Freigeben über

Überwachen von Zero Trust -Sicherheitsarchitekturen (TIC 3.0) mit Microsoft Sentinel

Zero Trust ist eine Sicherheitsstrategie zum Entwerfen und Implementieren der folgenden Sicherheitsprinzipien:

Explizit verifizieren Verwenden Sie den Zugriff mit den geringsten Rechten Gehe von einem Verstoß aus
Authentifizieren und autorisieren Sie immer basierend auf allen verfügbaren Datenpunkten. Beschränken Sie den Benutzerzugriff mit Just-In-Time und Just-Enough-Access (JIT/JEA), risikobasierten adaptiven Richtlinien und Datenschutz. Minimieren Sie Denkradius und Segmentzugriff. Überprüfen Sie die End-to-End-Verschlüsselung, und nutzen Sie Analysen, um einen Überblick zu erhalten, die Erkennung von Bedrohungen voranzutreiben und den Schutz zu verbessern.

In diesem Artikel wird beschrieben, wie Sie die Lösung Microsoft Sentinel Zero Trust (TIC 3.0) verwenden, mit der Governance- und Complianceteams Zero Trust Anforderungen gemäß der TRUSTED INTERNET CONNECTIONS 3.0-Initiative (TIC) überwachen und darauf reagieren können.

Microsoft Sentinel Lösungen sind Bündel von Inhalten, die für einen bestimmten Satz von Daten vorkonfiguriert sind. Die lösung Zero Trust (TIC 3.0) umfasst eine Arbeitsmappe, Analyseregeln und ein Playbook, die eine automatisierte Visualisierung Zero Trust Prinzipien bieten, die über das Trust Internet Connections-Framework hinweg durchgeführt werden und Organisationen dabei helfen, Konfigurationen im Laufe der Zeit zu überwachen.

Hinweis

Verschaffen Sie sich mit der initiative Zero Trust in Microsoft Exposure Management einen umfassenden Überblick über die Zero Trust status Ihrer organization. Weitere Informationen finden Sie unter Schnelle Modernisierung Ihres Sicherheitsstatus für Zero Trust | Microsoft Learn.

Die Zero Trust Lösung und das TIC 3.0-Framework

Zero Trust und TIC 3.0 sind nicht identisch, aber sie teilen viele gemeinsame Themen und liefern zusammen eine gemeinsame Geschichte. Die Microsoft Sentinel Lösung für Zero Trust (TIC 3.0) bietet detaillierte Crosswalks zwischen Microsoft Sentinel und dem Zero Trust-Modell mit dem TIC 3.0-Framework. Diese Crosswalks helfen Benutzern, die Überlappungen zwischen den beiden besser zu verstehen.

Die Microsoft Sentinel-Lösung für Zero Trust (TIC 3.0) bietet zwar Best Practices-Anleitungen, Microsoft garantiert jedoch keine Compliance. Alle Anforderungen, Validierungen und Kontrollen für vertrauenswürdige Internetverbindungen (Trusted Internet Connection, TIC) werden von der Cybersecurity & Infrastructure Security Agency geregelt.

Die Lösung Zero Trust (TIC 3.0) bietet Transparenz und Situationsbewusstsein für Kontrollanforderungen, die mit Microsoft-Technologien in überwiegend cloudbasierten Umgebungen bereitgestellt werden. Die Kundenerfahrung variiert je nach Benutzer, und einige Bereiche erfordern möglicherweise zusätzliche Konfigurationen und Abfrageänderungen für den Vorgang.

Empfehlungen implizieren nicht die Abdeckung der jeweiligen Kontrollen, da sie häufig eine von mehreren Vorgehensweisen für die Annäherung an Anforderungen sind, die für jeden Kunden einzigartig sind. Empfehlungen sollten als Ausgangspunkt für die Planung einer vollständigen oder teilweisen Abdeckung der jeweiligen Kontrollanforderungen betrachtet werden.

Die Microsoft Sentinel Lösung für Zero Trust (TIC 3.0) ist für jeden der folgenden Benutzer und Anwendungsfälle nützlich:

  • Sicherheitsgovernance-, Risiko- und Complianceexperten für die Bewertung und Berichterstellung des Compliancestatus
  • Ingenieure und Architekten, die Zero Trust- und TIC 3.0-ausgerichteten Workloads entwerfen müssen
  • Sicherheitsanalysten für die Erstellung von Warnungen und Automatisierungen
  • Managed Security Service Providers (MSSPs) für Beratungsdienste
  • Sicherheitsmanager, die Anforderungen überprüfen, Berichterstellung analysieren und Funktionen auswerten müssen

Voraussetzungen

Stellen Sie vor der Installation der lösung Zero Trust (TIC 3.0) sicher, dass die folgenden Voraussetzungen erfüllt sind:

Die lösung Zero Trust (TIC 3.0) wird auch durch Integrationen mit anderen Microsoft-Diensten verbessert, z. B.:

Installieren der lösung Zero Trust (TIC 3.0)

So stellen Sie die lösung Zero Trust (TIC 3.0) aus dem Azure-Portal bereit:

  1. Wählen Sie Microsoft Sentinel Inhaltshub aus, und suchen Sie die lösung Zero Trust (TIC 3.0).

  2. Wählen Sie unten rechts Details anzeigen und dann Erstellen aus. Wählen Sie das Abonnement, die Ressourcengruppe und den Arbeitsbereich aus, in dem Sie die Lösung installieren möchten, und überprüfen Sie dann den zugehörigen Sicherheitsinhalt, der bereitgestellt wird.

    Wenn Sie fertig sind, wählen Sie Überprüfen + erstellen aus, um die Lösung zu installieren.

Weitere Informationen finden Sie unter Bereitstellen von sofort einsatzbereiten Inhalten und Lösungen.

Beispielverwendungsszenario

In den folgenden Abschnitten wird gezeigt, wie ein Security Operations Analyst die mit der Zero Trust (TIC 3.0)-Lösung bereitgestellten Ressourcen verwenden kann, um Anforderungen zu überprüfen, Abfragen zu untersuchen, Warnungen zu konfigurieren und Automatisierung zu implementieren.

Verwenden Sie nach der Installation der lösung Zero Trust (TIC 3.0) die Arbeitsmappe, Analyseregeln und das Playbook, die in Ihrem Microsoft Sentinel Arbeitsbereich bereitgestellt wurden, um Zero Trust in Ihrem Netzwerk zu verwalten.

Visualisieren Zero Trust Daten

  1. Navigieren Sie zur Arbeitsmappe Microsoft Sentinel Arbeitsmappen>Zero Trust (TIC 3.0), und wählen Sie Gespeicherte Arbeitsmappe anzeigen aus.

    Wählen Sie auf der Arbeitsmappenseite Zero Trust (TIC 3.0) die TIC 3.0-Funktionen aus, die Sie anzeigen möchten. Wählen Sie für dieses Verfahren Die Angriffserkennung aus.

    Tipp

    Verwenden Sie den Umschalter Guide am oberen Rand der Seite, um Empfehlungen und Führungsbereiche ein- oder auszublenden. Stellen Sie sicher, dass die richtigen Details in den Optionen Abonnement, Arbeitsbereich und Zeitbereich ausgewählt sind, damit Sie die gewünschten Daten anzeigen können.

  2. Wählen Sie die Steuerelementkarten aus, die Sie anzeigen möchten. Wählen Sie für dieses Verfahren Adaptive Access Control aus, und scrollen Sie dann weiter, um die angezeigte Karte anzuzeigen.

    Screenshot der adaptiven Access Control Karte.

    Tipp

    Verwenden Sie die Umschaltfläche Führungslinien oben links, um Empfehlungen und Führungsbereiche anzuzeigen oder auszublenden. Diese können z. B. hilfreich sein, wenn Sie zum ersten Mal auf die Arbeitsmappe zugreifen, aber unnötig, sobald Sie die relevanten Konzepte verstanden haben.

  3. Untersuchen von Abfragen. Wählen Sie beispielsweise oben rechts im adaptiven Access Control Karte das Menü Optionen mit den drei Punkten und dann in der Ansicht Protokolle die Option Letzte Ausführungsabfrage öffnen aus.

    Die Abfrage wird auf der Seite Microsoft Sentinel Protokolle geöffnet:

    Screenshot der ausgewählten Abfrage auf der Seite

Navigieren Sie Microsoft Sentinel zum Bereich Analyse. Zeigen Sie sofort einsatzbereite Analyseregeln an, die mit der lösung Zero Trust (TIC 3.0) bereitgestellt werden, indem Sie nach TIC3.0 suchen.

Standardmäßig installiert die lösung Zero Trust (TIC 3.0) einen Satz von Analyseregeln, die so konfiguriert sind, dass Zero Trust (TIC3.0)-Status nach Steuerungsfamilie überwacht wird, und Sie können Schwellenwerte für die Warnung von Complianceteams über Statusänderungen anpassen.

Wenn z. B. der Resilienzstatus Ihrer Workload in einer Woche unter einen angegebenen Prozentsatz fällt, generiert Microsoft Sentinel eine Warnung, um die jeweilige Richtlinie status (bestanden/fehlgeschlagen), die identifizierten Ressourcen, den Zeitpunkt der letzten Bewertung zu beschreiben und deep links zu Microsoft Defender für Cloud für Korrekturaktionen bereitzustellen.

Aktualisieren Sie die Regeln nach Bedarf, oder konfigurieren Sie eine neue:

Screenshot des Analyseregel-Assistenten.

Weitere Informationen finden Sie unter Erstellen benutzerdefinierter Analyseregeln zum Erkennen von Bedrohungen.

Antworten mit SOAR

Navigieren Sie Microsoft Sentinel zur Registerkarte Automation>Active Playbooks, und suchen Sie das Playbook Notify-GovernanceComplianceTeam.

Verwenden Sie dieses Playbook, um CMMC-Warnungen automatisch zu überwachen und das Governancecomplianceteam per E-Mail und Microsoft Teams-Nachrichten mit relevanten Details zu benachrichtigen. Ändern Sie das Playbook nach Bedarf:

Screenshot des Logik-App-Designers mit einem Beispielplaybook

Weitere Informationen finden Sie unter Verwenden von Triggern und Aktionen in Microsoft Sentinel Playbooks.

Häufig gestellte Fragen

Werden benutzerdefinierte Ansichten und Berichte unterstützt?

Ja. Sie können Ihre Zero Trust-Arbeitsmappe (TIC 3.0) anpassen, um Daten nach Abonnement, Arbeitsbereich, Zeit, Familie oder Reifegrad anzuzeigen, und Sie können Ihre Arbeitsmappe exportieren und drucken.

Weitere Informationen finden Sie unter Verwenden von Azure Monitor-Arbeitsmappen zum Visualisieren und Überwachen Ihrer Daten.

Sind zusätzliche Produkte erforderlich?

Sowohl Microsoft Sentinel als auch Microsoft Defender für Cloud sind erforderlich.

Abgesehen von diesen Diensten basiert jedes Steuerelement Karte auf Daten aus mehreren Diensten, abhängig von den Datentypen und Visualisierungen, die im Karte angezeigt werden. Über 25 Microsoft-Dienste bieten Eine Anreicherung für die Zero Trust (TIC 3.0)-Lösung.

Was sollte ich mit Bereichen ohne Daten tun?

Panels ohne Daten bieten einen Ausgangspunkt für die Behandlung Zero Trust- und TIC 3.0-Kontrollanforderungen, einschließlich Empfehlungen zur Behandlung der jeweiligen Kontrollen.

Werden mehrere Abonnements, Clouds und Mandanten unterstützt?

Ja. Sie können Arbeitsmappenparameter, Azure Lighthouse und Azure Arc verwenden, um die Zero Trust -Lösung (TIC 3.0) für alle Ihre Abonnements, Clouds und Mandanten zu nutzen.

Weitere Informationen finden Sie unter Verwenden von Azure Monitor-Arbeitsmappen zum Visualisieren und Überwachen Ihrer Daten und Verwalten mehrerer Mandanten in Microsoft Sentinel als MSSP.

Wird die Partnerintegration unterstützt?

Ja. Sowohl Arbeitsmappen als auch Analyseregeln können für Integrationen in Partnerdienste angepasst werden.

Weitere Informationen finden Sie unter Verwenden von Azure Monitor-Arbeitsmappen zum Visualisieren und Überwachen Ihrer Daten und Details zu benutzerdefinierten Surface-Ereignissen in Warnungen.

Ist dies in Regierungsregionen verfügbar?

Ja. Die lösung Zero Trust (TIC 3.0) befindet sich in der öffentlichen Vorschau und kann in kommerziellen/government-Regionen bereitgestellt werden. Weitere Informationen finden Sie unter Verfügbarkeit von Cloudfeatures für kommerzielle Kunden und US-Behörden.

Welche Berechtigungen sind erforderlich, um diesen Inhalt zu verwenden?

Weitere Informationen finden Sie unter Berechtigungen in Microsoft Sentinel.

Nächste Schritte

Weitere Informationen finden Sie unter:

Sehen Sie sich unsere Videos an:

Lesen Sie unsere Blogs!

  • Last updated on