Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Verwenden Sie diesen Artikel, um zu verstehen, wie die Sicherheitsrisikobewertung für SQL-Server auf Computern funktioniert, Überprüfungsergebnisse überprüfen und Baselines verwalten und Regeln deaktivieren.
Sicherheitsrisikobewertung für SQL-Server auf Computern
Microsoft Defender für SQL-Server auf Computern erweitert den Schutz für Ihre Azure nativen SQL-Server, um Hybridumgebungen zu unterstützen und SQL-Server (alle unterstützten Versionen) zu schützen, die in Azure, anderen Cloudumgebungen und lokalen Computern gehostet werden:
- SQL Server auf virtuellen Computern
- Lokale SQL Server-Instanzen:
Der integrierte Scanner für die Sicherheitsrisikobewertung ermittelt, verfolgt und unterstützt Sie beim Beheben potenzieller Sicherheitsrisiken für Ihre Datenbanken. Überprüfungsergebnisse bieten einen Überblick über den Sicherheitsstatus Ihrer SQL-Computer und Details zu Sicherheitsergebnissen.
Note
- Der Scan ist ressourcenschonend, sicher, dauert pro Datenbank nur wenige Sekunden und erfolgt vollständig im reinen Lesezugriff. Es werden keine Änderungen an Ihrer Datenbank vorgenommen.
- Für die folgenden gespeicherten Prozeduren sind Ausführungsberechtigungen erforderlich, damit einige der Regeln zur Sicherheitsrisikobewertung ordnungsgemäß ausgeführt werden: xp_instance_regread, sysmail_help_profile_sp.
Untersuchen der Ergebnisse der Sicherheitsrisikobewertung
Der Sicherheitsrisikobewertungs-Dienst scannt Ihre Datenbanken alle 12 Stunden.
Das Dashboard zur Sicherheitsrisikobewertung bietet eine Übersicht über die Bewertungsergebnisse in allen Datenbanken. Außerdem werden intakte und problematische Datenbanken sowie fehlgeschlagene Prüfungen nach Risikoverteilung zusammengefasst.
Sie können die Ergebnisse der Sicherheitsrisikobewertung direkt von Defender for Cloud oder der einzelnen Ressourcenseite anzeigen.
Der Artikel " Überprüfen und Beheben von Sicherheitsrisiken" enthält detaillierte Anleitungen für die Arbeit mit DEN Überprüfungsergebnissen der SQL-Sicherheitsrisikobewertung.
Festlegen einer Baseline
Während Sie die Ergebnisse der SQL-Sicherheitsrisikobewertung überprüfen, können Sie bestimmte Ergebnisse als akzeptable Basiswerte in Ihrer Umgebung markieren. Ein Basisplan passt an, wie Ergebnisse gemeldet werden. Ergebnisse, die mit der Baseline übereinstimmen, gelten bei späteren Scans als bestanden. Nachdem Sie einen Basissicherheitsstatus festgelegt haben, meldet der Scanner für die Sicherheitsrisikobewertung nur Abweichungen von diesem Basisplan, sodass Sie sich auf relevante Probleme konzentrieren können.
Modernes Empfehlungserlebnis:
Legacy-Ergebnisansicht:
Exportieren von Ergebnissen
Verwenden Sie das Microsoft Defender for Cloud-Feature Fortlaufender Export, um Ergebnisse der Sicherheitsrisikobewertung in Azure Event Hubs oder einen Log Analytics-Arbeitsbereich zu exportieren.
Anzeigen von Sicherheitsrisiken in grafischen, interaktiven Berichten
Der integrierte Azure Monitor-Arbeitsmappenkatalog von Defender for Cloud enthält einen interaktiven Bericht über Ergebnisse von Schwachstellenscannern für Computer, Container in Containerregistrierungen und SQL-Server.
Der Bericht "Ergebnisse der Sicherheitsrisikobewertung" sammelt diese Ergebnisse und organisiert sie nach Schweregrad, Ressourcentyp und Kategorie. Sie finden diesen Bericht im Arbeitsmappenkatalog in der Seitenleiste von Defender for Cloud.
Ausgenommene spezifische Ergebnisse (Empfehlungen)
Nicht alle SQL VA-Ergebnisse sind möglicherweise für Ihre Organisation oder Konfiguration relevant, und Sie können diese unabhängig vom Status ignorieren. Dazu können Sie eine Ausnahme auf Abonnement- oder Verwaltungsgruppenebene erstellen, sodass sich die Empfehlung nicht mehr auf Ihre Sicherheitsbewertung oder Compliance für diesen Bereich auswirkt.
Note
- Die Ausnahmeeinrichtung ist erfolgreich, wird jedoch erst wirksam, wenn dem ausgewählten Bereich der Standard "Azure CSPM" zugewiesen ist.
- Zum Erstellen einer Ausnahme sind bestimmte Berechtigungen erforderlich.
Programmgesteuertes Verwalten von Sicherheitsrisikobewertungen
Sie können Sicherheitsrisikobewertungen programmgesteuert mithilfe von Azure PowerShell Cmdlets verwalten.
Verwenden Sie Azure PowerShell
Sie können die Azure PowerShell-Cmdlets verwenden, um Ihre Sicherheitsrisikobewertungen programmgesteuert zu verwalten. Die unterstützten Cmdlets sind die folgenden:
| Cmdlet-Name als Link | Description |
|---|---|
| Add-AzSecuritySqlVulnerabilityAssessmentBaseline | Hinzufügen der Baseline für die SQL-Sicherheitsrisikobewertung |
| Get-AzSecuritySqlVulnerabilityAssessmentBaseline | Abrufen der Baseline für die SQL-Sicherheitsrisikobewertung |
| Get-AzSecuritySqlVulnerabilityAssessmentScanResult | Ruft die Scanergebnisse der SQL-Sicherheitsrisikobewertung ab. |
| Get-AzSecuritySqlVulnerabilityAssessmentScanRecord | Ruft Scanergebnisse der SQL-Sicherheitsrisikobewertung ab. |
| Remove-AzSecuritySqlVulnerabilityAssessmentBaseline | Entfernt die Baseline für die SQL-Sicherheitsrisikobewertung. |
| Set-AzSecuritySqlVulnerabilityAssessmentBaseline | Festlegen einer neuen Baseline für die SQL-Sicherheitsrisikobewertung für eine bestimmte Datenbank. Die alte Baseline (sofern vorhanden) wird verworfen. |
Datenresidenz
Note
Wenn Sie den Log Analytics workspace des Plans Defender for SQL on Machines ändern, werden die Scan-Ergebnisse und die Baseline-Einstellungen zurückgesetzt. Wenn Sie innerhalb von 90 Tagen zum ursprünglichen Log Analytics Arbeitsbereich zurückkehren, sind Scanergebnisse und Basisplaneinstellungen wieder verfügbar.
Die SQL-Sicherheitsrisikobewertung fragt den SQL-Server mithilfe öffentlich verfügbarer Abfragen aus Defender for Cloud Empfehlungen für die SQL-Sicherheitsrisikobewertung ab und speichert Abfrageergebnisse. SQL-Sicherheitsrisikobewertungsdaten werden an dem Speicherort des Log Analytics Arbeitsbereichs gespeichert, mit dem der Computer verbunden ist. Wenn Sie beispielsweise einen virtuellen SQL-Computer mit einem Log Analytics Arbeitsbereich in Westeuropa verbinden, werden die Ergebnisse in Westeuropa gespeichert. Diese Daten werden nur gesammelt, wenn die SQL-Sicherheitsrisikobewertung im Log Analytics Arbeitsbereich aktiviert ist.
Metadateninformationen zum verbundenen Computer werden ebenfalls gesammelt, insbesondere:
- Betriebssystemname, -typ und -version
- Vollqualifizierter Domänenname (FQDN) des Computers
- Version des Connected Machine-Agents
- UUID (BIOS-ID)
- SQL Server-Name und zugrunde liegende Datenbanknamen
Sie können die Region angeben, in der SQL-Sicherheitsrisikobewertungsdaten gespeichert werden, indem Sie den speicherort des Log Analytics Arbeitsbereichs auswählen. Microsoft können Daten aus Gründen der Resilienz in andere Regionen replizieren, daten jedoch nicht außerhalb der Geografie replizieren.