Encriptar los datos inactivos es un componente fundamental en la ciberseguridad en los servidores empresariales. El cifrado de datos transparente (TDE) es una tecnología utilizada por los proveedores de bases de datos para encriptar datos a nivel de archivo. El TDE protege los datos durante el robo físico cuando se roban unidades o cuando los atacantes exfiltran archivos de un servidor comprometido. Es una capa adicional de seguridad en las estrategias de protección de datos.
¿Qué es TDE?
El TDE es una forma de encriptación a nivel de archivo para bases de datos. El sistema de base de datos almacena una clave simétrica y la utiliza para encriptar datos cuando se escriben en una unidad y los descifra cuando se recuperan los datos. TDE también encripta los archivos de registro utilizados para las copias de seguridad y el seguimiento de las transacciones realizadas en el servidor de base de datos.
Cuando los datos están cifrados en reposo, significa que los archivos están cifrados antes de ser almacenados y descifrados de manera transparente cuando el sistema los recupera. El TDE protege los datos inactivos, por lo que los administradores deben asegurarse de que los datos en tránsito también estén cifrados, lo que significa que los datos transferidos de la base de datos a otra ubicación deben estar cifrados independientemente de las configuraciones del TDE. Si los archivos son robados, serían inutilizables para el atacante sin acceso a la clave simétrica, por lo que el TDE es una estrategia viable para la ciberseguridad avanzada y la protección de datos.
¿Qué es el TDE en SQL?
Microsoft es un desarrollador de bases de datos que incorpora TDE para proteger los datos empresariales. Cuando configura Microsoft SQL Server para que funcione con TDE, la base de datos genera un certificado y lo almacena en la base de datos maestra. El certificado se usa para encriptar la clave simétrica, que luego se usa para encriptar los datos almacenados en el disco o recuperados y almacenados en la memoria, lo que hace que sea ilegible si se exfiltra.
Todo el proceso de encriptación y desencriptación de datos es transparente para los administradores y usuarios que trabajan con consultas de bases de datos. El TDE no afecta el rendimiento, incluso con el paso de encriptación adicional en el flujo de trabajo de almacenamiento y recuperación. La encriptación de clave simétrica es generalmente rápida y no interfiere con el rendimiento o la productividad.
Los proveedores como Amazon usan Elastic Block Store (EBS). EBS encripta los datos en bloques y no a nivel de archivo. Los datos se encriptan cuando se almacenan y recuperan, pero los archivos de datos no se encriptan. La diferencia en la seguridad es que el cifrado a nivel de archivo protege contra el robo físico. Si los archivos se exfiltran de un sistema comprometido, TDE encripta los archivos, lo que los hace inutilizables para el atacante.
Ejemplos de TDE en DBMS populares
Si bien Microsoft utiliza TDE en sus productos de bases de datos de SQL Server, TDE también se incorpora en otras aplicaciones de bases de datos de proveedores. IBM utiliza TDE en su software de base de datos Db2. Oracle también utiliza TDE como una opción de seguridad avanzada para sus aplicaciones de bases de datos de 10 g y 11 g. Los tres proveedores requieren que los administradores activen y configuren el TDE antes de que pueda utilizarse.
MySQL también incorpora TDE. El TDE en MySQL funciona de manera similar al TDE en Microsoft SQL Server. El proceso de encriptación de dos niveles genera una clave asimétrica pública y privada que se utiliza para encriptar la clave simétrica. La clave simétrica encripta y descifra los datos a medida que se almacenan y recuperan. La clave de cifrado maestro se almacena en una bóveda donde solo los administradores y el sistema de base de datos pueden acceder a ella.
Beneficios y ventajas de usar TDE
Los datos inactivos son cualquier información almacenada en un dispositivo. Es la forma opuesta de datos en tránsito, que describe los datos transferidos de un dispositivo a otro o los datos que se trasladan a una ubicación diferente. Los datos inactivos son distintos de los datos en tránsito, por lo que necesitan su propia estrategia para la protección de datos y la ciberseguridad.
Algunas regulaciones de cumplimiento exigen que los datos inactivos estén cifrados. Un buen ejemplo es la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (Health Insurance Portability and Accountability Act, HIPAA). La HIPAA tiene regulaciones estrictas para proteger los datos inactivos, especialmente en servidores y estaciones de trabajo que almacenan información de pacientes. Asegúrese siempre de que su infraestructura cumpla con los estándares regulatorios que supervisan su industria y los flujos de trabajo de pagos.
Microsoft integra TDE sin problemas con su motor de base de datos de SQL Server. Los usuarios y administradores no notan diferencias en su operabilidad, rendimiento o en la forma en que SQL Server responde a las consultas. Los administradores pueden mover archivos a ubicaciones de copia de seguridad sin encriptar manualmente los archivos de copia de seguridad para seguir las mejores prácticas de cumplimiento y protección de datos.
Desventajas o razones para no usar TDE
Cualquier flujo de trabajo criptográfico agrega complejidad al entorno, por lo que algunos administradores pueden dudar en usarlo. Aunque el TDE no interfiere con el rendimiento en un servidor moderno con hardware para manejar consultas empresariales, podría interferir con el rendimiento de consultas en hardware más antiguo. Los datos cifrados también requieren capacidad de almacenamiento adicional, y la capacidad de almacenamiento debe escalarse a medida que las empresas adquieren más datos.
El TDE encripta todo el archivo almacenado en el disco, por lo que los administradores no tienen un control granular sobre la encriptación a nivel de celda o columna. Toda la actividad I/O disco está encriptada, por lo que es una función “total o nula” para las bases de datos de SQL Server. SQL Server también ofrece encriptación a nivel de celda o columna, lo que les brinda a los administradores un control más granular de encriptación de información y campos específicos.
FlashArray ofrece un cifrado de datos inactivos estándar AES-256 fácil de usar que no compromete el rendimiento. Lea este informe técnico para obtener más información. >>
Conclusiones
La encriptación es fundamental en la protección de datos, especialmente cuando se alojan datos en la nube. Los administradores pueden configurar manualmente su base de datos de SQL Server para encriptar archivos. Las copias de seguridad y los registros de estos archivos se encriptarán automáticamente una vez que se habilite el TDE. Si supervisa el cumplimiento de una base de datos, TDE cumple con las reglamentaciones comunes que exigen el cifrado a nivel de archivo de datos sensibles.
¿Su capa de almacenamiento está frenando el rendimiento de SQL? Acelere el rendimiento de sus implementaciones de SQL Server con las soluciones de almacenamiento basado íntegramente en tecnología flash de Pure Storage.
