Übergang von gruppiert zu einzelnen Empfehlungen in Defender for Cloud

Overview

Microsoft Defender for Cloud hat den Übergang von gruppierten Empfehlungen, auch als Unterbewertungen bekannt, zu individuellen Empfehlungen abgeschlossen.

Einzelne Empfehlungen bieten einen detaillierteren Überblick über die Sicherheitsergebnisse. Anstatt mehrere Ergebnisse unter einer gruppierten Empfehlung zusammenzufassen, wird jedes Ergebnis als individuelle Empfehlung dargestellt, die einzeln untersucht, priorisiert und abgeleitet werden kann.

Gruppierte Empfehlungen wurden am 31. Juli 2026 als veraltet eingestuft. Kunden sollten individuelle Empfehlungen als Hauptmodell für Untersuchungen und Beseitigungen nutzen.

Dieser Artikel erklärt die operativen Auswirkungen des Übergangs und wie bestehende Arbeitsabläufe, Abfragen, Governance-Regeln, Ausnahmen und kontinuierliche Exportkonfigurationen aktualisiert werden können.

Wenn Sie bestehende Konfigurationen oder Abfragen aktualisieren müssen, verwenden Sie die Empfehlungs-Übergangsreferenz am Ende dieses Artikels. Sie ordnet jede veraltete gruppierte Empfehlung ihrer Empfehlungs-ID und der aktuellen Empfehlungskategorie oder Ersatzempfehlung zu.

Gruppierte und einzelne Empfehlungen

In der folgenden Tabelle sind die Verhaltens- und betriebstechnischen Unterschiede zwischen gruppierten und einzelnen Empfehlungen zusammengefasst.

Beispiele für Modellierungsänderungen:

• VM-Sicherheitsrisiken → Empfehlung pro Softwareupdate.
• Geheimnisse → Empfehlung pro Schlüssel-/Geheimnisart.
• SQL VA-Regeln → Jede Regel wird zu einer unabhängigen Empfehlung.

Annehmen einzelner Empfehlungen

Best Practice: Verwenden Sie individuelle Empfehlungen als Ihr Hauptmodell für Untersuchungen und Sanierungen.

Einzelne Empfehlungen sind das aktuelle Haltungsmodell in Defender for Cloud. Sie bieten klare Vorteile:

• Granulare und genaue Priorisierung – Jeder Befund wird einzeln bewertet und hilft Ihnen dabei, sich auf das zu konzentrieren, was das Risiko am schnellsten reduziert.

• Verbesserte Klarheit und Steuerung – Eigentumsrechte, Ausnahmen und Workflows können auf der jeweils richtigen Ebene (pro Erkenntnis) angewendet werden.

• Konsistenz in Defender – Ein einzelnes, einheitliches Modell in Zukunft.

• Zukunftssicher – Das ist das Modell, das sich weiter entwickelt und vollständig unterstützt wird.

Was hat sich geändert?

• Jede Erkenntnis erscheint als eigenständige Empfehlung.
• Das Empfehlungsaufkommen kann höher sein, da die Ergebnisse einzeln dargestellt werden.
• Die Priorisierung erfolgt auf individueller Findungsebene.

Erste Schritte

• Beginnen Sie mit der Überprüfung und Sichtung von einzelnen Empfehlungen für die tägliche Sicherheitsarbeit
• Verwenden Sie einzelne Empfehlungen, um Untersuchungen, Korrekturen, Besitz und Ausnahmen zu fördern.
• Erwarten Sie eine detailliertere und umsetzbare Warteschlange im Vergleich zu gruppierten Empfehlungen.

Übergangsbeispiel: Sicherheitsrisikoverwaltung

Das Sicherheitsrisikomanagement ist einer der am häufigsten verwendeten Bereiche, in denen der Übergang direkte operative Auswirkungen hat. Für viele Sicherheits- und Complianceteams ist das Abfragen und Nachverfolgen von Computerrisiken ein zentraler täglicher Workflow. Das folgende Beispiel zeigt, was sich ändert und wie die Anpassung erfolgt.

Vorher (gruppiertes Empfehlungsmodell):

Die Empfehlung Maschinen sollten festgestellte Sicherheitslücken beheben fasste alle Ergebnisse zu Sicherheitslücken auf Ihren Maschinen zu einem Eintrag pro Maschine zusammen. Sie haben dies mithilfe von Unterbewertungen in Azure Resource Graph abgefragt, indem Sie nach Empfehlungs-ID und Ressourcentyp filtern.

Nach (Modell für individuelle Empfehlungen):

Jede einzelne Empfehlung enthält eine Liste mit Sicherheitsrisikoergebnissen. Statt eines aggregierten Eintrags pro Maschine sieht man individuelle Ergebnisse pro verwundbarem Softwarepaket, die sich über Azure-VMs, AKS-Knoten, EC2-Instanzen, GCP-Instanzen und Container innerhalb der Empfehlungskategorien SoftwareUpdate und ServiceUpgrade erstrecken.

Aktualisieren Ihrer Azure Resource Graph-Abfragen

Alte Abfrage (gruppierte Empfehlungen):

securityresources
| where type =~ "microsoft.security/assessments/subassessments"
| where id contains "1195afff-c881-495e-9bc5-1486211ae03f"
| where properties.resourceDetails.id contains "microsoft.compute/virtualmachines"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.status.severity)
| extend SoftwareVersion = tostring(properties.additionalData.softwareVersion)
| extend RecommendedVersion = tostring(properties.additionalData.recommendedVersion)
| mv-expand CVE = properties.additionalData.cve
| extend CVE_Title = tostring(CVE["title"])
| project DisplayName, Severity, SoftwareVersion, RecommendedVersion, CVE_Title

Neue Abfrage (individuelle Empfehlungen):

securityresources
| where type == "microsoft.security/assessments"
| where properties.resourceDetails.ResourceType =~ "microsoft.compute/virtualmachines"
| where properties.metadata.recommendationCategory == "SoftwareUpdate"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.metadata.severity)
| extend DetectedVersions = tostring(properties.additionalData.DetectedSoftwareVersions)
| extend FixedVersion = tostring(properties.additionalData.FixedVersion)
| extend CvesDetails = parse_json(tostring(properties.additionalData.CvesDetails))
| mv-expand CveDetail = CvesDetails
| extend CveId = tostring(CveDetail.CveId)
| project DisplayName, Severity, DetectedVersions, FixedVersion, CveId

securityresources
| where type =~ "microsoft.security/cvedetails"

Schlüsselfeldänderungen zwischen den beiden Schemas:

Untersuchen und Priorisieren im großen Maßstab

Individuelle Empfehlungen führen zu einer erhöhten Granularität. Um Sich auf die wichtigsten Probleme zu konzentrieren und die erhöhte Granularität einzelner Empfehlungen zu behandeln, bietet Defender für Cloud mehrere Tools und Ansichten, die Ihnen bei der effektiven Untersuchung helfen sollen.

Kategorie-Registerkarten

• Starten Sie Untersuchungen in der Sicherheitskategorie, die für den Verantwortungsbereich oder das Risikofeld Ihres Teams am relevantesten ist.
• Verwenden von Kategorien zum Reduzieren von Rauschen und Fokusaufwand

Zu den verfügbaren Kategorien gehören:

• Alle – Ansicht „Komplette Haltungsansicht“
• Fehlkonfigurationen – konfigurationsbasierte Risiken
• Sicherheitsrisiken – Sicherheitsrisiken für Software und Plattform
• Geheimnisse – Offengelegte Schlüssel und Secrets

Priorisieren von Problemen mit hohen Auswirkungen

Bewährte Methode: Machen Sie kritische und hohe Risikostufen für Ihre Standardbetriebsansicht.

• Filtern von Empfehlungen nach Risikostufe
• Beheben von Problemen mit hohen Auswirkungen zuerst, um das Risiko schnell zu reduzieren

Effektives Verwenden von Aggregationsansichten

Aggregierte Ansichten helfen Ihnen, die Behebungsmaßnahmen an Ihre Arbeitsabläufe anzupassen.

• Nach Titel anzeigen
  • Anzeigen aller Ressourcen für eine einzelne Empfehlung
  • Geeignet für Massenbehebung über mehrere Ressourcen hinweg
• Nach Ressource anzeigen
  • Zeigt alle Empfehlungen für ein einzelnes Objekt an.
  • Geeignet für Untersuchung auf Asset-Ebene oder zur Isolation hochriskanter Maschinen

Wählen Sie die Aggregation aus, die dem Vorgang entspricht:

• Weit verbreitete Problembehebung: Nach Titel anzeigen
• Ressourcenuntersuchung: Nach Ressource anzeigen

So verwalten Sie die neuen individuellen Empfehlungen

Mit Abschluss des Übergangs zu individuellen Empfehlungen unterstützt Microsoft Defender for Cloud weiterhin Governance-Regeln, kontinuierlichen Export und Ausnahmen. Die Hauptänderung besteht darin, wie diese Aktionen eingegrenzt werden.

Einzelne Empfehlungen werden pro Softwareupdate, Geheimschlüssel oder Problemtyp erstellt. Da sie gemäß dem aktuellen Status Ihrer Ressourcen generiert werden, werden Aktionen nicht mehr auf eine einzelne statische Empfehlung angewendet. Stattdessen werden Verwaltungsaktionen jetzt auf der Ebene der Empfehlungskategorie angewendet.

Governanceregeln, fortlaufender Export und Ausnahmen funktionieren weiterhin wie heute, aber anstatt auf einen gruppierten Empfehlungsschlüssel zu abzielen, richten Sie jetzt eine Empfehlungskategorie ein. Jede Kategorie enthält automatisch alle aktuellen und zukünftigen individuellen Empfehlungen dieses Typs.

Die aktualisierte Verwaltungserfahrung steht in den Umgebungseinstellungen unter Governance-Regeln und Ausnahmeregeln zur Verfügung, wo Sie Besitz, Automatisierung oder Ausnahmen einheitlich auf eine ganze Kategorie einzelner Empfehlungen anwenden können.

Klassisches Secure Score-Verhalten nach dem Übergang

Nach dem Übergang von gruppierten Empfehlungen zu einzelnen Empfehlungen können einige klassische Secure Score-Kontrollen im Azure-Portal durch Ergebnisse beeinflusst werden, die nun durch das Modell der individuellen Empfehlungen dargestellt werden.

In manchen Fällen kann eine Ressource in einer sicheren Punktkontrolle als ungesund erscheinen, obwohl die vorherige gruppierte Empfehlung unter dieser Kontrolle nicht mehr sichtbar ist.

Wenn dies geschieht, sind den entsprechenden Ressourcen Sicherheitsbefunde zugeordnet, die zum Sicherheitsstatussignal für diesen Bereich beitragen. Um die zugrunde liegenden Ergebnisse zu untersuchen, wechseln Sie zur Risikoansicht, die empfohlene Ansicht zur Überprüfung und Priorisierung der Ergebnisse ist.

Risk View liefert die aktuelle, detaillierte Empfehlungserfahrung und hilft Ihnen, die spezifischen Erkenntnisse zu identifizieren, die überprüft oder behoben werden sollten.

Dieses Verhalten wird im Rahmen des Übergangs zu individuellen Empfehlungen erwartet. Der klassische Secure Score im Azure-Portal wurde so gestaltet, dass er während dieses Übergangs funktional stabil bleibt, während Kunden zum Modell der individuellen Empfehlungen zur Untersuchung und Behebung umsteigen.

Sicherheitsrisiken beheben

Zugriffsverwaltung aktivieren

Die folgenden Empfehlungen wurden durch einzelne neue Empfehlungen ersetzt. Nutzen Sie den neuen Bewertungsschlüssel für zukünftige Governance-, Ausnahme- und Exportkonfigurationen.

Implementierung von Best Practices für Sicherheitskonfigurationen

Systemupdates anwenden

Wenn eine dieser Secure Score-Kontrollen ungesunde Ressourcen zeigt, die zugrunde liegende gruppierte Empfehlung jedoch nicht sichtbar ist, überprüfen Sie die relevanten Ergebnisse in der Risikoansicht. Die Ergebnisse werden durch das aktuelle Modell der individuellen Empfehlungen dargestellt und nicht durch die veraltete Erfahrung mit gruppierten Empfehlungen.

Was Sie jetzt tun sollten

• Verwenden Sie individuelle Empfehlungen als Hauptmodell für Untersuchung und Abhilfe.
• Nutzen Sie die Risikoansicht, um Befunde im Zusammenhang mit ungesunden Ressourcen zu identifizieren und zu priorisieren.
• Aktualisieren Sie Azure Resource Graph-Abfragen, Governance-Regeln, kontinuierliche Exportkonfigurationen und Ausnahme-Workflows, die auf gruppierten Empfehlungen oder Unterbewertungen basieren.
• Verwenden Sie Empfehlungskategorien wie SoftwareUpdate, SystemUpdate, , HostMisconfigurationsund ExposedSecrets, wo zutreffend.
• Man kann erwarten, dass das Empfehlungsvolumen in einigen Bereichen steigt, da einzelne Ergebnisse mehr umsetzbare Details liefern. Dieser Anstieg bedeutet nicht zwangsläufig, dass das Risiko gestiegen ist.
• Verwenden Sie die Empfehlungsübergangsreferenz, um die aktuelle Empfehlungskategorie oder Ersatzempfehlung zu identifizieren.
• Schließen Sie Ihre Migration von deaktivierenden Regeln zu Ausnahmen ab.

Empfehlungsübergangsreferenz

Verwenden Sie diese Referenz, um jede veraltete gruppierte Empfehlung ihrer Empfehlungs-ID und der aktuellen Empfehlungskategorie oder Ersatzempfehlung zuzuordnen. Empfehlungen sind nach Produkt organisiert. Dies ist Ihre Referenz für:

• Aktualisierung von Governanceregeln, Ausnahmeregeln und fortlaufendem Export – diese zielen nun auf eine Empfehlungskategorie anstelle eines bestimmten Empfehlungsschlüssels ab. Suchen Sie die Kategorie für jede Empfehlung, die Sie derzeit verwalten, und aktualisieren Sie dann Ihre Konfigurationen so, dass diese Kategorie verwendet wird.
• Abfragen migrieren — ersetzen Sie gruppierte Empfehlungs-IDs durch den Ressourcentyp microsoft.security/assessments und filtern Sie nach properties.metadata.recommendationCategory. Die Spalte "Empfehlungs-ID" hilft Ihnen zu überprüfen, ob Sie auf die richtigen Empfehlungen abzielen.

Jede gruppierte Empfehlung wechselte zu einem von zwei Endzuständen:

• Ersetzt durch einzelne Empfehlungen – Die gruppierte Empfehlung wird durch einzelne Empfehlungen ersetzt, die dynamisch pro Suche generiert werden. Aktualisieren Sie Governanceregeln, Ausnahmen und kontinuierlichen Export, um die Empfehlungskategorie anstelle der Empfehlungs-ID als Ziel zu verwenden.
• Ersetzt durch eine einzelne neue Empfehlung – Die gruppierte Empfehlung wird durch eine bestimmte neue individuelle Empfehlung durch eine feste Empfehlungs-ID ersetzt. Die Empfehlungskategorie wird als Unbekannt angezeigt. Aktualisieren Sie Ihre Konfigurationen, um die neue Empfehlungs-ID direkt zu verwenden – verwenden Sie nicht den Kategoriefilter für diese Empfehlungen.

Microsoft Defender für Server

Die folgenden gruppierten Empfehlungen wurden unter Microsoft Defender für Server übertragen.

Überprüfen von Ergebnissen: Beheben von Computerrisiken

Ersetzt durch einzelne Empfehlungen – Aktualisieren von Governanceregeln, Ausnahmen und fortlaufender Export, um die Empfehlungskategorie zu verwenden:

Ersetzt durch einzelne Empfehlungen – die folgenden gruppierten Empfehlungen sind veraltet und verfügen nicht über einen einzigen direkten Ersatz. Sie werden durch neue individuelle Empfehlungen ersetzt, die jetzt in Defender for Cloud verfügbar sind.

Neue individuelle Empfehlungen

Microsoft Defender für Datenbanken

Die folgenden gruppierten SQL-Empfehlungen wurden unter Microsoft Defender for Databases übertragen. Nach dem Übergang wird jede SQL-Sicherheitsrisikobewertungsregel als einzelne Empfehlung angezeigt, die in der Datenbankressource anstelle der Serverressource gemeldet wird. Um Ergebnisse für eine Azure SQL-Datenbank zu analysieren, öffnen Sie die Ressource im Azure-Portal, wechseln Sie zu Microsoft Defender for Cloud, und wählen Sie die spezifische Suche aus, um die Regelbeschreibung, den Schweregrad und den Korrekturleitfaden anzuzeigen. Öffnen Sie für SQL-Server auf Computern die Seite "Empfehlungen" in Defender for Cloud, suchen Sie die relevante individuelle Empfehlung, und führen Sie die gleichen Korrekturschritte aus.

Erfahren Sie mehr über Korrekturansätze und wie Sie Ergebnisse überprüfen können.

Veraltete Empfehlungen – die folgenden gruppierten Empfehlungen sind veraltet und verfügen nicht über einen einzigen direkten Ersatz. Sie werden durch die neuen Empfehlungen zur Bewertung der SQL-Sicherheitsrisiken ersetzt, die jetzt in Defender for Cloud verfügbar sind. Die vollständige Liste finden Sie unter SQL-Regeln zur Bewertung von Sicherheitsrisiken und Empfehlungen.

Microsoft Defender für Container

Die folgenden gruppierten Empfehlungen wurden unter Microsoft Defender for Containers übertragen. Nach dem Übergang werden die Erkenntnisse zu Containersicherheitslücken als einzelne Empfehlungen angezeigt, wobei jede anfällige Image-Ebene bzw. jedes anfällige Paket als separate Erkenntnis ausgewiesen wird.

So überprüfen Sie Ergebnisse: Anzeigen und Beheben von Sicherheitsrisiken für Container, die auf Kubernetes-Clustern ausgeführt werden | Anzeigen und Beheben von Ergebnissen der Sicherheitsrisikobewertung für Registry-Images

Ersetzt durch einzelne Empfehlungen – Aktualisieren von Governanceregeln, Ausnahmen und fortlaufender Export, um die Empfehlungskategorie zu verwenden:

Microsoft Defender für DevOps

Die folgenden gruppierten Empfehlungen wurden unter Microsoft Defender for DevOps übertragen. Nach dem Übergang werden einzelne Ergebnisse für die Codeüberprüfung, Abhängigkeitsrisiken, geheime Schlüssel, Infrastruktur als Codeprobleme und API-Sicherheit in den relevanten Empfehlungskategorien angezeigt.

Überprüfen von Ergebnissen: Wechseln Sie in Defender for Cloud zu Empfehlungen und filtern Sie nach der relevanten Kategorie: ApiVulnerabilities, SoftwareUpdate, CodeVulnerabilities, IacVulnerabilities oder ExposedSecrets. Wählen Sie eine beliebige Empfehlung aus, um das betroffene Repository, die Details zum Befund und die Schritte zur Behebung anzuzeigen.

Ersetzt durch einzelne Empfehlungen – Aktualisieren von Governanceregeln, Ausnahmen und fortlaufender Export, um die Empfehlungskategorie zu verwenden:

Microsoft Defender for Identity

Ersetzt durch eine einzelne neue Empfehlung – die folgenden gruppierten Empfehlungen werden jeweils durch eine bestimmte neue individuelle Empfehlung durch einen festen Bewertungsschlüssel ersetzt. Aktualisieren Sie Ihre Governanceregeln, Ausnahmen und kontinuierlichen Export, um den neuen Bewertungsschlüssel direkt zu verwenden.

Wichtig: Ausnahmen für diese Ersatzempfehlungen stehen nur kostenpflichtigen Kunden zur Verfügung. Nicht zahlende Kunden verlieren die Möglichkeit, für diese Empfehlungen Ausnahmen festzulegen, wenn die ursprünglichen Bewertungen auslaufen.

Nächste Schritte

• Überprüfen von Sicherheitsempfehlungen
• Anwenden von Sicherheitsempfehlungen
• Übersicht über Sicherheitsempfehlungen
• Übergang von "Regeln deaktivieren" zu Ausnahmen