Felipe Ferreira apresenta sobre Transparent Data Encryption (TDE) no SQL Server. TDE criptografa os arquivos de dados e logs em tempo real para proteger contra roubo ou perda de dados. TDE não substitui criptografia a nível de coluna e não impede que usuários com acesso leiam dados, mas demonstra como configurar a arquitetura de criptografia no banco de dados. Considerações incluem um pequeno impacto no desempenho e a necessidade de backups do certificado para restaurar bancos de dados criptografados.

1. Entendendo TDE
Nome: Felipe Ferreira
E-Mail: fferreira@solidq.com
Titulações Comunidade

2. Agenda
• Introdução
• O que é TDE
• O que o TDE NÃO faz!
• Arquitetura
• Demo
• Considerações

3. Introdução
• Os seus dados estão realmente seguros?
– Segundo pesquisa realizada pela consultoria
Applied Research, incidentes com perda de dados
custam em torno de US$ 287 mil/incidente
globalmente
– Segundo pesquisa realizada pela Verizon um dos
erros mais comuns na área de segurança é não
aplicar aos backups e servidores secundários a
mesma regra de segurança dos servidores
principais da empresa

4. O que é TDE?
• Transparent Data Encryption é um mecanismo
de criptografia em tempo real dos arquivos de
dados e de log

5. O que TDE NÃO faz…
• TDE não é um substituto para a criptografia a
nível de coluna
• TDE não irá impedir que um usuário com
acesso leia as informações do banco através
de um SELECT
• TDE não irá criptografar os dados em memória
• TDE não criptografa a comunicação
cliente/servidor

6. Arquitetura

7. DEMO

8. Considerações
• Performance:
– Overhead médio de 5% em consumo de CPU
– A partir do momento que 1 base de dados esteja
com o TDE habilitado, automaticamente a base
tempDB também utilizará TDE, afetando a
performance de todas os bancos do servidor

9. Considerações
• Gerenciamento:
– É OBRIGATÓRIO ter backup do certificado para
poder restaurar a base de dados em outro
servidor. Sem o certificado, a base está perdida!
– A criptografia inicial da base pode consurmir
muitos recursos e tempo dependendo do
tamanho da base de dados
– Para verificar o status da criptografia podemos
usar a DMV sys.dm_database_encryption_keys

10. E mais considerações….
• Dados FILESTREAM não são criptografados, mesmo que
TDE esteja habilitado
• Se você utiliza replicação tem que habilitar o TDE no
distributor e subscribers manualmente caso queira que
os dados sejam replicados criptografados
• Em uma sessão de database mirroring ou log shipping
as 2 bases serão criptografadas, assim como o log de
transação enviados entre ambas
• DB criptografados não compactam bem, por isso não é
recomendado usar TDE junto com backup compression

11. Did you know?
SQL Server Central has highly active
forums, where you can get a response to
a question on SQL Server and other
topics in a matter of minutes.

12. Did you know?
Simple-Talk.com has a wealth of articles
written by industry experts on SQL
Server, .NET and SysAdmin, with no
registration required to access each
article.

13. Did you know?
“Red Gate Software sponsored SQL
Server Day. We’d love to hear your
comments and suggestions
about our tools. To get in touch
just email communities@red-
gate.com"
Annabel Bradford Red Gate Software

14. Obrigado ao Apoio

15. Obrigado !
Felipe Ferreira
felipe.ff@msn.com