Bewährte Methoden für die Azure-Betriebssicherheit

Dieser Artikel enthält eine Reihe von bewährten Methoden für den Schutz Ihrer Daten, Anwendungen und anderer Ressourcen in Azure.

Die bewährten Methoden basieren auf einem Meinungskonsens und arbeiten mit den aktuellen Azure Plattformfunktionen und Featuresätzen zusammen. Meinungen und Technologien ändern sich im Laufe der Zeit. Microsoft aktualisiert diesen Artikel regelmäßig, um diese Änderungen widerzuspiegeln.

Dieser Artikel richtet sich an das Sicherheitsmodell von Microsoft Zero Trust, das eine Verletzung voraussetzt und eine kontinuierliche Überprüfung erfordert. Informationen zu vorgeschriebenen Sicherheitskontrollen mit Azure Policy Durchsetzung finden Sie unter Microsoft Cloud Security Benchmark v2 – Incident Response und MCSB v2 – Sicherheitslage- und Schwachstellenmanagement.

Definieren und Bereitstellen von Methoden für hohe Betriebssicherheit

Azure Betriebssicherheit bezieht sich auf die Dienste, Steuerelemente und Features, die Benutzern zum Schutz ihrer Daten, Anwendungen und anderer Objekte in Azure zur Verfügung stehen. Azure betriebstechnische Sicherheit basiert auf einem Framework, das das für Microsoft einzigartige Wissen umfasst, einschließlich des programms Security Development Lifecycle (SDL), des Microsoft Security Response Centers und des umfassenden Bewusstseins für die Cybersicherheitsbedrohungslandschaft.

Erzwingen der Multi-Faktor-Überprüfung für Benutzer

Verlangen Sie eine zweistufige Verifizierung für alle Ihre Nutzer. Diese Anforderung umfasst Administratoren und andere in Ihrer Organisation, die erhebliche Auswirkungen haben können, falls ihr Konto kompromittiert wird, wie zum Beispiel Finanzbeamte.

Sie haben mehrere Möglichkeiten, eine zweistufige Verifizierung zu verlangen. Die beste Option für Sie hängt von Ihren Zielen, der Microsoft Entra Edition ab, die Sie ausführen, und Ihrem Lizenzierungsprogramm. Bestimmen Sie mithilfe des Artikels Vorgehensweise zum Erzwingen einer zweistufigen Überprüfung für einen Benutzer die beste Option für Sie. Weitere Informationen zu Lizenzen und Preisen finden Sie in der Dokumentation zur Multifaktor-Authentifizierung von Microsoft Entra ID und Microsoft Entra.

Die folgenden Optionen und Vorteile können Ihnen helfen, eine zweistufige Verifizierung zu ermöglichen:

Option 1: MFA für alle Benutzer und Anmeldemethoden mit Microsoft Entra Security Defaults Benefit aktivieren: Diese Option ermöglicht es Ihnen, MFA schnell für alle Nutzer in Ihrer Umgebung mit einer strengen Richtlinie durchzusetzen:

• Abfragen von Administratorkonten und administrativen Anmeldemechanismen
• MFA-Herausforderung über Microsoft Authenticator für alle Nutzer erforderlich
• Einschränken älterer Authentifizierungsprotokolle.

Du kannst diese Methode mit allen Lizenztieren verwenden, aber du kannst sie nicht mit bestehenden Conditional Access Richtlinien kombinieren. Weitere Informationen finden Sie unter Microsoft Entra Security Defaults.

Option 2: Aktivieren der Multi-Faktor-Authentifizierung durch Ändern des Benutzerstatus. Vorteil: Option 2 ist die traditionelle Methode, um eine zweistufige Überprüfung zu verlangen. Diese Methode funktioniert sowohl mit der Microsoft Entra-Multifaktor-Authentifizierung in der Cloud als auch mit dem Azure-Multifaktor-Authentifizierungsserver. Diese Methode erfordert, dass Benutzer bei jeder Anmeldung eine Überprüfung in zwei Schritten durchführen und Richtlinien für bedingten Zugriff außer Kraft setzen.

Um festzustellen, wo die Multifaktor-Authentifizierung aktiviert werden kann, siehe Welche Version der Microsoft Entra-Multifaktor-Authentifizierung für meine Organisation geeignet ist?

Option 3: Aktivieren der Multi--Faktor-Authentifizierung mit einer Richtlinie für bedingten Zugriff. Vorteil: Diese Option fordert eine zweistufige Verifizierung unter bestimmten Bedingungen mittels Conditional Access auf. Bestimmte Bedingungen können sein: Benutzeranmeldung von verschiedenen Standorten, nicht vertrauenswürdige Geräte oder Anwendungen, die Sie als risikoreich betrachten. Durch Definieren von bestimmten Bedingungen, in denen Sie die zweistufige Überprüfung erfordern, können Sie die konstante Aufforderung Ihrer Benutzer vermeiden, die eine unangenehme Benutzererfahrung sein kann.

Option 3 ist der flexibelste Weg, um die zweistufige Verifizierung für Ihre Nutzer zu ermöglichen. Das Aktivieren einer Richtlinie für bedingten Zugriff funktioniert nur für Microsoft Entra mehrstufige Authentifizierung in der Cloud und ist ein Premium-Feature von Microsoft Entra ID. Weitere Informationen zu dieser Methode finden Sie unter Bereitstellen cloudbasierter Microsoft Entra mehrstufiger Authentifizierung.

Option 4: Aktivieren Sie die Multi-Faktor-Authentifizierung mit Richtlinien für den bedingten Zugriff durch Auswertung von risikobasierten Richtlinien für den bedingten Zugriff. Vorteil: Diese Option ermöglicht Ihnen Folgendes:

• Ermitteln Sie potenzielle Sicherheitsrisiken für Identitäten Ihrer Organisation.
• Konfigurieren Sie automatische Reaktionen auf erkannte verdächtige Aktivitäten im Zusammenhang mit den Identitäten Ihres Unternehmens.
• Untersuchen verdächtiger Vorfälle und Ergreifen entsprechender Maßnahmen zu deren Behebung.

Diese Methode verwendet die Microsoft Entra ID Protection Risikobewertung, um festzustellen, ob die zweistufige Verifizierung basierend auf Benutzer- und Anmelderisiko für alle Cloud-Anwendungen angewendet wird. Für diese Methode ist Microsoft Entra ID P2-Lizenzierung erforderlich. Weitere Informationen zu dieser Methode finden Sie unter Microsoft Entra ID Protection.

Organisationen, die keine zusätzlichen Identitätsschutzschichten wie eine zweistufige Verifizierung hinzufügen, sind anfälliger für Angriffe auf Credential-Diebstahl. Ein Angriff mit gestohlenen Anmeldeinformationen kann zum Kompromittieren der Daten führen.

Verwalten und Überwachen von Benutzerkennwörtern

Die folgende Tabelle enthält einige bewährte Methoden in Bezug auf die Verwaltung von Benutzerkennwörtern:

• Stellen Sie sicher, dass in der Cloud ein angemessenes Passwortschutzniveau vorhanden ist. Folgen Sie den Anweisungen in der Microsoft Password Guidance, die sich an Nutzer der Microsoft-Identitätsplattformen (Microsoft Entra ID, Active Directory und Microsoft-Konto) richtet.

• Beobachte verdächtige Handlungen im Zusammenhang mit deinen Benutzerkonten. Überwachen Sie gefährdete undriskante Anmeldungen mit Microsoft Entra-Sicherheitsberichten.

• Automatisch erkennen und beheben Sie risikoreiche Passwörter.Microsoft Entra ID Protection ist eine Funktion der Microsoft Entra ID P2 Edition, die es Ihnen ermöglicht:

  • Erkennen sie potenzielle Sicherheitsrisiken, die sich auf die Identitäten Ihrer Organisation auswirken.
  • Konfigurieren Sie automatisierte Antworten auf erkannte verdächtige Aktionen, die sich auf die Identitäten Ihrer Organisation beziehen.
  • Untersuchen Sie verdächtige Vorfälle und ergreifen Sie geeignete Maßnahmen, um sie zu beheben.

Empfangen von Benachrichtigungen über Incidents von Microsoft

Stellen Sie sicher, dass Ihr Sicherheitsoperationsteam Azure-Vorfallbenachrichtigungen von Microsoft erhält. Eine Vorfallbenachrichtigung hilft Ihrem Sicherheitsteam zu erkennen, dass Ihre Azure-Ressourcen kompromittiert sind, damit sie schnell reagieren und potenzielle Sicherheitsrisiken beheben können.

Im Azure Registrierungsportal können Sie sicherstellen, dass Administratorkontaktinformationen Details enthalten, die Sicherheitsvorgänge benachrichtigen. Die Kontaktinformationen bestehen aus einer E-Mail-Adresse und einer Telefonnummer.

Azure-Abonnements in Verwaltungsgruppen organisieren

Wenn Ihre Organisation über viele Abonnements verfügt, benötigen Sie möglicherweise eine Möglichkeit zur effizienten Verwaltung von Zugriff, Richtlinien und Konformität für diese Abonnements. Azure-Verwaltungsgruppen stellen einen Bereich bereit, der über Abonnements liegt. Sie organisieren Abonnements in Containern, die als Verwaltungsgruppen bezeichnet werden, und wenden Ihre Governancebedingungen auf die Verwaltungsgruppen an. Alle Abonnements in einer Verwaltungsgruppe erben automatisch die auf die Verwaltungsgruppe angewendeten Bedingungen.

Sie können eine flexible Struktur von Verwaltungsgruppen und Abonnements in einem Verzeichnis erstellen. Jedes Verzeichnis erhält eine einzelne Verwaltungsgruppe auf oberster Ebene, die als Stammverwaltungsgruppe bezeichnet wird. Die Stammverwaltungsgruppe ist in die Hierarchie integriert, sodass ihr alle Verwaltungsgruppen und Abonnements untergeordnet sind. Die Stammverwaltungsgruppe ermöglicht die Anwendung globaler Richtlinien und Azure Rollenzuweisungen auf Verzeichnisebene.

Es folgen einige bewährte Methoden für die Verwendung von Verwaltungsgruppen:

• Stellen Sie sicher, dass neue Abonnements Governance-Elemente wie Richtlinien und Berechtigungen beim Hinzufügen anwenden. Verwenden Sie die Root-Management-Gruppe, um unternehmensweite Sicherheitselemente zuzuweisen, die für alle Azure-Assets gelten. Richtlinien und Berechtigungen sind Beispiele für Elemente.

• Richten Sie die obersten Ebenen der Managementgruppen auf Ihre Segmentierungsstrategie aus, um innerhalb jedes Segments einen Kontroll- und Policy-Konsistenzpunkt zu schaffen. Erstelle für jedes Segment eine einzige Managementgruppe unter der Root-Management-Gruppe. Erstellen Sie keine weiteren Verwaltungsgruppen unter der Stammebene.

• Begrenzen Sie die Tiefe der Managementgruppen, um Verwirrung zu vermeiden, die sowohl den Betrieb als auch die Sicherheit beeinträchtigen. Beschränke deine Hierarchie auf drei Ebenen, einschließlich der Wurzel.

• Wählen Sie sorgfältig aus, welche Elemente auf das gesamte Unternehmen mit der Root-Management-Gruppe angewendet werden. Stellen Sie sicher, dass Elemente der Root-Management-Gruppe nur dann auf alle Ressourcen angewendet werden, wenn dafür ein klarer Bedarf besteht und sie nur geringe Auswirkungen haben.

Folgende Kandidaten sind geeignet:

• Regulatorische Anforderungen, die klare geschäftliche Auswirkungen haben, wie etwa Beschränkungen im Zusammenhang mit Datensouveränität.

• Anforderungen mit nahezu null potenziellen negativen Auswirkungen auf die Operationen, wie Richtlinien mit Audit-Effekt oder Azure RBAC-Berechtigungszuweisungen, die sorgfältig überprüft werden.

• Plane und teste alle unternehmensweiten Änderungen sorgfältig in der Root-Management-Gruppe, bevor du sie anwendest (Policy, Azure RBAC-Modell usw.). Änderungen in der Root-Management-Gruppe können jede Ressource auf Azure betreffen. Obwohl sie eine leistungsstarke Möglichkeit bieten, Konsistenz im gesamten Unternehmen zu gewährleisten, können sich Fehler oder eine falsche Verwendung negativ auf Produktionsvorgänge auswirken. Testen Sie alle Änderungen an der Stammverwaltungsgruppe in einer Testumgebung oder einem Pilotbereich für die Produktion.

Vereinfachen Sie die Umgebungserstellung mit Deployment-Stacks und Template-Spezifikationen

Verwenden Sie Azure Deployment Stacks, um wiederholbare Sammlungen von Azure-Ressourcen als eine einzige Einheit bereitzustellen und zu verwalten. Deployment-Stacks unterstützen Bicep- und Azure Resource Manager-Vorlagen, Lebenszyklusverwaltung und lehnen Einstellungen ab, die helfen, verwaltete Ressourcen vor unerwünschten Änderungen zu schützen. Verwenden Sie die Spezifikationen der Azure Resource Manager-Vorlagen, um genehmigte Vorlagen in Ihrer Organisation zu speichern, zu versiegeln und zu teilen.

Überwachen von Speicherdiensten auf unerwartete Änderungen des Verhaltens

Die Diagnose und Fehlerbehebung in einer verteilten Anwendung, die in einer Cloud-Umgebung gehostet wird, kann komplexer sein als in traditionellen Umgebungen. Sie können Anwendungen in einer PaaS- oder IaaS-Infrastruktur, vor Ort, auf einem mobilen Gerät oder in einer Kombination dieser Umgebungen bereitstellen. Der Netzwerkdatenverkehr Ihrer Anwendung fließt möglicherweise durch öffentliche und private Netzwerke, und Ihre Anwendung verwendet möglicherweise mehrere Speichertechnologien.

Überwachen Sie kontinuierlich die Speicherdienste, die Ihre Anwendung nutzt, auf unerwartete Verhaltensänderungen, wie z. B. langsamere Reaktionszeiten. Erfassen Sie mit der Protokollierung umfangreichere Daten, anhand derer Sie ein Problem genauer analysieren können. Die Diagnoseinformationen, die Sie sowohl durch Monitoring als auch Logging erhalten, helfen Ihnen, die Ursache des Problems zu bestimmen, auf das Ihre Anwendung gestoßen ist. Dann können Sie das Problem beheben und die geeigneten Schritte zur Behebung bestimmen.

Azure Storage Analytics führt Protokollierung durch und stellt Metrikdaten für ein Azure Speicherkonto bereit. Nutzen Sie diese Daten, um Anfragen nachzuverfolgen, Nutzungstrends zu analysieren und Probleme mit Ihrem Speicherkonto zu diagnostizieren.

Verhindern, Erkennen und Reagieren auf Bedrohungen

Microsoft Defender for Cloud hilft Ihnen, Bedrohungen zu verhindern, zu erkennen und darauf zu reagieren, indem es mehr Transparenz und Kontrolle über die Sicherheit Ihrer Azure-Ressourcen bietet. Defender for Cloud bietet integrierte Sicherheitsüberwachung und Richtlinienverwaltung über Ihre Azure-Abonnements hinweg, hilft dabei, Bedrohungen zu erkennen, die sonst unbemerkt bleiben würden, und arbeitet mit verschiedenen Sicherheitslösungen zusammen.

Defender for Cloud beinhaltet Foundational Cloud Security Posture Management (CSPM)-Funktionen und kostenlosen Zugriff auf Microsoft Defender XDR. Um den Schutz zu erweitern, aktivieren Sie kostenpflichtige Defender for Cloud-Pläne für die Workloads, die Sie schützen möchten, wie z. B. Defender CSPM, Defender for Servers Plan 1 oder Plan 2, Defender for Storage, Defender for Databases, Defender for Containers, Defender für Key Vault, Defender für App Service, Defender für Resource Manager, Defender für APIs und KI-Dienste. Diese Pläne helfen Ihnen, Sicherheitslücken zu finden und zu beheben, Zugriffs- und Anwendungskontrollen anzuwenden, um böswillige Aktivitäten zu blockieren, Bedrohungen durch Analysen und Intelligenz zu erkennen und schnell zu reagieren, wenn Sie angegriffen werden.

Sie können Defender for Cloud in den ersten 30 Tagen kostenlos ausprobieren oder bis bestimmte Tarife ihre Nutzungsgrenzen erreichen – je nachdem, was zuerst eintritt. Nach Ablauf des Testzeitraums oder des Nutzungslimits fallen Gebühren entsprechend den Plänen an, die Sie in Ihrer Umgebung aktivieren. Weitere Informationen finden Sie unter Connect your Azure subscriptions und What is Microsoft Defender for Cloud?.

Verwenden Sie Defender für Cloud, um einen zentralen Überblick über den Sicherheitsstatus aller Ressourcen in Ihren eigenen Rechenzentren, Azure und anderen Clouds zu erhalten. Erfahren Sie auf einen Blick, ob die erforderlichen Sicherheitskontrollfunktionen implementiert und ordnungsgemäß konfiguriert sind, und ermitteln Sie schnell Ressourcen, die Ihre Aufmerksamkeit erfordern.

Defender for Cloud integriert sich außerdem mit Microsoft Defender for Endpoint, das umfassende Funktionen zur Endpunkterkennung und -reaktion (EDR) bietet. Mit Microsoft Defender for Endpoint Integration können Sie Anomalien erkennen und Schwachstellen erkennen. Sie können auch erweiterte Angriffe auf Serverendpunkte, die von Defender für Cloud überwacht werden, erkennen und darauf reagieren.

Fast alle Unternehmen verfügen über ein SIEM-System (Security Information and Event Management) zur Identifizierung aufkommender Bedrohungen durch Konsolidierung von Protokollinformationen, die von verschiedenen Geräten zur Signalerfassung stammen. Die Logs werden dann von einem Datenanalysesystem analysiert, um das „Interessante“ aus dem Rauschen herauszufiltern, das bei allen Lösungen zur Protokollerfassung und -analyse unvermeidlich ist.

Microsoft Sentinel ist eine skalierbare, cloudnativ, Sicherheitsinformations- und Ereignisverwaltungslösung (SIEM) und Sicherheits-Orchestrierung, Automatisierung und Reaktion (SOAR). Microsoft Sentinel bietet intelligente Sicherheitsanalysen und Bedrohungsinformationen durch Warnerkennung, Bedrohungssichtbarkeit, proaktive Jagd und automatisierte Bedrohungsreaktion.

Es folgen einige bewährte Methoden zum Verhindern, Erkennen und Reagieren auf Bedrohungen:

• Erhöhen Sie die Geschwindigkeit und Skalierbarkeit Ihrer SIEM-Lösung durch die Verwendung eines cloudbasierten SIEM. Untersuchen Sie die Funktionen und Möglichkeiten von Microsoft Sentinel und vergleichen Sie sie mit den Möglichkeiten, die Sie derzeit vor Ort verwenden. Erwägen Sie, Microsoft Sentinel zu übernehmen, wenn sie die SIEM-Anforderungen Ihrer Organisation erfüllt.

• Finde die schwerwiegendsten Sicherheitslücken, damit du die Untersuchung priorisieren kannst. Überprüfen Sie Ihren Azure-Secure-Score, um die Empfehlungen zu sehen, die aus den Azure-Richtlinien und -Initiativen in Microsoft Defender for Cloud resultieren. Mithilfe dieser Empfehlungen können die wichtigsten Risiken wie Sicherheitsupdates, Endpunktschutz, Verschlüsselung, Sicherheitskonfigurationen, fehlende WAF, VMs mit Internetzugriff und vieles mehr angegangen werden.

Der Secure Score, der auf Center for Internet Security (CIS)-Kontrollen basiert, hilft Ihnen, die Azure-Sicherheit Ihrer Organisation mit externen Quellen zu vergleichen. Mithilfe einer externen Überprüfung können Sie die Sicherheitsstrategie Ihres Teams überprüfen und erweitern.

• Überwachen Sie die Sicherheitslage von Maschinen, Netzwerken, Speicher- und Datendiensten sowie Anwendungen, um potenzielle Sicherheitsprobleme zu erkennen und zu priorisieren. Befolgen Sie die Sicherheitsempfehlungen in Defender for Cloud, beginnend mit den wichtigsten Elementen.

• Integrieren Sie Defender for Cloud-Warnungen in Ihre Lösung für Sicherheitsinformationen und Ereignismanagement (SIEM). Die meisten Organisationen mit einem SIEM nutzen es als zentrale Clearingstelle für Sicherheitswarnungen, die eine Analystenreaktion erfordern. Verarbeitete Ereignisse, die von Defender für Cloud erstellt werden, werden im Azure Aktivitätsprotokoll veröffentlicht, eines der Protokolle, die über Azure Monitor verfügbar sind. Azure Monitor bietet eine konsolidierte Pipeline zum Weiterleiten von Überwachungsdaten in ein SIEM-Tool. Eine Anleitung finden Sie unter Streamen von Warnungen in eine SIEM-, SOAR- oder IT Service Management-Lösung. Wenn Sie Microsoft Sentinel verwenden, lesen Sie Connect Microsoft Defender for Cloud.

• Integriere Azure-Logs in dein SIEM. Verwenden Sie Azure Monitor, um Daten zu sammeln und zu exportieren. Diese Vorgehensweise ist wichtig, damit Sicherheitsincidents untersucht werden können. Außerdem ist die Aufbewahrung von Onlineprotokollen beschränkt. Wenn Sie Microsoft Sentinel verwenden, lesen Sie Verbinden von Datenquellen.

• Beschleunigen Sie Ihre Untersuchungs- und Suchprozesse und reduzieren Sie Fehlalarme, indem Sie Endpoint Detection and Response (EDR)-Funktionen in Ihre Angriffsuntersuchung integrieren.Aktivieren Sie die Integration von Microsoft Defender for Endpoint über Ihre Defender for Cloud-Sicherheitsrichtlinie. Erwägen Sie die Verwendung von Microsoft Sentinel für die Bedrohungssuche und die Reaktion auf Vorfälle.

Szenariobasierte End-to-End-Netzwerküberwachung

Organisationen bauen ein End-to-End-Netzwerk in Azure auf, indem sie Netzwerkressourcen wie ein virtuelles Netzwerk, ExpressRoute, Application Gateway und Load Balancer kombinieren. Sie können jede dieser Netzwerkressourcen überwachen.

Azure Network Watcher ist ein regionaler Dienst. Verwenden Sie die Diagnose- und Visualisierungstools, um Bedingungen auf Netzwerkszenarioebene in, in und von Azure zu überwachen und zu diagnostizieren.

Im Folgenden sind bewährte Methoden für die Netzwerküberwachung und verfügbare Tools aufgelistet.

• Automatisierte Fernüberwachung des Netzwerks mit Paketerfassung. Überwachen und diagnostizieren Sie Netzwerkprobleme, ohne sich mit Network Watcher in Ihre VMs anzumelden. Lösen Sie mithilfe von Warnungen die Paketerfassung aus, und erhalten Sie Zugriff auf Leistungsinformationen in Echtzeit auf Paketebene. Wenn Sie auf ein Problem stoßen, können Sie es im Detail untersuchen, um genauere Diagnosen zu ermöglichen.

• Erhalten Sie Einblicke in Ihren Netzwerkverkehr, indem Sie Flow-Logs verwenden. Bauen Sie ein tieferes Verständnis Ihrer Netzwerkverkehrsmuster auf, indem Sie Netzwerksicherheitsgruppen-Flow-Logs verwenden. Mit den Daten aus den Datenflussprotokollen können Sie Erkenntnisse gewinnen, die Sie zum Erfüllen von Konformitätsanforderungen und zum Überwachen Ihres Netzwerksicherheitsprofils benötigen.

• Diagnostiziere VPN-Verbindungsprobleme. Verwenden Sie Network Watcher, um häufige Probleme mit dem VPN Gateway und der Verbindung zu diagnostizieren. Sie können das Problem identifizieren und detaillierte Protokolle nutzen, um weiter zu ermitteln.

Sichern der Bereitstellung mithilfe von bewährten DevOps-Tools

Mit den folgenden bewährten DevOps-Methoden können Sie sicherstellen, dass Ihr Unternehmen und Team produktiv und effizient arbeiten.

• Automatisiert den Aufbau und die Bereitstellung von Diensten.Infrastruktur als Code ist eine Reihe von Techniken und Praktiken, die IT-Profis helfen, die Belastung des täglichen Baus und Managements modularer Infrastruktur zu verringern. Infrastructure as Code ermöglicht es IT-Profis, ihre moderne Serverumgebung so zu erstellen und zu warten, wie Softwareentwickler Anwendungscode erstellen und warten.

Sie können Azure Resource Manager verwenden, um Ihre Anwendungen mithilfe einer deklarativen Vorlage bereitzustellen. In einer Vorlage können Sie mehrere Dienste zusammen mit ihren Abhängigkeiten bereitstellen. Sie verwenden die gleiche Vorlage, um Ihre Anwendung in jeder Phase des Anwendungslebenszyklus wiederholt bereitzustellen.

• Azure-Web-Apps oder Clouddienste automatisch erstellen und bereitstellen. Sie können Ihre Azure DevOps-Projekte so konfigurieren, dass sie automatisch Azure-Webanwendungen oder Cloud-Dienste erstellen und bereitstellen. Azure DevOps bereitet nach jedem Code-Check-in automatisch Binärdateien in Azure bereit. Der Paketbuildprozess entspricht dem Befehl "Paket" in Visual Studio, und die Veröffentlichungsschritte entsprechen dem Befehl "Veröffentlichen" in Visual Studio.

• Automatisieren Sie das Release-Management.Azure Pipelines ist eine Lösung zur Automatisierung der mehrstufigen Bereitstellung und zur Verwaltung des Release-Prozesses. Erstellen Sie verwaltete kontinuierliche Bereitstellungspipelines, die schnell und häufig freigegeben werden. Mit Azure Pipelines können Sie Ihren Release-Prozess mit vordefinierten Genehmigungsworkflows automatisieren. Stellen Sie lokal und in der Cloud bereit, und führen Sie nach Bedarf Erweiterungen und Anpassungen durch.

• Überprüfen Sie die Leistung Ihrer App, bevor Sie sie starten oder Updates in die Produktion ausrollen. Führen cloudbasierte Lasttests durch, um:

  • Leistungsprobleme in Ihrer App erkennen.
  • Qualität der Bereitstellung verbessern.
  • Stellen Sie sicher, dass Ihre App immer verfügbar ist.
  • Stellen Sie sicher, dass Ihre App den Traffic für Ihren nächsten Start oder Ihre Marketingkampagne bewältigen kann.

Apache JMeter ist ein kostenloses, beliebtes Open Source Tool mit einer starken Community-Sicherung.

• Überwachen Sie die Anwendungsleistung.Azure-Anwendung Insights ist ein erweiterbarer Application Performance Management (APM)-Dienst für Webentwickler auf mehreren Plattformen. Sie können mit Application Insights Ihre Live-Web-App überwachen. Der Dienst erkennt automatisch Leistungsanomalien. Es beinhaltet Analysetools, die Ihnen helfen, Probleme zu diagnostizieren und zu verstehen, was Nutzer tatsächlich mit Ihrer App machen. Der Dienst unterstützt Sie bei der kontinuierlichen Verbesserung der Leistung und Benutzerfreundlichkeit Ihrer App.

Abschwächen und Schutz vor DDoS-Angriffen

Bei einem DDoS-Angriff versucht ein Angreifer, Anwendungsressourcen zu erschöpfen. Die Verfügbarkeit der Anwendung und ihre Fähigkeit, legitime Anforderungen zu verarbeiten, sollen beeinträchtigt werden. Diese Angriffe werden komplexer, ihr Ausmaß größer und ihre Auswirkungen gravierender. Angreifer könnten jeden öffentlich erreichbaren Endpunkt über das Internet ins Visier nehmen.

Konzeptionen für Resilienz gegenüber DDoS-Angriffen setzen Planung und Entwürfe für eine Vielzahl von Fehlerzuständen voraus. Es folgen bewährte Methoden zum Erstellen von DDoS-widerstandsfähigen Diensten auf Azure.

• Stellen Sie sicher, dass die Sicherheit im gesamten Lebenszyklus einer Anwendung Priorität hat – von Entwurf und Implementierung bis hin zu Bereitstellung und Betrieb. Anwendungen könnten Fehler haben, die es einem relativ geringen Volumen von Anfragen ermöglichen, viele Ressourcen zu verbrauchen, was zu einem Dienstausfall führt. Um einen auf Azure laufenden Dienst zu schützen, sollten Sie ein gutes Verständnis Ihrer Anwendungsarchitektur haben und sich auf die fünf Säulen der Softwarequalität konzentrieren. Sie sollten Folgendes kennen: das typische Datenverkehrsvolumen, das Modell der Konnektivität zwischen der Anwendung und anderen Anwendungen, sowie die Dienstendpunkte, die dem öffentlichen Internet verfügbar gemacht werden.

Es ist von größter Wichtigkeit sicherzustellen, dass eine Anwendung widerstandsfähig genug ist, um mit einem Denial-of-Service-Angriff, der auf die Anwendung selbst abzielt, fertig zu werden. Sicherheit und Datenschutz sind in die Azure Plattform integriert, beginnend mit dem Security Development Lifecycle (SDL). Der SDL befasst sich mit sicherheit in jeder Entwicklungsphase und stellt sicher, dass Azure kontinuierlich aktualisiert wird, um es noch sicherer zu machen.

• Entwerfen der Anwendungen für eine horizontale Skalierung, um die Anforderungen einer verstärkten Auslastung zu erfüllen – insbesondere im Falle eines DDoS-Angriffs. Wenn Ihre Anwendung von einer einzelnen Instanz eines Diensts abhängig ist, entsteht dadurch ein Single Point of Failure. Durch Bereitstellen mehrerer Instanzen wird Ihr System stabiler und besser skalierbar. Wählen Sie für Azure App Service einen App Service-Plan aus, der mehrere Instanzen bietet.

Konfigurieren Sie für Azure Cloud Services jede Ihrer Rollen für die Verwendung mehrerer Instanzen.

Stellen Sie für Azure Virtual Machines sicher, dass Ihre VM-Architektur mehr als einen virtuellen Computer enthält und dass jede VM in einem verfügbarkeitssatz enthalten ist. Verwenden Sie Virtual Machine Scale Sets für automatische Skalierungsfunktionen.

• Abwehrmaßnahmen in die Schichten einer Anwendung zu integrieren reduziert die Wahrscheinlichkeit eines erfolgreichen Angriffs. Implementieren Sie sichere Designs für Ihre Anwendungen mithilfe der integrierten Funktionen der Azure-Plattform. Das Angriffsrisiko steigt mit der Größe (Oberfläche) der Anwendung. Sie können die Oberfläche verringern, indem Sie eine Erlaubnisliste verwenden, um den offenen IP-Adressraum und die Listening-Ports zu schließen, die auf den Load Balancern (Azure Load Balancer und Azure Application Gateway) nicht benötigt werden.

Durch Netzwerksicherheitsgruppen kann die angreifbare Oberfläche ebenfalls reduziert werden. Sie können mit Diensttags und Anwendungssicherheitsgruppen das Erstellen von Sicherheitsregeln weniger komplex machen und Netzwerksicherheit als natürliche Erweiterung der Struktur einer Anwendung konfigurieren.

Sie sollten Azure Dienste in einem virtual Network bereitstellen, wenn möglich. Mit dieser Methode können Dienstressourcen über private IP-Adressen kommunizieren. Azure Dienstdatenverkehr aus einem virtuellen Netzwerk verwendet standardmäßig öffentliche IP-Adressen als Quell-IP-Adressen.

Bei Verwendung von Dienstendpunkten wechselt der Dienstdatenverkehr zu privaten Adressen im virtuellen Netzwerk als Quell-IP-Adressen, wenn aus einem virtuellen Netzwerk auf den Azure-Dienst zugegriffen wird.

Angreifer können sowohl lokale Ressourcen als auch Ressourcen in Azure angreifen. Wenn Sie eine Vor-Ort-Umgebung mit Azure verbinden, minimieren Sie die Exposition Ihrer Ressourcen gegenüber dem öffentlichen Internet.

Azure verfügt über zwei DDoS Serviceangebote, die Schutz vor Netzwerkangriffen bieten:

• DDoS Infrastructure Protection ist standardmäßig ohne zusätzliche Kosten in Azure integriert. Die Größe und Kapazität des weltweit eingesetzten Azure-Netzwerks schützen vor gängigen Angriffen auf der Netzwerkebene durch permanente Überwachung des Datenverkehrs und Eindämmung in Echtzeit. Infrastructure Protection erfordert keine Benutzerkonfigurationen oder Anwendungsänderungen und hilft, alle Azure-Dienste zu schützen, einschließlich PaaS-Dienste wie Azure DNS.
• DDoS Network Protection bietet fortschrittliche DDoS-Minderungsfähigkeiten gegen Netzwerkangriffe. Es ist automatisch abgestimmt, um Ihre spezifischen Azure Ressourcen zu schützen. Sie können Schutz während der Erstellung oder nach der Erstellung eines virtuellen Netzwerks aktivieren, und es sind keine Änderungen an Anwendungen oder Ressourcen erforderlich.

Aktivieren von Azure Policy

Azure Policy ist ein Dienst in Azure, den Sie zum Erstellen, Zuweisen und Verwalten von Richtlinien verwenden. Mit diesen Richtlinien werden Regeln und Auswirkungen für Ihre Ressourcen erzwungen, damit diese stets mit Ihren Unternehmensstandards und Vereinbarungen zum Servicelevel konform bleiben. Azure Policy erfüllt diese Anforderung, indem Sie Ihre Ressourcen für die Nichteinhaltung der zugewiesenen Richtlinien auswerten.

Aktivieren Sie Azure Policy, um die geschriebene Richtlinie Ihrer Organisation zu überwachen und zu erzwingen. Dieser Ansatz stellt die Einhaltung Ihrer Unternehmens- oder regulatorischen Sicherheitsanforderungen sicher, indem Sicherheitsrichtlinien zentral über Ihre hybriden Cloud-Workloads verwaltet werden. Erfahren Sie mehr über das Erstellen und Verwalten von Richtlinien zur Konformitätserzwingung. Eine Übersicht über die Elemente einer Richtlinie finden Sie unter Azure Policy Definitionsstruktur.

• Verwenden Sie Azure Policy, um Microsoft Cloud Security Benchmark v2 (Vorschau)-Empfehlungen in Ihrer Umgebung durchzusetzen. Der Microsoft Cloud Security Benchmark v2 (Vorschau) bietet umfassende Sicherheits-Best Practices mit erweiterter Azure Policy-Abdeckung (420+ richtlinienbasierte Messungen). Weisen Sie Ihren Abonnements und Verwaltungsgruppen Microsoft Cloud Security Benchmark v2 (Vorschau) Richtlinien zu, um sichere Konfigurationen kontinuierlich zu überwachen und durchzusetzen. Der Benchmark umfasst neue Kontrollen für KI-Sicherheit, vertrauliches Computing und erweiterte Bedrohungserkennung. Verwenden Sie das Defender for Cloud Compliance-Dashboard, um die Compliance nachzuverfolgen und Sicherheitslücken zu identifizieren, die Korrekturen erfordern.

Im Folgenden sind einige bewährte Methoden für die Sicherheit aufgeführt, die Sie nach der Einführung von Azure Policy befolgen:

• Stellen Sie Richtlinien im Auditmodus bereit. Richtlinie unterstützt mehrere Arten von Effekten. Informationen dazu finden Sie in Azure Policy Definitionsstruktur. Geschäftsvorgänge können durch die Auswirkungen deny und remediate negativ beeinflusst werden. Beginnen Sie deshalb mit der Auswirkung audit, um das Risiko einer negativen Beeinflussung durch die Richtlinie zu begrenzen. Später können Sie zu verweigern oder beheben übergehen. Testen und überprüfen Sie die Ergebnisse der Auditauswirkung, bevor Sie zu ablehnen oder abstellen übergehen.

  Weitere Informationen finden Sie unter Erstellen und Verwalten von Richtlinien zur Konformitätserzwingung.

• Identifizieren Sie die Rollen, die für die Überwachung von Richtlinienverstößen und die Sicherstellung einer schnellen Behebung verantwortlich sind. Lassen Sie die zugewiesene Rolle die Einhaltung über das Azure-Portal oder über die Kommandozeile überwachen.

• Azure Policy ist eine technische Darstellung der schriftlichen Richtlinien einer Organisation. Ordnen Sie alle Azure Policy Definitionen Organisationsrichtlinien zu, um Verwirrung zu reduzieren und die Konsistenz zu erhöhen. Dokumentenzuordnung in der Dokumentation Ihrer Organisation oder in der Azure Policy-Definition selbst, indem Sie eine Referenz auf die Organisationsrichtlinie in der Richtliniendefinition oder der Initiativdefinitionsbeschreibung hinzufügen.

Überwachen Sie die Microsoft Entra Risikoberichte

Die meisten Sicherheitsverletzungen finden statt, wenn Angreifer Zugriff auf eine Umgebung erhalten, indem sie die Identität eines Benutzers stehlen. Die Ermittlung von kompromittierten Identitäten ist keine einfache Aufgabe. Microsoft Entra ID verwendet adaptive Machine Learning-Algorithmen und Heuristiken, um verdächtige Aktionen zu erkennen, die mit Ihren Benutzerkonten zusammenhängen. Jede erkannte verdächtige Aktion wird in einem Datensatz gespeichert, der als Risikoerkennung bezeichnet wird. Risikoerkennungen werden in Microsoft Entra Sicherheitsberichten aufgezeichnet. Weitere Informationen finden Sie in dem Sicherheitsbericht „Benutzer mit Risikomarkierung“ und dem Sicherheitsbericht „Riskante Anmeldungen“.

Nächste Schritte

Eine Anleitung zur Reaktion auf Sicherheitsvorfälle in Ihrer Azure Umgebung finden Sie unter Incident response overview. Unter Azure bewährten Methoden und Mustern für Sicherheit finden Sie weitere bewährte Methoden für die Sicherheit, die Sie beim Entwerfen, Bereitstellen und Verwalten Ihrer Cloudlösungen mithilfe von Azure verwenden.

Die folgenden Ressourcen stehen zur Verfügung, um allgemeinere Informationen zu Azure Sicherheit und verwandten Microsoft-Diensten bereitzustellen:

• Azure Security Team Blog – für aktuelle Informationen über die neuesten Entwicklungen im Bereich der Azure-Sicherheit.
• Microsoft Security Response Center – zur Meldung von Microsoft-Sicherheitslücken, einschließlich Probleme mit Azure. Sie können Schwachstellen auch per E-Mail melden secure@microsoft.com.
• Lesen Sie die Microsoft Cloud Security Benchmark v2 – Incident Response und MCSB v2 - Posture and Vulnerability Management-Kontrollen für umfassende betriebliche Sicherheitsrichtlinien unter Verwendung von Azure Policy-Zuordnungen.
• Erfahren Sie mehr über die Microsoft Secure Future Initiative (SFI), die Best Practices von Microsoft zur internen Sicherheit.
• Erkunden Sie Zero Trust Grundsätze zur Implementierung einer Zero Trust Sicherheitsarchitektur.