Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Şunlar için geçerlidir:
Azure SQL Veritabanı
Azure SQL Veritabanı, kullanıcı müdahalesi olmadan yükseltme, yamalama, yedekleme ve izleme gibi çoğu veritabanı yönetim işlevini yöneten, tamamen yönetilen bir platform olarak hizmet (PaaS) veritabanı motorudur. Müşteri kayıtları, finansal bilgiler ve fikri mülkiyet dahil kritik iş verilerini genellikle sakladığı için, Azure SQL Veritabanı'inizi güvence altına almak, veri ihlalleri, yetkisiz erişim ve uyum ihlallerine karşı koruma açısından çok önemlidir.
Bu makale, Azure SQL Veritabanı dağıtımınızı korumaya yardımcı olacak güvenlik önerileri sunmaktadır.
Bu makaledeki güvenlik önerileri Sıfır Güven ilkelerini uygular: "Açıkça doğrula", "En az ayrıcalık erişimi kullan" ve "İhlal varsay". Kapsamlı Sıfır Güven kılavuzu için bkz. Sıfır Güven Kılavuzu Merkezi.
Saldırı yüzeyini azaltın ve tehditleri azaltın
Azure SQL Veritabanı yönetilen bir PaaS motoru olduğundan, Microsoft işletim sistemini ve altyapıyı güçlendirir. Sorumluluğunuz, saldırıya maruz kalan uygulama ve veri yüzeyini azaltmak ve tehditleri erken tespit etmek üzerine odaklanır.
SQL zafiye değerlendirmeleri yapın: SQL güvenlik açığı değerlendirmesini kullanarak olası veritabanı yanlış yapılandırmalarını ve zayıflıklarını keşfetmek, takip etmek ve düzeltmek için kullanın. Tekrarlayan taramaları planlayın ve koyduğunuz temel çizgiye göre hareket edin. Daha fazla bilgi için bkz. SQL güvenlik açığı değerlendirmesi.
SQL enjeksiyonuna karşı koruma: Uygulamalarınızda parametreli sorgular ve depolanmış prosedürler kullanın ve kullanıcı girdisini SQL ifadeleriyle birleştirmeyin. SQL enjeksiyonu, veritabanı uygulamalarına karşı en yaygın saldırı vektörlerinden biri olmaya devam ediyor. Daha fazla bilgi için bkz. SQL enjeksiyonu.
Savunmayı derinlemesine uygulayın: Ağ izolasyonu, kimlik kontrolleri, veri koruma ve izlemeyi birleştirin ki hiçbir kontrol tek bir başarısızlık noktası olmasın. Daha fazla bilgi için, yaygın güvenlik gereksinimlerini ele almak için Playbook'a bakınız.
Ağ güvenliği
Azure SQL Veritabanı için ağ güvenliği, yetkisiz bağlantıları önlemeye yardımcı olur ve saldırılara maruz kalma riskini azaltır, böylece sadece güvenilir kaynaklar veritabanlarınıza ulaşabilir.
Özel uç noktaları kullanın: Azure SQL Veritabanı'inize Azure Özel Bağlantı kullanarak özel IP adresleri üzerinden bağlanın, böylece veritabanınızı genel internete açığa çıkarmayın. Özel bağlantı, saldırı yüzeyini ve veri sızdırma riskini azaltır. Daha fazla bilgi için bkz. Azure SQL Veritabanı için Azure Özel Bağlantı.
Kamusal ağ erişimini devre dışı bırakın: Özel uç noktalarına güvendiğinizde, tüm bağlantıların özel uç noktadan geçmesi için kamuya açık ağ erişimini tamamen devre dışı bırakın. Daha fazla bilgi için bkz. Genel ağ erişimini reddetme.
Sunucu düzeyinde güvenlik duvarı kurallarını yapılandırın: Azure'da mantıksal sunucunuza erişimi, hangi adreslerin veya aralıkların bağlanabileceğini belirten IP güvenlik duvarı kurallarıyla kontrol edin; bu kurallar en az ayrıcalık ilkesine uygun şekilde kullanılır. Daha fazla bilgi için bkz. Azure SQL Veritabanı ve Azure Synapse IP güvenlik duvarı kuralları.
Veritabanı düzeyinde güvenlik duvarı kurallarını yapılandırmak: Daha ayrıntılı kontrol için, bireysel veritabanlarına uygulanan veritabanı düzeyinde güvenlik duvarı kurallarını yapılandırın; böylece veritabanı başına erişim politikaları mümkün olur. Daha fazla bilgi için bkz. Veritabanı düzeyinde IP güvenlik duvarı kuralları.
Trafiği belirli sanal ağlara kısıtlayın: Sadece Azure sanal ağlarınızdaki belirli alt ağlardan gelen trafiğe izin vermek için sanal ağ kurallarını kullanın, böylece IP tabanlı kuralların ötesinde ağ izolasyonu ekleyin. Daha fazla bilgi için bkz. Azure SQL Veritabanı için sanal ağ kuralları.
Minimum TLS sürümünü ayarlayın: Mantıksal sunucunun minimum TLS sürümünü 1.2 veya daha yüksek seviyeye ayarlayın, böylece daha eski ve zayıf protokoller kullanan bağlantılar reddedilir. Daha fazla bilgi için Minimum TLS sürümüne bakınız.
Uygun bir bağlantı politikası seçin: Tüm trafiğin gateway'den tek bir portta akmasını istiyorsanız, arka uç düğüm portlarının aralığını ortaya çıkarmak yerine Proxy bağlantı politikasını kullanın ve daha düşük gecikme için Azure içinden Redirect kullanın. Varsayılanı geçersiz kılmadan önce ödünleşimleri anlayın. Daha fazla bilgi için bkz. Azure SQL Veritabanı bağlantı mimarisi.
Kimlik ve erişim yönetimi
Güçlü kimlik ve kimlik doğrulama kontrolleri, Azure SQL Veritabanı kaynaklarınıza erişimi yetkili kullanıcılar ve uygulamalarla sınırlar; merkezi kimlik yönetimi ve daha kolay hesap yaşam döngüsü kontrolü sağlar.
Kimlik doğrulama ve hesap yönetimi
Bir Microsoft Entra yöneticisini yapılandırmak: Mantıksal sunucunuz için merkezi kimlik yönetimi ve gelişmiş kimlik doğrulama politikalarını etkinleştirmek üzere bir Microsoft Entra yöneticisi atayın. Daha fazla bilgi için bkz. Microsoft Entra kimlik doğrulamasını yapılandırma.
Microsoft Entra doğrulama kullanın: Merkezi kimlik yönetimi ve Koşullu Erişim ile çok faktörlü kimlik doğrulama gibi özelliklere erişim için SQL doğrulaması yerine Microsoft Entra doğrulamasını tercih edin. Daha fazla bilgi için bkz . Microsoft Entra kimlik doğrulaması.
Mümkün olduğunda SQL kimlik doğrulamasını devre dışı bırakın: Maksimum güvenlik için, tüm bağlantıların Microsoft Entra doğrulama kullanmasını ve SQL kimlik doğrulamasını kapatmasını zorunlu kılın, böylece zayıf veya tehlikeye girmiş SQL şifreleri riski ortadan kalkar. Daha fazla bilgi için bkz. Microsoft Entra-only kimlik doğrulaması.
İçerik veritabanı kullanıcıları oluşturun: Veritabanı kullanıcılarını mümkün olduğunda sunucu düzeyinde girişler yerine Microsoft Entra kimlikleri veya gruplarına eşle, bu da izin yönetimini basitleştirir ve sunucu düzeyinde erişimi azaltır. Daha fazla bilgi için bkz. Kapsanan veritabanı kullanıcıları.
Çok faktörlü kimlik doğrulamayı zorunlu kılın: Mantıksal sunucuyu yöneten ve ona bağlanan Microsoft Entra kimlikleri için Koşullu Erişim üzerinden çok faktörlü kimlik doğrulama (MFA) gerek, böylece şifrelerin ötesinde bir koruma katmanı eklenin. Daha fazla bilgi için bkz. Çok faktörlü kimlik doğrulama nasıl çalışır.
Koşullu Erişim politikalarını uygulayın: Kullanıcı konumu, cihaz uyumu ve risk temelinde erişimi kontrol etmek için Koşullu Erişim kullanın; her erişim denemesi için uyarlanabilir güvenlik sağlar. Daha fazla bilgi için bkz . Koşullu erişim.
Mantıksal sunucu için yönetilen bir kimlik kullanın: Mantıksal sunucuya sistem tarafından atanan veya kullanıcı tarafından atanan yönetilen bir kimlik atanıyın ki Azure Key Vault (TDE'nin müşteri tarafından yönetilen anahtarları için) ve Azure Depolama'a (denetim için) saklanan sırlar olmadan ulaşabilsin. Daha fazla bilgi için bkz. Azure SQL için Microsoft Entra'da yönetilen kimlik.
Güçlü şifre politikalarını uygulayın: SQL kimlik doğrulaması kullanıyorsanız, kolayca tahmin edilemeyen karmaşık şifreler talep edin, bunları düzenli olarak döndürün ve hesaplar arasında tekrar kullanmaktan kaçının. Daha fazla bilgi için bkz . Parola ilkesi.
Ayrıcalıklı erişim
En az ayrıcalık ver: Kullanıcılara sadece iş fonksiyonları için gereken minimum izinleri verin ve izinleri düzenli olarak gözden geçirin. Daha fazla bilgi için bkz . Veritabanı altyapısı izinlerini kullanmaya başlama.
Ayrı idari roller: Tüm yöneticilere geniş yönetici hakları vermekten kaçının. İdari işlevler arasında ayrıntılı izinler ve görevlerin ayrılmasını kullanın. Daha fazla bilgi için bkz . İzinler.
Veritabanı rolleriyle erişim atama: Rol tabanlı güvenlik uygulamak için yerleşik ve özel veritabanı rolleri kullanın; kullanıcıları bireysel izinler vermek yerine rollere atayın. Daha fazla bilgi için bkz . Veritabanı düzeyinde roller.
Yönetim işlemleri için Azure RBAC kullanın: Azure rol tabanlı erişim kontrolüyle Azure SQL Veritabanı yönetim işlemlerine erişimi kontrol edin, yalnızca belirli görevler için gereken izinleri veren özel roller oluşturun. Daha fazla bilgi için bkz. veritabanları için Azure yerleşik rollerini.
Tam zamanında ayrıcalıklı erişim sağla: Microsoft Entra Privileged Identity Management (PIM) kullanarak idari rollere zaman sınırlı, onay temelli erişim tanıyın, böylece kullanıcılar yalnızca ihtiyaç duyduklarında yükseltilmiş ayrıcalıklara sahip olsunlar. Daha fazla bilgi için bkz . Privileged Identity Management.
Ayrıcalıklı faaliyetleri izlemek: Ayrıcalıklı hesapların gerçekleştirdiği işlemleri takip etmek için denetimi etkinleştirin, şüpheli değişiklikler için kayıtları inceleyin ve hassas işlemler hakkında uyarı verin. Daha fazla bilgi için Azure SQL Veritabanı için Denetim bölümüne bakın.
Veri koruma
Veri koruması, bilgilerinizi şifreleme, maskeleme ve sınıflandırma yoluyla koruyarak izinsiz bilgilerin açıklanması, müdahale edilmesi veya kaybedilmesini önler.
Saydam Veri Şifrelemesi'ı (TDE) etkinleştirin: Veritabanınızı, günlüğünü ve yedekleme dosyalarınızı dinlenme halindeyken şifreleyin. TDE varsayılan olarak yeni veritabanları için etkinleştirilmiştir; şifreleme anahtarları üzerinde ek kontrol için Azure Key Vault'ta müşteri tarafından yönetilen anahtarları kullanın. Daha fazla bilgi için, Şeffaf veri şifreleme (TDE) ve müşteri tarafından yönetilen anahtarlarla TDE'ye bakınız.
Hassas verileri Always Encrypted ile koruyun: Always Encrypted kullanarak kullanıldığında, dinlenme halinde, taşınma halindeki ve geçiş halindeki çok hassas verileri koruyun, böylece yöneticiler bile düz metin değerlerini göremez. Daha zengin işlevsellik için güvenli enklavlar kullanın. Daha fazla bilgi için bkz. Always Encrypted .
Defterle müdahale edilebilir veri oluşturun: Defterin, hassas verilerdeki değişikliklerin değiştirilemez ve kriptografik olarak doğrulanabilir bir kaydını oluşturmasını mümkün kılın; bu da düzenleyici gereksinimlerin karşılanmasına yardımcı olabilir. Daha fazla bilgi için bkz . Ledger.
Hassas verileri dinamik veri maskelemesi ile maskeleyin: Uygulama kodunu değiştirmeden uygulamalar için işlevselliği koruyarak ayrıcalıksız kullanıcılar için hassas verileri gizlemek için dinamik veri maskelemesi uygulanın. Daha fazla bilgi için bkz . Dinamik veri maskeleme.
Hassas verileri sınıflandırın ve etiketleyin: SQL Veri Keşfi ve Sınıflandırma ile hassas verileri tanımlayın, sınıflandırın ve etiketleyin; böylece denetim ve maskeleme gibi özellikler metaveriyi kullanabilir ve hassas verilerin nerede olduğunu raporlayabilirsiniz. Daha fazla bilgi için bkz. Veri bulma ve sınıflandırma.
Column seviyesinde izinlerle erişimi kısıtlayın: Sütun seviyesinde izinler verin veya reddedin, böylece sadece hassas bir sütuna ihtiyacı olan kullanıcılar bunu okuyabilir veya değiştirebilir. Daha fazla bilgi için bkz. GRANT nesne izinleri.
Row-Level Güvenlik (RLS) ile satır sınırlarını kısıtlayın: RLS uygulayın, böylece kullanıcılar yalnızca kendilerine ait veri satırlarına erişebilsin, bu da çok kiracılı senaryolar için ideal uygulama düzeyinde güvenlik sağlar. Daha fazla bilgi için bkz. Row-Level Güvenliği.
Kayıt ve izleme
Kapsamlı kayıt ve izleme, anormal faaliyetleri tespit etmene, olayları araştırmanıza ve veritabanlarınıza uyumluluğu göstermenize yardımcı olur.
Microsoft Defender for SQL’i etkinleştirin: Güvenlik açığı değerlendirmesi ve gelişmiş tehdit koruması da dahil olmak üzere, veritabanlarınıza erişmeye veya bunlardan yararlanmaya yönelik olağan dışı ve potansiyel olarak zararlı girişimleri algılamak için Microsoft Defender for SQL’i açın. Daha fazla bilgi için bkz. SQL için Microsoft Defender.
Microsoft Defender for Cloud ile entegre olun: Microsoft Defender for Cloud'u merkezi güvenlik yönetimi, güvenlik önerileri ve Azure kaynaklarınızda entegre tehdit koruması için kullanın. Daha fazla bilgi için, Defender for Cloud'daki Microsoft Defender for SQL'e bakınız.
Tehdit koruma uyarılarını yapılandırın: SQL enjeksiyon girişimleri, anormal erişim kalıpları ve kaba kimlik doğrulama gibi şüpheli faaliyetler için uyarılar oluşturun ve bildirimleri doğru alıcılara yönlendirin. Daha fazla bilgi için Gelişmiş tehdit koruması bölümünü inceleyin.
Denetimi etkinleştirin: Veritabanı olaylarını takip edecek şekilde denetimi yapılandırın ve bunları bir Log Analytics çalışma alanı, Azure Depolama veya Event Hubs'a yazın. Hem sunucu düzeyinde hem de veritabanı düzeyinde etkinlikleri tam kapsama için denetleyin. Daha fazla bilgi için Azure SQL Veritabanı için Denetim bölümüne bakın.
Tanılama günlüklerini akışa alma:
SQLSecurityAuditEventsgibi güvenlik kategorileri dahil günlükleri, saklama ve analiz için Azure İzleyici Logs, Event Hubs veya Azure Depolama'a göndermek üzere tanılama ayarlarını yapılandırın. Daha fazla bilgi için bkz. Monitor Azure SQL Veritabanı with Azure İzleyici.Denetim kayıtlarını düzenli olarak inceleyin: Denetim kayıtlarını şüpheli faaliyetler için incelemek için bir süreç oluşturun; ayrıcalıklı hesap işlemleri, başarısız kimlik doğrulama girişimleri ve hassas verilere erişim odaklanın. Daha fazla bilgi için Azure SQL Veritabanı için Denetim bölümüne bakın.
Uyumluluk ve idare
Yönetişim kontrolleri, düzenleyici uyumluluğu göstermenize ve veritabanlarınızda tutarlı güvenlik yapılandırmalarını uygulamanıza yardımcı olur.
Microsoft Defender for Cloud ile düzenleyici uyumluluğu takip edin: Düzenleyici uyum panelini kullanarak veritabanlarınızı PCI DSS, ISO 27001 ve SOC gibi standartlara göre değerlendirin ve arızalanan kontrollerin düzeltilmesini takip edin. Daha fazla bilgi için Düzenleyici uyum paneline bakınız.
Azure İlkesi ile yapılandırmaları zorunlu kılın: TDE, denetim, özel uç noktalar ve Microsoft Entra ile kimlik doğrulama gibi kontrolleri denetlemek ve uygulamak için Azure SQL Veritabanı için yerleşik Azure İlkesi tanımları ata. Daha fazla bilgi için bkz. Azure İlkesi built-in definitions for Azure SQL Veritabanı.
Microsoft Purview ile hassas verileri yönetin: Microsoft Purview'de Azure SQL Veritabanı'i kaydedip tarayarak veri varlıkınızda hassas verileri kataloglayın, sınıflandırın ve yönetin. Daha fazla bilgi için Microsoft Purview'de Azure SQL Veritabanı'e bağlanma ve Azure SQL Veritabanı'i yönetme konusuna bakın.
Microsoft bulut güvenlik kıyaslamasını uygulayın: Microsoft bulut güvenlik kıyaslamasını, Azure genelinde bir temel olarak kullanarak Azure SQL Veritabanı'e uyguladığınız kontrolleri önceliklendirin ve doğrulayın. Daha fazla bilgi için Microsoft bulut güvenlik kıyaslamasına bakınız.
Yedekleme ve kurtarma
Güvenilir yedekleme ve kurtarma işlemleri hatalardan, olağanüstü durumlardan veya saldırılardan dolayı verilerinizi kaybolmaya karşı korur. Ayrıca iyileşme hedeflerinize ulaşmanıza yardımcı olurlar.
Otomatik yedekleme yapılandırmasını doğrulayın: Otomatik yedeklemelerin yapılandırıldığını ve tutma gereksinimlerinizle karşılandığını doğrulayın. Azure SQL Veritabanı, varsayılan olarak otomatik yedeklemeler sağlar ve 1 ila 35 gün arasında yapılandırılabilir saklama süresi sunar. Daha fazla bilgi için bkz. Otomatik yedeklemeler.
Yedek depolama yedekliğini yapılandırmak: Erişilebilirlik ve felaket kurtarma ihtiyaçlarınıza uygun yedek depolama yedekliğini seçin: yerel yedekli (LRS), bölge yedekli (ZRS), jeolojik yedekli (GRS) veya coğrafi bölge yedekli (GZRS). Daha fazla bilgi için bkz. Yedek depolama alanı yedekliliği.
Uyumluluk için uzun vadeli tutma kullanın: Uzun vadeli tutma (LTR) yapılandırın; uyumluluk varsayılan sürenin ötesine kadar tutmayı gerektirdiğinde tam yedeklemeleri 10 yıla kadar depolayın. Daha fazla bilgi için bkz. Uzun süreli saklama.
Yedekleme ve geri yükleme prosedürlerini test edin: Geri yüklemeleri düzenli olarak test ederek iyileşme süresi hedeflerinize uyduklarını ve geri getirilen veritabanlarının sağlam verilerle tamamen işlevsel olduğunu doğrulayın. Daha fazla bilgi için bkz. Veritabanını kurtarma.
Felaket kurtarma için geo-restore uygulayın: Coğrafi geri yükleme kullanarak bir veritabanını yedeklerden herhangi bir Azure bölgesine geri getirerek bölgesel kesintilere karşı korun. Daha fazla bilgi için bkz . Coğrafi geri yükleme.
Yedek Aktivitesini İzle: Azure İzleyici kullanarak yedekleme işlemlerini takip edin ve hatalar için uyarıları yapılandırın. Daha fazla bilgi için bkz . Yedekleme depolama tüketimini izleme ve sorunlarını giderme.