Kontrola ohrožení zabezpečení v databázích Azure SQL

Důležité

Všechny funkce Microsoft Defenderu pro cloud budou oficiálně vyřazeny v oblasti Azure v Číně 18. srpna 2026. Vzhledem k tomuto nadcházejícímu vyřazení z provozu už zákazníci Azure v Číně nebudou moct připojit nová předplatná ke službě. Nové předplatné je jakékoli předplatné, které ještě nebylo onboardováno do služby Microsoft Defender for Cloud před 18. srpnem 2025 a datem oznámení o vyřazení z provozu. Další informace o vyřazení najdete v tématu Oznámení o vyřazení Microsoft Defender pro cloud v Microsoft Azure provozovaném společností 21Vianet.

Zákazníci by měli spolupracovat se zástupci svých účtů pro Microsoft Azure provozovanou společností 21Vianet, aby posoudili dopad tohoto vyřazení na vlastní operace.

Posouzení ohrožení zabezpečení SQL je snadno konfigurovatelná služba, která může zjišťovat, sledovat a pomáhat opravovat potenciální ohrožení zabezpečení databáze. Použijte ho k proaktivnímu zlepšení zabezpečení databáze pro:

Azure SQL Database Spravovaná instance Azure SQL Azure Synapse Analytics

Posouzení ohrožení je součástí produktu Microsoft Defender pro Azure SQL, sjednoceného balíčku pro pokročilé funkce zabezpečení SQL. Z každého prostředku databáze SQL na webu Azure Portal můžete přistupovat k posouzení ohrožení zabezpečení a spravovat je.

Poznámka:

Posouzení ohrožení zabezpečení se podporuje pro Azure SQL Database, Azure SQL Managed Instance a Azure Synapse Analytics. Databáze ve službě Azure SQL Database, Azure SQL Managed Instance a Azure Synapse Analytics se souhrnně označují jako databáze v tomto článku. Server odkazuje na server , který hostuje databáze pro Azure SQL Database a Azure Synapse.

Důležité

Expresní konfigurace je dostupná ve verzi Preview pro pracovní prostory Azure SQL Managed Instance a Azure Synapse Analytics. To rozšiřuje obecně dostupné Microsoft spravované prostředí pro Azure SQL Database (GA) bez dalších nákladů.

Tato verze umožňuje povolit službu SQL VA bez konfigurace účtu úložiště spravovaného zákazníkem. Expresní konfigurace je doporučený režim povolení a poskytuje stejnou hodnotu zabezpečení jako klasická konfigurace se zjednodušeným nastavením.

Sjednocené rozhraní REST API (v2026-04-01-preview) jednotně spravuje SQL VA napříč Azure SQL Database, SQL Managed Instance, pracovními prostory Synapse a SQL na počítačích (Azure VM a SQL s podporou Azure Arc).

Co je posouzení ohrožení SQL?

Posouzení ohrožení zabezpečení SQL poskytuje přehled o stavu zabezpečení databáze. Obsahuje kroky, které umožňují řešit problémy se zabezpečením a vylepšit stav zabezpečení SQL.

Hodnocení zranitelností je služba pro skenování integrovaná do Azure SQL. Používá znalostní bázi pravidel, která označují ohrožení zabezpečení a odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data.

Pravidla jsou založená na osvědčených postupech Microsoftu a zaměřují se na problémy zabezpečení, které představují největší rizika pro vaši databázi a její cenná data. Pokrývají problémy na úrovni databáze a problémy se zabezpečením na úrovni serveru, jako jsou nastavení brány firewall serveru a oprávnění na úrovni serveru.

Výsledky kontroly zahrnují kroky, které je možné provést při řešení jednotlivých problémů, a tam, kde je to možné, poskytují přizpůsobené skripty pro nápravu. Přizpůsobte si zprávu o hodnocení pro své prostředí nastavením přijatelné výchozí úrovně pro:

• Konfigurace oprávnění
• Konfigurace funkcí
• Nastavení databáze

Modely konfigurace

Posouzení ohrožení zabezpečení SQL podporuje dva konfigurační modely:

Expresní konfigurace

V expresní konfiguraci spravuje Microsoft Defender for Cloud úložiště pro výsledky kontroly posouzení ohrožení zabezpečení. Nevyžaduje se žádný účet úložiště spravovaný zákazníkem.

Výsledky kontroly se ukládají ve stejné oblasti Azure jako logický SQL server.

Povolení

Task	Požadované role
Zobrazení výsledků posouzení ohrožení zabezpečení SQL v Microsoft Defenderu pro cloudová doporučení	Správce zabezpečení nebo čtenář zabezpečení
Změna nastavení posouzení ohrožení zabezpečení SQL	Správce zabezpečení SQL nebo správce zabezpečení (pro nové sjednocené rozhraní API)
Přístup k výsledkům skenování na úrovni prostředků nebo k automatizovaným e-mailovým odkazům	Správce zabezpečení SQL nebo správce zabezpečení (pro nové sjednocené rozhraní API)

Umístění dat podle jurisdikce

Výsledky kontroly se ukládají ve stejné oblasti Azure jako logický SQL server. Data se shromažďují a ukládají jenom v případech, kdy je povolené posouzení ohrožení zabezpečení SQL.

Klasická konfigurace

V klasické konfiguraci se výsledky kontroly ukládají do účtu Azure Storage spravovaného zákazníkem, který nakonfigurujete. Řídíte umístění účtu úložiště, model přístupu a odolnost.

Povolení

Task	Požadované role
Zobrazení výsledků posouzení ohrožení zabezpečení SQL v Microsoft Defenderu pro cloudová doporučení	Správce zabezpečení nebo čtenář zabezpečení
Změna nastavení posouzení ohrožení zabezpečení SQL	Správce zabezpečení SQL a čtenář dat objektů blob úložiště a vlastník (v účtu úložiště)
Přístup k výsledkům skenování na úrovni prostředků nebo k automatizovaným e-mailovým odkazům	Správce zabezpečení SQL a Čtenář dat úložiště blobů

Umístění dat podle jurisdikce

Výsledky kontroly se ukládají do účtu Azure Storage, který nakonfigurujete. Umístění účtu úložiště určuje rezidenci dat.

Porovnání konfiguračních modelů

Následující tabulka porovnává možnosti a rozdíly chování mezi expresní a klasickou konfigurací:

Parametr	Expresní konfigurace	Klasická konfigurace
Podporované varianty SQL	• Azure SQL Database • Vyhrazené fondy SQL služby Azure Synapse (dříve Azure SQL Data Warehouse) • Azure SQL Managed Instance (preview) • Azure Synapse Analytics (Preview)	• Azure SQL Database • Spravovaná instance Azure SQL • Azure Synapse Analytics
Rozsah podporovaných zásad	•Předplatné • Server	•Předplatné • Server •Databáze
Závislosti	Spravovaná identita přiřazená systémem (pouze Azure SQL Managed Instance)	Účet služby Azure Storage
Pravidelné skenování	• Vždy aktivní • Plánování kontrol je interní a není konfigurovatelné.	• Konfigurovatelné zapnutí/vypnutí • Plánování kontrol je interní a není konfigurovatelné.
Prohledávání systémových databází	• Naplánovaná kontrola • Ruční skenování	• Plánovaná kontrola pouze v případě, že existuje jedna uživatelská databáze nebo více • Ruční prohledávání při každé kontrole uživatelské databáze
Podporovaná pravidla	Všechna pravidla posouzení ohrožení zabezpečení pro podporovaný typ prostředku	Všechna pravidla posouzení ohrožení zabezpečení pro podporovaný typ prostředku
Základní nastavení	• Batch – několik pravidel v jednom příkazu • Určeno podle výsledků poslední kontroly • Jedno pravidlo	• Jedno pravidlo
Použít základní plán	Projeví se bez opětovného prohledání databáze.	Projeví se až po opětovném prohledání databáze.
Velikost výsledku skenování jedním pravidlem	Maximálně 1 MB	Bez omezení
E-mailová oznámení	• Logic Apps	• Interní plánovač • Logic Apps
Prohledávání exportu	CSV, Azure Resource Graph	formát aplikace Excel, Azure Resource Graph
Podporovaná cloudová prostředí	Komerční cloudová řešení1 Azure pro státní správu Microsoft Azure provozovaný společností 21Vianet	Komerční cloudová řešení Azure pro státní správu Azure provozovaný společností 21Vianet

¹: Nejnovější verze rozhraní SQL VA API (v2026-04-04-01-preview, Preview pro Azure SQL Managed Instance a Azure Synapse Analytics) v současné době není dostupná v oblastech Střední východ: Izrael – střed, Katar – střed, Spojené arabské emiráty a Spojené arabské emiráty – sever.

Související obsah

• Povolte vyhodnocení ohrožení zabezpečení SQL
• Časté dotazy ke konfiguraci Express a řešení problémů.
• Přečtěte si další informace o programu Microsoft Defender pro Azure SQL.
• Přečtěte si další informace o zjišťování a klasifikaci dat.
• Přečtěte si další informace o ukládání výsledků kontroly posouzení ohrožení zabezpečení do účtu úložiště přístupného za branami firewall a virtuálními sítěmi.
• Vyhledání zjištění hodnocení zranitelnosti SQL a jejich odstranění