Verbessern der Datensicherheit durch SQL Server 2005 Verwenden der SQL Server 2005- Verschlüsselung zum Schutz von Daten Veröffentlicht: Oktober 2005.

Präsentation zum Thema: "Verbessern der Datensicherheit durch SQL Server 2005 Verwenden der SQL Server 2005- Verschlüsselung zum Schutz von Daten Veröffentlicht: Oktober 2005."—  Präsentation transkript:

1 Verbessern der Datensicherheit durch SQL Server 2005 Verwenden der SQL Server 2005- Verschlüsselung zum Schutz von Daten Veröffentlicht: Oktober 2005

2 Überblick Situation Microsoft IT hat eine Neubewertung der Datenbanksicherheits- Frameworks vorgenommen Lösung SQL Server 2005 Vorteile Einfache Verwendung, robustes Framework zur Schlüsselverwaltung Verschlüsselung vertraulicher Daten in Anwendungen Entschlüsselung von Daten in einer Sicht Vereinfachte Datenverschlüsselung

3 Produkte und Technologien SQL Server 2005

4 Überblick über gesetzliche Anforderungen Microsoft-Sicherheitsframeworks müssen den in den USA geltenden staatlichen und bundesstaatlichen sowie den entsprechenden internationalen Gesetzen zur Speicherung persönlicher Daten genügen Die Anforderungen betreffen mehrere Datenbankoperationen

5 Übersicht über die Datenverschlüsselung Normalerweise stellt die Datenverschlüsselung die letzte Sicherheitsbarriere für vertrauliche Daten dar Verschlüsselung erhöht die Prozessorlast und verbraucht Speicherplatz Verschlüsselung benötigt eine Schlüsselverwaltung Symmetrische Verschlüsselung: Ist schnell Verwendet einen einzelnen Schlüssel Nichtabstreitbarkeit steht nicht zur Verfügung

6 Übersicht über die Datenverschlüsselung Asymmetrische Verschlüsselung: Verwendet ein Schlüsselpaar Ist langsamer als symmetrische Verschlüsselung Vertraulichkeit und Nichtabstreitbarkeit stehen zur Verfügung Kombinierte Verschlüsselung: Nutzt die Vorteile der Geschwindigkeit von symmetrischer Verschlüsselung und der erhöhten Sicherheit von asymmetrischer Verschlüsselung

7 Anwendungsumgebung Microsoft IT aktualisiert alle datenbankbezogenen LOB-Anwendungen auf SQL Server 2005 Analysen von Datenbankspeicherlösungen wurden den gesetzlichen Anforderungen sowie den Anforderungen der Informationssicherheit angepasst Drei Datenbanksysteme wurden analysiert

8 Lösung: SQL Server 2005-Verschlüsselung Enthält viele Sicherheitsfeatures Unterstützt drei Verschlüsselungstypen, von denen jeder mit unterschiedlichen Schlüsseln und mehreren Verschlüsselungsalgorithmen arbeitet

9 Lösung: SQL Server 2005-Verschlüsselung

10 Anforderungen für den Ver- und Entschlüsselungsprozess: Ein Zertifikat als Verfahren zur Anwendung einer asymmetrischen Verschlüsselung Ein asymmetrischer Schlüssel Ein symmetrischer Schlüssel, der in einer Verschlüsselungshierarchie in der richtigen Reihenfolge geöffnet werden muss

11 FeedStore

12

13 FeedStore-Strategie Sensible Daten wurden dupliziert und an mehreren Speicherorten gespeichert Das Verschlüsseln von Daten an den einzelnen Speicherorten wäre zu kostenaufwendig Das Konsolidieren und Verschlüsseln von Daten in einem separaten Speicher war die beste Strategie

14 FeedStore-Strategie

15 Neukonfiguration des Datenfeeds, um sensible Daten aus Anwendungen zu entfernen, die keinen Zugriff benötigen Neukonfiguration bestimmter Anwendungen, um sensible Daten aus einem separaten, verschlüsselten Speicher abzurufen Sensible Daten robust verfügbar halten

16 Digital Asset Store-Pilotprojekt Erstellen eines zentralen verschlüsselten Speichers mit SQL Server 2005 Erstellen von Geschäftsanforderungen und Geschäftszielen Klassifizierung aktueller Informationen Planung und Überwachung, um sensible Daten für Anwendungen verfügbar zu halten

17 Digital Asset Store-Pilotprojekt Verschiedene Aktionen, die für sensible Datenelemente und personenbezogene Informationen im LOB-Anwendungsbereich in Bezug auf Feedstore ausgeführt wurden Herausgeber wurden für das Senden von sensiblen Daten an den Digital Asset Store konfiguriert

18 Digital Asset Store-Pilotprojekt

19

20

21 Inline-Übersetzung: Einfügen von sensiblen Daten zur Laufzeit in einen zwischen Unternehmen übertragenen Datenfeed Verringert die Anzahl der Instanzen, in der auf sensible Daten zugegriffen werden kann bzw. in der solche Daten gespeichert und übertragen werden können Verwendet einen separaten, verschlüsselten Speicher für sensible Daten

22 Digital Asset Store-Pilotprojekt

23

24 PCRS (Payroll Controls Reporting System)

25 Anpassung der PCRS-Anwendung für die Verwendung der SQL Server 2005- Verschlüsselung Implementierung der Verschlüsselung in der lokalen PCRS-Datenbank Implementierung eines Datenbankprototyps zum Testen der Sicherung, Verwaltung und Wiederherstellung von Verschlüsselungsschlüsseln

26 PCRS (Payroll Controls Reporting System)

27 Schritte zum Erstellen einer einfachen, jedoch robusten SQL Server 2005-Hierarchie für Verschlüsselungschlüssel Schritte zum Ändern des Datenbankschemas, um sensible Daten in der Tabelle zu verschlüsseln Schritte zur Aktualisierung der gespeicherten Prozeduren, um Funktionen für den Zugriff auf verschlüsselte Daten zu verwenden

28 PCRS (Payroll Controls Reporting System) Konfiguration von Berechtigungen für die SQL Server-Rollen Sicherung des Datenbank-Hauptschlüssels, des SQL Server 2005-Zertifikats und des symmetrischen Schlüssels Sicherung der Datenbank Testen der Datenbank in realen Szenarios

29 Metropolis Anwendung besteht aus einem Front-End-Tool, einer XML-basierten zweiten Ebene und einer SQL Server 2005-basierten dritten Ebene DPAPI kann als Sicherheitsmechanismus für sensible Daten bei Microsoft verwendet werden Administrative, von Services IT erstellte Datenbank zum Speichern von sensiblen Daten für Metropolis

30 Metropolis

31 Die Verwendung der DPAPI zum Verschlüsseln des Diensthauptschlüssels genügt den Sicherheitsanforderungen Das Verschlüsselungs-Framework verwendet ein Zertifikat zum digitalen Signieren der gespeicherten Prozedur, die Daten verschlüsselt Das Zertifikat ermöglicht die Konfiguration eines Berechtigungs-Frameworks

32 Bewährte Methoden Schlüsselverwaltung als entscheidendes Element eines Verschlüsselungs- Frameworks Schlüsselgenerierung Schlüsselverwendung Schlüsselsicherung Schlüsselwiederherstellung

33 Bewährte Methoden Beschränken der Verschlüsselung auf vertrauliche Daten Berücksichtigung der leistungsbezogenen Auswirkungen der Verschlüsselung Prüfen, ob eine externe Quelle Zugriff auf verschlüsselte Daten benötigt Berücksichtigen, dass verschlüsselter Text mehr Speicherplatz als Klartext benötigt

34 Schlussbemerkung Das Sicherheits-Framework wurde im LOB- Anwendungsbereich von Microsoft IT neu bewertet Das Verschlüsselungs-Framework und das Digital Asset Store-Pilotprojekt haben die FeedStore-Sicherheit verbessert Mechanismen zur Schlüsselverwaltung und die SQL Server 2005-Verschlüsselung auf Spaltenebene haben die Datensicherheit bei Microsoft verbessert

35 Weitere Informationen Weitere Informationen zu Microsoft IT- Bereitstellungen und bewährten Methoden finden Sie in englischer Sprache auf http://www.microsoft.com. Microsoft TechNet http://www.microsoft.com/technet/itshowcase http://www.microsoft.com/technet/itshowcase Fallstudien-Ressourcen von Microsoft http://www.microsoft.com/resources/casestudies http://www.microsoft.com/resources/casestudies

36 Dieses Dokument dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESES DOKUMENT JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. © 2005 Microsoft Corporation. Alle Rechte vorbehalten. Diese Präsentation dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESE ZUSAMMENFASSUNG JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Microsoft, Excel, Win32 und Windows sind entweder eingetragene Marken oder Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Die in diesem Dokument aufgeführten Namen von tatsächlichen Unternehmen und Produkten können geschützte Marken ihrer jeweiligen Eigentümer sein.