IBM Cloud Panoramica su Cyber Vault

IBM Cloud Cyber Vault è in versione beta. Questa nuova soluzione viene fornita come versione beta di prova ed è disponibile esclusivamente a scopo di valutazione e test per un periodo di tempo limitato. Non vengono fornite garanzie, SLA né assistenza, e i prodotti in versione beta non sono destinati all'uso in produzione. Prima di utilizzare questa soluzione, si prega di consultare i termini di servizio di IBM. Non utilizzare Cyber Vault di IBM Cloud per i carichi di lavoro di produzione durante il periodo di beta.

IBM Cloud Cyber Vault è una soluzione di archiviazione gestita, isolata fisicamente (air-gapped) e con tecnologia " S3-compatible ", che offre un sistema di archiviazione a oggetti immutabile e isolato per la protezione dei dati aziendali. Cyber Vault è progettato per proteggere i dati critici da ransomware, cancellazioni accidentali e minacce interne, combinando la conservazione dei dati con Object Lock in modalità conformità, la crittografia, le restrizioni di accesso basate sull'identità, l'isolamento di rete, l'accesso in scrittura con finestre temporali e coppie di credenziali HMAC fornite automaticamente in un'unica risorsa di archiviazione configurata.

Che cos’è Cyber Vault di IBM Cloud?

IBM Cloud Cyber Vault è una soluzione di archiviazione gestita compatibile con l' S3, basata sul sistema operativo COS ( IBM ) e sulle primitive di archiviazione ( IBM Cloud ), che offre un "air gap" virtuale, immutabilità grazie alla funzione Object Lock, crittografia con chiavi gestite conformi allo standard FIPS 140-2 Livello 3 e geo-ridondanza integrata.

Quando si crea un Cyber Vault, il servizio configura automaticamente un bucket COS rinforzato con le seguenti protezioni applicate:

La conservazione con blocco degli oggetti in modalità di conformità garantisce che ogni oggetto scritto nel vault venga bloccato e non possa essere eliminato o sovrascritto fino alla scadenza del relativo periodo di conservazione. Questa protezione non può essere disattivata da nessun utente o amministratore, compresi gli utenti root.
La crittografia protegge tutti i dati inattivi. IBM gestisce e sostituisce periodicamente le chiavi utilizzate per la crittografia dei dati del vault.
Restrizioni IAM: Cyber Vault viene configurato con credenziali HMAC dedicate, con ambiti separati per i flussi di lavoro in lettura e in scrittura. Ogni insieme di credenziali concede il set minimo di autorizzazioni necessario per il relativo flusso di lavoro, seguendo un modello di accesso basato sul principio del privilegio minimo.
L'accesso in scrittura con finestra temporale limita, facoltativamente, le operazioni di scrittura nel vault a una finestra temporale giornaliera definita, garantendo che i dati possano essere scritti solo durante le ore autorizzate.
Le restrizioni basate sul contesto (CBR) limitano l'accesso al vault a specifiche zone di rete, CRN VPC o intervalli CIDR di indirizzi IP privati, garantendo l'isolamento a livello di rete.
I controlli di accesso in lettura limitano le operazioni di lettura alle identità esplicitamente autorizzate, sostenendo il principio del privilegio minimo durante l'intero ciclo di vita dei dati.

Insieme, questi controlli implementano un modello di air gap verificato e definito dal software che protegge i dati di backup e di archivio da ransomware, esfiltrazione e modifiche non autorizzate.

Caratteristiche e funzionalità principali

Conservazione di Object Lock in modalità di conformità: A ogni oggetto archiviato in un Cyber Vault viene automaticamente assegnato un blocco di conservazione WORM (Write Once, Read Many) in modalità di conformità. Gli oggetti non possono essere eliminati né modificati fino alla scadenza del periodo di conservazione configurato. Ciò vale per tutti i nuovi oggetti, indipendentemente dal ruolo IAM del richiedente. Il periodo di conservazione predefinito è configurabile al momento della creazione, da 0 a 3.650 giorni. Impostando il valore su “ 0 ” non viene applicato alcun blocco automatico di conservazione, consentendo al software di backup di gestire la conservazione per singolo oggetto direttamente tramite l’API Object Lock di S3.
Crittografia: Tutti i dati archiviati nel vault vengono crittografati a riposo tramite AES-256. IBM crea e ruota automaticamente le chiavi di crittografia protette da HSM certificati FIPS 140-2 Livello 3.
Coppie di credenziali HMAC con ambito: Quando viene creato un vault, vengono fornite automaticamente due coppie di credenziali HMAC con ambito specifico: una chiave di scrittura destinata agli agenti di backup e una chiave di lettura per le operazioni di ripristino e la verifica di audit. Le credenziali vengono visualizzate in modo sicuro per un periodo di tempo limitato quando vengono visualizzate.
Accesso in scrittura con finestra temporale: Quando il parametro enableTimeWindows è impostato su true``, l'accesso in scrittura al vault è limitato a una finestra temporale giornaliera definita, specificata dai parametri accessStartTime e accessEndTime (nel formato HH:MM , con orologio a 24 ore). Le operazioni di scrittura effettuate al di fuori di questa finestra vengono rifiutate, consentendo alle organizzazioni di applicare programmi di acquisizione rigorosi.
Restrizioni basate sul contesto (CBR): La configurazione " cbrRestrictions " limita l'accesso al vault a zone di rete specificate. È possibile autorizzare l'accesso da VPC associate ad account specifici (in base al CRN della VPC) o da intervalli CIDR di indirizzi IP privati (RFC 1918). È possibile disabilitare gli endpoint pubblici imponendo l'accesso esclusivo agli endpoint privati.
Configurazione immutabile: La configurazione del vault è permanente e non può essere modificata dopo la creazione. Controlla attentamente tutte le impostazioni prima di procedere alla configurazione. Nella versione Beta non è disponibile alcuna API di aggiornamento.
Provisioning asincrono: La creazione di un vault è un'operazione asincrona. L'API restituisce un oggetto di tipo HTTP 202 Accepted con uno stato iniziale pari a provisioning``. È possibile interrogare l'endpoint dello stato del vault per determinare quando il vault passa allo stato " active".

Disponibilità regionale

IBM Cloud Cyber Vault è attualmente disponibile nella seguente regione:

IBM Cloud Disponibilità regionale di Cyber Vault
Regione	Posizione	Endpoint API
`us-south`	Dallas, Stati Uniti	`https://solutions.private.cloud-object-storage.cloud.ibm.com/v1`

Il supporto per ulteriori regioni di “ IBM Cloud ” verrà attivato in una versione futura. Al momento, tutte le richieste API relative a Vault devono essere indirizzate a us-south. Se si tenta di specificare qualsiasi altro valore per il campo “ region ” in una richiesta di creazione, viene restituito un errore “ 400 Bad Request ”.

È possibile accedere a tutti i dati dell'archivio esclusivamente tramite endpoint privati e diretti S3. Per i bucket di Cyber Vault non è esposto alcun endpoint pubblico.

Prerequisiti

Prima di creare un Cyber Vault su IBM Cloud, assicurati di disporre di quanto segue:

Un account IBM Cloud attivo che consenta di creare risorse IBM Cloud.
Un account " IBM Cloud Object Storage esempio " (piano Standard) già esistente nella regione us-south, oppure le autorizzazioni IAM necessarie affinché il servizio Cyber Vault ne crei uno per conto dell'utente, qualora non venga fornito alcun account " cosInstanceId ".
Autorizzazioni IAM:
- Per visualizzare l'elenco di tutti i Cyber Vault nell'interfaccia utente, è necessario disporre del ruolo " Cyber Vault Reader " a livello di account.
- Per creare un Cyber Vault con provisioning automatico delle credenziali HMAC, è necessario disporre del ruolo " Cyber Vault Manager " a livello di account e del ruolo "Editor" o "Amministratore " sull'istanza di IBM Cloud Object Storage di destinazione.
Informazioni sulla VPC o sulla zona di rete: i CRN delle VPC o gli intervalli CIDR degli indirizzi IP privati da cui si accederà al vault. Per tutte le richieste di creazione di un vault è necessario l'isolamento della rete.

Stati di Vault

La tabella seguente illustra i possibili stati del vault durante e dopo il provisioning.

Stati di Cyber Vault
Condizione	Significato
`provisioning`	Si sta allestendo la camera blindata. Le credenziali e gli endpoint non sono ancora disponibili.
`active`	Il caveau è pronto. S3 Gli endpoint, le credenziali HMAC e tutte le politiche di sicurezza sono attivi.
`failed`	Si è verificato un errore durante il provisioning. Nei dettagli del vault è presente un messaggio di errore.
`deleting`	È stata avviata la cancellazione del vault.

Come funziona Cyber Vault

Il seguente flusso end-to-end descrive in che modo Cyber Vault di IBM Cloud protegge i tuoi dati:

Configurazione: per creare un Cyber Vault è necessario specificare l'istanza di IBM Cloud Object Storage, la regione, la configurazione di conservazione, le impostazioni di crittografia e i controlli di accesso. Il servizio " IBM Cloud Object Storage " mette a disposizione un bucket dedicato di IBM Cloud Object Storage con tutte le misure di protezione applicate automaticamente. In questa fase vengono generate due coppie di credenziali HMAC con ambito (in scrittura e in lettura).
Acquisizione dei dati (finestra di scrittura): le identità autorizzate alla scrittura — ovvero gli agenti di backup che utilizzano la chiave HMAC di scrittura assegnata — scrivono i dati nel vault durante la finestra temporale consentita (se è abilitata l'opzione " enableTimeWindows "). Ogni oggetto riceve un tag di conservazione Object Lock in modalità di conformità immediatamente al momento della scrittura.
Applicazione dell'immutabilità: una volta creato, nessun soggetto — compresi gli amministratori dell'account o il proprietario del vault — può eliminare o modificare l'oggetto bloccato fino alla scadenza del suo periodo di conservazione. Ciò è imposto dalla modalità di conformità "Object Lock" di IBM Cloud Object Storage sottostante e non può essere aggirato.
Isolamento della rete: le regole CBR contribuiscono a garantire che il traffico del vault transiti esclusivamente attraverso VPC o reti private autorizzate. Sono disponibili solo endpoint privati e diretti; non viene esposto alcun endpoint pubblico.
Ripristino: le identità di lettura autorizzate utilizzano la chiave HMAC di lettura assegnata per accedere ai dati del vault tramite l'endpoint privato o diretto del vault. L'accesso in lettura non è soggetto a limitazioni temporali; è controllato esclusivamente dalla configurazione " readIdentities ".
Ciclo di vita: gli oggetti vengono sbloccati automaticamente allo scadere del loro periodo di conservazione, dopodiché possono essere eliminati nell'ambito della normale gestione del ciclo di vita. Non è possibile eliminare un vault che contenga ancora oggetti bloccati.

Passi successivi

Registra il tuo account al programma beta “ IBM Cloud ” Cyber Vault per richiedere l’accesso prima di configurare il tuo primo vault.
Configurazione di un Cyber Vault di IBM Cloud per creare il tuo primo vault utilizzando la console IBM Cloud o l'API di COS Solutions.
Consultare la documentazione di Object Lock per comprendere il comportamento della conservazione in modalità conformità.
Consulta il tutorial sulle restrizioni basate sul contesto per capire come vengono configurate le zone di rete CBR.
Se prevedi di utilizzare chiavi di crittografia gestite dal cliente, consulta la guida " Key Protect " relativa alla crittografia COS.