Verbessern der Datensicherheit durch SQL Server 2005 Verwenden der SQL Server Verschlüsselung zum Schutz von Daten Veröffentlicht: Oktober 2005

Überblick Situation Microsoft IT hat eine Neubewertung der Datenbanksicherheits- Frameworks vorgenommen Lösung SQL Server 2005 Vorteile Einfache Verwendung, robustes Framework zur Schlüsselverwaltung Verschlüsselung vertraulicher Daten in Anwendungen Entschlüsselung von Daten in einer Sicht Vereinfachte Datenverschlüsselung

Produkte und Technologien SQL Server 2005

Überblick über gesetzliche Anforderungen Microsoft-Sicherheitsframeworks müssen den in den USA geltenden staatlichen und bundesstaatlichen sowie den entsprechenden internationalen Gesetzen zur Speicherung persönlicher Daten genügen Die Anforderungen betreffen mehrere Datenbankoperationen

Übersicht über die Datenverschlüsselung Normalerweise stellt die Datenverschlüsselung die letzte Sicherheitsbarriere für vertrauliche Daten dar Verschlüsselung erhöht die Prozessorlast und verbraucht Speicherplatz Verschlüsselung benötigt eine Schlüsselverwaltung Symmetrische Verschlüsselung: Ist schnell Verwendet einen einzelnen Schlüssel Nichtabstreitbarkeit steht nicht zur Verfügung

Übersicht über die Datenverschlüsselung Asymmetrische Verschlüsselung: Verwendet ein Schlüsselpaar Ist langsamer als symmetrische Verschlüsselung Vertraulichkeit und Nichtabstreitbarkeit stehen zur Verfügung Kombinierte Verschlüsselung: Nutzt die Vorteile der Geschwindigkeit von symmetrischer Verschlüsselung und der erhöhten Sicherheit von asymmetrischer Verschlüsselung

Anwendungsumgebung Microsoft IT aktualisiert alle datenbankbezogenen LOB-Anwendungen auf SQL Server 2005 Analysen von Datenbankspeicherlösungen wurden den gesetzlichen Anforderungen sowie den Anforderungen der Informationssicherheit angepasst Drei Datenbanksysteme wurden analysiert

Lösung: SQL Server 2005-Verschlüsselung Enthält viele Sicherheitsfeatures Unterstützt drei Verschlüsselungstypen, von denen jeder mit unterschiedlichen Schlüsseln und mehreren Verschlüsselungsalgorithmen arbeitet

Lösung: SQL Server 2005-Verschlüsselung

Anforderungen für den Ver- und Entschlüsselungsprozess: Ein Zertifikat als Verfahren zur Anwendung einer asymmetrischen Verschlüsselung Ein asymmetrischer Schlüssel Ein symmetrischer Schlüssel, der in einer Verschlüsselungshierarchie in der richtigen Reihenfolge geöffnet werden muss

FeedStore

FeedStore-Strategie Sensible Daten wurden dupliziert und an mehreren Speicherorten gespeichert Das Verschlüsseln von Daten an den einzelnen Speicherorten wäre zu kostenaufwendig Das Konsolidieren und Verschlüsseln von Daten in einem separaten Speicher war die beste Strategie

FeedStore-Strategie

Neukonfiguration des Datenfeeds, um sensible Daten aus Anwendungen zu entfernen, die keinen Zugriff benötigen Neukonfiguration bestimmter Anwendungen, um sensible Daten aus einem separaten, verschlüsselten Speicher abzurufen Sensible Daten robust verfügbar halten

Digital Asset Store-Pilotprojekt Erstellen eines zentralen verschlüsselten Speichers mit SQL Server 2005 Erstellen von Geschäftsanforderungen und Geschäftszielen Klassifizierung aktueller Informationen Planung und Überwachung, um sensible Daten für Anwendungen verfügbar zu halten

Digital Asset Store-Pilotprojekt Verschiedene Aktionen, die für sensible Datenelemente und personenbezogene Informationen im LOB-Anwendungsbereich in Bezug auf Feedstore ausgeführt wurden Herausgeber wurden für das Senden von sensiblen Daten an den Digital Asset Store konfiguriert

Digital Asset Store-Pilotprojekt

Inline-Übersetzung: Einfügen von sensiblen Daten zur Laufzeit in einen zwischen Unternehmen übertragenen Datenfeed Verringert die Anzahl der Instanzen, in der auf sensible Daten zugegriffen werden kann bzw. in der solche Daten gespeichert und übertragen werden können Verwendet einen separaten, verschlüsselten Speicher für sensible Daten

Digital Asset Store-Pilotprojekt

PCRS (Payroll Controls Reporting System)

Anpassung der PCRS-Anwendung für die Verwendung der SQL Server Verschlüsselung Implementierung der Verschlüsselung in der lokalen PCRS-Datenbank Implementierung eines Datenbankprototyps zum Testen der Sicherung, Verwaltung und Wiederherstellung von Verschlüsselungsschlüsseln

PCRS (Payroll Controls Reporting System)

Schritte zum Erstellen einer einfachen, jedoch robusten SQL Server 2005-Hierarchie für Verschlüsselungschlüssel Schritte zum Ändern des Datenbankschemas, um sensible Daten in der Tabelle zu verschlüsseln Schritte zur Aktualisierung der gespeicherten Prozeduren, um Funktionen für den Zugriff auf verschlüsselte Daten zu verwenden

PCRS (Payroll Controls Reporting System) Konfiguration von Berechtigungen für die SQL Server-Rollen Sicherung des Datenbank-Hauptschlüssels, des SQL Server 2005-Zertifikats und des symmetrischen Schlüssels Sicherung der Datenbank Testen der Datenbank in realen Szenarios

Metropolis Anwendung besteht aus einem Front-End-Tool, einer XML-basierten zweiten Ebene und einer SQL Server 2005-basierten dritten Ebene DPAPI kann als Sicherheitsmechanismus für sensible Daten bei Microsoft verwendet werden Administrative, von Services IT erstellte Datenbank zum Speichern von sensiblen Daten für Metropolis

Metropolis

Die Verwendung der DPAPI zum Verschlüsseln des Diensthauptschlüssels genügt den Sicherheitsanforderungen Das Verschlüsselungs-Framework verwendet ein Zertifikat zum digitalen Signieren der gespeicherten Prozedur, die Daten verschlüsselt Das Zertifikat ermöglicht die Konfiguration eines Berechtigungs-Frameworks

Bewährte Methoden Schlüsselverwaltung als entscheidendes Element eines Verschlüsselungs- Frameworks Schlüsselgenerierung Schlüsselverwendung Schlüsselsicherung Schlüsselwiederherstellung

Bewährte Methoden Beschränken der Verschlüsselung auf vertrauliche Daten Berücksichtigung der leistungsbezogenen Auswirkungen der Verschlüsselung Prüfen, ob eine externe Quelle Zugriff auf verschlüsselte Daten benötigt Berücksichtigen, dass verschlüsselter Text mehr Speicherplatz als Klartext benötigt

Schlussbemerkung Das Sicherheits-Framework wurde im LOB- Anwendungsbereich von Microsoft IT neu bewertet Das Verschlüsselungs-Framework und das Digital Asset Store-Pilotprojekt haben die FeedStore-Sicherheit verbessert Mechanismen zur Schlüsselverwaltung und die SQL Server 2005-Verschlüsselung auf Spaltenebene haben die Datensicherheit bei Microsoft verbessert

Weitere Informationen Weitere Informationen zu Microsoft IT- Bereitstellungen und bewährten Methoden finden Sie in englischer Sprache auf Microsoft TechNet Fallstudien-Ressourcen von Microsoft

Dieses Dokument dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESES DOKUMENT JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. © 2005 Microsoft Corporation. Alle Rechte vorbehalten. Diese Präsentation dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESE ZUSAMMENFASSUNG JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Microsoft, Excel, Win32 und Windows sind entweder eingetragene Marken oder Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Die in diesem Dokument aufgeführten Namen von tatsächlichen Unternehmen und Produkten können geschützte Marken ihrer jeweiligen Eigentümer sein.