Beveiligingsoverwegingen in Azure Cosmos DB
Gegevensbeveiliging is een gedeelde verantwoordelijkheid tussen u, de klant en uw databaseprovider. Afhankelijk van de databaseprovider die u kiest, kan de hoeveelheid verantwoordelijkheid die u draagt variëren. Als u een on-premises oplossing kiest, moet u alles bieden, van eindpuntbeveiliging tot fysieke beveiliging van uw hardware, wat geen eenvoudige taak is. Als u een PaaS-clouddatabaseprovider (Platform as a Service) kiest, zoals Azure Cosmos DB, neemt uw probleemgebied aanzienlijk af.
Zie gedeelde verantwoordelijkheid in de cloud voor meer informatie.
Checklijst
We raden de volgende controlelijst aan met vereisten voor het vergelijken van databasesystemen:
- Netwerkbeveiliging en firewallinstellingen
- Gebruikersverificatie en fijnmazige gebruikersbesturingselementen
- Mogelijkheid om gegevens globaal te repliceren voor regionale fouten
- Mogelijkheid om een failover uit te wisselen van het ene datacenter naar het andere
- Replicatie van lokale gegevens binnen een datacenter
- Automatische back-ups van gegevens
- Herstel van verwijderde gegevens uit back-ups
- Mogelijkheid om gevoelige gegevens te beveiligen en te isoleren
- Controle op aanvallen
- Ingebouwde reacties op aanvallen
- Mogelijkheid om gegevens geografisch te omheinen om te voldoen aan beperkingen voor gegevensbeheer
- Fysieke beveiliging van servers in beveiligde datacenters
- Certificeringen
Hoewel het misschien duidelijk lijkt, herinneren recente grootschalige databaseschendingen ons aan het eenvoudige maar kritieke belang van de volgende vereisten:
- Gepatchte servers die up-to-date blijven
- HTTPS standaard/TLS-versleuteling
- Beheerdersaccounts met sterke wachtwoorden
Hoe beveiligt Azure Cosmos DB mijn database?
Azure Cosmos DB beveiligt uw database standaard met veel functies die zijn ingebouwd in de service en Azure.
| Beveiligingsvereiste | Beveiligingsbenadering van Azure Cosmos DB |
|---|---|
| Netwerkbeveiliging | Het gebruik van een IP-firewall is de eerste beveiligingslaag om uw database te beveiligen. Azure Cosmos DB biedt ondersteuning voor op beleid gebaseerd IP-toegangsbeheer voor binnenkomende firewallondersteuning. De op IP gebaseerde toegangsbeheer is vergelijkbaar met de firewallregels die worden gebruikt door traditionele databasesystemen. Ze worden echter uitgebreid, zodat een Azure Cosmos DB-databaseaccount alleen toegankelijk is vanaf een goedgekeurde set machines of cloudservices. Zie de firewallondersteuning van Azure Cosmos DB voor meer informatie. Met Azure Cosmos DB kunt u een specifiek IP-adres (168.61.48.0), een IP-bereik (168.61.48.0/8) en combinaties van IP-adressen en bereiken inschakelen. Azure Cosmos DB blokkeert alle aanvragen die afkomstig zijn van computers buiten deze lijst met toegestane machines. Aanvragen van goedgekeurde machines en cloudservices moeten vervolgens het verificatieproces voltooien om toegangsbeheer voor de resources te krijgen. U kunt servicetags voor virtuele netwerken gebruiken om netwerkisolatie te bereiken en uw Azure Cosmos DB-resources te beschermen tegen het algemene internet. Gebruik servicetags in plaats van specifieke IP-adressen wanneer je beveiligingsregels maakt. Door de naam van de servicetag (bijvoorbeeld AzureCosmosDB) op te geven in het juiste bron- of doelveld van een regel, kunt u het verkeer voor de bijbehorende service toestaan of weigeren. |
| Autorisatie | Azure Cosmos DB maakt gebruik van HMAC (Hash-based Message Authentication Code) voor autorisatie. Elke aanvraag wordt gehasht met behulp van de geheime accountsleutel en de volgende base-64 gecodeerde hash wordt verzonden met elke aanroep naar Azure Cosmos DB. Om de aanvraag te valideren, gebruikt Azure Cosmos DB de juiste geheime sleutel en eigenschappen om een hash te genereren. Vervolgens wordt de waarde vergeleken met de waarde in de aanvraag. Als de twee waarden overeenkomen, wordt de bewerking geautoriseerd en wordt de aanvraag verwerkt. Als ze niet overeenkomen, is er een autorisatiefout en wordt de aanvraag geweigerd. U kunt een primaire sleutel gebruiken, waardoor gedetailleerde toegang tot een resource, zoals een document, mogelijk is. Zie Beveiligde toegang tot Azure Cosmos DB-resources voor meer informatie. |
| Gebruikers en machtigingen | Met behulp van de primaire sleutel voor het account kunt u gebruikersbronnen en machtigingsbronnen per database maken. Een resourcetoken is gekoppeld aan een machtiging in een database en bepaalt of de gebruiker toegang heeft (alleen-lezen, alleen-lezen of geen toegang) tot een toepassingsresource in de database. Toepassingsbronnen omvatten containers, documenten, bijlagen, opgeslagen procedures, triggers en door de gebruiker gedefinieerde functies (UDF's). Het resourcetoken wordt vervolgens gebruikt tijdens verificatie om toegang tot de resource op te geven of te weigeren. Zie Beveiligde toegang tot Azure Cosmos DB-resources voor meer informatie. |
| Active Directory-integratie (op rollen gebaseerd toegangsbeheer van Azure) | U kunt ook de toegang tot het Azure Cosmos DB-account, de database, de container en aanbiedingen (doorvoer) opgeven of beperken met behulp van toegangsbeheer (IAM) in Azure Portal. IAM biedt op rollen gebaseerd toegangsbeheer en kan worden geïntegreerd met Active Directory. U kunt ingebouwde rollen of aangepaste rollen gebruiken voor personen en groepen. |
| Globale replicatie | Azure Cosmos DB biedt kant-en-klare wereldwijde distributie, waarmee u uw gegevens op een kant-en-klare manier kunt repliceren naar een van de wereldwijde datacenters van Azure. Met wereldwijde replicatie kunt u wereldwijd schalen en toegang bieden tot uw gegevens over de hele wereld met lage latentie. In de context van beveiliging zorgt globale replicatie voor gegevensbescherming tegen regionale storingen. Zie Gegevens wereldwijd distribueren voor meer informatie. |
| Regionale failovers | Als u uw gegevens in meer dan één datacenter repliceert, wordt Azure Cosmos DB automatisch over uw bewerkingen meegerold als een regionaal datacenter offline gaat. U kunt een lijst met failoverregio's met prioriteit maken met behulp van de regio's waarin uw gegevens worden gerepliceerd. Zie Regionale failovers in Azure Cosmos DB voor meer informatie. |
| Lokale replicatie | Zelfs binnen één datacenter worden in Azure Cosmos DB automatisch gegevens gerepliceerd voor hoge beschikbaarheid, zodat u de keuze hebt uit consistentieniveaus. Deze replicatie garandeert een SLA (Service Level Agreement) voor 99,99% beschikbaarheid voor alle accounts in één regio en alle accounts voor meerdere regio's met een soepele consistentie en 99,999% leesbeschikbaarheid voor alle databaseaccounts voor meerdere regio's. |
| Geautomatiseerde online back-ups | Er wordt regelmatig een back-up van Azure Cosmos DB-databases gemaakt en opgeslagen in een geografisch redundant archief. Zie Automatische online back-up en herstel met Azure Cosmos DB voor meer informatie. |
| Verwijderde gegevens herstellen | U kunt de geautomatiseerde onlineback-ups gebruiken om gegevens te herstellen die per ongeluk tot ongeveer 30 dagen na de gebeurtenis zijn verwijderd. Zie Automatische online back-up en herstel met Azure Cosmos DB voor meer informatie. |
| Gevoelige gegevens beveiligen en isoleren | Alle gegevens in de regio's die worden vermeld in Wat is er nieuw? is nu versleuteld at rest. Persoonlijke gegevens en andere vertrouwelijke gegevens kunnen worden geïsoleerd voor specifieke containers en lezen/schrijven of alleen-lezentoegang kunnen worden beperkt tot specifieke gebruikers. |
| Controleren op aanvallen | Door auditlogboeken en activiteitenlogboeken te gebruiken, kunt u uw account controleren op normale en abnormale activiteiten. U kunt bekijken welke bewerkingen zijn uitgevoerd op uw resources. Deze gegevens omvatten wie de bewerking heeft gestart, wanneer de bewerking is opgetreden, de status van de bewerking en nog veel meer. |
| Reageren op aanvallen | Nadat u contact hebt opgenomen met ondersteuning voor Azure om een mogelijke aanval te melden, begint een proces voor het reageren op incidenten in vijf stappen. Het doel is om de normale servicebeveiliging en -bewerkingen te herstellen. Het proces herstelt services zo snel mogelijk nadat een probleem is gedetecteerd en er wordt een onderzoek gestart. Zie Microsoft Azure-beveiligingsantwoord in de cloud voor meer informatie. |
| Geo-fencing | Azure Cosmos DB zorgt voor gegevensbeheer voor onafhankelijke regio's (bijvoorbeeld Duitsland, China en de Amerikaanse overheid). |
| Beveiligde faciliteiten | Gegevens in Azure Cosmos DB worden opgeslagen op ssd-stations in beveiligde datacenters van Azure. Zie globale Datacenters van Microsoft voor meer informatie. |
| HTTPS & TLS-versleuteling | Alle verbindingen met Azure Cosmos DB ondersteunen HTTPS. Azure Cosmos DB ondersteunt TLS-niveaus (Transport Layer Security) tot 1.2 (inbegrepen). Het is mogelijk om een minimaal TLS-niveau af te dwingen aan de serverzijde. Raadpleeg hiervoor de selfservicehandleiding voor het afdwingen van minimale TLS-versies in Azure Cosmos DB. |
| Versleuteling 'at rest' | Alle gegevens die zijn opgeslagen in Azure Cosmos DB, worden at-rest versleuteld. Meer informatie in Azure Cosmos DB-versleuteling at-rest. |
| Gepatchte servers | Als beheerde database wordt de server automatisch gepatcht en beheerd door Azure Cosmos DB, waardoor handmatige onderhoudstaken niet meer nodig zijn. |
| Beheerdersaccounts met sterke wachtwoorden | Het is onmogelijk om een beheerdersaccount zonder wachtwoord in Azure Cosmos DB te hebben. Beveiliging via TLS- en HMAC-verificatie op basis van geheimen is standaard ingebouwd. |
| Certificeringen voor beveiliging en gegevensbescherming | Zie voor de meest recente lijst met certificeringen azure-naleving en het meest recente Azure-nalevingsdocument met alle Azure-certificeringen, waaronder Azure Cosmos DB. |