SC-100

SC-100 ist eine Entwurfsprüfung. Gefragt ist nicht, wo ein Schalter sitzt, sondern welche Lösung zu welcher Lage passt und warum. Dieser Bereich liefert den Rahmen dafür.

Drei Bezugssysteme muss man kennen. Das Cloud Adoption FrameworkVorgehensmodell für den Weg einer Organisation in die Cloud, einschließlich Governance und Zielzonen. beschreibt den Weg einer Organisation in die Cloud, von der Strategie über den Plan bis zum Betrieb. Das Well-Architected FrameworkBewertungsrahmen für eine einzelne Arbeitslast entlang von fünf Säulen. bewertet eine einzelne Arbeitslast entlang mehrerer Säulen, darunter Sicherheit. Die Zero-Trust-Architektur beschreibt, wie Zugriff grundsätzlich zu behandeln ist: ausdrücklich prüfen, geringste RechteJeder Zugang erhält nur die für die Aufgabe nötigen Berechtigungen., von einem Einbruch ausgehen.

Daraus folgt die Landing ZoneVorbereitete, wiederholbare Umgebung nach den Vorgaben des Cloud Adoption Framework.: eine vorbereitete UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. mit festgelegter Struktur für Abonnements, Netzwerke, Identität, Protokollierung und RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt.. Wer erst baut und dann ordnet, zahlt es später doppelt.

Zur Strategie gehört die Priorisierung. Nicht alles lässt sich gleichzeitig absichern, also entscheidet das RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung.. Eine BedrohungsmodellierungEntwurfstätigkeit, die Bedrohungen an Vertrauensgrenzen durchspielt. nach einem festen Schema, ein Blick auf die Angriffskette und die Frage nach den Kronjuwelen ordnen die Reihenfolge.

Schließlich steht hier die Geschäftskontinuität als Sicherheitsthema: Was passiert nach einem Angriff mit Verschlüsselungssoftware. Unveränderliche Sicherungen, getrennte Verwaltung und geübte Wiederherstellung sind die Antwort, nicht ein weiteres Erkennungswerkzeug.

Der zweite Bereich entwirft die laufenden Funktionen: Wie wird erkannt, wie wird reagiert, wie werden Identitäten geordnet und wie wird Compliance nachgewiesen.

Auf der Betriebsseite geht es um Protokollierung und Erkennung. Welche Quellen werden angebunden, wie lange werden ProtokolleEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. gehalten, wo entsteht der VorfallZusammenführung mehrerer Warnungen zu einem zusammenhängenden Sachverhalt.. Microsoft SentinelCloudbasierte SIEM- und SOAR-Lösung mit Datenconnectors, Analyseregeln und Playbooks. ist der Ort für Zusammenführung und Automatisierung, Defender XDRZusammenführung der Signale aus Geräten, Identitäten, Mail und Clouddiensten zu gemeinsamen Vorfällen. der Ort für die Erkennung in den Microsoft-Diensten. Für den Entwurf zählt vor allem die Frage, welche Daten überhaupt vorhanden sein müssen, damit eine spätere Untersuchung gelingt.

Auf der Identitätsseite geht es um den Entwurf einer Zugriffsstrategie. Bedingter ZugriffRegelwerk, das Signale wie Nutzer, Standort, Gerät und Risiko auswertet und daraus eine Zugriffsentscheidung ableitet. als Regelwerk, kennwortlose VerfahrenSchrittweise Beschreibung der Umsetzung. als Ziel, PIM für hohe Rollen, ZugriffspaketeBündel aus Gruppen, Anwendungen und Websites mit Antrags-, Genehmigungs- und Ablaufregeln. und ZugriffsüberprüfungenWiederkehrende Bestätigung bestehender Berechtigungen durch benannte Prüfer. für die Vergabe über die Zeit. Dazu kommt die Absicherung der Verwaltungsebene selbst: getrennte Konten für Verwaltungsaufgaben, gesicherte Arbeitsplätze und die Frage, was passiert, wenn ein Verwaltungskonto übernommen wird.

Auf der Complianceseite geht es um Nachweise. Die Vorschriftenkonformität in Defender for Cloud vergleicht die UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. gegen Vorgaben, Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. setzt Regeln durch, und der Compliance-ManagerZerlegt Normen und Vorschriften in zuweisbare Verbesserungsmaßnahmen mit Nachweis. bewertet den organisatorischen Stand. Wichtig ist die Trennung: Bewerten, Durchsetzen und Nachweisen sind drei verschiedene Aufgaben.

Hier geht es um alles unterhalb der Anwendung: Netzwerke, Server, ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts., Endpunkte und die hybride Wirklichkeit.

Der Entwurf beginnt bei der SegmentierungAufteilung des Netzes, um Ausbreitung zu begrenzen.. Wer alles in ein flaches Netz legt, verschenkt jede EindämmungPhase der Vorfallbehandlung, die die Ausbreitung stoppt.. Virtuelle Netzwerke, Subnetze, NetzwerksicherheitsgruppenEinfache Filterliste für ein- und ausgehenden Verkehr an Subnetz oder Netzwerkkarte., die Azure FirewallVerwalteter Dienst mit Regeln auf Netzwerk- und Anwendungsebene, Bedrohungsinformationen und zentraler Protokollierung. und private Endpunkte sind die Bausteine; private Endpunkte holen einen Dienst ins eigene Netz, statt ihn über das öffentliche Internet erreichbar zu lassen.

Für Server gilt der Grundsatz der geringsten Angriffsfläche. Kein offener Verwaltungszugang aus dem Internet, sondern der Bastion-Dienst oder ein gesicherter Sprungpunkt mit zeitlich begrenztem Zugriff. Defender for ServersPlan in Defender for Cloud mit Erkennung, Schwachstellenbewertung und Just-in-Time-Zugriff; auch für Arc-Server. bringt Erkennung auf die Maschine, Update-Verwaltung hält sie aktuell, und die Basiskonfiguration hält den ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. fest.

Hybrid heißt, dass lokale Systeme mitgedacht werden müssen. Azure ArcEinbindung lokaler und Fremdcloud-Server in die Azure-Verwaltung. bringt Server außerhalb von Azure in dieselbe Verwaltung, Defender for IdentityErkennung von Angriffsmustern im lokalen Active Directory über Sensoren auf den Domänencontrollern. beobachtet das lokale Verzeichnis, und die Absicherung der Domänencontroller ist ein eigenes ThemaVerteilstelle, die dieselbe Nachricht an alle Abonnenten weitergibt..

Für ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. und Plattformen gelten eigene Regeln: Abbilder aus vertrauenswürdigen Quellen, Prüfung vor der Bereitstellung, keine dauerhaften Geheimnisse im Abbild, und Netzwerkrichtlinien innerhalb des Clusters. Für Betriebstechnik und das Internet der Dinge kommt Defender für IoT hinzu, weil sich diese Geräte nicht wie Server behandeln lassen.

Der letzte Bereich schaut auf Anwendungen und die Daten, die sie verarbeiten.

Bei Anwendungen beginnt Sicherheit in der Entwicklung. BedrohungsmodellierungEntwurfstätigkeit, die Bedrohungen an Vertrauensgrenzen durchspielt., Prüfung der Abhängigkeiten, Geheimnisse außerhalb des Quellcodes, Prüfungen in der Bereitstellungskette. Für laufende Anwendungen kommen die Zugriffsseite und die Schnittstellenseite dazu: EinmalanmeldungEine Anmeldung für mehrere Dienste. über Entra ID statt eigener Benutzerverwaltung, Verwaltung von Schnittstellen mit DrosselungAblehnung wegen zu vieler Anfragen; wird mit wachsender Wartezeit und Wiederholung behandelt. und Prüfung der Aufrufe, und eine WebanwendungsfirewallSchutz vor Angriffen auf der Anwendungsschicht, betreibbar im Erkennungs- oder Präventionsmodus. vor öffentlich erreichbaren Anwendungen.

Geheimnisse gehören in den Schlüsseltresor, und Anwendungen holen sie sich mit einer verwalteten Identität, statt sie in einer Konfigurationsdatei zu tragen. Für Dienste, die miteinander sprechen, gilt dasselbe wie für Menschen: geringste RechteJeder Zugang erhält nur die für die Aufgabe nötigen Berechtigungen., klare Zuständigkeit, nachvollziehbarer Zugriff.

Auf der Datenseite geht es um Einstufung und Schutz. Wo liegen welche Daten, wie werden sie klassifiziert, wie werden sie verschlüsselt und wer verwaltet die Schlüssel. Vom AnbieterErweiterung, die Ressourcen in Schnittstellenaufrufe übersetzt. verwaltete Schlüssel sind der einfache Weg, kundenverwaltete Schlüssel geben mehr Kontrolle und mehr Pflicht. Für Datenbanken kommen die eigenen Mittel dazu, etwa Zugriffssteuerung auf Zeilenebene und Maskierung.

Zuletzt zählt der Nachweis: Wer hat wann worauf zugegriffen, und lässt sich das später belegen.