Azure のデータベース セキュリティのチェックリスト

セキュリティを向上させるために、Azure SQL Database と Azure SQL Managed Instance には、アクセスの制限と制御、データの保護、脅威の監視に使用できる組み込みのセキュリティ制御が含まれています。

セキュリティ コントロールには、次が含まれます。

  • IPアドレスや仮想ネットワークで接続を制限するファイアウォールルール。
  • Microsoft Entraによる集中型アイデンティティ管理の認証。
  • TLS暗号化による安全な接続性。
  • アクセス管理と承認。
  • 保存時および転送時のデータ暗号化
  • データベース監査と脅威検出。
  • 高度なデータセキュリティ機能。

はじめに

クラウドコンピューティングには、多くのアプリケーションユーザー、データベース管理者、プログラマーにとって馴染みのない新しいセキュリティパラダイムが必要です。 組織はAzure SQLの包括的なセキュリティ機能を活用して機密データを保護し、規制遵守要件を満たすことができます。

チェック リスト

このチェックリストを確認する前に、Azure SQL Databaseのセキュリティベストプラクティスをお読みください。 ベストプラクティスを理解することで、このチェックリストから最大限の価値を引き出すことができます。 このチェックリストを使って、Azureデータベースセキュリティの重要なセキュリティコントロールに対処したか確認してください。

チェックリストのカテゴリ 説明
データを保護する

転送中の暗号化
  • トランスポート層セキュリティ (TLS) は 、クライアントとデータベースの間で移動中のデータを暗号化します。 Azure SQL では、セキュリティで保護された接続に TLS 1.2 以降が必要です。
  • データベースには、TLS 経由の TDS (表形式データ ストリーム) プロトコルに基づくクライアントからのセキュリティで保護された通信が必要です。

保存時の暗号化
  • Transparent Data Encryption (TDE) は、保存時のデータ ファイルとログ ファイルを暗号化します。 TDE は、すべての新しい Azure SQL データベースで既定で有効になっています。
  • Bring Your Own Key(BYOK)は、Azure Key VaultでTDE暗号化キーを管理できます。

使用中の暗号化
  • Always Encrypted は 、クライアント アプリケーション内で暗号化することで機密データを保護します。 暗号化キーがデータベース エンジンに到達することは決してなく、データ所有者とデータ マネージャーの間の分離が保証されます。
  • カラムレベル暗号化(CLE)は 、特定の列を対称暗号化して機密データの保護を強化します。
制御アクセス

データベース アクセス
  • Microsoft Entra 認証 では、シングル サインオン (SSO) 機能を使用した一元化された ID 管理が提供されます。
  • 強力なパスワードを使用した SQL 認証では、代替の認証方法が提供されます。
  • 権限付与 は、ロールベースのアクセス制御を用いてユーザーに必要な最低限の権限を与えます。

ネットワーク アクセス制御

アプリケーション アクセス制御
  • 行レベルのセキュリティ(RLS)は 、ユーザーのアイデンティティ、役割、または実行コンテキストに基づいて行レベルのアクセスを制限します。
  • 動的データマスキングは 、基盤となるデータを変更することなく、非特権ユーザーに対して機密データの露出を制限します。
  • データ発見と分類 は、機密データの特定、分類、ラベル付けを行い、保護とコンプライアンスの向上を実現します。
積極的な監視

監査と検出
  • 監査では 、データベース イベントを追跡し、Azure Storage アカウント、Log Analytics ワークスペース、または Event Hubs の監査ログに書き込みます。
  • Azure Monitorと診断設定を使ってAzure SQL Databaseの健康状態を追跡できます。
  • Microsoft Defender for SQL は、SQL インジェクション、ブルート フォース攻撃、脆弱性の悪用など、潜在的なセキュリティの脅威を示す異常なデータベース アクティビティを検出します。

脆弱性評価
  • 脆弱性評価 は潜在的なデータベース脆弱性を発見し、追跡し、是正を支援します。
  • コンプライアンスに関する実用的なセキュリティに関する推奨事項とリスク レポートを提供します。

一元化されたセキュリティ管理
データの整合性

台帳機能
  • 台帳 は、データベース トランザクションの不変レコードを作成することで、改ざん検知機能を提供します。
  • データ整合性検証のコンプライアンス要件を満たすのに役立ちます。

まとめ

Azure SQL DatabaseおよびAzure SQL Managed Instanceは、組織および規制のコンプライアンス要件を満たすセキュリティ機能を備えた包括的なデータベースプラットフォームを提供します。 Transparent Data Encryption、Always Encrypted、TLSを用いて、データのライフサイクル全般(静止中、輸送中、使用中)を保護します。 行レベルのセキュリティ、動的データマスキング、Microsoft Entra認証などの細かいアクセス制御により、認可されたユーザーのみが機密データにアクセスできるようにしています。 監査、Microsoft Defender for SQL、脆弱性評価を通じた継続的な監視により、セキュリティ脅威を積極的に特定し、修復できます。

次のステップ

悪意のあるユーザーや不正アクセスからデータベースを守るために、以下のステップを踏みましょう:

  • Last updated on