Azure-Sicherheitsbasisplan für Backup

Diese Sicherheitsgrundlinie wendet Richtlinien aus dem Microsoft Cloud Security Benchmark Version 1.0 auf Backup an. Der Microsoft Cloud Security Benchmark enthält Empfehlungen dazu, wie Sie Ihre Cloudlösungen in Azure sichern können. Der Inhalt wird nach den Sicherheitssteuerelementen gruppiert, die durch den Microsoft Cloud Security Benchmark und die zugehörigen Anleitungen für die Sicherung definiert sind.

Sie können diese Sicherheitsbasislinie und ihre Empfehlungen mithilfe von Microsoft Defender für Cloud überwachen. Azure-Richtliniendefinitionen werden im Abschnitt "Einhaltung gesetzlicher Vorschriften" der Microsoft Defender für Cloud-Portalseite aufgeführt.

Wenn ein Feature über relevante Azure-Richtliniendefinitionen verfügt, werden sie in diesem Basisplan aufgeführt, um die Einhaltung der Microsoft Cloud Security Benchmark-Kontrollen und -Empfehlungen zu messen. Einige Empfehlungen erfordern möglicherweise einen kostenpflichtigen Microsoft Defender-Plan, um bestimmte Sicherheitsszenarien zu aktivieren.

Hinweis

Features die nicht für die Sicherung gelten, wurden ausgeschlossen. Informationen dazu, wie Backup vollständig dem Microsoft Cloud Security Benchmark zugeordnet ist, finden Sie in der vollständigen Sicherungssicherheitsbasisplanzuordnungsdatei.

Sicherheitsprofil

Das Sicherheitsprofil fasst sicherheitsrelevante Verhaltensweisen des Backups zusammen, die zu erhöhten Sicherheitsüberlegungen führen können.

Dienstverhaltensattribut	Wert
Produktkategorie	MGMT/Verwaltung
Kunde kann auf HOST/Betriebssystem zugreifen	Kein Zugriff
Der Dienst kann im virtuellen Netzwerk des Kunden bereitgestellt werden.	Falsch
Ruhende Kundeninhalte werden gespeichert.	Falsch

Netzwerksicherheit

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Netzwerksicherheit.

NS-2: Sichern von Clouddiensten mit Netzwerksteuerelementen

Features

Azure Private Link

Beschreibung: Diensteigene IP-Filterfunktion zum Filtern von Netzwerkdatenverkehr (nicht zu verwechseln mit NSG oder Azure Firewall). Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Bereitstellen privater Endpunkte für alle Azure-Ressourcen, die das Feature "Private Verknüpfung" unterstützen, um einen privaten Zugriffspunkt für die Ressourcen einzurichten.

Referenz: Verfügbarkeit von Azure Private Link

Deaktivieren des Zugriffs aus öffentlichen Netzwerken

Beschreibung: Der Dienst unterstützt das Deaktivieren des öffentlichen Netzwerkzugriffs entweder mithilfe der IP-ACL-Filterregel auf Dienstebene (nicht NSG oder Azure Firewall) oder mithilfe eines Umschalters "Öffentlichen Netzwerkzugriff deaktivieren". Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Deaktivieren des öffentlichen Netzwerkzugriffs entweder mithilfe der IP-ACL-Filterregel auf Dienstebene oder eines Umschalters für den öffentlichen Netzwerkzugriff.

Referenz: Öffentlichen Netzwerkzugriff auf den Speicher verweigern

Identitätsverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Identitätsverwaltung.

IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten

Features

Verwaltete Identitäten

Beschreibung: Datenebenenaktionen unterstützen die Authentifizierung mithilfe von verwalteten Identitäten. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Falsch	Nicht zutreffend	Nicht zutreffend

Funktionshinweise: Eine verwaltete Identität kann für Ihren Tresor erstellt werden und wird nur auf der Steuerungsebene betrieben.

Weitere Informationen finden Sie unter: Aktivieren der verwalteten Identität für Ihren Tresor.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

IM-8: Einschränken der Offenlegung von Anmeldeinformationen und geheimen Schlüsseln

Features

Dienstanmeldedaten und Geheimnisse unterstützen Integration und Speicherung in Azure Key Vault

Beschreibung: Datenebene unterstützt die native Verwendung von Azure Key Vault für Anmeldeinformationen und geheimen Speicher. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Featurehinweise: Dieses Feature wird für alle Szenarien unterstützt, mit Ausnahme eines lokalen Szenarios, in dem die Tresoranmeldeinformationsdatei nicht im AKV gespeichert ist.

Konfigurationsleitfaden: Stellen Sie sicher, dass geheime Schlüssel und Anmeldeinformationen an sicheren Speicherorten wie Azure Key Vault gespeichert werden, anstatt sie in Code- oder Konfigurationsdateien einzubetten.

Referenz: Konfigurieren eines Tresors zum Verschlüsseln mithilfe von vom Kunden verwalteten Schlüsseln

Privilegierter Zugriff

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Privilegierter Zugriff.

PA-7: Befolgen Sie das Prinzip der minimalen Verwaltung (Prinzip des geringsten Privilegs)

Features

Azure RBAC für die Datenebene

Beschreibung: Azure Role-Based Access Control (Azure RBAC) kann zum verwalteten Zugriff auf die Datenebenenaktionen des Diensts verwendet werden. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Falsch	Nicht zutreffend	Nicht zutreffend

Featurehinweise: Azure RBAC wird für Steuerungsebenenaktionen unterstützt.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Datenschutz

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Datenschutz.

DP-2: Überwachen von Anomalien und Bedrohungen für sensible Daten

Features

Verhinderung von Datenlecks/Verlusten

Beschreibung: Der Dienst unterstützt die DLP-Lösung zur Überwachung von Bewegungen sensibler Daten (in Kundeninhalten). Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Featurehinweise: Azure Backup unterstützt erweiterte Features wie unveränderliche Tresore, Soft Delete, Mehrbenutzerautorisierung, die beim Schutz der Sicherungsdaten von Kunden helfen kann, die in der Regel vertraulich sind.

Weitere Informationen finden Sie unter: Unveränderlicher Speicher, Soft Delete und Mehrbenutzerberechtigung

Konfigurationsleitfaden: Es gibt keine aktuellen Microsoft-Richtlinien für diese Featurekonfiguration. Überprüfen Sie diese Sicherheitsfunktion, und ermitteln Sie, ob Ihre Organisation dieses Sicherheitsfeature konfigurieren möchte.

DP-3: Verschlüsseln Sie vertrauliche Daten während der Übertragung

Features

Daten in der Transitverschlüsselung

Beschreibung: Der Dienst unterstützt Verschlüsselung während der Übertragung auf der Datenebene. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Richtig	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Referenz: Transport Layer Security in Backup

DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten

Features

Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln wird unterstützt, alle ruhenden Kundeninhalte werden mit diesen von Microsoft verwalteten Schlüsseln verschlüsselt. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Richtig	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Referenz: verschlüsselungsebenen-in-azure-backup

DP-5: Bei Bedarf die Option eines kundenseitig verwalteten Schlüssels für die Verschlüsselung ruhender Daten verwenden.

Features

Verschlüsselung ruhender Daten mithilfe von CMK

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von vom Kunden verwalteten Schlüsseln wird für vom Dienst gespeicherte Kundeninhalte unterstützt. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Wenn dies für die Einhaltung gesetzlicher Vorschriften erforderlich ist, definieren Sie den Anwendungsfall und den Dienstumfang, in dem Verschlüsselung mithilfe von vom Kunden verwalteten Schlüsseln erforderlich ist. Aktivieren und implementieren Sie die Verschlüsselung ruhender Daten unter Verwendung eines kundenseitig verwalteten Schlüssels für diese Dienste.

Referenz: Verschlüsselung von Sicherungsdaten mithilfe von vom Kunden verwalteten Schlüsseln

DP-6: Verwenden eines Sicheren Schlüsselverwaltungsprozesses

Features

Schlüsselverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenschlüssel, geheimen Schlüssel oder Zertifikate. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Verwenden Sie Azure Key Vault, um den Lebenszyklus Ihrer Verschlüsselungsschlüssel zu erstellen und zu steuern, einschließlich Schlüsselgenerierung, Verteilung und Speicher. Rotieren und widerrufen Sie Ihre Schlüssel in Azure Key Vault und in Ihrem Dienst basierend auf einem definierten Zeitplan oder bei Außerbetriebnahme oder Kompromittierung eines Schlüssels. Wenn ein Customer Managed Key (CMK) auf Arbeitsebene, Dienst- oder Anwendungsebene verwendet werden muss, stellen Sie sicher, dass Sie die bewährten Methoden für die Schlüsselverwaltung befolgen: Verwenden Sie eine Schlüsselhierarchie, um einen separaten Datenverschlüsselungsschlüssel (Data Encryption Key, DEK) mit Ihrem Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK) in Ihrem Schlüsseltresor zu generieren. Stellen Sie sicher, dass Schlüssel bei Azure Key Vault registriert und über Schlüssel-IDs aus dem Dienst oder der Anwendung referenziert werden. Wenn Sie Ihren eigenen Schlüssel (BYOK) in den Dienst übertragen müssen (z. B. das Importieren von HSM-geschützten Schlüsseln aus Ihren lokalen HSMs in Azure Key Vault), befolgen Sie die empfohlenen Richtlinien, um die erste Schlüsselgenerierung und Schlüsselübertragung durchzuführen.

Referenz: Verschlüsselung in Azure Backup

DP-7: Verwenden eines sicheren Zertifikatverwaltungsprozesses

Features

Zertifikatverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenzertifikate. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Verwenden sie Azure Key Vault, um den Zertifikatlebenszyklus zu erstellen und zu steuern, einschließlich Erstellung, Import, Drehung, Sperrung, Speicher und Bereinigung des Zertifikats. Stellen Sie sicher, dass die Zertifikatgenerierung definierten Standards folgt, ohne unsichere Eigenschaften zu verwenden, z. B.: unzureichende Schlüsselgröße, übermäßig lange Gültigkeitsdauer oder unsichere Kryptografie. Richten Sie die automatische Drehung des Zertifikats in Azure Key Vault und den Azure-Dienst (sofern unterstützt) basierend auf einem definierten Zeitplan oder beim Ablauf eines Zertifikats ein. Wenn die automatische Drehung in der Anwendung nicht unterstützt wird, stellen Sie sicher, dass sie weiterhin mit manuellen Methoden in Azure Key Vault und der Anwendung gedreht werden.

Referenz: Sicherungsverschlüsselung

Vermögensverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Asset Management.

AM-2: Nur genehmigte Dienste verwenden

Features

Azure-Richtlinienunterstützung

Beschreibung: Dienstkonfigurationen können über Azure-Richtlinie überwacht und erzwungen werden. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Richtig	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Referenz: Azure-Richtliniensicherung

Protokollierung und Bedrohungserkennung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Protokollierung und Bedrohungserkennung.

LT-1: Aktivieren von Funktionen für die Bedrohungserkennung

Features

Microsoft Defender for Service /Produktangebot

Beschreibung: Der Dienst verfügt über eine angebotsspezifische Microsoft Defender-Lösung, um Sicherheitsprobleme zu überwachen und zu benachrichtigen. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Falsch	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

LT-4: Aktivieren der Protokollierung für sicherheitsrelevante Untersuchungen

Features

Azure-Ressourcenprotokolle

Beschreibung: Der Dienst erzeugt Ressourcenprotokolle, die erweiterte dienstspezifische Metriken und Protokollierung bereitstellen können. Der Kunde kann diese Ressourcenprotokolle konfigurieren und an eine eigene Datensenke schicken, z. B. ein Speicherkonto oder einen Log Analytics-Arbeitsbereich. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Falsch	Customer

Konfigurationsleitfaden: Ressourcenprotokolle für den Dienst aktivieren. Beispielsweise unterstützt Key Vault zusätzliche Ressourcenprotokolle für Aktionen, die einen geheimen Schlüssel aus einem Schlüsseltresor abrufen, und Azure SQL verfügt über Ressourcenprotokolle, die Anforderungen an eine Datenbank nachverfolgen. Der Inhalt der Ressourcenprotokolle variiert je nach Azure-Dienst und Ressourcentyp.

Referenz: Verwendung von Diagnoseeinstellungen für Recovery Services-Tresore

Sicherung und Wiederherstellung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Sicherung und Wiederherstellung.

BR-1: Sicherstellen regelmäßiger automatisierter Sicherungen

Features

Azure Backup

Beschreibung: Der Dienst kann vom Azure Backup-Dienst gesichert werden. Erfahren Sie mehr.

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
Richtig	Richtig	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Microsoft Defender für Cloud-Überwachung

Integrierte Azure-Richtliniendefinitionen – Microsoft.RecoveryServices:

Name (Azure-Portal)	Description	Effect(s)	Version (GitHub)
Azure Backup muss für Virtual Machines aktiviert sein.	Schützen Sie Ihre Azure Virtual Machines-Instanzen, indem Sie Azure Backup aktivieren. Azure Backup ist eine sichere und kostengünstige Lösung zum Schutz von Daten für Azure.	AuditIfNotExists, Deaktiviert	3.0.0

Nächste Schritte

• Siehe Übersicht über die Microsoft Cloud Security Benchmark
• Weitere Informationen zu Azure-Sicherheitsbaselines