Base de segurança do Azure para o Azure SQL

Essa linha de base de segurança aplica diretrizes do microsoft cloud security benchmark versão 1.0 ao SQL do Azure. O parâmetro de comparação de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao SQL do Azure.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do SQL do Azure, que podem resultar em maiores considerações de segurança.

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Características

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um forte motivo para atribuir IPs públicos diretamente ao recurso.

Referência: Usar terminais de serviço de rede virtual e regras para servidores no Banco de Dados SQL do Azure

Suporte a grupos de segurança de rede

Descrição: O tráfego de rede do serviço respeita a atribuição de regras dos grupos de segurança de rede nas sub-redes. Saiba mais.

Diretrizes de configuração: Use as Marcas de Serviço da Rede Virtual do Azure para definir controles de acesso à rede em grupos de segurança de rede ou no Firewall do Azure configurado para seus recursos do SQL do Azure. Você pode usar marcas de serviço em vez de endereços IP específicos ao criar regras de segurança. Ao especificar o nome da marca de serviço no campo de origem ou destino apropriado de uma regra, você pode permitir ou negar o tráfego para o serviço correspondente. A Microsoft gerencia os prefixos de endereço abrangidos pela marca de serviço e atualiza automaticamente a marca de serviço à medida que os endereços são alterados. Ao usar pontos de extremidade de serviço para o Banco de Dados SQL do Azure, são necessários endereços IP públicos de saída para o Banco de Dados SQL do Azure: os NSGs (grupos de segurança de rede) devem estar abertos aos IPs do Banco de Dados SQL do Azure para permitir a conectividade. Você pode fazer isso usando as marcas de serviço do NSG para o Banco de Dados SQL do Azure.

Referência: Usar terminais de serviço de rede virtual e regras para servidores no Banco de Dados SQL do Azure

NS-2: Proteger serviços de nuvem com controles de rede

Características

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (para não ser confundido com o NSG ou o Firewall do Azure). Saiba mais.

Diretrizes de Configuração : Implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Private Link, para estabelecer um ponto de acesso privado para os recursos.

Referência: Link Privado do Azure para o Banco de Dados SQL do Azure e o Azure Synapse Analytics

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de uma opção 'Desabilitar Acesso à Rede Pública'. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: configurações de conectividade do SQL do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Características

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Notas sobre o recurso: o Banco de Dados SQL do Azure dá suporte a vários mecanismos de autenticação de plano de dados, um dos quais é o AAD.

Diretrizes de Configuração: Utilize o Azure Active Directory (Azure AD) como método padrão de autenticação para controlar o acesso ao seu plano de dados.

Referência: usar a autenticação do Azure Active Directory

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Notas sobre recursos: evite o uso de métodos ou contas de autenticação local, estas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de Configuração : restrinja o uso de métodos de autenticação local para acesso ao plano de dados. Em vez disso, use o Azure AD (Azure Active Directory) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Acesso ao Banco de Dados SQL do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Características

Identidades gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Diretrizes de Configuração : sempre que possível, utilize identidades gerenciadas do Azure em vez de entidades de serviço, pois estas podem autenticar-se nos serviços e recursos do Azure que suportam a autenticação do Azure Active Directory (Azure AD). As credenciais de identidade gerenciada são totalmente gerenciadas, renovadas automaticamente e protegidas pela plataforma, evitando credenciais codificadas em código-fonte ou arquivos de configuração.

Referência: identidades gerenciadas para criptografia de dados transparente com BYOK

Entidades de serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Notas do recurso: o Banco de Dados SQL do Azure fornece várias maneiras de autenticar no plano de dados, uma das quais é o Azure AD e inclui identidades gerenciadas e entidades de serviço.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: entidade de serviço do Azure Active Directory com o SQL do Azure

IM-7: Restringir o acesso a recursos com base em condições

Características

Acesso Condicional ao Plano de Dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Diretrizes de Configuração : Defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: Acesso condicional com o Banco de Dados SQL do Azure

IM-8: Restringir a exposição de credenciais e segredos

Características

Credenciais de serviço e segredos dão suporte à integração e armazenamento no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Notas de recurso: as chaves criptográficas SÓ podem ser armazenadas no AKV, não em segredos nem nas credenciais do usuário. Por exemplo, chaves de protetor transparent data encryption.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Características

Contas de administrador local

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Notas do recurso: Não há nenhum 'administrador local' para o BD SQL do Azure, também não há nenhuma conta sa. No entanto, a conta que configura a instância é um administrador.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

PA-7: Siga o princípio de administração suficiente (privilégio mínimo)

Características

RBAC do Azure para plano de dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Notas de recurso: o Banco de Dados SQL do Azure fornece um modelo de autorização de plano de dados avançado e específico do banco de dados.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Características

Sistema de Proteção de Dados do Cliente

Descrição: Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para examinar e, em seguida, aprove ou rejeite cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Características

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Descoberta e Classificação de Dados

DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais

Características

Prevenção de vazamento/perda de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Notas sobre o recurso: há ferramentas que podem ser usadas com o SQL Server para DLP, mas não há suporte interno.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

DP-3: Criptografar dados confidenciais em trânsito

Características

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: versão mínima do TLS

DP-4: Habilitar a criptografia de dados em repouso por padrão

Características

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: criptografia de dados transparente para o Banco de Dados SQL, a Instância Gerenciada de SQL e o Azure Synapse Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Características

Criptografia de dados em repouso usando o CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é compatível com o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Referência: criptografia de dados transparente para o Banco de Dados SQL, a Instância Gerenciada de SQL e o Azure Synapse Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

DP-6: Use um processo seguro de gerenciamento de chaves

Características

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Notas de recurso: determinados recursos podem usar o AKV para chaves, por exemplo, ao usar o Always Encrypted.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia (TDE e Always Encrypted), incluindo geração de chaves, distribuição e armazenamento. Gire e revogue as chaves no Azure Key Vault e em seu serviço com base em um agendamento definido e quando houver uma desativação ou um comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível de carga de trabalho, serviço ou aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: Configurar o Always Encrypted usando o Azure Key Vault

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Características

Suporte para Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Diretrizes de configuração: use o Microsoft Defender para Nuvem para configurar o Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio de configuração detectado nos recursos. Use os efeitos de [negar] e [implantar se não existir] do Azure Policy para impor a configuração segura nos recursos do Azure.

Referência: definições incorporadas do Azure Policy para Banco de Dados SQL do Azure & Instância SQL Gerenciada

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar recursos de detecção de ameaças

Características

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução específica do Microsoft Defender para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de configuração: o Microsoft Defender para SQL do Azure ajuda você a descobrir e atenuar possíveis vulnerabilidades de banco de dados e alerta você para atividades anômalas que podem ser uma indicação de uma ameaça para seus bancos de dados.

Referência: Visão geral do MICROSOFT Defender para SQL do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

LT-3: habilitar registro em log para investigação de segurança

Outras diretrizes para LT-3

Habilite o registro em log no nível do servidor, pois isso também será propagado para os bancos de dados.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Sql:

LT-4: Ativar o registro de logs para investigação de segurança

Características

Logs de Recursos do Azure

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Diretrizes de configuração: Habilite os logs de recursos para o serviço. Por exemplo, o Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo dos logs de recursos varia de acordo com o serviço do Azure e o tipo de recurso.

Referência: Monitorando a referência de dados do Banco de Dados SQL do Azure

Backup e recuperação

Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Backup e recuperação.

BR-1: garantir backups automatizados regulares

Características

Serviço de Backup do Azure

Descrição: O serviço pode ser respaldado pelo serviço de Backup do Azure. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: backups automatizados – Banco de Dados SQL do Azure

Próximas etapas

• Confira a visão geral do Microsoft Cloud Security Benchmark
• Saiba mais sobre as linhas de base de segurança do Azure