Veiligheidsoverwegingen voor SQL Server in virtuele Azure-machines

  • Artikel

Van toepassing op: SQL Server op Azure VM

Dit artikel bevat algemene beveiligingsrichtlijnen voor het tot stand brengen van beveiligde toegang tot SQL Server-exemplaren in een virtuele Azure-machine (VM).

Azure voldoet aan verschillende branchevoorschriften en -standaarden waarmee u een compatibele oplossing kunt bouwen met SQL Server die wordt uitgevoerd op een virtuele machine. Zie Het Vertrouwenscentrum van Azure voor meer informatie over naleving van regelgeving met Azure.

Bekijk eerst de aanbevolen beveiligingsprocedures voor SQL Server - en Azure-VM's en lees vervolgens dit artikel voor de aanbevolen procedures die specifiek van toepassing zijn op SQL Server op Virtuele Azure-machines.

Zie de andere artikelen in deze reeks voor meer informatie over aanbevolen procedures voor SQL Server-VM's: Controlelijst, VM-grootte, HADR-configuratie en Basislijn verzamelen.

Checklijst

Bekijk de volgende controlelijst in deze sectie voor een kort overzicht van de aanbevolen beveiligingsprocedures die in de rest van het artikel in meer detail worden behandeld.

SQL Server-functies en -mogelijkheden bieden een beveiligingsmethode op gegevensniveau en hoe u diepgaande verdediging bereikt op het niveau van de infrastructuur voor cloud- en hybride oplossingen. Bovendien is het met Azure-beveiligingsmaatregelen mogelijk om uw gevoelige gegevens te versleutelen, virtuele machines te beschermen tegen virussen en malware, netwerkverkeer te beveiligen, bedreigingen te identificeren en te detecteren, te voldoen aan de nalevingsvereisten en één methode te bieden voor beheer en rapportage voor elke beveiligingsbehoefte in de hybride cloud.

  • Gebruik Microsoft Defender voor Cloud om de beveiligingspostuur van uw gegevensomgeving te evalueren en te ondernemen. Mogelijkheden zoals Azure Advanced Threat Protection (ATP) kunnen worden gebruikt voor uw hybride workloads om de beveiligingsevaluatie te verbeteren en de mogelijkheid te bieden om te reageren op risico's. Als u uw SQL Server-VM registreert met de SQL IaaS Agent-extensie, worden Microsoft Defender voor Cloud evaluaties uitgevoerd binnen de SQL-resource van de virtuele MACHINE van Azure Portal.
  • Gebruik Microsoft Defender voor SQL om potentiële beveiligingsproblemen in databases te detecteren en te beperken, en om afwijkende activiteiten te detecteren die kunnen duiden op een bedreiging voor uw SQL Server-exemplaar en -databaselaag.
  • Evaluatie van beveiligingsproblemen maakt deel uit van Microsoft Defender voor SQL die potentiële risico's voor uw SQL Server-omgeving kan detecteren en oplossen. Het biedt inzicht in uw beveiligingsstatus en bevat bruikbare stappen om beveiligingsproblemen op te lossen.
  • Gebruik Azure Confidential-VM's om de beveiliging van uw gegevens in gebruik en data-at-rest te versterken tegen hostoperatortoegang. Met Azure Confidential VM's kunt u uw gevoelige gegevens in de cloud opslaan en voldoen aan strikte nalevingsvereisten.
  • Als u sql Server 2022 gebruikt, kunt u microsoft Entra-verificatie gebruiken om verbinding te maken met uw exemplaar van SQL Server.
  • Azure Advisor analyseert uw resourceconfiguratie en gebruikstelemetrie en raadt vervolgens oplossingen aan waarmee u de kosteneffectiviteit, prestaties, hoge beschikbaarheid en beveiliging van uw Azure-resources kunt verbeteren. Maak gebruik van Azure Advisor op het niveau van de virtuele machine, resourcegroep of abonnement om aanbevolen procedures te identificeren en toe te passen om uw Azure-implementaties te optimaliseren.
  • Gebruik Azure Disk Encryption wanneer uw nalevings- en beveiligingsbehoeften vereisen dat u de gegevens end-to-end versleutelt met behulp van uw versleutelingssleutels, inclusief versleuteling van de tijdelijke schijf (lokaal gekoppelde tijdelijke schijf).
  • Managed Disks worden standaard versleuteld met behulp van Azure Storage Service Encryption, waarbij de versleutelingssleutels door Microsoft beheerde sleutels zijn opgeslagen in Azure.
  • Raadpleeg de vergelijkingsgrafiek voor beheerde schijfversleuteling voor een vergelijking van de opties voor beheerde schijfversleuteling
  • Beheerpoorten moeten worden gesloten op uw virtuele machines: open poorten voor extern beheer die uw VIRTUELE machine blootstellen aan een hoog risico op internetaanvallen. Deze aanvallen proberen de aanmeldingsgegevens voor de beheerderstoegang tot de computer te verkrijgen.
  • Just-In-Time-toegang (JIT) inschakelen voor virtuele Azure-machines
  • Azure Bastion gebruiken via Remote Desktop Protocol (RDP).
  • Vergrendel poorten en sta alleen het benodigde toepassingsverkeer toe met behulp van Azure Firewall . Dit is een beheerde firewall als een service (FaaS) die servertoegang verleent/weigert op basis van het oorspronkelijke IP-adres.
  • Netwerkbeveiligingsgroepen (NSG's) gebruiken om netwerkverkeer naar en van Azure-resources in virtuele Azure-netwerken te filteren
  • Maak gebruik van toepassingsbeveiligingsgroepen om servers te groeperen met vergelijkbare poortfiltervereisten, met vergelijkbare functies, zoals webservers en databaseservers.
  • Voor web- en toepassingsservers wordt gebruikgemaakt van DDoS-beveiliging (Azure Distributed Denial of Service). DDoS-aanvallen zijn ontworpen om netwerkresources te overbelasten en uit te putten, waardoor apps langzaam of niet reageren. Het is gebruikelijk dat DDos-aanvallen zich richten op gebruikersinterfaces. Met Azure DDoS-beveiliging wordt ongewenst netwerkverkeer opgeschoond voordat dit van invloed is op de beschikbaarheid van de service
  • Gebruik VM-extensies om antimalware, gewenste status, detectie van bedreigingen, preventie en herstel aan te pakken om bedreigingen op besturingssysteem-, computer- en netwerkniveaus aan te pakken:
  • Gebruik Azure Policy om bedrijfsregels te maken die op uw omgeving kunnen worden toegepast. Azure Policies evalueert Azure-resources door de eigenschappen van deze resources te vergelijken met regels die zijn gedefinieerd in JSON-indeling.
  • Azure Blueprints stelt cloudarchitecten en centrale IT-groepen in staat om een ​​herhaalbare set Azure-resources te definiëren die voldoet aan de normen, patronen en vereisten van een organisatie en deze implementeert. Azure Blueprints verschillen van Azure-beleid.

Zie de aanbevolen procedures voor SQL Server-beveiliging en het beveiligen van SQL Server voor meer informatie over aanbevolen procedures voor beveiliging.

Microsoft Defender voor SQL op computers

Microsoft Defender voor Cloud is een geïntegreerd beveiligingsbeheersysteem dat is ontworpen om de beveiligingspostuur van uw gegevensomgeving te evalueren en te verbeteren. Microsoft Defender biedt Microsoft Defender voor SQL op machines bescherming voor SQL Server op Azure-VM's. Gebruik Microsoft Defender voor SQL om potentiële beveiligingsproblemen in databases te detecteren en te beperken en afwijkende activiteiten te detecteren die kunnen duiden op een bedreiging voor uw SQL Server-exemplaar en -databaselaag.

Microsoft Defender voor SQL biedt de volgende voordelen:

Portalbeheer

Nadat u uw SQL Server-VM hebt geregistreerd met de SQL IaaS Agent-extensie, kunt u een aantal beveiligingsinstellingen configureren met behulp van de resource van de virtuele SQL-machines in Azure Portal, zoals het inschakelen van Azure Key Vault-integratie of SQL-verificatie.

Nadat u Microsoft Defender voor SQL hebt ingeschakeld op machines, kunt u bovendien Defender voor Cloud functies rechtstreeks in de resource van de virtuele SQL-machines in Azure Portal bekijken, zoals evaluaties van beveiligingsproblemen en beveiligingswaarschuwingen.

Zie SQL Server-VM beheren in de portal voor meer informatie.

Vertrouwelijke VM's

Azure Confidential-VM's bieden een sterke, door hardware afgedwongen grens die de beveiliging van het gastbesturingssysteem tegen toegang tot hostoperators beperkt. Het kiezen van een vertrouwelijke VM-grootte voor uw SQL Server op Azure VM biedt een extra beveiligingslaag, zodat u uw gevoelige gegevens in de cloud kunt opslaan en aan strikte nalevingsvereisten kunt voldoen.

Azure Confidential VM's maken gebruik van AMD-processors met SEV-SNP-technologie waarmee het geheugen van de VM wordt versleuteld met behulp van sleutels die door de processor worden gegenereerd. Hiermee kunt u gegevens beveiligen terwijl deze in gebruik zijn (de gegevens die in het geheugen van het SQL Server-proces worden verwerkt) tegen onbevoegde toegang vanuit het hostbesturingssystemen. De besturingssysteemschijf van een vertrouwelijke VM kan ook worden versleuteld met sleutels die zijn gebonden aan de TPM-chip (Trusted Platform Module) van de virtuele machine, waardoor de beveiliging voor data-at-rest wordt versterkt.

Zie de quickstart: SQL Server implementeren op een vertrouwelijke VM voor gedetailleerde implementatiestappen.

Aanbevelingen voor schijfversleuteling verschillen voor vertrouwelijke VM's dan voor de andere VM-grootten. Zie schijfversleuteling voor meer informatie.

Microsoft Entra-verificatie

Vanaf SQL Server 2022 kunt u verbinding maken met SQL Server met behulp van een van de volgende verificatiemethoden met Microsoft Entra ID (voorheen Azure Active Directory):

  • Wachtwoord biedt verificatie met Microsoft Entra-referenties
  • Universeel met MFA voegt meervoudige verificatie toe
  • Geïntegreerde maakt gebruik van federatieproviders zoals Active Directory Federation Services (ADFS) om eenmalige aanmelding (SSO) in te schakelen
  • Service-principal maakt verificatie vanuit Azure-toepassingen mogelijk
  • Beheerde identiteit maakt verificatie mogelijk vanuit toepassingen die aan Microsoft Entra-identiteiten zijn toegewezen

Raadpleeg Microsoft Entra-verificatie configureren voor uw SQL Server-VM om aan de slag te gaan.

Azure Advisor

Azure Advisor is een gepersonaliseerde cloudconsultant waarmee u de aanbevolen procedures kunt volgen om uw Azure-implementaties te optimaliseren. Azure Advisor analyseert uw resourceconfiguratie en gebruikstelemetrie en raadt vervolgens oplossingen aan waarmee u de kosteneffectiviteit, prestaties, hoge beschikbaarheid en beveiliging van uw Azure-resources kunt verbeteren. Azure Advisor kan evalueren op het niveau van de virtuele machine, de resourcegroep of het abonnement.

Integratie van Azure Sleutelkluis

Er zijn meerdere SQL Server-versleutelingsfuncties, zoals transparent data encryption (TDE), versleuteling op kolomniveau (CLE) en back-upversleuteling. Voor deze versleutelingsvormen moet u de cryptografische sleutels beheren en opslaan die u gebruikt voor versleuteling. De Azure Key Vault-service is ontworpen om de beveiliging en het beheer van deze sleutels op een veilige en maximaal beschikbare locatie te verbeteren. Met de SQL Server-Verbinding maken or kan SQL Server deze sleutels uit Azure Key Vault gebruiken.

Denk aan het volgende:

  • Azure Key Vault slaat toepassingsgeheimen op in een gecentraliseerde cloudlocatie om de toegangsmachtigingen veilig te beheren en afzonderlijke toegangslogboeken.
  • Bij het overbrengen van uw eigen sleutels naar Azure is het raadzaam om geheimen en certificaten op te slaan in Azure Key Vault.
  • Azure Disk Encryption maakt gebruik van Azure Key Vault om schijfversleutelingssleutels en -geheimen te beheren.

Toegangsbeheer

Wanneer u een virtuele SQL Server-machine maakt met een installatiekopie van een Azure-galerie, kunt u met de optie SQL Server Verbinding maken iviteit kiezen uit lokaal (binnen VM), privé (binnen virtueel netwerk) of openbaar (internet).

Diagram showing SQL Server connectivity.

Kies voor de beste beveiliging de meest beperkende optie voor uw scenario. Als u bijvoorbeeld een toepassing uitvoert die toegang heeft tot SQL Server op dezelfde VM, is Local de veiligste keuze. Als u een Azure-toepassing uitvoert waarvoor toegang tot de SQL Server is vereist, beveiligt Privé de communicatie met SQL Server alleen binnen het opgegeven virtuele Azure-netwerk. Als u openbare (internet) toegang tot de VIRTUELE SQL Server-machine nodig hebt, moet u andere aanbevolen procedures in dit onderwerp volgen om uw kwetsbaarheid voor aanvallen te verminderen.

De geselecteerde opties in de portal gebruiken inkomende beveiligingsregels voor de netwerkbeveiligingsgroep (NSG) van de VM om netwerkverkeer naar uw virtuele machine toe te staan of te weigeren. U kunt nieuwe inkomende NSG-regels wijzigen of maken om verkeer naar de SQL Server-poort toe te staan (standaard 1433). U kunt ook specifieke IP-adressen opgeven die via deze poort mogen communiceren.

Diagram showing network security group rules.

Naast NSG-regels om netwerkverkeer te beperken, kunt u ook Windows Firewall op de virtuele machine gebruiken.

Als u eindpunten met het klassieke implementatiemodel gebruikt, verwijdert u alle eindpunten op de virtuele machine als u deze niet gebruikt. Zie De ACL beheren op een eindpunt voor instructies over het gebruik van ACL's met eindpunten. Dit is niet nodig voor VM's die gebruikmaken van Azure Resource Manager.

Overweeg versleutelde verbindingen in te schakelen voor het exemplaar van de SQL Server Database Engine in uw virtuele Azure-machine. Configureer een SQL Server-exemplaar met een ondertekend certificaat. Zie Versleutelde Verbinding maken ies inschakelen voor de database-engine en Verbinding maken iontekenreekssyntaxis voor meer informatie.

Houd rekening met het volgende bij het beveiligen van de netwerkverbinding of perimeter:

  • Azure Firewall : een stateful, beheerde firewall als een service (FaaS) die servertoegang verleent/weigert op basis van het oorspronkelijke IP-adres, om netwerkbronnen te beveiligen.
  • DDoS-beveiliging (Azure Distributed Denial of Service): DDoS-aanvallen overweldigen en netwerkresources uitputten, waardoor apps langzaam of niet reageren. Met Azure DDoS-beveiliging wordt ongewenst netwerkverkeer opgeschoond voordat dit van invloed is op de beschikbaarheid van de service.
  • Netwerkbeveiligingsgroepen (NSG's): hiermee filtert u netwerkverkeer naar en van Azure-resources in virtuele Azure-netwerken
  • Toepassingsbeveiligingsgroepen : biedt de groepering van servers met vergelijkbare poortfiltervereisten en groepeer servers met vergelijkbare functies, zoals webservers.

Schijfversleuteling

Deze sectie bevat richtlijnen voor schijfversleuteling, maar de aanbevelingen variëren, afhankelijk van of u een conventionele SQL Server op Azure-VM implementeert of SQL Server op een vertrouwelijke Azure-VM.

Conventionele VM's

Beheerde schijven die zijn geïmplementeerd op VM's die geen vertrouwelijke Azure-VM's zijn, maken gebruik van versleuteling aan de serverzijde en Azure Disk Encryption. Versleuteling aan de serverzijde biedt versleuteling-at-rest en beschermt uw gegevens om te voldoen aan de beveiligings- en nalevingsverplichtingen van uw organisatie. Azure Disk Encryption maakt gebruik van BitLocker- of DM-Crypt-technologie en kan worden geïntegreerd met Azure Key Vault om zowel het besturingssysteem als de gegevensschijven te versleutelen.

Denk aan het volgende:

  • Azure Disk Encryption: versleutelt schijven van virtuele machines met behulp van Azure Disk Encryption voor virtuele Windows- en Linux-machines.
    • Wanneer uw nalevings- en beveiligingsvereisten vereisen dat u de gegevens end-to-end versleutelt met behulp van uw versleutelingssleutels, inclusief versleuteling van de tijdelijke schijf (lokaal gekoppelde tijdelijke schijf), gebruikt u Azure-schijfversleuteling.
    • Azure Disk Encryption (ADE) maakt gebruik van de industriestandaard BitLocker-functie van Windows en de DM-Crypt-functie van Linux om besturingssysteem- en gegevensschijfversleuteling te bieden.
  • Managed Disk Encryption
    • Managed Disks worden standaard versleuteld met behulp van Azure Storage Service Encryption, waarbij de versleutelingssleutels door Microsoft beheerde sleutels zijn opgeslagen in Azure.
    • Gegevens in beheerde Azure-schijven worden transparant versleuteld met behulp van 256-bits AES-versleuteling, een van de sterkste blokcoderingen die beschikbaar zijn en die compatibel zijn met FIPS 140-2.
  • Bekijk de vergelijkingsgrafiek voor beheerde schijfversleuteling voor een vergelijking van de versleutelingsopties voor beheerde schijven.

Azure Confidential-VM's

Als u een vertrouwelijke Azure-VM gebruikt, kunt u de volgende aanbevelingen overwegen om de beveiligingsvoordelen te maximaliseren:

  • Configureer vertrouwelijke besturingssysteemschijfversleuteling, waarmee de schijfversleutelingssleutels van het besturingssysteem worden gekoppeld aan de TPM-chip (Trusted Platform Module) van de virtuele machine en waarmee de beveiligde schijfinhoud alleen toegankelijk is voor de virtuele machine.
  • Versleutel uw gegevensschijven (schijven met databasebestanden, logboekbestanden of back-upbestanden) met BitLocker en schakel automatisch ontgrendelen in: controleer manage-bde autounlock of EnableBitLockerAutoUnlock voor meer informatie. Automatisch ontgrendelen zorgt ervoor dat de versleutelingssleutels worden opgeslagen op de besturingssysteemschijf. In combinatie met vertrouwelijke besturingssysteemschijfversleuteling beschermt dit de data-at-rest die zijn opgeslagen op de VM-schijven tegen onbevoegde hosttoegang.

Vertrouwde start

Wanneer u een virtuele machine van de tweede generatie implementeert, hebt u de mogelijkheid om vertrouwde lancering in te schakelen, die beschermt tegen geavanceerde en permanente aanvalstechnieken.

Met vertrouwde lancering kunt u het volgende doen:

  • Implementeer virtuele machines met geverifieerde opstartladers, besturingssysteemkernels en stuurprogramma's veilig.
  • Beveilig sleutels, certificaten en geheimen veilig in de virtuele machines.
  • Krijg inzicht en vertrouwen in de integriteit van de gehele opstartketen.
  • Zorg ervoor dat workloads worden vertrouwd en verifieerbaar.

De volgende functies worden momenteel niet ondersteund wanneer u vertrouwde start inschakelt voor uw SQL Server op Azure-VM's:

  • Azure Site Recovery
  • Ultraschijven
  • Beheerde installatiekopieën
  • Geneste virtualisatie

Accounts beheren

U wilt niet dat aanvallers gemakkelijk accountnamen of wachtwoorden raden. Gebruik de volgende tips om u te helpen:

  • Maak een uniek lokaal beheerdersaccount met de naam Beheer istrator.

  • Gebruik complexe sterke wachtwoorden voor al uw accounts. Zie het artikel Een sterk wachtwoord maken voor meer informatie over het maken van een sterk wachtwoord.

  • Standaard selecteert Azure Windows-verificatie tijdens de installatie van de virtuele SQL Server-machine. De SA-aanmelding is daarom uitgeschakeld en er wordt een wachtwoord toegewezen door de installatie. We raden u aan om de SA-aanmelding niet te gebruiken of in te schakelen. Als u een SQL-aanmelding moet hebben, gebruikt u een van de volgende strategieën:

    • Maak een SQL-account met een unieke naam met sysadmin-lidmaatschap . U kunt dit doen vanuit de portal door SQL-verificatie in te schakelen tijdens het inrichten.

      Tip

      Als u SQL-verificatie niet inschakelt tijdens het inrichten, moet u de verificatiemodus handmatig wijzigen in DE SQL Server- en Windows-verificatiemodus. Zie De modus Serververificatie wijzigen voor meer informatie.

    • Als u de SA-aanmelding moet gebruiken, schakelt u de aanmelding in na het inrichten en wijst u een nieuw sterk wachtwoord toe.

Notitie

Verbinding maken naar een SQL Server-VM met Behulp van Microsoft Entra Domain Services wordt niet ondersteund. Gebruik in plaats daarvan een Active Directory-domeinaccount.

Controle en rapportage

Controle met Log Analytics-documentengebeurtenissen en schrijfbewerkingen naar een auditlogboek in een beveiligd Azure Blob Storage-account. Log Analytics kan worden gebruikt om de details van de auditlogboeken te ontcijferen. Met controle kunt u gegevens opslaan in een afzonderlijk opslagaccount en een audittrail maken van alle gebeurtenissen die u selecteert. U kunt ook Gebruikmaken van Power BI in het auditlogboek voor snelle analyses van en inzichten over uw gegevens, en om een weergave te bieden voor naleving van regelgeving. Zie Azure-beveiligingslogboekregistratie en -controle voor meer informatie over controle op VM- en Azure-niveaus.

Toegang op virtuele-machineniveau

Sluit beheerpoorten op uw computer: open poorten voor extern beheer stellen uw VIRTUELE machine bloot aan een hoog risiconiveau van aanvallen op internet. Deze aanvallen proberen de aanmeldingsgegevens voor de beheerderstoegang tot de computer te verkrijgen.

Extensies voor virtuele machines

Azure Virtual Machine-extensies zijn vertrouwde Extensies van Microsoft of derden die u kunnen helpen specifieke behoeften en risico's aan te pakken, zoals antivirus, malware, bedreigingsbeveiliging en meer.

  • Extensie voor gastconfiguratie
    • Installeer de extensie Gastconfiguratie om beveiligde configuraties van in-gastinstellingen van uw computer te garanderen.
    • Gastinstellingen omvatten de configuratie van het besturingssysteem, toepassingsconfiguratie of aanwezigheids- en omgevingsinstellingen.
    • Zodra u dit hebt geïnstalleerd, is beleid in de gastconfiguratie beschikbaar, zoals 'Windows Exploit Guard moet zijn ingeschakeld'.
  • Gegevensverzamelingsagent voor netwerkverkeer
    • Microsoft Defender voor Cloud de Microsoft Dependency Agent gebruikt om netwerkverkeersgegevens van uw virtuele Azure-machines te verzamelen.
    • Deze agent maakt geavanceerde netwerkbeveiligingsfuncties mogelijk, zoals verkeersvisualisatie op de netwerkkaart, aanbevelingen voor netwerkbeveiliging en specifieke netwerkbedreigingen.
  • Evalueer extensies van Microsoft en derden om te reageren op antimalware, gewenste status, detectie van bedreigingen, preventie en herstel om bedreigingen op besturingssysteem-, computer- en netwerkniveau aan te pakken.

Volgende stappen

Bekijk de aanbevolen beveiligingsprocedures voor SQL Server - en Azure-VM's en lees vervolgens dit artikel voor de aanbevolen procedures die specifiek van toepassing zijn op SQL Server op Azure-VM's.

Zie het overzicht van SQL Server op Azure Virtual Machines voor andere onderwerpen met betrekking tot het uitvoeren van SQL Server in Azure-VM's. Als u vragen hebt over virtuele machines met SQL Server, raadpleegt u Veelgestelde vragen.

Zie de andere artikelen in deze reeks aanbevolen procedures voor meer informatie: