Proteja seu Servidor de Banco de Dados do Azure para PostgreSQL

O Banco de Dados do Azure para PostgreSQL é um serviço de banco de dados totalmente gerenciado que oferece alta disponibilidade interna, backups automáticos e funcionalidades de escala. Proteger suas implantações de banco de dados PostgreSQL é fundamental para proteger dados confidenciais e manter a conformidade com os padrões do setor.

Este artigo orienta você sobre como proteger a implantação do Servidor de Banco de Dados do Azure para PostgreSQL.

Segurança de rede

A seção Segurança de Rede orienta você sobre como impedir o acesso público e usar os recursos de rede para integrar seu PostgreSQL a uma arquitetura de rede em nuvem segura e segmentada.

• Desabilitar acesso à rede pública: desabilite o acesso à rede pública para o PostgreSQL a fim de impedir a exposição à Internet. Esta ação garante que apenas redes confiáveis possam acessar seu banco de dados.

• Pontos de Extremidade Privados: use Pontos de Extremidade Privados para se conectar com segurança ao PostgreSQL de dentro da rede virtual.

• Como alternativa, use a integração com a rede virtual: use a integração com a rede virtual para conectar o PostgreSQL à rede virtual. Essa integração permite acesso seguro dos recursos do Azure e do servidor aos recursos consumidos, como IA.

• Regras de firewall herdadas e pontos de extremidade de serviço: se você precisar permitir o acesso de endereços IP específicos, use regras de firewall herdadas e pontos de extremidade de serviço. No entanto, essa abordagem não é recomendada. Em vez disso, prefira usar pontos de extremidade privados ou integração com a rede virtual.

Os artigos sobre segurança de rede estão nas seções de rede:

• Visão geral do sistema de rede para Banco de Dados do Azure para PostgreSQL com acesso público (endereços IP permitidos)

• Rede com acesso privado (integração com rede virtual) para o Banco de Dados do Azure para PostgreSQL

• Rede do Banco de Dados do Azure para PostgreSQL com Link Privado

Gerenciamento de identidades

A seção Gerenciamento de Identidades foca na autenticação, na proteção de identidades e nos controles de acesso usando sistemas centralizados de gerenciamento de identidades e acesso. Ela aborda as práticas recomendadas, como mecanismos de autenticação robustos e identidades gerenciadas para aplicativos.

Veja alguns possíveis serviços de segurança, recursos e práticas recomendadas para a seção de gerenciamento de identidades:

• Usar o Entra em vez da autenticação local do banco de dados: você deve desabilitar a autenticação local para o servidor PostgreSQL. Em vez disso, use apenas a autenticação do Microsoft Entra (não em modo misto) para gerenciar o acesso ao banco de dados. O Microsoft Entra oferece autenticação centralizada com controles de segurança robustos e proteção em tempo real do Defender para Identidade. Para obter mais informações, visite Microsoft Entra em geral e Autenticação do Microsoft Entra com Banco de Dados do Azure para PostgreSQL.

• Usar identidades gerenciadas para acesso seguro ao aplicativo: use identidades gerenciadas no Azure para autenticar aplicativos e serviços com segurança, sem a necessidade de gerenciar credenciais. Isso oferece uma maneira segura e simplificada de acessar recursos como o Banco de Dados do Azure para PostgreSQL. Para obter mais informações, visite Identidades Gerenciadas.

• Impor segurança por meio de políticas de acesso condicional: configure políticas de acesso condicional no Microsoft Entra para impor controles de segurança com base no contexto do usuário, localização ou dispositivo. Essas políticas permitem a imposição dinâmica de requisitos de segurança com base no risco, aumentando a postura geral de segurança. Para obter mais informações, visite Acesso Condicional do Microsoft Entra.

• A autenticação local deve usar autenticação SCRAM: se for necessário usar autenticação local, verifique se as políticas de senha forte estão sendo aplicadas. Use requisitos de complexidade de senha e rotação regular de senha para minimizar o risco de contas comprometidas. Para obter mais informações, visite Autenticação SCRAM no Banco de Dados do Azure para PostgreSQL.

Controle de acesso

A seção de controle de acesso se concentra na proteção do nível de acesso com base no princípio de privilégio mínimo. Ela enfatiza a minimização do risco de acesso não autorizado a recursos confidenciais, restringindo e gerenciando permissões elevadas, impondo autenticação multifator e garantindo que as ações com privilégios sejam registradas e auditadas.

Veja a seguir alguns serviços, recursos e práticas recomendadas de segurança possíveis para a seção de controle de acesso:

• Usar funções do Entra para controle de acesso: implemente o Controle de Acesso Baseado em Função do Azure (Controle de Acesso Baseado em Função (RBAC) para gerenciar o acesso aos recursos do Banco de Dados do Azure para PostgreSQL. Atribua funções com base no princípio de privilégio mínimo, garantindo que usuários e aplicativos tenham apenas as permissões necessárias. Para obter mais informações, visite Controle de Acesso Baseado em Função do Azure (RBAC) em geral e Gerenciar funções do Microsoft Entra no Banco de Dados do Azure para PostgreSQL.

• Siga as práticas recomendadas do Entra: use MFA, políticas de Acesso Condicional, acesso just in time (JIT) para proteger seus usuários e bancos de dados.

• Gerenciar usuários, funções e permissões locais do banco de dados: use o gerenciamento de funções internas do PostgreSQL para controlar o acesso no nível do banco de dados. Crie funções personalizadas com permissões específicas para impor o princípio de privilégio mínimo. Revise e audite essas funções regularmente para garantir a conformidade com as políticas de segurança. Para obter mais informações, visite Criar usuários no Banco de Dados do Azure para PostgreSQL.

Proteção de dados

A seção de proteção de dados se concentra na proteção de dados confidenciais inativos e em trânsito. Ela garante que os dados sejam criptografados, o acesso seja controlado e as informações confidenciais sejam protegidas contra acesso não autorizado. Ela enfatiza o uso de criptografia, conexões seguras e mascaramento de dados para proteger a integridade e a confidencialidade dos dados.

Veja a seguir alguns serviços, recursos e práticas recomendadas de segurança possíveis para a seção de proteção de dados:

Criptografar dados em trânsito

• Verificar conexões TLS: o PostgreSQL do Azure sempre usa SSL ou TLS para criptografar dados em trânsito entre seu aplicativo e o banco de dados. Você deve configurar seu aplicativo para verificar o certificado usado, como a AC raiz, certificados expirados, incompatibilidade de nome do host e revogação de certificado. Essa prática ajuda a proteger informações confidenciais contra espionagem e ataques man-in-the-middle. Para obter mais informações, visite Conectividade segura com TLS e SSL no Banco de Dados do Azure para PostgreSQL.

• Verifique se o cliente tem os certificados TLS mais recentes instalados: verifique se seus aplicativos cliente têm os certificados TLS mais recentes instalados para dar suporte a conexões seguras. Essa prática ajuda a evitar falhas de conexão e garante que seu aplicativo possa estabelecer conexões seguras com o servidor PostgreSQL. Para obter mais informações, visite Baixar certificados de AC raiz e atualizar clientes de aplicativos.

• Exigir o uso de TLS 1.3: configure seu servidor PostgreSQL para exigir TLS 1.3 para todas as conexões. Essa configuração garante que apenas a versão mais recente e segura do protocolo seja usada, proporcionando melhor segurança e desempenho. Para obter mais informações, visite Versões de TLS.

Criptografia em repouso

• Os dados são sempre criptografados inativos com SMK: o Banco de Dados do Azure para PostgreSQL criptografa automaticamente os dados inativos usando chaves gerenciadas pelo serviço (SMK). Essa criptografia garante que seus dados estejam protegidos sem exigir configuração extra. Ela se baseia na infraestrutura de armazenamento subjacente do Azure. Abrange o servidor primário, réplicas, recuperação de ponto no tempo (PITR) e backups. Para obter mais informações, visite Criptografia de dados no Banco de Dados do Azure para PostgreSQL.

• Use chaves gerenciadas pelo cliente para controle adicional: se você precisar de mais controle sobre as chaves de criptografia, use chaves gerenciadas pelo cliente (CMK) armazenadas no Azure Key Vault ou no Azure HSM. Essa opção permite gerenciar suas chaves de criptografia e oferece mais opções de segurança e conformidade. Para obter mais informações, visite chaves gerenciadas pelo cliente no Banco de Dados do Azure para PostgreSQL e Configurar a criptografia de dados no Banco de Dados do Azure para PostgreSQL.

• Configurar a rotação automática de chave no KV ou HSM gerenciado: se você usar chaves gerenciadas pelo cliente, configure a rotação automática de chaves no Azure Key Vault para garantir que suas chaves de criptografia sejam atualizadas regularmente. O Banco de Dados do Azure para PostgreSQL dá suporte a atualizações automáticas de versão de chave após a rotação de uma chave. Para obter mais informações, visite Configurar a rotação automática de chaves no HSM Gerenciado do Azure ou Entender a rotação automática no Azure Key Vault para obter mais detalhes sobre o Key Vault. Para obter mais informações, visite Configurar a criptografia de dados com chave gerenciada pelo cliente durante o provisionamento do servidor para obter mais detalhes sobre como configurar a rotação automática de chaves.

• Criptografar dados ultrassensíveis com criptografia do lado do cliente: para dados ultrassensíveis, considere implementar a criptografia do lado do cliente. Essa abordagem envolve a criptografia de dados antes de enviá-los para o banco de dados, garantindo que apenas dados criptografados sejam armazenados no banco de dados. Essa prática fornece uma camada adicional de segurança, já que o banco de dados em si e, portanto, o administrador do banco de dados não têm acesso aos dados não criptografados.

Computação confidencial

A ACC (Computação Confidencial do Azure) permite que as organizações processem e colaborem com segurança em dados confidenciais, como dados pessoais ou informação de integridade protegida (PHI). A ACC fornece proteção interna contra acesso não autorizado protegendo dados em uso por meio de TEEs (Ambientes de Execução Confiáveis).

• Provedores de SaaS e hosting consideram configurar a computação confidencial: se você for um provedor de Software como Serviço (SaaS) ou hosting e suas cargas de trabalho do PostgreSQL envolverem o processamento de dados confidenciais, considere usar a Computação Confidencial do Azure para proteger dados em uso. Esta solução oferece mais uma camada de segurança, garantindo que os dados sejam processados em um ambiente seguro, impedindo o acesso não autorizado, mesmo de usuários com privilégios. Para obter mais informações, visite Computação Confidencial do Azure para Banco de Dados do Azure para PostgreSQL.

Redação e mascaramento de dados

• Implementar mascaramento de dados: use a extensão PostgreSQL Anonymizer para dar suporte a:

• Despejos Anônimos: exporte os dados mascarados para um arquivo SQL.

• Mascaramento Estático: remova os dados pessoais de acordo com as regras.

• Mascaramento Dinâmico: oculte dados pessoais apenas para os usuários mascarados.

• Exibições de Mascaramento: crie exibições dedicadas para os usuários mascarados.

• Data Wrappers de Mascaramento: aplique regras de mascaramento em dados externos.

Registro em log e detecção de ameaças

A seção de registro em log e detecção de ameaças aborda controles para detectar ameaças em ambientes do Azure. Ela aborda a habilitação, a coleta e o armazenamento de logs de auditoria para serviços do Azure. Destaca o uso de funcionalidades nativas de detecção de ameaças, a centralização do gerenciamento de logs e a retenção adequada de logs para investigações de segurança e conformidade. Esta seção se concentra na geração de alertas de alta qualidade, na centralização da análise de segurança por meio de ferramentas do Azure, na manutenção da sincronização precisa do tempo e na garantia de estratégias eficazes de retenção de logs.

Aqui estão alguns possíveis serviços de segurança, recursos e práticas recomendadas para a seção de registro em log e detecção de ameaças:

• Habilitar a coleta de logs de diagnóstico: verifique se o log de diagnóstico está habilitado selecionando a categoria Grupo "auditoria". Use a Azure Policy para implementar:

• Política Habilitar log por categoria de grupo para PostgreSQL (microsoft.dbforpostgresql/flexibleservers) no Log Analytics

• Iniciativa Habilitar log de recursos da categoria de auditoria para recursos com suporte no Log Analytics

• Utilize o Microsoft Defender para bancos de dados relacionais Open-Source: use o Microsoft Defender para bancos de dados relacionais Open-Source para aprimorar a postura de segurança da instância de servidor flexível do PostgreSQL. Esse serviço oferece proteção avançada contra ameaças, avaliações de vulnerabilidade e recomendações de segurança personalizadas para bancos de dados de código aberto. Para obter mais informações, visite Visão geral do Microsoft Defender para Bancos de Dados Relacionais de Código Aberto.

• Habilitar log de auditoria: configure o log de auditoria do PostgreSQL para rastrear e registrar atividades de banco de dados usando a extensão pgaudit. Para obter mais informações, visite Log de auditoria no Banco de Dados do Azure para PostgreSQL.

Backup e recuperação

A seção de backup e recuperação se concentra em garantir que dados e configurações em serviços do Azure sejam regularmente incluídos em backup, protegidos e recuperáveis em caso de falhas ou desastres. Ela enfatiza a automação de backups, a proteção dos dados de backup e a garantia de que os processos de recuperação sejam testados e validados para atender aos objetivos de tempo de recuperação (RTO) e aos objetivos de ponto de recuperação (RPO). A seção também destaca a importância de monitorar e auditar os processos de backup para garantir conformidade e preparação. Para obter uma visão geral, visite Visão geral da continuidade dos negócios com Banco de Dados do Azure para PostgreSQL.

Aqui estão alguns possíveis serviços de segurança, recursos e práticas recomendadas para a seção de detecção de backup e recuperação:

• Utilize alta disponibilidade: implemente configurações de ALTA DISPONIBILIDADE (HA) para sua instância de servidor flexível do PostgreSQL para minimizar o tempo de inatividade e garantir o acesso contínuo ao banco de dados. Para obter mais informações, visite Alta disponibilidade (Confiabilidade) no Banco de Dados do Azure para PostgreSQL e Configurar alta disponibilidade.

• Configurar backups automatizados: o Banco de Dados do Azure para PostgreSQL executa automaticamente backups diários de seus arquivos de banco de dados e faz backup contínuo de logs de transações. Você pode reter backups por sete a 35 dias. Você pode restaurar o servidor de banco de dados para qualquer ponto no tempo dentro do período de retenção do backup. O RTO depende do tamanho dos dados a serem restaurados e do tempo para realizar a recuperação do log. Pode variar de alguns minutos a 12 horas. Para obter mais informações, visite Backup e restauração no Banco de Dados do Azure para PostgreSQL.

• Configurar réplicas de leitura: use as réplicas de leitura para descarregar operações de leitura do servidor primário, melhorando o desempenho e a disponibilidade. Você também pode usar réplicas de leitura para cenários de recuperação de desastres, permitindo alternar rapidamente para uma réplica em caso de falha do servidor primário. Para obter mais informações, visite Réplicas de leitura no Banco de Dados do Azure para PostgreSQL.

• Proteger dados de backup com criptografia de chave gerenciada pelo cliente: proteja seus dados de backup usando criptografia inativa.

Conteúdo relacionado

• Linha de base de segurança do Azure para Banco de Dados do Azure para PostgreSQL