Skanowanie baz danych Azure SQL Database pod kątem luk w zabezpieczeniach

Ważne

Wszystkie funkcje usługi Microsoft Defender dla Chmury zostaną oficjalnie wycofane w regionie Azure w Chinach 18 sierpnia 2026 r. Ze względu na zbliżającą się emeryturę platforma Azure w Chinach nie może już dołączać nowych subskrypcji do usługi. Nowa subskrypcja to każda subskrypcja, która nie została jeszcze dołączona do usługi Microsoft Defender dla Chmury przed 18 sierpnia 2025 r., datą ogłoszenia o wycofaniu. Aby uzyskać więcej informacji na temat wycofania, zobacz Ogłoszenie o wycofaniu usługi Microsoft Defender dla Chmury na platformie Microsoft Azure, zarządzanej przez 21Vianet.

Klienci powinni współpracować ze swoimi przedstawicielami kont platformy Microsoft Azure obsługiwanymi przez firmę 21Vianet, aby ocenić wpływ tej emerytury na własne operacje.

Ocena luk w zabezpieczeniach SQL to łatwa do skonfigurowania usługa, która wykrywa i śledzi potencjalne luki w zabezpieczeniach baz danych oraz pomaga w ich usuwaniu. Użyj go, aby aktywnie zwiększyć bezpieczeństwo bazy danych dla:

Azure SQL Database Azure SQL Managed Instance Azure Synapse Analytics

Ocena luk w zabezpieczeniach jest częścią usługi Microsoft Defender for Azure SQL— ujednoliconego pakietu zaawansowanych funkcji zabezpieczeń SQL. Możesz uzyskać dostęp do oceny luk w zabezpieczeniach i zarządzać nią z każdego zasobu bazy danych SQL w witrynie Azure Portal.

Uwaga

Ocena luk w zabezpieczeniach jest obsługiwana w przypadku usług Azure SQL Database, Azure SQL Managed Instance i Azure Synapse Analytics. Bazy danych w usługach Azure SQL Database, Azure SQL Managed Instance i Azure Synapse Analytics są wspólnie określane jako bazy danych w tym artykule. Serwer odwołuje się do serwera , który hostuje bazy danych dla usług Azure SQL Database i Azure Synapse.

Ważne

Usługa Express Configuration jest dostępna w wersji zapoznawczej dla obszarów roboczych Azure SQL Managed Instance i Azure Synapse Analytics. To rozszerza publicznie dostępne środowisko zarządzane przez firmę Microsoft dla usługi Azure SQL Database (GA), bez dodatkowych opłat.

To wydanie umożliwia włączenie SQL VA bez konfigurowania konta magazynowego zarządzanego przez klienta. Konfiguracja ekspresowa jest zalecanym trybem włączania i zapewnia taką samą wartość zabezpieczeń jak konfiguracja klasyczna z uproszczoną konfiguracją.

Ujednolicony interfejs API REST (v2026-04-01-preview) umożliwia spójne zarządzanie oceną luk w zabezpieczeniach SQL w usługach Azure SQL Database, SQL Managed Instance, obszarach roboczych Synapse oraz SQL na komputerach (na maszynach wirtualnych platformy Azure i w środowiskach SQL z obsługą usługi Arc).

Na czym polega ocena luk w zabezpieczeniach baz danych SQL?

Ocena luk w zabezpieczeniach SQL zapewnia wgląd w stan zabezpieczeń bazy danych. Zawiera on kroki umożliwiające podjęcie działań w celu rozwiązania problemów z zabezpieczeniami i zwiększenia poziomu zabezpieczeń SQL.

Ocena luk w zabezpieczeniach to usługa skanowania wbudowana w usługę Azure SQL. Korzysta z bazy wiedzy reguł, które zaznaczają luki w zabezpieczeniach oraz odchylenia od najlepszych praktyk, takie jak błędy konfiguracji, nadmierne uprawnienia i niechronione poufne dane.

Reguły są oparte na najlepszych rozwiązaniach firmy Microsoft i koncentrują się na problemach z zabezpieczeniami, które stanowią największe zagrożenie dla bazy danych i jej cennych danych. Obejmują one problemy na poziomie bazy danych i problemy z zabezpieczeniami na poziomie serwera, takie jak ustawienia zapory serwera i uprawnienia na poziomie serwera.

Wyniki skanowania obejmują kroki umożliwiające podjęcie działań, aby rozwiązać każdy problem i udostępnić dostosowane skrypty korygowania, jeśli ma to zastosowanie. Dostosuj raport oceny dla środowiska, ustawiając akceptowalny punkt odniesienia dla:

• Konfiguracje uprawnień.
• Konfiguracje funkcji.
• Ustawienia bazy danych.

Modele konfiguracji

Ocena luk w zabezpieczeniach SQL obsługuje dwa modele konfiguracji:

Szybka konfiguracja

W konfiguracji ekspresowej usługa Microsoft Defender dla Chmury zarządza przechowywaniem na potrzeby wyników skanowania oceny luk w zabezpieczeniach. Nie jest wymagane żadne konto magazynu zarządzane przez klienta.

Wyniki skanowania są przechowywane w tym samym regionie świadczenia usługi Azure co serwer logiczny SQL.

Permissions

Zadanie	Role wymagane
Wyświetlanie wyników ocen luk w zabezpieczeniach SQL w rekomendacjach usługi Microsoft Defender dla Chmury	Administrator zabezpieczeń lub czytelnik zabezpieczeń
Zmienianie ustawień oceny luk w zabezpieczeniach SQL	Menedżer zabezpieczeń SQL lub administrator zabezpieczeń (dla nowego ujednoliconego interfejsu API)
Uzyskiwanie dostępu do wyników skanowania na poziomie zasobów lub automatycznych linków poczty e-mail	Menedżer zabezpieczeń SQL lub administrator zabezpieczeń (dla nowego ujednoliconego interfejsu API)

Miejsce przechowywania danych

Wyniki skanowania są przechowywane w tym samym regionie świadczenia usługi Azure co serwer logiczny SQL. Dane są zbierane i przechowywane tylko wtedy, gdy jest włączona ocena luk w zabezpieczeniach SQL.

Konfiguracja klasyczna

W konfiguracji klasycznej wyniki skanowania są przechowywane na skonfigurowanym przez klienta koncie usługi Azure Storage. Kontrolujesz lokalizację konta magazynu, model dostępu i odporność.

Permissions

Zadanie	Role wymagane
Wyświetlanie wyników ocen luk w zabezpieczeniach SQL w rekomendacjach usługi Microsoft Defender dla Chmury	Administrator zabezpieczeń lub czytelnik zabezpieczeń
Zmienianie ustawień oceny luk w zabezpieczeniach SQL	Menedżer zabezpieczeń SQL i Odczytujący danych obiektu blob w usłudze Storage i Właściciel (na koncie magazynu)
Uzyskiwanie dostępu do wyników skanowania na poziomie zasobów lub automatycznych linków poczty e-mail	Menedżer zabezpieczeń SQL i czytnik danych BLOB magazynu

Miejsce przechowywania danych

Wyniki skanowania są przechowywane na skonfigurowanym koncie usługi Azure Storage. Lokalizacja konta magazynu determinuje rezydencję danych.

Porównanie modelu konfiguracji

W poniższej tabeli porównaliśmy możliwości i różnice między konfiguracjami ekspresowymi i klasycznymi:

Parametr	Szybka konfiguracja	Konfiguracja klasyczna
Obsługiwane dialekty SQL	• Azure SQL Database • Dedykowane pule SQL usługi Azure Synapse (dawniej Azure SQL Data Warehouse) • Azure SQL Managed Instance (wersja zapoznawcza) • Azure Synapse Analytics (wersja zapoznawcza)	• Azure SQL Database • Azure SQL Managed Instance • Azure Synapse Analytics
Obsługiwany zakres zasad	•Subskrypcja •Serwer	•Subskrypcja •Serwer •Baza danych
Zależności	Tożsamość zarządzana przypisana przez system (tylko Azure SQL Managed Instance)	Konto magazynu Azure
Skanowanie cykliczne	• Zawsze aktywne • Planowanie skanowania jest wewnętrzne i nie można go skonfigurować	• Możliwość konfigurowania wł./wył. • Planowanie skanowania jest wewnętrzne i nie można go skonfigurować
Skanowanie systemowych baz danych	• Zaplanowane skanowanie • Skanowanie ręczne	• Zaplanowane skanowanie tylko wtedy, gdy istnieje jedna baza danych użytkownika lub więcej • Skanowanie ręczne za każdym razem, gdy baza danych użytkownika jest skanowana
Obsługiwane reguły	Wszystkie reguły oceny luk w zabezpieczeniach dla obsługiwanego typu zasobu	Wszystkie reguły oceny luk w zabezpieczeniach dla obsługiwanego typu zasobu
Ustawienia punktu odniesienia	• Batch — kilka reguł w jednym poleceniu • Ustawianie według najnowszych wyników skanowania • Pojedyncza reguła	• Pojedyncza reguła
Zastosuj linię bazową	Działa bez ponownego skanowania bazy danych	Działa dopiero po ponownym skanowaniu bazy danych
Rozmiar wyniku skanowania pojedynczej reguły	Maksymalnie 1 MB	Nieograniczony
Powiadomienia e-mail	• Logic Apps	• Wewnętrzny harmonogram • Logic Apps
Skanowanie eksportu	CSV, Azure Resource Graph	Format programu Excel, Azure Resource Graph
Obsługiwane chmury	Chmury komercyjne1 Azure Government Platforma Microsoft Azure obsługiwana przez firmę 21Vianet	Chmury komercyjne Azure Government Platforma Azure obsługiwana przez firmę 21Vianet

¹: Najnowsza wersja interfejsu API SQL VA (w wersji 2026-04-01-preview, w wersji zapoznawczej dla Azure SQL Managed Instance i Azure Synapse Analytics) nie jest obecnie dostępna w regionach Bliskiego Wschodu: Israel Central, Qatar Central, UAE Central i UAE North.

Powiązana zawartość

• Włącz oceny luk w zabezpieczeniach SQL
• Typowe pytania dotyczące konfiguracji ekspresowej i rozwiązywanie problemów.
• Dowiedz się więcej o usłudze Microsoft Defender dla usługi Azure SQL.
• Dowiedz się więcej na temat odnajdywania i klasyfikacji danych.
• Dowiedz się więcej o przechowywaniu wyników skanowania oceny podatności na koncie magazynu dostępnym za zaporami i w sieciach wirtualnych.
• Znajdowanie i korygowanie wyników oceny luk w zabezpieczeniach SQL