Freigeben über

Azure-Sicherheitsgrundwerte für Microsoft Security Copilot

Diese Sicherheitsgrundlinie wendet Anleitungen aus der Microsoft Cloud Security Benchmark Version 1.0 auf Microsoft Security Copilot an. Der Microsoft Cloud Security Benchmark enthält Empfehlungen dazu, wie Sie Ihre Cloudlösungen in Azure sichern können. Der Inhalt wird nach den Sicherheitskontrollen gruppiert, die durch den Microsoft Cloud Security Benchmark und die zugehörigen Anleitungen für Microsoft Security Copilot definiert sind.

Sie können diese Sicherheitsbasislinie und ihre Empfehlungen mithilfe von Microsoft Defender für Cloud überwachen. Azure-Richtliniendefinitionen werden im Abschnitt "Einhaltung gesetzlicher Vorschriften" der Microsoft Defender für Cloud-Portalseite aufgeführt.

Wenn ein Feature über relevante Azure-Richtliniendefinitionen verfügt, werden sie in diesem Basisplan aufgeführt, um die Einhaltung der Microsoft Cloud Security Benchmark-Kontrollen und -Empfehlungen zu messen. Einige Empfehlungen erfordern möglicherweise einen kostenpflichtigen Microsoft Defender-Plan, um bestimmte Sicherheitsszenarien zu aktivieren.

Hinweis

Features die nicht auf Microsoft Security Copilot zutreffen, wurden ausgeschlossen.

Sicherheitsprofil

Das Sicherheitsprofil fasst Verhaltensweisen mit hohem Einfluss von Microsoft Security Copilot zusammen, die zu erhöhten Sicherheitsüberlegungen führen können.

Dienstverhaltensattribut Wert
Produktkategorie AI+ML, Sicherheit
Kunde kann auf HOST/Betriebssystem zugreifen Kein Zugriff
Der Dienst kann im virtuellen Netzwerk des Kunden bereitgestellt werden. Falsch
Ruhende Kundeninhalte werden gespeichert. Richtig

Netzwerksicherheit

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Netzwerksicherheit.

NS-1: Einrichten von Netzwerksegmentierungsgrenzen

Funktionen

Integration virtueller Netzwerke

Beschreibung: Der Dienst unterstützt die Bereitstellung im privaten virtuellen Netzwerk (VNet) des Kunden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Netzwerksicherheitsgruppenunterstützung

Beschreibung: Der Datenverkehr des Dienstnetzwerks berücksichtigt die Regelzuweisungen der Netzwerksicherheitsgruppen in seinen Subnetzen. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

NS-2: Sichern von Clouddiensten mit Netzwerksteuerelementen

Funktionen

Beschreibung: Diensteigene IP-Filterfunktion zum Filtern von Netzwerkdatenverkehr (nicht zu verwechseln mit NSG oder Azure Firewall). Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Deaktivieren des Zugriffs aus öffentlichen Netzwerken

Beschreibung: Der Dienst unterstützt das Deaktivieren des öffentlichen Netzwerkzugriffs entweder mithilfe der IP-ACL-Filterregel auf Dienstebene (nicht NSG oder Azure Firewall) oder mithilfe eines Umschalters "Öffentlichen Netzwerkzugriff deaktivieren". Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Identitätsverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Identitätsverwaltung.

IM-1: Verwenden eines zentralen Identitäts- und Authentifizierungssystems

Funktionen

Azure AD-Authentifizierung erforderlich für den Datenebenenzugriff

Beschreibung: Der Dienst unterstützt die Verwendung der Azure AD-Authentifizierung für den Zugriff auf Datenebenen. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Featurehinweise: Um auf das Security Copilot-Portal zuzugreifen, Einstellungen zu konfigurieren oder Aufgaben auszuführen, müssen entsprechende Berechtigungen zugewiesen werden. Microsoft Entra ID P1 oder P2 (früher als Azure Active Directory Premium P1 oder P2 bezeichnet) Lizenz für Rollenzuweisungen für Benutzer.

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

Referenz: Erste Schritte mit Microsoft Security Copilot – Onboarding in Microsoft Security Copilot

Lokale Authentifizierungsmethoden für den Datenebenenzugriff

Beschreibung: Lokale Authentifizierungsmethoden, die für den Datenebenenzugriff unterstützt werden, z. B. einen lokalen Benutzernamen und ein Kennwort. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten

Funktionen

Verwaltete Identitäten

Beschreibung: Datenebenenaktionen unterstützen die Authentifizierung mithilfe von verwalteten Identitäten. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Dienstprinzipale

Beschreibung: Datenebene unterstützt die Authentifizierung mithilfe von Dienstprinzipalen. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Falsch Kunde

Konfigurationsleitfaden: Dienstprinzipale sind nicht erforderlich, um Security Copilot zu verwenden. Kunden können Dienstprinzipale verwenden, um automatisch auf Security Copilot-API-Endpunkte zuzugreifen.

IM-7: Einschränken des Zugriffs auf Ressourcen basierend auf Bedingungen

Funktionen

Bedingter Zugriff für das Dataplane

Beschreibung: Datenebenenzugriff kann mithilfe von Azure AD-Richtlinien für bedingten Zugriff gesteuert werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

IM-8: Einschränken der Gefährdung von Anmeldeinformationen und Geheimnissen

Funktionen

Dienstanmeldedaten und Geheimnisse unterstützen Integration und Speicherung in Azure Key Vault

Beschreibung: Datenebene unterstützt die native Verwendung von Azure Key Vault für Anmeldeinformationen und geheimen Speicher. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Privilegierter Zugriff

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Privilegierter Zugriff.

PA-1: Benutzer mit hohen Privilegien oder Administratorrechte trennen und einschränken.

Funktionen

Lokale Administratorkonten

Beschreibung: Der Dienst hat das Konzept eines lokalen Verwaltungskontos. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

PA-7: Befolgen Sie das Prinzip der minimalen Verwaltung (Prinzip des geringsten Privilegs)

Funktionen

Azure RBAC für die Datenebene

Beschreibung: Azure Role-Based Access Control (Azure RBAC) kann zum verwalteten Zugriff auf die Datenebenenaktionen des Diensts verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Falsch Kunde

Featurehinweise: Verwenden Sie die rollenbasierte Azure-Zugriffssteuerung (Azure RBAC), um den Azure-Ressourcenzugriff über integrierte Rollenzuweisungen zu verwalten. Benutzern muss die Rolle eines globalen Administrators, eines globalen Lesers, eines Sicherheitsadministrators, eines Sicherheitsoperators oder eines Sicherheitslesers zugewiesen werden, um auf Security Copilot zuzugreifen.

Konfigurationsleitfaden: Verwenden der rollenbasierten Azure-Zugriffssteuerung (Azure RBAC) zum Verwalten des Azure-Ressourcenzugriffs über integrierte Rollenzuweisungen. Benutzern muss die Rolle eines globalen Administrators, eines globalen Lesers, eines Sicherheitsadministrators, eines Sicherheitsoperators oder eines Sicherheitslesers zugewiesen werden, um auf Security Copilot zuzugreifen.

Referenz: Zuweisung von Rollen an Benutzer

PA-8: Bestimmen des Zugriffsprozesses für die Unterstützung von Cloudanbietern

Funktionen

Kunden-Lockbox

Beschreibung: Kunden-Lockbox kann für den Microsoft-Supportzugriff verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Datenschutz

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Datenschutz.

DP-1: Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten

Funktionen

Ermittlung und Klassifizierung vertraulicher Daten

Beschreibung: Tools (z. B. Azure Purview oder Azure Information Protection) können für die Datenermittlung und -klassifizierung im Dienst verwendet werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-2: Überwachen von Anomalien und Bedrohungen für sensible Daten

Funktionen

Verhinderung von Datenlecks/Verlusten

Beschreibung: Der Dienst unterstützt die DLP-Lösung zur Überwachung von Bewegungen sensibler Daten (in Kundeninhalten). Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-3: Verschlüsseln Sie vertrauliche Daten während der Übertragung

Funktionen

Daten in der Transitverschlüsselung

Beschreibung: Der Dienst unterstützt Verschlüsselung während der Übertragung auf der Datenebene. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten

Funktionen

Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln wird unterstützt, alle ruhenden Kundeninhalte werden mit diesen von Microsoft verwalteten Schlüsseln verschlüsselt. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Richtig Richtig Microsoft

Featurehinweise: Plattformverwaltete Schlüssel (PMKs) sind Verschlüsselungsschlüssel, die vollständig von Azure generiert, gespeichert und verwaltet werden. Es erfolgt keine Interaktion der Kunden mit PMKs. Daten, die von Security Copilot gespeichert werden, werden mit PMKs verschlüsselt, um ruhende Daten zu schützen.

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies bei einer Standardbereitstellung aktiviert ist.

DP-5: Bei Bedarf die Option eines kundenseitig verwalteten Schlüssels für die Verschlüsselung ruhender Daten verwenden.

Funktionen

Verschlüsselung ruhender Daten mithilfe von CMK

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von vom Kunden verwalteten Schlüsseln wird für vom Dienst gespeicherte Kundeninhalte unterstützt. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-6: Verwenden eines Sicheren Schlüsselverwaltungsprozesses

Funktionen

Schlüsselverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenschlüssel, geheimen Schlüssel oder Zertifikate. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

DP-7: Verwenden eines sicheren Zertifikatverwaltungsprozesses

Funktionen

Zertifikatverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenzertifikate. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Vermögensverwaltung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Asset Management.

AM-2: Nur genehmigte Dienste verwenden

Funktionen

Azure-Richtlinienunterstützung

Beschreibung: Dienstkonfigurationen können über Azure-Richtlinie überwacht und erzwungen werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Protokollierung und Bedrohungserkennung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Protokollierung und Bedrohungserkennung.

LT-1: Aktivieren von Funktionen für die Bedrohungserkennung

Funktionen

Microsoft Defender for Service /Produktangebot

Beschreibung: Der Dienst verfügt über eine angebotsspezifische Microsoft Defender-Lösung, um Sicherheitsprobleme zu überwachen und zu benachrichtigen. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

LT-4: Aktivieren der Protokollierung für sicherheitsrelevante Untersuchungen

Funktionen

Azure-Ressourcenprotokolle

Beschreibung: Der Dienst erzeugt Ressourcenprotokolle, die erweiterte dienstspezifische Metriken und Protokollierung bereitstellen können. Der Kunde kann diese Ressourcenprotokolle konfigurieren und an eine eigene Datensenke schicken, z. B. ein Speicherkonto oder einen Log Analytics-Arbeitsbereich. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Sicherung und Wiederherstellung

Weitere Informationen finden Sie im Microsoft Cloud Security Benchmark: Sicherung und Wiederherstellung.

BR-1: Sicherstellen regelmäßiger automatisierter Sicherungen

Funktionen

Azure Datensicherung

Beschreibung: Der Dienst kann vom Azure Backup-Dienst gesichert werden. Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Diensteigene Sicherungsfunktion

Beschreibung: Der Dienst unterstützt seine eigene systemeigene Sicherungsfunktion (wenn nicht Azure Backup verwendet wird). Erfahren Sie mehr.

Unterstützt Standardmäßig aktiviert Konfigurationsverantwortung
Falsch Nicht zutreffend Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Nächste Schritte