Analysieren von Sicherheitsempfehlungen mit Risikopriorisierung

Das Sicherheitsteam von Contoso Healthcare hat Defender CSPM aktiviert und seine Cloud-Sicherheitsbewertung überprüft. Mit Hunderten von Sicherheitsempfehlungen, die jetzt über ihre Azure-Workloads generiert wurden – virtuelle Computer, Speicherkonten, Datenbanken, Container und KI-Dienste – benötigen sie einen systematischen Ansatz, um Abhilfemaßnahmen zu priorisieren.

Verstehen, wie Risikofaktoren die Priorität der Empfehlung bestimmen

Defender for Cloud bewertet Sicherheitsempfehlungen mithilfe eines dynamischen Risikomoduls, das mehrere Umgebungsfaktoren pro Ressource berücksichtigt, nicht nur den Schweregrad der zugrunde liegenden Fehlkonfiguration oder Sicherheitsanfälligkeit. Dieser kontextabhängige Ansatz bedeutet, dass zwei Ressourcen mit identischen Sicherheitsproblemen je nach betrieblichem Kontext unterschiedliche Risikostufen erhalten können.

Defender for Cloud weist jeder Empfehlung eine von fünf risk levels zu: Kritisch, Hoch, Mittel, Niedrig oder Nicht ausgewertet. Kritische und hohe Empfehlungen fordern sofortige Aufmerksamkeit, da sie schwerwiegende Fehlkonfigurationen mit Umweltfaktoren mit hohem Risiko kombinieren. Mittlere und niedrige Empfehlungen geben Probleme an, die Sie während regelmäßiger Wartungszyklen beheben können. Der Status "Nicht ausgewertet" wird für Ressourcen angezeigt, die nicht vom Defender CSPM Plan abgedeckt werden, oder für neue Empfehlungen, die noch vom Modul bewertet werden.

Betrachten Sie ein konkretes Beispiel aus der Umgebung von Contoso Healthcare. Eine Azure OpenAI-Instanz mit einem öffentlichen Endpunkt und Zugriff auf Gesundheitsaufzeichnungen von Patienten erhält die Risikostufe Kritisch für die Empfehlung "Der Azure AI-Dienstendpunkt sollte private Konnektivität verwenden." Die gleiche Fehlkonfiguration auf einer nicht internetfähigen Entwicklungsinstanz mit synthetischen Daten erhält ein niedriges Risikoniveau.

Navigieren und Filtern der Seite "Empfehlungen"

Die Seite "Empfehlungen" im Microsoft Defender-Portal bietet eine zentrale Ansicht aller Sicherheitsergebnisse in Ihrer Multicloud-Umgebung. Um auf Empfehlungen zuzugreifen, melden Sie sich bei security.microsoft.com beim Microsoft Defender-Portal an, navigieren Sie zu Exposition management>Recommendations, und wählen Sie die Registerkarte Cloud aus.

Oben auf der Seite bieten drei Zusammenfassungskarten einen Überblick über Ihren Sicherheitsstatus. Die Cloud Secure Score-Karte zeigt Ihre allgemeine Sicherheitsintegrität basierend auf aktiven Empfehlungen an. Die Karte "Bewertungsverlauf " verfolgt Ihre Änderungen an der Sicherheitsbewertung in den letzten sieben Tagen und hilft Ihnen dabei, Trends zu identifizieren und Verbesserungen zu messen. Die Karte "Empfehlungen nach Risikostufe " fasst die Anzahl der aktiven Empfehlungen zusammen, die nach Schweregrad kategorisiert sind: Kritisch, Hoch, Mittel und Niedrig.

Im linken Navigationsbereich werden Empfehlungen in drei Sicherheitskategorien angeordnet. Fehlkonfigurationen zeigen konfigurationsbezogene Sicherheitsprobleme, z. B. übermäßig zulässige Zugriffssteuerungen oder fehlende Verschlüsselungseinstellungen. Sicherheitsrisiken zeigen Softwarerisiken an, die Patches oder Updates erfordern. Offengelegte Geheimnisse identifiziert Anmeldeinformationen und Geheimnisse, die möglicherweise kompromittiert werden könnten. Wenn Sie eine Kategorie auswählen, werden sowohl die Empfehlungsliste als auch die Zusammenfassungskarten aktualisiert, um nur die Ergebnisse dieser Kategorie widerzuspiegeln.

Oben in der Empfehlungsliste können Sie Filter anwenden, um die Ansicht einzuschränken. Der Filter für exponierte Assets zeigt nur Ressourcen an, auf die über das Internet zugegriffen werden kann. Mit dem Filter " Ressourcenrisikofaktoren " können Sie bestimmte Risikobedingungen auswählen, z. B. Datenempfindlichkeit oder Lateral Movement Potential. Mit dem Filter Environment können Sie sich auf Azure, AWS- oder GCP-Ressourcen konzentrieren. Der Workloadfilter isoliert bestimmte Workloadtypen wie KI, Datenbanken, virtuelle Computer und Speicher. Der Empfehlungsreifegradfilter steuert, ob Vorschau- oder allgemein verfügbare Empfehlungen angezeigt werden.

Die Empfehlungsseite unterstützt drei Ansichtsoptionen: Empfehlung pro Ressource zeigt eine Zeile pro betroffene Ressource nach Risikostufe sortiert an, Empfehlungstitel aggregiert alle Instanzen desselben Empfehlungstyps mit der Anzahl der betroffenen Ressourcen und gruppieren nach Ressourcen alle Ergebnisse für dasselbe Objekt zusammen.

Wenn Sie eine Empfehlungszeile auswählen, öffnet sich ein Seitenbereich mit vier Schlüssel-Reitern: Übersicht (Empfehlungsbeschreibung, exponierte Ressourcen, Verteilung des Risikoniveaus), Korrekturschritte (umsetzbare Konfigurationsanleitung), Kartenvorschau (zugehörige Angriffspfade, die dieses Asset durchlaufen), und Zugehörige Initiativen (Compliance-Frameworks wie das Microsoft Cloud Security Benchmark).

Identifizieren von KI-spezifischen Sicherheitsempfehlungen

Defender CSPM generiert Sicherheitsempfehlungen speziell für KI-Arbeitslasten, die in der AI Bill of Materials (AI BOM) ermittelt werden – eine Bestandsaufnahme aller KI-Anwendungskomponenten, Datenquellen und Artefakte in Ihrer gesamten Umgebung. Um anzuzeigen, welche AI-Workloads und -Modelle in Ihrer KI-BOM enthalten sind, verwenden Sie die vordefinierte Abfragevorlage "AI-Workloads und -Modelle in Verwendung" im Cloud Security Explorer, die Sie in der nächsten Einheit ausführlich untersuchen.

KI-spezifische Empfehlungen umfassen Identitäts- und Zugriffskontrollen für Azure KI Services, Netzwerkexpositionseinstellungen und Infrastrukturkonfigurationen. Um KI-Empfehlungen anzuzeigen, wählen Sie die Kategorie "Fehlkonfigurationen" aus der linken Navigation aus, und wenden Sie den Workload-Filter mit dem Wert AI an. Dieser Filter zeigt Empfehlungen für Azure OpenAI Service, Azure AI Foundry , Azure Machine Learning und Multicloud AI-Dienste wie Amazon Bedrock und Google Vertex AI an.

Defender for Cloud führt während des Entwicklungslebenszyklus Eine Überprüfung der Infrastruktur als Code (IaC) durch und bewertet kontinuierlich bereitgestellte KI-Ressourcen. Die KI-Sicherheitsstatusfunktionen erkennen vier kritische IaC-Fehlkonfigurationen:

• Die Verwendung von Azure AI Service Private Endpunkten verhindert, dass der öffentliche Internetdatenverkehr KI-Dienste erreicht, indem alle Verbindungen über Azure Private Link geleitet werden müssen.
• Azure AI Service-Endpunkte beschränken begrenzt, welche Netzwerke den Dienst erreichen können, indem Netzwerkregeln und Firewallrichtlinien konfiguriert werden.
• Nutzung der verwalteten Identität für Azure AI-Dienstkonten entfernt gespeicherte Anmeldeinformationen, indem KI-Dienste die Authentifizierung mithilfe von Azure verwalteten Identitäten ermöglichen.
• Nutzung der identitätsbasierten Authentifizierung für Azure AI-Dienstkonten entfernt die Abhängigkeit von API-Schlüsseln, indem Microsoft Entra ID Authentifizierung erforderlich ist.

Die KI-Endpunktexposition birgt ein erhöhtes Risiko, da KI-Modelle ausgenutzt werden können, um vertrauliche Daten aus Erdungsdaten, Feinabstimmungsdaten oder Modellausgaben zu exfiltrieren – auch wenn zugrunde liegende Datenbanken ordnungsgemäß gesichert sind. Aufgrund dieses Risikos werden KI-bezogene Empfehlungen häufig in Angriffspfaden angezeigt, und Defender for Cloud kontinuierlich Empfehlungen generiert, um sie zu beheben, bevor sie ausgenutzt werden können.

Arbeiten mit einer Empfehlung – der Untersuchungsworkflow

Wenn Sie einen kritischen Befund in Ihrer Umgebung entdecken, hilft Ihnen ein strukturierter Untersuchungsworkflow, den vollständigen Umfang des Risikos zu verstehen und effektive Maßnahmen zu planen. Betrachten Sie ein Szenario, in dem die Empfehlungsseite von Contoso Healthcare eine kritische Feststellung anzeigt: "Speicherkonten sollten den Zugriff auf öffentliche Netzwerke einschränken", was sich auf vier Speicherkonten in ihrer klinischen und administrativen Umgebung auswirkt.

1. Wählen Sie die Empfehlungszeile aus. Das Seitenpanel öffnet sich und bietet einen detaillierten Kontext zur Entdeckung.

2. Überprüfen Sie die Registerkarte "Übersicht". Sie sehen, welche Speicherkonten betroffen sind und warum jeder seine Risikostufe erhalten hat. Das Konto mit Internet-Exposition und vertraulichen Patientenakten wird kritisch bewertet; eine andere mit Internet-Exposition, aber nur Betriebsprotokolle sind als "Hoch" eingestuft. Die verbleibenden Konten werden basierend auf der geringeren Gefährdung und Vertraulichkeit der Daten als „Mittel“ und „Niedrig“ bezeichnet.

3. Review the Remediation steps tab. In den Anleitungen wird erläutert, was zu tun ist: Deaktivieren Sie den Zugriff auf öffentliche Netzwerke für jedes Speicherkonto, konfigurieren Sie Firewallregeln, um nur vertrauenswürdige Netzwerke und Azure Dienste zuzulassen und SAS-Token für übermäßige Berechtigungen zu überwachen. Für das kritische Konto von Contoso Healthcare bedeutet dies die Koordination mit dem klinischen Datenteam, um die Anwendungskonnektivität zu bestätigen, bevor der öffentliche Zugriff deaktiviert wird.

4. Überprüfen Sie die Registerkarte "Kartenvorschau". Sie entdecken, dass das kritische Speicherkonto in zwei Angriffspfaden angezeigt wird. Der erste Pfad zeigt einen Angreifer, der kompromittierte Anmeldeinformationen verwendet, um direkt auf das mit dem Internet verfügbar gemachte Konto zuzugreifen und Patientendatensätze zu exfiltrieren. Der zweite Pfad zeigt laterale Bewegungen vom Speicherkonto in die klinische Anwendungsebene über eine Dienstverbindung mit übermäßig eingeschränkten Netzwerkregeln. Da diese Ressource in aktiven Angriffspfaden angezeigt wird, erhöht sich die Dringlichkeit der Behebung erheblich.

5. Überprüfen Sie die Registerkarte "Verwandte Initiativen". Sie bestätigen, welche Complianceframeworks dies betrifft. Das Ergebnis wird den Microsoft Cloud Security Benchmark-Kontrollen für Netzwerksicherheit und Datenschutz zugeordnet sowie spezifischen Anforderungen Ihrer gesetzlichen Standards im Gesundheitswesen. Diese Dokumentation hilft Ihnen, die Korrekturarbeit während der Complianceüberwachung zu rechtfertigen.

Wenn diese Untersuchung abgeschlossen ist, können Sie die Verantwortung für die Behebung zuweisen und Fälligkeitsdaten mithilfe der Governanceregeln von Defender CSPM festlegen. Mithilfe von Governanceregeln können Sie Empfehlungen automatisch basierend auf Ressourcentags an bestimmte Besitzer weiterleiten oder diese während der Triage manuell zuweisen. Für Contoso Healthcare wird die Suche nach kritischen Speicherkonten dem Data Platform-Team mit einem Fälligkeitsdatum von 48 Stunden zugewiesen, während die Suche nach mittleren SAS-Token während des nächsten Wartungsfensters dem Entwicklungsteam zur Lösung zugewiesen wird.

Das Verständnis darüber, wie Empfehlungen nach Risikostufen eingestuft werden und wie der vollständige Kontext eines Sicherheitsproblems untersucht wird – sei es für Speicher-, Compute-, Netzwerk- oder KI-Workloads – bildet die Grundlage für eine effektive Behebung von Problemen.