Visão geral da segurança do banco de dados no Azure Cosmos DB para MongoDB vCore
APLICA-SE A: 
MongoDB vCore
Este artigo discute as práticas recomendadas de segurança de banco de dados e os principais recursos oferecidos pelo Azure Cosmos DB para MongoDB vCore para ajudá-lo a prevenir, detetar e responder a violações de banco de dados.
O que há de novo no Azure Cosmos DB para segurança vCore do MongoDB
A criptografia em repouso agora está disponível para documentos e backups armazenados no Azure Cosmos DB para MongoDB vCore na maioria das regiões do Azure. A criptografia em repouso é aplicada automaticamente para clientes novos e existentes nessas regiões. Não há necessidade de configurar nada. Você obtém a mesma latência, taxa de transferência, disponibilidade e funcionalidade de antes, com o benefício de saber que seus dados estão seguros e protegidos com criptografia em repouso. Os dados armazenados em seu cluster vCore do Azure Cosmos DB para MongoDB são automaticamente e perfeitamente criptografados com chaves gerenciadas pela Microsoft usando chaves gerenciadas por serviço.
Como posso proteger a minha base de dados
A segurança dos dados é uma responsabilidade compartilhada entre você, o cliente e seu provedor de banco de dados. Dependendo do provedor de banco de dados escolhido, a quantidade de responsabilidade que você carrega pode variar. Se você escolher uma solução local, precisará fornecer tudo, desde a proteção do ponto final até a segurança física do seu hardware - o que não é tarefa fácil. Se você escolher um provedor de banco de dados em nuvem PaaS, como o Azure Cosmos DB, sua área de preocupação diminuirá consideravelmente. A imagem a seguir, emprestada do white paper Responsabilidades compartilhadas para computação em nuvem da Microsoft, mostra como sua responsabilidade diminui com um provedor de PaaS como o Azure Cosmos DB.
O diagrama anterior mostra componentes de segurança na nuvem de alto nível, mas com quais itens você precisa se preocupar especificamente para sua solução de banco de dados? E como comparar soluções entre si?
Recomendamos a seguinte lista de verificação de requisitos para comparar sistemas de banco de dados:
- Configurações de firewall e segurança de rede
- Autenticação de usuário e controles de usuário refinados
- Capacidade de replicar dados globalmente para falhas regionais
- Capacidade de failover de um data center para outro
- Replicação local de dados em um data center
- Backups automáticos de dados
- Restauração de dados excluídos de backups
- Proteja e isole dados confidenciais
- Monitorização de ataques
- Resposta a ataques
- Capacidade de cercar geograficamente os dados para aderir às restrições de governança de dados
- Proteção física de servidores em data centers protegidos
- Certificações
E embora possa parecer óbvio, as recentes violações de bases de dados em grande escala recordam-nos a importância simples, mas crítica, dos seguintes requisitos:
- Servidores corrigidos que são mantidos atualizados
- Criptografia HTTPS por padrão/TLS
- Contas administrativas com palavras-passe fortes
Como o Azure Cosmos DB protege meu banco de dados
O Azure Cosmos DB para MongoDB vCore atende perfeitamente a cada um desses requisitos de segurança.
Vamos nos aprofundar em cada um deles.
| Requisito de segurança | Abordagem de segurança do Azure Cosmos DB |
|---|---|
| Segurança da rede | Usar um firewall IP é a primeira camada de proteção para proteger seu banco de dados. O Azure Cosmos DB para MongoDB vCore dá suporte a controles de acesso baseados em IP orientados por políticas para suporte a firewall de entrada. Os controles de acesso baseados em IP são semelhantes às regras de firewall usadas pelos sistemas de banco de dados tradicionais. No entanto, eles são expandidos para que um cluster vCore do Azure Cosmos DB para MongoDB só seja acessível a partir de um conjunto aprovado de máquinas ou serviços de nuvem. O Azure Cosmos DB para MongoDB vCore permite habilitar um endereço IP específico (168.61.48.0), um intervalo de IP (168.61.48.0/8) e combinações de IPs e intervalos. Todas as solicitações originadas de máquinas fora dessa lista permitida são bloqueadas pelo Azure Cosmos DB para MongoDB vCore. As solicitações de máquinas aprovadas e serviços em nuvem devem concluir o processo de autenticação para receber controle de acesso aos recursos. |
| Replicação local | Mesmo dentro de um único data center, o Azure Cosmos DB para MongoDB vCore replica os dados usando o LRS. Os clusters habilitados para HA também têm outra camada de replicação entre um nó primário e secundário, garantindo assim um SLA de disponibilidade de 99,995%. |
| Backups online automatizados | O backup dos bancos de dados vCore do Azure Cosmos DB para MongoDB é feito regularmente e armazenado em um repositório com redundância geográfica. |
| Restaurar dados eliminados | Os backups on-line automatizados podem ser usados para recuperar dados que você pode ter apagado acidentalmente até ~7 dias após o evento. |
| Proteja e isole dados confidenciais | Todos os dados nas regiões listadas em Novidades? agora está criptografado em repouso. |
| Monitorar ataques | Usando o log de auditoria e os registros de atividades, você pode monitorar sua conta para atividades normais e anormais. Você pode visualizar quais operações foram executadas em seus recursos. Estes dados incluem: quem iniciou a operação, quando a operação ocorreu, o status da operação e muito mais. |
| Responder a ataques | Depois de entrar em contato com o suporte do Azure para relatar um ataque potencial, um processo de resposta a incidentes em cinco etapas é iniciado. O objetivo do processo de cinco etapas é restaurar a segurança e as operações normais do serviço. O processo de cinco etapas restaura os serviços o mais rápido possível depois que um problema é detetado e uma investigação é iniciada. Saiba mais em Resposta de Segurança do Microsoft Azure na Nuvem. |
| Instalações protegidas | Os dados no Azure Cosmos DB para MongoDB vCore são armazenados em SSDs nos centros de dados protegidos do Azure. Saiba mais em datacenters globais da Microsoft |
| Encriptação HTTPS/SSL/TLS | O Azure Cosmos DB para MongoDB vCore suporta níveis TLS até 1.3 (incluídos). É possível impor um nível mínimo de TLS no lado do servidor. |
| Encriptação em trânsito | A criptografia (SSL/TLS) é sempre imposta e, se você tentar se conectar ao cluster sem criptografia, essa tentativa falhará. Somente conexões através de um cliente MongoDB são aceitas e a criptografia é sempre imposta. Sempre que os dados são gravados no Azure Cosmos DB para MongoDB vCore, seus dados são criptografados em trânsito com o Transport Layer Security 1.3. |
| Encriptação inativa | O Azure Cosmos DB para MongoDB vCore usa o módulo criptográfico validado FIPS 140-2 para criptografia de armazenamento de dados em repouso. Os dados, incluindo todas as cópias de segurança, são encriptados no disco, incluindo os ficheiros temporários. O serviço usa a cifra AES de 256 bits incluída na criptografia de armazenamento do Azure e as chaves são gerenciadas pelo sistema. A criptografia de armazenamento está sempre ativada e não pode ser desativada. |
| Servidores corrigidos | O Azure Cosmos DB para MongoDB vCore elimina a necessidade de gerenciar e corrigir clusters, o que é feito para você automaticamente. |
| Contas administrativas com palavras-passe fortes | É difícil acreditar que precisamos mencionar esse requisito, mas, ao contrário de alguns de nossos concorrentes, é impossível ter uma conta administrativa sem senha no Azure Cosmos DB para MongoDB vCore. A segurança por meio da autenticação baseada em segredo TLS é incorporada por padrão. |
| Certificações de segurança e proteção de dados | Para obter a lista mais atualizada de certificações, consulte Conformidade do Azure e o documento de conformidade mais recente do Azure com todas as certificações do Azure, incluindo o Azure Cosmos DB. |
A captura de tela a seguir mostra como você pode usar o log de auditoria e os registros de atividades para monitorar sua conta: 
Opções de segurança de rede
Esta seção descreve várias opções de segurança de rede que você pode configurar para seu cluster.
Sem acesso
Nenhum acesso é a opção padrão para um cluster recém-criado se o acesso público ou privado não estiver habilitado. Nesse caso, nenhum computador, dentro ou fora do Azure, pode se conectar aos nós do banco de dados.
Acesso IP público com firewall
Na opção de acesso público, um endereço IP público é atribuído ao cluster e o acesso ao cluster é protegido por um firewall.
Descrição geral das firewalls
O Azure Cosmos DB para MongoDB vCore usa um firewall no nível de servidor para impedir todo o acesso ao cluster até que você especifique quais computadores têm permissão. O firewall concede acesso ao cluster com base no endereço IP de origem de cada solicitação. Para configurar a firewall, crie as regras de firewall que especificam intervalos de endereços IP aceitáveis.
As regras de firewall permitem que os clientes acessem seu cluster e todos os bancos de dados dentro dele. As regras de firewall no nível de servidor podem ser configuradas usando o portal do Azure ou programaticamente usando ferramentas do Azure, como a CLI do Azure.
Por padrão, o firewall bloqueia todo o acesso ao cluster. Para começar a usar o cluster de outro computador, você precisa especificar uma ou mais regras de firewall no nível do servidor para habilitar o acesso ao cluster. Use as regras de firewall para especificar quais endereços IP variam da Internet para permitir. As regras de firewall não afetam o acesso ao próprio site do portal do Azure. As tentativas de conexão da Internet e do Azure devem primeiro passar pelo firewall antes de chegarem aos seus bancos de dados. Além das regras de firewall, acesso de link privado que pode ser usado para um IP privado apenas para o cluster vCore do Azure Cosmos DB para MongoDB.