Proteja seus dados no Azure Data Explorer com VMs Confidenciais baseadas em AMD

Sumário

• Introdução ao Azure Data Explorer
• O que é o Azure Data Explorer Confidential Computing Solution
• Visão geral do Azure Data Explorer
• Funcionalidades do Azure Data Explorer
• Uso do Kusto Query Language (KQL)
• Introdução à Confidencialidade de Dados
• Tecnologias de Criptografia do Azure Confidential Computing
• Casos de Uso da Solução Confidential Computing para o Azure Data Explorer
  • Proteção contra VMs Maliciosas
  • Proteção contra Administradores de Hipervisores Maliciosos
  • Proteção contra Ataques Físicos
• Como criar um cluster Confidential Computing para o Azure Data Explorer
• Setores-alvo da Solução Confidential Computing do Azure Data Explorer
• Demonstração: Criando um Cluster Confidential Computing para o Azure Data Explorer

Introdução ao Azure Data Explorer

O Azure Data Explorer, também conhecido como ADX, é um serviço totalmente gerenciado na nuvem da Microsoft que permite aos clientes executar análises em volumes extremamente grandes de dados. O ADX é otimizado para consultas interativas ad-hoc e funciona melhor com dados de séries temporais, como dados de monitoramento, logs, métricas e dados de streaming de telemetria. Ele oferece suporte a dados estruturados, semiestruturados e não estruturados, incluindo pesquisa de índice de texto completo.

O que é o Azure Data Explorer Confidential Computing Solution

A solução Azure Data Explorer Confidential Computing é baseada nas tecnologias AMD EPYC SEV-SNP. Essas tecnologias adicionam um nível avançado de segurança para ambientes virtualizados. O SEV (Secure Encrypted Virtualization) criptografa todos os dados encontrados na Memória da máquina virtual quando são salvos no disco ou transmitidos pela rede, protegendo assim os dados da VM contra acesso não autorizado. O SNP (Secure Nested Paging) suporta um modelo hierárquico de paginação que permite apenas ao administrador de uma máquina virtual acessar a memória da mesma, criando uma região de memória isolada dentro de cada máquina virtual que é inacessível para outras máquinas virtuais e administradores de hipervisores. Os processadores AMD EPYC também suportam um processo de inicialização segura que garante que o sistema seja inicializado apenas a partir de software confiável.

Visão geral do Azure Data Explorer

O Azure Data Explorer é um serviço de análise de alto desempenho e totalmente gerenciado que permite aos usuários analisar petabytes de informações em apenas alguns segundos. Com o ADX, os usuários podem extrair informações-chave de seus dados de forma rápida e fácil. Projetado para tempo real, a plataforma oferece várias opções de ingestão de dados de Alta velocidade para streaming de dados rápidos, com o mínimo de atraso após a ingestão. O ADX possui uma linguagem de consulta intuitiva, simples e lógica chamada Kusto Query Language (KQL), que permite que engenheiros de dados, cientistas de dados e analistas de negócios realizem análises de big data de forma independente. Hoje, existem mais de 350.000 usuários consultando dados usando o KQL.

Funcionalidades do Azure Data Explorer

O Azure Data Explorer possui diversas funcionalidades que o tornam uma solução poderosa para análise de dados. Ele oferece suporte a diferentes tipos de dados, como estruturados, semiestruturados e não estruturados, permitindo que os usuários analisem informações não apenas de séries temporais, mas também de outras fontes de dados. Além disso, o ADX possui recursos avançados de ingestão de dados em tempo real e em massa, proporcionando alta velocidade e baixa latência na análise de grandes volumes de dados. A plataforma também suporta aprendizado de máquina, facilitando a geração de insights valiosos a partir dos dados.

Uso do Kusto Query Language (KQL)

O Kusto Query Language (KQL) é a linguagem de consulta do Azure Data Explorer. Com o KQL, os usuários podem escrever consultas sofisticadas para acessar e analisar os dados armazenados no ADX. A linguagem permite a criação de consultas complexas com filtros, agregações, junções e muito mais. Com sua sintaxe simples e intuitiva, o KQL torna a análise de big data acessível a engenheiros de dados, cientistas de dados e até mesmo analistas de negócios, sem a necessidade de conhecimentos avançados em programação ou consultas SQL.

Introdução à Confidencialidade de Dados

A confidencialidade de dados é um aspecto crítico da segurança da informação. Organizações em todo o mundo estão cada vez mais preocupadas em proteger seus dados contra acesso não autorizado. Tradicionalmente, as organizações têm se concentrado na criptografia de dados em repouso e em trânsito, mas nem sempre têm se preocupado com a criptografia dos dados armazenados na memória das máquinas virtuais. Isso pode representar um ponto de vulnerabilidade, pois um invasor que tenha acesso à memória de uma máquina virtual pode obter informações confidenciais.

Tecnologias de Criptografia do Azure Confidential Computing

O Azure Confidential Computing oferece uma solução robusta para a confidencialidade de dados em ambientes virtualizados. A solução é baseada nas tecnologias AMD EPYC SEV-SNP, que fornecem um nível avançado de segurança para máquinas virtuais. O SEV criptografa todos os dados encontrados na memória da máquina virtual quando são salvos no disco ou transmitidos pela rede, garantindo que apenas os usuários autorizados tenham acesso a esses dados. O SNP suporta um modelo de paginação hierárquica, que impede que outros usuários ou administradores de hipervisores acessem a memória de uma máquina virtual.

Casos de Uso da Solução Confidential Computing para o Azure Data Explorer

A solução Confidential Computing para o Azure Data Explorer oferece diversos casos de uso que ajudam a garantir a confidencialidade dos dados. O primeiro caso de uso é a proteção contra VMs maliciosas. Ao isolar a memória de cada VM no host, um ator de máquina virtual malicioso não tem acesso à memória de outras VMs armazenadas no mesmo host. Isso impede que um invasor obtenha acesso indevido a informações confidenciais armazenadas em outras máquinas virtuais. Um segundo caso de uso é a proteção da máquina virtual contra comportamento malicioso de um administrador de hipervisor ou até mesmo de um administrador de nuvem. Com a computação confidencial, esses administradores não têm acesso à memória das máquinas virtuais, o que impede que um invasor obtenha acesso a dados sensíveis ou execute código malicioso dentro da máquina virtual. Um terceiro caso de uso é a proteção contra ataques físicos, ou seja, ataques de pessoas que têm acesso físico à máquina host. Nesse caso, a memória da VM também é criptografada, impedindo que uma pessoa com acesso físico à máquina leia a memória de uma máquina virtual.

Como criar um cluster Confidential Computing para o Azure Data Explorer

Criar um cluster Confidential Computing para o Azure Data Explorer é rápido e simples. Durante a criação de um novo cluster, basta selecionar um SKU da família ECasv5 para obter suporte a computação confidencial. Se você já possui um cluster ADX existente e deseja migrá-lo para um SKU confidencial, basta selecionar um SKU de computação confidencial como SKU de destino. Não são necessárias alterações no código para oferecer suporte a essa migração. A experiência de migração é fácil e sem complicações, permitindo que você aproveite os benefícios da computação confidencial com apenas alguns cliques.

Setores-alvo da Solução Confidential Computing do Azure Data Explorer

A solução Confidential Computing do Azure Data Explorer é direcionada para diversos setores, mas o setor financeiro é um dos principais motores de adoção dessa tecnologia. Isso se deve às regulamentações rigorosas de conformidade que as instituições financeiras precisam seguir ao armazenar dados altamente confidenciais. No entanto, qualquer empresa que precise proteger dados altamente confidenciais, como agências governamentais ou empresas de saúde, também se beneficiará imensamente da tecnologia de computação confidencial.

Demonstração: Criando um Cluster Confidential Computing para o Azure Data Explorer

Nesta demonstração, mostraremos como criar um cluster Confidential Computing para o Azure Data Explorer usando o portal da Azure. Primeiro, você precisará ter ou criar um cofre de chaves e atribuir a ele uma identidade gerenciada pelo usuário. Em seguida, você poderá acessar o portal da Azure e seguir as etapas para criar um novo cluster. Durante o processo de criação, você poderá selecionar um SKU confidencial e, posteriormente, configurar o cluster para usar uma chave de gerenciamento de cliente (CMK) para criptografar os dados do cluster. Também mostraremos como atribuir uma identidade gerenciada pelo usuário ao cluster para garantir acesso seguro à chave de criptografia. Essa demonstração ilustrará como é simples e rápido criar um cluster Confidential Computing para o Azure Data Explorer usando o portal da Azure.

Recursos:

• Azure Data Explorer
• Azure Confidential Computing