Allgemeine Fragen : Allgemeine Fragen

Microsoft Defender für Cloud unterstützt Sie bei der Vermeidung, Erkennung und Behandlung von Bedrohungen. Mit dieser Cloudlösung gewinnen Sie mehr Transparenz und bessere Kontrolle über die Sicherheit Ihrer Ressourcen. Es bietet integrierte Sicherheitsüberwachung und Richtlinienverwaltung für Ihre Abonnements, hilft bei der Erkennung von Bedrohungen, die andernfalls möglicherweise unbemerkt bleiben, und kann gemeinsam mit einem breiten Sektrum an Sicherheitslösungen verwendet werden.

Defender for Cloud verwendet zum Sammeln und Speichern von Daten Überwachungskomponenten. Ausführliche Informationen finden Sie unter Datensammlung in Microsoft Defender für Cloud.

Microsoft Defender für Cloud wird mit Ihrem Microsoft Azure-Abonnement aktiviert, der Zugriff erfolgt über das Azure-Portal. Für den Zugriff melden Sie sich beim Portal an, wählen Sie Durchsuchen aus, und scrollen Sie zu Defender für Cloud.

Defender für Cloud ist für die ersten 30 Tage kostenlos. Jede Nutzung über 30 Tage hinaus wird gemäß dem Preisschema automatisch in Rechnung gestellt. Weitere Informationen Beachten Sie, dass die Malwareüberprüfung in Defender for Storage in der ersten 30-Tage-Testversion nicht kostenlos enthalten ist und ab dem ersten Tag in Rechnung gestellt wird.

Microsoft Defender für Cloud überwacht die folgenden Azure-Ressourcen:

• Virtuelle Computer (Virtual Machines, VMs) (auch Clouddienste)
• Virtual Machine Scale Sets
• Die vielen Azure-PaaS-Dienste in der Produktübersicht

Defender für Cloud schützt auch lokale Ressourcen und Multi-Cloud-Ressourcen, einschließlich Amazon AWS und Google Cloud.

Auf der Seite Defender für Cloud – Übersicht wird der Gesamtsicherheitsstatus Ihrer Umgebung aufgeschlüsselt nach „Compute“, „Netzwerk“, „Speicher und Daten“ und „Anwendungen“ angezeigt. Jeder Ressourcentyp verfügt über einen Indikator, der ermittelte Sicherheitsrisiken anzeigt. Wenn Sie auf die einzelnen Kacheln klicken, wird eine Liste mit von Defender for Cloud erkannten Sicherheitsproblemen sowie ein Inventar der Ressourcen in Ihrem Abonnement angezeigt.

In einer Sicherheitsinitiative werden die Sicherheitsmechanismen (Richtlinien) definiert, die für Ressourcen in dem angegebenen Abonnement zu empfehlen sind. In Microsoft Defender für Cloud weisen Sie Initiativen für Ihre Azure-Abonnements, AWS-Konten und GCP-Projekte entsprechend den Sicherheitsanforderungen Ihres Unternehmens sowie dem Typ der Anwendungen oder der Vertraulichkeitsstufe der Daten in jedem Abonnement zu.

Die in Microsoft Defender für Cloud aktivierten Sicherheitsrichtlinien steuern Sicherheitsempfehlungen und -überwachung. Weitere Informationen finden Sie unter Was sind Sicherheitsrichtlinien, -initiativen und -empfehlungen?

Zum Ändern einer Sicherheitsrichtlinie müssen Sie ein Sicherheitsadministrator oder Besitzer des Abonnements sein.

Informationen zum Konfigurieren einer Sicherheitsrichtlinie finden Sie unter Festlegen von Sicherheitsrichtlinien in Microsoft Defender für Cloud.

Microsoft Defender für Cloud analysiert den Sicherheitsstatus Ihrer Azure-, Multi-Cloud- und lokalen Ressourcen. Werden mögliche Sicherheitsrisiken festgestellt, werden Empfehlungen erstellt. Entsprechend den Empfehlungen werden Sie durch den Prozess des Konfigurierens des erforderlichen Sicherheitsmechanismus geführt. Beispiele:

• Bereitstellung von Antischadsoftware, um bösartige Software zu erkennen und zu entfernen
• Netzwerksicherheitsgruppen und Regeln, um Datenverkehr zu virtuellen Computern zu steuern
• Bereitstellung einer Web Application Firewall als Schutz vor Angriffen, die auf Ihre Webanwendungen abzielen
• Bereitstellen von fehlenden Systemupdates
• Behandeln von Betriebssystemkonfigurationen, die nicht den empfohlenen Baselines entsprechen

Hier sind nur Empfehlungen aufgeführt, die in den Sicherheitsrichtlinien aktiviert sind.

Microsoft Defender für Cloud erfasst, analysiert und kombiniert automatisch Protokolldaten aus Ihren Azure-, Multi-Cloud- und lokalen Ressourcen, dem Netzwerk und aus Partnerlösungen wie Antischadsoftware und Firewalls. Wurden Bedrohungen erkannt, wird eine Sicherheitswarnung erstellt. Beispiele für eine Erkennung sind:

• Gefährdete virtuelle Computer, die mit bekannten bösartigen IP-Adressen kommunizieren
• Erweiterte Schadsoftware, die mithilfe der Windows-Fehlerberichterstattung erkannt wurde
• Brute-Force-Angriffe gegen virtuelle Computer
• Sicherheitswarnungen von integrierten Partnersicherheitslösungen wie Antischadsoftware oder Web Application Firewalls

Das Microsoft Security Response Center (MSRC) führt eine selektive Sicherheitsüberwachung im Azure-Netzwerk und in der Infrastruktur durch und empfängt Threat Intelligence-Daten und Missbrauchsmeldungen von Drittanbietern. Wenn MSRC erkennt, dass eine unrechtmäßige oder nicht autorisierte Partei auf Kundendaten zugegriffen hat, oder dass die Nutzung von Azure durch den Kunden nicht den Bedingungen für die zulässige Nutzung entspricht, wird der Kunde durch eine(n) Sicherheitsvorfallmanager*in benachrichtigt. Die Benachrichtigung erfolgt in der Regel durch Senden einer E-Mail an die in Microsoft Defender for Cloud angegebenen Sicherheitskontakte oder an die Besitzer*innen des Azure-Abonnements, falls kein Sicherheitskontakt angegeben wurde.

Defender for Cloud ist ein Azure-Dienst, der die Azure- und Multicloud-basierte und lokale Umgebung des Kunden ständig überwacht und Analysefunktionen anwendet, um automatisch eine Vielzahl von potenziell schädlichen Aktivitäten zu erkennen. Diese Erkennungen werden als Sicherheitswarnungen im Dashboard „Workloadschutz“ angezeigt.

Azure-Abonnements können mehrere Administratoren mit Berechtigungen zum Ändern der Preiseinstellungen haben. Verwenden Sie das Azure-Aktivitätsprotokoll, um herauszufinden, welcher Benutzer eine Änderung vorgenommen hat.

Wenn die Informationen des Benutzers nicht in der Spalte Ereignis initiiert von aufgeführt sind, sollten Sie sich in den JSON-Daten des Ereignisses die relevanten Details ansehen.

Manchmal liegt eine Sicherheitsempfehlung in mehreren Richtlinieninitiativen vor. Wenn mehrere Instanzen derselben Empfehlung demselben Abonnement zugewiesen sind, und Sie eine Ausnahme für die Empfehlung erstellen, wirkt sich dies auf alle Initiativen aus, für die Sie die Berechtigung zum Bearbeiten haben.

Wenn Sie versuchen, eine Ausnahme für diese Empfehlung zu erstellen, wird eine der beiden folgenden Meldungen angezeigt:

• Wenn Sie die notwendigen Berechtigungen zur Bearbeitung beider Initiativen haben, sehen Sie das:

  Diese Empfehlung ist in mehreren Richtlinieninitiativen enthalten: [durch Kommas getrennte Initiativennamen]. Ausnahmen werden für alle erstellt.

• Wenn Sie die nötigen Rechte haben , um beide Initiativen zu bearbeiten, werden Sie sehen:

  Sie verfügen über eingeschränkte Berechtigungen zum Anwenden der Ausnahme auf alle Richtlinieninitiativen. Die Ausnahmen werden nur für die Initiativen mit ausreichenden Berechtigungen erstellt.

Diese allgemein verfügbaren Empfehlungen unterstützen keine Ausnahme:

• In den Advanced Data Security-Einstellungen in SQL Managed Instance sollten alle Advanced Threat Protection-Typen aktiviert werden.
• In den Advanced Data Security-Einstellungen der SQL Server-Instanzen sollten alle Advanced Threat Protection-Typen aktiviert werden.
• Für Container müssen CPU- und Arbeitsspeicherlimits erzwungen werden
• Containerimages dürfen nur aus vertrauenswürdigen Registrierungen bereitgestellt werden
• Container mit Rechteausweitung müssen vermieden werden
• Container mit Freigabe sensibler Hostnamespaces vermeiden
• Container dürfen nur an zulässigen Ports lauschen
• Die Standard-IP-Filterrichtlinie muss auf „Verweigern“ festgelegt sein
• EDR-Konfigurationsprobleme sollten auf virtuellen Computern behoben werden
• EDR-Lösung sollte auf virtuellen Computern installiert sein
• Für Computer sollte die Überwachung der Dateiintegrität aktiviert sein
• Unveränderliches (schreibgeschütztes) Stammdateisystem für Container erzwingen
• IoT-Geräte: offene Ports auf Gerät
• IoT-Geräte: In einer der Ketten wurde eine zu wenig einschränkende Firewallrichtlinie gefunden
• IoT-Geräte: In der Eingabekette wurde eine zu wenig einschränkende Firewallregel gefunden
• IoT-Geräte: In der Ausgabekette wurde eine zu wenig einschränkende Firewallregel gefunden
• IP-Filterregel umfasst großen IP-Adressbereich
• Linux-Funktionen mit den niedrigsten Berechtigungen für Container erzwingen
• Überschreiben oder Deaktivieren des AppArmor-Profils für Container einschränken
• Privilegierte Container müssen vermieden werden
• Das Ausführen von Containern als Root-Benutzer muss vermieden werden
• Dienste dürfen nur an zulässigen Ports lauschen
• Für SQL-Server sollte ein(e) Microsoft Entra-Administrator*in bereitgestellt werden
• Verwendung von Hostnetzwerken und -ports einschränken
• Verwendung von HostPath-Volumeeinbindungen von Pods sollte auf eine bekannte Liste beschränkt sein, um den Knotenzugriff von kompromittierten Containern zu begrenzen

Überprüfen Sie die folgenden Konfigurationsoptionen in Ihrer MFA-Richtlinie für bedingten Zugriff, um zu untersuchen, wieso die Empfehlungen noch immer generiert werden:

• Sie haben die Konten in den Abschnitt Benutzer*innen Ihrer MFA-Richtlinie für bedingten Zugriff aufgenommen (oder eine der Gruppen im Abschnitt Gruppen)
• Die App-ID der Azure-Verwaltung (797f4846-ba00-4fd7-ba43-dac1f8f63013) oder „Alle Apps“ ist im Abschnitt Apps Ihrer MFA-Richtlinie für bedingten Zugriff angegeben.
• Die App-ID der Azure-Verwaltung ist im Bereich Apps Ihrer MFA-Richtlinie für bedingten Zugriff nicht ausgeschlossen.
• Die ODER-Bedingung wird nur mit MFA verwendet, oder die UND-Bedingung wird mit MFA verwendet
• Eine Richtlinie für bedingten Zugriff, die MFA durch Authentifizierungsstärken erzwingt, wird derzeit in unserer Auswertung nicht unterstützt.

Die Defender for Cloud-Empfehlungen zu MFA unterstützen keine MFA-Tools von Drittanbietern (z. B. DUO).

Wenn die Empfehlungen für Ihre Organisation nicht relevant sind, können Sie diese wie unter Ausschließen von Ressourcen und Empfehlungen aus der Sicherheitsbewertung beschrieben als „Entschärft“ kennzeichnen. Sie können auch eine Empfehlung deaktivieren.

Die Defender for Cloud-Empfehlungen zu MFA beziehen sich auf Azure RBAC-Rollen und die „Klassische Azure-Abonnementadministratoren“-Rolle. Stellen Sie sicher, dass keines der Konten über diese Rollen verfügt.

Die Defender for Cloud-Empfehlungen zu MFA unterstützen derzeit keine PIM-Konten. Sie können diese Konten im Abschnitt „Benutzer“ bzw. „Gruppe“einer Richtlinie für bedingten Zugriff hinzufügen.

Die Funktion zum Ausschließen bestimmter Konten, die keine MFA verwenden, steht in den neuen Empfehlungen als Vorschau zur Verfügung:

• Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten MFA-fähig sein
• Konten mit Schreibberechtigungen für Azure-Ressourcen sollten MFA-fähig sein
• Konten mit Leseberechtigungen für Azure-Ressourcen sollten MFA-fähig sein

Führen Sie die folgenden Schritte aus, um Konten auszuschließen:

1. Wählen Sie eine MFA-Empfehlung aus, die einem fehlerhaften Konto zugeordnet ist.
2. Wählen Sie auf der Registerkarte „Konten“ ein Konto aus, das ausgeschlossen werden soll.
3. Wählen Sie die Schaltfläche mit den drei Punkten und dann Konto ausschließen aus.
4. Wählen Sie einen Bereich und einen Ausschlussgrund aus.

Wenn Sie die ausgeschlossenen Konten anzeigen möchten, navigieren Sie für jede Empfehlung zu ausgeschlossene Konten.

Es gibt einige Einschränkungen für den Identitäts- und Zugriffsschutz von Defender für Cloud:

• Empfehlungen zu Identitäten werden für Abonnements mit mehr als 6.000 Konten nicht angeboten. In diesen Fällen werden diese Arten von Abonnements auf der Registerkarte „Nicht anwendbar“ aufgelistet.
• Für die Administrator-Agents des CSP-Partners (Cloud Solution Provider) sind keine Empfehlungen zu Identitäten verfügbar.
• Mit Empfehlungen zu Identitäten werden keine Konten identifiziert, die mit einem PIM-System (Privileged Identity Management) verwaltet werden. Wenn Sie ein PIM-Tool verwenden, werden unter der Steuerung Zugriff und Berechtigungen verwalten möglicherweise falsche Ergebnisse angezeigt.
• Identitätsempfehlungen unterstützen keine Microsoft Entra-Richtlinien für bedingten Zugriff mit eingeschlossenen Verzeichnisrollen anstelle von Benutzern und Gruppen.

Eine Liste der AMIs mit vorinstalliertem SSM-Agent finden Sie auf dieser Seite in der AWS-Dokumentation.

Bei anderen Betriebssystemen sollte der SSM-Agent anhand der folgenden Anweisungen manuell installiert werden:

• Installieren des SSM-Agents für eine Hybridumgebung (Windows)
• Installieren des SSM-Agents für eine Hybridumgebung (Linux)

Zum Ermitteln von AWS-Ressourcen sind die folgenden IAM-Berechtigungen erforderlich:

Ja. Informationen zum Erstellen, Bearbeiten oder Löschen von Defender für Cloud-Cloudconnectors mit einer REST-API finden Sie in den Details zur Connectors-API.

Defender for Cloud unterstützt und überprüft alle verfügbaren Regionen in der öffentlichen GCP-Cloud.

Wenn Sie Ihre Umgebung für BCDR-Szenarien vorbereiten, in denen in der Zielressource ein Ausfall oder ein anderer Notfall eintritt, liegt es in der Verantwortung der Organisation, Datenverluste durch Einrichten von Sicherungen zu verhindern gemäß den Richtlinien von Azure Event Hubs, Log Analytics-Arbeitsbereichen und Logic Apps.

Wir empfehlen Ihnen, für jede aktive Automatisierung eine identische (deaktivierte) Automatisierung zu erstellen und an einem anderen Ort zu speichern. Bei einem Ausfall können Sie diese Sicherungsautomatisierungen aktivieren und den normalen Betrieb aufrechterhalten.

Weitere Informationen zu Business Continuity & Disaster Recovery für Azure Logic Apps.

Für die Ermöglichung eines fortlaufenden Exports fallen keine Kosten an. Möglicherweise fallen Kosten für die Erfassung und Aufbewahrung von Daten in Ihrem Log Analytics-Arbeitsbereich an, abhängig von Ihrer Konfiguration.

Viele Warnungen werden nur bereitgestellt, wenn Sie Defender-Pläne für Ihre Ressourcen aktiviert haben. Eine gute Möglichkeit, eine Vorschau der in Ihren exportierten Daten erhaltenen Warnungen anzuzeigen, besteht darin, sich die Warnungen auf den Seiten von Defender for Cloud im Azure-Portal anzuschauen.

Weitere Informationen: Preise für Log Analytics-Arbeitsbereiche.

Informieren Sie sich über die Preise für Azure Event Hubs.

Allgemeine Informationen zu den Preisen von Defender for Cloud finden Sie in der Preisübersicht.

Nein. Der fortlaufende Export wurde für das Streaming von Ereignissen konzipiert:

• Warnungen, die erhalten wurden, bevor Sie den Export aktivierten, werden nicht exportiert.
• Empfehlungen werden immer dann gesendet, wenn sich der Konformitätszustand einer Ressource ändert. Wenn eine Ressource z. B. von „fehlerfrei“ in „fehlerhaft“ wechselt. Daher werden, wie bei Warnungen, keine Empfehlungen für Ressourcen exportiert, deren Zustand sich seit der Aktivierung des Exports nicht geändert hat.
• Sicherheitsbewertung pro Sicherheitskontrolle oder Abonnement wird gesendet, wenn sich die Bewertung einer Sicherheitskontrolle um 0,01 oder mehr ändert.
• Der Status der Einhaltung gesetzlicher Bestimmungen wird gesendet, wenn sich der Status der Compliance der Ressource ändert.

Unterschiedliche Empfehlungen weisen unterschiedliche Intervalle für die Konformitätsauswertung auf, die von einigen Minuten bis zu einigen Tagen reichen können. Daher schwankt die Zeit, bis Empfehlungen in Ihren Exporten angezeigt werden.

Um eine Beispielabfrage für eine Empfehlung zu erhalten, öffnen Sie die Empfehlung in Defender for Cloud, und wählen Sie Abfrage öffnen und dann Abfrage, welche Sicherheitsergebnisse zurückgibt aus.

Der fortlaufende Export kann hilfreich sein, um BCDR-Szenarien vorzubereiten, in denen für die Zielressource ein Ausfall oder eine andere Katastrophe aufgetreten ist. Es liegt jedoch in der Verantwortung der Organisation, Datenverluste zu verhindern, indem den Richtlinien von Azure Event Hubs-Instanz, Log Analytics-Arbeitsbereich und Logik-App entsprechende Sicherungen erstellt werden.

Weitere Informationen finden Sie unter Azure Event Hubs: Georedundante Notfallwiederherstellung.

Es wird nicht empfohlen, mehrere Pläne für ein einzelnes Abonnement gleichzeitig (über REST-API, ARM-Vorlagen, Skripts usw.) programmgesteuert zu aktualisieren. Bei Verwendung der API „Microsoft.Security/pricings“oder einer anderen programmgesteuerten Lösung sollten Sie eine Verzögerung von 10 bis 15 Sekunden zwischen jeder Anforderung einfügen.

Nächste Schritte

Erfahren Sie, welche Neuerungen es in Defender for Cloud gibt