Funcionalidades de segurança do Base de Dados SQL do Azure

Base de Dados SQL do Azure fornece um serviço de base de dados relacional no Azure. Para proteger os dados dos clientes e fornecer características de segurança robustas que se esperam de um serviço de base de dados relacional, o SQL Database tem o seu próprio conjunto de capacidades de segurança. Estas capacidades baseiam-se nos controlos que o Azure fornece.

Funcionalidades de segurança

Utilização do protocolo TDS

O Base de Dados SQL do Azure suporta apenas o protocolo de fluxo de dados tabulares (TDS), que exige que a base de dados seja acessível apenas através da porta padrão do TCP/1433.

firewall da Base de Dados SQL do Azure

Para ajudar a proteger os dados dos clientes, o Base de Dados SQL do Azure inclui funcionalidades de firewall que, por defeito, impedem todo o acesso à base de dados SQL.

Base de Dados SQL do Azure firewall

O firewall do gateway pode limitar endereços, o que lhe dá controlo granular para especificar intervalos de endereços IP aceitáveis. O firewall concede acesso com base no endereço IP de origem de cada pedido.

Pode configurar o firewall usando um portal de gestão ou programaticamente usando a API REST do Base de Dados SQL do Azure Management. O gateway de firewall do Base de Dados SQL do Azure, por defeito, impede todo o acesso TDS dos clientes ao Base de Dados SQL do Azure. Deve configurar o acesso utilizando listas de controlo de acesso (ACLs) para permitir ligações à Base de Dados SQL do Azure por endereços de internet de origem e destino, protocolos e números de porta.

DoSGuard

O DosGuard, um serviço de gateway para base de dados SQL, reduz ataques de negação de serviço (DoS). O DoSGuard monitoriza ativamente tentativas de início de sessão falhadas provenientes de endereços IP. Se ocorrerem múltiplas tentativas falhadas de início de sessão a partir de um endereço IP dentro de um período de tempo, o DoSGuard bloqueia o acesso ao endereço IP a quaisquer recursos do serviço durante um período pré-definido.

O gateway Base de Dados SQL do Azure também executa estas ações:

  • Negocia capacidades de canal seguro para implementar ligações encriptadas validadas em conformidade com TDS FIPS 140-2 ao ligar-se aos servidores de base de dados
  • Inspeciona pacotes TDS com monitorização de estado enquanto aceita ligações de clientes. O gateway valida a informação de ligação e encaminha os pacotes TDS para o servidor físico apropriado, com base no nome da base de dados especificado na cadeia de ligação

O princípio geral para a segurança de rede do Base de Dados SQL do Azure é permitir apenas as ligações e comunicações que o serviço necessita para operar. O Azure bloqueia todas as outras portas, protocolos e ligações por defeito. O Azure utiliza redes de área local virtual (VLANs) e ACLs para restringir as comunicações de rede por redes de origem e destino, protocolos e números de porta.

Mecanismos aprovados para implementar ACLs baseadas em rede incluem ACLs em routers e balanceadores de carga. A rede Azure, o firewall de VM convidado e as regras de firewall do gateway Base de Dados SQL do Azure configuradas pelo cliente gerem estes mecanismos.

Segregação de dados e isolamento do cliente

O Azure estrutura a rede de produção para segregar componentes do sistema acessíveis publicamente dos recursos internos. Existem fronteiras físicas e lógicas entre servidores web que fornecem acesso ao portal público do Azure e à infraestrutura virtual do Azure subjacente, onde residem as instâncias de aplicação do cliente e os dados do cliente.

O Azure gere toda a informação publicamente acessível dentro da rede de produção do Azure. A rede de produção é:

  • Sujeito a mecanismos de autenticação em dois fatores e proteção de fronteiras
  • Utiliza o conjunto de funcionalidades de firewall e segurança descritos na secção anterior
  • Utiliza funções de isolamento de dados referidas nas secções seguintes

Sistemas não autorizados e isolamento da FC

Uma vez que o controlador da infraestrutura (FC) é o orquestrador central da infraestrutura do Azure, foram implementados controlos rigorosos para mitigar ameaças contra o mesmo, especialmente as provenientes de FAs potencialmente comprometidas no seio das aplicações dos clientes. A FC não reconhece nenhum hardware cuja informação do dispositivo (por exemplo, endereço MAC) não esteja pré-carregada dentro da FC. Os servidores DHCP na FC mantêm listas configuradas de endereços MAC dos nós que estão dispostos a arrancar. Mesmo que sistemas não autorizados se conectem, a FC não os incorpora no inventário da fabric nem estabelece ligação com eles nem os autoriza a comunicar com qualquer sistema do inventário da fabric. Esta restrição reduz o risco de sistemas não autorizados comunicarem com a FC e obterem acesso à VLAN e ao Azure.

Isolamento VLAN

A rede de produção do Azure está logicamente segregada em três VLANs principais:

  • A VLAN principal: Interliga nós de clientes não fiáveis.
  • A VLAN FC: Contém FCs de confiança e sistemas de apoio.
  • A VLAN do dispositivo: Contém dispositivos de rede confiáveis e outros dispositivos de infraestrutura.

Filtragem de pacotes

O IPFilter e os firewalls de software no sistema operativo raiz e convidado dos nós aplicam restrições de conectividade e impedem o tráfego não autorizado entre VMs.

Hipervisor, sistema operativo root e VMs convidadas

O hipervisor e o sistema operativo raiz gerem o isolamento entre o sistema operativo raiz e as VMs convidadas, bem como entre as próprias VMs convidadas.

Tipos de regras sobre firewalls

O Azure define uma regra como:

{IP de origem, porta de origem, IP de destino, porta de destino, protocolo de destino, entrada/saída, com estado/sem estado, tempo limite do fluxo com estado}.

As regras permitem pacotes de caracteres inativos síncronos (SYN) de entrada ou saída apenas se uma das regras o permitir. Para TCP, o Azure utiliza regras stateless onde o princípio permite apenas pacotes não-SYN na entrada ou saída da VM. A premissa de segurança é que qualquer pilha de protocolos de um anfitrião consegue ignorar um pacote que não seja SYN, caso não tenha recebido anteriormente um pacote SYN. O próprio protocolo TCP mantém o estado e, em combinação com a regra sem estado baseada em SYN, permite obter, no conjunto, o comportamento de uma implementação com estado.

No caso do User Datagram Protocol (UDP), o Azure usa uma regra com estado. Sempre que um pacote UDP corresponde a uma regra, o Azure cria um fluxo inverso na direção oposta. Este fluxo tem um timeout incorporado.

És responsável por configurar os teus próprios firewalls para além do que o Azure fornece. Podes definir as regras para tráfego de entrada e saída.

Gestão da configuração de produção

As respetivas equipas de operações no Azure e no Base de Dados SQL do Azure mantêm configurações seguras padrão. Um sistema central de rastreamento documenta e acompanha todas as alterações de configuração nos sistemas de produção. O sistema central de rastreamento acompanha alterações de software e hardware. Um serviço de gestão de ACL acompanha alterações de rede relacionadas com ACL.

As equipas desenvolvem e testam todas as alterações de configuração no Azure no ambiente de staging, e depois implementam-nas no ambiente de produção. As equipas analisam compilações de software como parte dos testes. As equipas revêem verificações de segurança e privacidade como parte dos critérios da lista de verificação de entrada. A respetiva equipa de implementação implementa as alterações nos intervalos programados. Os membros da respetiva equipa de implementação revêem e aprovam as versões antes da entrada em produção.

As equipas monitorizam as alterações para ter sucesso. Num cenário de falha, as equipas revertem a alteração para o estado anterior ou implementam um hotfix para resolver a falha com aprovação do pessoal designado. Source Depot, Git, TFS, Master Data Services (MDS), runners, monitorização de segurança do Azure, o FC e a plataforma WinFabric gerem, aplicam e verificam centralmente as definições de configuração no ambiente virtual Azure.

De forma semelhante, passos de validação estabelecidos avaliam alterações no hardware e na rede para conformidade com os requisitos de construção. Um conselho consultivo de mudança coordenado (CAB) dos respetivos grupos da stack analisa e autoriza as divulgações.

Passos seguintes

Para saber mais sobre o que a Microsoft faz para proteger a infraestrutura do Azure, veja:

  • Last updated on