你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

数据安全建议

项目
08/07/2024

本文列出了 Microsoft Defender for Cloud 中可能会显示的所有数据安全建议。

环境中显示的建议基于要保护的资源和自定义配置。

若要了解可以针对这些建议采取的操作，请参阅 Defender for Cloud 修正建议。

提示

如果建议的描述中显示“无相关策略”，通常是因为该建议依赖于另一个建议。

说明：GitHub 在检测到影响存储库的代码依赖项中的漏洞时发送 Dependabot 警报。漏洞是项目代码中的问题，可能被利用来损害机密性、完整性或者该项目或其他使用其代码的项目的可用性。漏洞的类型、严重性和攻击方法各不相同。代码依赖于具有安全性漏洞的包时，这种易受攻击的依赖项会导致一系列问题。（无相关策略）

严重性：中等

GitHub 存储库应启用机密扫描

说明：GitHub 扫描存储库中已知类型的机密，以防止对意外提交到存储库的机密的欺诈性使用。机密扫描将扫描 GitHub 存储库中存在的所有分支上的整个 Git 历史记录，以查找任何机密。机密的示例包括服务提供程序为进行身份验证而颁发的令牌和私钥。如果将机密签入存储库，任何对存储库具有读取权限的人都可以使用该机密和这些权限访问外部服务。机密应存储在项目存储库外部的专用、安全位置。（无相关策略）

严重性：高

应启用适用于 Azure SQL 数据库服务器的 Microsoft Defender

说明：Microsoft Defender for SQL 是提供高级 SQL 安全功能的统一包。它包括以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对数据库产生威胁的异常活动以及发现敏感数据并对其进行分类。

此计划的保护按 Defender 计划页上所示收费。如果此订阅中没有任何 Azure SQL Database 服务器，则无需付费。如果以后在此订阅上创建 Azure SQL 数据库服务器，则这些服务器将自动受到保护，并开始计费。详细了解各区域的定价详细信息。

有关详细信息，请参阅 Microsoft Defender for SQL 简介。（相关策略：应启用用于 Azure SQL 数据库服务器的 Azure Defender）。

严重性：高

应启用适用于 DNS 的 Microsoft Defender

说明：Microsoft Defender for DNS 通过持续监视所有来自 Azure 资源的 DNS 查询，为云资源额外提供保护层。 Defender for DNS 会向你发出有关 DNS 层的可疑活动的警报。有关详细信息，请参阅 Microsoft Defender for DNS 简介。启用此 Defender 计划会产生费用。了解 Defender for Cloud 定价页上每个区域的定价详细信息：Defender for Cloud 定价。（无相关策略）

严重性：高

应启用适用于开源关系数据库的 Microsoft Defender

说明：适用于开源关系数据库的 Microsoft Defender 可以检测异常活动，这些活动指示有人企图以非寻常或可能有害的方式访问或恶意利用数据库。有关详细信息，请参阅适用于开源关系数据库的 Microsoft Defender 简介。

说明：将 Azure Web 应用程序防火墙 (WAF) 部署在面向公众的 Web 应用程序的前面，以便对传入流量进行额外检查。 Web 应用程序防火墙 (WAF) 为 Web 应用程序提供集中保护，使其免受常见攻击和漏洞的侵害，例如 SQL 注入、跨站脚本以及本地和远程文件执行。还可以通过自定义规则，按国家/地区、IP 地址范围和其他 http(s) 参数限制对 Web 应用程序的访问。（相关策略：应为 Azure Front Door 服务启用 Web 应用程序防火墙 (WAF)）

S3 存储桶应启用服务器端加密

说明：启用服务器端加密来保护 S3 存储桶中的数据。如果数据被破坏，对数据进行加密可防止对敏感数据的访问。

严重性：中等

配置了自动轮换的机密管理器机密应能成功轮换

说明：此控件检查 AWS 机密管理器机密是否根据轮换计划成功轮换。如果RotationOccurringAsScheduled 为 false，则此控件失败。该控件不会评估未配置轮换的机密。 Secrets Manager 有助于提高组织的安全状况。机密包含数据库凭据、密码和第三方 API 密钥。你可以使用 Secrets Manager 集中存储机密、自动加密机密、控制对机密的访问，以及安全地自动轮换机密。 Secrets Manager 可以轮换机密。可以使用轮换将长期机密替换为短期机密。轮换机密会限制未经授权的用户可以使用已泄露机密的时间。出于此原因，你应该经常轮换机密。除了将机密配置为自动轮换，还应确保这些机密根据轮换计划成功轮换。若要详细了解轮换，请参阅 AWS Secrets Manager 用户指南中的轮换 AWS Secrets Manager 机密。

严重性：中等

Secrets Manager 机密应在指定天数内轮换

说明：此控件检查机密是否已在 90 天内至少轮换一次。轮换密钥可以帮助降低 AWS 帐户中未经授权使用机密的风险。示例包括数据库凭据、密码、第三方 API 密钥，甚至任意文本。如果你长时间未更改机密，则机密更有可能受到入侵。当更多用户访问某个机密时，可能更可能有人将其处理不当并泄漏给未经授权的实体。可以通过日志和缓存数据泄露机密。它们可出于调试目的而共享，并且在调试完成后不会更改或撤消。出于上述所有原因，机密应该经常轮换。你可以在 AWS Secrets Manager 中配置机密以进行自动轮换。通过自动轮换，你可以将长期机密替换为短期机密，从而大大降低泄露的风险。 Security Hub 建议为 Secrets Manager 机密启用轮换。若要详细了解轮换，请参阅 AWS Secrets Manager 用户指南中的轮换 AWS Secrets Manager 机密。

严重性：中等

说明：此控件使用 AWS KMS 检查 SNS 主题是否静态加密。静态加密数据可降低未通过 AWS 身份验证的用户访问磁盘上存储的数据的风险。它还添加另一组访问控制，以限制未经授权的用户访问数据的能力。例如，需要在读取数据之前使用 API 权限对数据进行解密。应对 SNS 主题进行静态加密，以增加安全层。有关详细信息，请参阅 Amazon Simple Notification Service 开发人员指南中的静态加密。

严重性：中等

应在所有 VPC 中启用 VPC 流日志记录

说明：通过VP 传递的网络流量提供对网络流量的可见性，并可用于检测安全事件期间的异常流量或见解。

严重性：中等

GCP 数据建议

确保将 Cloud SQL SQL Server 实例的“3625 (trace flag)”数据库标志设置为“off”

说明：建议将云 SQL Server 实例的“3625（跟踪标志）”数据库标志设置为“off”。跟踪标志通常用于诊断性能问题或调试存储过程或复杂计算机系统，但也可能建议Microsoft 支持部门来解决对特定工作负荷产生负面影响的行为。当按照指示使用时，所有记录的跟踪标志和 Microsoft 支持部门推荐的跟踪标志在生产环境中都完全受支持。 “3625（跟踪日志）”通过使用“******屏蔽某些错误消息的参数，限制返回给不是 sysadmin 固定服务器角色成员的用户的信息量。这可以帮助阻止披露敏感信息。因此，建议禁用此标志。此建议适用于 SQL Server 数据库实例。

严重性：中等

确保将 Cloud SQL SQL Server 实例的“external scripts enabled”数据库标志设置为“off”

说明：建议将 Cloud SQL Server 实例的“已启用外部脚本”数据库标志设置为关闭。 “external scripts enabled”允许执行包含某些远程语言扩展的脚本。此属性默认处于禁用状态。安装“高级分析服务”后，安装程序可以根据需要将此属性设置为 true。由于“external scripts enabled”功能允许执行 SQL 外部的脚本（例如位于 R 库中的文件），这可能会对系统的安全性产生不利影响，因此应禁用此功能。此建议适用于 SQL Server 数据库实例。

严重性：高

确保将 Cloud SQL SQL Server 实例的“remote access”数据库标志设置为“off”

说明：建议将云 SQL Server 实例的“远程访问”数据库标志设置为“关闭”。“远程访问”选项控制从运行 SQL Server 实例的本地或远程服务器执行存储过程。该选项的默认值为 1。这将授权允许从远程服务器执行本地存储过程或从本地服务器执行远程存储过程。若要防止本地存储过程在远程服务器上运行或远程存储过程在本地服务器上运行，必须禁用此选项。 “remote access”选项控制本地存储过程在远程服务器上的执行或远程存储过程在本地服务器上的执行。 “remote access”功能可能会被滥用，用于通过将查询处理卸载到目标来对远程服务器发起拒绝服务 (DoS) 攻击，因此应禁用此功能。此建议适用于 SQL Server 数据库实例。

严重性：高

确保将 Cloud SQL MySQL 实例的“skip_show_database”数据库标志设置为“on”

说明：建议将 Cloud SQL Mysql 实例的“skip_show_database”数据库标志设置为“on”。“skip_show_database”数据库标志可防止用户在没有 SHOW DATABASES 权限的情况下使用 SHOW DATABASES 语句。如果担心用户能够看到属于其他用户的数据库，则此功能可提高安全性。其效果取决于 SHOW DATABASES 权限：如果变量值为 ON，则仅允许具有 SHOW DATABASES 权限的用户使用 SHOW DATABASES 语句，该语句显示所有数据库名称。如果值为 OFF，则允许所有用户使用 SHOW DATABASES，但该语句仅显示用户对其具有 SHOW DATABASES 或其他权限的数据库的名称。此建议适用于 MySQL 数据库实例。

严重性：低

确保为所有 BigQuery 数据集指定默认的客户管理的加密密钥 (CMEK)

说明：BigQuery 默认使用 Google 托管加密密钥使用信封加密来加密静态数据。数据使用数据加密密钥加密，数据加密密钥本身使用密钥加密密钥进一步加密。此过程是无缝的，不需要用户提供任何其他输入。但是，如果想拥有更大的控制权，可以使用客户管理的加密密钥 (CMEK) 作为 BigQuery 数据集的加密密钥管理解决方案。默认情况下，BigQuery 使用 Google 托管的加密密钥进行信封加密来加密静态数据。这是无缝的，不需要用户的任何其他输入。为了更好地控制加密，可以使用客户管理的加密密钥 (CMEK) 作为 BigQuery 数据集的加密密钥管理解决方案。为数据集设置默认的客户管理的加密密钥 (CMEK) 可确保将来创建的任何表都使用指定的 CMEK（如果未提供其他选项）。

Google 不会将密钥存储在其服务器上，并且无法访问受保护的数据，除非你提供密钥。

这也意味着，如果忘记或丢失密钥，则 Google 无法恢复密钥或恢复使用丢失密钥加密的任何数据。

严重性：中等

确保所有 BigQuery 表都使用客户管理的加密密钥 (CMEK) 进行加密

说明：BigQuery 默认使用 Google 托管加密密钥使用信封加密来加密静态数据。数据使用数据加密密钥加密，数据加密密钥本身使用密钥加密密钥进一步加密。此过程是无缝的，不需要用户提供任何其他输入。但是，如果想拥有更大的控制权，可以使用客户管理的加密密钥 (CMEK) 作为 BigQuery 数据集的加密密钥管理解决方案。如果使用 CMEK，则 CMEK 用于加密数据加密密钥，而不是使用 Google 管理的加密密钥。默认情况下，BigQuery 使用 Google 托管的加密密钥进行信封加密来加密静态数据。这是无缝的，不需要用户的任何其他输入。为了更好地控制加密，可以使用客户管理的加密密钥 (CMEK) 作为 BigQuery 表的加密密钥管理解决方案。 CMEK 用于加密数据加密密钥，而不是使用 Google 管理的加密密钥。 BigQuery 存储表和 CMEK 关联，加密/解密是自动完成的。在 BigQuery 数据集上应用默认的客户管理的密钥可确保将来创建的所有新表都使用 CMEK 进行加密，但现有表需要进行更新才能单独使用 CMEK。

说明：建议在云存储存储桶上启用统一的存储桶级访问。建议使用统一的存储桶级访问权限来统一并简化授予对云存储资源的访问权限的方式。云存储提供了两个系统来授予用户访问存储桶和对象的权限：云标识和访问管理（云 IAM）和访问控制列表 (ACL)。
这些系统并行运行，为了使用户能够访问 Cloud Storage 资源，只有其中一个系统需要授予用户权限。 Cloud IAM 在整个 Google Cloud 中使用，可用于在存储桶和项目级别授予各种权限。 ACL 仅供 Cloud Storage 使用并且权限选项有限，但可用于按对象授予权限。

说明：建议为 SQL 实例配置更改建立指标筛选器和警报。监视对 SQL 实例配置更改的更改可能会缩短在 SQL 服务器上检测和更正错误配置所需的时间。下面是可能影响 SQL 实例安全状况的一些可配置选项：

启用自动备份和高可用性：配置错误可能会对业务连续性、灾难恢复和高可用性造成不利影响
授权网络：配置不当可能会增加对不受信任的网络的风险

严重性：低

确保每个服务帐户只有 GCP 托管的服务帐户密钥

说明：用户托管服务帐户不应具有用户管理的密钥。有权访问密钥的任何人都可以通过服务帐户访问资源。 GCP 托管的密钥由 App Engine 和 Compute Engine 等 Cloud Platform 服务使用。无法下载这些密钥。 Google 将保留密钥，并大约每周自动轮换一次。用户管理的密钥由用户创建、下载和管理。它们在创建后 10 年到期。对于用户管理的密钥，用户必须拥有密钥管理活动的所有权，其中包括：

密钥存储
键分布
密钥吊销
密钥轮换
对未经授权的用户进行密钥保护
密钥恢复

即使使用关键所有者预防措施，密钥也可以通过不太理想的常见开发做法（例如将密钥签入源代码或将它们留在下载目录中）轻松泄露，或者意外地将密钥留在支持博客/频道上。建议防止用户托管服务帐户密钥。

严重性：低

确保已根据需要设置 Cloud SQL SQL Server 实例的“user connections”数据库标志

说明：建议根据组织定义的值为 Cloud SQL Server 实例设置“用户连接”数据库标志。 “user connections”选项指定 SQL Server 实例上允许同时建立的最大用户连接数。允许的实际用户连接数也取决于所使用的 SQL Server 版本，以及应用程序或应用程序和硬件的限制。 SQL Server 最多允许 32,767 个用户连接。由于用户连接是动态（自配置）选项，因此 SQL Server 会根据需要自动调整最大用户连接数，最高允许的最大值。例如，如果仅有 10 个用户登录，则要分配 10 个用户连接对象。在大多数情况下，无需更改此选项的值。默认值为 0，表示允许的最多用户连接数为 (32,767) 。此建议适用于 SQL Server 数据库实例。

严重性：低