Ermitteln von Sicherheitsrisiken für die Datenbank mithilfe der SQL-Sicherheitsrisikobewertung
Die SQL-Sicherheitsrisikobewertung ist ein einfach zu konfigurierender Dienst, mit dem potenzielle Sicherheitsrisiken für die Datenbank ermittelt, nachverfolgt und behandelt werden können. Verwenden Sie sie zur proaktiven Verbesserung Ihrer Datenbanksicherheit für:
Azure SQL-Datenbank Azure SQL Managed Instance Azure Synapse Analytics
Die Sicherheitsrisikobewertung ist Bestandteil von Microsoft Defender for Azure SQL. Dabei handelt es sich um ein vereinheitlichtes Paket mit erweiterten SQL-Sicherheitsfunktionen. Die Sicherheitsrisikobewertung ist über jede SQL-Datenbankressource im Azure-Portal zugänglich und kann dort verwaltet werden.
Hinweis
Die Sicherheitsrisikobewertung wird für Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics unterstützt. Datenbanken in Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics werden im restlichen Teil dieses Artikels kollektiv als Datenbanken bezeichnet, und der Server bezieht sich auf den Server, auf dem die Datenbanken für Azure SQL-Datenbank und Azure Synapse gehostet werden.
Was ist die SQL-Sicherheitsrisikobewertung?
Die SQL-Sicherheitsrisikobewertung ist ein Dienst, der Aufschluss über Ihren Sicherheitsstatus gibt. Die Sicherheitsrisikobewertung beinhaltet Schritte zur Behebung von Sicherheitsproblemen sowie zur Verbesserung der Datenbanksicherheit. Sie kann Ihnen helfen, eine dynamische Datenbankumgebung zu überwachen, in der Änderungen schwierig nachzuverfolgen sind, und so den SQL-Sicherheitsstatus zu verbessern.
Die Sicherheitsrisikobewertung ist ein in Azure SQL-Datenbank integrierter Überprüfungsdienst. Der Dienst verwendet eine Wissensdatenbank mit Regeln zur Kennzeichnung von Sicherheitsrisiken. Er hebt Abweichungen von bewährten Methoden hervor (beispielsweise Fehlkonfigurationen, zu hohe Berechtigungen oder ungeschützte vertrauliche Daten).
Die Regeln basieren auf bewährten Methoden von Microsoft und konzentrieren sich auf die Sicherheitsprobleme, die das größte Risiko für Ihre Datenbank und deren wertvolle Daten darstellt. Sie umfassen sowohl Sicherheitsprobleme auf der Datenbankebene als auch Sicherheitsprobleme auf der Serverebene (beispielsweise Serverfirewalleinstellungen oder Berechtigungen auf der Serverebene).
Zu den Ergebnissen der Überprüfung zählen Aktionsschritte zum Beheben der jeweiligen Probleme und ggf. das Bereitstellen benutzerdefinierter Skripts zur Wiederherstellung. Sie können einen Bewertungsbericht für Ihre Umgebung anpassen und eine akzeptable Baseline für Folgendes festlegen:
- Berechtigungskonfigurationen
- Featurekonfigurationen
- Datenbankeinstellungen
Was sind die Expresskonfiguration und die klassische Konfiguration?
Sie können die Sicherheitsrisikobewertung für Ihre SQL-Datenbanken mit einer der folgenden Optionen konfigurieren:
Expresskonfiguration: Die Standardprozedur, mit der Sie die Sicherheitsrisikobewertung ohne Abhängigkeit von externem Speicher konfigurieren können, um Daten zur Baseline und zum Überprüfungsergebnis zu speichern.
Klassische Konfiguration: Das Legacyverfahren, bei dem Sie ein Azure-Speicherkonto verwalten müssen, um Daten zur Baseline und zum Überprüfungsergebnis zu speichern.
Was ist der Unterschied zwischen der Express- und der klassischen Konfiguration?
Vergleich der Vorteile und Einschränkungen der Konfigurationsmodi:
| Parameter | Expresskonfiguration | Klassische Konfiguration |
|---|---|---|
| Unterstützte SQL-Varianten | • Azure SQL-Datenbank • Dedizierte Azure Synapse-SQL-Pools (vormals SQL DW) |
• Azure SQL-Datenbank • Azure SQL Managed Instance • Azure Synapse Analytics |
| Unterstützter Richtlinienbereich | • Abonnement • Server |
• Abonnement • Server • Datenbank |
| Abhängigkeiten | Keine | Azure-Speicherkonto |
| Wiederkehrende Überprüfung | • Immer aktiv • Überprüfungsplanung ist intern und nicht konfigurierbar |
• Konfigurierbar ein/aus Überprüfungsplanung ist intern und nicht konfigurierbar |
| Unterstützte Regeln | Alle Regeln zur Sicherheitsrisikobewertung für den unterstützten Ressourcentyp | Alle Regeln zur Sicherheitsrisikobewertung für den unterstützten Ressourcentyp |
| Baselineeinstellungen | • Batch – mehrere Regeln in einem Befehl • Festlegen nach neuesten Überprüfungsergebnissen • Einzelne Regel |
• Einzelne Regel |
| Anwenden der Baseline | Tritt ohne erneute Überprüfung der Datenbank in Kraft | Tritt erst nach erneuter Überprüfung der Datenbank in Kraft |
| Größe des Überprüfungsergebnisses einer einzelnen Regel | Maximal 1 MB | Unbegrenzt |
| E-Mail-Benachrichtigungen | • Logic Apps | • Interner Planer • Logic Apps |
| Überprüfungsexport | Azure Resource Graph | Excel-Format, Azure Resource Graph |
| Unterstützte Clouds | Kommerzielle Clouds Azure Government Microsoft Azure, betrieben von 21Vianet |
Kommerzielle Clouds Azure Government Azure, betrieben von 21Vianet |
Nächste Schritte
- Aktivieren von SQL-Sicherheitsrisikobewertungen
- Expresskonfiguration häufig gestellte Fragen und Problembehandlung.
- Erfahren Sie mehr zu Microsoft Defender for Azure SQL.
- Informieren Sie sich ausführlicher über die Datenermittlung und -klassifizierung.
- Erfahren Sie mehr über das Speichern der Ergebnisse von Überprüfungen zur Sicherheitsrisikobewertung in einem Speicherkonto, auf das hinter Firewalls und VNets zugegriffen werden kann.