Criptografar dados inativos é um componente essencial na cibersegurança em servidores corporativos. A criptografia transparente de dados (TDE, Transparent Data Encryption) é uma tecnologia usada por fornecedores de banco de dados para criptografar dados no nível de arquivo. A TDE protege os dados durante o roubo físico quando as unidades são roubadas ou quando os invasores extraem arquivos de um servidor comprometido. É uma camada adicional de segurança em estratégias de proteção de dados.
O que é TDE?
O TDE é uma forma de criptografia de nível de arquivo para bancos de dados. O sistema de banco de dados armazena uma chave simétrica e a usa para criptografar dados quando gravados em uma unidade e descriptografa quando os dados são recuperados. A TDE também criptografa arquivos de log usados para backups e transações de rastreamento feitas no servidor de banco de dados.
Quando os dados são criptografados em repouso, isso significa que os arquivos são criptografados antes de serem armazenados e descriptografados de forma transparente quando o sistema os recupera. A TDE protege os dados inativos, portanto, os administradores devem garantir que os dados em trânsito também sejam criptografados, o que significa que os dados transferidos do banco de dados para outro local devem ser criptografados de forma independente das configurações de TDE. Se os arquivos forem roubados, eles seriam inutilizáveis para o invasor sem acesso à chave simétrica, por isso a TDE é uma estratégia viável para segurança cibernética avançada e proteção de dados.
O que é TDE no SQL?
A Microsoft é um desenvolvedor de banco de dados que incorpora TDE para proteger dados corporativos. Quando você configura o Microsoft SQL Server para funcionar com TDE, o banco de dados gera um certificado e o armazena no banco de dados mestre. O certificado é usado para criptografar a chave simétrica, que é usada para criptografar dados armazenados em disco ou recuperados e mantidos na memória, tornando-os ilegíveis se exfiltrados.
Todo o processo de criptografar e descriptografar dados é transparente para administradores e usuários que trabalham com consultas de banco de dados. A TDE não afeta o desempenho mesmo com a etapa de criptografia extra no fluxo de trabalho de armazenamento e recuperação. A criptografia de chave simétrica geralmente é rápida e não interfere no desempenho ou na produtividade.
Fornecedores como a Amazon usam o Elastic Block Store (EBS). O EBS criptografa dados em blocos e não no nível do arquivo. Os dados são criptografados quando armazenados e recuperados, mas os arquivos de dados não são criptografados. A diferença na segurança é que a criptografia em nível de arquivo protege contra roubo físico. Se os arquivos forem exfiltrados de um sistema comprometido, a TDE criptografa os arquivos, tornando-os inutilizáveis para o invasor.
Exemplos de TDE em DBMSs populares
Embora a Microsoft use o TDE em seus produtos de banco de dados SQL Server, o TDE também é incorporado a outros aplicativos de banco de dados de fornecedores. A IBM usa TDE em seu software de banco de dados Db2. A Oracle também usa a TDE como uma opção avançada de segurança para seus aplicativos de banco de dados de 10 g e 11 g. Os três fornecedores exigem que os administradores habilitem e configurem o TDE antes que ele possa ser usado.
O MySQL também incorpora a TDE. O TDE no MySQL funciona de forma semelhante ao TDE no Microsoft SQL Server. O processo de criptografia de duas camadas gera uma chave assimétrica pública e privada usada para criptografar a chave simétrica. A chave simétrica criptografa e descriptografa os dados conforme são armazenados e recuperados. A chave de criptografia mestre é armazenada em um cofre onde apenas administradores e o sistema de banco de dados podem acessá-la.
Benefícios e vantagens de usar a TDE
Dados inativos são quaisquer informações armazenadas em um dispositivo. É a forma oposta de dados em trânsito, que descreve dados transferidos de um dispositivo para outro ou dados que se movem para um local diferente. Os dados inativos são distintos dos dados em trânsito, por isso precisam de sua própria estratégia para proteção de dados e cibersegurança.
Algumas regulamentações de conformidade exigem que os dados inativos sejam criptografados. Um bom exemplo é a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA, Health Insurance Portability and Accountability Act). A HIPAA tem regulamentações rígidas para proteger dados inativos, especialmente em servidores e estações de trabalho que armazenam informações de pacientes. Certifique-se sempre de que sua infraestrutura siga todos os padrões regulatórios que supervisionam seu setor e fluxos de trabalho de pagamento.
A Microsoft integra o TDE perfeitamente com seu mecanismo de banco de dados SQL Server. Os usuários e administradores não percebem nenhuma diferença em sua operabilidade, desempenho ou na maneira como o SQL Server responde às consultas. Os administradores podem mover arquivos para locais de backup sem criptografar manualmente os arquivos de backup para seguir as práticas recomendadas de conformidade e proteção de dados.
Desvantagens ou motivos para não usar a TDE
Qualquer fluxo de trabalho criptográfico adiciona complexidade ao ambiente, por isso alguns administradores podem hesitar em usá-lo. Embora a TDE não interfira no desempenho de um servidor moderno com hardware para lidar com consultas corporativas, ela pode interferir no desempenho de consultas em hardware mais antigo. Os dados criptografados também exigem capacidade de armazenamento adicional, e a capacidade de armazenamento deve ser dimensionada conforme as empresas adquirem mais dados.
A TDE criptografa todo o arquivo armazenado em disco, para que os administradores não tenham controle granular sobre a criptografia no nível da célula ou da coluna. Toda a atividade I/O de disco é criptografada, por isso é um recurso “tudo ou nada” para bancos de dados SQL Server. O SQL Server também oferece criptografia no nível da célula ou da coluna, o que dá aos administradores um controle mais granular da criptografia de campos e informações específicos.
O FlashArray Storage oferece criptografia de dados inativos padrão AES-256 simples de usar que não compromete o desempenho. Leia este whitepaper para saber mais. >>
Conclusão
A criptografia é essencial na proteção de dados, especialmente ao hospedar dados na nuvem. Os administradores podem configurar manualmente seu banco de dados SQL Server para criptografar arquivos. Backups e logs desses arquivos serão criptografados automaticamente assim que a TDE for habilitada. Se você supervisiona a conformidade de um banco de dados, a TDE adere às regulamentações comuns que exigem criptografia de dados confidenciais no nível de arquivo.
Sua camada de armazenamento está atrasando seu desempenho de SQL? Acelere o desempenho das implantações do SQL Server com soluções de armazenamento totalmente flash da Pure Storage.
