Linha de base de segurança do Azure para SQL do Azure

Artigo
03/25/2024

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 a SQL do Azure. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis a SQL do Azure.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis a SQL do Azure foram excluídos. Para ver como SQL do Azure mapeia completamente para o parâmetro de comparação de segurança na nuvem da Microsoft, consulte o arquivo de mapeamento completo da linha de base de segurança SQL do Azure.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de SQL do Azure, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço	Valor
Categoria do Produto	Bancos de dados
O cliente pode acessar HOST/SO	Sem Acesso
O serviço pode ser implantado na rede virtual do cliente	True
Armazena o conteúdo do cliente em repouso	True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.

Referência: usar regras e pontos de extremidade de serviço de rede virtual para servidores no Banco de Dados SQL do Azure

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: use marcas de serviço do Azure Rede Virtual para definir controles de acesso à rede em grupos de segurança de rede ou Firewall do Azure configurados para seus recursos de SQL do Azure. Você pode usar marcas de serviço em vez de endereços IP específicos ao criar regras de segurança. Ao especificar o nome da marca de serviço no campo de origem ou destino apropriado de uma regra, você pode permitir ou negar o tráfego para o serviço correspondente. A Microsoft gerencia os prefixos de endereço englobados pela marca de serviço e atualiza automaticamente a marca de serviço em caso de alteração de endereços. Ao usar pontos de extremidade de serviço para o Banco de Dados SQL do Azure, são necessários endereços IP públicos de saída para o Banco de Dados SQL do Azure: os NSGs (grupos de segurança de rede) devem estar abertos aos IPs do Banco de Dados SQL do Azure para permitir a conectividade. Você pode fazer isso usando as marcas de serviço do NSG para o Banco de Dados SQL do Azure.

Referência: usar regras e pontos de extremidade de serviço de rede virtual para servidores no Banco de Dados SQL do Azure

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Referência: Link Privado do Azure para o Banco de Dados SQL do Azure e o Azure Synapse Analytics

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: SQL do Azure configurações de conectividade

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
As Instâncias Gerenciadas de SQL do Azure devem desabilitar o acesso à rede pública	Desabilitar o acesso à rede pública (ponto de extremidade público) em Instância Gerenciada de SQL do Azure melhora a segurança, garantindo que elas só possam ser acessadas de dentro de suas redes virtuais ou por meio de pontos de extremidade privados. Para saber mais sobre o acesso à rede pública, visite https://aka.ms/mi-public-endpoint.	Audit, Deny, desabilitado	1.0.0

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Compartilhado

Notas de recurso: SQL do Azure Banco de Dados dá suporte a vários mecanismos de autenticação de plano de dados, um dos quais é o AAD.

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: usar a autenticação do Azure Active Directory

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: restrinja o uso de métodos de autenticação local para acesso ao plano de dados. EM vez disso, use o Azure AD (Azure Active Directory) como método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: acesso ao banco de dados SQL do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
Um administrador do Azure Active Directory deve ser provisionado para servidores SQL	Audite o provisionamento de um administrador do Active Directory Domain Services do Azure para o seu servidor SQL para habilitar a autenticação do AD do Azure. A autenticação do Microsoft Azure Active Directory permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades dos usuários de banco de dados e de outros serviços da Microsoft	AuditIfNotExists, desabilitado	1.0.0

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: identidades gerenciadas para transparent data encryption com BYOK

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: SQL do Azure DB fornece várias maneiras de autenticar no plano de dados, uma das quais é Azure AD e inclui identidades gerenciadas e entidades de serviço.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: entidade de serviço do Azure Active Directory com SQL do Azure

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: acesso condicional com banco de dados SQL do Azure

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas de recurso: as chaves criptográficas SÓ podem ser armazenadas no AKV, não em segredos nem nas credenciais do usuário. Por exemplo, chaves de protetor de Transparent Data Encryption.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários administrativos/altamente privilegiados

Recursos

Contas de Administração locais

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas de recurso: não há 'administrador local' para SQL do Azure banco de dados, também não há nenhuma conta sa. No entanto, a conta que configura a instância é um administrador.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para obter acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas de recurso: SQL do Azure Banco de Dados fornece um modelo de autorização de plano de dados avançado e específico do banco de dados.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e Classificação de Dados Confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Classificação de & de Descoberta de Dados

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas sobre o recurso: há ferramentas que podem ser usadas com SQL Server para DLP, mas não há suporte interno.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
O Azure Defender para SQL deve ser habilitado para Instâncias Gerenciadas de SQL desprotegidas	Audite cada Instância Gerenciada de SQL sem a segurança de dados avançada.	AuditIfNotExists, desabilitado	1.0.2

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: versão mínima do TLS

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: transparent data encryption for Banco de Dados SQL, Instância Gerenciada de SQL and Azure Synapse Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
A Transparent Data Encryption em bancos de dados SQL deve ser habilitada	A Transparent Data Encryption deve ser habilitada para proteger os dados em repouso e atender aos requisitos de conformidade	AuditIfNotExists, desabilitado	2.0.0

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: transparent data encryption for Banco de Dados SQL, Instância Gerenciada de SQL and Azure Synapse Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
As instâncias gerenciadas de SQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos	Implementar a TDE (Transparent Data Encryption) com chave própria proporciona maior transparência e controle sobre o protetor de TDE, mais segurança com um serviço externo com suporte a HSM e promoção de separação de tarefas. Essa recomendação se aplica a organizações com um requisito de conformidade relacionado.	Audit, Deny, desabilitado	2.0.0

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Compartilhado

Notas de recurso: determinados recursos podem usar o AKV para chaves, por exemplo, ao usar Always Encrypted.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia (TDE e Always Encrypted), incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: configurar Always Encrypted usando o Key Vault do Azure

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: Azure Policy definições internas para & Instância Gerenciada de SQL de banco de dados SQL do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: Microsoft Defender para SQL do Azure ajuda a descobrir e mitigar possíveis vulnerabilidades de banco de dados e alerta você para atividades anômalas que podem ser uma indicação de uma ameaça aos bancos de dados.

Referência: Visão geral do Microsoft Defender para SQL do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
O Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Auditar servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desabilitado	2.0.1

LT-3: habilitar registro em log para investigação de segurança

Outras diretrizes para LT-3

Habilite o registro em log no nível do servidor, pois isso também filtrará para bancos de dados.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy - Microsoft.Sql:

Nome _{(Portal do Azure)}	Descrição	Efeito(s)	Versão _(GitHub)
A auditoria no SQL Server deve ser habilitada	A auditoria no SQL Server deve ser habilitada para acompanhar as atividades de banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria.	AuditIfNotExists, desabilitado	2.0.0

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou SQL do Azure tem logs de recursos que acompanham solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.

Referência: Monitoramento SQL do Azure referência de dados do Banco de Dados

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo do serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: backups automatizados – banco de dados SQL do Azure

Próximas etapas

Confira a Visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
Saiba mais sobre a Linhas de base de segurança do Azure