Ermitteln von Sicherheitsrisiken für die Datenbank mithilfe der SQL-Sicherheitsrisikobewertung

Die SQL-Sicherheitsrisikobewertung ist ein einfach zu konfigurierender Dienst, mit dem potenzielle Sicherheitsrisiken für die Datenbank ermittelt, nachverfolgt und behandelt werden können. Verwenden Sie sie zur proaktiven Verbesserung Ihrer Datenbanksicherheit für:

Azure SQL-Datenbank Azure SQL Managed Instance Azure Synapse Analytics

Die Sicherheitsrisikobewertung ist Teil von Microsoft Defender for Azure SQL. Dabei handelt es sich um ein vereinheitlichtes Paket mit erweiterten SQL-Sicherheitsfunktionen. Sie können die Sicherheitsrisikobewertung über jede SQL-Datenbankressource im Azure-Portal aufrufen und verwalten.

Hinweis

Die Sicherheitsrisikobewertung wird für Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics unterstützt. Datenbanken in Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics werden in diesem Artikel gemeinsam als „Datenbanken“ bezeichnet. „Server“ bezieht sich auf den Server, der Datenbanken für Azure SQL-Datenbank und Azure Synapse hostet.

Was ist die SQL-Sicherheitsrisikobewertung?

Die SQL-Sicherheitsrisikobewertung gibt Aufschluss über Ihren Sicherheitsstatus. Sie beinhaltet praktische Schritte zur Behebung von Sicherheitsproblemen sowie zur Verbesserung der Datenbanksicherheit. Sie hilft Ihnen, eine dynamische Datenbankumgebung zu überwachen, in der Änderungen schwierig nachzuverfolgen sind, und so den SQL-Sicherheitsstatus zu verbessern.

Die Sicherheitsrisikobewertung ist ein in Azure SQL-Datenbank integrierter Überprüfungsdienst. Sie verwendet eine Wissensdatenbank mit Regeln zur Kennzeichnung von Sicherheitsrisiken. Er hebt Abweichungen von bewährten Methoden hervor (beispielsweise Fehlkonfigurationen, zu hohe Berechtigungen oder ungeschützte vertrauliche Daten).

Die Regeln basieren auf bewährten Methoden von Microsoft und konzentrieren sich auf die Sicherheitsprobleme, die das größte Risiko für Ihre Datenbank und deren wertvolle Daten darstellt. Sie umfassen sowohl Sicherheitsprobleme auf der Datenbankebene als auch Sicherheitsprobleme auf der Serverebene (beispielsweise Serverfirewalleinstellungen oder Berechtigungen auf der Serverebene).

Zu den Ergebnissen der Überprüfung zählen praktische Schritte zum Beheben der jeweiligen Probleme. Außerdem werden ggf. benutzerdefinierte Skripts zur Wiederherstellung bereitgestellt. Passen Sie einen Bewertungsbericht für Ihre Umgebung an, indem Sie eine akzeptable Baseline für Folgendes festlegen:

• Berechtigungskonfigurationen
• Featurekonfigurationen
• Datenbankeinstellungen

Was sind die Expresskonfiguration und die klassische Konfiguration?

Konfigurieren Sie die Sicherheitsrisikobewertung für Ihre SQL-Datenbanken mit einer der folgenden Optionen:

• Expresskonfiguration: Die standardmäßige Vorgehensweise, mit der Sie die Sicherheitsrisikobewertung konfigurieren können, ohne dass externer Speicher erforderlich ist, um Daten zur Baseline und zum Überprüfungsergebnis zu speichern.

• Klassische Konfiguration: Die Legacy-Vorgehensweise, bei der Sie ein Azure-Speicherkonto verwalten müssen, um Daten zur Baseline und zum Überprüfungsergebnis zu speichern.

Was ist der Unterschied zwischen der Express- und der klassischen Konfiguration?

Vergleich der Vorteile und Einschränkungen der Konfigurationsmodi:

Parameter	Expresskonfiguration	Klassische Konfiguration
Unterstützte SQL-Varianten	• Azure SQL-Datenbank • Dedizierte Azure Synapse-SQL-Pools (vormals Azure SQL Data Warehouse)	• Azure SQL-Datenbank • Azure SQL Managed Instance • Azure Synapse Analytics
Unterstützter Richtlinienbereich	• Abonnement • Server	• Abonnement • Server • Datenbank
Abhängigkeiten	Keine	Azure-Speicherkonto
Wiederkehrende Überprüfung	• Immer aktiv • Überprüfungsplanung ist intern und nicht konfigurierbar	• Konfigurierbar ein/aus Überprüfungsplanung ist intern und nicht konfigurierbar
Systemdatenbankscan	• Geplante Überprüfung • Manuelle Überprüfung	• Geplante Überprüfung nur, wenn eine oder mehrere Benutzerdatenbanken vorhanden sind • Manuelle Überprüfung jedes Mal, wenn eine Benutzerdatenbank gescannt wird
Unterstützte Regeln	Alle Regeln zur Sicherheitsrisikobewertung für den unterstützten Ressourcentyp	Alle Regeln zur Sicherheitsrisikobewertung für den unterstützten Ressourcentyp
Baselineeinstellungen	• Batch – mehrere Regeln in einem Befehl • Festlegen nach neuesten Überprüfungsergebnissen • Einzelne Regel	• Einzelne Regel
Anwenden der Baseline	Tritt ohne erneute Überprüfung der Datenbank in Kraft	Tritt erst nach erneuter Überprüfung der Datenbank in Kraft
Größe des Überprüfungsergebnisses einer einzelnen Regel	Maximal 1 MB	Unbegrenzt
E-Mail-Benachrichtigungen	• Logic Apps	• Interner Planer • Logic Apps
Überprüfungsexport	Azure Resource Graph	Excel-Format, Azure Resource Graph
Unterstützte Clouds	Kommerzielle Clouds Azure Government Microsoft Azure, betrieben von 21Vianet	Kommerzielle Clouds Azure Government Azure, betrieben von 21Vianet

Zugehöriger Inhalt

• Aktivieren von SQL-Sicherheitsrisikobewertungen
• Expresskonfiguration häufig gestellte Fragen und Problembehandlung.
• Erfahren Sie mehr zu Microsoft Defender for Azure SQL.
• Informieren Sie sich ausführlicher über die Datenermittlung und -klassifizierung.
• Erfahren Sie mehr über das Speichern der Ergebnisse von Überprüfungen zur Sicherheitsrisikobewertung in einem Speicherkonto, auf das hinter Firewalls und VNets zugegriffen werden kann.