Azure SQL Database beveiligingsfuncties

Azure SQL Database biedt een relationele databaseservice in Azure. Om klantgegevens te beschermen en sterke beveiligingsfuncties te bieden die je verwacht van een relationele databaseservice, heeft SQL Database zijn eigen beveiligingsmogelijkheden. Deze mogelijkheden bouwen voort op de besturingselementen die Azure biedt.

Beveiligingsmogelijkheden

Gebruik van het TDS-protocol

Azure SQL Database ondersteunt alleen het tabular data stream (TDS) protocol, dat vereist dat de database alleen toegankelijk is via de standaardpoort van TCP/1433.

Azure SQL Database firewall

Om klantgegevens te beschermen, bevat Azure SQL Database firewallfunctionaliteit die standaard alle toegang tot SQL Database verhindert.

Azure SQL Database firewall

De gateway-firewall kan adressen beperken, wat je gedetailleerde controle geeft om acceptabele IP-adresbereiken te specificeren. De firewall verleent toegang op basis van het oorspronkelijke IP-adres van elk verzoek.

Je kunt de firewall configureren met een beheerportaal of programmatisch door de Azure SQL Database Management REST API te gebruiken. De gateway-firewall van Azure SQL Database voorkomt standaard alle TDS-toegang van de klant tot de Azure SQL Database. Je moet toegang configureren door toegangscontrolelijsten (ACL's) te gebruiken om Azure SQL Database-verbindingen mogelijk te maken op basis van bron- en bestemmingsinternetadressen, protocollen en poortnummers.

DoSGuard

DosGuard, een SQL Database gateway-service, vermindert denial of service (DoS)-aanvallen. DoSGuard houdt actief foutieve inlogs bij vanaf IP-adressen. Als er meerdere mislukte aanmeldpogingen optreden vanaf een IP-adres binnen een bepaalde periode, blokkeert DoSGuard het IP-adres voor een vooraf bepaalde periode van toegang tot bronnen in de dienst.

De Azure SQL Database-gateway voert ook deze acties uit:

  • Onderhandelt over veilige kanaalmogelijkheden om TDS FIPS 140-2 gevalideerde versleutelde verbindingen te implementeren wanneer het verbinding maakt met de databaseservers
  • Inspecteert statusafhankelijke TDS-pakketten tijdens het accepteren van clientverbindingen. De gateway valideert de verbindingsinformatie en geeft de TDS-pakketten door aan de juiste fysieke server op basis van de databasenaam die in de verbindingsreeks is gespecificeerd

Het overkoepelende principe voor Azure SQL Database-netwerkbeveiliging is om alleen de verbindingen en communicatie toe te staan die de dienst nodig heeft om te functioneren. Azure blokkeert standaard alle andere poorten, protocollen en verbindingen. Azure gebruikt virtuele lokale netwerken (VLAN's) en ACL's om netwerkcommunicatie te beperken op basis van bron- en bestemmingsnetwerken, protocollen en poortnummers.

Goedgekeurde mechanismen voor het implementeren van netwerkgebaseerde ACL's omvatten ACL's op routers en load balancers. Azure-netwerken, de firewall van de gast-VM en door de klant geconfigureerde Azure SQL Database-gateway firewallregels beheren deze mechanismen.

Datasegregatie en klantisolatie

Azure structureert het productienetwerk om publiek toegankelijke systeemcomponenten te scheiden van interne bronnen. Er bestaan fysieke en logische grenzen tussen webservers die toegang bieden tot het publiek gerichte Azure-portaal en de onderliggende Azure-virtuele infrastructuur, waar klantapplicatie-instanties en klantgegevens zich bevinden.

Azure beheert alle publiek toegankelijke informatie binnen het Azure-productienetwerk. Het productienetwerk is:

  • Onderhevig aan tweefactorauthenticatie en grensbeschermingsmechanismen
  • Gebruikt de firewall en beveiligingsfuncties zoals beschreven in de vorige sectie
  • Gebruikt data-isolatiefuncties die in de volgende secties worden genoemd

Ongeautoriseerde systemen en isolatie van de FC

Omdat de fabric controller (FC) de centrale orkestrator is van de Azure-fabric, zijn er aanzienlijke controles om bedreigingen voor deze te beperken, vooral door mogelijk gecompromitteerde FA's binnen klantapplicaties. De FC herkent geen hardware waarvan de apparaatinformatie (bijvoorbeeld MAC-adres) niet vooraf is geladen binnen de FC. De DHCP-servers op de FC onderhouden geconfigureerde lijsten met MAC-adressen van de nodes die ze willen opstarten. Zelfs als ongeautoriseerde systemen verbinding maken, neemt de FC ze niet op in de fabric-inventaris en verbindt hij ze niet met een systeem binnen de fabric-inventaris en autoriseert hij ze evenmin om daarmee te communiceren. Deze beperking vermindert het risico dat ongeautoriseerde systemen communiceren met de FC en toegang krijgen tot het VLAN en Azure.

VLAN-isolatie

Het Azure-productienetwerk is logisch gescheiden in drie primaire VLANs:

  • Het hoofd-VLAN: Verbindt onbetrouwbare klantnodes met elkaar.
  • Het FC VLAN: Bevat vertrouwde FC's en ondersteunende systemen.
  • Het apparaat-VLAN: Bevat vertrouwde netwerk- en andere infrastructuurapparaten.

Pakketfiltering

De IPFilter en de softwarefirewalls op het root- en gastbesturingssysteem van de nodes handhaven connectiviteitsbeperkingen en voorkomen ongeautoriseerd verkeer tussen VM's.

Hypervisor, root-OS en gast-VM's

De hypervisor en het root-besturingssysteem beheren de isolatie van het root-besturingssysteem van de gast-VM's en de gast-VM's van elkaar.

Typen regels voor firewalls

Azure definieert een regel als:

{Bron-IP, Bronpoort, Doel-IP, Doelpoort, Doelprotocol, Inkomend/Uitgaand, Statusvol/Statusloos, Time-out van statusvolle stroom}.

Regels staan SYN-pakketten met synchrone idle-tekens alleen inkomend of uitgaand toe als een van de regels dit toestaat. Voor TCP gebruikt Azure stateless regels waarbij het principe alleen niet-SYN-pakketten in of uit de VM toestaat. Het beveiligingsuitgangspunt is dat elke hoststack bestand is tegen het negeren van een niet-SYN als deze nog geen SYN-pakket eerder heeft gezien. Het TCP-protocol zelf is statusafhankelijk en zorgt in combinatie met de op SYN gebaseerde statusloze regel voor het algehele gedrag van een statusafhankelijke implementatie.

Voor User Datagram Protocol (UDP) gebruikt Azure een stateful regel. Elke keer dat een UDP-pakket overeenkomt met een regel, creëert Azure een omgekeerde flow in de andere richting. Deze flow heeft een ingebouwde time-out.

Je bent verantwoordelijk voor het opzetten van je eigen firewalls bovenop wat Azure biedt. Je kunt de regels definiëren voor inkomend en uitgaand verkeer.

Productieconfiguratiebeheer

De respectievelijke operationele teams in Azure en Azure SQL Database onderhouden standaard veilige configuraties. Een centraal volgsysteem documenteert en volgt alle configuratiewijzigingen aan productiesystemen. Het centrale trackingsysteem houdt software- en hardwarewijzigingen bij. Een ACL-beheerdienst volgt netwerkwijzigingen die verband houden met ACL.

Teams ontwikkelen en testen alle configuratiewijzigingen in Azure in de staging-omgeving, en deployen deze vervolgens in de productieomgeving. Teams beoordelen softwarebuilds als onderdeel van het testproces. Teams beoordelen beveiligings- en privacycontroles als onderdeel van de criteria voor de toegangschecklist. Het betreffende implementatieteam rolt wijzigingen met geplande tussenpozen uit. De medewerkers van het betreffende implementatieteam beoordelen en keuren releases formeel goed voordat deze naar productie worden uitgerold.

Teams houden wijzigingen in de gaten om succes te waarborgen. In een falingsscenario draaien teams de wijziging terug naar de vorige staat of zetten ze een hotfix uit om de storing aan te pakken, met goedkeuring van het aangewezen personeel. Source Depot, Git, TFS, Master Data Services (MDS), runners, Azure security monitoring, de FC en het WinFabric-platform beheren, passen en verifiëren centraal de configuratie-instellingen in de virtuele omgeving van Azure.

Evenzo evalueren vastgestelde validatiestappen hardware- en netwerkwijzigingen op naleving van de bouwvereisten. Een gecoördineerde wijzigingsadviesraad (CAB) van respectievelijke groepen binnen de stack beoordeelt en autoriseert de releases.

Volgende stappen 

Voor meer informatie over wat Microsoft doet om de Azure-infrastructuur te beveiligen, zie:

  • Last updated on