Freigeben über

Azure-Sicherheitsgrundwerte für Azure Operator Service Manager – AOSM

Diese Sicherheitsgrundlinie wendet Anleitungen aus der Microsoft Cloud Security Benchmark Version 1.0 auf Azure Operator Service Manager – AOSM an. Der Microsoft Cloud Security Benchmark enthält Empfehlungen dazu, wie Sie Ihre Cloudlösungen in Azure sichern können. Der Inhalt wird nach den Sicherheitskontrollen gruppiert, die durch den Microsoft Cloud Security Benchmark definiert sind, und den zugehörigen Anleitungen, die für Azure Operator Service Manager – AOSM gelten.

Sie können diese Sicherheitsbasislinie und ihre Empfehlungen mithilfe von Microsoft Defender für Cloud überwachen. Azure-Richtliniendefinitionen werden im Abschnitt "Einhaltung gesetzlicher Vorschriften" der Microsoft Defender für Cloud-Portalseite aufgeführt.

Wenn ein Feature über relevante Azure-Richtliniendefinitionen verfügt, werden sie in diesem Basisplan aufgeführt, um die Einhaltung der Microsoft Cloud Security Benchmark-Kontrollen und -Empfehlungen zu messen. Einige Empfehlungen erfordern möglicherweise einen kostenpflichtigen Microsoft Defender-Plan, um bestimmte Sicherheitsszenarien zu aktivieren.

Hinweis

Features die nicht für Azure Operator Service Manager (AOSM) gelten, wurden ausgeschlossen.

Sicherheitsprofil

Das Sicherheitsprofil fasst Verhaltensweisen mit hohem Einfluss von Azure Operator Service Manager – AOSM zusammen, was zu erhöhten Sicherheitsüberlegungen führen kann.

Dienstverhaltensattribut Wert
Produktkategorie DevOps, Hybrid/Multi-Cloud, Netzwerk
Kunde kann auf HOST/Betriebssystem zugreifen Kein Zugriff
Der Dienst kann im virtuellen Netzwerk des Kunden bereitgestellt werden. Richtig
Ruhende Kundeninhalte werden gespeichert. Falsch

Netzwerksicherheit

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Netzwerksicherheit.

NS-1: Einrichten von Netzwerksegmentierungsgrenzen

Funktionen

Integration virtueller Netzwerke

Beschreibung: Der Dienst unterstützt die Bereitstellung im privaten virtuellen Netzwerk (VNet) des Kunden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Dies ändert sich mit der Implementierung von privatem Link. Anschließend aktualisieren wir das Basisdokument.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

NS-2: Sichern von Clouddiensten mit Netzwerksteuerelementen

Funktionen

Beschreibung: Diensteigene IP-Filterfunktion zum Filtern von Netzwerkdatenverkehr (nicht zu verwechseln mit NSG oder Azure Firewall). Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Private Link wird derzeit nicht unterstützt. Dieses Feature kann in der zukünftigen Version unterstützt werden.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Deaktivieren des Zugriffs aus öffentlichen Netzwerken

Beschreibung: Der Dienst unterstützt das Deaktivieren des öffentlichen Netzwerkzugriffs entweder mithilfe der IP-ACL-Filterregel auf Dienstebene (nicht NSG oder Azure Firewall) oder mithilfe eines Umschalters "Öffentlichen Netzwerkzugriff deaktivieren". Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Gleiches wie bei DLP – sobald wir unsere Arbeit zum Aktivieren von Private Link abgeschlossen haben, können wir diese Funktion bestätigen.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Identitätsverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Identitätsverwaltung.

IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten

Funktionen

Verwaltete Identitäten

Beschreibung: Datenebenenaktionen unterstützen die Authentifizierung mithilfe von verwalteten Identitäten. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Verwaltete Identität ist nicht erforderlich, um Azure Operator Service Manager zu verwenden. Der Kunde muss jedoch möglicherweise eine vom Benutzer zugewiesene verwaltete Identität verwenden, und die erforderlichen Berechtigungen hängen vom Netzwerkdienstentwurf (Network Service Design, NSD) ab.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Privilegierter Zugriff

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Privilegierter Zugriff.

PA-7: Befolgen Sie das Prinzip der minimalen Verwaltung (Prinzip des geringsten Privilegs)

Funktionen

Azure RBAC für die Datenebene

Beschreibung: Azure Role-Based Access Control (Azure RBAC) kann zum verwalteten Zugriff auf die Datenebenenaktionen des Diensts verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Falsch Kunde

Featurehinweise: Der Kunde kann benutzerdefinierte Rollen erstellen, die erforderliche Berechtigungen für den Zugriff auf Azure Operator Service Manager bereitstellen.

Konfigurationsleitfaden: Es gibt keine aktuellen Microsoft-Richtlinien für diese Featurekonfiguration. Überprüfen Sie diese Sicherheitsfunktion, und ermitteln Sie, ob Ihre Organisation dieses Sicherheitsfeature konfigurieren möchte.

Referenz: Erstellen einer benutzerdefinierten Rolle

PA-8: Bestimmen des Zugriffsprozesses für die Unterstützung von Cloudanbietern

Funktionen

Kunden-Lockbox

Beschreibung: Kunden-Lockbox kann für den Microsoft-Supportzugriff verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Feature-Anmerkungen: Kunden-Lockbox wird zurzeit nicht unterstützt. Dieses Feature kann in zukünftigen Versionen unterstützt werden.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Datenschutz

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Datenschutz.

DP-1: Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten

Funktionen

Ermittlung und Klassifizierung vertraulicher Daten

Beschreibung: Tools (z. B. Azure Purview oder Azure Information Protection) können für die Datenermittlung und -klassifizierung im Dienst verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-2: Überwachen von Anomalien und Bedrohungen für sensible Daten

Funktionen

Verhinderung von Datenlecks/Verlusten

Beschreibung: Der Dienst unterstützt die DLP-Lösung zur Überwachung von Bewegungen sensibler Daten (in Kundeninhalten). Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Wir arbeiten daran, Private Link für Kunden auf unserem Dienst zu aktivieren. Das Basisplandokument muss aktualisiert werden, sobald diese Arbeit abgeschlossen ist.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-3: Verschlüsseln Sie vertrauliche Daten während der Übertragung

Funktionen

Daten in der Transitverschlüsselung

Beschreibung: Der Dienst unterstützt Verschlüsselung während der Übertragung auf der Datenebene. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten

Funktionen

Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln wird unterstützt, alle ruhenden Kundeninhalte werden mit diesen von Microsoft verwalteten Schlüsseln verschlüsselt. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

DP-5: Bei Bedarf die Option eines kundenseitig verwalteten Schlüssels für die Verschlüsselung ruhender Daten verwenden.

Funktionen

Verschlüsselung ruhender Daten mithilfe von CMK

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von vom Kunden verwalteten Schlüsseln wird für vom Dienst gespeicherte Kundeninhalte unterstützt. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Das Verschlüsseln ruhender Daten mit CMK wird zurzeit nicht unterstützt. Dieses Feature könnte für die Verschlüsselung von Binärdateien innerhalb des Kundenmandanten in einer zukünftigen Version unterstützt werden.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-6: Verwenden eines Sicheren Schlüsselverwaltungsprozesses

Funktionen

Schlüsselverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenschlüssel, geheimen Schlüssel oder Zertifikate. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Featurehinweise: Azure Key Vault ist nicht erforderlich, um den Azure Operator Manager Service zu verwenden. Kunden können jedoch Azure Key Vault verwenden, um die Schlüssel für Workloads, die über den Azure Operator Manager Service bereitgestellt werden, sicher zu verwalten.

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Vermögensverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Asset Management.

AM-2: Nur genehmigte Dienste verwenden

Funktionen

Azure-Richtlinienunterstützung

Beschreibung: Dienstkonfigurationen können über Azure-Richtlinie überwacht und erzwungen werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Featurehinweise: Das Feature wird unterstützt, es sind jedoch derzeit keine Test- oder Kundendokumentation verfügbar.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Protokollierung und Bedrohungserkennung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Protokollierung und Bedrohungserkennung.

LT-1: Aktivieren von Funktionen für die Bedrohungserkennung

Funktionen

Microsoft Defender for Service /Produktangebot

Beschreibung: Der Dienst verfügt über eine angebotsspezifische Microsoft Defender-Lösung, um Sicherheitsprobleme zu überwachen und zu benachrichtigen. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

LT-4: Aktivieren der Protokollierung für sicherheitsrelevante Untersuchungen

Funktionen

Azure-Ressourcenprotokolle

Beschreibung: Der Dienst erzeugt Ressourcenprotokolle, die erweiterte dienstspezifische Metriken und Protokollierung bereitstellen können. Der Kunde kann diese Ressourcenprotokolle konfigurieren und an eine eigene Datensenke schicken, z. B. ein Speicherkonto oder einen Log Analytics-Arbeitsbereich. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Nächste Schritte