AZ-500

AZ-500 beginnt dort, wo jeder Angriff auf eine Cloudumgebung beginnt: bei der Identität. Wer sich anmelden kann, ist drin, unabhängig davon, wie gut das Netzwerk abgesichert ist.

In Azure sind zwei Ebenen zu unterscheiden. Entra ID verwaltet Identitäten und entscheidet über die Anmeldung. Die rollenbasierte ZugriffssteuerungRechte hängen an Rollen, Personen erhalten Rollen. entscheidet, was jemand an einer Ressource tun darf. Eine Zuweisung besteht aus Prinzipal, Rollendefinition und Bereich; der Bereich reicht von der VerwaltungsgruppeEbene über den Abonnements, auf der Richtlinien und Rollen zugewiesen und nach unten vererbt werden. bis zur einzelnen Ressource und vererbt sich nach unten. Eigene Rollendefinitionen sind der Weg, wenn die eingebauten Rollen zu viel erlauben.

Für Anwendungen gibt es DienstprinzipaleLokale Vertretung einer Anwendung in einem Mandanten. Erscheint als Unternehmensanwendung. und verwaltete IdentitätenIdentität eines Azure-Dienstes ohne gespeichertes Geheimnis.. Die verwaltete Identität ist vorzuziehen, weil kein Geheimnis gepflegt werden muss. Systemseitig zugewiesene Identitäten leben mit der Ressource, benutzerseitig zugewiesene lassen sich teilen.

Auf der Schutzseite stehen die mehrstufige Authentifizierung, der bedingte Zugriff mit seinen Bedingungen und Steuerungen, Identity ProtectionErkennung riskanter Anmeldungen und gefährdeter Konten mit automatischer Reaktion. für risikobasierte Reaktionen und Privileged Identity ManagementVergabe privilegierter Rollen auf Zeit, mit Begründung, Genehmigung und Protokoll. für Rollen auf Zeit. ZugriffsüberprüfungenWiederkehrende Bestätigung bestehender Berechtigungen durch benannte Prüfer. sorgen dafür, dass Rechte nicht dauerhaft liegen bleiben.

Hybride UmgebungenGemeinsame Nutzung eigener Systeme und Clouddienste. kommen dazu: Entra Connect oder die Cloud-Synchronisierung bringen lokale Konten in die Cloud, und die Wahl des Anmeldeverfahrens entscheidet, was bei einem Ausfall der lokalen UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. noch funktioniert.

Der zweite Bereich behandelt die Absicherung des Netzwerks. Der Grundgedanke ist SegmentierungAufteilung des Netzes, um Ausbreitung zu begrenzen.: möglichst kleine Bereiche, die einzeln geschützt und im Ernstfall getrennt werden können.

Die Bausteine beginnen beim virtuellen Netzwerk mit seinen Subnetzen. NetzwerksicherheitsgruppenEinfache Filterliste für ein- und ausgehenden Verkehr an Subnetz oder Netzwerkkarte. filtern nah an Subnetz oder Netzwerkschnittstelle mit Regeln aus Quelle, Ziel, Port und ProtokollEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird.; die Reihenfolge nach Priorität entscheidet, und die eingebauten Standardregeln stehen am Ende. AnwendungssicherheitsgruppenGruppierung von Netzwerkschnittstellen nach Rolle für wartbare Regeln. bündeln Maschinen nach Rolle, damit Regeln nicht auf Adressen zeigen müssen.

Die Azure FirewallVerwalteter Dienst mit Regeln auf Netzwerk- und Anwendungsebene, Bedrohungsinformationen und zentraler Protokollierung. ist die zentrale Instanz mit Regeln für Netzwerk, Anwendung und Adressübersetzung, mit Bedrohungsdaten und mit der Möglichkeit, den Verkehr eines ganzen Verbunds zu bündeln. Die WebanwendungsfirewallSchutz vor Angriffen auf der Anwendungsschicht, betreibbar im Erkennungs- oder Präventionsmodus. auf dem Anwendungsgateway oder auf der Front DoorGlobaler Lastenausgleich auf Anwendungsebene mit Zwischenspeicherung am Rand. schützt Webanwendungen gegen die bekannten Angriffsmuster. Der DDoS-Schutz federt Überlastangriffe ab.

Für den Zugang von außen gilt: keine öffentliche Adresse für Verwaltungszugriffe. Bastion stellt den Fernzugriff über den Browser bereit, ohne Port ins Internet zu öffnen.

Für Plattformdienste gibt es DienstendpunkteErweiterung der Subnetzidentität zum Dienst; Dienst behält die öffentliche Adresse. und private Endpunkte. Der private Endpunkt gibt dem Dienst eine Adresse im eigenen Netz und ist der weitergehende Weg; dazu gehört die passende private Namensauflösung, sonst zeigt der Name weiter nach draußen.

Der dritte Bereich fasst zusammen, was Daten verarbeitet und speichert: virtuelle Maschinen, ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts., Speicherkonten und Datenbanken.

Bei virtuellen Maschinen zählen vier Dinge: kein offener Verwaltungszugang, Verschlüsselung der Datenträger, aktuelle Updates und Erkennung auf der Maschine. Der Just-in-Time-ZugriffZeitlich begrenzte Öffnung von Verwaltungsports auf Anforderung. öffnet den Port nur zeitlich begrenzt und nur für eine angegebene Quelle. AnwendungssteuerungNur ausdrücklich erlaubte Programme dürfen ausgeführt werden. begrenzt, was überhaupt laufen darf.

Bei ContainernSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. geht es um vertrauenswürdige Registrierungen, geprüfte Abbilder, Geheimnisse außerhalb des Abbilds und Netzwerkrichtlinien im Cluster. Der Zugriff auf den Cluster wird an Entra ID gebunden.

Beim Speicher ist die Zugriffsfrage zentral. Zugriff über Rollen ist dem KontoschlüsselVollzugriffsschlüssel eines Speicherkontos; sollte deaktiviert werden. vorzuziehen. Wenn ein zeitlich begrenzter Zugriff nötig ist, ist die Signatur mit BenutzerdelegierungZugriffsverweis, der an eine Entra-Identität gebunden und widerrufbar ist. besser als die mit Kontoschlüssel, weil sie widerrufbar und an eine Identität gebunden ist. Der öffentliche Zugriff auf ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. sollte auf Kontoebene ausgeschaltet sein. Verschlüsselung ist immer aktiv, offen ist nur, wer die Schlüssel hält.

Bei Datenbanken kommen Firewallregeln, Entra-Authentifizierung, transparente Verschlüsselung, dynamische Maskierung, Zugriffssteuerung auf Zeilenebene und die Bedrohungserkennung dazu. Der Schlüsseltresor hält Geheimnisse, Schlüssel und Zertifikate; vorläufiges LöschenPapierkorbfunktion, die gelöschte Blobs und Container eine Zeit lang aufbewahrt. und LöschschutzEinstellung, die das endgültige Entfernen eines Schlüsseltresors verhindert. gehören dazu.

Der letzte Bereich hat das größte Gewicht und behandelt die beiden WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien., mit denen der ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. gehalten und der Angriff erkannt wird.

Defender for Cloud bewertet Ressourcen gegen Empfehlungen und fasst das zur sicheren Bewertung zusammen. Die Vorschriftenkonformität vergleicht gegen Vorgaben. Wer nur den kostenlosen Umfang nutzt, bekommt Bewertung und Empfehlungen; die Erkennung kommt erst mit den Erweiterungen für Server, Speicher, Datenbanken, ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. und Anwendungsdienste. Arbeitsabläufe können Empfehlungen automatisch beantworten, und Azure ArcEinbindung lokaler und Fremdcloud-Server in die Azure-Verwaltung. bringt Systeme außerhalb von Azure in dieselbe Bewertung.

Microsoft SentinelCloudbasierte SIEM- und SOAR-Lösung mit Datenconnectors, Analyseregeln und Playbooks. ist das Sicherheitsinformations- und Ereignismanagement mit Automatisierung. Es braucht einen Log Analytics-ArbeitsbereichZentraler Speicher für Protokolldaten mit Abfragesprache und Warnungen., Datenconnectors für die Quellen, AnalyseregelnRegel in Microsoft Sentinel, die eine Abfrage im Takt ausführt und daraus Warnungen und Vorfälle erzeugt. für die Erkennung und AutomatisierungsregelnRegel, die bei passenden Vorfällen ein Playbook startet. oder PlaybooksAzure-Logik-App, die auf einen Vorfall hin Arbeitsschritte ausführt, etwa Konto sperren oder Ticket anlegen. für die Reaktion. Vorfälle bündeln Warnungen, ArbeitsmappenGrafische Auswertung von Daten aus dem Arbeitsbereich, mit Parametern und Zeitfiltern. stellen dar, Jagdabfragen und LesezeichenFestgehaltener Fund aus einer Suche samt Abfrage, Notiz und Entitäten. unterstützen die Suche, und Watchlists bringen eigene Listen mit.

Damit überhaupt etwas ankommt, braucht es ProtokolleEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird.. DiagnoseeinstellungenKonfiguration, die festlegt, welche Protokolle und Metriken wohin geleitet werden. leiten RessourcenprotokolleProtokoll der Vorgänge innerhalb einer Ressource; nur über eine Diagnoseeinstellung verfügbar. in den ArbeitsbereichEinheit aus Konfiguration, Variablen und eigenem Zustand in HCP Terraform., das AktivitätsprotokollProtokoll der Verwaltungsvorgänge an Azure-Ressourcen; 90 Tage aufbewahrt. hält Verwaltungsvorgänge fest, und die Aufbewahrungsdauer entscheidet, wie weit zurück eine Untersuchung reichen kann.

Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. steht daneben und setzt durch, was Defender nur empfiehlt.