Sdílet prostřednictvím

Standardní hodnoty zabezpečení Azure pro Azure SQL

  • Článek

Tyto standardní hodnoty zabezpečení Azure SQL aplikují pokyny z srovnávacího testu zabezpečení cloudu Microsoftu verze 1.0. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah se seskupuje podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem zabezpečení cloudu Microsoftu a souvisejících pokynů platných pro Azure SQL.

Tyto standardní hodnoty zabezpečení a jejich doporučení můžete monitorovat pomocí Microsoft Defender for Cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacího testu zabezpečení cloudu Od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce, které se nevztahují na Azure SQL, byly vyloučeny. Pokud chcete zjistit, jak Azure SQL zcela namapovat na srovnávací test zabezpečení cloudu Microsoftu, podívejte se na úplný soubor Azure SQL mapování standardních hodnot zabezpečení.

Profil zabezpečení

Profil zabezpečení shrnuje chování Azure SQL s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut Chování služby Hodnota
Kategorie produktu Databáze
Zákazník má přístup k hostiteli nebo operačnímu systému. Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka. Ano
Ukládá obsah zákazníka v klidovém stavu. Ano

Zabezpečení sítě

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network (VNet) zákazníka. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Nasaďte službu do virtuální sítě. Pokud neexistuje silný důvod k přiřazení veřejných IP adres přímo k prostředku, přiřaďte prostředku privátní IP adresy (je-li to možné).

Referenční informace: Použití koncových bodů služby pro virtuální síť a pravidel pro servery ve službě Azure SQL Database

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí značek služeb Azure Virtual Network definujte řízení přístupu k síti ve skupinách zabezpečení sítě nebo Azure Firewall nakonfigurovaných pro prostředky Azure SQL. Značky služeb můžete používat místo konkrétních IP adres při vytváření pravidel zabezpečení. Zadáním názvu značky služby do příslušného zdrojového nebo cílového pole pravidla můžete povolit nebo zakázat provoz pro odpovídající službu. Microsoft spravuje předpony adres, které jsou součástí značky služby, a automaticky aktualizuje značku služby podle toho, jak se adresy mění. Při použití koncových bodů služby pro službu Azure SQL Database se vyžaduje odchozí provoz na veřejné IP adresy Azure SQL databáze: Aby bylo možné připojení, musí být otevřené skupiny zabezpečení sítě (NSG) pro Azure SQL IP adresy databáze. Můžete to provést pomocí značek služby NSG pro Azure SQL Database.

Referenční informace: Použití koncových bodů služby pro virtuální síť a pravidel pro servery ve službě Azure SQL Database

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Popis: Funkce nativního filtrování IP adres pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Nasaďte privátní koncové body pro všechny prostředky Azure, které podporují funkci Private Link, a vytvořte privátní přístupový bod pro prostředky.

Referenční informace: Azure Private Link pro Azure SQL Database and Azure Synapse Analytics

Zakázání přístupu z veřejné sítě

Popis: Služba podporuje zakázání veřejného síťového přístupu buď pomocí pravidla filtrování seznamu ACL protokolu IP na úrovni služby (nikoli skupiny zabezpečení sítě nebo Azure Firewall), nebo pomocí přepínače Zakázat veřejný síťový přístup. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Azure SQL nastavení připojení

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
spravované instance Azure SQL by měly zakázat veřejný síťový přístup. Zakázání přístupu z veřejné sítě (veřejného koncového bodu) ve službě Azure SQL Managed Instances zlepšuje zabezpečení tím, že zajišťuje, aby k nim bylo možné přistupovat pouze z jejich virtuálních sítí nebo prostřednictvím privátních koncových bodů. Další informace o přístupu z veřejné sítě najdete na stránce https://aka.ms/mi-public-endpoint. Auditovat, Odepřít, Zakázáno 1.0.0

Správa identit

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Shared

Poznámky k funkcím: Azure SQL Database podporuje několik mechanismů ověřování v rovině dat, z nichž jedním je AAD.

Pokyny ke konfiguraci: Použijte Azure Active Directory (Azure AD) jako výchozí metodu ověřování k řízení přístupu k rovině dat.

Referenční informace: Použití ověřování Azure Active Directory

Metody místního ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Omezte použití místních metod ověřování pro přístup k rovině dat. Místo toho jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině dat.

Referenční informace: Azure SQL Database Access

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Pro servery SQL by měl být zřízen správce Azure Active Directory. Audit zřizování správce Azure Active Directory pro SQL Server za účelem povolení Azure AD ověřování. Azure AD ověřování umožňuje zjednodušenou správu oprávnění a centralizovanou správu identit uživatelů databáze a dalších služeb Microsoftu. AuditIfNotExists, zakázáno 1.0.0

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pokud je to možné, používejte spravované identity Azure místo instančních objektů, které se můžou ověřovat ve službách a prostředcích Azure podporujících ověřování Azure Active Directory (Azure AD). Přihlašovací údaje spravované identity jsou plně spravované, obměňované a chráněné platformou, takže se vyhnete pevně zakódovaným přihlašovacím údajům ve zdrojovém kódu nebo konfiguračních souborech.

Referenční informace: Spravované identity pro transparentní šifrování dat pomocí BYOK

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Poznámky k funkcím: Azure SQL DB poskytuje několik způsobů ověřování v rovině dat. Jedním z nich je Azure AD a zahrnuje spravované identity a instanční objekty.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Instanční objekt Azure Active Directory s Azure SQL

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí Azure AD zásad podmíněného přístupu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Definujte příslušné podmínky a kritéria pro podmíněný přístup Azure Active Directory (Azure AD) v úloze. Zvažte běžné případy použití, jako je blokování nebo udělení přístupu z konkrétních umístění, blokování rizikového chování při přihlašování nebo vyžadování zařízení spravovaných organizací pro konkrétní aplikace.

Referenční informace: Podmíněný přístup s Azure SQL Database

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Integrace a úložiště přihlašovacích údajů služby a tajných kódů v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Poznámky k funkcím: V AKV je možné ukládat POUZE kryptografické klíče, nikoli tajné kódy ani přihlašovací údaje uživatelů. Například klíče ochrany transparentního šifrování dat.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných uživatelů nebo uživatelů s oprávněními pro správu

Funkce

Místní účty Správa

Popis: Služba má koncept místního účtu pro správu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Poznámky k funkcím: Pro Azure SQL DB neexistuje žádný místní správce a neexistuje ani účet SA. Účet, který instanci nastavuje, je však správcem.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Poznámky k funkcím: Azure SQL Database poskytuje bohatý model autorizace roviny dat specifický pro databázi.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Ve scénářích podpory, kdy Microsoft potřebuje přístup k vašim datům, použijte Customer Lockbox ke kontrole a následnému schválení nebo zamítnutí všech žádostí Microsoftu o přístup k datům.

Ochrana dat

Další informace najdete v článku Microsoft Cloud Security Benchmark: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Zjišťování dat & klasifikace

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Poznámky k funkcím: Existují nástroje, které se dají použít s SQL Server ochrany před únikem informací, ale není k dispozici žádná integrovaná podpora.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL. Auditujte jednotlivé SQL Managed Instance bez pokročilého zabezpečení dat. AuditIfNotExists, zakázáno 1.0.2

DP-3: Šifrování citlivých dat při přenosu

Funkce

Šifrování přenášených dat

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Minimální verze protokolu TLS

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy se podporuje. Veškerý neaktivní uložený zákaznický obsah se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Transparentní šifrování dat pro SQL Database, SQL Managed Instance a Azure Synapse Analytics

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
V databázích SQL by mělo být povolené transparentní šifrování dat. Transparentní šifrování dat by mělo být povolené kvůli ochraně neaktivních uložených dat a splnění požadavků na dodržování předpisů. AuditIfNotExists, zakázáno 2.0.0

DP-5: Použití klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: V případě potřeby pro dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Referenční informace: Transparentní šifrování dat pro SQL Database, SQL Managed Instance a Azure Synapse Analytics

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Spravované instance SQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem. Implementace transparentního šifrování dat (TDE) s vlastním klíčem poskytuje větší transparentnost a kontrolu ochrany transparentním šifrováním dat, zvýšené zabezpečení s externí službou s podporou HSM a podporu oddělení povinností. Toto doporučení platí pro organizace se souvisejícími požadavky na dodržování předpisů. Auditovat, Odepřít, Zakázáno 2.0.0

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů v Azure Key Vault

Popis: Služba podporuje integraci Azure Key Vault pro všechny klíče, tajné kódy nebo certifikáty zákazníků. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Shared

Poznámky k funkcím: Některé funkce můžou používat AKV pro klíče, například při použití Always Encrypted.

Pokyny ke konfiguraci: Azure Key Vault použijte k vytvoření a řízení životního cyklu šifrovacích klíčů (transparentního šifrování dat a Always Encrypted), včetně generování, distribuce a úložiště klíčů. Obměna a odvolávání klíčů v Azure Key Vault a vaší službě na základě definovaného plánu nebo v případě klíčového vyřazení nebo ohrožení zabezpečení. Pokud potřebujete použít klíč spravovaný zákazníkem (CMK) na úrovni úlohy, služby nebo aplikace, ujistěte se, že postupujete podle osvědčených postupů pro správu klíčů. Pokud do služby potřebujete přenést vlastní klíč (BYOK) (například importovat klíče chráněné HSM z místních modulů HSM do Azure Key Vault), postupujte podle doporučených pokynů a proveďte počáteční vygenerování a přenos klíče.

Referenční informace: Konfigurace Always Encrypted pomocí Azure Key Vault

Správa aktiv

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa prostředků.

AM-2: Používejte pouze schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defender for Cloud nakonfigurujte Azure Policy k auditování a vynucování konfigurací prostředků Azure. Azure Monitor použijte k vytváření upozornění v případech, kdy se u prostředků zjistí odchylka konfigurace. K vynucení zabezpečené konfigurace napříč prostředky Azure použijte efekty Azure Policy [zamítnout] a [nasadit, pokud neexistuje].

Referenční informace: Azure Policy předdefinované definice pro Azure SQL Database & SQL Managed Instance

Protokolování a detekce hrozeb

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Protokolování a detekce hrozeb.

LT-1: Povolení funkcí detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Microsoft Defender pro Azure SQL vám pomůže zjistit a zmírnit potenciální ohrožení zabezpečení databáze a upozorní vás na neobvyklé aktivity, které můžou značit ohrožení databází.

Referenční informace: Přehled Microsoft Defender pro Azure SQL

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL Audit sql serverů bez Advanced Data Security AuditIfNotExists, zakázáno 2.0.1

LT-3: Povolení protokolování pro účely šetření zabezpečení

Další pokyny pro LT-3

Povolte protokolování na úrovni serveru, protože se tím odfiltrují i databáze.

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Sql:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Auditování na SQL Serveru by mělo být povolené. Auditování SQL Server by mělo být povolené, aby bylo možné sledovat databázové aktivity napříč všemi databázemi na serveru a ukládat je do protokolu auditu. AuditIfNotExists, Zakázáno 2.0.0

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Povolte pro službu protokoly prostředků. Například Key Vault podporuje další protokoly prostředků pro akce, které získávají tajný kód z trezoru klíčů, nebo Azure SQL obsahuje protokoly prostředků, které sledují požadavky na databázi. Obsah protokolů prostředků se liší podle služby Azure a typu prostředku.

Referenční informace: Referenční informace k datům monitorování Azure SQL databáze

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Automatizované zálohování – Azure SQL Database

Další kroky