Lista de verificação de segurança do banco de dados do Azure

Para ajudar a melhorar a segurança, o Banco de Dados SQL do Azure e a Instância Gerenciada de SQL do Azure incluem controles de segurança internos que podem ser usados para limitar e controlar o acesso, proteger dados e monitorar ameaças.

Os controles de segurança incluem:

• Regras de firewall que limitam a conectividade por endereço IP e rede virtual.
• Autenticação do Microsoft Entra para gerenciamento de identidades centralizado.
• Conectividade segura usando criptografia TLS.
• Gestão e autorização de acesso.
• Criptografia de dados em repouso e em trânsito.
• Auditoria de banco de dados e detecção de ameaças.
• Recursos avançados de segurança de dados.

Introdução

A computação em nuvem exige novos paradigmas de segurança que podem ser desconhecidos para muitos usuários de aplicações, administradores de banco de dados e programadores. As organizações podem usar os recursos abrangentes de segurança do SQL do Azure para proteger dados sensíveis e atender aos requisitos de conformidade regulatória.

Lista de verificação

Antes de revisar esta lista de verificação, leia as melhores práticas de segurança do Banco de Dados SQL do Azure. Compreender as melhores práticas ajuda você a tirar o máximo proveito dessa lista de verificação. Use esta lista de verificação para verificar se você abordou os controles de segurança importantes na segurança do banco de dados do Azure.

Categoria da lista de verificação	Descrição
Proteger os dados
Criptografia em trânsito	O TLS (Transport Layer Security) criptografa dados em movimento entre clientes e bancos de dados. O SQL do Azure requer TLS 1.2 ou superior para conexões seguras. O banco de dados requer uma comunicação segura de clientes com base no protocolo TDS (Fluxo de Dados Tabulares) no TLS.
Criptografia em repouso	O TDE (Transparent Data Encryption) criptografa dados e arquivos de log em repouso. O TDE é habilitado por padrão em todos os novos bancos de dados SQL do Azure. O Bring Your Own Key (BYOK) permite gerenciar chaves de criptografia TDE no Azure Key Vault.
Criptografia em uso	O Always Encrypted protege dados confidenciais criptografando-os em aplicativos cliente. As chaves de criptografia nunca chegam ao mecanismo de banco de dados, garantindo a separação entre os proprietários de dados e os gerenciadores de dados. A criptografia em nível de coluna (CLE) criptografa colunas específicas usando criptografia simétrica para proteção extra de dados sensíveis.
Acesso de controle
Acesso ao banco de dados	A autenticação do Microsoft Entra fornece gerenciamento de identidade centralizado com recursos de SSO (logon único). A autenticação SQL com senhas fortes fornece um método de autenticação alternativo. A autorização concede aos usuários os privilégios mínimos necessários usando controle de acesso baseado em funções.
Controle de acesso à rede	As regras de firewall de IP no nível do servidor restringem o acesso com base nos endereços IP de origem. As regras de firewall de IP no nível do banco de dados fornecem controle de acesso granular por banco de dados. Os pontos de extremidade de serviço de Rede Virtual permitem a conectividade de redes virtuais específicas do Azure. O Link Privado oferece conectividade privada ao Banco de Dados SQL do Azure usando um endereço IP privado dentro da sua rede virtual.
Controle de acesso do aplicativo	A segurança em nível de linha (RLS) restringe o acesso em nível de linha com base na identidade, função ou contexto de execução do usuário. O mascaramento dinâmico de dados limita a exposição de dados sensíveis ao mascará-los para usuários não privilegiados sem alterar os dados subjacentes. A descoberta e classificação de dados identifica, classifica e rotula dados sensíveis para melhorar a proteção e conformidade.
Monitoramento proativo
Auditoria e detecção	A auditoria rastreia eventos de banco de dados e os grava em um log de auditoria em sua conta de Armazenamento do Azure, no workspace do Log Analytics ou nos Hubs de Eventos. Acompanhe a saúde do Banco de Dados SQL do Azure usando o Azure Monitor e as configurações de diagnóstico. O Microsoft Defender para SQL detecta atividades anômalas de banco de dados que indicam possíveis ameaças à segurança, incluindo injeção de SQL, ataques de força bruta e explorações de vulnerabilidade.
Avaliação de vulnerabilidade	A avaliação de vulnerabilidades descobre, acompanha e ajuda a remediar potenciais vulnerabilidades no banco de dados. Fornece recomendações de segurança acionáveis e relatórios de risco para conformidade.
Gerenciamento de segurança centralizado	O Microsoft Defender para Nuvem fornece monitoramento e gerenciamento de segurança centralizados para o Banco de Dados SQL do Azure e outros serviços do Azure. Recomendações de segurança com base no parâmetro de comparação de segurança na nuvem da Microsoft.
Integridade dos dados
Capacidade de Ledger	Ledger fornece capacidades de prova de violação, criando um registro imutável de transações de banco de dados. Ajuda a atender aos requisitos de conformidade para verificação de integridade de dados.

Conclusão

Banco de Dados SQL do Azure e Instância Gerenciada de SQL do Azure oferecem plataformas de banco de dados abrangentes com recursos de segurança que atendem aos requisitos organizacionais e regulatórios de conformidade. Proteja os dados ao longo de todo o seu ciclo de vida – em repouso, em trânsito e em uso – usando Transparent Data Encryption, Always Encrypted e TLS. Controles de acesso detalhados, incluindo segurança em nível de linha, mascaramento dinâmico de dados e autenticação Microsoft Entra, garantem que apenas usuários autorizados acessem dados sensíveis. O monitoramento contínuo por meio de auditoria, Microsoft Defender for SQL e avaliação de vulnerabilidades ajuda a identificar e remediar ameaças de segurança de forma proativa.

Próximas etapas

Para melhorar a proteção do banco de dados contra usuários maliciosos ou acessos não autorizados, tome estas medidas:

• Configure regras de firewall para seu servidor e bancos de dados.
• Proteja seus dados com criptografia.
• Ative a auditoria do banco de dados SQL.
• Ative o Microsoft Defender para SQL para detecção de ameaças.
• Revise as melhores práticas de segurança.