IBM Cloud Descripción general de Cyber Vault

IBM Cloud Cyber Vault se encuentra en fase beta. Esta nueva solución se ofrece como versión beta y está disponible exclusivamente con fines de evaluación y prueba durante un tiempo limitado. No se ofrecen garantías, acuerdos de nivel de servicio (SLA) ni asistencia técnica, y los productos en fase beta no están destinados a un uso en producción. Consulta las condiciones de servicio de IBM antes de utilizar esta solución. No utilices IBM Cloud Cyber Vault para cargas de trabajo de producción durante el periodo beta.

IBM Cloud Cyber Vault es una solución de almacenamiento gestionada, con aislamiento físico (air-gapped) y basada en la tecnología S3-compatible, que proporciona almacenamiento de objetos inmutable y aislado para la protección de los datos empresariales. Cyber Vault está diseñado para proteger los datos críticos frente al ransomware, el borrado accidental y las amenazas internas, combinando la retención de Object Lock en modo de cumplimiento normativo, el cifrado, las restricciones de acceso basadas en la identidad, el aislamiento de red, el acceso de escritura con ventanas temporales y los pares de credenciales HMAC aprovisionados automáticamente en un único recurso de almacén aprovisionado.

¿Qué es Cyber Vault de IBM Cloud?

IBM Cloud Cyber Vault es una solución de almacenamiento gestionada compatible con S3 que se basa en el COS ( IBM ) y en las primitivas de IBM Cloud, y que proporciona un air gap virtual, inmutabilidad con Object Lock, cifrado con claves gestionadas según la norma FIPS 140-2 Nivel 3 y georedundancia integrada.

Al crear un Cyber Vault, el servicio configura automáticamente un bucket COS reforzado al que se aplican las siguientes protecciones:

  • La retención de Object Lock en modo de cumplimiento garantiza que todos los objetos que se escriben en el almacén queden bloqueados y no puedan eliminarse ni sobrescribirse hasta que expire su periodo de retención. Ningún usuario ni administrador, incluidos los usuarios root, puede anular esta protección.
  • El cifrado protege todos los datos en reposo. IBM gestiona y renueva las claves que se utilizan para cifrar los datos del almacén.
  • Restricciones de IAM: Cyber Vault se aprovisiona con credenciales HMAC específicas, con ámbitos distintos para los flujos de trabajo de lectura y escritura. Cada conjunto de credenciales otorga el conjunto mínimo de permisos necesarios para su flujo de trabajo, siguiendo un modelo de acceso de privilegios mínimos.
  • El acceso de escritura con ventana horaria restringe opcionalmente las escrituras en el almacén a una ventana horaria diaria definida, lo que garantiza que los datos solo se puedan escribir durante las horas autorizadas.
  • Las restricciones basadas en el contexto (CBR) limitan el acceso al almacén a zonas de red específicas, CRN de VPC o rangos CIDR de IP privadas, lo que garantiza el aislamiento a nivel de red.
  • Los controles de acceso de lectura restringen las operaciones de lectura a las identidades autorizadas explícitamente, lo que respalda el principio del mínimo privilegio a lo largo de todo el ciclo de vida de los datos.

En conjunto, estos controles implementan un modelo de air gap verificado y definido por software que protege los datos de copia de seguridad y archivo frente al ransomware, la filtración de datos y la modificación no autorizada.

Características y funcionalidades clave

Retención de Object Lock en modo de cumplimiento normativo
A cada objeto almacenado en un Cyber Vault se le asigna automáticamente un bloqueo de retención WORM (Write Once, Read Many) en modo de cumplimiento normativo. Los objetos no se pueden eliminar ni modificar hasta que expire el periodo de retención configurado. Esto se aplica a todos los objetos nuevos, independientemente del rol de IAM del solicitante. El periodo de retención predeterminado se puede configurar en el momento de la creación entre 0 y 3.650 días. Al configurarlo en no se aplica 0 ningún bloqueo de retención automático, lo que permite que el software de copia de seguridad gestione la retención por objeto directamente a través de la API de bloqueo de objetos de S3.
Cifrado
Todos los datos almacenados en el almacén se cifran en reposo mediante el protocolo AES-256. El IBM crea y renueva automáticamente las claves de cifrado, protegidas por módulos de seguridad de hardware (HSM) con certificación FIPS 140-2 de nivel 3.
Pares de credenciales HMAC con ámbito limitado
Cuando se crea un almacén, se proporcionan automáticamente dos pares de credenciales HMAC con ámbito de aplicación: una clave de escritura para que la utilicen los agentes de copia de seguridad y una clave de lectura para operaciones de recuperación y verificación de auditoría. Las credenciales se muestran de forma segura durante un tiempo limitado cuando se visualizan.
Acceso de escritura con ventana temporal
Cuando enableTimeWindows se establece en true, el acceso de escritura a la bóveda queda restringido a un intervalo de tiempo diario definido, especificado por accessStartTime y ( accessEndTime en formato HH:MM, reloj de 24 horas). Se rechazan las entradas fuera de este intervalo, lo que permite a las organizaciones aplicar calendarios de ingesta estrictos.
Restricciones basadas en el contexto (CBR)
La configuración cbrRestrictions restringe el acceso al almacén a zonas de red específicas. Puede autorizar el acceso desde VPC de cuentas específicas (por CRN de VPC) o desde rangos CIDR de IP privadas (RFC 1918). Los puntos de conexión públicos se pueden desactivar imponiendo un acceso exclusivo a puntos de conexión privados.
Configuración inmutable
La configuración de Vault es permanente y no se puede modificar una vez creada. Revisa cuidadosamente todos los ajustes antes de realizar el aprovisionamiento. En la versión beta no hay ninguna API de actualización disponible.
Aprovisionamiento asíncrono
La creación de un almacén es una operación asíncrona.

La API devuelve un objeto <CODE_INLINE> HTTP </CODE_INLINE> con 202 Accepted un estado inicial de provisioning.

Puedes consultar el punto final de estado del almacén para determinar cuándo el almacén pasa a active.

Disponibilidad regional

IBM Cloud Cyber Vault está disponible actualmente en la siguiente región:

IBM Cloud Disponibilidad regional de Cyber Vault
Región Ubicación Punto final de API
us-south Dallas, Estados Unidos https://solutions.private.cloud-object-storage.cloud.ibm.com/v1

En una próxima versión se habilitará la compatibilidad con regiones adicionales de IBM Cloud. Todas las solicitudes de la API de Vault deben dirigirse us-south en este momento. Si se intenta especificar cualquier otro valor para el region campo en una solicitud de creación, se devuelve un error 400 Bad Request.

Solo se puede acceder a todos los datos del almacén a través de puntos de conexión privados y directos de S3. No hay ningún punto de acceso público expuesto para los buckets de Cyber Vault.

Requisitos previos

Antes de crear un Cyber Vault de IBM Cloud, asegúrate de que dispones de lo siguiente:

  • Una cuenta activa IBM Cloud con la capacidad de crear recursos IBM Cloud.
  • Una cuenta existente ( IBM Cloud Object Storage instancia plan estándar) en la región us-south, o los permisos de IAM necesarios para que el servicio Cyber Vault cree una en su nombre si no cosInstanceId se proporciona ninguna.
  • Permisos de IAM:
    • Para ver una lista de todos los Cyber Vaults en la interfaz de usuario, debes tener el rol de Cyber Vault Reader a nivel de cuenta.
    • Para crear un Cyber Vault con aprovisionamiento automático de credenciales HMAC, debe tener el rol de Cyber Vault Manager a nivel de cuenta y el rol de Editor o Administrador en la instancia de IBM Cloud Object Storage de destino.
  • Información sobre la VPC o la zona de red: los CRN de las VPC o los rangos CIDR de IP privadas desde los que se accederá a la bóveda. Se requiere aislamiento de red para todas las solicitudes de creación de almacenes.

Estados de Vault

La siguiente tabla describe los posibles estados del almacén durante y después del aprovisionamiento.

Estados de Cyber Vault
Estado Significado
provisioning Se está configurando el almacén. Las credenciales y los puntos de conexión aún no están disponibles.
active El almacén está listo. S3 Los puntos finales, las credenciales HMAC y todas las políticas de seguridad están activas.
failed Se ha producido un error durante el aprovisionamiento. Se incluye un mensaje de error en los detalles del almacén.
deleting Se ha iniciado el proceso de eliminación del almacén.

Cómo funciona Cyber Vault

El siguiente flujo de principio a fin describe cómo IBM Cloud Cyber Vault protege sus datos:

  1. Aprovisionamiento: Para crear un Cyber Vault, debe especificar su instancia de IBM Cloud Object Storage, la región, la configuración de retención, los parámetros de cifrado y los controles de acceso. El servicio IBM Cloud Object Storage proporciona un depósito dedicado de IBM Cloud Object Storage con todos los controles de protección aplicados automáticamente. En este momento se generan dos pares de credenciales HMAC con ámbito limitado (escritura y lectura).

  2. Ingesta de datos (ventana de escritura): Las identidades de escritura autorizadas —agentes de copia de seguridad que utilizan la clave HMAC de escritura provisionada— escriben datos en el almacén durante la ventana de tiempo permitida (si enableTimeWindows está habilitada). Cada objeto recibe una etiqueta de retención de Object Lock en modo de cumplimiento inmediatamente después de su escritura.

  3. Aplicación de la inmutabilidad: una vez creado, ninguna identidad —ni siquiera los administradores de la cuenta o el propietario del almacén— puede eliminar ni modificar el objeto bloqueado hasta que expire su periodo de retención. Esto viene impuesto por el modo de cumplimiento Object Lock de IBM Cloud Object Storage subyacente y no se puede eludir.

  4. Aislamiento de red: las reglas CBR ayudan a garantizar que el tráfico de Vault fluya únicamente a través de VPC o redes privadas autorizadas. Solo están disponibles puntos de conexión privados y directos; no se expone ningún punto de conexión público.

  5. Recuperación: Las identidades de lectura autorizadas utilizan la clave HMAC de lectura asignada para acceder a los datos del almacén a través del punto de conexión privado o directo del mismo. El acceso de lectura no está sujeto a restricciones horarias; se controla únicamente mediante la configuración readIdentities.

  6. Ciclo de vida: Los objetos se desbloquean automáticamente una vez que expira su periodo de retención, momento en el que pueden eliminarse como parte de la gestión estándar del ciclo de vida. No se puede eliminar un almacén que aún contenga objetos bloqueados.

Próximos pasos