Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden Azure Policy integrierten Richtlinieninitiativendefinitionen im Zusammenhang mit Microsoft CloudSicherheits-Benchmark v2 aufgeführt. Jedes Steuerelement aus dem Benchmark wird einer oder mehreren Azure Policy Definitionen zugeordnet. Weitere Informationen finden Sie in der vollständigen Azure Policy Definitionsdatei der Initiative.
Compliant bezieht sich in Azure Policy nur auf die Richtliniendefinitionen selbst. Dadurch wird nicht sichergestellt, dass Sie alle Anforderungen eines Steuerelements vollständig erfüllen. Der Compliancestandard enthält Steuerelemente, die derzeit nicht von Azure Policy Definitionen adressiert werden. Daher ist die Compliance in Azure Policy nur eine Teilansicht Ihres allgemeinen Compliancestatus.
Die Zuordnungen zwischen Steuerelementen und Azure Policy Definitionen für diesen Compliancestandard können sich im Laufe der Zeit ändern.
AI-1: Sicherstellen der Verwendung genehmigter Modelle
Weitere Informationen finden Sie unter Artificial Intelligence Security: AI-1: Sicherstellen der Verwendung genehmigter Modelle.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| [Vorschau]: Azure Machine Learning Bereitstellungen sollten nur genehmigte Registrierungsmodelle verwenden | Einschränken der Bereitstellung von Registrierungsmodellen, um extern erstellte Modelle zu steuern, die in Ihrer Organisation verwendet werden | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Bereitstellungen von Cognitive Services sollten nur die zulässige Vervollständigungsinhaltsfilterung verwenden. | Mindestanforderungen an die Inhaltsfilterung für Vervollständigungsinhalte bei der Modellbereitstellung innerhalb Ihrer Organisation festlegen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Cognitive Services-Bereitstellungen sollten nur die zulässige Steuerung verwenden | Mindeststufen der Inhaltsfilterung mit mehreren Schweregraden für schädliche Inhalte für Modellbereitstellungen innerhalb Ihrer Organisation festlegen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Cognitive Services-Bereitstellungen sollten nur den zulässigen Steuerungsmodus verwenden | Vorschreiben des Inhaltsfiltermodus für Modellbereitstellungen in Ihrer Organisation. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Cognitive Services-Bereitstellungen sollten nur die zulässige Filterung von Eingabeaufforderungsinhalten verwenden. | Schreiben Sie Mindestebenen der Inhaltsfilterung für Promptinhalte für Modellbereitstellungen in Ihrer Organisation vor. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
AM-2: Nur genehmigte Dienste verwenden
Weitere Informationen finden Sie unter Asset Management: AM-2: Nur genehmigte Dienste verwenden.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure API Management stv1 compute platform version will be retired 31 August 2024, and these instances should be migrated to stv2 compute platform for continued support. Weitere Informationen finden Sie unter API Management stv1 Platform Retirement - Global Azure Cloud (August 2024) | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Storage-Konten sollten zu neuen Azure Resource Manager Ressourcen migriert werden | Verwenden Sie neue Azure Resource Manager für Ihre Speicherkonten, um Sicherheitsverbesserungen bereitzustellen, z. B.: stärkere Zugriffssteuerung (RBAC), bessere Überwachung, Azure Resource Manager basierte Bereitstellung und Governance, Zugriff auf verwaltete Identitäten, Zugriff auf Schlüsseltresor für geheime Schlüssel, Azure AD-basierte Authentifizierung und Unterstützung für Tags und Ressourcengruppen zur einfacheren Sicherheitsverwaltung | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Storage-Konten sollten zu neuen Azure Resource Manager Ressourcen migriert werden | Verwenden Sie neue Azure Resource Manager für Ihre Speicherkonten, um Sicherheitsverbesserungen bereitzustellen, z. B.: stärkere Zugriffssteuerung (RBAC), bessere Überwachung, Azure Resource Manager basierte Bereitstellung und Governance, Zugriff auf verwaltete Identitäten, Zugriff auf Schlüsseltresor für geheime Schlüssel, Azure AD-basierte Authentifizierung und Unterstützung für Tags und Ressourcengruppen zur einfacheren Sicherheitsverwaltung | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Virtuelle Computer sollten zu neuen Azure Resource Manager-Ressourcen migriert werden | Verwenden Sie den neuen Azure Resource Manager für Ihre virtuellen Maschinen, um Sicherheitsverbesserungen bereitzustellen, wie z. B.: stärkere Zugriffssteuerung (RBAC), bessere Überwachung, eine auf dem Azure Resource Manager basierende Bereitstellung und Governance, Zugriff auf verwaltete Identitäten, Zugriff auf den Schlüsseltresor für Geheimnisse, Azure AD-basierte Authentifizierung sowie Unterstützung für Tags und Ressourcengruppen für eine einfachere Verwaltung der Sicherheit. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
AM-3: Gewährleisten von Sicherheit bei der Lebenszyklusverwaltung von Ressourcen
Weitere Informationen finden Sie unter Asset Management: AM-3: Sicherstellen der Sicherheit der Verwaltung des Ressourcenlebenszyklus.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| API-Endpunkte, die nicht verwendet werden, sollten deaktiviert und aus dem Azure API Management Dienst entfernt werden | Als bewährte Methode für sicherheit gelten API-Endpunkte, die keinen Datenverkehr für 30 Tage erhalten haben, als nicht verwendet und sollten aus dem Azure API Management Dienst entfernt werden. Die Beibehaltung nicht verwendeter API-Endpunkte kann ein Sicherheitsrisiko für Ihre Organisation darstellen. Dies können APIs sein, die vom Azure API Management Dienst veraltet sein sollten, aber versehentlich aktiv geblieben sind. Solche APIs erhalten in der Regel nicht die aktuellste Sicherheitsabdeckung. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
BR-1: Sicherstellen regelmäßiger automatisierter Sicherungen
Weitere Informationen finden Sie unter Sicherung und Wiederherstellung: BR-1: Sicherstellen regulärer automatisierter Sicherungen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Stellen Sie den Schutz Ihrer Azure Virtual Machines sicher, indem Sie Azure Backup aktivieren. Azure Backup ist eine sichere und kostengünstige Datenschutzlösung für Azure. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Sicherung für VMs ohne angegebenes Tag in einem neuen Recovery Services-Tresor mit einer Standardrichtlinie konfigurieren | Erzwingen Sie die Sicherung für alle virtuellen Computer, indem Sie einen Recovery Services-Tresor am gleichen Ort und in der gleichen Ressourcengruppe wie der virtuelle Computer bereitstellen. Dies ist nützlich, wenn verschiedenen Anwendungsteams in Ihrer Organisation separate Ressourcengruppen zugewiesen werden und sie ihre eigenen Sicherungen und Wiederherstellungen verwalten müssen. Sie können optional virtuelle Computer ausschließen, die ein bestimmtes Tag enthalten, um den Umfang der Zuweisung zu kontrollieren. Siehe https://aka.ms/AzureVMAppCentricBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 9.5.0 |
| Sicherung für VMs ohne angegebenes Tag in einem vorhandenen Recovery Services-Tresor am selben Standort konfigurieren | Erzwingen Sie die Sicherung für alle virtuellen Computer, indem Sie sie in einem vorhandenen zentralen Recovery Services-Tresor am gleichen Ort und im gleichen Abonnement wie der virtuelle Computer sichern. Dies ist nützlich, wenn die Sicherungen für alle Ressourcen in einem Abonnement in Ihrer Organisation von einem zentralen Team verwaltet werden. Sie können optional virtuelle Computer ausschließen, die ein bestimmtes Tag enthalten, um den Umfang der Zuweisung zu kontrollieren. Siehe https://aka.ms/AzureVMCentralBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 9.5.0 |
| Georedundante Sicherung muss für Azure Database for MariaDB aktiviert sein | Mit Azure Database for MariaDB können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| mit Azure Database for MySQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| mit Azure Database for PostgreSQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| Georedundanter Speicher muss für Speicherkonten aktiviert sein | Georedundanz zum Erstellen hoch verfügbarer Anwendungen verwenden | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Langfristige georedundante Sicherung muss für Azure SQL-Datenbank aktiviert sein | Diese Richtlinie überwacht alle Azure SQL-Datenbank-Instanzen mit nicht aktivierter langfristiger georedundanter Sicherung. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| [Vorschau]: Die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) muss für Sicherungstresor aktiviert sein. | Diese Richtlinie überprüft, ob die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) für Sicherungstresor aktiviert ist. MUA hilft bei der Sicherung Ihrer Backup Vaults, indem sie kritischen Vorgängen eine zusätzliche Schutzebene hinzufügen. Weitere Informationen finden Sie unter https://aka.ms/mua-for-bv. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
BR-2: Schützen von Sicherungs- und Wiederherstellungsdaten
Weitere Informationen finden Sie unter Sicherung und Wiederherstellung: BR-2: Schützen von Sicherungs- und Wiederherstellungsdaten.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Stellen Sie den Schutz Ihrer Azure Virtual Machines sicher, indem Sie Azure Backup aktivieren. Azure Backup ist eine sichere und kostengünstige Datenschutzlösung für Azure. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Georedundante Sicherung muss für Azure Database for MariaDB aktiviert sein | Mit Azure Database for MariaDB können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| mit Azure Database for MySQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| mit Azure Database for PostgreSQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf eine georedundante Sicherung storage festgelegt werden, in der die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in einen gekoppelten Bereich repliziert wird, um eine Wiederherstellungsoption für einen Regionsausfall bereitzustellen. Das Konfigurieren georedundanter storage für die Sicherung ist nur während der Servererstellung zulässig. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| [Vorschau]: Unveränderlichkeit muss für Sicherungstresoren aktiviert sein | Diese Richtlinie überprüft, ob die unveränderliche Tresoreigenschaft für Sicherungstresoren im Bereich aktiviert ist. Auf diese Weise können Sie verhindern, dass Ihre Sicherungsdaten vor dem vorgesehenen Ablaufdatum gelöscht werden. Weitere Informationen finden Sie unter Concept of Immutable Vault für Azure Backup. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1-Vorschau |
| [Vorschau]: Unveränderlichkeit muss für Recovery Services Vaults aktiviert sein | Diese Richtlinie prüft, ob die Eigenschaft „Unveränderliche Tresore“ für Recovery Services-Tresore im Geltungsbereich aktiviert ist. Auf diese Weise können Sie verhindern, dass Ihre Sicherungsdaten vor dem vorgesehenen Ablaufdatum gelöscht werden. Weitere Informationen finden Sie unter Concept of Immutable Vault für Azure Backup. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1-Vorschau |
| [Vorschau]: Vorläufiges Löschen muss für Recovery Services Vaults aktiviert sein. | Mit dieser Richtlinie wird überprüft, ob das vorläufige Löschen für Recovery Services Vaults im Bereich aktiviert ist. Das vorläufige Löschen kann das Wiederherstellen gelöschter Daten erleichtern. Weitere Informationen finden Sie unter https://aka.ms/AB-SoftDelete. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Vorläufiges Löschen sollte für Sicherungstresor aktiviert sein | Diese Richtlinie überprüft, ob das vorläufige Löschen für Sicherungstresor im Bereich aktiviert ist. Das vorläufige Löschen kann Ihnen helfen, Ihre Daten nach dem Löschen wiederherzustellen. Weitere Informationen finden Sie unter Overview des erweiterten vorläufigen Löschens für Azure Backup | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
DP-1: Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten
Weitere Informationen finden Sie unter Datenschutz: DP-1: Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Microsoft Defender für APIs sollte aktiviert sein | Microsoft Defender für APIs bietet neue Erkennungs-, Schutz-, Erkennungs- und Reaktionsabdeckungen, um auf allgemeine API-basierte Angriffe und Sicherheitsfehler zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
DP-2: Überwachen von Anomalien und Bedrohungen für sensible Daten
Weitere Informationen finden Sie unter Datenschutz: DP-2: Überwachen von Anomalien und Bedrohungen für vertrauliche Daten.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für Azure SQL-Datenbank Server sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL-Server auf Computern sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL sollte für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Überwachen Sie jede SQL Managed Instance ohne erweiterte Datensicherheit. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für relationale Open-Source-Datenbanken sollten aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anomale Aktivitäten, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. Erfahren Sie mehr über die Funktionen von Azure Defender für relationale Open Source-Datenbanken unter Overview von Defender für Open-Source relationale Datenbanken. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Erfahren Sie mehr über die Preise auf der Preisseite von Security Center: Pricing – Microsoft Defender for Cloud | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für APIs sollte aktiviert sein | Microsoft Defender für APIs bietet neue Erkennungs-, Schutz-, Erkennungs- und Reaktionsabdeckungen, um auf allgemeine API-basierte Angriffe und Sicherheitsfehler zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender für den Speicher sollte aktiviert sein | Microsoft Defender für Speicher erkennt potenzielle Bedrohungen für Ihre Speicherkonten. Es hilft, die drei wichtigsten Auswirkungen auf Ihre Daten und Ihren Workload zu verhindern: Upload von Schadsoftware, Exfiltration vertraulicher Daten und Datenbeschädigung. Die neue Defender für den Speicherplan umfasst Schadsoftwareüberprüfung und die Erkennung vertraulicher Daten. Dieser Plan bietet auch eine vorhersehbare Preisstruktur (pro storage Konto) für die Kontrolle über Die Abdeckung und Kosten. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
DP-3: Verschlüsseln Sie vertrauliche Daten während der Übertragung
Weitere Informationen finden Sie unter Datenschutz: DP-3: Verschlüsseln vertraulicher Daten während der Übertragung.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Eine benutzerdefinierte IPsec/IKE-Richtlinie muss auf alle Azure Virtuellen Netzwerkgatewayverbindungen angewendet werden. | Diese Richtlinie stellt sicher, dass alle Azure Verbindungen des virtuellen Netzwerkgateways eine benutzerdefinierte Internet protocol Security(Ipsec)/Internet Key Exchange(IKE)-Richtlinie verwenden. Informationen zu unterstützten Algorithmen und Schlüsselstärken finden Sie unter https://aka.ms/AA62kb0. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| API Management-APIs sollten nur verschlüsselte Protokolle verwenden | Um die Sicherheit von Daten während der Übertragung zu gewährleisten, sollten APIs nur über verschlüsselte Protokolle wie HTTPS oder WSS verfügbar sein. Verwenden Sie keine ungesicherten Protokolle, wie HTTP oder WS. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.2 |
| App Service App-Slots sollten die End-to-End-Verschlüsselung aktivieren | Durch die Aktivierung der End-to-End-Verschlüsselung wird der Front-End-Intra-Cluster-Datenverkehr zwischen App Service Front-Ends und den Mitarbeitern, die Anwendungsworkloads ausführen, verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Zugriff auf App Service-App-Slots nur über HTTPS gestatten | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.0 |
| App Service App-Slots sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für App Service Apps durch, um ggf. Sicherheitsfixes und/oder neue Funktionen der neuesten Version zu nutzen. | AuditIfNotExists; Arbeitsunfähig | 1.2.0 |
| App Service-Apps sollten die End-to-End-Verschlüsselung aktivieren | Durch die Aktivierung der End-to-End-Verschlüsselung wird der Front-End-Intra-Cluster-Datenverkehr zwischen App Service Front-Ends und den Mitarbeitern, die Anwendungsworkloads ausführen, verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 4.0.0 | |
| App Service-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| App Service-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für App Service Apps durch, um ggf. Sicherheitsfixes und/oder neue Funktionen der neuesten Version zu nutzen. | AuditIfNotExists; Arbeitsunfähig | 2.2.0 |
| App Service-Umgebung sollte mit den stärksten TLS Cipher-Suites konfiguriert werden | Die beiden minimalsten und stärksten Verschlüsselungssammlungen, die für die ordnungsgemäße Funktion App Service-Umgebung erforderlich sind: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 und TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| App Service-Umgebung sollte die interne Verschlüsselung aktiviert sein | Wenn "InternalEncryption" auf "true" festgelegt wird, werden die Seitendatei, die Arbeitsdatenträger und der interne Netzwerkdatenverkehr zwischen den Front-Ends und den Mitarbeitern in einer App Service-Umgebung verschlüsselt. Weitere Informationen finden Sie unter Custom-Konfigurationseinstellungen für App Service Umgebungen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| App Service-Umgebung sollte TLS 1.0 und 1.1 deaktiviert sein | TLS 1.0 und TLS 1.1 sind veraltete Protokolle, die keine Unterstützung für moderne Kryptografiealgorithmen bieten. Durch deaktivieren des eingehenden TLS 1.0- und 1.1-Datenverkehrs können Apps in einer App Service-Umgebung gesichert werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.1 |
| Azure Batch Pools sollten datenträgerverschlüsselung aktiviert sein | Durch aktivieren Azure Batch Datenträgerverschlüsselung wird sichergestellt, dass daten immer im Ruhezustand auf Ihrem Azure Batch Computeknoten verschlüsselt werden. Weitere Informationen zur Datenträgerverschlüsselung im Batch unter Create a pool with disk encryption enabled. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0 |
| Das Festlegen minimaler TLS-Version auf 1.2 verbessert die Sicherheit, indem sichergestellt wird, dass von Clients mit TLS 1.2 oder höher auf Ihre benutzerdefinierten Domänen zugegriffen wird. Die Verwendung von TLS-Versionen unter 1.2 wird nicht empfohlen, da sie schwach sind und moderne kryptografische Algorithmen nicht unterstützen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Azure HDInsight-Cluster sollten die Verschlüsselung während der Übertragung verwenden, um die Kommunikation zwischen Azure HDInsight Clusterknoten zu verschlüsseln | Daten können während der Übertragung zwischen Azure HDInsight Clusterknoten manipuliert werden. Durch aktivieren der Verschlüsselung während der Übertragung werden Probleme mit Missbrauch und Manipulation während dieser Übertragung behoben. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure SQL-Datenbank sollte TLS Version 1.2 oder höher ausführen | Das Festlegen der TLS-Version auf 1.2 oder höher verbessert die Sicherheit, indem sichergestellt wird, dass Auf Ihre Azure SQL-Datenbank nur von Clients mit TLS 1.2 oder höher zugegriffen werden kann. Niedrigere TLS-Versionen als Version 1.2 weisen gut dokumentierte Sicherheitsrisiken auf und sind daher zu vermeiden. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.0 |
| Azure Synapse Workspace-SQL Server sollte TLS Version 1.2 oder höher ausführen | Das Festlegen der TLS-Version auf 1.2 oder höher verbessert die Sicherheit, indem sichergestellt wird, dass Auf den SQL-Server des Azure Synapse Arbeitsbereichs nur von Clients mit TLS 1.2 oder höher zugegriffen werden kann. Niedrigere TLS-Versionen als Version 1.2 weisen gut dokumentierte Sicherheitsrisiken auf und sind daher zu vermeiden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Bot Service Endpunkt sollte ein gültiger HTTPS-URI sein | Daten können während der Übertragung manipuliert werden. Protokolle sind vorhanden, die Verschlüsselung bereitstellen, um Probleme mit Missbrauch und Manipulation zu beheben. Um sicherzustellen, dass Ihre Bots nur über verschlüsselte Kanäle kommunizieren, legen Sie den Endpunkt auf einen gültigen HTTPS-URI fest. Dadurch wird sichergestellt, dass das HTTPS-Protokoll verwendet wird, um Ihre Daten während der Übertragung zu verschlüsseln und ist häufig auch eine Anforderung für die Einhaltung gesetzlicher oder branchenspezifischer Standards. Bitte besuchen Sie: Bot Framework-Sicherheitsrichtlinien. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Container-Apps sollten nur über HTTPS zugänglich sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. Das Deaktivieren von "allowInsecure" führt zur automatischen Umleitung von Anforderungen von HTTP zu HTTPS-Verbindungen für Container-Apps. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Enforce SSL-Verbindung sollte für MySQL-Datenbankserver aktiviert sein | Azure Database for MySQL unterstützt die Verbindung Ihres Azure Database for MySQL Servers mit Clientanwendungen mit Secure Sockets Layer (SSL). Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Enforce SSL-Verbindung sollte für PostgreSQL-Datenbankserver aktiviert sein | Azure Database for PostgreSQL unterstützt die Verbindung Ihres Azure Database for PostgreSQL Servers mit Clientanwendungen mit Secure Sockets Layer (SSL). Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Funktions-App-Slots sollten die End-to-End-Verschlüsselung aktivieren | Durch die Aktivierung der End-to-End-Verschlüsselung wird der Front-End-Intra-Cluster-Datenverkehr zwischen App Service Front-Ends und den Mitarbeitern, die Anwendungsworkloads ausführen, verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Auf Funktions-App-Slots sollte nur über HTTPS zugegriffen werden können. | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.1.0 |
| Function-App-Slots sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 1.3.0 |
| Function-Apps sollten die End-to-End-Verschlüsselung aktivieren | Durch die Aktivierung der End-to-End-Verschlüsselung wird der Front-End-Intra-Cluster-Datenverkehr zwischen App Service Front-Ends und den Mitarbeitern, die Anwendungsworkloads ausführen, verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 5.1.0 | |
| Function-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Function-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 2.3.0 |
| [Vorschau]: Host- und VM-Netzwerke sollten auf Azure Stack HCI-Systemen geschützt sein | Schützen Sie Daten auf dem Azure Stack HCI-Hosts-Netzwerk und auf Netzwerkverbindungen virtueller Computer. | Rechnungsprüfung; Arbeitsunfähig; AuditIfNotExists | 1.0.0-Vorschau |
| Durch die Verwendung von HTTPS wird die Authentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. Diese Funktion ist derzeit allgemein für Kubernetes Service (AKS) und in der Vorschau für Azure Arc aktivierte Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 8.2.0 | |
| Only sichere Verbindungen mit Ihrem Azure Cache for Redis sollten aktiviert sein | Überwachen der Aktivierung von nur Verbindungen über SSL zum Azure Cache for Redis. Durch die Verwendung sicherer Verbindungen wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, wie z.B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| PostgreSQL flexible Server sollten TLS Version 1.2 oder höher ausführen | Diese Richtlinie hilft bei der Überwachung aller flexiblen PostgreSQL-Server in Ihrer Umgebung, die mit TLS-Version unter 1.2 ausgeführt wird. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Secure-Übertragung auf storage Konten sollte aktiviert sein | Überwachungsanforderung für die sichere Übertragung in Ihrem storage Konto. Sichere Übertragung ist eine Option, mit der Ihr storage Konto anforderungen nur von sicheren Verbindungen (HTTPS) akzeptiert. Durch die Verwendung von HTTPS wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, z. B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Das Festlegen der minimalen TLS-Version auf 1.2 verbessert die Sicherheit, indem sichergestellt wird, dass Ihre SQL Managed Instance nur von Clients mit TLS 1.2 aufgerufen werden kann. Niedrigere TLS-Versionen als Version 1.2 weisen gut dokumentierte Sicherheitsrisiken auf und sind daher zu vermeiden. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| Storage-Konten sollten die angegebene Mindest-TLS-Version aufweisen | Konfigurieren Sie eine TLS-Mindestversion für die sichere Kommunikation zwischen der Clientanwendung und dem storage-Konto. Um Sicherheitsrisiken zu minimieren, ist die empfohlene TLS-Mindestversion die neueste veröffentlichte Version, derzeit TLS 1.2. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Windows Computer sollten so konfiguriert werden, dass sichere Kommunikationsprotokolle verwendet werden | Um den Schutz von Informationen zu gewährleisten, die über das Internet kommuniziert werden, sollten Ihre Maschinen die neueste Version des Industriestandard-Verschlüsselungsprotokolls „TLS“ (Transport Layer Security) verwenden. TLS sichert die Kommunikation über ein Netzwerk, indem eine Verbindung zwischen Computern verschlüsselt wird. | AuditIfNotExists; Arbeitsunfähig | 4.1.1 |
DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten
Weitere Informationen finden Sie unter Datenschutz: DP-4: Standardmäßige Verschlüsselung ruhender Daten aktivieren.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| A-Microsoft Entra-Administrator sollte für MySQL-Server bereitgestellt werden | Überwachen Sie die Bereitstellung eines Microsoft Entra Administrators für Ihren MySQL-Server, um Microsoft Entra Authentifizierung zu aktivieren. Microsoft Entra Authentifizierung ermöglicht vereinfachte Berechtigungsverwaltung und zentrale Identitätsverwaltung von Datenbankbenutzern und anderen Microsoft-Dienste | AuditIfNotExists; Arbeitsunfähig | 1.1.1 |
| Automation-Kontovariablen sollten verschlüsselt werden | Es ist wichtig, die Verschlüsselung für Variablenobjekte von Automation-Konten zu aktivieren, wenn vertrauliche Daten gespeichert werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure Data Box Aufträge sollten die doppelte Verschlüsselung für ruhende Daten auf dem Gerät aktivieren | Aktivieren Sie eine zweite Ebene der softwarebasierten Verschlüsselung für ruhende Daten auf dem Gerät. Das Gerät ist bereits über die Advanced Encryption Standard 256-Bit-Verschlüsselung für ruhende Daten geschützt. Diese Option fügt eine zweite Datenverschlüsselungsebene hinzu. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Edge Hardware Center-Geräte sollten die Unterstützung für doppelte Verschlüsselung aktiviert haben | Stellen Sie sicher, dass Geräte, die von Azure Edge Hardware Center bestellt wurden, über eine doppelte Verschlüsselungsunterstützung verfügen, um die ruhenden Daten auf dem Gerät zu sichern. Diese Option fügt eine zweite Datenverschlüsselungsebene hinzu. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Azure HDInsight-Cluster sollten verschlüsselung auf dem Host verwenden, um ruhende Daten zu verschlüsseln | Durch aktivieren der Verschlüsselung auf dem Host können Sie Ihre Daten schützen und schützen, um Ihre Sicherheits- und Complianceverpflichtungen in Ihrer Organisation zu erfüllen. Wenn Sie die Verschlüsselung auf dem Host aktivieren, werden ruhende Daten verschlüsselt und an den Storage Dienst verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Um sicherzustellen, dass die sichere Datenverschlüsselung auf Dienstebene und auf Infrastrukturebene mit zwei verschiedenen Verschlüsselungsalgorithmen und zwei verschiedenen Schlüsseln aktiviert ist, verwenden Sie einen Azure Monitor dedizierten Cluster. Diese Option ist standardmäßig aktiviert, wenn sie in der Region unterstützt wird, siehe Azure Monitor vom Kunden verwaltete Schlüssel. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 | |
| Azure MySQL flexible Server sollte Microsoft Entra Nur Authentifizierung aktiviert sein | Das Deaktivieren lokaler Authentifizierungsmethoden und das Zulassen von nur Microsoft Entra Authentifizierung verbessert die Sicherheit, indem sichergestellt wird, dass Azure flexiblen MySQL-Server ausschließlich von Microsoft Entra Identitäten aufgerufen werden kann. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Azure NetApp Files SMB-Volumes sollten SMB3-Verschlüsselung verwenden | Die Erstellung von SMB-Volumes ohne SMB3-Verschlüsselung verbieten, um die Datenintegrität und den Datenschutz zu gewährleisten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure NetApp Files Volumes vom Typ NFSv4.1 sollten kerberos-Datenverschlüsselung verwenden | Lassen Sie nur die Verwendung des Kerberos-Datenschutzmodus (5p) zu, um sicherzustellen, dass Daten verschlüsselt sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Stack Edge Geräte sollten doppelt verschlüsselt werden | Um die ruhenden Daten auf dem Gerät zu sichern, stellen Sie sicher, dass sie doppelt verschlüsselt ist, die access für Daten gesteuert wird, und sobald das Gerät deaktiviert ist, werden die Daten sicher von den Datenträgern gelöscht. Die doppelte Verschlüsselung ist die Verwendung von zwei Verschlüsselungsebenen: BitLocker XTS-AES 256-Bit-Verschlüsselung auf den Datenvolumes und integrierte Verschlüsselung der Festplatten. Weitere Informationen finden Sie in der Sicherheitsübersichtsdokumentation für das jeweilige Stack Edge-Gerät. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Azure Synapse Analytics dedizierten SQL-Pools sollten die Verschlüsselung aktivieren | Ermöglichen Sie die transparente Datenverschlüsselung für Azure Synapse Analytics dedizierten SQL-Pools, um Ruhedaten zu schützen und Complianceanforderungen zu erfüllen. Beachten Sie, dass das Aktivieren der transparenten Datenverschlüsselung für den Pool die Abfrageleistung beeinträchtigen kann. Weitere Details finden Sie unter https://go.microsoft.com/fwlink/?linkid=2147714 | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Cognitive Services-Konten müssen kundeneigenen Speicher verwenden | Verwenden Sie den kundeneigenen Speicher, um ruhende Daten in Cognitive Services zu steuern. Weitere Informationen zum kundeneigenen Speicher finden Sie unter https://aka.ms/cogsvc-cmk. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Durch aktivieren der Datenträgerverschlüsselung können Sie Ihre Daten schützen und schützen, um ihre Sicherheits- und Complianceverpflichtungen ihrer Organisation zu erfüllen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 | |
| Durch das Aktivieren der doppelten Verschlüsselung können Sie Ihre Daten schützen, um die Sicherheits- und Konformitätsverpflichtungen Ihrer Organisation zu erfüllen. Wenn die doppelte Verschlüsselung aktiviert wurde, werden Daten im storage Konto zweimal verschlüsselt, einmal auf Dienstebene und einmal auf Infrastrukturebene, wobei zwei verschiedene Verschlüsselungsalgorithmen und zwei verschiedene Schlüssel verwendet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 | |
| Event Hub-Namespaces sollten die doppelte Verschlüsselung aktiviert haben | Durch das Aktivieren der doppelten Verschlüsselung können Sie Ihre Daten schützen, um die Sicherheits- und Konformitätsverpflichtungen Ihrer Organisation zu erfüllen. Wenn die doppelte Verschlüsselung aktiviert wurde, werden Daten im storage Konto zweimal verschlüsselt, einmal auf Dienstebene und einmal auf Infrastrukturebene, wobei zwei verschiedene Verschlüsselungsalgorithmen und zwei verschiedene Schlüssel verwendet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Infrastrukturstrukturverschlüsselung sollte für Azure Database for MySQL Server aktiviert sein | Aktivieren Sie die Infrastrukturverschlüsselung für Azure Database for MySQL Server, um eine höhere Sicherheit zu gewährleisten, dass die Daten sicher sind. Wenn die Infrastrukturverschlüsselung aktiviert ist, werden die ruhenden Daten zweimal mit FIPS 140-2 kompatiblen Microsoft verwalteten Schlüsseln verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Die Infrastrukturverschlüsselung sollte für Azure Database for PostgreSQL Server aktiviert sein. | Aktivieren Sie die Infrastrukturverschlüsselung für Azure Database for PostgreSQL Server, um eine höhere Sicherheit zu gewährleisten, dass die Daten sicher sind. Wenn die Infrastrukturverschlüsselung aktiviert ist, werden die ruhenden Daten zweimal mit FIPS 140-2 kompatiblen Microsoft verwalteten Schlüsseln verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Obwohl das Betriebssystem und die Datenträger eines virtuellen Computers standardmäßig mit plattformverwalteten Schlüsseln verschlüsselt werden; Ressourcendatenträger (temporäre Datenträger), Datencaches und Datenfluss zwischen Compute- und Storage-Ressourcen werden nicht verschlüsselt. Verwenden Sie Azure Disk Encryption oder EncryptionAtHost zum Beheben. Besuchen Sie die Übersicht über die Verschlüsselungsoptionen für verwaltete Datenträger, um Verschlüsselungsangebote zu vergleichen. Für diese Richtlinie müssen zwei erforderliche Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter Understand Azure Machine Configuration. | AuditIfNotExists; Arbeitsunfähig | 1.2.1 | |
| Managed disks sollte mit vom Plattform verwalteten und vom Kunden verwalteten Schlüsseln doppelt verschlüsselt werden | Kunden mit besonders hohen Sicherheitsanforderungen, die befürchten, dass ein einzelner Verschlüsselungsalgorithmus, eine einzelne Verschlüsselungsimplementierung oder ein einzelner Verschlüsselungsschlüssel kompromittiert werden könnte, haben nun die Möglichkeit, eine zusätzliche Verschlüsselungsebene mit einem anderen Verschlüsselungsalgorithmus/-modus auf der Infrastrukturebene zu nutzen (unter Verwendung von plattformseitig verwalteten Schlüsseln). Für die Verwendung der Mehrfachverschlüsselung sind Datenträgerverschlüsselungssätze erforderlich. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure verwalteten Datenträgern. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Service Bus Namespaces sollten die doppelte Verschlüsselung aktiviert haben | Durch das Aktivieren der doppelten Verschlüsselung können Sie Ihre Daten schützen, um die Sicherheits- und Konformitätsverpflichtungen Ihrer Organisation zu erfüllen. Wenn die doppelte Verschlüsselung aktiviert wurde, werden Daten im storage Konto zweimal verschlüsselt, einmal auf Dienstebene und einmal auf Infrastrukturebene, wobei zwei verschiedene Verschlüsselungsalgorithmen und zwei verschiedene Schlüssel verwendet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Der Dienst Fabric bietet drei Schutzebenen (None, Sign and EncryptAndSign) für die Kommunikation zwischen Knoten und Knoten mithilfe eines primären Clusterzertifikats. Legen Sie die Schutzebene fest, um sicherzustellen, dass alle zwischen Knoten übertragenen Nachrichten verschlüsselt und digital signiert werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| Storage-Konten sollten über eine Infrastrukturverschlüsselung verfügen | Aktivieren Sie die Infrastrukturverschlüsselung, um die Sicherheit der Daten zu erhöhen. Wenn die Infrastrukturverschlüsselung aktiviert ist, werden Daten in einem storage Konto zweimal verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Temp-Datenträger und Cache für Agentknotenpools in Azure Kubernetes Service Clustern sollten auf host verschlüsselt werden | Um die Datensicherheit zu verbessern, sollten die daten, die auf dem VM-Host (Virtual Machine) Ihrer Azure Kubernetes Service Knoten-VMs gespeichert sind, im Ruhezustand verschlüsselt werden. Diese Verschlüsselung ist eine gängige Anforderung in vielen gesetzlichen und branchenspezifischen Konformitätsstandards. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Transparent Data Encryption muss für von Arc SQL verwaltete Instanzen aktiviert sein. | Aktivieren Der ruhenden Datenverschlüsselung (TDE) in einem Azure Arc aktivierten SQL Managed Instance. Weitere Informationen finden Sie unter Encrypt a database with transparent data encryption manually in SQL Managed Instance enabled by Azure Arc. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Transparent Data Encryption in SQL-Datenbanken sollte aktiviert sein | Transparent data encryption sollten aktiviert sein, um ruhende Daten zu schützen und Complianceanforderungen zu erfüllen. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| Virtual machines und virtual machine scale sets sollten die Verschlüsselung auf dem Host aktiviert sein | Verwenden Sie die Verschlüsselung auf dem Host, um eine End-to-End-Verschlüsselung für die Daten Ihrer VMs und VM-Skalierungsgruppen zu erzielen. Die Verschlüsselung auf dem Host ermöglicht die Verschlüsselung ruhender Daten für die Caches Ihrer temporären Datenträger und Ihrer Datenträger für Betriebssystem und Daten. Temporäre und kurzlebige Betriebssystemdatenträger werden mit plattformseitig verwalteten Schlüsseln verschlüsselt, wenn die Verschlüsselung auf dem Host aktiviert ist. Die Caches der Datenträger für Betriebssystem und Daten werden im Ruhezustand entweder mit einem kundenseitig oder einem plattformseitig verwalteten Schlüssel verschlüsselt. Dies richtet sich danach, welcher Verschlüsselungstyp für den Datenträger ausgewählt wurde. Weitere Informationen finden Sie unter Aktivieren der End-to-End-Verschlüsselung mithilfe der Verschlüsselung auf dem Host. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Obwohl das Betriebssystem und die Datenträger eines virtuellen Computers standardmäßig mit plattformverwalteten Schlüsseln verschlüsselt werden; Ressourcendatenträger (temporäre Datenträger), Datencaches und Datenfluss zwischen Compute- und Storage-Ressourcen werden nicht verschlüsselt. Verwenden Sie Azure Disk Encryption oder EncryptionAtHost zum Beheben. Besuchen Sie die Übersicht über die Verschlüsselungsoptionen für verwaltete Datenträger, um Verschlüsselungsangebote zu vergleichen. Für diese Richtlinie müssen zwei erforderliche Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter Understand Azure Machine Configuration. | AuditIfNotExists; Arbeitsunfähig | 1.1.1 |
DP-5: Bei Bedarf die Option eines kundenseitig verwalteten Schlüssels für die Verschlüsselung ruhender Daten verwenden.
Weitere Informationen finden Sie unter Datenschutz: DP-5: Verwenden der vom Kunden verwalteten Schlüsseloption in ruhenden Datenverschlüsselung bei Bedarf.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| App Configuration sollte einen kundenseitig verwalteten Schlüssel verwenden. | Vom Kunden verwaltete Schlüssel bieten einen verbesserten Datenschutz, indem Sie Ihre Verschlüsselungsschlüssel verwalten können. Dies ist häufig erforderlich, um complianceanforderungen zu erfüllen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure KI-Suche-Dienste sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Das Aktivieren der ruhenden Verschlüsselung mithilfe eines vom Kunden verwalteten Schlüssels in Ihren Azure KI-Suche-Diensten bietet zusätzliche Kontrolle über den Schlüssel, der zum Verschlüsseln ruhender Daten verwendet wird. Diese Funktion gilt häufig für Kunden mit speziellen Complianceanforderungen an das Verwalten von Datenverschlüsselungsschlüsseln mithilfe eines Schlüsseltresors. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Die Verwendung von kundenseitig verwalteten Schlüsseln zum Verschlüsseln ruhender Daten bietet mehr Kontrolle über den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. Dies ist insbesondere für Organisationen mit entsprechenden Complianceanforderungen relevant. Standardmäßig wird dies nicht bewertet. Eine Anwendung sollte nur bei Erzwingen durch Compliance- oder restriktive Richtlinienanforderungen erfolgen. Wenn keine Aktivierung erfolgt ist, werden die Daten mit plattformseitig verwalteten Schlüsseln verschlüsselt. Für die Implementierung aktualisieren Sie den Effect-Parameter in der Sicherheitsrichtlinie für den entsprechenden Geltungsbereich. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.2.0 | |
| Azure-API für FHIR sollte einen vom Kunden verwalteten Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie einen vom Kunden verwalteten Schlüssel, um die Verschlüsselung ruhender Daten zu steuern, die in Azure-API für FHIR gespeichert sind, wenn dies eine behördliche oder Complianceanforderung ist. Vom Kunden verwaltete Schlüssel bieten auch eine doppelte Verschlüsselung, indem eine zweite Verschlüsselungsebene über dem Standardschlüssel hinzugefügt wird, der mit dienstverwalteten Schlüsseln erledigt wurde. | Rechnungsprüfung; Rechnungsprüfung; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Azure Automation-Konten sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer Azure Automation-Konten zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Encryption sicherer Ressourcen in Azure Automation. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Batch Konto sollte vom Kunden verwaltete Schlüssel zum Verschlüsseln von Daten verwenden | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihres Batchkontos zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie bei der Batchkontodatenverschlüsselung. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Cache for Redis Enterprise sollte vom Kunden verwaltete Schlüssel zum Verschlüsseln von Datenträgerdaten verwenden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand für Ihre Daten auf Datenträgern zu verwalten. Standardmäßig werden Kundendaten mit Schlüsseln verschlüsselt, die von der Plattform verwaltet werden. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Configure disk encryption in Azure Cache for Redis. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Containerinstanz-Containergruppe sollte den vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Sichern Sie Ihre Container mit mehr Flexibilität mithilfe von vom Kunden verwalteten Schlüsseln. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser Schlüssel verwendet, um access auf den Schlüssel zu schützen und zu steuern, der Ihre Daten verschlüsselt. Die Verwendung von kundenseitig verwalteten Schlüsseln bietet zusätzliche Funktionen zum Steuern der Rotation des Schlüsselverschlüsselungsschlüssels oder zum kryptografischen Löschen von Daten. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0 |
| Azure Cosmos DB-Konten sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer Azure Cosmos DB zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Configure Customer-Managed Keys. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Azure Data Box Aufträge sollten einen vom Kunden verwalteten Schlüssel verwenden, um das Kennwort zum Entsperren des Geräts zu verschlüsseln | Verwenden Sie einen vom Kunden verwalteten Schlüssel, um die Verschlüsselung des Kennworts zum Entsperren des Geräts für Azure Data Box zu steuern. Vom Kunden verwaltete Schlüssel helfen auch beim Verwalten von access zum Entsperren des Geräts durch den Data Box-Dienst, um das Gerät vorzubereiten und Daten auf automatisierte Weise zu kopieren. Die Daten auf dem Gerät selbst werden bereits mit der Advanced Encryption Standard 256-Bit-Verschlüsselung verschlüsselt, und das Kennwort für die Gerätesperrung wird standardmäßig mit einem Microsoft verwalteten Schlüssel verschlüsselt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Data Explorer Verschlüsselung im Ruhezustand sollte einen vom Kunden verwalteten Schlüssel verwenden | Das Aktivieren der ruhenden Verschlüsselung mithilfe eines vom Kunden verwalteten Schlüssels in Ihrem Azure Data Explorer Cluster bietet zusätzliche Kontrolle über den ruhenden Schlüssel. Dieses Feature ist häufig für Kunden mit speziellen Complianceanforderungen anwendbar und erfordert eine Key Vault für die Verwaltung der Schlüssel. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure-Datenfabriken sollten mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer Azure Data Factory zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Encrypt Azure Data Factory mit vom Kunden verwaltetem Schlüssel. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Databricks Arbeitsbereiche sollten Premium-SKU sein, die Features wie private Verknüpfungen, vom Kunden verwalteter Schlüssel zur Verschlüsselung unterstützt | Lassen Sie den Databricks-Arbeitsbereich nur mit Premium-Sku zu, die Ihre Organisation bereitstellen kann, um Features wie Private Link, vom Kunden verwalteten Schlüssel für die Verschlüsselung zu unterstützen. Weitere Informationen finden Sie unter: Configure private Konnektivität mit Azure Databricks. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Geräteaktualisierungskonten sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Die Verschlüsselung ruhender Daten in Azure Geräteupdate mit vom Kunden verwaltetem Schlüssel fügt eine zweite Verschlüsselungsebene über die standardmäßigen vom Dienst verwalteten Schlüssel hinzu, ermöglicht die Kundensteuerung von Schlüsseln, benutzerdefinierten Rotationsrichtlinien und die Möglichkeit, den Zugriff auf Daten über die Zugriffssteuerung zu verwalten. Weitere Informationen finden Sie unter:Datenverschlüsselung für Geräteupdates für IoT Hub. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure HDInsight-Cluster sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer Azure HDInsight Cluster zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Erfahren Sie mehr über die Double-Verschlüsselung für ruhende Daten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Health Bots sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel (CMK), um die Verschlüsselung ruhender Daten Ihrer Healthbots zu verwalten. Standardmäßig werden die ruhenden Daten mit dienstverwalteten Schlüsseln verschlüsselt, cmK ist jedoch üblicherweise erforderlich, um gesetzliche Compliancestandards zu erfüllen. CMK ermöglicht es, die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel zu verschlüsseln. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Configure Customer Managed Keys for data encryption in healthcare agent service | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Lasttestressource sollte vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel (CMK), um die ruhende Verschlüsselung für Ihre Azure Load Testing-Ressource zu verwalten. Standardmäßig erfolgt die Verschlüsselung mithilfe von vom Dienst verwalteten Schlüsseln, mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Configure vom Kunden verwaltete Schlüssel für Azure Load Testing mit Azure Key Vault. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Machine Learning Arbeitsbereiche sollten mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden | Verwalten Sie die Verschlüsselung im Ruhezustand Azure Machine Learning Arbeitsbereichsdaten mit vom Kunden verwalteten Schlüsseln. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Create a workspace with Azure Resource Manager template. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure Machine Learning Arbeitsbereiche sollten mit der Verwendung eines vom Kunden verwalteten Schlüssels verschlüsselt werden | Verwalten Sie die Verschlüsselung im Ruhezustand Azure Machine Learning Arbeitsbereichsdaten mit vom Kunden verwalteten Schlüsseln. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Create a workspace with Azure Resource Manager template. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Monitor Protokollcluster sollten mit vom Kunden verwaltetem Schlüssel verschlüsselt werden | Erstellen Sie Azure Monitor Protokollcluster mit vom Kunden verwalteter Schlüsselverschlüsselung. Standardmäßig werden die Protokolldaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind aber häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Der vom Kunden verwaltete Schlüssel in Azure Monitor bietet Ihnen mehr Kontrolle über den Zugriff auf Ihre Daten, siehe Configure von vom Kunden verwalteten Schlüsseln in Azure Monitor. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| [Vorschau]: Azure Recovery Services Tresore sollten kundenseitit verwaltete Schlüssel für die Verschlüsselung von Sicherungsdaten verwenden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand für Ihre Sicherungsdaten zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter https://aka.ms/AB-CmkEncryption. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Azure Stack HCI-Systeme sollten verschlüsselte Volumes haben | Verwenden Sie BitLocker, um das Betriebssystem und datenvolumes auf Azure Stack HCI-Systemen zu verschlüsseln. | Rechnungsprüfung; Arbeitsunfähig; AuditIfNotExists | 1.0.0-Vorschau |
| Azure Stream Analytics Aufträge sollten vom Kunden verwaltete Schlüssel zum Verschlüsseln von Daten verwenden | Verwenden Sie vom Kunden verwaltete Schlüssel, wenn Sie alle Metadaten und privaten Datenressourcen Ihrer Stream Analytics-Aufträge sicher in Ihrem storage Konto speichern möchten. Dadurch haben Sie die gesamte Kontrolle darüber, wie Ihre Stream Analytics-Daten verschlüsselt werden. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Azure Synapse Arbeitsbereiche sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung ruhender Daten zu steuern, die in Azure Synapse Arbeitsbereichen gespeichert sind. Vom Kunden verwaltete Schlüssel bieten eine doppelte Verschlüsselung, indem eine zweite Verschlüsselungsebene über die Standardverschlüsselung mit vom Dienst verwalteten Schlüsseln hinzugefügt wird. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Bot Service sollte mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden | Azure Bot Service verschlüsselt Ihre Ressource automatisch, um Ihre Daten zu schützen und die Sicherheits- und Complianceverpflichtungen der Organisation zu erfüllen. Standardmäßig werden Microsoft verwalteten Verschlüsselungsschlüssel verwendet. Um mehr Flexibilität beim Verwalten von Schlüsseln oder steuern access für Ihr Abonnement zu haben, wählen Sie vom Kunden verwaltete Schlüssel aus, auch bekannt als Bring Your Own Key (BYOK). Erfahren Sie mehr über Azure Bot Service Verschlüsselung: Azure KI Bot Service Verschlüsselung für ruhende Daten. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Both-Betriebssysteme und Datenträger in Azure Kubernetes Service Clustern sollten durch vom Kunden verwaltete Schlüssel verschlüsselt werden | Das Verschlüsseln von Datenträgern für Betriebssystem und Daten mithilfe von kundenseitig verwalteten Schlüsseln bietet mehr Kontrolle und größere Flexibilität bei der Schlüsselverwaltung. Diese Verschlüsselung ist eine gängige Anforderung in vielen gesetzlichen und branchenspezifischen Konformitätsstandards. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Containerregistrierungen sollten mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten für den Inhalt Ihrer Registrierungen zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Customer-Managed Keys for Azure Container Registry. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.2 |
| Die vom Kunden verwaltete Schlüsselverschlüsselung muss als Teil der CMK-Verschlüsselung für von Arc SQL verwaltete Instanzen verwendet werden. | Als Teil der CMK-Verschlüsselung muss die vom Kunden verwaltete Schlüsselverschlüsselung verwendet werden. Weitere Informationen finden Sie unter Encrypt a database with transparent data encryption manually in SQL Managed Instance enabled by Azure Arc. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| DICOM-Dienst sollte einen vom Kunden verwalteten Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie einen vom Kunden verwalteten Schlüssel, um die Verschlüsselung ruhender Daten zu steuern, die in Azure Health Data Services DICOM-Dienst gespeichert sind, wenn dies eine behördliche oder Complianceanforderung ist. Vom Kunden verwaltete Schlüssel bieten auch eine doppelte Verschlüsselung, indem eine zweite Verschlüsselungsebene über dem Standardschlüssel hinzugefügt wird, der mit dienstverwalteten Schlüsseln erledigt wurde. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| ElasticSan Volume Group sollte vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer VolumeGroup zu verwalten. Standardmäßig werden Kundendaten mit plattformverwalteten Schlüsseln verschlüsselt, cmKs sind jedoch üblicherweise erforderlich, um gesetzliche Compliancestandards zu erfüllen. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden, mit voller Kontrolle und Verantwortung, einschließlich Rotation und Verwaltung. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Event Hub-Namespaces sollten einen vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Azure Event Hubs unterstützt die Möglichkeit, ruhende Daten mit Microsoft verwalteten Schlüsseln (Standardschlüssel) oder vom Kunden verwalteten Schlüsseln zu verschlüsseln. Wenn Sie Daten mithilfe von vom Kunden verwalteten Schlüsseln verschlüsseln möchten, können Sie access den Schlüsseln zuweisen, drehen, deaktivieren und widerrufen, die von Event Hub zum Verschlüsseln von Daten in Ihrem Namespace verwendet werden. Beachten Sie, dass Event Hub nur Verschlüsselung mit kundenseitig verwalteten Schlüsseln für Namespaces in dedizierten Clustern unterstützt. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| FHIR Service sollte einen vom Kunden verwalteten Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie einen vom Kunden verwalteten Schlüssel, um die Verschlüsselung ruhender Daten zu steuern, die in Azure Health Data Services FHIR-Dienst gespeichert sind, wenn dies eine behördliche oder Complianceanforderung ist. Vom Kunden verwaltete Schlüssel bieten auch eine doppelte Verschlüsselung, indem eine zweite Verschlüsselungsebene über dem Standardschlüssel hinzugefügt wird, der mit dienstverwalteten Schlüsseln erledigt wurde. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Fluid Relay sollte vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihres Fluid Relay-Servers zu verwalten. Standardmäßig werden Kundendaten mit vom Dienst verwalteten Schlüsseln verschlüsselt, cmKs sind jedoch üblicherweise erforderlich, um gesetzliche Compliancestandards zu erfüllen. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden, mit voller Kontrolle und Verantwortung, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Customer-managed keys for Azure Fluid Relay encryption. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| HPC Cache-Konten sollten den vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Verwalten Sie die Verschlüsselung im ruhenden Azure HPC Cache mit vom Kunden verwalteten Schlüsseln. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.0 |
| [Vorschau]: Daten des IoT Hub Device Provisioning Service müssen mithilfe von kundenseitig verwalteten Schlüsseln (CMKs) verschlüsselt werden | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihres IoT Hub Gerätebereitstellungsdiensts zu verwalten. Die Daten werden automatisch mit ruhenden Schlüsseln mit dienstverwalteten Schlüsseln verschlüsselt, aber cmK (Customer-Managed Keys) sind üblicherweise erforderlich, um gesetzliche Compliancestandards zu erfüllen. CMKs ermöglichen es, die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel zu verschlüsseln. Weitere Informationen zur CMK-Verschlüsselung finden Sie unter https://aka.ms/dps/CMK. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| Logic Apps Integration Service Environment sollte mit vom Kunden verwalteten Schlüsseln verschlüsselt werden | Stellen Sie die Bereitstellung in der Integrationsdienstumgebung bereit, um die Verschlüsselung ruhender Logik-Apps-Daten mithilfe von vom Kunden verwalteten Schlüsseln zu verwalten. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Managed disks sollte mit vom Plattform verwalteten und vom Kunden verwalteten Schlüsseln doppelt verschlüsselt werden | Kunden mit besonders hohen Sicherheitsanforderungen, die befürchten, dass ein einzelner Verschlüsselungsalgorithmus, eine einzelne Verschlüsselungsimplementierung oder ein einzelner Verschlüsselungsschlüssel kompromittiert werden könnte, haben nun die Möglichkeit, eine zusätzliche Verschlüsselungsebene mit einem anderen Verschlüsselungsalgorithmus/-modus auf der Infrastrukturebene zu nutzen (unter Verwendung von plattformseitig verwalteten Schlüsseln). Für die Verwendung der Mehrfachverschlüsselung sind Datenträgerverschlüsselungssätze erforderlich. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure verwalteten Datenträgern. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Managed disks sollte eine bestimmte Gruppe von Datenträgerverschlüsselungssätzen für die vom Kunden verwaltete Schlüsselverschlüsselung verwenden | Wenn Sie eine bestimmte Gruppe von Datenträgerverschlüsselungssätzen benötigen, die mit managed disks verwendet werden müssen, können Sie die für die Verschlüsselung im Ruhezustand verwendeten Schlüssel steuern. Sie können beim Anfügen an einen Datenträger die zulässigen Verschlüsselungssätze auswählen und alle anderen Verschlüsselungssätze ablehnen. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure verwalteten Datenträgern. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| MySQL-Server sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihrer MySQL-Server zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. | AuditIfNotExists; Arbeitsunfähig | 1.0.4 |
| OS und Datenträger sollten mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand der Inhalte Ihrer managed disks zu verwalten. Standardmäßig werden ruhende Daten mit plattformseitig verwalteten Schlüsseln verschlüsselt, aber zur Einhaltung behördlicher Konformitätsstandards werden häufig kundenseitig verwaltete Schlüssel benötigt. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure verwalteten Datenträgern. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.0.0 |
| PostgreSQL flexible Server sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer flexiblen PostgreSQL-Server zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| PostgreSQL-Server sollten vom Kunden verwaltete Schlüssel verwenden, um Ruhedaten zu verschlüsseln | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihrer PostgreSQL-Server zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten Azure Key Vault Schlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. | AuditIfNotExists; Arbeitsunfähig | 1.0.4 |
| Queue Storage sollte den vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Sichern Sie Ihre Warteschlange storage mit mehr Flexibilität mithilfe von vom Kunden verwalteten Schlüsseln. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser Schlüssel verwendet, um access auf den Schlüssel zu schützen und zu steuern, der Ihre Daten verschlüsselt. Die Verwendung von kundenseitig verwalteten Schlüsseln bietet zusätzliche Funktionen zum Steuern der Rotation des Schlüsselverschlüsselungsschlüssels oder zum kryptografischen Löschen von Daten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Service Bus Premium-Namespaces sollten einen vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Azure Service Bus unterstützt die Möglichkeit, ruhende Daten mit Microsoft verwalteten Schlüsseln (Standardschlüssel) oder vom Kunden verwalteten Schlüsseln zu verschlüsseln. Wenn Sie Daten mithilfe von vom Kunden verwalteten Schlüsseln verschlüsseln möchten, können Sie den Zugriff auf die Schlüssel zuweisen, drehen, deaktivieren und widerrufen, die Service Bus zum Verschlüsseln von Daten in Ihrem Namespace verwenden. Beachten Sie, dass Service Bus nur verschlüsselung mit vom Kunden verwalteten Schlüsseln für Premium-Namespaces unterstützt. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| SQL verwaltete Instanzen sollten kundengesteuerte Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Durch die Implementierung von Transparent Data Encryption (TDE) mit Ihrem eigenen Schlüssel erhalten Sie mehr Transparenz und Kontrolle über die TDE-Schutzkomponente, eine erhöhte Sicherheit mit einem HSM-gesicherten externen Dienst und die Förderung der Trennung von Aufgaben. Diese Empfehlung gilt für Organisationen mit entsprechenden Complianceanforderungen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| SQL-Server sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Die Implementierung von Transparent Data Encryption (TDE) mit Ihrem eigenen Schlüssel bietet erhöhte Transparenz und Kontrolle über die TDE-Schutzkomponente, erhöhte Sicherheit mit einem HSM-gesicherten externen Dienst und Förderung der Trennung von Aufgaben. Diese Empfehlung gilt für Organisationen mit entsprechenden Complianceanforderungen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.1 |
| Das Speicherkonto, das den Container mit Aktivitätsprotokollen enthält, muss mit BYOK verschlüsselt sein | Diese Richtlinie überwacht, ob das Speicherkonto, das den Container mit Aktivitätsprotokollen enthält, mit BYOK verschlüsselt ist. Die Richtlinie funktioniert nur, wenn sich das Speicherkonto in demselben Abonnement wie die Aktivitätsprotokolle befindet. Weitere Informationen zur ruhenden Azure Storage Verschlüsselung finden Sie hier https://aka.ms/azurestoragebyok. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Storage Kontoverschlüsselungsbereiche sollten vom Kunden verwaltete Schlüssel verwenden, um ruhende Daten zu verschlüsseln | Verwenden Sie vom Kunden verwaltete Schlüssel, um die Verschlüsselung im Ruhezustand Ihrer storage Kontoverschlüsselungsbereiche zu verwalten. Mit vom Kunden verwalteten Schlüsseln können die Daten mit einem von Ihnen erstellten und von Ihnen erstellten Azure Schlüsseltresorschlüssel verschlüsselt werden. Sie haben volle Kontrolle und Verantwortung für den wichtigsten Lebenszyklus, einschließlich Rotation und Verwaltung. Erfahren Sie mehr über storage Kontoverschlüsselungsbereiche in Encryption-Bereichen für Blob storage. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Storage Kontoverschlüsselungsbereiche sollten die doppelte Verschlüsselung für ruhende Daten verwenden | Aktivieren Sie die Infrastrukturverschlüsselung für die Verschlüsselung ruhender storage Kontoverschlüsselungsbereiche für zusätzliche Sicherheit. Durch die Infrastrukturverschlüsselung wird eine zweimalige Verschlüsselung Ihrer Daten sichergestellt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Storage-Konten sollten den vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Sichern Sie Ihr BLOB und Ihr Datei-storage Konto mit mehr Flexibilität mithilfe von vom Kunden verwalteten Schlüsseln. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser Schlüssel verwendet, um access auf den Schlüssel zu schützen und zu steuern, der Ihre Daten verschlüsselt. Die Verwendung von kundenseitig verwalteten Schlüsseln bietet zusätzliche Funktionen zum Steuern der Rotation des Schlüsselverschlüsselungsschlüssels oder zum kryptografischen Löschen von Daten. | Rechnungsprüfung; Arbeitsunfähig | 1.0.3 |
| Table-Storage sollte den vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden | Sichern Sie Ihre Tabelle storage mit mehr Flexibilität mithilfe von vom Kunden verwalteten Schlüsseln. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser Schlüssel verwendet, um access auf den Schlüssel zu schützen und zu steuern, der Ihre Daten verschlüsselt. Die Verwendung von kundenseitig verwalteten Schlüsseln bietet zusätzliche Funktionen zum Steuern der Rotation des Schlüsselverschlüsselungsschlüssels oder zum kryptografischen Löschen von Daten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
DP-6: Verwenden eines Sicheren Schlüsselverwaltungsprozesses
Weitere Informationen finden Sie unter Datenschutz: DP-6: Verwenden eines Prozesses zur Verwaltung sicherer Schlüssel.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Geheime benannte API Management-Werte sollten in Azure Key Vault gespeichert werden | Benannte Werte sind eine Auflistung von Namen- und Wertpaaren in jedem API Management Dienst. Geheime Werte können entweder als verschlüsselter Text in der API-Verwaltung (benutzerdefinierte geheime Schlüssel) oder durch Verweisen auf geheime Schlüssel in Azure Key Vault gespeichert werden. Um die Sicherheit von API-Verwaltung und geheimen Schlüsseln zu verbessern, verweisen Sie auf geheime werte aus Azure Key Vault. Azure Key Vault unterstützt granulare Zugriffsverwaltungs- und geheime Rotationsrichtlinien. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.2 |
| Azure Cosmos DB-Konten sollten die maximale Anzahl von Tagen, die seit der letzten Kontoschlüsselregenerierung zulässig sind, nicht überschreiten | Regenerieren Sie Ihre Schlüssel in der angegebenen Zeit neu, um Ihre Daten besser zu schützen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Data Factory verknüpfte Dienste sollten Key Vault zum Speichern von geheimen Schlüsseln verwenden | Um sicherzustellen, dass geheime Schlüssel (z. B. Verbindungszeichenfolgen) sicher verwaltet werden, müssen Benutzer geheime Schlüssel mithilfe einer Azure Key Vault bereitstellen, anstatt sie inline in verknüpften Diensten anzugeben. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| [Vorschau]: Azure Key Vault Verwaltete HSM-Schlüssel sollten ein Ablaufdatum aufweisen | Um diese Richtlinie in der Vorschau zu verwenden, müssen Sie zuerst die folgenden Anweisungen befolgen:https://aka.ms/mhsmgovernance Kryptografische Schlüssel sollten ein definiertes Ablaufdatum aufweisen und nicht dauerhaft sein. Schlüssel, die immer gültig sind, bieten einem potenziellen Angreifer mehr Zeit, um den Schlüssel zu kompromittieren. Als empfohlene Sicherheitsmethode sollte für kryptografische Schlüssel ein Ablaufdatum festgelegt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1-Vorschau |
| [Vorschau]: Azure Key Vault Verwaltete HSM-Schlüssel sollten mehr als die angegebene Anzahl von Tagen vor Ablauf aufweisen. | Um diese Richtlinie in der Vorschau zu verwenden, müssen Sie zuerst die folgenden Anweisungen befolgen:https://aka.ms/mhsmgovernance Wenn sich ein Schlüssel zu kurz vor seinem Ablaufdatum befindet, kann es bei einer organisationsbedingten Verzögerung der Rotation des Schlüssels zu einem Ausfall kommen. Schlüssel sollten nach einer angegebenen Anzahl von Tagen vor ihrem Ablauf rotiert werden, damit genügend Zeit ist, um auf Fehler reagieren zu können. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1-Vorschau |
| [Vorschau]: Azure Key Vault Verwaltete HSM-Schlüssel mit elliptischer Kurvenkryptografie sollten die angegebenen Kurvennamen aufweisen | Um diese Richtlinie in der Vorschau zu verwenden, müssen Sie zuerst die folgenden Anweisungen befolgen:https://aka.ms/mhsmgovernance Schlüssel, die durch Kryptografie für elliptische Kurve gesichert sind, können andere Kurvennamen besitzen. Einige Anwendungen sind nur mit bestimmten elliptischen Kurvenschlüsseln kompatibel. Erzwingen Sie die Typen elliptischer Kurvenschlüssel, die für die Erstellung in Ihrer Umgebung zugelassen sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1-Vorschau |
| [Vorschau]: Azure Key Vault Verwaltete HSM-Schlüssel mit RSA-Kryptografie sollten eine bestimmte Mindestschlüsselgröße aufweisen. | Um diese Richtlinie in der Vorschau zu verwenden, müssen Sie zuerst die folgenden Anweisungen befolgen:https://aka.ms/mhsmgovernance Legen Sie die zulässige Mindestschlüsselgröße fest, die mit ihren Schlüsseltresoren verwendet werden kann. Die Verwendung kleiner RSA-Schlüssel ist kein sicheres Verfahren und verstößt gegen viele Zertifizierungsanforderungen nach Industriestandard. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1-Vorschau |
| Für ein verwaltetes Azure Key Vault-HSM muss der Löschschutz aktiviert sein | Das böswillige Löschen eines verwalteten Azure Key Vault-HSM kann zu dauerhaftem Datenverlust führen. Ein böswilliger Insider in Ihrer Organisation kann ein verwaltetes Azure Key Vault-HSM löschen oder bereinigen. Der Löschschutz schützt Sie vor Insiderangriffen, indem ein verbindlicher Aufbewahrungszeitraum für ein vorläufig gelöschtes verwaltetes Azure Key Vault-HSM durchgesetzt wird. Niemand innerhalb Ihrer Organisation oder von Microsoft kann Ihr verwaltetes Azure Key Vault-HSM während des Aufbewahrungszeitraums für vorläufiges Löschen löschen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Verwenden Sie den Schlüsselverwaltungsdienst (Key Management Service, KMS), um ruhende Geheimnisdaten in etcd für die Kubernetes-Clustersicherheit zu verschlüsseln. Weitere Informationen finden Sie unter: https://aka.ms/aks/kmsetcdencryption. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 | |
| Key Vault schlüssel sollten ein Ablaufdatum aufweisen | Kryptografische Schlüssel sollten ein definiertes Ablaufdatum aufweisen und nicht dauerhaft sein. Schlüssel, die immer gültig sind, bieten einem potenziellen Angreifer mehr Zeit, um den Schlüssel zu kompromittieren. Als empfohlene Sicherheitsmethode sollte für kryptografische Schlüssel ein Ablaufdatum festgelegt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.2 |
| Key Vault geheimen Schlüsseln sollte ein Ablaufdatum aufweisen | Geheimnisse sollten ein definiertes Ablaufdatum aufweisen und nicht dauerhaft sein. Geheimnisse, die immer gültig sind, bieten einem potenziellen Angreifer mehr Zeit, sie zu kompromittieren. Als empfohlene Sicherheitsmethode sollte für Geheimnisse ein Ablaufdatum festgelegt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.2 |
| Schlüssel müssen durch ein Hardwaresicherheitsmodul (HSM) gesichert werden | Mit einem Hardwaresicherheitsmodul (HSM) werden Schlüssel gespeichert. Ein HSM bietet eine physische Schutzschicht für kryptografische Schlüssel. Der kryptografische Schlüssel kann ein physisches HSM nicht verlassen, sodass dieser einen höheren Schutz als ein Softwareschlüssel bietet. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Schlüssel müssen den angegebenen kryptografischen Typ (RSA oder EC) aufweisen | Für einige Anwendungen ist die Verwendung von Schlüsseln erforderlich, die auf einem bestimmten kryptografischen Typ beruhen. Hiermit erzwingen Sie in Ihrer Umgebung einen bestimmten kryptografischen Schlüsseltyp: RSA oder EC. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Keys sollten über eine Drehungsrichtlinie verfügen, um sicherzustellen, dass ihre Drehung innerhalb der angegebenen Anzahl von Tagen nach der Erstellung geplant ist. | Verwalten Sie Ihre organisatorischen Complianceanforderungen, indem Sie die maximale Anzahl von Tagen nach der Schlüsselerstellung festlegen, bis der Schlüssel rotiert werden muss. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Schlüssel sollten mehr als die angegebene Anzahl von Tagen bis zum Ablauf gültig sein | Wenn sich ein Schlüssel zu kurz vor seinem Ablaufdatum befindet, kann es bei einer organisationsbedingten Verzögerung der Rotation des Schlüssels zu einem Ausfall kommen. Schlüssel sollten nach einer angegebenen Anzahl von Tagen vor ihrem Ablauf rotiert werden, damit genügend Zeit ist, um auf Fehler reagieren zu können. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Keys sollten die angegebene maximale Gültigkeitsdauer aufweisen | Verwalten Sie die Complianceanforderungen Ihrer Organisation, indem Sie die maximale Zeitspanne in Tagen angeben, die ein Schlüssel innerhalb Ihrer key vault gültig sein kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Keys sollten nicht länger als die angegebene Anzahl von Tagen aktiv sein | Geben Sie die Anzahl von Tagen an, die ein Schlüssel aktiv sein soll. Schlüssel, die für einen längeren Zeitraum verwendet werden, erhöhen die Wahrscheinlichkeit, dass ein Angreifer den Schlüssel kompromittieren könnte. Stellen Sie als bewährte Sicherheitsmaßnahme sicher, dass Ihre Schlüssel nicht länger als zwei Jahre aktiv waren. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Schlüssel mit Kryptografie für elliptische Kurve müssen die angegebenen Kurvennamen verwenden | Schlüssel, die durch Kryptografie für elliptische Kurve gesichert sind, können andere Kurvennamen besitzen. Einige Anwendungen sind nur mit bestimmten elliptischen Kurvenschlüsseln kompatibel. Erzwingen Sie die Typen elliptischer Kurvenschlüssel, die für die Erstellung in Ihrer Umgebung zugelassen sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Schlüssel mit RSA-Kryptografie müssen eine angegebene Mindestgröße für Schlüssel aufweisen | Legen Sie die zulässige Mindestschlüsselgröße fest, die mit ihren Schlüsseltresoren verwendet werden kann. Die Verwendung kleiner RSA-Schlüssel ist kein sicheres Verfahren und verstößt gegen viele Zertifizierungsanforderungen nach Industriestandard. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Secrets sollten mehr als die angegebene Anzahl von Tagen vor Ablauf aufweisen | Wenn sich ein Geheimnis zu nah an seinem Ablaufdatum befindet, kann es bei einer organisationsbedingten Verzögerung der Rotation des Geheimnisses zu einem Ausfall kommen. Geheimnisse sollten nach einer angegebenen Anzahl von Tagen vor ihrem Ablauf rotiert werden, damit genügend Zeit ist, um auf Fehler reagieren zu können. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Secrets sollten die angegebene maximale Gültigkeitsdauer aufweisen | Verwalten Sie die Complianceanforderungen Ihrer Organisation, indem Sie die maximale Zeitspanne in Tagen angeben, die ein geheimer Schlüssel innerhalb Ihrer key vault gültig sein kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Secrets sollten nicht länger als die angegebene Anzahl von Tagen aktiv sein | Wenn Ihre Geheimnisse mit einem in der Zukunft liegenden Aktivierungsdatum erstellt wurden, müssen Sie sicherstellen, dass Ihre Geheimnisse nicht länger als für die angegebene Dauer aktiv sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Storage Kontoschlüssel sollten nicht abgelaufen sein | Stellen Sie sicher, dass der Benutzer storage Kontoschlüssel nicht abgelaufen ist, wenn die Ablaufrichtlinie für Schlüssel festgelegt ist, um die Sicherheit von Kontoschlüsseln zu verbessern, indem Sie Maßnahmen ergreifen, wenn die Schlüssel abgelaufen sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.0.0 |
DP-7: Verwenden eines sicheren Zertifikatverwaltungsprozesses
Weitere Informationen finden Sie unter Datenschutz: DP-7: Verwenden eines sicheren Zertifikatverwaltungsprozesses.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Zertifikate müssen von der angegebenen integrierten Zertifizierungsstelle ausgestellt werden | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem die in Azure integrierten Zertifizierungsstellen angegeben werden, die Zertifikate in Ihrem Schlüsseltresor ausstellen können. Beispiel: Digicert oder GlobalSign. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Zertifikate müssen von der angegebenen nicht integrierten Zertifizierungsstelle ausgestellt werden | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem die benutzerdefinierten oder internen Zertifizierungsstellen angegeben werden, die Zertifikate in Ihrem Schlüsseltresor ausstellen können. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.1 |
| Zertifikate müssen die angegebenen Aktionstrigger für die Gültigkeitsdauer aufweisen | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem angegeben wird, ob nach Ablauf eines bestimmten Prozentsatzes der Zertifikatlaufzeit oder bei Erreichen einer bestimmten Anzahl von Tagen vor Ablauf des Zertifikats eine Aktion zur Zertifikatlebensdauer ausgelöst wird. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Certificates sollten die angegebene maximale Gültigkeitsdauer aufweisen | Verwalten Sie die Complianceanforderungen Ihrer Organisation, indem Sie die maximale Zeit angeben, die ein Zertifikat innerhalb Ihrer key vault gültig sein kann. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 2.2.1 |
| Certificates sollten die angegebene maximale Gültigkeitsdauer aufweisen | Verwalten Sie die Complianceanforderungen Ihrer Organisation, indem Sie die maximale Zeit angeben, die ein Zertifikat innerhalb Ihrer key vault gültig sein kann. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 2.2.1 |
| Certificates sollten nicht innerhalb der angegebenen Anzahl von Tagen ablaufen | Hiermit werden Zertifikate verwaltet, die innerhalb einer angegebenen Anzahl von Tagen ablaufen. So wird sichergestellt, dass Ihre Organisation über genügend Zeit verfügt, vor Ablauf des Zertifikats eine Rotation durchzuführen. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 2.1.1 |
| Zertifikate müssen zulässige Schlüsseltypen verwenden | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem die für Zertifikate zulässigen Schlüsseltypen eingeschränkt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Zertifikate mit Kryptografie für elliptische Kurve müssen zulässige Kurvennamen verwenden | Hiermit werden die zulässigen Kurvennamen für ECC-Zertifikate verwaltet, die im Schlüsseltresor gespeichert sind. Weitere Informationen finden Sie unter https://aka.ms/akvpolicy. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Zertifikate mit Verwendung von RSA-Kryptografie müssen die angegebene Mindestgröße für Schlüssel aufweisen | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem eine mindestens erforderliche Schlüsselgröße für RSA-Zertifikate angegeben wird, die in Ihrem Schlüsseltresor gespeichert sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
DP-8: Sicherstellen der Sicherheit des Schlüssel- und Zertifikat-Repositorys
Weitere Informationen finden Sie unter Datenschutz: DP-8: Sicherstellen der Sicherheit des Schlüssel- und Zertifikatrepositorys.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für Key Vault sollte aktiviert sein | Azure Defender für Key Vault bietet eine zusätzliche Schutz- und Sicherheitsintelligenzebene, indem ungewöhnliche und potenziell schädliche Versuche erkannt werden, auf key vault Konten zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Key Vault sollte die Firewall aktiviert oder der Zugriff auf öffentliche Netzwerke deaktiviert sein | Aktivieren Sie die key vault Firewall so, dass der key vault standardmäßig nicht für öffentliche IPs zugänglich ist oder öffentliche Netzwerk-access für Ihre key vault deaktiviert, sodass sie nicht über das öffentliche Internet zugänglich ist. Optional können Sie bestimmte IP-Bereiche so konfigurieren, dass access auf diese Netzwerke beschränkt werden. Weitere Informationen finden Sie unter: Network security for Azure Key Vault and Integrate Key Vault with Azure Private Link | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.3.0 |
| Azure Key Vaults sollten private Links verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte key vault zuordnen, können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Integrate Key Vault mit Azure Private Link. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.1 |
| Key Vaults sollten den Löschschutz aktiviert haben | Böswillige Löschung eines key vault kann zu dauerhaftem Datenverlust führen. Sie können dauerhaften Datenverlust verhindern, indem Sie den Löschschutz und das vorläufige Löschen aktivieren. Der Löschschutz schützt Sie vor Insiderangriffen, indem ein verbindlicher Aufbewahrungszeitraum für vorläufig gelöschte Schlüsseltresore durchgesetzt wird. Niemand innerhalb Ihrer Organisation oder Microsoft kann Ihre Schlüsseltresor während des Aufbewahrungszeitraums für vorläufige Löschungen löschen. Beachten Sie, dass für Schlüsseltresore, die nach dem 1. September 2019 erstellt wurden, das vorläufige Löschen standardmäßig aktiviert ist. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Key Vaults sollten "Soft Delete" aktiviert sein | Durch das Löschen einer key vault ohne vorläufig aktivierte Löschung werden alle geheimen Schlüssel, Schlüssel und Zertifikate, die im key vault gespeichert sind, endgültig gelöscht. Das versehentliche Löschen eines key vault kann zu dauerhaftem Datenverlust führen. Mit vorläufigem Löschen können Sie einen versehentlich gelöschten key vault für einen konfigurierbaren Aufbewahrungszeitraum wiederherstellen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.1.0 |
| Protokolle in Key Vault sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Geheimnisse sollten einen Inhaltstyp festgelegt haben | Mithilfe eines Inhaltstyptags können Sie identifizieren, ob ein Geheimnis ein Kennwort, eine Verbindungszeichenfolge usw. ist. Andere Geheimnisse haben andere Rotationsanforderungen. Das Inhaltstyptag sollte für Geheimnisse festgelegt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
DS-6: Sicherung des Lebenszyklus der Workloads
Weitere Informationen finden Sie unter DevOps Security: DS-6: Sichern des Workload-Lebenszyklus.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure-Registrierungscontainerimages sollten Sicherheitsrisiken behoben haben (unterstützt von Microsoft Defender Vulnerability Management) | Die Sicherheitsrisikobewertung von Containerimages überprüft Ihre Registrierung auf allgemein bekannte Sicherheitsrisiken (CVEs) und stellt einen detaillierten Sicherheitsrisikobericht für jedes Image bereit. Das Beheben von Sicherheitsrisiken kann Ihren Sicherheitsstatus erheblich verbessern und sicherstellen, dass Images vor der Bereitstellung gefahrlos verwendet werden können. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Azure ausgeführte Containerimages sollten Sicherheitsrisiken behoben haben (unterstützt von Microsoft Defender Vulnerability Management) | Die Sicherheitsrisikobewertung von Containerimages überprüft Ihre Registrierung auf allgemein bekannte Sicherheitsrisiken (CVEs) und stellt einen detaillierten Sicherheitsrisikobericht für jedes Image bereit. Diese Empfehlung bietet Sichtbarkeit für anfällige Images, die derzeit in Ihren Kubernetes-Clustern ausgeführt werden. Das Beheben von Sicherheitsrisiken in containerimages, die derzeit ausgeführt werden, ist der Schlüssel zur Verbesserung Ihres Sicherheitsstatus, wodurch der Angriff surface für Ihre containerisierten Workloads erheblich reduziert wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
ES-1: Verwenden von Endpunkterkennung und -antwort (Endpoint Detection and Response, EDR)
Weitere Informationen finden Sie unter Endpoint Security: ES-1: Verwenden der Endpunkterkennung und -reaktion (EDR).For more information, see Endpoint Security: ES-1: Use Endpoint Detection and Response (EDR).
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für Server sollte aktiviert sein | Azure Defender für Server bietet Echtzeit-Bedrohungsschutz für Serverworkloads und generiert Härtungsempfehlungen sowie Warnungen zu verdächtigen Aktivitäten. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| [Vorschau]: Bereitstellen Microsoft Defender for Endpoint Agent auf Linux-Hybridcomputern | Stellt Microsoft Defender for Endpoint Agent auf Linux-Hybridcomputern bereit | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 2.0.1-Vorschau |
| [Vorschau]: Bereitstellen Microsoft Defender for Endpoint Agents auf virtuellen Linux-Computern | Stellt Microsoft Defender for Endpoint Agent auf anwendbaren Linux-VM-Images bereit. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 3.0.0-Vorschau |
| [Vorschau]: Bereitstellen Microsoft Defender for Endpoint Agents auf Windows Azure Arc Computern | Stellt Microsoft Defender for Endpoint auf Windows Azure Arc Computern bereit. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 2.0.1-Vorschau |
| [Vorschau]: Bereitstellen Microsoft Defender for Endpoint Agent auf Windows virtuellen Computern | Stellt Microsoft Defender for Endpoint für anwendbare Windows VM-Images bereit. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 2.0.1-Vorschau |
ES-2: Verwenden moderner Antischadsoftware
Weitere Informationen finden Sie unter Endpoint Security: ES-2: Verwenden moderner Antischadsoftware.For more information, see Endpoint Security: ES-2: Use modern anti-malware software.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Microsoft Antischadsoftware für Azure sollte so konfiguriert werden, dass automatisch Schutzsignaturen aktualisiert werden | Diese Richtlinie überwacht alle Windows virtuellen Computer, die nicht mit der automatischen Aktualisierung von Microsoft Antischadsoftwareschutzsignaturen konfiguriert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft IaaSAntimalware-Erweiterung sollte auf Windows Servern bereitgestellt werden | Diese Richtlinie überprüft alle Windows Server-VM, ohne dass Microsoft IaaSAntimalware-Erweiterung bereitgestellt wurde. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Windows Defender Exploit Guard sollte auf Ihren Computern aktiviert sein | Windows Defender Exploit Guard verwendet den Azure Policy Gastkonfigurations-Agent. Exploit Guard verfügt über vier Komponenten, die für das Sperren von Geräten gegen eine Vielzahl von Angriffsvektoren ausgelegt sind und verhaltensweisen blockieren, die häufig bei Schadsoftwareangriffen verwendet werden, während Unternehmen ihre Sicherheitsrisiken und Produktivitätsanforderungen ausgleichen können (nur Windows). | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
IM-1: Verwenden eines zentralen Identitäts- und Authentifizierungssystems
Weitere Informationen finden Sie unter Identity Management: IM-1: Verwenden des zentralen Identitäts- und Authentifizierungssystems.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| A-Microsoft Entra Administrator sollte für PostgreSQL-Server bereitgestellt werden | Überwachen Sie die Bereitstellung eines Microsoft Entra Administrators für Ihren PostgreSQL-Server, um Microsoft Entra Authentifizierung zu aktivieren. Microsoft Entra Authentifizierung ermöglicht vereinfachte Berechtigungsverwaltung und zentrale Identitätsverwaltung von Datenbankbenutzern und anderen Microsoft-Dienste | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| An Azure Active Directory Administrator sollte für SQL-Server bereitgestellt werden | Überwachen sie die Bereitstellung eines Azure Active Directory Administrators für Ihren SQL Server, um Azure AD-Authentifizierung zu aktivieren. Azure AD-Authentifizierung ermöglicht vereinfachte Berechtigungsverwaltung und zentrale Identitätsverwaltung von Datenbankbenutzern und anderen Microsoft-Dienste | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Für App Service-Apps muss die Authentifizierung aktiviert sein | Azure App Service Authentifizierung ist ein Feature, das verhindern kann, dass anonyme HTTP-Anforderungen die Web-App erreichen, oder diejenigen authentifizieren, die Token besitzen, bevor sie die Web-App erreichen. | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| App Service-Apps sollten lokale Authentifizierungsmethoden für FTP-Bereitstellungen deaktiviert haben | Durch das Deaktivieren lokaler Authentifizierungsmethoden für FTP-Bereitstellungen wird die Sicherheit verbessert, indem sichergestellt wird, dass App-Dienste ausschließlich Microsoft Entra Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter: Deaktivieren der grundlegenden Authentifizierung für App Service. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| App Service-Apps sollten lokale Authentifizierungsmethoden für SCM-Standortbereitstellungen deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden für SCM-Websites wird die Sicherheit verbessert, indem sichergestellt wird, dass App-Dienste ausschließlich Microsoft Entra Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter: Deaktivieren der grundlegenden Authentifizierung für App Service. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Das Erzwingen der Protokollaufnahme, um Azure Active Directory Authentifizierung zu erfordern, verhindert nicht authentifizierte Protokolle von einem Angreifer, die zu einem falschen Status, falschen Warnungen und falschen Protokollen führen können, die im System gespeichert sind. | Leugnen; Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| Für den Azure Web PubSub-Dienst müssen lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure KI-Suche-Dienste ausschließlich Azure Active Directory-Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter: https://aka.ms/azure-cognitive-search/rbac. Beachten Sie, dass der Parameter "Lokale Authentifizierung deaktivieren" zwar noch in der Vorschau angezeigt wird, der Verweigerungseffekt für diese Richtlinie kann zu eingeschränkter Funktionalität des Azure KI-Suche-Portals führen, da einige Features des Portals die GA-API verwenden, die den Parameter nicht unterstützt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure AI Services-Ressourcen sollten den Schlüsselzugriff deaktiviert haben (lokale Authentifizierung deaktivieren) | Schlüssel access (lokale Authentifizierung) wird empfohlen, aus Sicherheitsgründen deaktiviert zu werden. Azure OpenAI Studio, das in der Regel in Entwicklung/Tests verwendet wird, erfordert schlüsselzugriff und funktioniert nicht, wenn der Schlüsselzugriff deaktiviert ist. Nach dem Deaktivieren wird Microsoft Entra ID zur einzigen Zugriffsmethode, die die Aufrechterhaltung des Minimalberechtigungsprinzips und der granularen Kontrolle ermöglicht. Weitere Informationen finden Sie unter: Authentifizierung in Foundry Tools | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure Automation Konto sollte die lokale Authentifizierungsmethode deaktiviert haben. | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Automation Konten ausschließlich Azure Active Directory Identitäten für die Authentifizierung benötigen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Domänen sollten lokale Authentifizierungsmethoden deaktiviert sein. | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Event Grid Domänen ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/aeg-disablelocalauth. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Partnernamespaces sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Event Grid Partnernamespaces ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/aeg-disablelocalauth. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Themen sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Event Grid Themen ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/aeg-disablelocalauth. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Für Azure Event Hub-Namespaces sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden verbessert sich die Sicherheit, weil hierdurch gewährleistet wird, dass Azure Event Hub-Namespaces ausschließlich Microsoft Entra ID-Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/disablelocalauth-eh. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Kubernetes Service Cluster sollten Microsoft Entra ID Integration aktivieren | Die AKS-verwaltete Microsoft Entra ID-Integration kann den Zugriff auf die Cluster verwalten, indem kubernetes rollenbasierte Zugriffssteuerung (Kubernetes RBAC) basierend auf der Identitäts- oder Verzeichnisgruppenmitgliedschaft eines Benutzers konfiguriert wird. Weitere Informationen finden Sie unter: Enable AKS-managed Microsoft Entra Integration in einen Azure Kubernetes Service Cluster. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| Azure Kubernetes Service Cluster sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Kubernetes Service Cluster ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern sollten. Weitere Informationen finden Sie unter: https://aka.ms/aks-disable-local-accounts. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Machine Learning Computes sollten lokale Authentifizierungsmethoden deaktiviert haben | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Machine Learning Computes Azure Active Directory Identitäten ausschließlich für die Authentifizierung erfordert. Weitere Informationen finden Sie unter: Azure Policy Regulatorische Compliance-Kontrollen für Azure Machine Learning. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| [Vorschau]: Azure Flexibler PostgreSQL-Server sollte Microsoft Entra Nur Authentifizierung aktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden und das Zulassen von nur Microsoft Entra Authentifizierung wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Flexible Server von PostgreSQL ausschließlich über Microsoft Entra Identitäten aufgerufen werden kann. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| Azure Service Bus Namespaces sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Service Bus Namespaces ausschließlich Microsoft Entra ID Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter: https://aka.ms/disablelocalauth-sb. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure SQL-Datenbank sollte die Microsoft Entra-only-Authentifizierung aktiviert sein | Azure SQL logischen Server müssen Microsoft Entra nur Authentifizierung verwenden. Diese Richtlinie verhindert nicht, dass Server mit aktivierter lokaler Authentifizierung erstellt werden. Nach dem Erstellen verhindert sie, dass die lokale Authentifizierung für Ressourcen aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Create Server with Microsoft Entra-Only Authentication Enabled. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure SQL-Datenbank sollte während der Erstellung Microsoft Entra nur die Authentifizierung aktiviert sein | Erfordern, dass Azure SQL logischen Server mit Microsoft Entra-only-Authentifizierung erstellt werden. Diese Richtlinie verhindert nicht, dass die lokale Authentifizierung nach dem Erstellen für Ressourcen erneut aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Create Server with Microsoft Entra-Only Authentication Enabled. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| Azure SQL Managed Instance sollte Microsoft Entra Authentifizierung aktiviert sein | Erfordert, dass Azure SQL Managed Instance die Microsoft Entra-only-Authentifizierung verwenden kann. Diese Richtlinie blockiert nicht, Azure SQL verwaltete Instanzen mit aktivierter lokaler Authentifizierung erstellt werden. Nach dem Erstellen verhindert sie, dass die lokale Authentifizierung für Ressourcen aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Create Server with Microsoft Entra-Only Authentication Enabled. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure SQL Verwaltete Instanzen sollten während der Erstellung Microsoft Entra-only-Authentifizierung aktiviert sein | Erfordert, dass Azure SQL Managed Instance mit Microsoft Entra-Authentifizierung erstellt werden. Diese Richtlinie verhindert nicht, dass die lokale Authentifizierung nach dem Erstellen für Ressourcen erneut aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Create Server with Microsoft Entra-Only Authentication Enabled. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| Für den Azure Web PubSub-Dienst müssen lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Web PubSub Dienst ausschließlich Azure Active Directory Identitäten für die Authentifizierung benötigt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Bot Service sollten lokale Authentifizierungsmethoden deaktiviert sein. | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass ein Bot AAD ausschließlich für die Authentifizierung verwendet. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Für Containerregistrierungen muss die anonyme Authentifizierung deaktiviert sein. | Deaktivieren Sie anonymes Pullen für Ihre Registrierung, damit nicht authentifizierte Benutzer nicht auf Daten zugreifen können. Das Deaktivieren lokaler Authentifizierungsmethoden wie Administratorbenutzer, Repositoryzugriffstoken und anonymer Pull verbessert die Sicherheit, indem sichergestellt wird, dass Containerregistrierungen ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/acr/authentication. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Bei Containerregistrierungen sollte die ARM Zielgruppentoken-Authentifizierung deaktiviert sein. | Deaktivieren Sie Azure Active Directory ARM-Benutzergruppentoken für die Authentifizierung in Ihrer Registrierung. Nur Azure Container Registry (ACR)-Zielgruppentoken werden für die Authentifizierung verwendet. Dadurch wird sichergestellt, dass nur Token für die Verwendung in der Registrierung für die Authentifizierung verwendet werden können. Das Deaktivieren von ARM-Zielgruppentoken wirkt sich nicht auf die Authentifizierung des Administratorbenutzers oder die Authentifizierung von Zugriffstoken im Bereich aus. Weitere Informationen finden Sie unter: https://aka.ms/acr/authentication. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Deaktivieren Sie das Administratorkonto für Ihre Registrierung, damit sie von einem lokalen Administrator nicht zugänglich ist. Das Deaktivieren lokaler Authentifizierungsmethoden wie Administratorbenutzer, Repositoryzugriffstoken und anonymer Pull verbessert die Sicherheit, indem sichergestellt wird, dass Containerregistrierungen ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: Azure Container Registry Authentication Options Explained. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 | |
| Für Containerregistrierungen muss das Zugriffstoken mit Repositorybereich deaktiviert sein. | Deaktivieren Sie repositorybezogene Zugriffstoken für Ihre Registrierung, damit Token nicht auf Repositorys zugreifen können. Das Deaktivieren lokaler Authentifizierungsmethoden wie Administratorbenutzer, Repositoryzugriffstoken und anonymer Pull verbessert die Sicherheit, indem sichergestellt wird, dass Containerregistrierungen ausschließlich Azure Active Directory Identitäten für die Authentifizierung erfordern. Weitere Informationen finden Sie unter: https://aka.ms/acr/authentication. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Cosmos DB-Datenbankkonten sollten lokale Authentifizierungsmethoden deaktiviert sein | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass Cosmos DB-Datenbankkonten ausschließlich Azure Active Directory Identitäten für die Authentifizierung benötigen. Weitere Informationen finden Sie unter: Connect to Azure Cosmos DB for NoSQL using role-based access control and Microsoft Entra ID. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Für Funktions-Apps muss die Authentifizierung aktiviert sein. | Azure App Service Authentifizierung ist ein Feature, mit dem anonyme HTTP-Anforderungen daran gehindert werden können, die Funktions-App zu erreichen, oder die Token authentifizieren, bevor sie die Funktions-App erreichen. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Das Erzwingen der Protokollaufnahme, um Azure Active Directory Authentifizierung zu erfordern, verhindert nicht authentifizierte Protokolle von einem Angreifer, die zu einem falschen Status, falschen Warnungen und falschen Protokollen führen können, die im System gespeichert sind. | Leugnen; Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| Service-Fabric-Cluster sollten nur Azure Active Directory für die Clientauthentifizierung verwenden | Überwachen der Verwendung der Clientauthentifizierung nur über Azure Active Directory in Service Fabric | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Überwachungsanforderung von Azure Active Directory (Azure AD), um Anforderungen für Ihr Speicherkonto zu autorisieren. Standardmäßig können Anforderungen entweder mit Azure Active Directory Anmeldeinformationen oder mithilfe des Kontozugriffsschlüssels für die Autorisierung gemeinsam genutzter Schlüssel autorisiert werden. Von diesen beiden Autorisierungstypen bietet Azure AD eine überlegene Sicherheit und Benutzerfreundlichkeit gegenüber dem freigegebenen Schlüssel und wird von Microsoft empfohlen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 | |
| Storage-Konten sollten verhindern, dass freigegebene Schlüssel access (ausgenommen storage Konten, die von Databricks erstellt wurden) | Überwachungsanforderung von Azure Active Directory (Azure AD), um Anforderungen für Ihr Speicherkonto zu autorisieren. Standardmäßig können Anforderungen entweder mit Azure Active Directory Anmeldeinformationen oder mithilfe des Kontozugriffsschlüssels für die Autorisierung gemeinsam genutzter Schlüssel autorisiert werden. Von diesen beiden Autorisierungstypen bietet Azure AD eine überlegene Sicherheit und Benutzerfreundlichkeit gegenüber dem freigegebenen Schlüssel und wird von Microsoft empfohlen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Synapse-Arbeitsbereiche sollten Microsoft Entra-only-Authentifizierung aktiviert sein | Für Synapse-Arbeitsbereiche muss Microsoft Entra nur die Authentifizierung verwendet werden. Diese Richtlinie verhindert nicht, dass Arbeitsbereiche mit aktivierter lokaler Authentifizierung erstellt werden. Nach dem Erstellen verhindert sie, dass die lokale Authentifizierung für Ressourcen aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Azure Synapse Analytics. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Synapse-Arbeitsbereiche sollten nur Microsoft Entra Identitäten für die Authentifizierung während der Arbeitsbereicherstellung verwenden | Erfordern, dass Synapse-Arbeitsbereiche mit Microsoft Entra Authentifizierung erstellt werden. Diese Richtlinie verhindert nicht, dass die lokale Authentifizierung nach dem Erstellen für Ressourcen erneut aktiviert wird. Erwägen Sie stattdessen die Verwendung der Initiative "Microsoft Entra-only-Authentifizierung", um beides zu erfordern. Weitere Informationen finden Sie unter: Azure Synapse Analytics. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| VPN-Gateways sollten nur Azure Active Directory (Azure AD)-Authentifizierung für Point-to-Site-Benutzer verwenden | Durch das Deaktivieren lokaler Authentifizierungsmethoden wird die Sicherheit verbessert, indem sichergestellt wird, dass VPN-Gateways nur Azure Active Directory Identitäten für die Authentifizierung verwenden. Erfahren Sie mehr über Azure AD-Authentifizierung bei Configure P2S VPN-Gateway für Microsoft Entra ID Authentifizierung | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
CHAT-2: Schützen von Identitäts- und Authentifizierungssystemen
Weitere Informationen finden Sie unter Identity Management: IM-2: Schützen von Identitäts- und Authentifizierungssystemen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Benutzer müssen sich mit mehrstufiger Authentifizierung authentifizieren, um Ressourcen zu erstellen oder zu aktualisieren | Diese Richtliniendefinition blockiert Ressourcenerstellungs- und Aktualisierungsvorgänge, wenn der Aufrufer nicht über MFA authentifiziert wird. Weitere Informationen finden Sie unter Plan für die obligatorische Microsoft Entra mehrstufige Authentifizierung (MFA). | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten
Weitere Informationen finden Sie unter Identity Management: IM-3: Verwalten von Anwendungsidentitäten sicher und automatisch.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| [Vorschau]: Eine verwaltete Identität sollte auf Ihren Computern aktiviert sein | Ressourcen, die von Automanage verwaltet werden, sollten über eine verwaltete Identität verfügen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Hinzufügen einer benutzerseitig zugewiesenen verwalteten Identität zum Aktivieren von Gastkonfigurationszuweisungen auf virtuellen Computern | Diese Richtlinie fügt eine vom Benutzer zugewiesene verwaltete Identität zu virtuellen Computern hinzu, die in Azure gehostet werden, die von der Gastkonfiguration unterstützt werden. Eine benutzerseitig zugewiesene verwaltete Identität ist eine Voraussetzung für alle Gastkonfigurationszuweisungen und muss auf den Computern bereitgestellt werden, bevor eine Richtliniendefinition der Gastkonfiguration verwendet werden kann. Weitere Informationen zur Gastkonfiguration finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 2.1.0-Vorschau |
| App Service App-Slots sollten verwaltete Identitäten verwenden | Verwaltete Identität zur Erhöhung der Authentifizierungssicherheit verwenden | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| App Service-Apps sollten verwaltete Identitäten verwenden | Verwaltete Identität zur Erhöhung der Authentifizierungssicherheit verwenden | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Erstellen Sie eine integrierte, benutzerseitig zugewiesene, verwaltete Identität, und weisen Sie sie zu, oder weisen Sie eine vorab erstellte, benutzerseitig zugewiesene, verwaltete Identität im großen Stil VM-Skalierungsgruppen zu. Ausführlichere Dokumentation finden Sie unter aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 1.1.0-Vorschau | |
| Erstellen Sie eine integrierte, benutzerseitig zugewiesene, verwaltete Identität, und weisen Sie sie zu, oder weisen Sie eine vorab erstellte, benutzerseitig zugewiesene, verwaltete Identität im großen Stil VMs zu. Ausführlichere Dokumentation finden Sie unter aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 1.1.0-Vorschau | |
| Automation-Konto sollte verwaltete Identität aufweisen | Verwenden Sie verwaltete Identitäten als empfohlene Methode zum Authentifizieren mit Azure Ressourcen aus den Runbooks. Verwaltete Identität für die Authentifizierung ist sicherer und beseitigt den Verwaltungsaufwand, der mit der Verwendung des RunAs-Kontos in Ihrem Runbook-Code verknüpft ist. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Data Factory verknüpfte Dienste sollten die vom System zugewiesene verwaltete Identitätsauthentifizierung verwenden, wenn sie unterstützt wird | Die Verwendung der vom System zugewiesenen verwalteten Identität bei der Kommunikation mit Datenspeichern über verknüpfte Dienste vermeidet die Verwendung weniger gesicherter Anmeldeinformationen wie Kennwörter oder Verbindungszeichenfolgen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Azure Kubernetes Service Cluster sollten verwaltete Identitäten verwenden | Verwenden Sie verwaltete Identitäten, um Dienstprinzipale zu umschließen, die Clusterverwaltung zu vereinfachen und die Komplexität zu vermeiden, die für verwaltete Dienstprinzipale erforderlich ist. Weitere Informationen finden Sie unter: https://aka.ms/aks-update-managed-identities | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Azure Machine Learning Arbeitsbereiche sollten vom Benutzer zugewiesene verwaltete Identität verwenden | Manange Zugriff auf Azure ML-Arbeitsbereich und zugeordnete Ressourcen, Azure Container Registry, KeyVault, Storage und App Insights mithilfe der vom Benutzer zugewiesenen verwalteten Identität. Standardmäßig wird vom vom System zugewiesene verwaltete Identität von Azure ML-Arbeitsbereich verwendet, um auf die zugeordneten Ressourcen zuzugreifen. Mit der vom Benutzer zugewiesenen verwalteten Identität können Sie die Identität als Azure Ressource erstellen und den Lebenszyklus dieser Identität verwalten. Weitere Informationen finden Sie unter Set up authentication between Azure Machine Learning and other services. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Cognitive Services-Konten sollten eine verwaltete Identität verwenden | Das Zuweisen einer verwalteten Identität zu Ihrem Cognitive Services-Konto gewährleistet eine sicherere Authentifizierung. Diese Identität wird von diesem Cognitive Service-Konto verwendet, um mit anderen Azure-Diensten wie Azure Key Vault sicher zu kommunizieren, ohne dass Sie Anmeldeinformationen verwalten müssen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Communication-Dienstressource sollte eine verwaltete Identität verwenden | Durch das Zuweisen einer verwalteten Identität zu Ihrer Kommunikationsdienstressource wird die sichere Authentifizierung sichergestellt. Diese Identität wird von dieser Kommunikationsdienstressource verwendet, um mit anderen Azure Diensten wie Azure Storage auf sichere Weise zu kommunizieren, ohne dass Sie Anmeldeinformationen verwalten müssen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Erstellen und Zuweisen einer integrierten benutzerzugewiesenen verwalteten Identität | Weisen Sie eine integrierte benutzerseitig zugewiesene verwaltete Identität im großen Stil zu SQL-VMs zu. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 1.8.0 |
| Function-Apps sollten verwaltete Identitäten verwenden | Verwaltete Identität zur Erhöhung der Authentifizierungssicherheit verwenden | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| [Vorschau]: Verwaltete Identitätsverbundanmeldeinformationen aus Azure Kubernetes sollten aus vertrauenswürdigen Quellen stammen | Diese Richtlinie beschränkt die Verbundfunktion mit Azure Kubernetes-Clustern auf Nur Cluster von genehmigten Mandanten, genehmigten Regionen und eine bestimmte Ausnahmeliste zusätzlicher Cluster. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0-Vorschau |
| [Vorschau]: Verwaltete Identitätsverbundanmeldeinformationen aus GitHub sollten von vertrauenswürdigen Repositorybesitzern stammen | Diese Richtlinie beschränkt den Partnerverbund mit GitHub Repositorybesitzern nur auf genehmigte Repositorybesitzer. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.1-Vorschau |
| [Vorschau]: Verwaltete Identitätsverbundanmeldeinformationen sollten aus zulässigen Ausstellertypen stammen | Diese Richtlinie beschränkt, ob verwaltete Identitäten Verbundanmeldeinformationen verwenden können, welche gängigen Ausstellertypen zulässig sind, und stellt eine Liste zulässiger Ausstellerausnahmen bereit. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0-Vorschau |
| Managed Identity sollte für Container-Apps aktiviert sein | Durch erzwingen der verwalteten Identität wird sichergestellt, dass Container-Apps sich sicher bei jeder Ressource authentifizieren können, die Azure AD-Authentifizierung unterstützt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Stream Analytics-Auftrag sollte verwaltete Identität zum Authentifizieren von Endpunkten verwenden | Stellen Sie sicher, dass Stream Analytics-Aufträge nur mithilfe der verwalteten Identitätsauthentifizierung eine Verbindung mit Endpunkten herstellen. | Leugnen; Arbeitsunfähig; Rechnungsprüfung | 1.0.0 |
| die Gastkonfigurationserweiterung Virtual machines sollte mit der vom System zugewiesenen verwalteten Identität bereitgestellt werden | Für die Gastkonfigurationserweiterung wird eine systemseitig zugewiesene verwaltete Identität benötigt. Azure virtuellen Computer im Bereich dieser Richtlinie sind nicht kompatibel, wenn die Gastkonfigurationserweiterung installiert ist, aber keine verwaltete Identität des Systems zugewiesen ist. Weitere Informationen finden Sie unter Understand Azure Computerkonfiguration | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
CHAT-4: Authentifizieren von Servern und Diensten
Weitere Informationen finden Sie unter Identity Management: IM-4: Authentifizieren von Servern und Diensten.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| API-Endpunkte in Azure API Management sollten authentifiziert werden | API-Endpunkte, die in Azure API Management veröffentlicht wurden, sollten die Authentifizierung erzwingen, um das Sicherheitsrisiko zu minimieren. Authentifizierungsmechanismen werden manchmal falsch implementiert oder fehlen. Dadurch können Angreifer Implementierungsfehler ausnutzen und Daten access. Erfahren Sie mehr über die OWASP-API-Bedrohung für fehlerhafte Benutzerauthentifizierung hier: |
AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| API Management Aufrufe an API-Back-Ends sollten authentifiziert werden | Aufrufe von API Management an Back-Ends sollten eine Form der Authentifizierung verwenden, ob über Zertifikate oder Anmeldeinformationen. Gilt nicht für Service Fabric Back-Ends. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.1 |
| API Management Aufrufe von API-Back-Ends sollten keine Zertifikatfingerabdruck- oder Namensüberprüfung umgehen | Um die API-Sicherheit zu verbessern, sollte API Management das Back-End-Serverzertifikat für alle API-Aufrufe überprüfen. Aktivieren Sie den SSL-Zertifikatfingerabdruck und die Namensvalidierung. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.2 |
| Für App Service-App-Slots sollten Clientzertifikate (eingehende Clientzertifikate) aktiviert sein | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit einem gültigen Zertifikat können auf die App zugreifen. Diese Richtlinie gilt für Apps mit HTTP-Version 1.1. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure SQL-Datenbank sollte TLS Version 1.2 oder höher ausführen | Das Festlegen der TLS-Version auf 1.2 oder höher verbessert die Sicherheit, indem sichergestellt wird, dass Auf Ihre Azure SQL-Datenbank nur von Clients mit TLS 1.2 oder höher zugegriffen werden kann. Niedrigere TLS-Versionen als Version 1.2 weisen gut dokumentierte Sicherheitsrisiken auf und sind daher zu vermeiden. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.0 |
Chat-6: Verwenden sicherer Authentifizierungssteuerelemente
Weitere Informationen finden Sie unter Identity Management: IM-6: Verwenden sicherer Authentifizierungssteuerelemente.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Authentication für Linux-Computer sollte SSH-Schlüssel erfordern | SSH stellt zwar bereits eine verschlüsselte Verbindung bereit, bei Verwendung von Kennwörtern für SSH ist der virtuelle Computer jedoch weiterhin anfällig für Brute-Force-Angriffe. Die sicherste Option für die Authentifizierung bei einem Azure virtuellen Linux-Computer über SSH ist ein öffentliches schlüsselpaar, auch als SSH-Schlüssel bezeichnet. Weitere Informationen: Detailed steps: Create and manage SSH keys for authentication to a Linux VM in Azure. | AuditIfNotExists; Arbeitsunfähig | 3.2.0 |
Chat-8: Einschränken der Offenlegung von Anmeldeinformationen und geheimen Schlüsseln
Weitere Informationen finden Sie unter Identity Management: IM-8: Einschränken der Offenlegung von Anmeldeinformationen und geheimen Schlüsseln.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Geheime benannte API Management-Werte sollten in Azure Key Vault gespeichert werden | Benannte Werte sind eine Auflistung von Namen- und Wertpaaren in jedem API Management Dienst. Geheime Werte können entweder als verschlüsselter Text in der API-Verwaltung (benutzerdefinierte geheime Schlüssel) oder durch Verweisen auf geheime Schlüssel in Azure Key Vault gespeichert werden. Um die Sicherheit von API-Verwaltung und geheimen Schlüsseln zu verbessern, verweisen Sie auf geheime werte aus Azure Key Vault. Azure Key Vault unterstützt granulare Zugriffsverwaltungs- und geheime Rotationsrichtlinien. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.2 |
| Machines sollten geheime Erkenntnisse aufgelöst haben | Audits virtual machines, um zu ermitteln, ob sie geheime Erkenntnisse aus den geheimen Scanlösungen für Ihre virtual machines enthalten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
IR-2: Vorbereitung – Einrichten von Ereignisbenachrichtigungen
Weitere Informationen finden Sie unter Vorfallreaktion: IR-2: Vorbereitung – Einrichtung von Vorfallbenachrichtigungen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Email-Benachrichtigung für Warnungen mit hohem Schweregrad sollte aktiviert sein | Aktivieren Sie E-Mail-Benachrichtigungen für Warnungen mit hohem Schweregrad in Security Center, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists; Arbeitsunfähig | 1.2.0 |
| Email-Benachrichtigung an den Abonnementbesitzer für Warnungen mit hohem Schweregrad sollte aktiviert sein | Legen Sie E-Mail-Benachrichtigungen für Abonnementbesitzer für Warnungen mit hohem Schweregrad in Security Center fest, um sicherzustellen, dass Ihre Abonnementbesitzer benachrichtigt werden, wenn es für ihr Abonnement zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Subscriptions sollte über eine E-Mail-Adresse für Kontaktinformationen verfügen | Legen Sie eine für die Sicherheit zuständige Kontaktperson fest, die E-Mail-Benachrichtigungen von Security Center erhalten soll, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
IR-3: Erkennung und Analyse – Erstellen von Vorfällen basierend auf Warnungen mit hoher Qualität
Weitere Informationen finden Sie unter Vorfallreaktion: IR-3: Erkennung und Analyse – Erstellen von Vorfällen basierend auf qualitativ hochwertigen Warnungen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für App Service sollte aktiviert sein | Azure Defender für App Service nutzt den Umfang der Cloud und die Sichtbarkeit, die Azure als Cloudanbieter hat, um allgemeine Web-App-Angriffe zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Azure SQL-Datenbank Server sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für Key Vault sollte aktiviert sein | Azure Defender für Key Vault bietet eine zusätzliche Schutz- und Sicherheitsintelligenzebene, indem ungewöhnliche und potenziell schädliche Versuche erkannt werden, auf key vault Konten zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Resource Manager sollte aktiviert sein | Azure Defender für Resource Manager überwacht automatisch die Ressourcenverwaltungsvorgänge in Ihrer Organisation. Azure Defender erkennt Bedrohungen und warnt Sie über verdächtige Aktivitäten. Erfahren Sie mehr über die Funktionen von Azure Defender für Resource Manager unter Microsoft Defender für Resource Manager – Vorteile und Features . Das Aktivieren dieses Azure Defender Plans führt zu Gebühren. Erfahren Sie mehr über die Preisdetails pro Region auf der Preisseite von Security Center: Pricing - Microsoft Defender for Cloud . | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL-Server auf Computern sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL sollte für nicht geschützte Azure SQL Server aktiviert sein | Überwachen von SQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Azure Defender für SQL sollte für nicht geschützte mySQL-flexible Server aktiviert sein | Überwachen von flexiblen MySQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für ungeschützte flexible PostgreSQL-Server aktiviert sein | Überwachen von flexiblen PostgreSQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Überwachen Sie jede SQL Managed Instance ohne erweiterte Datensicherheit. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für relationale Open-Source-Datenbanken sollten aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anomale Aktivitäten, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. Erfahren Sie mehr über die Funktionen von Azure Defender für relationale Open Source-Datenbanken unter Overview von Defender für Open-Source relationale Datenbanken. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Erfahren Sie mehr über die Preise auf der Preisseite von Security Center: Pricing – Microsoft Defender for Cloud | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für Server sollte aktiviert sein | Azure Defender für Server bietet Echtzeit-Bedrohungsschutz für Serverworkloads und generiert Härtungsempfehlungen sowie Warnungen zu verdächtigen Aktivitäten. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender CSPM sollte aktiviert sein | Defender Cloud Security Posture Management (CSPM) bietet erweiterte Haltungsfunktionen und ein neues intelligentes Cloudsicherheitsdiagramm, um Risiken zu identifizieren, zu priorisieren und zu reduzieren. Defender CSPM ist zusätzlich zu den kostenlosen grundlegenden Sicherheitsstatusfunktionen verfügbar, die standardmäßig in Defender for Cloud aktiviert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für APIs sollte aktiviert sein | Microsoft Defender für APIs bietet neue Erkennungs-, Schutz-, Erkennungs- und Reaktionsabdeckungen, um auf allgemeine API-basierte Angriffe und Sicherheitsfehler zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender für Container sollte aktiviert sein | Microsoft Defender für Container bietet Härtung, Sicherheitsrisikobewertung und Laufzeitschutz für Ihre Azure-, Hybrid- und Multi-Cloud Kubernetes-Umgebungen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für SQL sollte für nicht geschützte Synapse-Arbeitsbereiche aktiviert sein | Aktivieren Sie Defender für SQL, um Ihre Synapse-Arbeitsbereiche zu schützen. Defender für SQL überwacht Ihre Synapse SQL, um anomale Aktivitäten zu erkennen, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für den Speicher sollte aktiviert sein | Microsoft Defender für Speicher erkennt potenzielle Bedrohungen für Ihre Speicherkonten. Es hilft, die drei wichtigsten Auswirkungen auf Ihre Daten und Ihren Workload zu verhindern: Upload von Schadsoftware, Exfiltration vertraulicher Daten und Datenbeschädigung. Die neue Defender für den Speicherplan umfasst Schadsoftwareüberprüfung und die Erkennung vertraulicher Daten. Dieser Plan bietet auch eine vorhersehbare Preisstruktur (pro storage Konto) für die Kontrolle über Die Abdeckung und Kosten. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| SQL server-targeted autoprovisioning sollte für SQL-Server auf Computerplan aktiviert sein | Um sicherzustellen, dass Ihre SQL-VMs und arcfähigen SQL-Server geschützt sind, stellen Sie sicher, dass der SQL-gezielte Azure Monitoring Agent für die automatische Bereitstellung konfiguriert ist. Dies ist auch erforderlich, wenn Sie die automatische Bereitstellung des Microsoft Monitoring Agent zuvor konfiguriert haben, da diese Komponente veraltet ist. Weitere Informationen: Migrate zum Defender für SQL auf Computern mit AMA | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
IR-4: Erkennung und Analyse – Untersuchen eines Vorfalls
Weitere Informationen finden Sie unter Vorfallreaktion: IR-4: Erkennung und Analyse – Untersuchen eines Vorfalls.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Network Watcher sollte aktiviert sein | Network Watcher ist ein regionaler Dienst, mit dem Sie Bedingungen auf Netzwerkszenarioebene in, in und von Azure aus überwachen und diagnostizieren können. Die Überwachung auf Szenarioebene erlaubt die umfassende Diagnose von Problemen auf Netzwerkebene. Es ist erforderlich, dass eine network watcher Ressourcengruppe in jeder Region erstellt werden muss, in der ein virtual network vorhanden ist. Eine Warnung ist aktiviert, wenn eine network watcher Ressourcengruppe in einer bestimmten Region nicht verfügbar ist. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
IR-5: Erkennung und Analyse – Priorisieren von Vorfällen
Weitere Informationen finden Sie unter Vorfallreaktion: IR-5: Erkennung und Analyse – Priorisieren von Vorfällen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für App Service sollte aktiviert sein | Azure Defender für App Service nutzt den Umfang der Cloud und die Sichtbarkeit, die Azure als Cloudanbieter hat, um allgemeine Web-App-Angriffe zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Azure SQL-Datenbank Server sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für Key Vault sollte aktiviert sein | Azure Defender für Key Vault bietet eine zusätzliche Schutz- und Sicherheitsintelligenzebene, indem ungewöhnliche und potenziell schädliche Versuche erkannt werden, auf key vault Konten zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Resource Manager sollte aktiviert sein | Azure Defender für Resource Manager überwacht automatisch die Ressourcenverwaltungsvorgänge in Ihrer Organisation. Azure Defender erkennt Bedrohungen und warnt Sie über verdächtige Aktivitäten. Erfahren Sie mehr über die Funktionen von Azure Defender für Resource Manager unter Microsoft Defender für Resource Manager – Vorteile und Features . Das Aktivieren dieses Azure Defender Plans führt zu Gebühren. Erfahren Sie mehr über die Preisdetails pro Region auf der Preisseite von Security Center: Pricing - Microsoft Defender for Cloud . | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL-Server auf Computern sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL sollte für nicht geschützte Azure SQL Server aktiviert sein | Überwachen von SQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Azure Defender für SQL sollte für nicht geschützte mySQL-flexible Server aktiviert sein | Überwachen von flexiblen MySQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für ungeschützte flexible PostgreSQL-Server aktiviert sein | Überwachen von flexiblen PostgreSQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Überwachen Sie jede SQL Managed Instance ohne erweiterte Datensicherheit. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für relationale Open-Source-Datenbanken sollten aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anomale Aktivitäten, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. Erfahren Sie mehr über die Funktionen von Azure Defender für relationale Open Source-Datenbanken unter Overview von Defender für Open-Source relationale Datenbanken. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Erfahren Sie mehr über die Preise auf der Preisseite von Security Center: Pricing – Microsoft Defender for Cloud | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für Server sollte aktiviert sein | Azure Defender für Server bietet Echtzeit-Bedrohungsschutz für Serverworkloads und generiert Härtungsempfehlungen sowie Warnungen zu verdächtigen Aktivitäten. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender CSPM sollte aktiviert sein | Defender Cloud Security Posture Management (CSPM) bietet erweiterte Haltungsfunktionen und ein neues intelligentes Cloudsicherheitsdiagramm, um Risiken zu identifizieren, zu priorisieren und zu reduzieren. Defender CSPM ist zusätzlich zu den kostenlosen grundlegenden Sicherheitsstatusfunktionen verfügbar, die standardmäßig in Defender for Cloud aktiviert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für APIs sollte aktiviert sein | Microsoft Defender für APIs bietet neue Erkennungs-, Schutz-, Erkennungs- und Reaktionsabdeckungen, um auf allgemeine API-basierte Angriffe und Sicherheitsfehler zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender für Container sollte aktiviert sein | Microsoft Defender für Container bietet Härtung, Sicherheitsrisikobewertung und Laufzeitschutz für Ihre Azure-, Hybrid- und Multi-Cloud Kubernetes-Umgebungen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für SQL sollte für nicht geschützte Synapse-Arbeitsbereiche aktiviert sein | Aktivieren Sie Defender für SQL, um Ihre Synapse-Arbeitsbereiche zu schützen. Defender für SQL überwacht Ihre Synapse SQL, um anomale Aktivitäten zu erkennen, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für den Speicher sollte aktiviert sein | Microsoft Defender für Speicher erkennt potenzielle Bedrohungen für Ihre Speicherkonten. Es hilft, die drei wichtigsten Auswirkungen auf Ihre Daten und Ihren Workload zu verhindern: Upload von Schadsoftware, Exfiltration vertraulicher Daten und Datenbeschädigung. Die neue Defender für den Speicherplan umfasst Schadsoftwareüberprüfung und die Erkennung vertraulicher Daten. Dieser Plan bietet auch eine vorhersehbare Preisstruktur (pro storage Konto) für die Kontrolle über Die Abdeckung und Kosten. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| SQL server-targeted autoprovisioning sollte für SQL-Server auf Computerplan aktiviert sein | Um sicherzustellen, dass Ihre SQL-VMs und arcfähigen SQL-Server geschützt sind, stellen Sie sicher, dass der SQL-gezielte Azure Monitoring Agent für die automatische Bereitstellung konfiguriert ist. Dies ist auch erforderlich, wenn Sie die automatische Bereitstellung des Microsoft Monitoring Agent zuvor konfiguriert haben, da diese Komponente veraltet ist. Weitere Informationen: Migrate zum Defender für SQL auf Computern mit AMA | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
LT-1: Aktivieren von Funktionen für die Bedrohungserkennung
Weitere Informationen finden Sie unter Protokollierung und Bedrohungserkennung: LT-1: Aktivieren von Bedrohungserkennungsfunktionen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| [Vorschau]: Azure Arc aktivierten Kubernetes-Cluster sollten Microsoft Defender for Cloud Erweiterung installiert sein | Microsoft Defender for Cloud Erweiterung für Azure Arc bietet Bedrohungsschutz für Ihre Arc-aktivierten Kubernetes-Cluster. Die Erweiterung sammelt Daten von allen Knoten im Cluster und sendet sie zur weiteren Analyse an den Azure Defender für Kubernetes-Back-End in der Cloud. Weitere Informationen finden Sie in Secure score in Defender for Cloud. | AuditIfNotExists; Arbeitsunfähig | 6.0.0-Vorschau |
| Azure Defender für App Service sollte aktiviert sein | Azure Defender für App Service nutzt den Umfang der Cloud und die Sichtbarkeit, die Azure als Cloudanbieter hat, um allgemeine Web-App-Angriffe zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Azure SQL-Datenbank Server sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für Key Vault sollte aktiviert sein | Azure Defender für Key Vault bietet eine zusätzliche Schutz- und Sicherheitsintelligenzebene, indem ungewöhnliche und potenziell schädliche Versuche erkannt werden, auf key vault Konten zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für relationale Open-Source-Datenbanken sollten aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anomale Aktivitäten, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. Erfahren Sie mehr über die Funktionen von Azure Defender für relationale Open Source-Datenbanken unter Overview von Defender für Open-Source relationale Datenbanken. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Erfahren Sie mehr über die Preise auf der Preisseite von Security Center: Pricing – Microsoft Defender for Cloud | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für Resource Manager sollte aktiviert sein | Azure Defender für Resource Manager überwacht automatisch die Ressourcenverwaltungsvorgänge in Ihrer Organisation. Azure Defender erkennt Bedrohungen und warnt Sie über verdächtige Aktivitäten. Erfahren Sie mehr über die Funktionen von Azure Defender für Resource Manager unter Microsoft Defender für Resource Manager – Vorteile und Features . Das Aktivieren dieses Azure Defender Plans führt zu Gebühren. Erfahren Sie mehr über die Preisdetails pro Region auf der Preisseite von Security Center: Pricing - Microsoft Defender for Cloud . | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für Server sollte aktiviert sein | Azure Defender für Server bietet Echtzeit-Bedrohungsschutz für Serverworkloads und generiert Härtungsempfehlungen sowie Warnungen zu verdächtigen Aktivitäten. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für SQL-Server auf Computern sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL sollte für nicht geschützte Azure SQL Server aktiviert sein | Überwachen von SQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Azure Defender für SQL sollte für nicht geschützte mySQL-flexible Server aktiviert sein | Überwachen von flexiblen MySQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für ungeschützte flexible PostgreSQL-Server aktiviert sein | Überwachen von flexiblen PostgreSQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Überwachen Sie jede SQL Managed Instance ohne erweiterte Datensicherheit. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Kubernetes Service-Cluster sollten Defender Profil aktiviert sein | Microsoft Defender für Container bietet cloudeigene Kubernetes-Sicherheitsfunktionen, einschließlich Umgebungshärtung, Workloadschutz und Laufzeitschutz. Wenn Sie securityProfile.AzureDefender auf Ihrem Azure Kubernetes Service-Cluster aktivieren, wird ein Agent für Ihren Cluster bereitgestellt, um Sicherheitsereignisdaten zu sammeln. Weitere Informationen zu Microsoft Defender für Container in Manage MCSB-Empfehlungen in Defender for Cloud | Rechnungsprüfung; Arbeitsunfähig | 2.0.1 |
| [Vorschau]: Die ChangeTracking-Erweiterung sollte auf Ihrem Linux Arc-Computer installiert sein | Installieren Sie die ChangeTracking-Erweiterung auf Linux Arc-Computern, um die Dateiintegritätsüberwachung (FILE Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Die ChangeTracking-Erweiterung sollte auf Ihrer Linux-VM installiert sein | Installieren Sie die ChangeTracking-Erweiterung auf virtuellen Linux-Computern, um die Dateiintegritätsüberwachung (File Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 2.0.0-preview |
| ChangeTracking-Erweiterung sollte auf Ihren virtuellen Linux-Computer-Skalierungssätzen installiert werden | Installieren Sie changeTracking Extension auf virtuellen Linux-Computer-Skalierungssätzen, um die Dateiintegritätsüberwachung (FILE Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| [Vorschau]: ChangeTracking-Erweiterung sollte auf Ihrem Windows Arc-Computer installiert sein | Installieren Sie die ChangeTracking-Erweiterung auf Windows Arc-Computern, um die Dateiintegritätsüberwachung (FILE Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: ChangeTracking-Erweiterung sollte auf Ihrem Windows virtuellen Computer installiert sein | Installieren Sie die ChangeTracking-Erweiterung auf Windows virtuellen Computern, um die Dateiintegritätsüberwachung (File Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 2.0.0-preview |
| ChangeTracking-Erweiterung sollte auf Ihren Windows VM-Skalierungssätzen installiert werden | Installieren Sie die ChangeTracking-Erweiterung auf Windows Skalierungsgruppen für virtuelle Computer, um die Dateiintegritätsüberwachung (File Integrity Monitoring, FIM) in Azure Security Center zu aktivieren. FIM untersucht Betriebssystemdateien, Windows Registrierungen, Anwendungssoftware, Linux-Systemdateien und vieles mehr auf Änderungen, die auf einen Angriff hindeuten könnten. Die Erweiterung kann auf virtuellen Computern und Speicherorten installiert werden, die von Azure Monitoring Agent unterstützt werden. | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Microsoft Defender CSPM sollte aktiviert sein | Defender Cloud Security Posture Management (CSPM) bietet erweiterte Haltungsfunktionen und ein neues intelligentes Cloudsicherheitsdiagramm, um Risiken zu identifizieren, zu priorisieren und zu reduzieren. Defender CSPM ist zusätzlich zu den kostenlosen grundlegenden Sicherheitsstatusfunktionen verfügbar, die standardmäßig in Defender for Cloud aktiviert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für APIs sollte aktiviert sein | Microsoft Defender für APIs bietet neue Erkennungs-, Schutz-, Erkennungs- und Reaktionsabdeckungen, um auf allgemeine API-basierte Angriffe und Sicherheitsfehler zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Microsoft Defender für Azure Cosmos DB sollte aktiviert sein | Microsoft Defender für Azure Cosmos DB ist eine systemeigene Azure-Sicherheitsebene, die Versuche erkennt, Datenbanken in Ihren Azure Cosmos DB-Konten auszunutzen. Defender für Azure Cosmos DB erkennt potenzielle SQL-Einfügungen, bekannte schlechte Akteure basierend auf Microsoft Threat Intelligence, verdächtigen Zugriffsmustern und potenziellen Ausbeutung Ihrer Datenbank durch kompromittierte Identitäten oder böswillige Insider. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für Container sollte aktiviert sein | Microsoft Defender für Container bietet Härtung, Sicherheitsrisikobewertung und Laufzeitschutz für Ihre Azure-, Hybrid- und Multi-Cloud Kubernetes-Umgebungen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für SQL sollte für nicht geschützte Synapse-Arbeitsbereiche aktiviert sein | Aktivieren Sie Defender für SQL, um Ihre Synapse-Arbeitsbereiche zu schützen. Defender für SQL überwacht Ihre Synapse SQL, um anomale Aktivitäten zu erkennen, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für den Speicher sollte aktiviert sein | Microsoft Defender für Speicher erkennt potenzielle Bedrohungen für Ihre Speicherkonten. Es hilft, die drei wichtigsten Auswirkungen auf Ihre Daten und Ihren Workload zu verhindern: Upload von Schadsoftware, Exfiltration vertraulicher Daten und Datenbeschädigung. Die neue Defender für den Speicherplan umfasst Schadsoftwareüberprüfung und die Erkennung vertraulicher Daten. Dieser Plan bietet auch eine vorhersehbare Preisstruktur (pro storage Konto) für die Kontrolle über Die Abdeckung und Kosten. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Security Center Standard-Tarif muss ausgewählt sein | Die Standardpreisstufe ermöglicht die Bedrohungserkennung für Netzwerke und virtuelle Computer, bietet Bedrohungserkennung, Anomalieerkennung und Verhaltensanalysen in Azure Security Center | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
| SQL server-targeted autoprovisioning sollte für SQL-Server auf Computerplan aktiviert sein | Um sicherzustellen, dass Ihre SQL-VMs und arcfähigen SQL-Server geschützt sind, stellen Sie sicher, dass der SQL-gezielte Azure Monitoring Agent für die automatische Bereitstellung konfiguriert ist. Dies ist auch erforderlich, wenn Sie die automatische Bereitstellung des Microsoft Monitoring Agent zuvor konfiguriert haben, da diese Komponente veraltet ist. Weitere Informationen: Migrate zum Defender für SQL auf Computern mit AMA | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Windows Defender Exploit Guard sollte auf Ihren Computern aktiviert sein | Windows Defender Exploit Guard verwendet den Azure Policy Gastkonfigurations-Agent. Exploit Guard verfügt über vier Komponenten, die für das Sperren von Geräten gegen eine Vielzahl von Angriffsvektoren ausgelegt sind und verhaltensweisen blockieren, die häufig bei Schadsoftwareangriffen verwendet werden, während Unternehmen ihre Sicherheitsrisiken und Produktivitätsanforderungen ausgleichen können (nur Windows). | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
LT-2: Aktivieren der Bedrohungserkennung für identitäts- und access verwaltung
Weitere Informationen finden Sie unter Logging and Threat Detection: LT-2: Enable threat detection for identity and access management.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Defender für App Service sollte aktiviert sein | Azure Defender für App Service nutzt den Umfang der Cloud und die Sichtbarkeit, die Azure als Cloudanbieter hat, um allgemeine Web-App-Angriffe zu überwachen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Azure SQL-Datenbank Server sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für Key Vault sollte aktiviert sein | Azure Defender für Key Vault bietet eine zusätzliche Schutz- und Sicherheitsintelligenzebene, indem ungewöhnliche und potenziell schädliche Versuche erkannt werden, auf key vault Konten zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Defender für Resource Manager sollte aktiviert sein | Azure Defender für Resource Manager überwacht automatisch die Ressourcenverwaltungsvorgänge in Ihrer Organisation. Azure Defender erkennt Bedrohungen und warnt Sie über verdächtige Aktivitäten. Erfahren Sie mehr über die Funktionen von Azure Defender für Resource Manager unter Microsoft Defender für Resource Manager – Vorteile und Features . Das Aktivieren dieses Azure Defender Plans führt zu Gebühren. Erfahren Sie mehr über die Preisdetails pro Region auf der Preisseite von Security Center: Pricing - Microsoft Defender for Cloud . | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL-Server auf Computern sollte aktiviert sein | Azure Defender für SQL bietet Funktionen zum Auf- und Abmildern potenzieller Datenbankrisiken, erkennen anomale Aktivitäten, die bedrohungen für SQL-Datenbanken angeben können, sowie das Ermitteln und Klassifizieren vertraulicher Daten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für SQL sollte für nicht geschützte Azure SQL Server aktiviert sein | Überwachen von SQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Azure Defender für SQL sollte für nicht geschützte mySQL-flexible Server aktiviert sein | Überwachen von flexiblen MySQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für ungeschützte flexible PostgreSQL-Server aktiviert sein | Überwachen von flexiblen PostgreSQL-Servern ohne Advanced Data Security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für SQL sollte für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Überwachen Sie jede SQL Managed Instance ohne erweiterte Datensicherheit. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Azure Defender für relationale Open-Source-Datenbanken sollten aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anomale Aktivitäten, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. Erfahren Sie mehr über die Funktionen von Azure Defender für relationale Open Source-Datenbanken unter Overview von Defender für Open-Source relationale Datenbanken. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Erfahren Sie mehr über die Preise auf der Preisseite von Security Center: Pricing – Microsoft Defender for Cloud | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Defender für Server sollte aktiviert sein | Azure Defender für Server bietet Echtzeit-Bedrohungsschutz für Serverworkloads und generiert Härtungsempfehlungen sowie Warnungen zu verdächtigen Aktivitäten. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Azure Kubernetes Service-Cluster sollten Defender Profil aktiviert sein | Microsoft Defender für Container bietet cloudeigene Kubernetes-Sicherheitsfunktionen, einschließlich Umgebungshärtung, Workloadschutz und Laufzeitschutz. Wenn Sie securityProfile.AzureDefender auf Ihrem Azure Kubernetes Service-Cluster aktivieren, wird ein Agent für Ihren Cluster bereitgestellt, um Sicherheitsereignisdaten zu sammeln. Weitere Informationen zu Microsoft Defender für Container in Manage MCSB-Empfehlungen in Defender for Cloud | Rechnungsprüfung; Arbeitsunfähig | 2.0.1 |
| Microsoft Defender CSPM sollte aktiviert sein | Defender Cloud Security Posture Management (CSPM) bietet erweiterte Haltungsfunktionen und ein neues intelligentes Cloudsicherheitsdiagramm, um Risiken zu identifizieren, zu priorisieren und zu reduzieren. Defender CSPM ist zusätzlich zu den kostenlosen grundlegenden Sicherheitsstatusfunktionen verfügbar, die standardmäßig in Defender for Cloud aktiviert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für Container sollte aktiviert sein | Microsoft Defender für Container bietet Härtung, Sicherheitsrisikobewertung und Laufzeitschutz für Ihre Azure-, Hybrid- und Multi-Cloud Kubernetes-Umgebungen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Microsoft Defender für SQL sollte für nicht geschützte Synapse-Arbeitsbereiche aktiviert sein | Aktivieren Sie Defender für SQL, um Ihre Synapse-Arbeitsbereiche zu schützen. Defender für SQL überwacht Ihre Synapse SQL, um anomale Aktivitäten zu erkennen, die ungewöhnliche und potenziell schädliche Versuche zeigen, auf Datenbanken zuzugreifen oder diese auszunutzen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| SQL server-targeted autoprovisioning sollte für SQL-Server auf Computerplan aktiviert sein | Um sicherzustellen, dass Ihre SQL-VMs und arcfähigen SQL-Server geschützt sind, stellen Sie sicher, dass der SQL-gezielte Azure Monitoring Agent für die automatische Bereitstellung konfiguriert ist. Dies ist auch erforderlich, wenn Sie die automatische Bereitstellung des Microsoft Monitoring Agent zuvor konfiguriert haben, da diese Komponente veraltet ist. Weitere Informationen: Migrate zum Defender für SQL auf Computern mit AMA | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Windows Defender Exploit Guard sollte auf Ihren Computern aktiviert sein | Windows Defender Exploit Guard verwendet den Azure Policy Gastkonfigurations-Agent. Exploit Guard verfügt über vier Komponenten, die für das Sperren von Geräten gegen eine Vielzahl von Angriffsvektoren ausgelegt sind und verhaltensweisen blockieren, die häufig bei Schadsoftwareangriffen verwendet werden, während Unternehmen ihre Sicherheitsrisiken und Produktivitätsanforderungen ausgleichen können (nur Windows). | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| [Vorschau]: Azure Arc aktivierten Kubernetes-Cluster sollten Microsoft Defender for Cloud Erweiterung installiert sein | Microsoft Defender for Cloud Erweiterung für Azure Arc bietet Bedrohungsschutz für Ihre Arc-aktivierten Kubernetes-Cluster. Die Erweiterung sammelt Daten von allen Knoten im Cluster und sendet sie zur weiteren Analyse an den Azure Defender für Kubernetes-Back-End in der Cloud. Weitere Informationen finden Sie in Secure score in Defender for Cloud. | AuditIfNotExists; Arbeitsunfähig | 6.0.0-Vorschau |
LT-3: Aktivieren der Protokollierung für sicherheitsrelevante Untersuchungen
Weitere Informationen finden Sie unter Logging and Threat Detection: LT-3: Enable logging for security investigation.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Das Aktivitätsprotokoll muss mindestens ein Jahr lang aufbewahrt werden | Diese Richtlinie überwacht das Aktivitätsprotokoll, wenn die Aufbewahrung nicht auf 365 Tage oder unbegrenzt (Festlegung der Aufbewahrungstage auf 0) festgelegt ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Für bestimmte administrative Vorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte administrative Vorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Für bestimmte Richtlinienvorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte Richtlinienvorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Für bestimmte Sicherheitsvorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte Sicherheitsvorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Für App Service-App-Slots müssen Ressourcenprotokolle aktiviert sein. | Hiermit wird die Aktivierung von Ressourcenprotokollen für die App überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn Sie Sicherheitsincidents untersuchen oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| App Service Apps sollten Ressourcenprotokolle aktiviert haben | Hiermit wird die Aktivierung von Ressourcenprotokollen für die App überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn Sie Sicherheitsincidents untersuchen oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| Auditing für SQL server sollte aktiviert sein | Die Überwachung auf Ihrem SQL Server sollte aktiviert sein, um Datenbankaktivitäten auf allen Datenbanken auf dem Server nachzuverfolgen und in einem Überwachungsprotokoll zu speichern. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| Für Azure Application Gateway sollten Ressourcenprotokolle aktiviert sein. | Aktivieren Sie Ressourcenprotokolle für Azure Application Gateway (plus WAF) und streamen Sie zu einem Log Analytics Arbeitsbereich. Erhalten Sie detaillierte Einblicke in eingehenden Webdatenverkehr und Aktionen zur Abwehr von Angriffen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Front Door sollten Ressourcenprotokolle aktiviert sein | Aktivieren Sie Ressourcenprotokolle für Azure Front Door (plus WAF) und streamen Sie zu einem Log Analytics Arbeitsbereich. Erhalten Sie detaillierte Einblicke in eingehenden Webdatenverkehr und Aktionen zur Abwehr von Angriffen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Das Azure Monitor-Protokollprofil muss Protokolle für die Kategorien „write“, „delete“ und „action“ erfassen | Diese Richtlinie stellt sicher, dass ein Protokollprofil Protokolle für die Kategorien „write“, „delete“ und „action“ sammelt. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Monitor-Protokolle für Application Insights müssen mit einem Log Analytics-Arbeitsbereich verknüpft sein | Verknüpfen Sie die Application Insights-Komponente mit einem Log Analytics Arbeitsbereich für die Protokollverschlüsselung. Vom Kunden verwaltete Schlüssel sind in der Regel erforderlich, um die Einhaltung gesetzlicher Vorschriften zu erfüllen und die Kontrolle über den Zugriff auf Ihre Daten in Azure Monitor zu erhalten. Wenn Sie Ihre Komponente mit einem Log Analytics Arbeitsbereich verknüpfen, der mit einem vom Kunden verwalteten Schlüssel aktiviert ist, stellen Sie sicher, dass Ihre Application Insights-Protokolle diese Complianceanforderung erfüllen, siehe /azure/azure-monitor/platform/customer-managed-keys. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure Monitor muss Aktivitätsprotokolle aus allen Regionen erfassen | Diese Richtlinie überprüft das Azure Monitor Protokollprofil, das keine Aktivitäten aus allen Azure unterstützten Regionen einschließlich globaler Exportiert. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| Azure Monitor Lösung "Sicherheit und Überwachung" muss bereitgestellt werden | Diese Richtlinie stellt sicher, dass „Sicherheit und Überwachung“ bereitgestellt wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure SignalR Service sollte Diagnoseprotokolle aktivieren | Aktivieren von Diagnoseprotokollen überwachen. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure-Abonnements benötigen ein Protokollprofil für das Aktivitätsprotokoll | Diese Richtlinie stellt sicher, dass ein Protokollprofil für den Export von Aktivitätsprotokollen aktiviert ist. Sie überwacht, ob für den Export der Protokolle entweder in ein Speicherkonto oder in einen Event Hub ein Protokollprofil erstellt wurde. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Web PubSub-Dienst sollte Diagnoseprotokolle aktivieren | Aktivieren von Diagnoseprotokollen überwachen. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| [Vorschau]: Konfigurieren von Abonnements zum Aktivieren der Überwachungsregel zur Dienstintegritätsüberwachung | Diese Richtlinie kann auf Abonnement- oder Verwaltungsgruppenebene zugewiesen werden, um zu gewährleisten, dass jedes Abonnement über eine Warnungsregel für den Dienststatus verfügt, die mit Warnungsbedingungen konfiguriert ist und Aktionsgruppen gemäß den Richtlinienparametern zugeordnet ist. Erstellt standardmäßig eine Ressourcengruppe, Warnungsregel und Aktionsgruppe, die so konfiguriert ist, dass E-Mails an Abonnementbesitzer für alle Dienststatusereignisse gesendet werden. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.4.0-Vorschau |
| Diagnostische Protokolle in Azure KI Services Ressourcen sollten aktiviert sein | Aktivieren Sie Protokolle für Azure KI Services-Ressourcen. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn Sie Sicherheitsincidents untersuchen oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Resource-Protokolle im Azure Data Lake Store sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in Azure Databricks Arbeitsbereichen sollten aktiviert sein | Ressourcenprotokolle ermöglichen es, vergangene Aktivitäten zu Untersuchungszwecken nachzuvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| In einem verwalteten Azure Key Vault-HSM müssen Ressourcenprotokolle aktiviert sein | Sie können eine Überwachung durchführen, indem Sie Ressourcenprotokolle für verwaltete HSMs aktivieren. Auf diese Weise können Sie zu Untersuchungszwecken vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. Folgen Sie den Anweisungen hier: /azure/key-vault/managed-hsm/logging. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Protokolle in Azure Kubernetes Service sollten aktiviert sein | Die Ressourcenprotokolle von Azure Kubernetes Service können beim Untersuchen von Sicherheitsvorfällen dabei helfen, Aktivitätspfade neu zu erstellen. Aktivieren Sie diese Option, um sicherzustellen, dass die Protokolle bei Bedarf vorhanden sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Ressourcenprotokolle in Azure Machine Learning Arbeitsbereichen sollten aktiviert sein | Ressourcenprotokolle ermöglichen es, vergangene Aktivitäten zu Untersuchungszwecken nachzuvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Protokolle in Azure Stream Analytics sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in Batchkonten sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in Data Lake Analytics sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Resource-Protokolle im Event Hub sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in IoT Hub sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Protokolle in Key Vault sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in Logik-Apps sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.1.0 |
| Protokolle in Suchdiensten sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
| Protokolle in Service Bus sollten aktiviert sein | Hiermit wird die Aktivierung von Ressourcenprotokollen überwacht. Auf diese Weise können Sie vergangene Aktivitäten nachvollziehen, wenn es zu einem Sicherheitsincident kommt oder Ihr Netzwerk gefährdet ist. | AuditIfNotExists; Arbeitsunfähig | 5.0.0 |
LT-4: Aktivieren der Netzwerkprotokollierung für sicherheitsrelevante Untersuchungen
Weitere Informationen finden Sie unter Logging and Threat Detection: LT-4: Enable network logging for security investigation.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Alle Datenflussprotokollressourcen sollten aktiviert sein | Hiermit werden Datenflussprotokollressourcen überwacht, um zu überprüfen, ob der Datenflussprotokollstatus aktiviert ist. Durch Aktivierung von Datenflussprotokollen können Informationen zum IP-Datenverkehr protokolliert werden. So können Sie Netzwerkdatenflüsse optimieren, den Durchsatz überwachen, Konformität sicherstellen, Eindringversuche erkennen und mehr. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Konfiguration für Datenflussprotokolle für jedes virtuelle Netzwerk konfigurieren | Hiermit werden virtuelle Netzwerke überwacht, um sicherzustellen, dass Datenflussprotokolle konfiguriert sind. Durch Aktivierung von Datenflussprotokollen können Informationen zum IP-Datenverkehr protokolliert werden, der durch das virtuelle Netzwerk fließt. So können Sie Netzwerkdatenflüsse optimieren, den Durchsatz überwachen, Konformität sicherstellen, Eindringversuche erkennen und mehr. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Anwendungsgateways (microsoft.network/applicationgateways) zum Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Anwendungsgateways (microsoft.network/applicationgateways) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Anwendungsgateways (microsoft.network/applicationgateways) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Anwendungsgateways (microsoft.network/applicationgateways) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Anwendungsgateways (microsoft.network/applicationgateways) zum Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Anwendungsgateways (microsoft.network/applicationgateways) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Bastions (microsoft.network/bastionhosts) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Bastations (microsoft.keyvault/vaults) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Enable Logging by category group for Bastions (microsoft.network/bastionhosts) to Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Bastions (microsoft.network/bastionhosts) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Bastions (microsoft.network/bastionhosts) in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Speicherkonto für Bastions (microsoft.keyvault/vaults) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Endpunkte (microsoft.cdn/profiles/endpoints) für Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Endpoints (microsoft.cdn/profiles/endpoints) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Enable Protokollierung nach Kategoriegruppe für Endpunkte (microsoft.cdn/profiles/endpoints) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Endpunkte (microsoft.cdn/profiles/endpoints) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Endpunkte (microsoft.cdn/profiles/endpoints) zum Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Endpunkte (microsoft.cdn/profiles/endpoints) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für ExpressRoute-Verbindungen (microsoft.network/expressroutecircuits) zum Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für ExpressRoute-Verbindungen (microsoft.network/expressroutecircuits) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für ExpressRoute-Schaltkreise (microsoft.network/expressroutecircuits) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für ExpressRoute-Schaltkreise (microsoft.network/expressroutecircuits) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für ExpressRoute-Verbindungen (microsoft.network/expressroutecircuits) zum Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für ExpressRoute-Verbindungen (microsoft.network/expressroutecircuits) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Firewall (microsoft.network/azurefirewalls) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Firewall (microsoft.network/azurefirewalls) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Firewall (microsoft.network/azurefirewalls) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Firewalls (microsoft.network/azurefirewalls) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Firewalls (microsoft.network/azurefirewalls) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Firewalls (microsoft.network/azurefirewalls) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Firewalls (microsoft.network/azurefirewalls) im Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Firewalls (microsoft.network/azurefirewalls) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.cdn/profiles) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Front Door- und CDN-Profile (microsoft.cdn/profiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.cdn/profiles) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Front Door- und CDN-Profile (microsoft.cdn/profiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.cdn/profiles) in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Storage-Konto für Front Door- und CDN-Profile (microsoft.cdn/profiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.network/frontdoors) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Front Door- und CDN-Profile (microsoft.network/frontdoors) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.network/frontdoors) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Front Door- und CDN-Profile (microsoft.network/frontdoors) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Front Door- und CDN-Profile (microsoft.network/frontdoors) in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Front Door- und CDN-Profile (microsoft.network/frontdoors) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Lastenausgleicher (microsoft.network/loadbalancers) für Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Lastenausgleicher (microsoft.network/loadbalancers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Lastenausgleichsgeräte (microsoft.network/loadbalancers) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Lastenausgleichsgeräte (microsoft.network/loadbalancers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Lastenausgleicher (microsoft.network/loadbalancers) zum Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Lastenausgleicher (microsoft.network/loadbalancers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.cdn/cdnwebapplicationfirewallpolicies in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.cdn/cdnwebapplicationfirewallpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.cdn/cdnwebapplicationfirewallpolicies zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.cdn/cdnwebapplicationfirewallpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Protokollierung nach Kategoriegruppe für microsoft.cdn/cdnwebapplicationfirewallpolicies im Speicher aktivieren | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.cdn/cdnwebapplicationfirewallpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/dnsresolverpolicies in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.network/dnsresolverpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/dnsresolverpolicies zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.network/dnsresolverpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Protokollierung nach Kategoriegruppe für microsoft.network/dnsresolverpolicies im Speicher aktivieren | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.network/dnsresolverpolicies weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/networkmanagers/ipampools in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.network/networkmanagers/ipampools weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/networkmanagers/ipampools zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.network/networkmanagers/ipampools weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Protokollierung nach Kategoriegruppe für microsoft.network/networkmanagers/ipampools im Speicher aktivieren | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.network/networkmanagers/ipampools weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/networksecurityperimeters in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.network/networksecurityperimeters weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/networksecurityperimeters zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.network/networksecurityperimeters weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Protokollierung nach Kategoriegruppe für microsoft.network/networksecurityperimeters im Speicher aktivieren | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.network/networksecurityperimeters weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/p2svpngateways zum Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.network/p2svpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Enable Logging by category group for microsoft.network/p2svpngateways to Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.network/p2svpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/p2svpngateways in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.network/p2svpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/vpngateways in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.network/vpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/vpngateways zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.network/vpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.network/vpngateways in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.network/vpngateways weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.networkfunction/azuretrafficcollectors in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für microsoft.networkfunction/azuretrafficcollectors weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.networkfunction/azuretrafficcollectors zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für microsoft.networkfunction/azuretrafficcollectors weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für microsoft.networkfunction/azuretrafficcollectors im Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für microsoft.networkfunction/azuretrafficcollectors weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerkmanager (microsoft.network/networkmanagers) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Networkmanager (microsoft.network/networkmanagers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerkmanager (microsoft.network/networkmanagers) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Netzwerkmanager (microsoft.network/networkmanagers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerkmanager (microsoft.network/networkmanagers) to Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Networkmanager (microsoft.network/networkmanagers) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) im Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Netzwerksicherheitsgruppen (microsoft.network/networksecuritygroups) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Adressen (microsoft.network/publicipaddresses) für Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für öffentlichen IP-Adressen (microsoft.network/publicipaddresses) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Adressen (microsoft.network/publicipaddresses) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für öffentliche IP-Adressen (microsoft.network/publicipaddresses) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Adressen (microsoft.network/publicipaddresses) in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für öffentlichen IP-Adressen (microsoft.network/publicipaddresses) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) im Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für öffentliche IP-Präfixe (microsoft.network/publicipprefixes) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) auf Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) zum Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für Traffic Manager-Profile (microsoft.network/trafficmanagerprofiles) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Virtuelle Netzwerkgateways (microsoft.network/virtualnetworkgateways) für Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für virtuellen Netzwerkgateways (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.2.0 |
| Enable logging by category group for Virtual Network gateways (microsoft.network/virtualnetworkgateways) to Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für virtuelle Netzwerkgateways (microsoft.network/virtualnetworkgateways) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für Virtuelle Netzwerkgateways (microsoft.network/virtualnetworkgateways) in Storage | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Speicherkonto für virtuellen Netzwerkgateways (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für virtuelle Netzwerke (microsoft.network/virtualnetworks) in Event Hub | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Event Hub für virtuelle Netzwerke (microsoft.network/virtualnetworks) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für virtuelle Netzwerke (microsoft.network/virtualnetworks) zum Log Analytics | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an einen Log Analytics Arbeitsbereich für virtuelle Netzwerke (microsoft.network/virtualnetworks) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.1.0 |
| Aktivieren der Protokollierung nach Kategoriegruppe für virtuelle Netzwerke (microsoft.network/virtualnetworks) im Speicher | Ressourcenprotokolle sollten aktiviert werden, um Aktivitäten und Ereignisse zu verfolgen, die auf Ihren Ressourcen stattfinden, und Ihnen Einblicke in alle auftretenden Änderungen zu geben. Diese Richtlinie stellt eine Diagnoseeinstellung mithilfe einer Kategoriegruppe bereit, um Protokolle an ein Speicherkonto für virtuelle Netzwerke (microsoft.network/virtualnetworks) weiterzuleiten. | DeployIfNotExists; AuditIfNotExists; Deaktiviert | 1.0.0 |
| Flow-Protokolle sollten für jede Netzwerksicherheitsgruppe konfiguriert werden | Hiermit werden Netzwerksicherheitsgruppen überwacht, um sicherzustellen, dass Datenflussprotokolle konfiguriert sind. Durch die Aktivierung von Datenflussprotokollen können Informationen zum IP-Datenverkehr protokolliert werden, der durch die Netzwerksicherheitsgruppe fließt. So können Sie Netzwerkdatenflüsse optimieren, den Durchsatz überwachen, Konformität sicherstellen, Eindringversuche erkennen und mehr. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
| Security Center verwendet den Microsoft Abhängigkeits-Agent zum Sammeln von Netzwerkdatenverkehrsdaten von Ihren Azure virtuellen Computern, um erweiterte Netzwerkschutzfeatures wie die Datenverkehrsvisualisierung auf der Netzwerkkarte, Netzwerkhärtungsempfehlungen und bestimmte Netzwerkbedrohungen zu ermöglichen. | AuditIfNotExists; Arbeitsunfähig | 1.0.2-Vorschau | |
| [Vorschau]: Netzwerkdatensammlungs-Agent sollte auf Windows virtuellen Computern installiert werden | Security Center verwendet den Microsoft Abhängigkeits-Agent zum Sammeln von Netzwerkdatenverkehrsdaten von Ihren Azure virtuellen Computern, um erweiterte Netzwerkschutzfeatures wie die Datenverkehrsvisualisierung auf der Netzwerkkarte, Netzwerkhärtungsempfehlungen und bestimmte Netzwerkbedrohungen zu ermöglichen. | AuditIfNotExists; Arbeitsunfähig | 1.0.2-Vorschau |
| Network Watcher Ablaufprotokolle sollten datenverkehrsanalysefähig sein | Die Datenverkehrsanalyse analysiert Ablaufprotokolle, um Einblicke in den Datenverkehrsfluss in Ihrer Azure Cloud zu bieten. Es kann verwendet werden, um Netzwerkaktivitäten in Ihren Azure-Abonnements zu visualisieren und Hotspots zu identifizieren, Sicherheitsbedrohungen zu identifizieren, Datenverkehrsflussmuster zu verstehen, Netzwerkfehler anzuheften und vieles mehr. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Für öffentliche IP-Adressen in Azure DDoS Protection müssen Ressourcenprotokolle aktiviert sein | Aktivieren Sie Ressourcenprotokolle für öffentliche IP-Adressen in Diagnoseeinstellungen, um in einen Log Analytics Arbeitsbereich zu streamen. Sie erhalten per Benachrichtigung, anhand von Berichten und Datenflussprotokollen detaillierten Einblick in Angriffsdatenverkehr und Maßnahmen zum Entschärfen von DDoS-Angriffen. | AuditIfNotExists; DeployIfNotExists; Deaktiviert | 1.0.1 |
LT-5: Zentrale Verwaltung und Analyse von Sicherheitsprotokollen
Weitere Informationen finden Sie unter Protokollierung und Bedrohungserkennung: LT-5: Zentrale Verwaltung und Analyse von Sicherheitsprotokollen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Linux Arc-fähige Computer sollten Azure Monitor Agent installiert sein | Linux Arc-fähige Computer sollten über den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Diese Richtlinie überwacht Arc-fähige Computer in unterstützten Regionen. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 1.2.0 |
| Skalierungssätze für virtuelle Linux-Computer sollten Azure Monitor Agent installiert sein. | Skalierungssätze für virtuelle Linux-Computer sollten durch den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Mit dieser Richtlinie werden VM-Skalierunggruppen mit unterstützten Betriebssystemimages in unterstützten Regionen überwacht. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 3.6.0 |
| Virtuelle Linux-Computer sollten Azure Monitor Agent installiert haben | Virtuelle Linux-Computer sollten über den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Mit diese Richtlinie werden virtuelle Computer mit unterstützten Betriebssystemimages in unterstützten Regionen überwacht. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 3.6.0 |
| Log Analytics Agent sollte auf Ihren Cloud Services-Rolleninstanzen (erweiterter Support) installiert werden | Security Center erfasst Daten aus Cloud Services-Rolleninstanzen (erweiterter Support), um eine Überwachung auf Sicherheitsrisiken und Bedrohungen durchzuführen. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| Saved-Abfragen in Azure Monitor sollten für die Protokollverschlüsselung im Kundenspeicherkonto gespeichert werden | Verknüpfen Sie das Speicherkonto mit Log Analytics Arbeitsbereich, um gespeicherte Abfragen mit Speicherkontoverschlüsselung zu schützen. Vom Kunden verwaltete Schlüssel sind in der Regel erforderlich, um die Einhaltung gesetzlicher Vorschriften zu erfüllen und die Kontrolle über den Zugriff auf Ihre gespeicherten Abfragen in Azure Monitor zu erhalten. Weitere Informationen zu den obigen Informationen finden Sie unter Customer-managed key für gespeicherte Abfragen in Azure Monitor. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Windows Arc-fähige Computer sollten Azure Monitor Agent installiert sein | Windows Arc-fähigen Computer sollten über den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Windows Arc-fähigen Computer in unterstützten Regionen werden auf Azure Monitor Agent-Bereitstellung überwacht. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 1.4.0 |
| Windows Skalierungsgruppen für virtuelle Computer sollten Azure Monitor Agent installiert sein | Windows Skalierungssätze für virtuelle Computer sollten über den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Skalierungssätze für virtuelle Computer mit unterstützten Betriebssystemen und in unterstützten Regionen werden für Azure Monitor Agent-Bereitstellung überwacht. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 3.5.0 |
| Windows virtuelle Computer sollten Azure Monitor Agent installiert sein | Windows virtuellen Computer sollten über den bereitgestellten Azure Monitor Agent überwacht und gesichert werden. Der Azure Monitor Agent sammelt Telemetriedaten aus dem Gastbetriebssystem. Windows virtuellen Computer mit unterstütztem Betriebssystem und in unterstützten Regionen werden auf Azure Monitor Agent-Bereitstellung überwacht. Weitere Informationen finden Sie hier: https://aka.ms/AMAOverview. | AuditIfNotExists; Arbeitsunfähig | 3.5.0 |
LT-6: Konfigurieren der Protokoll-storage Aufbewahrung
Weitere Informationen finden Sie unter Logging and Threat Detection: LT-6: Configure log storage retention.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| SQL-Server mit Überwachung auf storage Kontoziel sollten mit einer Aufbewahrung von 90 Tagen oder höher konfiguriert werden | Für Die Untersuchung von Vorfällen empfehlen wir, die Datenaufbewahrung für die Überwachung Ihrer SQL Server auf das Ziel des Speicherkontos auf mindestens 90 Tage festzulegen. Stellen Sie sicher, dass Sie die erforderlichen Aufbewahrungsregeln für die Regionen einhalten, in denen Sie tätig sind. Dies ist gelegentlich zur Einhaltung gesetzlicher Standards erforderlich. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
NS-1: Einrichten von Netzwerksegmentierungsgrenzen
Weitere Informationen finden Sie unter Netzwerksicherheit: NS-1: Einrichten von Netzwerksegmentierungsgrenzen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Alle Netzwerkports sollten für Netzwerksicherheitsgruppen eingeschränkt werden, die Ihrem virtuellen Computer zugeordnet sind. | Azure Security Center hat einige der eingehenden Regeln Ihrer Netzwerksicherheitsgruppen als zu eingeschränkt identifiziert. Eingehende Regeln dürfen keine access aus "Any"- oder "Internet"-Bereichen zulassen. Dies kann es Angreifern ermöglichen, sich Zugang zu Ihren Ressourcen zu verschaffen. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Azure CNI ist eine Voraussetzung für einige Azure Kubernetes Service Features, einschließlich Azure Netzwerkrichtlinien, Windows Knotenpools und virtuellen Knoten-Add-Ons. Weitere Informationen finden Sie unter: https://aka.ms/aks-azure-cni | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| Internet-gerichtete virtual machines sollten mit Netzwerksicherheitsgruppen geschützt werden | Schützen Sie Ihre virtual machines vor potenziellen Bedrohungen, indem Sie access mit Netzwerksicherheitsgruppen (NSG) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter Azure Übersicht über Netzwerksicherheitsgruppen | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| [Vorschau]: Auf Computern sollten Ports geschlossen sein, die Angriffsvektoren verfügbar machen könnten | Azure Nutzungsbedingungen verbieten die Verwendung von Azure Diensten auf Die Weise, dass Microsoft Server oder das Netzwerk beschädigt, deaktiviert, überlastet oder beeinträchtigt werden kann. Die durch diese Empfehlung identifizierten verfügbar gemachten Ports müssen geschlossen werden, um die Sicherheit weiter zu erhöhen. Für jeden identifizierten Port enthält die Empfehlung auch eine Erläuterung der potenziellen Bedrohung. | AuditIfNotExists; Arbeitsunfähig | 1.0.0-Vorschau |
| Non-internet-gerichtete virtual machines sollten mit Netzwerksicherheitsgruppen geschützt werden | Schützen Sie Ihre nicht im Internet zugänglichen virtual machines vor potenziellen Bedrohungen, indem Sie access mit Netzwerksicherheitsgruppen (NSG) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter Azure Übersicht über Netzwerksicherheitsgruppen | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Subnets sollte einer Netzwerksicherheitsgruppe zugeordnet werden | Schützen Sie Ihr Subnetz vor potenziellen Bedrohungen, indem Sie access mit einer Netzwerksicherheitsgruppe (Network Security Group, NSG) einschränken. NSGs enthalten eine Liste der Access Control List (ACL)-Regeln, die den Netzwerkdatenverkehr zu Ihrem Subnetz zulassen oder verweigern. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Virtuelle Computer müssen mit einem genehmigten virtuellen Netzwerk verbunden sein | Diese Richtlinie überwacht alle virtuellen Computer darauf, ob sie mit einem nicht genehmigten virtuellen Netzwerk verbunden sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Virtuelle Netzwerke müssen ein angegebenes Gateway für virtuelle Netzwerke verwenden | Diese Richtlinie überwacht alle virtuellen Netzwerke, wenn die Standardroute nicht auf das angegebene Gateway für virtuelle Netzwerke zeigt. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
NS-2: Sichern von cloudeigenen Diensten mit Netzwerksteuerelementen
Weitere Informationen finden Sie unter Netzwerksicherheit: NS-2: Sichere cloudeigene Dienste mit Netzwerksteuerelementen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure Virtual Network Bereitstellung bietet erweiterte Sicherheit, Isolation und ermöglicht es Ihnen, Ihren API-Verwaltungsdienst in einem nicht in internetroutebaren Netzwerk zu platzieren, auf das Sie den Zugriff steuern. Diese Netzwerke können dann mithilfe verschiedener VPN-Technologien mit Ihren lokalen Netzwerken verbunden werden, wodurch access mit Ihren Back-End-Diensten im Netzwerk und/oder lokal verbunden werden können. Das Entwicklerportal und das API-Gateway können so konfiguriert werden, dass über das Internet oder nur innerhalb der virtual network darauf zugegriffen werden kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.2 | |
| API Management sollte das öffentliche Netzwerk access für die Endpunkte der Dienstkonfiguration deaktivieren | Um die Sicherheit von API Management Diensten zu verbessern, beschränken Sie die Konnektivität zu Dienstenkonfigurationsendpunkten, z. B. direkte access-Verwaltungs-API, Git-Konfigurations-Verwaltungsendpunkt oder selbst gehostete Gateways-Konfigurationsendpunkt. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Use Private Endpoints for Azure App Configuration. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Wenn Sie eine unterstützte SKU verwenden, können Sie mit Azure Private Link Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren app configuration Instanzen anstelle des gesamten Diensts werden Sie auch vor Datenverlustrisiken geschützt. Weitere Informationen finden Sie unter: Use Private Endpoints for Azure App Configuration. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren app configuration Instanzen anstelle des gesamten Diensts werden Sie auch vor Datenverlustrisiken geschützt. Weitere Informationen finden Sie unter: Use Private Endpoints for Azure App Configuration. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 | |
| App Service-App-Slots müssen in ein virtuelles Netzwerk eingefügt werden | Durch die Einbindung von App Service-Apps in ein virtuelles Netzwerk werden erweiterte App Service-Netzwerk- und Sicherheitsfeatures freigeschaltet, und Sie erhalten eine größere Kontrolle über Ihre Netzwerksicherheitskonfiguration. Weitere Informationen finden Sie unter: /azure/app-service/web-sites-integrate-with-vnet. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die App Service nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Belichtung eines App Service einschränken. Weitere Informationen finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0 | |
| Standardmäßig wird die App-Konfiguration wie das Abrufen von Containerimages und das Einbinden von Inhaltsspeichern nicht über die regionale VNET-Integration weitergeleitet. Legen Sie für API-Versionen vor 2024-11-01 "vnetImagePullEnabled" und "vnetContentShareEnabled" auf "true" fest. Legen Sie für 2024-11-01+ "outboundVnetRouting.imagePullTraffic" und "outboundVnetRouting.contentShareTraffic" auf "true" fest. Weitere Informationen finden Sie unter https://aka.ms/appservice-vnet-configuration-routing. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| Standardmäßig leitet die regionale VNET-Integration nur RFC1918 Datenverkehr in das virtuelle Netzwerk weiter. Legen Sie für API-Versionen vor 2024-11-01 "vnetRouteAllEnabled" auf "true" fest, um den gesamten ausgehenden Datenverkehr in den Azure Virtual Network zu aktivieren. Legen Sie für 2024-11-01+ "outboundVnetRouting.applicationTraffic" auf "true" fest. Dies ermöglicht Netzwerksicherheitsgruppen und benutzerdefinierte Routen für alle ausgehenden Datenverkehr. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| App Service-Apps müssen in ein virtuelles Netzwerk eingefügt werden | Durch die Einbindung von App Service-Apps in ein virtuelles Netzwerk werden erweiterte App Service-Netzwerk- und Sicherheitsfeatures freigeschaltet, und Sie erhalten eine größere Kontrolle über Ihre Netzwerksicherheitskonfiguration. Weitere Informationen finden Sie unter: /azure/app-service/web-sites-integrate-with-vnet. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.2.0 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die App Service nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Belichtung eines App Service einschränken. Weitere Informationen finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.1.0 | |
| Standardmäßig wird die App-Konfiguration wie das Abrufen von Containerimages und das Einbinden von Inhaltsspeichern nicht über die regionale VNET-Integration weitergeleitet. Legen Sie für API-Versionen vor 2024-11-01 "vnetImagePullEnabled" und "vnetContentShareEnabled" auf "true" fest. Legen Sie für 2024-11-01+ "outboundVnetRouting.imagePullTraffic" und "outboundVnetRouting.contentShareTraffic" auf "true" fest. Weitere Informationen finden Sie unter https://aka.ms/appservice-vnet-configuration-routing. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| Standardmäßig leitet die regionale VNET-Integration nur RFC1918 Datenverkehr in das virtuelle Netzwerk weiter. Legen Sie für API-Versionen vor 2024-11-01 "vnetRouteAllEnabled" auf "true" fest, um den gesamten ausgehenden Datenverkehr in den Azure Virtual Network zu aktivieren. Legen Sie für 2024-11-01+ "outboundVnetRouting.applicationTraffic" auf "true" fest. Dies ermöglicht Netzwerksicherheitsgruppen und benutzerdefinierte Routen für alle ausgehenden Datenverkehr. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| Mit unterstützten SKUs können Sie mit Azure Private Link Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Apps können Sie das Risiko von Datenlecks verringern. Weitere Informationen zu privaten Links finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 4.3.0 | |
| App Service Apps sollten einen Dienstendpunkt für virtuelle Netzwerke verwenden | Verwenden Sie Endpunkte des virtuellen Netzwerks, um den Zugriff auf Ihre App von ausgewählten Subnetzen aus einem Azure virtuellen Netzwerk einzuschränken. Weitere Informationen zu App Service Dienstendpunkten finden Sie unter https://aka.ms/appservice-vnet-service-endpoint. | AuditIfNotExists; Arbeitsunfähig | 2.0.1 |
| mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte App Service zuordnen, können Sie Datenverlustrisiken reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Verwenden privater Endpunkte für Apps. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 | |
| App Service-Umgebung-Apps sollten nicht über das öffentliche Internet erreichbar sein | Um sicherzustellen, dass in einer App Service-Umgebung bereitgestellte Apps nicht über das öffentliche Internet zugänglich sind, sollte eine App Service-Umgebung mit einer IP-Adresse im virtuellen Netzwerk bereitstellen. Um die IP-Adresse auf eine virtuelle Netzwerk-IP festzulegen, muss die App Service-Umgebung mit einem internen Lastenausgleich bereitgestellt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.0.0 |
| Application Insights-Komponenten sollten die Erfassung und Abfrage von öffentlichen Netzwerken blockieren | Verbessern Sie die Sicherheit von Application Insights, indem Sie die Protokollerfassung und -abfrage aus öffentlichen Netzwerken blockieren. Nur über eine private Verbindung verbundene Netzwerke können Protokolle dieser Komponente erfassen und abfragen. Weitere Informationen finden Sie unter Use Azure Private Link to connect networks to Azure Monitor. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Komponenten von Application Insights, bei denen Private Link aktiviert ist, sollten „Bring Your Own Storage“-Konten für Profiler und Debugger verwenden. | Erstellen Sie Ihr eigenes Speicherkonto für Profiler und Debugger, um Private Link und kundenseitig verwaltete Schlüsselrichtlinien zu unterstützen. Weitere Informationen finden Sie unter /azure/azure-monitor/app/profiler-bring-your-own-storage | Leugnen; Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Authorisierte IP-Bereiche sollten für Kubernetes Services definiert werden | Beschränken Sie access auf die Kubernetes-Dienstverwaltungs-API, indem Sie API-access nur AUF IP-Adressen in bestimmten Bereichen gewähren. Es wird empfohlen, access auf autorisierte IP-Bereiche zu beschränken, um sicherzustellen, dass nur Anwendungen aus zulässigen Netzwerken den Cluster access können. | Rechnungsprüfung; Arbeitsunfähig | 2.0.1 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Gefährdung Ihrer Automatisierungskontoressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Use Azure Private Link to securely connect networks to Azure Automation. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Azure KI-Suche Dienst sollte eine SKU verwenden, die private Verknüpfungen unterstützt | Mit unterstützten SKUs von Azure KI-Suche können Sie mit Azure Private Link Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren Search service werden Die Risiken für Datenlecks reduziert. Weitere Informationen finden Sie unter: Create a private endpoint for a secure connection. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure KI-Suche Dienste sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch das Deaktivieren des öffentlichen Netzwerkzugriffs wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr Azure KI-Suche-Dienst nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Belichtung Ihrer Search service einschränken. Weitere Informationen finden Sie unter: Create a private endpoint for a secure connection. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure AI Services-Ressourcen sollten den Netzwerkzugriff einschränken | Durch das Einschränken von Netzwerk-access können Sie sicherstellen, dass nur zulässige Netzwerke den Dienst access können. Dies kann erreicht werden, indem Netzwerkregeln konfiguriert werden, sodass nur Anwendungen aus zulässigen Netzwerken auf das Tool Microsoft Foundry zugreifen können. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.3.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform reduziert Datenleckrisiken, indem die Konnektivität zwischen Verbraucher und Diensten über das Azure Backbone-Netzwerk verarbeitet wird. Weitere Informationen zu privaten Links finden Sie unter: What is Azure Private Link? | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| Azure-API für FHIR sollte einen privaten Link verwenden | Azure-API für FHIR sollte mindestens eine genehmigte private Endpunktverbindung haben. Clients in einem virtual network können ressourcen, die über private Endpunktverbindungen über private Links verfügen, sicher access. Weitere Informationen finden Sie unter Configure Private Link für Azure Health Data Services. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Arc Private Link Bereiche sollten mit einem privaten Endpunkt konfiguriert werden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Arc Private Link Bereichen werden Datenleckrisiken reduziert. Weitere Informationen zu privaten Links finden Sie unter: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Arc Private Link Bereiche sollten den öffentlichen Netzwerkzugriff deaktivieren | Durch das Deaktivieren des Zugriffs auf öffentliche Netzwerke wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Arc Ressourcen keine Verbindung über das öffentliche Internet herstellen können. Das Erstellen privater Endpunkte kann die Gefährdung von Azure Arc Ressourcen einschränken. Weitere Informationen finden Sie unter: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Arc-fähige Kubernetes-Cluster sollten mit einem Azure Arc Private Link Scope konfiguriert werden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung Azure Arc-fähigen Servers zu einem Azure Arc Private Link Bereich, der mit einem privaten Endpunkt konfiguriert ist, werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Arc-fähige Server sollten mit einem Azure Arc Private Link Bereich konfiguriert werden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung Azure Arc-fähigen Servers zu einem Azure Arc Private Link Bereich, der mit einem privaten Endpunkt konfiguriert ist, werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Attestation Anbieter sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Um die Sicherheit von Azure Attestation Dienst zu verbessern, stellen Sie sicher, dass sie nicht für das öffentliche Internet verfügbar gemacht wird und nur von einem privaten Endpunkt aus darauf zugegriffen werden kann. Deaktivieren Sie die access-Eigenschaft des öffentlichen Netzwerks, wie in aka.ms/azureattestation beschrieben. Mit dieser Option wird der Zugriff von jedem öffentlichen Adressbereich außerhalb des IP-Bereichs Azure deaktiviert und alle Anmeldungen verweigert, die ip- oder netzwerkbasierte Firewallregeln entsprechen. Dadurch wird das Risiko von Datenlecks verringert. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Cache for Redis Enterprise sollte einen privaten Link verwenden | Mit privaten Endpunkten können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Durch die Zuordnung privater Endpunkte zu Ihren Azure Cache for Redis Enterprise-Instanzen werden Die Risiken für Datenlecks reduziert. Weitere Informationen finden Sie unter: What is Azure Cache for Redis with Azure Private Link?. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Cache for Redis sollte den Zugriff auf öffentliche Netzwerke deaktivieren | Durch das Deaktivieren des Zugriffs auf öffentliche Netzwerke wird die Sicherheit verbessert, indem sichergestellt wird, dass der Azure Cache for Redis nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Gefährdung Ihrer Azure Cache for Redis einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: What is Azure Cache for Redis with Azure Private Link?. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Cache for Redis sollte einen privaten Link verwenden | Mit privaten Endpunkten können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Durch die Zuordnung privater Endpunkte zu Ihren Azure Cache for Redis Instanzen werden Die Risiken für Datenlecks reduziert. Weitere Informationen finden Sie unter: What is Azure Cache for Redis with Azure Private Link?. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Containerinstanz-Containergruppe sollte in einem virtuellen Netzwerk bereitgestellt werden. | Sichere Kommunikation zwischen Ihren Containern mit Azure virtuellen Netzwerken. Wenn Sie ein virtuelles Netzwerk angeben, können Ressourcen innerhalb des virtuellen Netzwerks sicher und privat miteinander kommunizieren. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 2.0.0 |
| Azure Cosmos DB-Konten sollten Firewallregeln aufweisen | Firewallregeln sollten für Ihre Azure Cosmos DB-Konten definiert werden, um den Datenverkehr von nicht autorisierten Quellen zu verhindern. Konten mit mindestens einer IP-Regel, die mit aktivierten virtual network Filter definiert ist, gelten als konform. Konten, die öffentliche access deaktivieren, gelten auch als konform. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Azure Cosmos DB sollte den Zugriff auf öffentliche Netzwerke deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr CosmosDB-Konto nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung des CosmosDB-Kontos einschränken, indem Sie private Endpunkte erstellen. Weitere Informationen finden Sie unter: Blocking public network access during Azure Cosmos DB account creation. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Data Explorer Cluster sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrem Azure Data Explorer Cluster werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Private-Endpunkte für Azure Data Explorer. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Data Explorer sollte eine SKU verwenden, die private Verknüpfungen unterstützt | Mit unterstützten SKUs können Sie mit Azure Private Link Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Apps können Sie das Risiko von Datenlecks verringern. Weitere Informationen zu privaten Links finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Data Factory sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Data Factory werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Azure Private Link für Azure Data Factory. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Databricks Cluster sollten öffentliche IP-Adressen deaktivieren | Durch das Deaktivieren öffentlicher IP-Adressen von Clustern in Azure Databricks Arbeitsbereichen wird die Sicherheit verbessert, indem sichergestellt wird, dass die Cluster nicht im öffentlichen Internet verfügbar gemacht werden. Weitere Informationen finden Sie unter: Enable secure cluster connectivity. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Databricks Arbeitsbereiche sollten sich in einem virtuellen Netzwerk befinden | Azure virtuellen Netzwerke bieten eine verbesserte Sicherheit und Isolation für Ihre Azure Databricks Arbeitsbereiche sowie Subnetze, Zugriffssteuerungsrichtlinien und andere Features, um den Zugriff weiter einzuschränken. Weitere Informationen finden Sie unter: Deploy Azure Databricks in Ihrem Azure virtual network (VNet injection). | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.2 |
| Azure Databricks Arbeitsbereiche sollten Premium-SKU sein, die Features wie private Verknüpfungen, vom Kunden verwalteter Schlüssel zur Verschlüsselung unterstützt | Lassen Sie den Databricks-Arbeitsbereich nur mit Premium-Sku zu, die Ihre Organisation bereitstellen kann, um Features wie Private Link, vom Kunden verwalteten Schlüssel für die Verschlüsselung zu unterstützen. Weitere Informationen finden Sie unter: Configure private Konnektivität mit Azure Databricks. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Databricks Arbeitsbereiche sollten den Öffentlichen Netzwerkzugriff deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen steuern, indem Sie private Endpunkte erstellen. Weitere Informationen finden Sie unter: Azure Private Link konzepte. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Databricks Arbeitsbereiche sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte Azure Databricks Arbeitsbereichen zuordnen, können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Configure private Konnektivität mit Azure Databricks. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| Azure Geräteupdate für IoT Hub-Konten sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Geräteupdate für IoT Hub Konten werden Die Risiken für Datenlecks reduziert. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Domänen sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Domänen sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte nicht dem gesamten Dienst, sondern nur Ihrer Event Grid-Domäne zuordnen, sind Sie auch vor Risiken aufgrund von Datenlecks geschützt. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| Azure Event Grid Namespace MQTT-Broker sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zum Event Grid-Namespace anstelle des gesamten Diensts werden Sie auch vor Datenleckrisiken geschützt. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Namespacethemabroker sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zum Event Grid-Namespace anstelle des gesamten Diensts werden Sie auch vor Datenleckrisiken geschützt. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid-Namespaces sollten den öffentlichen Netzwerkzugriff deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Themen sollten den Öffentlichen Netzwerkzugriff deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Event Grid Themen sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte nicht dem gesamten Dienst, sondern nur Ihrem Event Grid-Thema zuordnen, sind Sie auch vor Risiken aufgrund von Datenlecks geschützt. Weitere Informationen finden Sie unter: Konfigurieren privater Endpunkte für Themen oder Domänen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| Azure-Dateisynchronisierung sollte einen privaten Link verwenden | Durch das Erstellen eines privaten Endpunkts für die angegebene Storage-Synchronisierungsdienstressource können Sie Ihre Storage Sync Service-Ressource nicht über den privaten IP-Adressraum des Netzwerks Ihrer Organisation, sondern über den öffentlichen Endpunkt im Internet adressieren. Das Erstellen eines privaten Endpunkts führt nicht dazu, dass der öffentliche Endpunkt deaktiviert wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Front Door Profile sollten Premium-Stufe verwenden, die verwaltete WAF-Regeln und private Verknüpfungen unterstützt | Azure Front Door Premium unterstützt Azure verwalteten WAF-Regeln und privaten Link zu unterstützten Azure Ursprüngen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure HDInsight sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte Azure HDInsight Clustern zuordnen, können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Enable Private Link auf einem Azure HDInsight Cluster. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Health Data Services Deidentifizierungsdienst sollte den öffentlichen Netzwerkzugriff deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Health Data Services Deidentifikationsdienst sollte einen privaten Link verwenden | Azure Health Data Services Deidentifikationsdienst sollte mindestens eine genehmigte private Endpunktverbindung haben. Clients in einem virtual network können ressourcen, die über private Endpunktverbindungen über private Links verfügen, sicher access. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Health Data Services Arbeitsbereich sollte einen privaten Link verwenden | Der Arbeitsbereich "Integritätsdatendienste" sollte über mindestens eine genehmigte private Endpunktverbindung verfügen. Clients in einem virtual network können ressourcen, die über private Endpunktverbindungen über private Links verfügen, sicher access. Weitere Informationen finden Sie unter Configure Private Link für Azure Health Data Services. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| [Vorschau]: Azure Key Vault Verwaltetes HSM sollte den Zugriff auf öffentliche Netzwerke deaktivieren | Deaktivieren Sie den öffentlichen Netzwerkzugriff für Ihr Azure Key Vault Verwaltetes HSM, sodass es nicht über das öffentliche Internet zugänglich ist. Dies kann das Risiko von Datenlecks verringern. Weitere Informationen finden Sie unter: Allow trusted services to access Managed HSM. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Azure Key Vault Verwaltetes HSM sollte einen privaten Link verwenden | Der private Link bietet eine Möglichkeit, Azure Key Vault Managed HSM mit Ihren Azure Ressourcen zu verbinden, ohne Datenverkehr über das öffentliche Internet zu senden. Private link bietet umfassenden Schutz vor Datenexfiltration. Weitere Informationen finden Sie unter: Integrate Managed HSM mit Azure Private Link | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| Azure Key Vault sollte den Zugriff auf öffentliche Netzwerke deaktivieren | Deaktivieren Sie die access für Ihre key vault, damit sie nicht über das öffentliche Internet zugänglich ist. Dies kann das Risiko von Datenlecks verringern. Weitere Informationen finden Sie unter: Integrate Key Vault mit Azure Private Link. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Azure Key Vault sollte die Firewall aktiviert oder der Zugriff auf öffentliche Netzwerke deaktiviert sein | Aktivieren Sie die key vault Firewall so, dass der key vault standardmäßig nicht für öffentliche IPs zugänglich ist oder öffentliche Netzwerk-access für Ihre key vault deaktiviert, sodass sie nicht über das öffentliche Internet zugänglich ist. Optional können Sie bestimmte IP-Bereiche so konfigurieren, dass access auf diese Netzwerke beschränkt werden. Weitere Informationen finden Sie unter: Network security for Azure Key Vault and Integrate Key Vault with Azure Private Link | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.3.0 |
| Azure Key Vaults sollten private Links verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte key vault zuordnen, können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Integrate Key Vault mit Azure Private Link. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.1 |
| Azure Kubernetes Service Private Cluster sollten aktiviert sein | Aktivieren Sie das Private Cluster-Feature für Ihren Azure Kubernetes Service Cluster, um sicherzustellen, dass der Netzwerkverkehr zwischen Ihrem API-Server und Ihren Knotenpools nur im privaten Netzwerk verbleibt. Diese Verschlüsselung ist eine gängige Anforderung in vielen gesetzlichen und branchenspezifischen Konformitätsstandards. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Machine Learning und Ai Studio sollten den Modus "Nur genehmigte ausgehende verwaltete Vnet zulassen" verwenden | Die verwaltete VNet-Isolation optimiert und automatisiert Ihre Netzwerkisolationskonfiguration mit einem integrierten, arbeitsbereichbasierten Azure Machine Learning verwalteten VNet. Das verwaltete VNet sichert Ihre verwalteten Azure Machine Learning Ressourcen, z. B. Computeinstanzen, Computecluster, serverlose Berechnung und verwaltete Onlineendpunkte. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Machine Learning Computes sollten sich in einem virtuellen Netzwerk befinden | Azure virtuelle Netzwerke bieten eine verbesserte Sicherheit und Isolation für Ihre Azure Machine Learning Computecluster und Instanzen sowie Subnetze, Zugriffssteuerungsrichtlinien und andere Features, um den Zugriff weiter einzuschränken. Wenn eine Berechnung mit einer virtual network konfiguriert ist, ist sie nicht öffentlich adressierbar und kann nur über virtual machines und Anwendungen innerhalb der virtual network aufgerufen werden. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Azure Machine Learning Arbeitsbereiche sollten den Öffentlichen Netzwerkzugriff deaktivieren | Durch das Deaktivieren des öffentlichen Netzwerkzugriffs wird die Sicherheit verbessert, indem sichergestellt wird, dass die Machine Learning Arbeitsbereiche nicht im öffentlichen Internet verfügbar gemacht werden. Sie können die Offenlegung von Arbeitsbereichen steuern, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Configure a private endpoint for an Azure Machine Learning workspace. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.1 |
| Azure Machine Learning Arbeitsbereiche sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Machine Learning Arbeitsbereichen werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Configure a private endpoint for an Azure Machine Learning workspace. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Managed Grafana Arbeitsbereiche sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch das Deaktivieren des Zugriffs auf öffentliche Netzwerke wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr Azure Managed Grafana Arbeitsbereich nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Belichtung Ihrer Arbeitsbereiche einschränken. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Managed Grafana Arbeitsbereiche sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Managed Grafana können Sie Datenleckrisiken reduzieren. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Azure Monitor Private Link Bereich sollte den Zugriff auf nicht private link Ressourcen blockieren | mit Azure Private Link können Sie Ihre virtuellen Netzwerke mit Azure Ressourcen über einen privaten Endpunkt mit einem Azure Monitor Private Link Bereich (AMPLS) verbinden. Private Link Access-Modi werden für Ihre AMPLS festgelegt, um zu steuern, ob Aufnahme- und Abfrageanforderungen aus Ihren Netzwerken alle Ressourcen erreichen können, oder nur Private Link Ressourcen (um Datenexfiltration zu verhindern). Weitere Informationen zu privaten Links finden Sie unter: Azure Private Link Zugriffsmodi (nur privat oder offen). | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte Azure Monitor Bereich für private Links zuordnen, können Sie Datenlecksrisiken reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Use Azure Private Link to connect networks to Azure Monitor. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 | |
| Azure Purview-Konten sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren Azure Purview-Konten anstelle des gesamten Diensts werden Sie auch vor Datenverlustrisiken geschützt. Weitere Informationen finden Sie unter: Use private Endpunkte im klassischen Microsoft Purview Governance-Portal. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| [Vorschau]: Azure Recovery Services-Tresore sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Die Deaktivierung des Zugriffs über öffentliche Netzwerke erhöht die Sicherheit, da sichergestellt wird, dass der Recovery Services-Tresor nicht über das öffentliche Internet zugänglich ist. Durch das Erstellen privater Endpunkte kann die Verfügbarkeit von Media Services-Ressourcen eingeschränkt werden. Weitere Informationen finden Sie unter: https://aka.ms/AB-PublicNetworkAccess-Deny. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Azure Recovery Services Vaults sollten einen privaten Link für die Sicherung verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Recovery Services-Tresoren werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Create and use private endpoints for Azure Backup. | Rechnungsprüfung; Arbeitsunfähig | 2.0.0-preview |
| Azure Service Bus Namespaces sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Service Bus Namespaces werden Die Risiken für Datenlecks reduziert. Weitere Informationen finden Sie unter: Allow-Zugriff auf Azure Service Bus Namespaces über private Endpunkte. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure SignalR Service sollte den Zugriff auf öffentliche Netzwerke deaktivieren | Um die Sicherheit Azure SignalR Service Ressource zu verbessern, stellen Sie sicher, dass sie nicht für das öffentliche Internet verfügbar gemacht wird und nur von einem privaten Endpunkt aus darauf zugegriffen werden kann. Deaktivieren Sie die eigenschaft access des öffentlichen Netzwerks, wie in Configure network access control beschrieben. Mit dieser Option wird der Zugriff von jedem öffentlichen Adressbereich außerhalb des IP-Bereichs Azure deaktiviert und alle Anmeldungen verweigert, die ip- oder netzwerkbasierte Firewallregeln entsprechen. Dadurch wird das Risiko von Datenlecks verringert. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten verbinden, ohne eine öffentliche IP-Adresse an der Quelle oder am Ziel zu verwenden, die Ihre Ressourcen vor Risiken durch öffentliche Datenlecks schützt. Die Richtlinie beschränkt Sie auf Private Link aktivierte SKUs für Azure SignalR Service. Weitere Informationen zu private link finden Sie unter: Use private Endpunkte. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Azure SignalR Service sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrer Azure SignalR Service Ressource anstelle des gesamten Diensts reduzieren Sie Ihre Datenlecksrisiken. Weitere Informationen zu privaten Links finden Sie unter: Verwenden privater Endpunkte. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Spring Cloud sollte die Netzwerkeinfügung verwenden | Azure Spring Cloud-Instanzen sollten die Einfügung virtueller Netzwerke für die folgenden Zwecke verwenden: 1. Isolieren sie Azure Spring Cloud aus dem Internet. 2. Ermöglichen Sie Azure Spring Cloud für die Interaktion mit Systemen in lokalen Rechenzentren oder Azure Dienst in anderen virtuellen Netzwerken. 3. Ermöglichen Sie Kunden die Steuerung der eingehenden und ausgehenden Netzwerkkommunikation für Azure Spring Cloud. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.2.0 |
| Azure SQL Verwaltete Instanzen sollten den Öffentlichen Netzwerkzugriff deaktivieren | Durch deaktivieren des öffentlichen Netzwerkzugriffs (öffentlicher Endpunkt) für Azure SQL verwaltete Instanzen wird die Sicherheit verbessert, indem sichergestellt wird, dass nur innerhalb ihrer virtuellen Netzwerke oder über private Endpunkte darauf zugegriffen werden kann. Weitere Informationen zu access des öffentlichen Netzwerks finden Sie unter Configure Public Endpoint. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Synapse Arbeitsbereiche sollten ausgehenden Datenverkehr nur für genehmigte Ziele zulassen. | Erhöhen Sie die Sicherheit Ihres Synapse-Arbeitsbereichs, indem Sie ausgehenden Datenverkehr nur für genehmigte Ziele zulassen. Dies trägt zur Verhinderung von Datenexfiltration bei, indem das Ziel vor dem Senden von Daten überprüft wird. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0 |
| Azure Synapse Arbeitsbereiche sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass der Synapse-Arbeitsbereich nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Belichtung Ihrer Synapse-Arbeitsbereiche einschränken. Weitere Informationen finden Sie unter: Azure Synapse Analytics Konnektivitätseinstellungen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Synapse Arbeitsbereiche sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zum Azure Synapse Arbeitsbereichs werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Connect to your Azure Synapse workspace using private links. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Azure Virtual Desktop-Hostpools sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch das Deaktivieren des zugriffs auf öffentliche Netzwerke wird die Sicherheit verbessert und Ihre Daten geschützt, indem sichergestellt wird, dass der Zugriff auf den Azure Virtual Desktop-Dienst nicht für das öffentliche Internet verfügbar ist. Weitere Informationen finden Sie unter: Setup Private Link mit Azure Virtual Desktop. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Virtual Desktop Hostpools sollten den Öffentlichen Netzwerkzugriff nur auf Sitzungshosts deaktivieren | Das Deaktivieren des öffentlichen Netzwerkzugriffs für Ihre Azure Virtual Desktop Hostpoolsitzungshosts, aber das Zulassen des öffentlichen Zugriffs für Endbenutzer verbessert die Sicherheit, indem die Gefährdung des öffentlichen Internets eingeschränkt wird. Weitere Informationen finden Sie unter: Setup Private Link mit Azure Virtual Desktop. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Virtual Desktop Dienst sollte einen privaten Link verwenden | Die Verwendung von Azure Private Link mit Ihren Azure Virtual Desktop Ressourcen kann die Sicherheit verbessern und Ihre Daten sicher halten. Weitere Informationen zu privaten Links finden Sie unter: Setup Private Link mit Azure Virtual Desktop. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Azure Virtual Desktop Arbeitsbereiche sollten den Zugriff auf öffentliche Netzwerke deaktivieren | Durch Deaktivieren des öffentlichen Netzwerkzugriffs für Ihre Azure Virtual Desktop Arbeitsbereichsressource wird verhindert, dass der Feed über das öffentliche Internet zugänglich ist. Das Zulassen von nur privaten Netzwerken access verbessert die Sicherheit und hält Ihre Daten sicher. Weitere Informationen finden Sie unter: Setup Private Link mit Azure Virtual Desktop. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Web PubSub Dienst sollte den Öffentlichen Netzwerkzugriff deaktivieren | Durch das Deaktivieren des öffentlichen Netzwerkzugriffs wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Web PubSub Dienst nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Gefährdung von Azure Web PubSub Dienst einschränken. Weitere Informationen finden Sie unter: Azure Web PubSub Netzwerkzugriffskontrolle. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Web PubSub Dienst sollte eine SKU verwenden, die private Verknüpfungen unterstützt | Mit der unterstützten SKU können Sie mit Azure Private Link Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Indem Sie private Endpunkte Azure Web PubSub Dienst zuordnen, können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Azure Web PubSub service private Endpunkt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Web PubSub Dienst sollte einen privaten Link verwenden | mit Azure Private Link können Sie Ihre virtuellen Netzwerke ohne öffentliche IP-Adresse an der Quelle oder am Ziel mit Azure Diensten verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrem Azure Web PubSub-Dienst können Sie Die Risiken für Datenlecks reduzieren. Weitere Informationen zu privaten Links finden Sie unter: Azure Web PubSub service private Endpunkt. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Bot Service sollte den isolierten Modus aktiviert haben | Bots sollten auf den Modus "nur isoliert" festgelegt werden. Diese Einstellung konfiguriert Bot Service Kanäle, für die datenverkehr über das öffentliche Internet deaktiviert werden muss. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 |
| Bot Service sollte der Zugriff auf öffentliche Netzwerke deaktiviert sein | Bots sollten auf den Modus "nur isoliert" festgelegt werden. Diese Einstellung konfiguriert Bot Service Kanäle, für die datenverkehr über das öffentliche Internet deaktiviert werden muss. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrer BotService-Ressource werden Datenleckrisiken reduziert. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| Container-App-Umgebungen sollten die Netzwerkeinfügung verwenden | Container-Apps-Umgebungen sollten eine virtuelle Netzwerkeinfügung verwenden, um: 1.Isolieren Sie Container-Apps aus dem öffentlichen Internet 2.Aktivieren Sie die Netzwerkintegration mit lokalen Ressourcen oder in anderen Azure virtuellen Netzwerken 3.Erzielen Sie eine genauere Kontrolle über den Netzwerkdatenverkehr, der an und von der Umgebung fließt. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.2 |
| Deaktivieren Sie öffentliche Netzwerk-access, um die Sicherheit zu verbessern, indem Sie die Container-Apps-Umgebung über eine interne load balancer verfügbar machen. Dadurch wird die Notwendigkeit einer öffentlichen IP-Adresse entfernt und verhindert, dass internet access für alle Container-Apps in der Umgebung verwendet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 | |
| Container-Apps sollten den externen Netzwerkzugriff deaktivieren | Deaktivieren Sie den externen Netzwerkzugriff auf Ihre Container-Apps, indem Sie den nur internen Eingang erzwingen. Dadurch wird sichergestellt, dass die eingehende Kommunikation für Container-Apps auf Anrufer in der Container-Apps-Umgebung beschränkt ist. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Containerregistrierungen sollten SKUs haben, die private Links unterstützen | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren Containerregistrierungen anstelle des gesamten Diensts werden Die Risiken für Datenlecks reduziert. Weitere Informationen finden Sie unter: Set Up Private Endpoint with Private Link for ACR. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Containerregistrierungen akzeptieren standardmäßig Verbindungen über das Internet von Hosts in jedem Netzwerk. Um Ihre Registrierungen vor potenziellen Bedrohungen zu schützen, erlauben Sie access nur von bestimmten privaten Endpunkten, öffentlichen IP-Adressen oder Adressbereichen. Wenn Ihre Registrierung nicht über konfigurierte Netzwerkregeln verfügt, wird sie unter den fehlerhaften Ressourcen aufgeführt. Weitere Informationen zu Containerregistrierungsnetzwerkregeln finden Sie hier: Set Up Private Endpoint with Private Link for ACR, Configure Public Registry Access in Azure and Restrict Access to Azure Container Registry Using Service Endpoints. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 | |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihren Containerregistrierungen anstelle des gesamten Diensts werden Sie auch vor Datenleckrisiken geschützt. Weitere Informationen finden Sie unter: Set Up Private Endpoint with Private Link for ACR. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 | |
| [Vorschau]: Container Registry sollte einen VNET-Dienstendpunkt verwenden. | Diese Richtlinie überwacht alle Container Registry-Instanzen, die nicht für die Verwendung eines VNET-Dienstendpunkts konfiguriert sind. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| Cosmos DB sollte einen VNET-Dienstendpunkt verwenden | Diese Richtlinie überwacht alle Cosmos DB-Instanzen, die nicht für die Verwendung eines VNET-Dienstendpunkts konfiguriert sind. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Ihrem CosmosDB -Konto wird das Risiko von Datenlecks verringert. Weitere Informationen zu privaten Links finden Sie unter: Configure Azure Private Link für ein Azure Cosmos DB Konto. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Datenträgerzugriffsressourcen wird das Risiko von Datenlecks verringert. Weitere Informationen zu privaten Links finden Sie unter: Restrict import/export access to managed disks. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 | |
| Deaktivieren Sie öffentliche Netzwerk-access für Ihr ElasticSan, damit es nicht über das öffentliche Internet zugänglich ist. Dies kann das Risiko von Datenlecks verringern. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Azure Event Hub sollte der Zugriff auf öffentliche Netzwerke deaktiviert sein. Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Allow-Zugriff auf Azure Event Hubs Namespaces über private Endpunkte | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Event Hub-Namespaces wird das Risiko von Datenlecks verringert. Weitere Informationen finden Sie unter: Allow-Zugriff auf Azure Event Hubs Namespaces über private Endpunkte. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 | |
| Event Hub sollte einen VNET-Dienstendpunkt verwenden | Diese Richtlinie überwacht jeden Event Hub, der nicht für die Verwendung eines VNET-Dienstendpunkts konfiguriert ist. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Funktions-App nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung einer Funktions-App einschränken, indem Sie private Endpunkte erstellen. Weitere Informationen finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.1.0 | |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Funktions-App nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung einer Funktions-App einschränken, indem Sie private Endpunkte erstellen. Weitere Informationen finden Sie unter: Verwenden privater Endpunkte für Apps. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.1.0 | |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die private Link-Plattform verarbeitet die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrer IoT Central-Anwendung anstelle des gesamten Diensts reduzieren Sie Ihre Datenlecksrisiken. Weitere Informationen zu privaten Links finden Sie unter: Netzwerksicherheit mithilfe privater Endpunkte in IoT Central. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| IoT Hub Gerätebereitstellungsdienstinstanzen sollten den öffentlichen Netzwerkzugriff deaktivieren | Durch das Deaktivieren des Zugriffs auf öffentliche Netzwerke wird die Sicherheit verbessert, indem sichergestellt wird, dass IoT Hub Gerätebereitstellungsdienstinstanz nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Gefährdung der IoT Hub Gerätebereitstellungsinstanzen einschränken. Weitere Informationen finden Sie unter: Virtual network Verbindungen für DPS. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| IoT Hub Gerätebereitstellungsdienstinstanzen sollten einen privaten Link verwenden | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zum IoT Hub Gerätebereitstellungsdienst werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter: Virtual network Verbindungen für DPS. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| IP-Firewallregeln für Azure Synapse-Arbeitsbereiche müssen entfernt werden | Durch das Entfernen aller IP-Firewallregeln wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr Azure Synapse Arbeitsbereich nur von einem privaten Endpunkt aus aufgerufen werden kann. Diese Konfiguration überprüft die Erstellung von Firewallregeln, die den Zugriff auf öffentliche Netzwerke im Arbeitsbereich ermöglichen. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Key Vault sollte einen VNET-Dienstendpunkt verwenden | Diese Richtlinie überprüft alle Key Vault, die nicht für die Verwendung eines Endpunkts für virtuelle Netzwerke konfiguriert sind. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Log Analytics Arbeitsbereiche sollten die Erfassung und Abfrage von öffentlichen Netzwerken blockieren | Verbessern Sie die Sicherheit von Arbeitsbereichen, indem Sie die Protokollerfassung und -abfrage aus öffentlichen Netzwerken blockieren. Nur über eine private Verbindung verbundene Netzwerke können Protokolle dieses Arbeitsbereichs erfassen und abfragen. Weitere Informationen finden Sie unter Use Azure Private Link to connect networks to Azure Monitor. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 1.1.0 |
| Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass ein verwalteter Datenträger nicht im öffentlichen Internet verfügbar gemacht wird. Das Erstellen privater Endpunkte kann die Exposition von managed disks einschränken. Weitere Informationen finden Sie unter: Restrict import/export access to managed disks. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.1.0 | |
| Virtuelles Verwaltetes Arbeitsbereichsnetzwerk in Azure Synapse Arbeitsbereichen sollte aktiviert sein | Durch aktivieren eines virtuellen Netzwerks für verwaltete Arbeitsbereiche wird sichergestellt, dass Ihr Arbeitsbereich von anderen Arbeitsbereichen isoliert ist. Datenintegration und Spark-Ressourcen, die in diesem virtuellen Netzwerk bereitgestellt werden, bieten auch eine Isolation auf Benutzerebene für Spark-Aktivitäten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| MariaDB-Server sollte einen Virtuellen Netzwerkdienstendpunkt verwenden | Virtuelle netzwerkbasierte Firewallregeln werden verwendet, um Datenverkehr von einem bestimmten Subnetz zu Azure Database for MariaDB zu aktivieren, während sichergestellt wird, dass der Datenverkehr innerhalb der Azure Grenze bleibt. Diese Richtlinie bietet eine Möglichkeit, zu überwachen, ob der Azure Database for MariaDB verwendet wird, wenn der virtuelle Netzwerkdienstendpunkt verwendet wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| MySQL-Server sollte einen Virtuellen Netzwerkdienstendpunkt verwenden | Virtuelle netzwerkbasierte Firewallregeln werden verwendet, um Datenverkehr von einem bestimmten Subnetz zu Azure Database for MySQL zu aktivieren, während sichergestellt wird, dass der Datenverkehr innerhalb der Azure Grenze bleibt. Diese Richtlinie bietet eine Möglichkeit, zu überwachen, ob der Azure Database for MySQL verwendet wird, wenn der virtuelle Netzwerkdienstendpunkt verwendet wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| PostgreSQL-Server sollte einen Endpunkt für virtuelle Netzwerke verwenden | Virtuelle netzwerkbasierte Firewallregeln werden verwendet, um Datenverkehr von einem bestimmten Subnetz zu Azure Database for PostgreSQL zu aktivieren, während sichergestellt wird, dass der Datenverkehr innerhalb der Azure Grenze bleibt. Diese Richtlinie bietet eine Möglichkeit, zu überwachen, ob der Azure Database for PostgreSQL verwendet wird, wenn der virtuelle Netzwerkdienstendpunkt verwendet wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Private Endpunktverbindungen für Automatisierungskonten sollten aktiviert sein | Private Endpunktverbindungen ermöglichen eine sichere Kommunikation, indem private Verbindungen mit Automatisierungskonten aktiviert werden, ohne dass öffentliche IP-Adressen an der Quelle oder am Ziel erforderlich sind. Weitere Informationen zu privaten Endpunkten in Azure Automation unter /azure/automation/how-to/private-link-security | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Private-Endpunktverbindungen auf Azure SQL-Datenbank sollten aktiviert sein | Private Endpunktverbindungen erzwingen sichere Kommunikation, indem private Konnektivität zum Azure SQL-Datenbank ermöglicht wird. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
| Private Endpunktverbindungen für Batchkonten sollten aktiviert sein | Private Endpunktverbindungen gewährleisten eine sichere Kommunikation, indem private Konnektivität mit Batch-Konten ermöglicht wird, ohne dass öffentliche IP-Adressen an der Quelle oder am Ziel erforderlich sind. Erfahren Sie mehr über private Endpunkte im Batch unter /azure/batch/private-connectivity. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Privater Endpunkt sollte für IoT Hub aktiviert sein | Private Endpunktverbindungen erzwingen sichere Kommunikation, indem private Konnektivität zum IoT Hub aktiviert wird. Konfigurieren Sie eine private Endpunktverbindung, um den Zugriff auf Datenverkehr nur aus bekannten Netzwerken zu ermöglichen und den Zugriff von allen anderen IP-Adressen, einschließlich innerhalb Azure, zu verhindern. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Privater Endpunkt muss für MariaDB-Server aktiviert sein | Private Endpunktverbindungen erzwingen eine sichere Kommunikation durch das Aktivieren privater Konnektivität mit Azure Database for MariaDB. Konfigurieren Sie eine private Endpunktverbindung, um den Zugriff auf Datenverkehr nur aus bekannten Netzwerken zu ermöglichen und den Zugriff von allen anderen IP-Adressen, einschließlich innerhalb Azure, zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Private-Endpunkt sollte für MySQL-Server aktiviert sein | Private Endpunktverbindungen erzwingen sichere Kommunikation, indem private Konnektivität zum Azure Database for MySQL ermöglicht wird. Konfigurieren Sie eine private Endpunktverbindung, um den Zugriff auf Datenverkehr nur aus bekannten Netzwerken zu ermöglichen und den Zugriff von allen anderen IP-Adressen, einschließlich innerhalb Azure, zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Private-Endpunkt sollte für PostgreSQL-Server aktiviert sein | Private Endpunktverbindungen erzwingen sichere Kommunikation, indem private Konnektivität zum Azure Database for PostgreSQL aktiviert wird. Konfigurieren Sie eine private Endpunktverbindung, um den Zugriff auf Datenverkehr nur aus bekannten Netzwerken zu ermöglichen und den Zugriff von allen anderen IP-Adressen, einschließlich innerhalb Azure, zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Public-Netzwerkzugriff für Azure Geräteupdate für IoT Hub Konten sollte deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr Azure Geräteupdate für IoT Hub Konten nur von einem privaten Endpunkt aus aufgerufen werden kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerkzugriff auf Azure Data Explorer sollte deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass Azure Data Explorer nur von einem privaten Endpunkt aus aufgerufen werden kann. Diese Konfiguration verweigert alle Anmeldungen, die ip- oder virtual network-basierten Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerkzugriff auf Azure Data Factory sollte deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass ihre Azure Data Factory nur von einem privaten Endpunkt aus aufgerufen werden kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerkzugriff auf Azure IoT Hub sollte deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihre Azure IoT Hub nur von einem privaten Endpunkt aus aufgerufen werden kann. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerkzugriff auf Azure SQL-Datenbank sollte deaktiviert werden | Durch Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass ihre Azure SQL-Datenbank nur über einen privaten Endpunkt aufgerufen werden kann. Diese Konfiguration verweigert alle Anmeldungen, die ip- oder virtual network-basierten Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| Wenn Sie den öffentlichen Endpunkt deaktivieren, können Sie access auf Ihre Storage-Synchronisierungsdienstressource beschränken, um Anforderungen an genehmigte private Endpunkte im Netzwerk Ihrer Organisation anfordert. Das Zulassen von Anforderungen an den öffentlichen Endpunkt ist nicht grundsätzlich unsicher, aber möglicherweise muss der öffentliche Endpunkt zur Erfüllung gesetzlicher, rechtlicher oder organisatorischer Richtlinienanforderungen deaktiviert werden. Sie können den öffentlichen Endpunkt für einen Storage-Synchronisierungsdienst deaktivieren, indem Sie die eingehendeTrafficPolicy der Ressource auf AllowVirtualNetworksOnly festlegen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Public-Netzwerk-access sollte für Batchkonten deaktiviert werden | Durch deaktivieren des öffentlichen Netzwerks access für ein Batchkonto wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihr Batchkonto nur von einem privaten Endpunkt aus aufgerufen werden kann. Erfahren Sie mehr über das Deaktivieren des öffentlichen Netzwerkzugriffs bei Verwenden privater Endpunkte mit Azure Batch Konten. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerk access sollte für Containerregistrierungen deaktiviert werden | Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass Containerregistrierungen nicht im öffentlichen Internet verfügbar gemacht werden. Das Erstellen privater Endpunkte kann die Belichtung von Containerregistrierungsressourcen einschränken. Weitere Informationen finden Sie unter: Configure Public Registry Access in Azure and Set Up Private Endpoint with Private Link for ACR. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Public-Netzwerk access sollte für IoT Central deaktiviert werden | Um die Sicherheit von IoT Central zu verbessern, stellen Sie sicher, dass es nicht für das öffentliche Internet verfügbar ist und nur von einem privaten Endpunkt aus darauf zugegriffen werden kann. Deaktivieren Sie die Eigenschaft für den Zugriff auf öffentliche Netzwerke, wie in Create a private endpoint for Azure IoT Central beschrieben. Mit dieser Option wird der Zugriff von jedem öffentlichen Adressbereich außerhalb des IP-Bereichs Azure deaktiviert und alle Anmeldungen verweigert, die ip- oder netzwerkbasierte Firewallregeln entsprechen. Dadurch wird das Risiko von Datenlecks verringert. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Öffentlicher Netzwerkzugriff muss für MariaDB-Server deaktiviert sein | Deaktivieren Sie die Eigenschaft für den Zugriff auf das öffentliche Netzwerk, um die Sicherheit zu verbessern, und stellen Sie sicher, dass auf Ihre Azure Database for MariaDB nur von einem privaten Endpunkt aus zugegriffen werden kann. Diese Konfiguration deaktiviert streng den Zugriff von jedem öffentlichen Adressraum außerhalb Azure IP-Bereichs und verweigert alle Anmeldungen, die ip- oder netzwerkbasierte Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Public Network access sollte für flexible MySQL-Server deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihre Azure Database for MySQL flexiblen Server nur von einem privaten Endpunkt aus darauf zugreifen können. Mit dieser Konfiguration wird der Zugriff von allen öffentlichen Adressräumen außerhalb des IP-Bereichs Azure streng deaktiviert und alle Anmeldungen verweigert, die mit IP- oder virtuellen netzwerkbasierten Firewallregeln übereinstimmen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.3.0 |
| Public Network access sollte für MySQL-Server deaktiviert werden | Deaktivieren Sie die Eigenschaft für den Zugriff auf das öffentliche Netzwerk, um die Sicherheit zu verbessern, und stellen Sie sicher, dass auf Ihre Azure Database for MySQL nur von einem privaten Endpunkt aus zugegriffen werden kann. Diese Konfiguration deaktiviert streng den Zugriff von jedem öffentlichen Adressraum außerhalb Azure IP-Bereichs und verweigert alle Anmeldungen, die ip- oder netzwerkbasierte Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Public-Netzwerk-access sollte für flexible PostgreSQL-Server deaktiviert werden | Durch das Deaktivieren der Eigenschaft für den Zugriff auf das öffentliche Netzwerk wird die Sicherheit verbessert, indem sichergestellt wird, dass Ihre Azure Database for PostgreSQL flexiblen Server nur von einem privaten Endpunkt aus darauf zugreifen können. Diese Konfiguration deaktiviert streng den Zugriff von jedem öffentlichen Adressbereich außerhalb Azure IP-Bereichs und verweigert alle Anmeldungen, die IP-basierten Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.1.0 |
| Public-Netzwerk-access sollte für PostgreSQL-Server deaktiviert werden | Deaktivieren Sie die Eigenschaft für den Zugriff auf das öffentliche Netzwerk, um die Sicherheit zu verbessern, und stellen Sie sicher, dass auf Ihre Azure Database for PostgreSQL nur von einem privaten Endpunkt aus zugegriffen werden kann. Diese Konfiguration deaktiviert den Zugriff von jedem öffentlichen Adressraum außerhalb Azure IP-Bereichs und verweigert alle Anmeldungen, die ip- oder netzwerkbasierte Firewallregeln entsprechen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.1 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Azure Recovery Services-Tresoren werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links für Azure Site Recovery finden Sie unter: Enable-Replikation für lokale Computer mit privaten Endpunkten und Enable-Replikation für private Endpunkte in Azure Site Recovery. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau | |
| Service Bus Namespaces sollten den zugriff auf öffentliche Netzwerke deaktivieren | Azure Service Bus sollte der Zugriff auf das öffentliche Netzwerk deaktiviert sein. Durch deaktivieren des öffentlichen Netzwerks access wird die Sicherheit verbessert, indem sichergestellt wird, dass die Ressource nicht im öffentlichen Internet verfügbar gemacht wird. Sie können die Offenlegung von Ressourcen einschränken, indem Sie stattdessen private Endpunkte erstellen. Weitere Informationen finden Sie unter: Allow-Zugriff auf Azure Service Bus Namespaces über private Endpunkte | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.0 |
| SQL Server Integration Services Integrationslaufzeiten für Azure Data Factory sollten mit einem virtuellen Netzwerk verbunden werden | Azure Virtual Network Bereitstellung bietet erweiterte Sicherheit und Isolation für Ihre SQL Server Integration Services Integrationslaufzeiten auf Azure Data Factory sowie Subnetze, Zugriffssteuerungsrichtlinien und andere Features, um den Zugriff weiter einzuschränken. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.3.0 |
| SQL Server sollte einen VNET-Dienstendpunkt verwenden | Diese Richtlinie überwacht alle SQL Server, die nicht für die Verwendung eines Endpunkts für virtuelle Netzwerke konfiguriert sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Storage konto public access sollte unzulässig sein | Anonymer öffentlicher Lesezugriff auf Container und Blobs in Azure Storage ist eine bequeme Möglichkeit zum Freigeben von Daten, kann aber Sicherheitsrisiken darstellen. Um Datenschutzverletzungen zu verhindern, die durch unerwünschten anonymen Zugriff verursacht werden, empfiehlt Microsoft, den öffentlichen Zugriff auf ein Speicherkonto zu verhindern, es sei denn, Ihr Szenario erfordert es. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 3.1.1 |
| Speicherkonten sollten Zugriff von vertrauenswürdigen Microsoft-Diensten zulassen | Einige Microsoft-Dienste, die mit Speicherkonten interagieren, funktionieren über Netzwerke, denen kein Zugriff über Netzwerkregeln gewährt werden kann. Damit diese Art von Dienst wie beabsichtigt funktioniert, können Sie den Satz vertrauenswürdiger Microsoft-Dienste die Netzwerkregeln umgehen. Diese Dienste verwenden dann eine strenge Authentifizierung, um auf das Speicherkonto zuzugreifen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Um die Sicherheit von Storage-Konten zu verbessern, stellen Sie sicher, dass sie nicht im öffentlichen Internet verfügbar sind und nur von einem privaten Endpunkt aus darauf zugreifen können. Deaktivieren Sie die eigenschaft access des öffentlichen Netzwerks, wie in Storage Account Public Network access beschrieben. Mit dieser Option wird der Zugriff von jedem öffentlichen Adressbereich außerhalb des IP-Bereichs Azure deaktiviert und alle Anmeldungen verweigert, die ip- oder netzwerkbasierte Firewallregeln entsprechen. Dadurch wird das Risiko von Datenlecks verringert. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 | |
| Netzwerk-access für storage Konten sollten eingeschränkt werden. Konfigurieren Sie Netzwerkregeln, sodass nur Anwendungen aus zulässigen Netzwerken das storage Konto access können. Um Verbindungen von bestimmten Internet- oder lokalen Clients zuzulassen, kann der Zugriff auf den Datenverkehr von bestimmten Azure virtuellen Netzwerken oder öffentlichen Internet-IP-Adressbereichen gewährt werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.1.1 | |
| Speicherkonten sollten den Netzwerkzugriff nur über die Konfiguration der Netzwerk-ACL-Umgehung einschränken. | Um die Sicherheit von Speicherkonten zu verbessern, aktivieren Sie den Zugriff nur über die Netzwerk-ACL-Umgehung. Diese Richtlinie sollte in Kombination mit einem privaten Endpunkt für den Zugriff auf Speicherkonten verwendet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Storage-Konten sollten das Netzwerk access mithilfe virtual network Regeln einschränken | Schützen Sie Ihre storage Konten vor potenziellen Bedrohungen, indem Sie virtual network Regeln als bevorzugte Methode anstelle von IP-basierten Filtern verwenden. Durch deaktivieren der IP-basierten Filterung wird verhindert, dass öffentliche IPs auf Ihre storage-Konten zugreifen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Storage-Konten sollten das Netzwerk access mithilfe von virtual network Regeln einschränken (mit Ausnahme von storage Konten, die von Databricks erstellt wurden) | Schützen Sie Ihre storage Konten vor potenziellen Bedrohungen, indem Sie virtual network Regeln als bevorzugte Methode anstelle von IP-basierten Filtern verwenden. Durch deaktivieren der IP-basierten Filterung wird verhindert, dass öffentliche IPs auf Ihre storage-Konten zugreifen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Speicherkonten sollten einen VNET-Dienstendpunkt verwenden | Diese Richtlinie überwacht alle Speicherkonten, die nicht für die Verwendung eines VNET-Dienstendpunkts konfiguriert sind. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrem storage Konto werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter - What is Azure Private Link? | AuditIfNotExists; Arbeitsunfähig | 2.0.0 | |
| Storage-Konten sollten private link verwenden (ausgenommen storage konten, die von Databricks erstellt wurden) | mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch die Zuordnung privater Endpunkte zu Ihrem storage Konto werden Die Risiken für Datenlecks reduziert. Weitere Informationen zu privaten Links finden Sie unter - What is Azure Private Link? | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Synapse verwaltete private Endpunkte sollten nur eine Verbindung mit Ressourcen in genehmigten Azure Active Directory Mandanten herstellen. | Schützen Sie Ihren Synapse-Arbeitsbereich, indem Sie nur Verbindungen mit Ressourcen in genehmigten Azure Active Directory (Azure AD)-Mandanten zulassen. Die genehmigten Azure AD-Mandanten können während der Richtlinienzuweisung definiert werden. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.0 |
| mit Azure Private Link können Sie Ihr virtuelles Netzwerk mit Azure Diensten ohne öffentliche IP-Adresse an der Quelle oder am Ziel verbinden. Die Private Link-Plattform behandelt die Konnektivität zwischen Consumer und Diensten über das Azure Backbone-Netzwerk. Durch das Zuordnen privater Endpunkte zu Ihren VM Image Builder-Erstellungsressourcen wird das Risiko von Datenlecks verringert. Weitere Informationen zu privaten Links finden Sie unter: Azure VM Image Builder-Netzwerkoptionen – Bereitstellen mithilfe eines vorhandenen VNET. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.1.0 |
NS-3: Bereitstellen einer Firewall im Edgebereich des Unternehmensnetzwerks
Weitere Informationen finden Sie unter Netzwerksicherheit: NS-3: Bereitstellen der Firewall am Edge des Unternehmensnetzwerks.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| IP-Weiterleitung auf Ihrem virtuellen Computer sollte deaktiviert sein | Durch die Aktivierung der IP-Weiterleitung für die Netzwerkschnittstelle einer VM kann die VM Datenverkehr empfangen, der an andere Ziele adressiert ist. Da die IP-Weiterleitung nur selten benötigt wird (z. B. bei Verwendung der VM als virtuelles Netzwerkgerät), sollte dieser Vorgang vom Netzwerksicherheitsteam geprüft werden. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Der Mögliche Netzwerkzugriff just In Time (JIT) wird von Azure Security Center als Empfehlungen überwacht. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Offene Remoteverwaltungsports setzen Ihre VM einem hohen Risiko aus, weil sie internetbasierte Brute-Force-Angriffe zur Erlangung von Anmeldeinformationen begünstigen, Diese Angriffe versuchen, Anmeldeinformationen brute zu erzwingen, um Administrator-access auf dem Computer zu erhalten. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Azure Security Center hat festgestellt, dass einige Ihrer Subnetze nicht durch eine Firewall der nächsten Generation geschützt sind. Schützen Sie Ihre Subnetze vor potenziellen Bedrohungen, indem Sie den Zugriff auf sie mit Azure Firewall oder einer unterstützten Firewall der nächsten Generation einschränken. | AuditIfNotExists; Arbeitsunfähig | 3.0.0-Vorschau |
NS-5: Bereitstellen von DDOS-Schutz
Weitere Informationen finden Sie unter Netzwerksicherheit: NS-5: Bereitstellen des DDOS-Schutzes.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure DDoS Protection sollte aktiviert sein | Der DDoS-Schutz sollte für alle virtuellen Netzwerke mit einem Subnetz aktiviert werden, das Teil eines application gateway mit einer öffentlichen IP ist. | AuditIfNotExists; Arbeitsunfähig | 3.0.1 |
| Aktivieren der Regel "Rate Limit" zum Schutz vor DDoS-Angriffen auf Azure Front Door WAF | Die Azure Web Application Firewall-Regel (WAF) für Azure Front Door steuert die Anzahl der Anforderungen, die von einer bestimmten Client-IP-Adresse an die Anwendung während einer Zinsgrenzdauer zulässig sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Virtual-Netzwerke sollten durch Azure DDoS-Schutz geschützt werden | Schützen Sie Ihre virtuellen Netzwerke vor Volumetric- und Protokollangriffen mit Azure DDoS Protection. Weitere Informationen finden Sie unter Azure DDoS Protection Overview. | Modifizieren; Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
NS-6: Bereitstellen von web application firewall
Weitere Informationen finden Sie unter Network Security: NS-6: Deploy web application firewall.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Für Azure Front Door Standard oder Premium (Plus WAF) müssen Ressourcenprotokolle aktiviert sein | Aktivieren Sie Ressourcenprotokolle für Azure Front Door Standard oder Premium (plus WAF) und streamen Sie zu einem Log Analytics Arbeitsbereich. Erhalten Sie detaillierte Einblicke in eingehenden Webdatenverkehr und Aktionen zur Abwehr von Angriffen. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Web Application Firewall für Azure Application Gateway sollte die Überprüfung von Stellen aktiviert sein | Stellen Sie sicher, dass Webanwendungsfirewalls, die Azure-Anwendung Gateways zugeordnet sind, die Anforderungstextüberprüfung aktiviert haben. Dadurch kann die WAF Eigenschaften innerhalb des HTTP-Textkörpers überprüfen, die möglicherweise nicht in den HTTP-Headern, Cookies oder URI ausgewertet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Web Application Firewall für Azure Front Door sollte die Überprüfung der Körperstellen aktiviert sein | Stellen Sie sicher, dass Webanwendungsfirewalls, die Azure Front Doors zugeordnet sind, die Anforderungsstellenüberprüfung aktiviert haben. Dadurch kann die WAF Eigenschaften innerhalb des HTTP-Textkörpers überprüfen, die möglicherweise nicht in den HTTP-Headern, Cookies oder URI ausgewertet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Web Application Firewall sollte für Azure Front Door Einstiegspunkte aktiviert sein | Stellen Sie Azure Web Application Firewall (WAF) vor öffentlich zugänglichen Webanwendungen bereit, um eingehenden Datenverkehr zu überprüfen. Web Application Firewall (WAF) bietet einen zentralen Schutz Ihrer Webanwendungen vor allgemeinen Exploits und Sicherheitsrisiken wie SQL-Einfügungen, Websiteübergreifende Skripting, lokale und Remotedateiausführungen. Sie können auch access auf Ihre Webanwendungen nach Ländern/Regionen, IP-Adressbereichen und anderen HTTP(s)-Parametern über benutzerdefinierte Regeln einschränken. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.2 |
| Aktivieren der Regel "Rate Limit" zum Schutz vor DDoS-Angriffen auf Azure Front Door WAF | Die Azure Web Application Firewall-Regel (WAF) für Azure Front Door steuert die Anzahl der Anforderungen, die von einer bestimmten Client-IP-Adresse an die Anwendung während einer Zinsgrenzdauer zulässig sind. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Migrieren von WAF zu WAF-Konfiguration zu WAF-Richtlinie auf Application Gateway | Wenn Sie über WAF Config anstatt von WAF-Richtlinie verfügen, sollten Sie in Erwägung ziehen, zu der neuen WAF-Richtlinie zu wechseln. In Zukunft unterstützt die Firewallrichtlinie WAF-Richtlinieneinstellungen, verwaltete Regelsätze, Ausschlüsse und deaktivierte Regelgruppen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Web Application Firewall (WAF) sollte für das Anwendungsgateway aktiviert sein | Stellen Sie Azure Web Application Firewall (WAF) vor öffentlich zugänglichen Webanwendungen bereit, um eingehenden Datenverkehr zu überprüfen. Web Application Firewall (WAF) bietet einen zentralen Schutz Ihrer Webanwendungen vor allgemeinen Exploits und Sicherheitsrisiken wie SQL-Einfügungen, Websiteübergreifende Skripting, lokale und Remotedateiausführungen. Sie können auch access auf Ihre Webanwendungen nach Ländern/Regionen, IP-Adressbereichen und anderen HTTP(s)-Parametern über benutzerdefinierte Regeln einschränken. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.0 |
| Web Application Firewall (WAF) sollte den angegebenen Modus für das Anwendungsgateway verwenden | Gibt an, dass der Modus "Erkennung" oder "Verhinderung" für alle Web Application Firewall Richtlinien für das Anwendungsgateway aktiv ist. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Fordert die Verwendung des Modus "Erkennung" oder "Prävention" auf, für alle Web Application Firewall Richtlinien für Azure Front Door Service aktiv zu sein. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
NS-8: Erkennen und Deaktivieren unsicherer Dienste und Protokolle
Weitere Informationen finden Sie unter Netzwerksicherheit: NS-8: Erkennen und Deaktivieren unsicherer Dienste und Protokolle.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| App Service-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für App Service Apps durch, um ggf. Sicherheitsfixes und/oder neue Funktionen der neuesten Version zu nutzen. | AuditIfNotExists; Arbeitsunfähig | 2.2.0 |
| Diese Richtlinie stellt sicher, dass für VPN-Gateways nicht die SKU „Basic“ verwendet wird. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 | |
| Function-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 2.3.0 |
PA-1: Benutzer mit hohen Privilegien oder Administratorrechte trennen und einschränken.
Weitere Informationen finden Sie unter Privileged Access: PA-1: Trennen und Einschränken von Benutzern mit hoher Berechtigung/Verwaltung.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| A maximum von 3 Besitzern sollte für Ihr Abonnement festgelegt werden | Es wird empfohlen, bis zu drei Abonnementbesitzer festzulegen, um die Möglichkeit einer Sicherheitsverletzung durch einen kompromittierten Besitzer zu verringern. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Blocked-Konten mit Besitzerberechtigungen für Azure Ressourcen sollten entfernt werden | Veraltete Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Guest-Konten mit Besitzerberechtigungen für Azure Ressourcen sollten entfernt werden | Externe Konten mit Besitzerberechtigungen sollten aus Ihrem Abonnement entfernt werden, um nicht überwachte access zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| [Vorschau]: Die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) muss für Recovery Services Vaults aktiviert sein. | Diese Richtlinie überprüft, ob die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) für Recovery Services Vaults aktiviert ist. Die MUA hilft bei der Sicherung Ihrer Recovery Service Vaults, indem sie kritischen Vorgängen eine zusätzliche Schutzebene hinzufügt. Weitere Informationen finden Sie unter https://aka.ms/MUAforRSV. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| There sollte ihrem Abonnement mehr als ein Besitzer zugewiesen sein | Es wird empfohlen, mehr als einen Abonnementbesitzer festzulegen, um Administrator-access Redundanz zu haben. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
PA-2: Vermeiden von ständigen access für Benutzerkonten und Berechtigungen
Weitere Informationen finden Sie unter Privileged Access: PA-2: Vermeiden Sie ständige access für Benutzerkonten und Berechtigungen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Der Mögliche Netzwerkzugriff just In Time (JIT) wird von Azure Security Center als Empfehlungen überwacht. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
PA-4: Regelmäßiges Überprüfen und Abstimmen von Benutzer-access
Weitere Informationen finden Sie unter Privileged Access: PA-4: Regelmäßige Überprüfung und Abstimmung von Benutzer-access.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Blocked-Konten mit Besitzerberechtigungen für Azure Ressourcen sollten entfernt werden | Veraltete Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Blocked-Konten mit Lese- und Schreibberechtigungen für Azure Ressourcen sollten entfernt werden | Veraltete Konten sollten aus Ihren Abonnements entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Guest-Konten mit Besitzerberechtigungen für Azure Ressourcen sollten entfernt werden | Externe Konten mit Besitzerberechtigungen sollten aus Ihrem Abonnement entfernt werden, um nicht überwachte access zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Guest-Konten mit Leseberechtigungen für Azure Ressourcen sollten entfernt werden | Externe Konten mit Leseberechtigungen sollten aus Ihrem Abonnement entfernt werden, um nicht überwachte access zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Guest-Konten mit Schreibberechtigungen für Azure Ressourcen sollten entfernt werden | Externe Konten mit Schreibberechtigungen sollten aus Ihrem Abonnement entfernt werden, um nicht überwachte access zu verhindern. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
PA-7: Befolgen Sie das Prinzip der minimalen Verwaltung (Prinzip des geringsten Privilegs)
Weitere Informationen finden Sie unter Privileged Access: PA-7: Folgen Sie nur genügend Verwaltungsprinzip (geringste Rechte), .
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Alle Autorisierungsregeln außer RootManageSharedAccessKey sollten aus dem Event Hub-Namespace entfernt werden | Event Hub-Clients dürfen keine Zugriffsrichtlinie auf Namespace-Ebene verwenden, die Zugriff auf alle Warteschlangen und Themen in einem Namespace bereitstellt. Um dem Sicherheitsmodell der geringsten Rechte zu entsprechen, müssen Sie Zugriffsrichtlinien auf Entitätsebene erstellen, damit nur der jeweiligen Entität Zugriff auf Warteschlangen und Themen gewährt wird. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Alle Autorisierungsregeln mit Ausnahme von RootManageSharedAccessKey sollten aus Service Bus Namespace entfernt werden. | Service Bus Clients sollten keine Zugriffsrichtlinie auf Namespaceebene verwenden, die Zugriff auf alle Warteschlangen und Themen in einem Namespace ermöglicht. Um dem Sicherheitsmodell der geringsten Rechte zu entsprechen, müssen Sie Zugriffsrichtlinien auf Entitätsebene erstellen, damit nur der jeweiligen Entität Zugriff auf Warteschlangen und Themen gewährt wird. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| API Management-Abonnements sollten nicht auf alle APIs eingestellt sein | API Management Abonnements sollten auf ein Produkt oder eine einzelne API anstelle aller APIs festgelegt werden, was zu einer übermäßigen Datenexposition führen kann. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.1.0 |
| Audit-Verwendung benutzerdefinierter RBAC-Rollen | Hiermit werden integrierte Rollen wie z.B. „Benutzer“, „Mitwirkender“ und „Leser“ anstelle benutzerdefinierter RBAC-Rollen überwacht, die fehleranfällig sind. Die Verwendung benutzerdefinierter Rollen wird als Ausnahme betrachtet und erfordert eine strenge Überprüfung und Bedrohungsmodellierung. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Für die Event Hub-Instanz müssen Autorisierungsregeln definiert werden | Hiermit wird das Vorhandensein von Autorisierungsregeln für Event Hub-Entitäten überwacht, um Zugriff mit den geringsten Rechten zu gewähren. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Azure Key Vault sollte das RBAC-Berechtigungsmodell verwenden | Aktivieren Sie das RBAC-Berechtigungsmodell in Schlüsseltresoren. Weitere Informationen finden Sie unter: Migrate from vault access policy to an Azure role-based access control permission model | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Kubernetes Service Cluster sollten Befehlsaufrufe deaktivieren | Das Deaktivieren von Befehlsaufrufen kann die Sicherheit erhöhen, da die Umgehung des eingeschränkten Netzwerkzugriffs oder der rollenbasierten Zugriffssteuerung von Kubernetes vermieden wird. | Rechnungsprüfung; Arbeitsunfähig | 1.0.1 |
| Kubernetes-Cluster sollten sicherstellen, dass die Rolle „Clusteradministrator*in“ nur bei Bedarf verwendet wird | Die Rolle „Clusteradministrator*in“ bietet umfassende Befugnisse über die Umgebung und sollte nur bei Bedarf verwendet werden. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
| Kubernetes-Cluster sollten die Verwendung von Platzhaltern in Rollen und Clusterrollen minimieren | Die Verwendung des Platzhalterzeichens „*“ kann ein Sicherheitsrisiko darstellen, da es umfassende Berechtigungen gewährt, die für eine bestimmte Rolle möglicherweise nicht erforderlich sind. Wenn eine Rolle über zu viele Berechtigungen verfügt, kann sie von Angreifer*innen oder kompromittierten Benutzer*innen missbraucht werden, um nicht autorisierten Zugriff auf Ressourcen im Cluster zu erhalten. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
| Role-Based Access Control (RBAC) sollte für Kubernetes Services verwendet werden | Verwenden Sie Role-Based Access Control (RBAC) zum Verwalten von Berechtigungen in Kubernetes-Dienstclustern und zum Konfigurieren relevanter Autorisierungsrichtlinien, um eine präzise Filterung der Aktionen bereitzustellen, die Benutzer ausführen können. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0 |
PV-2: Überwachen und Erzwingen sicherer Konfigurationen
Weitere Informationen finden Sie unter Haltungs- und Sicherheitsrisikomanagement: PV-2: Überwachen und Erzwingen sicherer Konfigurationen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| [Vorschau]: [Bildintegrität] Kubernetes-Cluster dürfen nur Bilder verwenden, die mit Notation signiert sind | Verwenden Sie mit Notation signierte Bilder, um sicherzustellen, dass Bilder aus vertrauenswürdigen Quellen stammen und nicht böswillig geändert werden. Weitere Informationen finden Sie unter https://aka.ms/aks/image-integrity. | Rechnungsprüfung; Arbeitsunfähig | 1.1.0-Vorschau |
| Direkter API Management-Verwaltungsendpunkt sollte nicht aktiviert sein | Die DIREKTE Verwaltungs-REST-API in Azure API Management umgangen Azure Resource Manager rollenbasierten Zugriffssteuerungs-, Autorisierungs- und Drosselungsmechanismen, wodurch die Sicherheitsanfälligkeit Ihres Diensts erhöht wird. | Rechnungsprüfung; Arbeitsunfähig; Leugnen | 1.0.2 |
| Für App Service-App-Slots muss Remotedebuggen deaktiviert sein. | Für das Remotedebugging müssen eingehende Ports in einer App Service-App geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Für App Service-App-Slots sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann. | Cross-Origin Resource Sharing (CORS) sollte nicht zulassen, dass alle Domänen Ihre App access. Erlauben Sie nur erforderlichen Domains, mit Ihrer App zu interagieren. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| App Service-App-Slots müssen die aktuelle „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| App Service-App-Slots, die PHP verwenden, sollten die angegebene ‚PHP-Version‘ verwenden | Für die PHP-Software werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Es wird empfohlen, die neueste PHP-Version für App Service-Apps zu verwenden, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. Diese Richtlinie gilt nur für Linux-Apps. Bei dieser Richtlinie müssen Sie eine PHP-Version angeben, die Ihren Anforderungen entspricht. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| In regelmäßigen Abständen werden neuere Versionen für Python Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Python Version für App Service-Apps wird empfohlen, um sicherheitsrelevante Korrekturen, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Diese Richtlinie erfordert, dass Sie eine Python Version angeben, die Ihre Anforderungen erfüllt. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 | |
| App Service-Apps sollten Clientzertifikate (eingehende Clientzertifikate) aktiviert sein | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit einem gültigen Zertifikat können auf die App zugreifen. Diese Richtlinie gilt für Apps mit HTTP-Version 1.1. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| App Service-Apps sollten das Remotedebugging deaktiviert haben | Für das Remotedebugging müssen eingehende Ports in einer App Service-App geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| App Service-Apps sollten nicht über CORS konfiguriert sein, damit jede Ressource Ihre Apps access kann | Cross-Origin Resource Sharing (CORS) sollte nicht zulassen, dass alle Domänen Ihre App access. Erlauben Sie nur erforderlichen Domains, mit Ihrer App zu interagieren. | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| App Service-Apps müssen die neueste „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 4.0.0 |
| In regelmäßigen Abständen werden neuere Versionen für Java Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Java-Version für App Service-Apps wird empfohlen, um Sicherheitsupdates, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Für diese Richtlinie müssen Sie eine Java Version angeben, die Ihren Anforderungen entspricht. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 | |
| App Service-Apps, die PHP verwenden, müssen die angegebene „PHP-Version“ verwenden | Für die PHP-Software werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Es wird empfohlen, die neueste PHP-Version für App Service-Apps zu verwenden, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. Diese Richtlinie gilt nur für Linux-Apps. Bei dieser Richtlinie müssen Sie eine PHP-Version angeben, die Ihren Anforderungen entspricht. | AuditIfNotExists; Arbeitsunfähig | 3.2.0 |
| In regelmäßigen Abständen werden neuere Versionen für Python Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Python Version für App Service-Apps wird empfohlen, um sicherheitsrelevante Korrekturen, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Diese Richtlinie erfordert, dass Sie eine Python Version angeben, die Ihre Anforderungen erfüllt. | AuditIfNotExists; Arbeitsunfähig | 4.1.0 | |
| [Vorschau]: Automanage-Konfigurationsprofilzuweisung muss konform sein | Ressourcen, die von Automanage verwaltet werden, sollten einen Status besitzen, der entweder „Conformant“ oder „ConformantCorrected“ lautet. | AuditIfNotExists; Arbeitsunfähig | 1.0.0-Vorschau |
| Azure API Management stv1 compute platform version will be retired 31 August 2024, and these instances should be migrated to stv2 compute platform for continued support. Weitere Informationen finden Sie unter API Management stv1 Platform Retirement - Global Azure Cloud (August 2024) | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 | |
| Azure Arc aktivierte Kubernetes-Cluster sollten die Azure Policy Erweiterung installiert haben | Die Azure Policy Erweiterung für Azure Arc bietet umfangreiche Erzwingungen und Garantien für Ihre Arc-aktivierten Kubernetes-Cluster auf eine zentralisierte und konsistente Weise. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Azure Data Factory sollte ein Git-Repository für die Quellcodeverwaltung verwenden | Konfigurieren Sie nur Ihre Entwicklungs-Data Factory mit Git-Integration. Änderungen an Test und Produktion sollten über CI/CD bereitgestellt werden und keine Git-Integration aufweisen. Wenden Sie diese Richtlinie NICHT auf Ihre Data Factorys für QA/ Tests/ Produktion an. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.1 |
| Azure Machine Learning Compute-Instanz sollte im Leerlauf heruntergefahren werden. | Durch einen Zeitplan für Herunterfahren im Leerlauf werden Kosten reduziert, indem Computeressourcen heruntergefahren werden, die sich nach einem vordefinierten Aktivitätszeitraum im Leerlauf befinden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Machine Learning Computeinstanzen sollten neu erstellt werden, um die neuesten Softwareupdates abzurufen | Stellen Sie sicher, dass Azure Machine Learning Computeinstanzen auf dem neuesten verfügbaren Betriebssystem ausgeführt werden. Die Sicherheit wird verbessert und Sicherheitsrisiken werden verringert, indem sie mit den neuesten Sicherheitspatches ausgeführt werden. Weitere Informationen finden Sie unter https://aka.ms/azureml-ci-updates/. | Rechnungsprüfung; Arbeitsunfähig | 1.0.3 |
| Azure Machine Learning-Arbeitsbereiche sollten V1LegacyMode aktivieren, um die Abwärtskompatibilität der Netzwerkisolation zu unterstützen | Derzeit erfolgt ein Übergang von Azure ML zu einer neuen V2-API-Plattform in Azure Resource Manager. Sie können die API-Plattformversion mit dem V1LegacyMode-Parameter steuern. Wenn Sie den Parameter „V1LegacyMode“ aktivieren, können Sie Ihre Arbeitsbereiche in derselben Netzwerkisolation wie V1 beibehalten, aber Sie werden die neuen V2-Features nicht verwenden können. Es wird empfohlen, den V1-Legacymodus nur zu aktivieren, wenn Sie die Daten der AzureML-Steuerungsebene in Ihren privaten Netzwerken beibehalten möchten. Weitere Informationen finden Sie unter: https://aka.ms/V1LegacyMode. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Azure Policy-Add-On für Kubernetes-Dienst (AKS) sollte auf Ihren Clustern installiert und aktiviert werden | Azure Policy Add-On für Kubernetes-Dienst (AKS) erweitert Gatekeeper v3, einen Dienstanbieter-Webhook für Open Policy Agent (OPA), um skalierte Erzwingungen und Sicherheitsvorkehrungen auf Ihre Cluster zentral und einheitlich anzuwenden. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| [Vorschau]: Startdiagnose muss auf VMs aktiviert sein | Azure virtuellen Computer sollten Start diagniostics aktiviert sein. | Rechnungsprüfung; Arbeitsunfähig | 1.0.0-Vorschau |
| Einzelne Knoten können nicht bearbeitet werden. | Einzelne Knoten können nicht bearbeitet werden. Benutzer*innen sollten einzelne Knoten nicht bearbeiten. Bearbeiten Sie Knotenpools. Das Ändern einzelner Knoten kann zu inkonsistenten Einstellungen, betrieblichen Herausforderungen und potenziellen Sicherheitsrisiken führen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.3.1 |
| Verbindungsdrosselung sollte für PostgreSQL-Datenbankserver aktiviert sein | Diese Richtlinie hilft beim Überwachen von PostgreSQL-Datenbanken in Ihrer Umgebung, ohne dass die Verbindungsdrosselung aktiviert ist. Diese Einstellung ermöglicht die temporäre Verbindungsdrosselung pro IP für zu viele ungültige Kennwortanmeldungsfehler. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Für Containerregistrierungen sollten Exporte deaktiviert sein | Das Deaktivieren von Exporten erhöht die Sicherheit, indem sichergestellt wird, dass ausschließlich über die Datenebene auf Daten in einer Registrierung zugegriffen wird („docker pull“). Daten können nicht mittels „acr import“ oder „acr transfer“ aus der Registrierung verschoben werden. Um Exporte zu deaktivieren, muss der öffentliche Netzwerkzugriff deaktiviert werden. Weitere Informationen finden Sie unter: https://aka.ms/acr/export-policy. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Stellen Sie sicher, dass für Clustercontainer Bereitschafts- oder Livetests konfiguriert sind | Diese Richtlinie erzwingt, dass für alle Pods Bereitschafts- und/oder Livetests konfiguriert sind. Testtypen können tcpSocket, httpGet und exec sein. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Anweisungen zur Verwendung dieser Richtlinie finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.3.0 |
| Für Funktions-App-Slots muss Remotedebuggen deaktiviert sein. | Für das Remotedebuggen müssen bei Funktions-Apps eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Für Funktions-App-Slots sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann. | Die cross-Origin Resource Sharing (CORS) sollte nicht zulassen, dass alle Domänen Ihre Funktions-App access. Gestatten Sie nur erforderlichen Domänen die Interaktion mit Ihrer Funktions-App. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Funktions-App-Slots müssen die aktuelle „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| In regelmäßigen Abständen werden neuere Versionen für Java Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Java Version für Funktions-Apps wird empfohlen, um Sicherheitsupdates, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Für diese Richtlinie müssen Sie eine Java Version angeben, die Ihren Anforderungen entspricht. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 | |
| Function-Apps sollten Clientzertifikate (eingehende Clientzertifikate) aktiviert sein | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit einem gültigen Zertifikat können auf die App zugreifen. Diese Richtlinie gilt für Apps mit HTTP-Version 1.1. | AuditIfNotExists; Arbeitsunfähig | 1.1.0 |
| Function-Apps sollten das Remotedebugging deaktiviert haben | Für das Remotedebuggen müssen bei Funktions-Apps eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Function-Apps sollten nicht über CORS konfiguriert sein, damit jede Ressource Ihre Apps access kann | Die cross-Origin Resource Sharing (CORS) sollte nicht zulassen, dass alle Domänen Ihre Funktions-App access. Gestatten Sie nur erforderlichen Domänen die Interaktion mit Ihrer Funktions-App. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Funktions-Apps müssen die neueste „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists; Arbeitsunfähig | 4.1.0 |
| In regelmäßigen Abständen werden neuere Versionen für Java Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Java Version für Funktions-Apps wird empfohlen, um Sicherheitsupdates, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Für diese Richtlinie müssen Sie eine Java Version angeben, die Ihren Anforderungen entspricht. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 | |
| In regelmäßigen Abständen werden neuere Versionen für Python Software veröffentlicht, entweder aufgrund von Sicherheitsfehlern oder durch zusätzliche Funktionen. Die Verwendung der neuesten Python Version für Funktions-Apps wird empfohlen, um Sicherheitsupdates, falls vorhanden, und/oder neue Funktionen der neuesten Version zu nutzen. Diese Richtlinie gilt nur für Linux-Apps. Diese Richtlinie erfordert, dass Sie eine Python Version angeben, die Ihre Anforderungen erfüllt. | AuditIfNotExists; Arbeitsunfähig | 4.1.0 | |
| Kubernetes-Clustercontainerimages sollten nicht das neueste Imagetag enthalten | Erfordert, dass Containerimages nicht das neueste Tag in Kubernetes verwenden. Es empfiehlt sich, die Reproduzierbarkeit sicherzustellen, unbeabsichtigte Updates zu verhindern und das Debuggen und Rollbacks mithilfe expliziter Containerimages und Containerimages mit Versionsangabe zu vereinfachen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.0.1 |
| Kubernetes Clustercontainer cpu- und arbeitsspeicherressourcengrenzwerte sollten die angegebenen Grenzwerte nicht überschreiten | Hiermit werden Ressourcenlimits für Container-CPU und Arbeitsspeicher erzwungen, um Ressourcenauslastungsangriffe in einem Kubernetes-Cluster zu verhindern. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 9.3.0 |
| Kubernetes-Clustercontainer CPU- und Speicherressourcenanforderungen müssen definiert werden | Erzwingen Sie CPU- und Speicherressourcenanforderungen des Containers, um sicherzustellen, dass der geplante Knoten über erforderliche Ressourcen verfügt. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| Kubernetes-Clustercontainer sollten keine Hostnamespaces freigeben | Blockieren sie die Freigabe des Hostprozess-ID-Namespace, des Host-IPC-Namespace und des Hostnetzwerknamespaces in einem Kubernetes-Cluster. Diese Empfehlung entspricht den Kubernetes Pod Security Standards für Hostnamespaces und ist Teil von CIS 5.2.1, 5.2.2 und 5.2.3, die die Sicherheit Ihrer Kubernetes-Umgebungen verbessern sollen. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 6.0.0 |
| Kubernetes-Clustercontainer sollten nur zulässige AppArmor-Profile verwenden | Hiermit wird sichergestellt, dass Container nur zugelassene AppArmor-Profile in einem Kubernetes-Cluster verwenden dürfen. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 6.2.1 |
| Kubernetes-Clustercontainer sollten nur zulässige Funktionen verwenden | Beschränken Sie die Funktionen, um den Angriff surface von Containern in einem Kubernetes-Cluster zu reduzieren. Diese Empfehlung ist Bestandteil von CIS 5.2.8 und CIS 5.2.9, mit denen die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 6.2.0 |
| Kubernetes-Clustercontainer sollten nur zulässige Images verwenden | Hiermit werden Images aus vertrauenswürdigen Registrierungen verwendet. So wird das Risiko einer Einführung unbekannter Schwachstellen, Sicherheitsprobleme und schädlicher Images für Ihren Kubernetes-Clusters verringert. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 9.3.0 |
| Container in einem Kubernetes-Cluster dürfen nur einen zulässigen ProcMountType verwenden | Hiermit wird sichergestellt, dass Podcontainer nur zugelassene ProcMountTypes in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 8.2.0 |
| Kubernetes-Clustercontainer dürfen nur zulässige Pullrichtlinien verwenden. | Einschränken der Pullrichtlinie von Containern, um zu erzwingen, dass Container nur zulässige Images für Bereitstellungen verwenden | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.2.0 |
| Container in einem Kubernetes-Cluster dürfen nur zulässige seccomp-Profile verwenden | Hiermit wird sichergestellt, dass Podcontainer nur zugelassene seccomp-Profile in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 7.2.0 |
| Kubernetes-Clustercontainer sollten mit einem schreibgeschützten Stammdateisystem ausgeführt werden | Hiermit werden Container mit einem schreibgeschützten Stammdateisystem ausgeführt. So werden Container vor Änderungen zur Laufzeit geschützt, bei denen in einem Kubernetes-Cluster schädliche Binärdateien in PATH eingefügt werden. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 6.3.0 |
| [Vorschau]: Kubernetes-Clustercontainer sollten nur zulässige Sysctl-Schnittstellen verwenden | Container sollten nur zulässige Sysctl-Schnittstellen in einem Kubernetes-Cluster verwenden. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0-Vorschau |
| Kubernetes-Clusterhostpath-Volumes sollten nur zulässige Hostpfade verwenden | Hiermit wird die Bereitstellung von Pod HostPath-Volumes auf die zugelassenen Hostpfade in einem Kubernetes-Cluster beschränkt. Diese Richtlinie ist allgemein für Kubernetes Service (AKS) und Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 6.3.0 |
| Kubernetes-Cluster-Pods und -Container sollten seLinux-Sicherheitsstandards entsprechen | Diese Richtlinie erzwingt Kubernetes Pod-Sicherheitsstandards für SELinux-Optionen. Im PSS-Modus müssen die Felder "Benutzer" und "Rolle" leer sein, und das Feld "Typ" muss einer der zulässigen Werte sein. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 8.0.0 |
| Kubernetes-Cluster-Pods und -Container sollten nur mit genehmigten Benutzer- und Gruppen-IDs ausgeführt werden | Hiermit werden die IDs für Benutzer, primäre Gruppen, zusätzliche Gruppen und Dateisystemgruppen gesteuert, die Pods und Container zur Ausführung in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 6.2.0 |
| Pods in Kubernetes-Clustern dürfen nur zulässige Volumetypen verwenden | Hiermit wird sichergestellt, dass Pods nur zugelassene Volumetypen in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 5.2.0 |
| Kubernetes-Cluster-Pods sollten nur genehmigte Hostnetzwerk- und Portliste verwenden | Beschränken Sie pod access auf das Hostnetzwerk und die zulässigen Hostports in einem Kubernetes-Cluster. Diese Empfehlung ist Teil von CIS 5.2.4, das die Sicherheit Ihrer Kubernetes-Umgebungen verbessern und mit Pod Security Standards (PSS) für hostPorts übereinstimmt. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 7.0.0 |
| Kubernetes-Clusterdienste sollten nur zulässige Ports überwachen | Schränken Sie Dienste so ein, dass nur auf zulässigen Ports überwacht wird, um access für den Kubernetes-Cluster zu sichern. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 8.2.0 |
| Von Kubernetes-Clusterdiensten dürfen nur zulässige externe IP-Adressen verwendet werden. | Verwenden Sie zulässige externe IP-Adressen, um den potenziellen Angriff (CVE-2020-8554) in einem Kubernetes-Cluster zu vermeiden. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 5.2.0 |
| Kubernetes-Clusterdienste sollten eindeutige Selektoren verwenden | Stellen Sie sicher, dass Dienste in einem Namespace eindeutige Selektoren haben. Eine eindeutige Dienstauswahl stellt sicher, dass jeder Dienst innerhalb eines Namespace basierend auf bestimmten Kriterien eindeutig identifizierbar ist. Diese Richtlinie synchronisiert Dienstressourcen über Gatekeeper in OPA. Prüfen Sie vor der Anwendung, ob die Speicherkapazität von Gatekeeper-Pods nicht überschritten wird. Parameter gelten für bestimmte Namespaces, synchronisiert aber alle Ressourcen dieses Typs in allen Namespaces. Derzeit in der Vorschau für Kubernetes Service (AKS). | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.2 |
| Kubernetes-Cluster sollte keine privilegierten Container zulassen | Hiermit wird verhindert, dass privilegierte Container in einem Kubernetes-Cluster erstellt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.1, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 9.2.0 |
| Kubernetes-Cluster sollten keine Naked Pods verwenden | Blockieren Sie die Verwendung von Naked Pods. Naked Pods werden im Falle eines Knotenausfalls nicht neu geplant. Pods sollten durch Deployment, Replicset, Daemonset oder Jobs verwaltet werden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.3.1 |
| Kubernetes-Cluster Windows Container sollten nicht als ContainerAdministrator ausgeführt werden | Verhindern Sie die Verwendung von ContainerAdministrator als Benutzer, um die Containerprozesse für Windows Pods oder Container auszuführen. Diese Empfehlung soll die Sicherheit von Windows Knoten verbessern. Weitere Informationen finden Sie unter https://kubernetes.io/docs/concepts/windows/intro/. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.0 |
| Kubernetes-Cluster Windows Pods sollten keine HostProcess-Container ausführen | Verhindern Sie den privilegierten Zugriff auf den Windows-Knoten. Diese Empfehlung soll die Sicherheit von Windows Knoten verbessern. Weitere Informationen finden Sie unter https://kubernetes.io/docs/concepts/windows/intro/. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Kubernetes-Cluster sollten api-Anmeldeinformationen für die automatische Bereitstellung deaktivieren | Deaktivieren Sie die automatische Bereitstellung von API-Anmeldeinformationen, damit eine potenziell kompromittierte Podressource keine API-Befehle für Kubernetes-Cluster ausführen kann. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 4.2.0 |
| Kubernetes-Cluster sollten keine Eskalation von Containerberechtigungen zulassen | Hiermit wird verhindert, dass Container mit einer Rechteausweitung auf „Root“ in einem Kubernetes-Cluster ausgeführt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.5, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist in der Regel für Kubernetes Service (AKS) und eine Vorschau für Azure Arc aktivierten Kubernetes verfügbar. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 8.0.0 |
| Kubernetes-Cluster sollten CAP_SYS_ADMIN Sicherheitsfunktionen nicht gewähren | Um den Angriff surface Ihrer Container zu verringern, beschränken Sie CAP_SYS_ADMIN Linux-Funktionen. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 5.1.0 |
| Kubernetes-Cluster sollten nicht den Standardnamespace verwenden | Verhindern Sie die Verwendung des Standardnamespaces in Kubernetes-Clustern, um vor nicht autorisierten access für ConfigMap-, Pod-, Secret-, Service- und ServiceAccount-Ressourcentypen zu schützen. Weitere Informationen finden Sie unter Understand Azure Policy für Kubernetes-Cluster. | Rechnungsprüfung; Rechnungsprüfung; leugnen; Leugnen; arbeitsunfähig; Arbeitsunfähig | 4.2.0 |
| Kubernetes-Cluster sollten Container Storage Interface(CSI)-Treiber StorageClass verwenden | Container Storage Interface (CSI) ist ein Standard für die Bereitstellung beliebiger Block- und Dateispeichersysteme für containerisierte Workloads in Kubernetes. Die In-Tree-Provisioner-StorageClass sollte seit AKS-Version 1.21 veraltet sein. Weitere Informationen finden Sie unter https://aka.ms/aks-csi-driver | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 2.3.0 |
| Müssen Antiaffinitätsregeln oder Topologie-Spreadeinschränkungen festgelegt sein | Diese Richtlinie stellt sicher, dass Pods auf verschiedenen Knoten innerhalb des Clusters geplant werden. Durch das Erzwingen von Antiaffinitätsregeln oder Podtopologie-Spreadeinschränkungen wird die Verfügbarkeit auch dann beibehalten, wenn einer der Knoten nicht mehr verfügbar ist. Pods werden weiterhin auf anderen Knoten ausgeführt, wodurch die Resilienz verbessert wird. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.2.2 |
| Es dürfen nur genehmigte VM-Erweiterungen installiert werden | Diese Richtlinie regelt die nicht genehmigten VM-Erweiterungen. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Druckt eine Nachricht, wenn eine Mutation angewendet wird | Sucht nach den angewandten Mutationsanmerkungen und gibt eine Nachricht aus, wenn eine Anmerkung vorhanden ist. | Rechnungsprüfung; Arbeitsunfähig | 1.2.1 |
| Speicherkonten sollten eine mandantenübergreifende Objektreplikation verhindern | Überwachen Sie die Einschränkung der Objektreplikation für Ihr Speicherkonto. Standardmäßig können Benutzer die Objektreplikation mit einem Quellspeicherkonto in einem Azure AD-Mandanten und einem Zielkonto in einem anderen Mandanten konfigurieren. Dies ist ein Sicherheitsproblem, da Kundendaten in ein Speicherkonto repliziert werden können, das im Besitz des Kunden ist. Durch Festlegen von allowCrossTenantReplication auf "false" kann die Objektreplikation nur konfiguriert werden, wenn sich sowohl Quell- als auch Zielkonten im selben Azure AD-Mandanten befinden. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
PV-4: Überwachen und Erzwingen sicherer Konfigurationen für Computeressourcen
Weitere Informationen finden Sie unter Haltungs- und Sicherheitsrisikomanagement: PV-4: Überwachen und Erzwingen sicherer Konfigurationen für Computeressourcen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Linux-Computer überwachen, die Remoteverbindungen über Konten ohne Kennwörter zulassen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer werden als nicht konform eingestuft, wenn es sich um Linux-Computer handelt, die Remoteverbindungen über Konten ohne Kennwörter zulassen. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Linux-Computer überwachen, bei denen die passwd-Dateiberechtigungen nicht auf 0644 festgelegt sind | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer werden als nicht konform eingestuft, wenn es sich um Linux-Computer handelt, bei denen die passwd-Dateiberechtigungen nicht auf 0644 festgelegt sind. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Linux-Computer überwachen, die Konten ohne Kennwörter verwenden | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer werden als nicht konform eingestuft, wenn es sich um Linux-Computer handelt, die über Konten ohne Kennwörter verfügen. | AuditIfNotExists; Arbeitsunfähig | 3.1.0 |
| Audit Windows Computer, die die erneute Verwendung der Kennwörter nach der angegebenen Anzahl eindeutiger Kennwörter zulassen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, die die erneute Verwendung der Kennwörter nach der angegebenen Anzahl eindeutiger Kennwörter zulassen. Der Standardwert für eindeutige Kennwörter ist 24. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Audit Windows Computer, auf denen das maximale Kennwortalter nicht auf die angegebene Anzahl von Tagen festgelegt ist | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, auf denen das maximale Kennwortalter nicht auf die angegebene Anzahl von Tagen festgelegt ist. Der Standardwert für das maximale Kennwortalter beträgt 70 Tage. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Audit Windows Computer, auf denen das Mindestkennwortalter nicht auf die angegebene Anzahl von Tagen festgelegt ist | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, auf denen das Mindestkennwortalter nicht auf die angegebene Anzahl von Tagen festgelegt ist. Der Standardwert für das Mindestalter des Kennworts beträgt 1 Tag. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Audit Windows Computer, auf denen die Kennwortkomplexitätseinstellung nicht aktiviert ist | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, auf denen die Kennwortkomplexitätseinstellung nicht aktiviert ist | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| Audit Windows Computer, die die mindeste Kennwortlänge nicht auf die angegebene Anzahl von Zeichen beschränken | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, die die Mindestkennwortlänge nicht auf die angegebene Anzahl von Zeichen beschränken. Der Standardwert für die Mindestkennwortlänge beträgt 14 Zeichen | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
| Audit Windows Computer, die keine Kennwörter mit umkehrbarer Verschlüsselung speichern | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht kompatibel, wenn Windows Computer, die keine Kennwörter mit umkehrbarer Verschlüsselung speichern | AuditIfNotExists; Arbeitsunfähig | 2.0.0 |
| [Vorschau]: Azure Stack HCI-Server sollten konsequent Anwendungssteuerungsrichtlinien erzwungen haben | Wenden Sie mindestens die Microsoft WDAC-Basisrichtlinie im erzwungenen Modus auf allen Azure Stack HCI-Servern an. Angewendete Windows Defender Anwendungssteuerungsrichtlinien (WDAC) müssen auf servern im selben Cluster konsistent sein. | Rechnungsprüfung; Arbeitsunfähig; AuditIfNotExists | 1.0.0-Vorschau |
| [Vorschau]: Azure Stack HCI-Server sollten gesicherte Kernanforderungen erfüllen | Stellen Sie sicher, dass alle Azure Stack HCI-Server die Anforderungen gesicherter Kerne erfüllen. So aktivieren Sie die Anforderungen für Server mit gesicherten Kernen: 1. Wechseln Sie auf der Seite Azure Stack HCI-Cluster zu Windows Admin Center, und wählen Sie "Verbinden" aus. 2. Wechseln Sie zur Sicherheitserweiterung, und wählen Sie „Gesicherter Kern“ aus. 3. Wählen Sie eine beliebige Einstellung aus, die nicht aktiviert ist, und klicken Sie auf „Aktivieren“. | Rechnungsprüfung; Arbeitsunfähig; AuditIfNotExists | 1.0.0-Vorschau |
| Cloud Services-Rolleninstanzen (erweiterter Support) müssen sicher konfiguriert werden | Cloud Services-Rolleninstanzen (erweiterter Support) werden vor Angriffen geschützt, indem sichergestellt wird, dass sie keinen Schwachstellen im Betriebssystem ausgesetzt sind. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Datenträger und Betriebssystemimage sollten TrustedLaunch unterstützen | TrustedLaunch verbessert die Sicherheit eines virtuellen Computers, der das Betriebssystemdatenträger- und Betriebssystemimage erfordert, um ihn zu unterstützen (Gen 2). Weitere Informationen zu TrustedLaunch finden Sie unter https://aka.ms/trustedlaunch | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| Installieren Sie die Erweiterung "Gastnachweis" auf unterstützten virtuellen Linux-Computern, um Azure Security Center proaktiv zu bestätigen und die Startintegrität zu überwachen. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für den vertrauenswürdigen Start und den vertraulichen Linux-virtual machines. | AuditIfNotExists; Arbeitsunfähig | 6.0.0-Vorschau | |
| [Vorschau]: Die Erweiterung "Gastnachweis" sollte auf unterstützten Linux-virtual machines Skalierungssätzen installiert werden | Installieren Sie die Erweiterung "Gastnachweis" auf unterstützten virtuellen Linux-Computern, um Azure Security Center proaktiv zu bestätigen und die Startintegrität zu überwachen. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für vertrauenswürdige Launch- und vertrauliche Linux-virtual machine scale sets. | AuditIfNotExists; Arbeitsunfähig | 5.1.0-Vorschau |
| [Vorschau]: Die Erweiterung "Gastnachweis" sollte auf unterstützten Windows virtuellen Computern installiert werden | Installieren Sie die Erweiterung "Gastnachweis" auf unterstützten virtuellen Computern, um Azure Security Center proaktiv zu bestätigen und die Startintegrität zu überwachen. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für vertrauenswürdige Start- und vertrauliche Windows virtuellen Computern. | AuditIfNotExists; Arbeitsunfähig | 4.0.0-Vorschau |
| [Vorschau]: Die Erweiterung "Gastnachweis" sollte auf unterstützten Windows vm scale sets installiert werden | Installieren Sie die Erweiterung für den Gastnachweis auf unterstützten virtuellen Computern skalierungssätze, um Azure Security Center proaktiv zu bestätigen und die Startintegrität zu überwachen. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Skalierungssätze für vertrauenswürdige Starts und vertraulichen Windows virtuellen Computer. | AuditIfNotExists; Arbeitsunfähig | 3.1.0-Vorschau |
| Guest Configuration Extension sollte auf Ihren Computern installiert werden | Installieren Sie die Erweiterung „Gastkonfiguration“, um eine sichere Konfiguration gastsysteminterner Einstellungen Ihres Computers zu gewährleisten. Von der Erweiterung werden unter anderem gastsysteminterne Einstellungen wie die Konfiguration des Betriebssystems, die Konfiguration oder das Vorhandensein einer Anwendung sowie Umgebungseinstellungen überwacht. Nach der Installation stehen Gastrichtlinien zur Verfügung, z. B. "Windows Exploit Guard sollte aktiviert werden". Weitere Informationen finden Sie unter Understand Azure Machine Configuration. | AuditIfNotExists; Arbeitsunfähig | 1.0.3 |
| Linux-Computer sollten die Anforderungen für die Azure Computesicherheitsbaseline erfüllen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter Understand Azure Machine Configuration. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Berechnungssicherheitsgrundlinie nicht ordnungsgemäß konfiguriert ist. | AuditIfNotExists; Arbeitsunfähig | 2.3.0 |
| [Vorschau]: Linux-virtual machines sollte nur signierte und vertrauenswürdige Startkomponenten verwenden | Alle Betriebssystem-Startkomponenten (Startladeprogramm, Kernel, Kerneltreiber) müssen von vertrauenswürdigen Herausgebern signiert werden. Defender for Cloud hat nicht vertrauenswürdige Betriebssystemstartkomponenten auf einem oder mehreren Ihrer Linux-Computer identifiziert. Um Ihre Computer vor potenziell schädlichen Komponenten zu schützen, fügen Sie sie Ihrer Positivliste hinzu, oder entfernen Sie die identifizierten Komponenten. | AuditIfNotExists; Arbeitsunfähig | 1.0.0-Vorschau |
| [Vorschau]: Sicherer Start sollte auf unterstützten virtuellen Computern Windows aktiviert werden | Aktivieren Sie den sicheren Start auf unterstützten Windows virtuellen Computern, um böswillige und nicht autorisierte Änderungen an der Startkette abzumildern. Nach der Aktivierung ist nur die Ausführung von vertrauenswürdigen Bootloadern, Kerneln und Kerneltreibern zulässig. Diese Bewertung gilt für vertrauenswürdige Start- und vertrauliche Windows virtuellen Computern. | Rechnungsprüfung; Arbeitsunfähig | 4.0.0-Vorschau |
| Für den virtuellen Computer sollte TrustedLaunch aktiviert sein | Aktivieren Sie TrustedLaunch auf dem virtuellen Computer für erhöhte Sicherheit, verwenden Sie VM-SKU (Gen 2), was TrustedLaunch unterstützt. Weitere Informationen zu TrustedLaunch finden Sie unter /azure/virtual-machines/trusted-launch | Rechnungsprüfung; Arbeitsunfähig | 1.0.0 |
| die Gastkonfigurationserweiterung Virtual machines sollte mit der vom System zugewiesenen verwalteten Identität bereitgestellt werden | Für die Gastkonfigurationserweiterung wird eine systemseitig zugewiesene verwaltete Identität benötigt. Azure virtuellen Computer im Bereich dieser Richtlinie sind nicht kompatibel, wenn die Gastkonfigurationserweiterung installiert ist, aber keine verwaltete Identität des Systems zugewiesen ist. Weitere Informationen finden Sie unter Understand Azure Computerkonfiguration | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Aktivieren Sie virtuelles TPM-Gerät auf unterstützten virtual machines, um den kontrollierten Start und andere Betriebssystemsicherheitsfeatures zu vereinfachen, die ein TPM erfordern. Nach der Aktivierung kann ein virtuelles TPM verwendet werden, um die Startintegrität nachzuweisen. Diese Bewertung gilt nur für vertrauenswürdige Startfunktionen virtual machines. | Rechnungsprüfung; Arbeitsunfähig | 2.0.0-preview | |
| Windows Computer sollten Windows Defender so konfigurieren, dass Schutzsignaturen innerhalb eines Tages aktualisiert werden | Um einen angemessenen Schutz vor neu veröffentlichter Schadsoftware zu gewährleisten, müssen Windows Defender Schutzsignaturen regelmäßig aktualisiert werden, um neu veröffentlichte Schadsoftware zu berücksichtigen. Diese Richtlinie wird nicht auf Server mit Arc-Verbindung angewendet und erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen zur Gastkonfiguration finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Windows Computer sollten Windows Defender Echtzeitschutz aktivieren | Windows Computer sollten den Echtzeitschutz in der Windows Defender aktivieren, um einen angemessenen Schutz vor neu veröffentlichter Schadsoftware zu bieten. Diese Richtlinie gilt nicht für Server mit Arc-Verbindung und erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen zur Gastkonfiguration finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Administrative Vorlagen – Systemsteuerung" für die Eingabepersonalisierung und die Verhinderung der Aktivierung von Sperrbildschirmen aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Administrative Vorlagen - MSS (Legacy)" für automatische Anmeldung, Bildschirmschoner, Netzwerkverhalten, sichere DLL und Ereignisprotokoll aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Administrative Vorlagen – Netzwerk" für Gastanmeldungen, gleichzeitige Verbindungen, Netzwerkbrücke, ICS und Multicastnamenauflösung aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Administrative Vorlagen – System" für Einstellungen haben, die die Verwaltungsoberfläche und die Remoteunterstützung steuern. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten über die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Konten" verfügen, um die Verwendung leerer Kennwörter und des Gastkontostatus zu beschränken. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Überwachung" enthalten, um Überwachungsrichtlinienunterkategorie zu erzwingen und herunterzufahren, wenn Sicherheitsprüfungen nicht protokolliert werden können. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Geräte" zum Abdocken ohne Anmeldung, Installieren von Drucktreibern und Formatierung/Auswerfen von Medien aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – interaktive Anmeldung" zum Anzeigen des Nachnamens und zum Anfordern von STRG-ALT-ENTF enthalten. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Richtlinienzuweisungsbereich bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen - Microsoft Netzwerkclient" für Microsoft Netzwerkclient/-server und SMB v1 enthalten. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Microsoft Netzwerkserver" zum Deaktivieren des SMB v1-Servers aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten über die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Netzwerkzugriff" verfügen, um den Zugriff für anonyme Benutzer, lokale Konten und Remotezugriff auf die Registrierung einzuschl. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Netzwerksicherheit" enthalten, um lokales Systemverhalten, PKU2U, LAN-Manager, LDAP-Client und NTLM-SSP einzusehen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten über die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Wiederherstellungskonsole" verfügen, um Diskettenkopien und Zugriff auf alle Laufwerke und Ordner zuzulassen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten über die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Herunterfahren" verfügen, um das Herunterfahren ohne Anmeldung zuzulassen und die virtuelle Speicherseitendatei zu löschen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen - Systemobjekte" für die Groß-/Kleinschreibung bei Nicht-Windows Subsystemen und Berechtigungen interner Systemobjekte aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Systemeinstellungen" für Zertifikatregeln für ausführbare Dateien für SRP und optionale Subsysteme enthalten. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitsoptionen – Benutzerkontensteuerung" für Den Modus für Administratoren, Verhalten der Eingabeaufforderung zur Erhöhung und Virtualisierung von Datei- und Registrierungsschreibfehlern aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Sicherheitseinstellungen – Kontorichtlinien" für den Kennwortverlauf, das Alter, die Länge, die Komplexität und das Speichern von Kennwörtern mit umkehrbarer Verschlüsselung aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Kontoanmeldung" für die Überprüfung von Anmeldeinformationen und andere Kontoanmeldeereignisse aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Kontoverwaltung" für die Überwachung von Anwendungen, Sicherheit und Benutzergruppenverwaltung und anderen Verwaltungsereignissen aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Detaillierte Überwachung" für die Überwachung von DPAPI, Prozesserstellung/Beendigung, RPC-Ereignisse und PNP-Aktivitäten aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Anmeldeanmeldung" für die Überwachung von IPSec, Netzwerkrichtlinien, Ansprüchen, Kontosperrung, Gruppenmitgliedschaft und Anmelde-/Abmeldeereignissen aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Objektzugriff" für Überwachungsdatei, Registrierung, SAM, Speicher, Filterung, Kernel und andere Systemtypen aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Richtlinienänderung" für die Überwachung von Änderungen an Systemüberwachungsrichtlinien aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – Berechtigungsverwendung" für die Überwachung von nicht sensiblen und anderen Berechtigungen verwenden. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Systemüberwachungsrichtlinien – System" für die Überwachung von IPsec-Treibern, Systemintegrität, Systemerweiterung, Zustandsänderung und anderen Systemereignissen enthalten. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten über die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Benutzerrechtezuweisung" verfügen, um die Anmeldung lokal, RDP, Zugriff über das Netzwerk und viele andere Benutzeraktivitäten zuzulassen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Windows Komponenten" für die Standardauthentifizierung, unverschlüsselten Datenverkehr, Microsoft Konten, Telemetrie, Cortana und andere Windows Verhalten aufweisen. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die angegebenen Gruppenrichtlinieneinstellungen in der Kategorie "Windows Firewalleigenschaften" für Firewallstatus, Verbindungen, Regelverwaltung und Benachrichtigungen enthalten. Diese Richtlinie erfordert, dass die Voraussetzungen für die Gastkonfiguration im Bereich der Richtlinienzuweisung bereitgestellt wurden. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Windows Computer sollten die Anforderungen der Azure Computesicherheitsbaseline erfüllen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter Understand Azure Machine Configuration. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Berechnungssicherheitsgrundlinie nicht ordnungsgemäß konfiguriert ist. | AuditIfNotExists; Arbeitsunfähig | 2.1.0 |
PV-5: Durchführen von Sicherheitsrisikobewertungen
Weitere Informationen finden Sie unter Haltungs- und Sicherheitsrisikomanagement: PV-5: Durchführen von Sicherheitsrisikenbewertungen.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Überprüfungen virtual machines, um zu erkennen, ob sie eine unterstützte Lösung zur Sicherheitsrisikobewertung ausführen. Eine Kernkomponente jedes Cyberrisikos und jedes Sicherheitsprogramms ist die Identifizierung und Analyse von Sicherheitsrisiken. Azure Security Center Standardpreisstufe enthält Sicherheitsrisikoüberprüfungen für Ihre virtuellen Computer ohne zusätzliche Kosten. Darüber hinaus kann Azure Security Center dieses Tool automatisch für Sie bereitstellen. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 | |
| Machines sollten geheime Erkenntnisse aufgelöst haben | Audits virtual machines, um zu ermitteln, ob sie geheime Erkenntnisse aus den geheimen Scanlösungen für Ihre virtual machines enthalten. | AuditIfNotExists; Arbeitsunfähig | 1.0.2 |
| Überwachen Sie jede SQL Managed Instance, für die keine wiederkehrenden Überprüfungen zur Sicherheitsrisikobewertung aktiviert sind. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 | |
| Vulnerability-Bewertung sollte auf Ihren SQL-Servern aktiviert sein | Überwachen Sie Azure SQL Server, auf denen keine Sicherheitsrisikobewertung ordnungsgemäß konfiguriert ist. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists; Arbeitsunfähig | 3.0.0 |
| Für Ihre Synapse-Arbeitsbereiche muss eine Sicherheitsrisikobewertung aktiviert sein | Entdecken, nachverfolgen und beheben Sie potenzielle Sicherheitsrisiken, indem Sie wiederkehrende SQL-Sicherheitsrisikobewertungsscans in Ihren Synapse-Arbeitsbereichen konfigurieren. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
PV-6: Schnelle und automatische Behebung von Sicherheitsrisiken
Weitere Informationen finden Sie unter Haltungs- und Sicherheitsrisikomanagement: PV-6: Schnelle und automatische Behebung von Sicherheitsrisiken.
| Name | Description | Effect(s) | Version |
|---|---|---|---|
| Azure-Registrierungscontainerimages sollten Sicherheitsrisiken behoben haben (unterstützt von Microsoft Defender Vulnerability Management) | Die Sicherheitsrisikobewertung von Containerimages überprüft Ihre Registrierung auf allgemein bekannte Sicherheitsrisiken (CVEs) und stellt einen detaillierten Sicherheitsrisikobericht für jedes Image bereit. Das Beheben von Sicherheitsrisiken kann Ihren Sicherheitsstatus erheblich verbessern und sicherstellen, dass Images vor der Bereitstellung gefahrlos verwendet werden können. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Azure ausgeführte Containerimages sollten Sicherheitsrisiken behoben haben (unterstützt von Microsoft Defender Vulnerability Management) | Die Sicherheitsrisikobewertung von Containerimages überprüft Ihre Registrierung auf allgemein bekannte Sicherheitsrisiken (CVEs) und stellt einen detaillierten Sicherheitsrisikobericht für jedes Image bereit. Diese Empfehlung bietet Sichtbarkeit für anfällige Images, die derzeit in Ihren Kubernetes-Clustern ausgeführt werden. Das Beheben von Sicherheitsrisiken in containerimages, die derzeit ausgeführt werden, ist der Schlüssel zur Verbesserung Ihres Sicherheitsstatus, wodurch der Angriff surface für Ihre containerisierten Workloads erheblich reduziert wird. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
| Für Cloud Services-Rolleninstanzen (erweiterter Support) müssen Systemupdates installiert sein | Schützen Sie Ihre Cloud Services-Rolleninstanzen (erweiterter Support), indem Sie sicherstellen, dass die neuesten Sicherheitsupdates und alle kritischen Updates installiert wurden. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Hotpatch sollte für Windows Server Azure Edition-VMs aktiviert sein | Minimieren Sie Neustarts, und installieren Sie Updates schnell mit Hotpatch. Weitere Informationen finden Sie unter /azure/automanage/automanage-hotpatch | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 1.0.0 |
| Für Kubernetes Service muss ein Upgrade auf eine Kubernetes-Version ohne Sicherheitsrisiko durchgeführt werden. | Führen Sie ein Upgrade Ihres Kubernetes Service-Clusters auf eine höhere Kubernetes-Version durch, um es vor bekannten Sicherheitsrisiken in Ihrer aktuellen Kubernetes-Version zu schützen. Das Sicherheitsrisiko „CVE-2019-9946“ wurde in den Kubernetes-Versionen 1.11.9+, 1.12.7+, 1.13.5+ und 1.14.0+ gepatcht. | Rechnungsprüfung; Arbeitsunfähig | 1.0.2 |
| Machines sollten so konfiguriert werden, dass regelmäßig nach fehlenden Systemupdates gesucht wird | Um sicherzustellen, dass regelmäßige Bewertungen fehlender Systemupdates automatisch alle 24 Stunden ausgelöst werden, sollte die AssessmentMode-Eigenschaft auf „AutomaticByPlatform“ festgelegt werden. Weitere Informationen zur AssessmentMode-Eigenschaft für Windows: Windows Patchbewertungsmodus für Linux: Linux Patch-Bewertungsmodus. | Rechnungsprüfung; Leugnen; Arbeitsunfähig | 3.9.0 |
| SQL-Datenbanken sollten Sicherheitsrisiken behoben haben | Hiermit werden Überprüfungsergebnisse der Sicherheitsrisikobewertung und Empfehlungen zum Beheben von Sicherheitsrisiken für Datenbanken überwacht. | AuditIfNotExists; Arbeitsunfähig | 4.1.0 |
| SQL-Server auf Computern sollten Sicherheitsrisiken behoben sein | Die SQL-Sicherheitsrisikobewertung überprüft Ihre Datenbank auf Sicherheitsrisiken und zeigt Abweichungen von Best Practices wie Fehlkonfigurationen, übermäßige Berechtigungen und ungeschützte vertrauliche Daten an. Durch das Beseitigen der Sicherheitsrisiken kann der Sicherheitsstatus Ihrer Datenbank deutlich verbessert werden. | AuditIfNotExists; Arbeitsunfähig | 1.0.0 |
| Auf Ihren Computern fehlen System-, Sicherheits- und kritische Updates. Softwareupdates enthalten häufig wichtige Patches für Sicherheitslücken. Da diese Lücken bei Angriffen mit Schadsoftware häufig ausgenutzt werden, ist es sehr wichtig, dass Sie Ihre Software immer auf dem aktuellen Stand halten. Führen Sie die Schritte zur Problembehebung aus, um alle ausstehenden Patches zu installieren und Ihre Computer zu schützen. | AuditIfNotExists; Arbeitsunfähig | 1.0.1 |
Nächste Schritte
- Weitere Informationen zu Steuerelementdetails erhalten Sie im Microsoft Cloud Security Benchmark.
- Siehe mcSB v2 zu CIS Controls Mapping für eine konsolidierte Ansicht der CIS Controls v8.1-Zuordnungen
- Zuweisen von Richtlinien über das portal Azure
- Weitere Informationen zu Azure Policy