Elenco di controllo per la sicurezza del database di Azure

Per migliorare la sicurezza, il database SQL di Azure e Istanza gestita di SQL di Azure includono controlli di sicurezza predefiniti che è possibile usare per limitare e controllare l'accesso, proteggere i dati e monitorare le minacce.

I controlli di sicurezza includono:

• Regole firewall che limitano la connettività per indirizzo IP e rete virtuale.
• Autenticazione Microsoft Entra per una gestione centralizzata dell'identità.
• Connettività sicura utilizzando la crittografia TLS.
• Gestione degli accessi e autorizzazione.
• Crittografia dei dati a riposo e in transito.
• Audit del database e rilevamento delle minacce.
• Funzionalità avanzate di sicurezza dei dati.

Introduzione

Il cloud computing richiede nuovi paradigmi di sicurezza che potrebbero essere sconosciuti a molti utenti di applicazioni, amministratori di database e programmatori. Le organizzazioni possono utilizzare le funzionalità di sicurezza complete di Azure SQL per proteggere i dati sensibili e soddisfare i requisiti di conformità normativa.

Elenco di controllo

Prima di esaminare questa checklist, leggi le best practice di sicurezza di database SQL di Azure. Comprendere le migliori pratiche ti aiuta a ottenere il massimo valore da questa checklist. Usa questa checklist per verificare di aver affrontato i controlli di sicurezza importanti nella sicurezza dei database di Azure.

Categoria dell'elenco di controllo	Descrizione
Protezione dei dati
Crittografia dei dati in transito	Transport Layer Security (TLS) crittografa i dati in movimento tra client e database. Azure SQL richiede TLS 1.2 o versione successiva per le connessioni sicure. Il database richiede comunicazioni sicure dai client basati sul protocollo TDS (Tabular Data Stream) su TLS.
Crittografia dei dati a riposo	Transparent Data Encryption (TDE) crittografa i file di dati e di log inattivi. TDE è abilitato per impostazione predefinita in tutti i nuovi database SQL di Azure. Bring your own key (BYOK) ti permette di gestire le chiavi di crittografia TDE in Azure Key Vault.
Crittografia in uso	Always Encrypted protegge i dati sensibili crittografandoli all'interno delle applicazioni client. Le chiavi di crittografia non raggiungono mai il motore di database, garantendo la separazione tra proprietari di dati e gestori dati. La crittografia a livello di colonna (CLE) cripta colonne specifiche utilizzando la crittografia simmetrica per una protezione aggiuntiva dei dati sensibili.
Accesso al controllo
Accesso al database	L'autenticazione di Microsoft Entra offre una gestione centralizzata delle identità con funzionalità single sign-on (SSO). L'autenticazione SQL con password complesse fornisce un metodo di autenticazione alternativo. L'autorizzazione concede agli utenti i privilegi minimi necessari utilizzando il controllo di accesso basato sui ruoli.
Controllo di accesso alla rete	Le regole del firewall IP a livello di server limitano l'accesso in base agli indirizzi IP di origine. Le regole del firewall IP a livello di database forniscono un controllo di accesso granulare per ogni database. Gli endpoint servizio di rete virtuale consentono la connettività da reti virtuali di Azure specifiche. collegamento privato fornisce connettività privata a database SQL di Azure utilizzando un indirizzo IP privato all'interno della tua rete virtuale.
Controllo di accesso all'applicazione	La sicurezza a livello di riga (RLS) limita l'accesso a livello di riga in base all'identità, al ruolo o al contesto di esecuzione dell'utente. Il mascheramento dinamico dei dati limita l'esposizione di dati sensibili mascherandola agli utenti non privilegiati senza modificare i dati sottostanti. La scoperta e la classificazione dei dati identificano, classificano e etichettano i dati sensibili per una migliore protezione e conformità.
Monitoraggio proattivo
Controllo e rilevamento	Il controllo tiene traccia degli eventi del database e li scrive in un log di controllo nell'account di archiviazione di Azure, nell'area di lavoro Log Analytics o in Hub eventi. Monitora lo stato di salute di database SQL di Azure usando Monitoraggio di Azure e le impostazioni diagnostiche. Microsoft Defender per SQL rileva attività di database anomale che indicano potenziali minacce alla sicurezza, tra cui attacchi SQL injection, attacchi di forza bruta e exploit di vulnerabilità.
Valutazione della vulnerabilità	La valutazione delle vulnerabilità scopre, monitora e aiuta a correggere potenziali vulnerabilità del database. Fornisce raccomandazioni sulla sicurezza e report sui rischi interattivi per la conformità.
Gestione centralizzata della sicurezza	Microsoft Defender per il cloud offre funzionalità centralizzate di monitoraggio e gestione della sicurezza per il database SQL di Azure e altri servizi di Azure. Raccomandazioni sulla sicurezza basate sul benchmark di sicurezza del cloud Microsoft.
Integrità dei dati
Funzionalità libro mastro	Ledger offre funzionalità antimanomissione creando un record immutabile delle transazioni del database. Consente di soddisfare i requisiti di conformità per la verifica dell'integrità dei dati.

Conclusione

database SQL di Azure e Istanza gestita di SQL di Azure offrono piattaforme di database complete con funzionalità di sicurezza che soddisfano i requisiti di conformità organizzativi e normativi. Proteggi i dati durante tutto il loro ciclo di vita - a riposo, in transito e in uso - utilizzando Transparent Data Encryption, Always Encrypted e TLS. Controlli di accesso molto dettagliati, inclusi la sicurezza a livello di riga, il mascheramento dinamico dei dati e l'autenticazione Microsoft Entra, garantiscono che solo gli utenti autorizzati accedano ai dati sensibili. Il monitoraggio continuo tramite audit, Microsoft Defender for SQL e la valutazione delle vulnerabilità aiutano a identificare e risolvere le minacce alla sicurezza in modo proattivo.

Passaggi successivi

Per migliorare la protezione del database contro utenti dannosi o accessi non autorizzati, adotta questi passaggi:

• Configura le regole del firewall per il tuo server e i database.
• Proteggi i tuoi dati con la crittografia.
• Abilitare il controllo di Database SQL.
• Abilita Microsoft Defender per SQL per il rilevamento delle minacce.
• Rivedi le migliori pratiche di sicurezza.