Lista de verificação de segurança do banco de dados do Azure

Para ajudar a melhorar a segurança, o Banco de Dados SQL do Azure e a Instância Gerenciada SQL do Azure incluem controles de segurança internos que você pode usar para limitar e controlar o acesso, proteger dados e monitorar ameaças.

Os controlos de segurança incluem:

• Regras de firewall que limitam a conectividade por endereço IP e rede virtual.
• Autenticação do Microsoft Entra para gestão centralizada de identidades.
• Conectividade segura usando encriptação TLS.
• Gestão de acesso e autorização.
• Encriptação de dados em repouso e em trânsito.
• Auditoria de bases de dados e deteção de ameaças.
• Funcionalidades avançadas de segurança de dados.

Introdução

A computação em nuvem exige novos paradigmas de segurança que podem ser desconhecidos para muitos utilizadores de aplicações, administradores de bases de dados e programadores. As organizações podem utilizar as funcionalidades de segurança abrangentes do SQL do Azure para proteger dados sensíveis e cumprir os requisitos de conformidade regulamentar.

Lista de Verificação

Antes de rever esta lista de verificação, leia as melhores práticas de segurança do Base de Dados SQL do Azure. Compreender as melhores práticas ajuda-o a tirar o máximo proveito desta lista de verificação. Use esta lista de verificação para verificar se abordou os controlos de segurança importantes na segurança da base de dados do Azure.

Categoria da lista de verificação	Descrição
Proteger os dados
Encriptação em trânsito	Transport Layer Security (TLS) criptografa dados em movimento entre clientes e bancos de dados. O SQL do Azure requer TLS 1.2 ou superior para conexões seguras. O banco de dados requer comunicação segura de clientes com base no protocolo TDS (Tabular Data Stream) sobre TLS.
Criptografia de dados em repouso	A Criptografia de Dados Transparente (TDE) criptografa dados e arquivos de log em repouso. A TDE é habilitada por padrão em todos os novos bancos de dados SQL do Azure. O Bring your Own Key (BYOK) permite-lhe gerir chaves de encriptação TDE no Azure Key Vault.
Encriptação em uso	O Always Encrypted protege dados confidenciais criptografando-os em aplicativos cliente. As chaves de criptografia nunca chegam ao mecanismo de banco de dados, garantindo a separação entre proprietários e gerentes de dados. A encriptação ao nível das colunas (CLE) encripta colunas específicas utilizando encriptação simétrica para proteção extra de dados sensíveis.
Controlar o acesso
Acesso à base de dados	A autenticação do Microsoft Entra fornece gerenciamento centralizado de identidades com recursos de logon único (SSO). A autenticação SQL com senhas fortes fornece um método de autenticação alternativo. A autorização concede aos utilizadores os privilégios mínimos necessários através do controlo de acesso baseado em papéis.
Controlo de acesso à rede	As regras de firewall IP no nível do servidor restringem o acesso com base nos endereços IP de origem. As regras de firewall IP no nível de banco de dados fornecem controle de acesso granular por banco de dados. Os pontos de extremidade do serviço de Rede Virtual permitem a conectividade de redes virtuais específicas do Azure. O Private Link fornece conectividade privada ao Base de Dados SQL do Azure utilizando um endereço IP privado dentro da sua rede virtual.
Controlo de acesso a aplicações	A segurança ao nível da linha (RLS) restringe o acesso ao nível da linha com base na identidade, função ou contexto de execução do utilizador. O mascaramento dinâmico de dados limita a exposição de dados sensíveis ao mascará-los a utilizadores não privilegiados sem alterar os dados subjacentes. A descoberta e classificação de dados identifica, classifica e rotula dados sensíveis para melhorar a proteção e conformidade.
Monitorização proativa
Auditoria e deteção	A auditoria rastreia eventos de banco de dados e os grava em um log de auditoria em sua conta de Armazenamento do Azure, espaço de trabalho do Log Analytics ou Hubs de Eventos. Acompanhe a saúde do Base de Dados SQL do Azure usando o Azure Monitor e as definições de diagnóstico. O Microsoft Defender for SQL deteta atividades anômalas de banco de dados indicando possíveis ameaças à segurança, incluindo injeção de SQL, ataques de força bruta e explorações de vulnerabilidade.
Avaliação da vulnerabilidade	A avaliação de vulnerabilidades descobre, acompanha e ajuda a remediar potenciais vulnerabilidades na base de dados. Fornece recomendações de segurança acionáveis e relatórios de risco para fins de conformidade.
Gestão de segurança centralizada	O Microsoft Defender para a Cloud fornece monitoramento e gerenciamento de segurança centralizados para o Banco de Dados SQL do Azure e outros serviços do Azure. Recomendações de segurança baseadas no benchmark de segurança na nuvem da Microsoft.
Integridade dos dados
Capacidade de contabilidade	Ledger fornece capacidades de detecção de adulterações ao criar um registo imutável de transações de bases de dados. Ajuda a atender aos requisitos de conformidade para verificação da integridade dos dados.

Conclusão

O Base de Dados SQL do Azure e o Azure SQL Managed Instance fornecem plataformas abrangentes de bases de dados com funcionalidades de segurança que cumprem os requisitos organizacionais e de conformidade regulatória. Proteja os dados ao longo do seu ciclo de vida – em repouso, em trânsito e em uso – utilizando Encriptação de Dados Transparente, Always Encrypted e TLS. Controlos de acesso detalhados, incluindo segurança ao nível da linha, mascaramento dinâmico de dados e autenticação Microsoft Entra, garantem que apenas utilizadores autorizados acedam a dados sensíveis. A monitorização contínua através de auditorias, Microsoft Defender for SQL e avaliação de vulnerabilidades ajuda a identificar e remediar ameaças de segurança de forma proativa.

Próximos passos

Para melhorar a proteção da base de dados contra utilizadores maliciosos ou acessos não autorizados, tome estes passos:

• Configura as regras do firewall para o teu servidor e bases de dados.
• Proteja os seus dados com encriptação.
• Ativar a auditoria de bases de dados SQL.
• Ative o Microsoft Defender para SQL para deteção de ameaças.
• Revise as melhores práticas de segurança.