SC-500

SC-500 ist der Nachfolger von AZ-500 und behandelt die Absicherung von Azure einschließlich der UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., in denen KI-Dienste laufen. Der erste Bereich ist die Identität, weil ohne sie nichts anderes trägt.

In Azure treffen zwei Ebenen aufeinander. Entra ID entscheidet, wer sich anmelden darf. Die rollenbasierte ZugriffssteuerungRechte hängen an Rollen, Personen erhalten Rollen. von Azure entscheidet, was jemand mit Ressourcen tun darf. Eine Zuweisung besteht immer aus drei Teilen: Sicherheitsprinzipal, Rollendefinition und Bereich. Der Bereich reicht von der VerwaltungsgruppeEbene über den Abonnements, auf der Richtlinien und Rollen zugewiesen und nach unten vererbt werden. über das Abonnement und die RessourcengruppeBehälter für Ressourcen, die gemeinsam verwaltet und gemeinsam gelöscht werden. Nicht verschachtelbar. bis zur einzelnen Ressource, und Zuweisungen vererben sich nach unten. Eine Ablehnungszuweisung schlägt jede Erlaubnis.

Für Anwendungen gibt es DienstprinzipaleLokale Vertretung einer Anwendung in einem Mandanten. Erscheint als Unternehmensanwendung. und verwaltete IdentitätenIdentität eines Azure-Dienstes ohne gespeichertes Geheimnis.. Die verwaltete Identität ist der bevorzugte Weg, weil kein Geheimnis gespeichert und erneuert werden muss. Systemseitig zugewiesene Identitäten hängen an einer Ressource, benutzerseitig zugewiesene lassen sich mehreren geben.

Auf der Schutzseite stehen die vertrauten Mittel: bedingter ZugriffRegelwerk, das Signale wie Nutzer, Standort, Gerät und Risiko auswertet und daraus eine Zugriffsentscheidung ableitet., mehrstufige Authentifizierung, Identity ProtectionErkennung riskanter Anmeldungen und gefährdeter Konten mit automatischer Reaktion. und PIM für hohe Rollen. Für den Zugang zu Verwaltungsoberflächen gilt, dass er selbst geschützt sein muss; das steht in dieser Prüfung mit im Vordergrund.

Governance ergänzt das: Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. setzt Regeln durch, VerwaltungsgruppenEbene über den Abonnements, auf der Richtlinien und Rollen zugewiesen und nach unten vererbt werden. bündeln Abonnements, RessourcensperrenSchutz vor versehentlichem Löschen oder Ändern. „Löschen nicht zulässig“ erlaubt Änderungen, „Schreibgeschützt“ nicht. verhindern versehentliches Löschen.

Der zweite Bereich fasst Netzwerke, Speicher und Datenbanken zusammen, weil sie dieselbe Frage teilen: Wer darf von wo aus überhaupt heran.

Auf der Netzwerkseite sind die Bausteine das virtuelle Netzwerk mit seinen Subnetzen, die NetzwerksicherheitsgruppeEinfache Filterliste für ein- und ausgehenden Verkehr an Subnetz oder Netzwerkkarte. als einfacher Filter nah an der Ressource, die Azure FirewallVerwalteter Dienst mit Regeln auf Netzwerk- und Anwendungsebene, Bedrohungsinformationen und zentraler Protokollierung. als zentrale Instanz mit mehr Möglichkeiten und die WebanwendungsfirewallSchutz vor Angriffen auf der Anwendungsschicht, betreibbar im Erkennungs- oder Präventionsmodus. vor Anwendungen. Der DDoS-Schutz federt Überlastangriffe ab. Für die Verwaltung gibt es Bastion, damit keine öffentliche Adresse für den Fernzugriff nötig ist. DienstendpunkteErweiterung der Subnetzidentität zum Dienst; Dienst behält die öffentliche Adresse. und private Endpunkte begrenzen den Zugriff auf Plattformdienste; der private Endpunkt ist der weitergehende Weg, weil der Dienst eine Adresse im eigenen Netz bekommt.

Auf der Speicherseite geht es um Zugriff und Verschlüsselung. Zugriff über Rollen ist dem über KontoschlüsselVollzugriffsschlüssel eines Speicherkontos; sollte deaktiviert werden. vorzuziehen. Wenn ein zeitlich begrenzter Zugriff nötig ist, ist eine Signatur mit BenutzerdelegierungZugriffsverweis, der an eine Entra-Identität gebunden und widerrufbar ist. besser als eine mit Kontoschlüssel, weil sie sich widerrufen lässt und an eine Identität gebunden ist. Verschlüsselung ist immer aktiv; die Frage ist, wer die Schlüssel verwaltet.

Auf der Datenbankseite kommen die eigenen Mittel dazu: Firewallregeln, Entra-Authentifizierung statt lokaler Anmeldungen, transparente Verschlüsselung, dynamische DatenmaskierungVerdeckung von Werten in der Anzeige; kein Zugriffsschutz. und die Zugriffssteuerung auf Zeilenebene.

Der dritte Bereich behandelt Rechenleistung in allen Formen: virtuelle Maschinen, ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts., Anwendungsdienste und die UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., in denen KI-Modelle betrieben werden.

Bei virtuellen Maschinen gilt: kein offener Verwaltungszugang, DatenträgerverschlüsselungVollständige Verschlüsselung eines Datenträgers gegen Auslesen bei Verlust., aktuelle Updates, und Defender for ServersPlan in Defender for Cloud mit Erkennung, Schwachstellenbewertung und Just-in-Time-Zugriff; auch für Arc-Server. für die Erkennung auf der Maschine. Der Just-in-Time-ZugriffZeitlich begrenzte Öffnung von Verwaltungsports auf Anforderung. öffnet den Verwaltungsport nur für eine begrenzte Zeit und nur für eine angegebene Quelle. Eine vertrauenswürdige Startumgebung schützt vor Manipulation beim Hochfahren.

Bei ContainernSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. verschiebt sich der Schwerpunkt. Die Registrierung muss vertrauenswürdig sein, Abbilder werden vor der Bereitstellung geprüft, Geheimnisse gehören nicht ins Abbild, und im Cluster begrenzen Netzwerkrichtlinien, wer mit wem spricht. Die Zugriffssteuerung im Cluster wird an Entra ID gebunden, statt lokale Konten zu pflegen.

Bei Anwendungsdiensten geht es um Authentifizierung über Entra ID, um verwaltete IdentitätenIdentität eines Azure-Dienstes ohne gespeichertes Geheimnis. für den Zugriff auf andere Dienste, um Netzwerkintegration und um Geheimnisse aus dem Schlüsseltresor.

Für KI-UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. kommen eigene Fragen dazu: Wer darf auf Modelle und Endpunkte zugreifen, welche Daten fließen hinein, wie wird der Zugang zu Modellendpunkten begrenzt, und wie verhindert man, dass Trainings- oder Eingabedaten mehr preisgeben als vorgesehen. Auch hier gelten Netzwerktrennung, verwaltete IdentitätenIdentität eines Azure-Dienstes ohne gespeichertes Geheimnis. und Protokollierung.

Der letzte Bereich behandelt die Frage, woran man den Sicherheitszustand erkennt und wie man ihn hält.

Defender for Cloud ist die zentrale Stelle. Er bewertet Ressourcen gegen Empfehlungen und fasst das zu einer sicheren Bewertung zusammen. Die Vorschriftenkonformität vergleicht die UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. gegen Vorgaben und zeigt, was fehlt. Die Erweiterungen für Server, Speicher, Datenbanken, ContainerSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. und KI-Dienste bringen zusätzlich Erkennung mit; ohne sie bleibt es bei der Bewertung.

Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. ist das Gegenstück, das nicht bewertet, sondern durchsetzt. Eine RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. kann verweigern, prüfen oder eine Einstellung nachziehen. InitiativenBündel aus mehreren Richtliniendefinitionen mit gemeinsamer Zuweisung und Bewertung. bündeln mehrere Richtlinien, und AusnahmenBegründete, befristete Ausklammerung einer Empfehlung für eine Ressource. werden dokumentiert statt stillschweigend hingenommen.

Auf der Protokollseite steht Azure MonitorDach über Metriken, Protokolle, Warnungen und Anwendungsüberwachung in Azure. mit dem Log Analytics-ArbeitsbereichZentraler Speicher für Protokolldaten mit Abfragesprache und Warnungen.. DiagnoseeinstellungenKonfiguration, die festlegt, welche Protokolle und Metriken wohin geleitet werden. leiten ProtokolleEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. von Ressourcen dorthin, das AktivitätsprotokollProtokoll der Verwaltungsvorgänge an Azure-Ressourcen; 90 Tage aufbewahrt. hält Verwaltungsvorgänge fest. Microsoft SentinelCloudbasierte SIEM- und SOAR-Lösung mit Datenconnectors, Analyseregeln und Playbooks. setzt darauf auf und macht daraus Erkennung, Vorfälle und Automatisierung.

Zum Halten des ZustandsZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. gehört auch die Verwaltung von Geheimnissen und Schlüsseln: der Schlüsseltresor mit Zugriff über Rollen, mit vorläufigem Löschen und LöschschutzEinstellung, die das endgültige Entfernen eines Schlüsseltresors verhindert., mit Rotation und mit Protokollierung. Ein Tresor ohne Löschschutz ist ein Ausfall, der auf seine Gelegenheit wartet.