Partilhar via

Mitigação de ameaças e vulnerabilidades (replicação)

Aplica-se a:SQL ServerAzure SQL Managed Instance

Este tópico descreve técnicas para reduzir ameaças a uma topologia de replicação.

Encryption

A encriptação é o processo de conversão de dados num formulário que não pode ser lido sem uma chave especial, para que apenas o destinatário pretendido possa ler os dados. A replicação não criptografa dados armazenados em tabelas ou enviados por conexões de rede. Isso ocorre por design, porque a criptografia está disponível no nível de transporte com uma série de tecnologias, incluindo as seguintes tecnologias padrão do setor: Virtual Private Networks (VPN), Transport Layer Security (TLS), anteriormente conhecida como Secure Sockets Layer (SSL) e IP Security (IPSEC). Recomendamos o uso de um desses métodos de criptografia para as conexões entre computadores em uma topologia de replicação. Para obter mais informações, consulte Habilitar conexões criptografadas com o Mecanismo de Banco de Dados (SQL Server Configuration Manager). Para obter informações sobre como usar VPN e TLS para replicar dados pela Internet, consulte Protegendo a replicação pela Internet.

Se você usar TLS para proteger as conexões entre computadores em uma topologia de replicação, especifique um valor de 1 ou 2 para o parâmetro -EncryptionLevel de cada agente de replicação (recomenda-se um valor de 2 ). Um valor de 1 especifica que a criptografia é usada, mas o agente não verifica se o certificado do servidor TLS/SSL está assinado por um emissor confiável; Um valor de 2 especifica que o certificado é verificado. Os parâmetros do agente podem ser especificados nos perfis do agente e na linha de comando. Para obter mais informações, consulte:

A replicação tem o seguinte comportamento em relação às chaves mestras do banco de dados, que são usadas para criptografar dados:

  • Se uma Chave Mestra estiver presente em um banco de dados envolvido na replicação (um banco de dados de publicação, um banco de dados de assinatura ou um banco de dados de distribuição), a replicação criptografará e descriptografará senhas de agente nesse banco de dados usando uma chave simétrica de banco de dados do SQL Server 2012 (11.x). Se forem usadas Chaves Mestras, uma Chave Mestra deverá ser criada em cada banco de dados envolvido na replicação. Para obter mais informações sobre como criar chaves mestras, consulte CREATE MASTER KEY (Transact-SQL).

  • A replicação não replica chaves mestras. Se você precisar da Chave Mestra no Assinante, deverá exportá-la do banco de dados de publicação usando BACKUP MASTER KEY e, em seguida, importá-la para o banco de dados de assinatura usando RESTORE MASTER KEY. Para obter mais informações, consulte BACKUP MASTER KEY (Transact-SQL) e RESTORE MASTER KEY (Transact-SQL).

  • Se uma Chave Mestra for definida para um banco de dados de assinatura anexável, especifique a senha da Chave Mestra usando o @db_master_key_password parâmetro de sp_attachsubscription (Transact-SQL). Isso permite que o banco de dados seja anexado ao assinante.

Para obter mais informações sobre criptografia e chaves mestras, consulte Hierarquia de criptografia.

A replicação permite publicar dados de coluna criptografados. Para desencriptar e utilizar estes dados no Subscritor, a chave que foi utilizada para encriptar os dados no Editor também tem de estar presente no Subscritor. A replicação não fornece um mecanismo seguro para transportar chaves de criptografia. Você deve recriar manualmente a chave de criptografia no Assinante. Para obter mais informações, consulte Replicar dados em colunas criptografadas (SQL Server Management Studio).

Suporte a TLS 1.3

O SQL Server 2025 (17.x) e versões posteriores suporta TLS 1.3 para ligações de replicação inicializadas por agentes configurados para correr no SQL Server 2025. Isso se aplica a uma topologia de replicação que inclui o SQL Server e a Instância Gerenciada do SQL.

Se você usar o TLS 1.3 para proteger as conexões entre instâncias em uma topologia de replicação, especifique um valor de 3 ou 4 para o -EncryptionLevel parâmetro de cada agente de replicação:

Um valor de impõe conexões TLS 1.3 a instâncias gerenciadas do SQL, mas não tem impacto nas conexões com instâncias do 3 SQL Server. Um valor de 4 ativa o TLS 1.3 para ligações de saída iniciadas por uma instância SQL gerida, ou pelo SQL Server 2025 (17.x) e versões posteriores, para outros servidores SQL ou instâncias SQL geridas. Para conexões destinadas a um SQL Server (qualquer versão com suporte), o certificado apropriado deve ser instalado no host do SQL Server de destino.

Observação

Para topologias de replicação com um distribuidor remoto:

Conteúdo relacionado

  • Last updated on