Planeamiento e implementación de configuraciones de seguridad de red de una instancia de Azure SQL Managed Instance

  • 7 minutos

Esta base de referencia de seguridad aplica instrucciones de la versión 1.0 de Microsoft Cloud Security Benchmark a Azure SQL. El punto de referencia de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo puede proteger sus soluciones de nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables a Azure SQL.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Azure Policy definiciones se enumerarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Nota:

Se han excluido las características no aplicables a Azure SQL.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Azure SQL, lo que puede dar lugar a mayores consideraciones de seguridad.

Atributo de comportamiento del servicio Valor
Categoría de productos Bases de datos
El cliente puede acceder a HOST / OS Sin acceso
El servicio se puede implementar en la red virtual del cliente True
Almacena el contenido del cliente en reposo True

Seguridad de las redes

NS-1: Establecimiento de límites de segmentación de red

1. Integración de Virtual Network

Descripción: El servicio admite la implementación en la red virtual privada (VNet) del cliente.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
True False Customer

Guía de configuración: Implemente el servicio en una red virtual. Asigne direcciones IP privadas al recurso (si procede) a menos que haya una razón fuerte para asignar direcciones IP públicas directamente al recurso.

2. compatibilidad con grupos de seguridad de red

Descripción: El tráfico de red de servicio respeta la asignación de reglas grupos de seguridad de red en sus subredes.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
True False Customer

Guía de configuración: Use etiquetas de servicio de Azure Virtual Network para definir controles de acceso de red en grupos de seguridad de red o Azure Firewall configurados para los recursos de Azure SQL. Puede utilizar etiquetas de servicio en lugar de direcciones IP específicas al crear reglas de seguridad. Al especificar el nombre de la etiqueta de servicio en el campo de origen o destino apropiado de una regla, puede permitir o denegar el tráfico para el servicio correspondiente. Microsoft administra los prefijos de direcciones que la etiqueta de servicio incluye y actualiza automáticamente dicha etiqueta a medida que las direcciones cambian. Cuando se usan puntos de conexión de servicio para Azure SQL Database, se requiere una salida a las direcciones IP públicas de Azure SQL Database: los grupos de seguridad de red (NSG) deben estar abiertos en las direcciones IP de Azure SQL Database para permitir la conectividad. Puede hacerlo mediante el uso de etiquetas de servicio de grupos de seguridad de red para Azure SQL Database.

NS-2: Servicios en la nube seguros con controles de red

Descripción: funcionalidad de filtrado de IP nativa del servicio para filtrar el tráfico de red (no confundirse con NSG o Azure Firewall).

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
True False Customer

Guía de configuración: Implemente puntos de conexión privados para todos los recursos de Azure que admiten la característica Private Link para establecer un punto de acceso privado para los recursos.

4. deshabilitación del acceso de la red pública

Descripción: el servicio admite la deshabilitación del acceso a la red pública mediante el uso de una regla de filtrado de ACL de IP de nivel de servicio (no NSG o Azure Firewall) o mediante un modificador de alternancia Deshabilitar acceso a red pública.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
True True Microsoft

5. supervisión de Microsoft Defender for Cloud

Definiciones integradas de Azure Policy: Microsoft.Sql:

Nombre
(Azure Portal)		 Descripción Efectos Versión
(GitHub)
Azure SQL Managed Instances debería deshabilitar el acceso a la red pública Deshabilitar el acceso a la red pública (punto de conexión público) en Azure SQL Managed Instance mejora la seguridad al garantizar que solo se pueda acceder desde dentro de las redes virtuales o a través de puntos de conexión privados. Audit, Deny, Disabled 1.0.0
Las conexiones de punto de conexión privado en Azure SQL Database deben estar habilitadas Las conexiones de punto de conexión privado garantizan una comunicación segura al habilitar la conectividad privada con Azure SQL Database. Audit, Disabled 1.1.0
Debe deshabilitarse el acceso a redes públicas en Azure SQL Database Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure SQL Database desde un punto de conexión privado. Esta configuración deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o redes virtuales. Audit, Deny, Disabled 1.1.0

6. Siga las recomendaciones de Azure Policy

  • Deshabilite el acceso a la red pública en Azure SQL Managed Instance para asegurarse de que el acceso solo está dentro de sus redes virtuales o a través de puntos de conexión privados.
  • Habilite las conexiones de punto de conexión privado para fortalecer la comunicación segura con Azure SQL Database.
  • Desactive la propiedad de acceso a la red pública en Azure SQL Database para aplicar el acceso solo desde un punto de conexión privado.