Microsoft Defender for Cloud

Microsoft Defender for Cloud ist eine einheitliche Plattform für Cloud Security Posture Management (CSPM) und Workload Protection. Sie überwacht kontinuierlich Ihre Azure-Ressourcen, Hybridserver und Multi-Cloud-Umgebungen (AWS, GCP) auf Sicherheitsfehlkonfigurationen, Bedrohungen und Sicherheitsrisiken. Sie stellt eine priorisierte Liste von Empfehlungen bereit, um Ihre Umgebung abzusichern, und erkennt laufende Angriffe aktiv.

Defender for Cloud basiert auf zwei zentralen Säulen. Cloud Security Posture Management (CSPM) bewertet Ihre Ressourcenkonfigurationen anhand von bewährten Sicherheitsverfahren und Compliance-Frameworks und weist Ihrem Abonnement einen Secure Score zu. Cloud Workload Protection (CWP) – über Defender-Pläne aktiviert – ergänzt die aktive Bedrohungserkennung, die Suche nach Sicherheitsrisiken und den Just-in-Time-Zugriff auf VMs, um laufende Workloads zu schützen.

Der Secure Score ist eine numerische Kennzahl (0–100), die den Sicherheitsstatus Ihres Abonnements widerspiegelt. Jede Sicherheitsempfehlung wirkt sich auf den Score aus; wenn Sie Empfehlungen mit größeren Auswirkungen umsetzen, verbessert sich Ihr Score stärker. Vergleichsdaten von Microsoft zeigen, dass Kunden mit einem höheren Secure Score weniger Sicherheitsvorfälle erleben. Das Score-Dashboard schlüsselt die Ergebnisse nach Bereichen der Sicherheitskontrolle auf (Identität, Netzwerk, Daten usw.) und hilft Ihnen dabei, Maßnahmen zur Behebung zu priorisieren.

Defender for Cloud bietet eine kostenlose grundlegende CSPM-Ebene (immer aktiviert) sowie kostenpflichtige Defender-Pläne für bestimmte Ressourcentypen. Zu den Plänen gehören Defender for Servers (Bedrohungserkennung für Endpunkte auf VMs), Defender for Containers (Bedrohungserkennung für Kubernetes und Scannen von Images), Defender for Databases (Erkennung von SQL-Injection-Angriffen und anomalem Zugriff), Defender for Key Vault und weitere. Jeder Plan wird pro Ressource abgerechnet.

Wenn Defender for Cloud eine Fehlkonfiguration erkennt, erstellt der Dienst eine Sicherheitsempfehlung. Jede Empfehlung enthält eine Beschreibung des Problems, die Liste der betroffenen Ressourcen, den Schweregrad (hoch/mittel/niedrig), die mögliche Erhöhung des Secure Score bei Behebung sowie Schritte zur Behebung mit einer Schaltfläche Quick Fix zur Behebung einfacher Probleme mit einem Klick. Empfehlungen sind dem Microsoft Cloud Security Benchmark (MCSB) zugeordnet.

Wenn Defender for Cloud eine aktive Bedrohung erkennt, wird eine Sicherheitswarnung mit einer Beschreibung des Angriffs, der betroffenen Ressourcen und empfohlenen Reaktionsschritten generiert. Zusammengehörige Warnungen aus derselben Angriffskampagne werden automatisch zu einem Sicherheitsvorfall korreliert. Dadurch erhalten Sie eine einheitliche Ansicht des Verlaufs eines Angriffs (der Kill Chain) statt Dutzender isolierter Warnungen. Warnungen können an Microsoft Sentinel, Logic Apps oder per E-Mail weitergeleitet werden.

Der Just-In-Time- (JIT-)Zugriff auf VMs (verfügbar in Defender for Servers) sperrt Verwaltungsports wie RDP (3389) und SSH (22) auf NSG-Ebene, wenn sie nicht verwendet werden. Wenn ein Administrator Zugriff benötigt, fordert er diesen für ein bestimmtes Zeitfenster (z. B. 3 Stunden) und von einer bestimmten Quell-IP-Adresse über Defender for Cloud an. Die NSG-Regel wird für dieses Zeitfenster erstellt und anschließend automatisch entfernt. Dadurch wird die Angriffsfläche durch dauerhaft geöffnete Administrationsports beseitigt.

Adaptive Anwendungssteuerungen verwenden maschinelles Lernen, um zu analysieren, welche Anwendungen auf Ihren VMs ausgeführt werden, und eine empfohlene Positivliste zu erstellen. Sie überprüfen und genehmigen die Liste, woraufhin Defender for Cloud Windows-AppLocker-Regeln oder Linux-Auditingregeln erstellt, um Anwendungen außerhalb der genehmigten Liste zu melden oder zu blockieren. Dies ist ein leistungsfähiges Mittel gegen Malware und Ransomware, die nicht genehmigte Software ausnutzt.

Defender for Cloud umfasst ein Dashboard für die Einhaltung gesetzlicher Vorschriften, das Ihre Sicherheitslage bestimmten Frameworks wie ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 und CIS Benchmarks zuordnet. Jedes Control des Frameworks ist einer oder mehreren Empfehlungen von Defender for Cloud zugeordnet. Prüfer können im Dashboard sehen, wie viele Controls erfüllt sind und welche behoben werden müssen. Dadurch wird die Zusammenstellung von Nachweisen für die Compliance erheblich beschleunigt.

Defender for Cloud geht über Azure hinaus und bietet über Cloud-Connectors Sicherheitsabdeckung für Ressourcen in AWS und GCP sowie über den Azure-Arc-Agent für lokale Server. Dadurch erhalten Sie eine einheitliche Sicherheitsansicht über hybride Umgebungen und Multi-Cloud-Umgebungen hinweg. Empfehlungen und der Secure Score umfassen ebenfalls Nicht-Azure-Ressourcen. Damit ist Defender for Cloud tatsächlich eine einheitliche Plattform für das Sicherheitsmanagement.

Der typische Workflow in Defender for Cloud sieht folgendermaßen aus: Bewerten — den Secure Score überprüfen und Empfehlungen öffnen; Absichern — Empfehlungen beginnend mit den wirkungsvollsten beheben; Verteidigen — Defender-Pläne aktivieren, um Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren. Dieser iterative Zyklus verbessert Ihre Sicherheitslage kontinuierlich und verringert im Laufe der Zeit die Wahrscheinlichkeit und die Auswirkungen von Sicherheitsvorfällen.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Defender for Cloud bietet die Verwaltung der CSPM-Sicherheitslage über den Secure Score sowie den Schutz vor aktiven Bedrohungen über Defender-Pläne, der Just-In-Time-Zugriff auf VMs schließt Administrationsports und öffnet sie nur auf Anfrage und das Dashboard für die Einhaltung gesetzlicher Vorschriften ordnet Ihre Sicherheitslage Frameworks wie ISO 27001 und PCI DSS zu. Als Nächstes sehen wir uns Azure Key Vault für die Verwaltung von Geheimnissen und Zertifikaten an.