Simulieren von Warnungen für SQL-Server auf Computern

Microsoft Defender for Cloud bietet ein SQL-Warnungssimulationsfeature, das Organisationen und Sicherheitsteams hilft, Bereitstellungen zu überprüfen und Erkennungs-, Reaktions- und Automatisierungsworkflows zu testen, ohne tatsächliche Sicherheitsrisiken zu erstellen.

Die Simulation verwendet eine benutzerdefinierte Skripterweiterung namens Sql-SimulateAlert, um Telemetriedatensätze auf den Zielrechnern einzuschleusen. Zielmaschinen sind Azure Virtual Machines (VMs) oder Arc-Connected-Maschinen. Jede simulierte Warnung enthält Laufzeitkontext wie Host-, SQL-Instanz-, Datenbank- und Prozessinformationen. Sie können diese Warnungen nutzen, um Ihre End-to-End-Sicherheitsreaktionsflüsse zu validieren. Dieser Prozess ist sicher und beeinträchtigt Ihre Ressourcen nicht.

Sie können die folgenden Sicherheitsszenarien simulieren:

• Brute-Force-Authentifizierung
• Authentifizierung aus verdächtiger Anwendung
• Einschleusung von SQL-Befehlen
• Prinzipalanomalie
• Anomalie der externen Shell-Quelle
• Shell-Verschleierung

Die Simulation wird lokal auf dem Computer über die Benutzerdefinierte Skripterweiterung ausgeführt, ohne externe schädliche Nutzlasten auszuführen. Alle generierten Warnungen enthalten vollständige Computer- und Ressourcenbezeichner, SQL-Instanznamen, Datenbankinformationen, Prozessdetails und Telemetriedaten, die von Playbooks und Sicherheitsautomatisierungs-Workflows benötigt werden.

Voraussetzungen

• Enable SQL Servers on Machines Plan for Defender for Databases.

• Stellen Sie sicher, dass der Zielcomputer, unabhängig davon, ob eine SQL-VM oder ein mit Arc verbundener Computer erfolgreich geschützt ist.

• Die folgenden Rollen und Berechtigungen:

  • Erstellen Sie eine ARM-Bereitstellung und schreiben Sie VM-Erweiterungen: Sicherheitsadministrator oder Mitwirkender im Zielabonnement.
  • Mitwirkendenberechtigung und Mitwirkender gemäß der Ressourcenrichtlinie für die Ressourcen Microsoft.Compute/virtualMachines/write und Microsoft.Resources/deployments/*.

• Konfigurieren Sie die SQL Server-Instanz so, dass sie SQL-Authentifizierung für Simulationsszenarien ermöglicht, die Benutzername und Passwort erfordern. Einige Simulationstypen akzeptieren Benutzerzugangsdaten.

  Note

  Verwenden Sie einen geeigneten SQL-Testbenutzernamen und ein Entsprechendes Kennwort anstelle eines Produktionskontos.

Simulieren von Warnungen

Das SqlAlertSimulationClient liest Details aus der Zielressource, wie das Abonnement, die Ressourcengruppe, den Maschinennamen und den Standort.

Anschließend erstellt es eine Azure Resource Manager (ARM)-Vorlage, die eine benutzerdefinierte Skripterweiterung auf dem Rechner bereitstellt. Die Erweiterung führt einen PowerShell-Befehl aus, der den Defender for SQL Simulate Helper mit den gewählten Angriffseinstellungen startet. Der Helfer erstellt Alarmdaten und sendet sie an Defender for Cloud. Diese Warnmeldungen können dann Ihre Automatisierungs- und Reaktionskonnektoren aktivieren.

1. Melden Sie sich im Azure-Portal an.

2. Suchen und wählen Sie Azure SQL aus.

3. Wählen Sie SQL Server auf Azure VMS - oder SQL Server-Instanzen (Azure Arc) aus.

   

4. Wählen Sie die relevante Datenbank aus.

5. Wählen Sie "Sicherheit>Microsoft Defender für Cloud" aus.

6. Wählen Sie die Registerkarte "Sicherheitswarnungen " und dann " Benachrichtigungen simulieren" aus.

   

7. Wählen Sie einen Warnungstyp aus.

   

8. Geben Sie die erforderlichen Informationen für den ausgewählten Warnungstyp ein. Beispiel: Benutzername und Kennwort für Authentifizierungsangriffe.

9. Wählen Sie " Warnungen simulieren" aus.

Der Alarm erscheint nach ein paar Minuten. Sie können die Warnung nutzen, um Ihre Sicherheitsüberwachung zu überprüfen.

Überprüfen, ob die Warnung generiert wird

Überprüfen Sie nach dem Simulieren einer Warnung, ob die Warnung generiert wird.

1. Suchen Sie im Azure-Portal nach Azure SQL, und wählen Sie sie aus.

2. Wählen Sie SQL Server auf Azure VMS - oder SQL Server-Instanzen (Azure Arc) aus.

3. Wählen Sie die relevante Datenbank aus.

4. Wählen Sie "Sicherheit>Microsoft Defender für Cloud" aus.

5. Wählen Sie die Registerkarte "Sicherheitswarnungen" aus .

6. Wählen Sie Prüfen Sie auf Warnungen zu dieser Ressource in Microsoft Defender for Cloud.

   

Überprüfen Sie, ob die simulierte Warnung in der Liste der Warnungen für die Ressource angezeigt wird, und die Sicherheitswarnung verwalten und darauf reagieren.

Nächster Schritt