Plan para enclaves seguros en Azure SQL Database

Se aplica a:Azure SQL Database

En Azure SQL Database, Always Encrypted con enclaves seguros puede usar enclaves de Intel Software Guard Extensions (Intel SGX) o enclaves de seguridad basada en virtualización (VBS).

Enclaves de Intel SGX

Intel SGX es una tecnología de entorno de ejecución de confianza basado en hardware. Está disponible en bases de datos y grupos elásticos que usan el modelo de compra vCore y la configuración de hardware de la serie DC. Para que un enclave de Intel SGX esté disponible para la base de datos o el grupo elástico, debe seleccionar la configuración de hardware de la serie DC al crear la base de datos o el grupo elástico o puede actualizar la base de datos o el grupo elástico existente para usar el hardware de la serie DC.

Los enclaves de Intel SGX combinados con la atestación proporcionada por Microsoft Azure Attestation ofrecen una protección más fuerte frente a los ataques procedentes de actores con el acceso de administrador de nivel de SO, en comparación con los enclaves de VBS. Sin embargo, antes de configurar el hardware de la serie DC para su base de datos, asegúrese de que conoce sus propiedades y limitaciones de rendimiento:

• A diferencia de otras configuraciones de hardware del modelo de compra de núcleos virtuales, la serie DC usa núcleos de procesador físicos, no núcleos lógicos. Los límites de recursos de las bases de datos de la serie DC difieren de los límites de recursos de la configuración de hardware de la serie estándar (Gen 5).
• El número máximo de núcleos de procesador que puede establecer en una base de datos de la serie DC es 40.
• La serie DC no funciona con serverless.

Además, compruebe la disponibilidad regional actual de la serie DC y asegúrese de que está disponible en sus regiones preferidas. Para obtener más información, consulte DC-series.

Se recomiendan enclaves SGX para cargas de trabajo que requieren el nivel más alto de protección de la confidencialidad de los datos y que pueden ajustarse a las limitaciones actuales de la serie DC.

Enclaves de VBS

Los enclaves de VBS (también conocidos como modo seguro virtual o enclaves de VSM) son una tecnología basada en software que depende del hipervisor de Windows y no requiere ningún hardware especial. Por lo tanto, los enclaves de VBS están disponibles en todas las ofertas de Azure SQL Database, incluidos los Grupos Elásticos de Azure SQL, lo que le proporciona la flexibilidad de usar Always Encrypted con enclaves seguros con el tamaño de proceso, el nivel de servicio, el modelo de compra, la configuración de hardware y la región que mejor cumplan los requisitos de carga de trabajo.

Los enclaves de VBS son la solución recomendada para los clientes que buscan protección de los datos en uso frente a usuarios con privilegios elevados de la organización del cliente, incluidos los administradores de bases de datos (DBA). Sin tener las claves criptográficas que protegen los datos, un DBA no podrá acceder a los datos en texto plano.

Los enclaves de VBS también pueden ayudar a prevenir algunas amenazas a nivel del SO, como la exfiltración de datos confidenciales mediante volcados de memoria dentro de una VM que aloja su base de datos. Los datos en texto claro procesados en un enclave no aparecen en volcados de memoria, siempre que el código dentro del enclave y sus propiedades no se hayan modificado de forma malintencionada. Sin embargo, los enclaves de VBS en Azure SQL Database no pueden abordar ataques más sofisticados, como reemplazar el binario de enclave por código malintencionado, debido a la falta actual de atestación de enclave. Además, independientemente de la atestación, los enclaves de VBS no ofrecen protección alguna frente a ataques que utilizan cuentas del sistema con privilegios procedentes del host. Es importante tener en cuenta que Microsoft ha implementado múltiples capas de controles de seguridad para detectar y prevenir este tipo de ataques en la nube de Azure, incluido el acceso justo a tiempo, la autenticación multifactor y la supervisión de seguridad. Sin embargo, los clientes que requieren un aislamiento de seguridad robusto podrían preferir los enclaves Intel SGX con la configuración de hardware serie DC en lugar de los enclaves de VBS.

Plan para la atestación de enclaves en Azure SQL Database

Es necesario configurar la atestación con Microsoft Azure Attestation al utilizar enclaves Intel SGX en bases de datos de la serie DC.

Para usar Microsoft Azure Attestation para la atestación de enclaves Intel SGX en Azure SQL Database, debe crear un proveedor de atestación y configurarlo con la directiva de atestación que proporciona Microsoft. Consulte Configurar la atestación para Always Encrypted mediante Azure Attestation

Roles y responsabilidades al configurar los enclaves y la atestación de Intel SGX

Configurar el entorno para admitir enclaves Intel SGX y la atestación para Always Encrypted en Azure SQL Database implica configurar distintos componentes: un proveedor de atestación, una base de datos y aplicaciones que inician la atestación del enclave. La configuración de cada tipo de componente la realizan usuarios que asumen uno de los siguientes roles diferenciados:

• Administrador de atestación: crea un proveedor de atestación en Microsoft Azure Attestation, redacta la directiva de atestación, concede al servidor lógico de Azure SQL acceso al proveedor de atestación y comparte con los administradores de aplicaciones la dirección URL de atestación que apunta a la directiva.
• Administrador de bases de datos (DBA): habilita enclaves SGX en las bases de datos seleccionando el hardware de la serie DC y proporciona al administrador de atestación la identidad del servidor lógico de Azure SQL que necesita acceder al proveedor de atestación.
• Administrador de aplicaciones - configura las aplicaciones con la URL de atestación obtenida del administrador de atestación.

En entornos de producción (donde se controlan datos confidenciales reales), es importante que la organización se adhiera a la separación de roles al configurar la atestación, donde cada rol distinto es asumido por usuarios diferentes. En concreto, si el objetivo de implementar Always Encrypted en la organización es reducir el área expuesta a ataques asegurándose de que los administradores de base de datos no puedan tener acceso a los datos confidenciales, dichos administradores no deben controlar las directivas de atestación.

Paso siguiente

Contenido relacionado

• Introducción al uso de Always Encrypted con enclaves seguros