Linha de base de segurança do Azure para o Azure SQL

Esta linha de base de segurança aplica orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 ao Azure SQL. O benchmark de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas orientações relacionadas aplicáveis ao Azure SQL.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender for Cloud. As definições de Política do Azure serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem Definições de Política do Azure relevantes, elas são listadas nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de referência de segurança na nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto do Azure SQL, o que pode resultar em considerações de segurança maiores.

Segurança de rede

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Caraterísticas

Integração de Rede Virtual

Descrição: o serviço suporta a implementação na Rede Virtual privada (VNet) do cliente. Mais informações.

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.

Referência: Usar regras e pontos de extremidade de serviço de rede virtual para servidores no Banco de Dados SQL do Azure

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede do serviço respeita a atribuição de regras dos Grupos de Segurança de Rede nas sub-redes. Mais informações.

Diretrizes de configuração: use as Tags de Serviço de Rede Virtual do Azure para definir controles de acesso à rede em grupos de segurança de rede ou no Firewall do Azure configurado para seus recursos SQL do Azure. Ao criar regras de segurança, pode utilizar etiquetas de serviço em vez de endereços IP específicos. Ao especificar o nome da etiqueta de serviço no campo de origem ou destino apropriado de uma regra, você pode permitir ou negar o tráfego para o serviço correspondente. A Microsoft gerencia os prefixos de endereço incluídos pela etiqueta de serviço e atualiza automaticamente a etiqueta de serviço à medida que os endereços mudam. Ao usar pontos de extremidade de serviço para o Banco de Dados SQL do Azure, a saída para endereços IP públicos do Banco de Dados SQL do Azure é necessária: os NSGs (Grupos de Segurança de Rede) devem ser abertos nos IPs do Banco de Dados SQL do Azure para permitir a conectividade. Você pode fazer isso usando marcas de serviço NSG para o Banco de Dados SQL do Azure.

Referência: Usar regras e pontos de extremidade de serviço de rede virtual para servidores no Banco de Dados SQL do Azure

NS-2: Serviços de nuvem seguros com controles de rede

Caraterísticas

Azure Private Link

Descrição: Capacidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com NSG ou Firewall do Azure). Mais informações.

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Referência: Azure Private Link para Banco de Dados SQL do Azure e Azure Synapse Analytics

Desativar o acesso à rede pública

Descrição: O serviço suporta a desativação do acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço (não NSG ou Firewall do Azure) ou usando uma opção de alternância 'Desabilitar acesso à rede pública'. Mais informações.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Configurações de conectividade SQL do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

Gestão de identidades

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de identidade.

IM-1: Usar identidade centralizada e sistema de autenticação

Caraterísticas

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Mais informações.

Notas de funcionalidade: a Base de Dados SQL do Azure suporta vários mecanismos de autenticação de plano de dados, um dos quais é o AAD.

Diretrizes de configuração: use o Azure Ative Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Usar a autenticação do Ative Directory do Azure

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticação local suportados para acesso ao plano de dados, como um nome de usuário e senha locais. Mais informações.

Notas de recursos: Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Configuration Guidance: Restrinja o uso de métodos de autenticação local para acesso ao plano de dados. Em vez disso, use o Azure Ative Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Acesso ao Banco de Dados SQL do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

IM-3: Gerencie identidades de aplicativos de forma segura e automática

Caraterísticas

Identidades gerenciadas

Descrição: As ações do plano de dados suportam autenticação usando identidades gerenciadas. Mais informações.

Orientação de Configuração: Use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Ative Directory (Azure AD). As credenciais de identidade geridas são totalmente geridas, renovadas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou nos arquivos de configuração.

Referência: identidades gerenciadas para criptografia de dados transparente com BYOK

Principais de Serviço

Descrição: O plano de dados suporta autenticação usando entidades de serviço. Mais informações.

Notas de funcionalidade: o Banco de Dados SQL do Azure fornece várias formas de autenticação no plano de dados, uma das quais é o Azure AD e inclui identidades geridas e entidades de serviço.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: entidade de serviço do Azure Ative Directory com o Azure SQL

IM-7: Restringir o acesso a recursos com base em condições

Caraterísticas

Acesso Condicional à Camada de Dados

Descrição: o acesso ao plano de dados pode ser controlado usando as Políticas de Acesso Condicional do Azure AD. Mais informações.

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Ative Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamentos de entrada arriscados ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: Acesso condicional com o Banco de Dados SQL do Azure

IM-8: Restringir a exposição de credenciais e segredos

Caraterísticas

Integração e armazenamento de suporte de credenciais e segredos de serviço no Cofre de Chaves do Azure

Descrição: O plano de dados dá suporte ao uso nativo do Cofre de Chaves do Azure para armazenamento de credenciais e segredos. Mais informações.

Notas de funcionalidade: As chaves criptográficas APENAS podem ser armazenadas em AKV, não segredos nem credenciais de utilizador. Por exemplo, chaves protetoras de criptografia de dados transparentes.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Acesso privilegiado

Para obter mais informações, consulte o referencial de segurança da cloud da Microsoft: Acesso privilegiado.

PA-1: Separe e limite usuários altamente privilegiados/administrativos

Caraterísticas

Contas de administrador local

Descrição: O serviço tem o conceito de conta administrativa local. Mais informações.

Notas de funcionalidade: Não existe um 'administrador local' para o Banco de Dados SQL do Azure, também não existe uma conta sa. No entanto, a conta que configura a instância é um administrador.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

PA-7: Siga o princípio de administração suficiente (menor privilégio)

Caraterísticas

RBAC para o Plano de Dados do Azure

Descrição: O Azure Role-Based Access Control (Azure RBAC) pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Mais informações.

Notas de funcionalidade: a Base de Dados SQL do Azure fornece um modelo de autorização de plano de dados avançado e específico da base de dados.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

PA-8: Determinar o processo de acesso para suporte ao provedor de nuvem

Caraterísticas

Caixa de Bloqueio do Cliente

Descrição: O Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Mais informações.

Diretrizes de configuração: Em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Proteção de dados.

DP-1: Descubra, classifique e rotule dados confidenciais

Caraterísticas

Deteção e classificação de dados confidenciais

Descrição: as ferramentas (como o Azure Purview ou o Azure Information Protection) podem ser utilizadas para a deteção e classificação de dados no serviço. Mais informações.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Descoberta de Dados & Classificação

DP-2: Monitorizar anomalias e ameaças que visam dados confidenciais

Caraterísticas

Prevenção de Fugas/Perdas de Dados

Descrição: O serviço suporta a solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Mais informações.

Notas de recurso: há ferramentas que podem ser usadas com o SQL Server para DLP, mas não há suporte interno.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

DP-3: Criptografar dados confidenciais em trânsito

Caraterísticas

Encriptação de Dados em Trânsito

Descrição: O serviço suporta criptografia de dados em trânsito no plano de dados. Mais informações.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Versão mínima do TLS

DP-4: Habilitar a criptografia de dados em repouso por padrão

Caraterísticas

Criptografia de dados em repouso usando chaves de plataforma

Descrição: A criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo de cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Mais informações.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: criptografia de dados transparente para Banco de Dados SQL, Instância Gerenciada SQL e Azure Synapse Analytics

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

DP-5: Use a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Caraterísticas

Criptografia de dados em repouso usando CMK

Descrição: A criptografia de dados em repouso usando chaves gerenciadas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Mais informações.

Diretrizes de configuração: Se necessário para conformidade regulamentar, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Referência: criptografia de dados transparente para Banco de Dados SQL, Instância Gerenciada SQL e Azure Synapse Analytics

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

DP-6: Use um processo seguro de gerenciamento de chaves

Caraterísticas

Gerenciamento de chaves no Cofre de Chaves do Azure

Descrição: o serviço suporta a integração do Azure Key Vault para quaisquer chaves de cliente, segredos ou certificados. Mais informações.

Notas de recursos: Alguns recursos podem usar AKV para chaves, por exemplo, ao usar Always Encrypted.

Diretrizes de configuração: use o Cofre de Chaves do Azure para criar e controlar o ciclo de vida de suas chaves de criptografia (TDE e Always Encrypted), incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Cofre de Chaves do Azure e seu serviço com base em um cronograma definido ou quando houver uma desativação de chave ou comprometimento. Quando houver necessidade de usar a chave gerenciada pelo cliente (CMK) no nível de carga de trabalho, serviço ou aplicativo, certifique-se de seguir as práticas recomendadas para o gerenciamento de chaves. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Cofre de Chaves do Azure), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: Configurar o Always Encrypted usando o Azure Key Vault

Gestão de ativos

Para obter mais informações, consulte o referencial de segurança da cloud da Microsoft: Gestão de ativos.

AM-2: Utilizar apenas serviços aprovados

Caraterísticas

Suporte de Política do Azure

Descrição: As configurações de serviço podem ser monitoradas e aplicadas por meio da Política do Azure. Mais informações.

Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar a Política do Azure para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio de configuração detetado nos recursos. Utilize os efeitos da Política do Azure [negar] e [implantar caso não exista] para garantir uma configuração segura nos recursos do Azure.

Referência: Definições internas da Política do Azure para o Banco de Dados SQL do Azure & Instância Gerenciada SQL

Registo e deteção de ameaças

Para mais informações, consulte o benchmark de segurança na cloud da Microsoft: Registo e deteção de ameaças.

LT-1: Habilite os recursos de deteção de ameaças

Caraterísticas

Microsoft Defender para Oferta de Serviços e Produtos

Descrição: O serviço tem uma solução Microsoft Defender específica para monitorar e alertar sobre problemas de segurança. Mais informações.

Diretrizes de configuração: o Microsoft Defender para Azure SQL ajuda você a descobrir e mitigar possíveis vulnerabilidades de banco de dados e alerta você sobre atividades anômalas que podem ser uma indicação de uma ameaça aos seus bancos de dados.

Referência: Visão geral do Microsoft Defender para Azure SQL

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

LT-3: Ativar o registo para investigação de segurança

Outras orientações para o LT-3

Habilite o registro em log no nível do servidor, pois isso também será filtrado para bancos de dados.

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Sql:

LT-4: Ativar o registro de logs para investigação de segurança

Caraterísticas

Registos de Recursos do Azure

Descrição: O serviço produz registos de recursos que podem fornecer métricas aperfeiçoadas e registos específicos do serviço. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio destino de dados, como uma conta de armazenamento ou um espaço de trabalho do Log Analytics. Mais informações.

Diretrizes de configuração: ative os registos de recursos para o serviço. Por exemplo, o Cofre da Chave dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo dos logs de recursos varia de acordo com o serviço do Azure e o tipo de recurso.

Referência: Monitorando a referência de dados do Banco de Dados SQL do Azure

Backup e recuperação

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Backup e recuperação.

BR-1: Garantir cópias de segurança automatizadas regulares

Caraterísticas

Azure Backup

Descrição: é possível fazer backup do serviço pelo serviço de Backup do Azure. Mais informações.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a seu próprio recurso de backup nativo (se não estiver usando o Backup do Azure). Mais informações.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Backups automatizados - Banco de Dados SQL do Azure

Próximos passos

• Consulte a visão geral do benchmark de segurança na nuvem da Microsoft
• Saiba mais sobre as linhas de base de segurança do Azure