Panoramica della sicurezza del database in Azure Cosmos DB for MongoDB vCore
SI APPLICA A: 
MongoDB vCore
Questo articolo illustra le procedure consigliate per la sicurezza del database e le funzionalità principali offerte da Azure Cosmos DB for MongoDB vCore per prevenire, rilevare e rispondere alle violazioni del database.
Novità nella sicurezza di Azure Cosmos DB for MongoDB vCore
La crittografia di dati inattivi è ora disponibile per i documenti e i backup archiviati in Azure Cosmos DB for MongoDB vCore nella maggior parte delle aree di Azure. La crittografia di dati inattivi viene applicata automaticamente sai per i clienti nuovi che per quelli esistenti in queste aree. Non è necessario configurare alcun elemento. Latenza, velocità effettiva, disponibilità e funzionalità sono eccezionali come prima, con il vantaggio di sapere che i propri dati sono sicuri e protetti con la crittografia di dati inattivi. I dati archiviati nel cluster di Azure Cosmos DB for MongoDB vCore vengono crittografati automaticamente e facilmente con chiavi gestite da Microsoft utilizzando chiavi gestite dal servizio.
Protezione del database
La sicurezza dei dati è una responsabilità condivisa tra l'utente, il cliente e il provider di database. A seconda del provider di database scelto, l'entità della responsabilità di ognuno può variare. Se si sceglie una soluzione locale, è necessario garantire tutto ciò che è indispensabile, dalla protezione degli endpoint alla sicurezza fisica dell'hardware, il che non è semplice. Se si sceglie un provider di database cloud PaaS, ad esempio Azure Cosmos DB, l'ambito di interesse si riduce considerevolmente. L'immagine seguente, tratta dal white paper di Microsoft Shared Responsibilities for Cloud Computing (Responsabilità condivise per il cloud computing), illustra come la responsabilità diminuisca con un provider PaaS, ad esempio Azure Cosmos DB.
Il diagramma precedente illustra i componenti della sicurezza cloud generali, ma è opportuno stabilire quali sono gli elementi specifici da tenere in considerazione per la soluzione di database e come è possibile confrontare le diverse soluzioni.
È consigliabile usare l'elenco di controllo dei requisiti seguente per confrontare i sistemi di database:
- Sicurezza di rete e impostazioni del firewall
- Autenticazione utente e controlli utente con granularità fine
- Possibilità di replicare i dati a livello globale per gli errori locali
- Possibilità di effettuare il failover da un data center a un altro
- Replica di dati locali all'interno di un data center
- Backup automatici dei dati
- Ripristino dei dati eliminati dai backup
- Proteggere e isolare i dati sensibili
- Monitoraggio per identificare gli attacchi
- Risposta agli attacchi
- Possibilità per i dati di seguire le restrizioni di governance dei dati in base al geo-fencing
- Protezione fisica dei server in data center protetti
- Certificazioni
E, anche se può sembrare ovvio, le recenti violazioni di database su larga scala rendono molto importanti i semplici requisiti seguenti:
- Mantenere aggiornati i server con patch applicate
- Crittografia HTTPS predefinita/TLS
- Account amministrativi con password complesse
Protezione del database con Azure Cosmos DB
Azure Cosmos DB for MongoDB vCore soddisfa perfettamente tutti questi requisiti di sicurezza.
La tabella seguente li illustra in dettaglio.
| Requisito di sicurezza | Approccio alla sicurezza di Azure Cosmos DB |
|---|---|
| Sicurezza di rete | L'uso di un firewall IP è il primo livello di protezione per il database. Azure Cosmos DB for MongoDB vCore supporta controlli di accesso IP basati su criteri per il supporto del firewall in ingresso. I controlli di accesso basati su IP sono simili alle regole del firewall utilizzate dai sistemi di database tradizionali. Tuttavia, sono ampliate in modo che un cluster di Azure Cosmos DB for MongoDB vCore sia accessibile solo da un set approvato di computer o servizi cloud. Azure Cosmos DB for MongoDB vCore consente di abilitare un indirizzo IP specifico (168.61.48.0), un intervallo IP (168.61.48.0/8) e combinazioni di IP e intervalli. Tutte le richieste generate da computer non compresi in questo elenco di elementi consentiti vengono bloccate da Azure Cosmos DB for MongoDB vCore. Le richieste provenienti da computer e servizi cloud approvati devono quindi completare il processo di autenticazione per ottenere il controllo di accesso alle risorse. |
| Replica locale | Anche all'interno di un singolo data center, Azure Cosmos DB for MongoDB vCore replica i dati usando l'archiviazione con ridondanza locale (LRS). I cluster abilitati per la disponibilità elevata hanno anche un altro livello di replica tra un nodo primario e secondario, garantendo così un contratto di servizio di disponibilità del 99,995%. |
| Backup online automatizzati | I backup dei database Azure Cosmos DB for MongoDB vCore vengono eseguiti periodicamente e salvati in un archivio con ridondanza geografica. |
| Ripristinare i data eliminati | I backup online automatizzati possono essere usati per recuperare i dati eliminati per errore fino a circa 7 giorni dopo l'evento. |
| Proteggere e isolare i dati sensibili | Tutti i dati nelle aree elencate nelle novità ora vengono crittografati. |
| Monitorare gli attacchi | Usando la registrazione di controllo e i log attività, è possibile monitorare l'account per identificare attività normali e anomale. È possibile visualizzare quali operazioni sono state eseguite sulle risorse, tra cui: chi ha avviato l'operazione, quando si è verificata l'operazione, lo stato dell'operazione e molto altro. |
| Rispondere agli attacchi | Dopo avere contattato il supporto di Azure per segnalare un potenziale attacco, viene avviato un processo di risposta all'evento imprevisto in cinque fasi. L'obiettivo del processo in cinque fasi è quello di ripristinare la normale sicurezza e operatività del servizio. Tale processo ripristina i servizi il più rapidamente possibile dopo il rilevamento di un problema e l'avvio di un'indagine. Per altre informazioni, vedere Microsoft Azure Security Response in the Cloud (Risposta della sicurezza di Microsoft Azure nel cloud). |
| Strutture protette | I dati in Azure Cosmos DB for MongoDB vCore vengono archiviati in unità SSD nei data center protetti di Azure. Per altre informazioni, vedere Data center globali Microsoft |
| Crittografia HTTPS/SSL/TLS | Azure Cosmos DB for MongoDB vCore supporta i livelli TLS fino al livello 1.2 (incluso). È possibile applicare un livello TLS minimo sul lato server. |
| Crittografia dei dati in transito | La crittografia (SSL/TLS) viene sempre applicata e qualora si tenti di connettersi al cluster senza crittografia, tale tentativo avrà esito negativo. Sono accettate solo le connessioni tramite un client MongoDB e la crittografia viene sempre applicata. Ogni volta che si scrivono dati in Azure Cosmos DB for MongoDB vCore, questi vengono crittografati in transito con Transport Layer Security 1.2. |
| Crittografia dei dati inattivi | Azure Cosmos DB for MongoDB vCore usa il modulo convalidato FIPS 140-2 per la crittografia di archiviazione dei dati inattivi. I dati, inclusi tutti i backup, vengono crittografati su disco, compresi i file temporanei. Il servizio usa la crittografia AES a 256 bit inclusa nella crittografia di archiviazione di Azure e le chiavi vengono gestite dal sistema. La crittografia di archiviazione è sempre attiva e non può essere disabilitata. |
| Server con patch | Azure Cosmos DB for MongoDB vCore elimina la necessità di gestire e applicare patch ai cluster perché queste operazioni vengono eseguite automaticamente. |
| Account amministrativi con password complesse | Può sembrare strano vedere citato questo requisito, ma a differenza di quanto accade con alcuni prodotti della concorrenza, è impossibile avere un account amministrativo senza password in Azure Cosmos DB for MongoDB vCore. La sicurezza tramite autenticazione basata su segreto TLS è integrata per impostazione predefinita. |
| Certificazioni di sicurezza e protezione dei dati | Per l'elenco più aggiornato delle certificazioni, consultare la conformità di Azure e la documentazione sulla conformità di Azure più recente con tutte le certificazioni di Azure, incluso Azure Cosmos DB. |
La schermata seguente mostra come è possibile usare la registrazione di controllo e i log attività per monitorare l'account:
Opzioni di sicurezza di rete
Questa sezione illustra le varie opzioni di sicurezza di rete che è possibile configurare per i cluster.
Nessun accesso
Nessun accesso è l'impostazione predefinita per un cluster appena creato, se non è abilitato l'accesso pubblico o privato. In tal caso, nessun computer, all'interno o all'esterno di Azure, può connettersi ai nodi del database.
Accesso IP pubblico con firewall
Nell'opzione di accesso pubblico, un indirizzo IP pubblico viene assegnato al cluster e l'accesso al cluster è protetto da un firewall.
Panoramica del firewall
Azure Cosmos DB for MongoDB vCore utilizza un firewall a livello di server per impedire qualsiasi accesso al cluster finché non vengono specificati i computer autorizzati. Il firewall concede l'accesso al cluster in base all'indirizzo IP di origine di ogni richiesta. Per configurare il firewall, creare regole del firewall che specificano gli intervalli di indirizzi IP accettabili.
Le regole del firewall consentono ai client di accedere al cluster e a tutti i database al suo interno. Le regole del firewall a livello di server possono essere configurate usando il portale di Azure o a livello di programmazione utilizzando gli strumenti di Azure come l'interfaccia della riga di comando di Azure.
Per impostazione predefinita, il firewall blocca tutti gli accessi al cluster. Per iniziare a usare il cluster da un altro computer è necessario specificare una o più regole di firewall a livello di server che consentano di accedere al cluster. Usare le regole firewall per specificare gli intervalli di indirizzi IP da Internet a cui concedere l'accesso. L'accesso al sito Web del portale di Azure non è interessato dalle regole firewall. I tentativi di connessione da Internet e Azure devono prima superare il firewall per poter raggiungere il database. Oltre alle regole di firewall, è possibile effettuare l'accesso tramite collegamento privato autorizzando un solo IP privato ad accedere al cluster di Azure Cosmos DB for MongoDB vCore.