftigen Version aktiviert. Alle Vault-API-Anfragen müssen derzeit us-south an gerichtet sein. Der Versuch, einen anderen Wert für das region Feld in einer Erstellungsanfrage anzugeben, führt zu einem Fehler 400 Bad Request.

Auf alle Vault-Daten kann ausschließlich über private und direkte S3-Endpunkte zugegriffen werden. Für Cyber Vault-Buckets wird kein öffentlicher Endpunkt bereitgestellt.

Voraussetzungen

Bevor Sie einen IBM Cloud Cyber Vault erstellen, stellen Sie sicher, dass Sie über Folgendes verfügen:

  • Ein aktives IBM Cloud-Konto mit der Berechtigung, IBM Cloud-Ressourcen zu erstellen.
  • Eine vorhandene IBM Cloud Object Storage-Instanz (Standard-Tarif) in der Region us-south oder die IAM-Berechtigungen, die erforderlich sind, damit der Cyber Vault-Dienst in Ihrem Namen eine solche Instanz erstellen kann, falls keine angegeben cosInstanceId wird.
  • IAM-Berechtigungen:
    • Um alle Cyber Vaults in der Benutzeroberfläche auflisten zu können, müssen Sie über die Rolle Cyber Vault Reader auf Kontoebene verfügen.
    • Um einen Cyber Vault mit automatischer HMAC-Anmeldeinformationenbereitstellung zu erstellen, müssen Sie über die Rolle Cyber Vault Manager auf Kontoebene sowie über die Rolle Editor oder Administrator auf der Zielinstanz von IBM Cloud Object Storage verfügen.
  • Informationen zu VPCs oder Netzwerkzonen: Die CRNs der VPCs oder die privaten IP-CIDR-Bereiche, von denen aus auf den Tresor zugegriffen wird. Für alle Anträge auf die Erstellung eines Vaults ist eine Netzwerkisolierung erforderlich.

Vault-Status

Die folgende Tabelle beschreibt die möglichen Zustände des Vaults während und nach der Bereitstellung.

Cyber Vault-Status
Status Bedeutung
provisioning Der Tresor wird gerade eingerichtet. Anmeldedaten und Endpunkte sind noch nicht verfügbar.
active Der Tresor ist bereit. S3 Endpunkte, HMAC-Anmeldedaten und alle Sicherheitsrichtlinien sind aktiv.
failed Bei der Bereitstellung ist ein Fehler aufgetreten. In den Details zum Tresor ist eine Fehlermeldung enthalten.
deleting Der Löschvorgang des Vaults wurde eingeleitet.

So funktioniert Cyber Vault

Der folgende End-to-End-Ablauf beschreibt, wie IBM Cloud Cyber Vault Ihre Daten schützt:

  1. Bereitstellung: Sie erstellen einen Cyber Vault, indem Sie Ihre IBM Cloud Object Storage-Instanz, die Region, die Aufbewahrungskonfiguration, die Verschlüsselungseinstellungen und die Zugriffskontrollen angeben. Der Dienst IBM Cloud Object Storage-Lösungen stellt einen dedizierten IBM Cloud Object Storage-Bucket bereit, auf den alle Schutzmaßnahmen automatisch angewendet werden. Zu diesem Zeitpunkt werden zwei HMAC-Anmeldepaare mit begrenztem Geltungsbereich (Schreiben und Lesen) generiert.

  2. Datenerfassung (Schreibfenster): Autorisierte Schreibidentitäten – Backup-Agenten, die den bereitgestellten HMAC-Schreibschlüssel verwenden – schreiben Daten während des zulässigen Zeitfensters in den Tresor (sofern diese Funktion aktiviert ist enableTimeWindows ). Jedes Objekt erhält unmittelbar beim Schreiben ein Aufbewahrungs-Tag für Object Lock im Compliance-Modus.

  3. Durchsetzung der Unveränderlichkeit: Nach der Erstellung kann kein Benutzer – auch nicht der Kontoadministrator oder der Vault-Besitzer – das gesperrte Objekt löschen oder ändern, bis seine Aufbewahrungsfrist abgelaufen ist. Dies wird durch den zugrunde liegenden Object Lock-Compliance-Modus von IBM Cloud Object Storage erzwungen und kann nicht umgangen werden.

  4. Netzwerkisolierung: CBR-Regeln tragen dazu bei, dass der Datenverkehr des Vaults ausschließlich über autorisierte VPCs oder private Netzwerke fließt. Es stehen ausschließlich private und direkte Endpunkte zur Verfügung; es wird kein öffentlicher Endpunkt bereitgestellt.

  5. Wiederherstellung: Autorisierte Leseidentitäten verwenden den bereitgestellten HMAC-Schlüssel für Lesezugriff, um über den privaten oder direkten Endpunkt des Tresors auf Tresordaten zuzugreifen. Der Lesezugriff unterliegt keinen zeitlichen Beschränkungen; er wird ausschließlich über die Konfiguration readIdentities gesteuert.

  6. Lebenszyklus: Objekte werden nach Ablauf ihrer Aufbewahrungsfrist automatisch entsperrt und können dann im Rahmen des standardmäßigen Lebenszyklusmanagements gelöscht werden. Sie können einen Tresor nicht löschen, der noch gesperrte Objekte enthält.

Nächste Schritte