Häufig gestellte Fragen - Allgemeine Fragen

Microsoft Defender for Cloud hilft Ihnen, Bedrohungen mit erhöhter Sichtbarkeit und Kontrolle über die Sicherheit Ihrer Ressourcen zu verhindern, zu erkennen und darauf zu reagieren. Es bietet integrierte Sicherheitsüberwachung und Richtlinienverwaltung für Ihre Abonnements, hilft bei der Erkennung von Bedrohungen, die andernfalls möglicherweise unbemerkt bleiben, und kann gemeinsam mit einem breiten Sektrum an Sicherheitslösungen verwendet werden.

Defender for Cloud verwendet Überwachungskomponenten zum Sammeln und Speichern von Daten. Ausführliche Informationen finden Sie unter Datenerfassung in Microsoft Defender for Cloud.

Microsoft Defender for Cloud wird mit Ihrem Microsoft Azure-Abonnement aktiviert und über das Azure-Portal aufgerufen. Um darauf zuzugreifen, melden Sie sich am Portal an, wählen Sie Durchsuchen aus, und scrollen Sie zu Defender for Cloud.

Defender for Cloud ist für die ersten 30 Tage kostenlos. Jede Nutzung über 30 Tage hinaus wird gemäß dem Preisschema automatisch in Rechnung gestellt. Weitere Informationen Beachten Sie, dass die Schadsoftwareüberprüfung in Defender für den Speicher nicht kostenlos in der ersten 30-Tage-Testversion enthalten ist und ab dem ersten Tag in Rechnung gestellt wird.

Microsoft Defender for Cloud überwacht die folgenden Azure Ressourcen:

• Virtuelle Computer (Virtual Machines, VMs) (auch Clouddienste)
• Virtual Machine Scale Sets (Skalierungsgruppen für virtuelle Maschinen)
• Die vielen Azure PaaS-Dienste, die in der Produktübersicht aufgeführt sind

Defender for Cloud schützt auch on-premises resources und Multicloud-Ressourcen, einschließlich Amazon AWS und Google Cloud.

Auf der Seite Defender for Cloud Overview wird der allgemeine Sicherheitsstatus Ihrer Umgebung angezeigt, der nach Compute, Networking, Storage & Data und Anwendungen aufgeschlüsselt ist. Jeder Ressourcentyp verfügt über einen Indikator, der ermittelte Sicherheitsrisiken anzeigt. Wenn Sie jede Kachel auswählen, wird eine Liste der von Defender for Cloud identifizierten Sicherheitsprobleme zusammen mit einem Bestand der Ressourcen in Ihrem Abonnement angezeigt.

In einer Sicherheitsinitiative werden die Sicherheitsmechanismen (Richtlinien) definiert, die für Ressourcen in dem angegebenen Abonnement zu empfehlen sind. In Microsoft Defender for Cloud weisen Sie Initiativen für Ihre Azure Abonnements, AWS-Konten und GCP-Projekte gemäß den Sicherheitsanforderungen Ihres Unternehmens und der Art der Anwendungen oder Vertraulichkeit der Daten in jedem Abonnement zu.

Die in Microsoft Defender for Cloud aktivierten Sicherheitsrichtlinien fördern Sicherheitsempfehlungen und -überwachungen. Weitere Informationen finden Sie unter Was sind Sicherheitsrichtlinien, -initiativen und -empfehlungen?

Zum Ändern einer Sicherheitsrichtlinie müssen Sie ein Sicherheitsadministrator oder Besitzer des Abonnements sein.

Informationen zum Konfigurieren einer Sicherheitsrichtlinie finden Sie unter Setting security policies in Microsoft Defender for Cloud.

Microsoft Defender for Cloud analysiert den Sicherheitsstatus Ihrer Azure, Multicloud und lokalen Ressourcen. Werden mögliche Sicherheitsrisiken festgestellt, werden Empfehlungen erstellt. Entsprechend den Empfehlungen werden Sie durch den Prozess des Konfigurierens des erforderlichen Sicherheitsmechanismus geführt. Beispiele:

• Bereitstellung von Antischadsoftware, um bösartige Software zu erkennen und zu entfernen
• Netzwerksicherheitsgruppen und Regeln, um Datenverkehr zu virtuellen Computern zu steuern
• Bereitstellung einer Web Application Firewall als Schutz vor Angriffen, die auf Ihre Webanwendungen abzielen
• Bereitstellen von fehlenden Systemupdates
• Ansprechen von Betriebssystemkonfigurationen, die nicht den empfohlenen Richtlinien entsprechen

Hier sind nur Empfehlungen aufgeführt, die in den Sicherheitsrichtlinien aktiviert sind.

Microsoft Defender for Cloud erfasst, analysiert und verschmilzt Protokolldaten aus Ihren Azure, Multicloud und lokalen Ressourcen, dem Netzwerk und Partnerlösungen wie Antischadsoftware und Firewalls automatisch. Wurden Bedrohungen erkannt, wird eine Sicherheitswarnung erstellt. Beispiele für eine Erkennung sind:

• Gefährdete virtuelle Computer, die mit bekannten bösartigen IP-Adressen kommunizieren
• Fortschrittliche Schadsoftware, die mithilfe der Windows-Fehlerberichterstattung erkannt wurde
• Brute-Force-Angriffe gegen virtuelle Computer
• Sicherheitswarnungen von integrierten Partnersicherheitslösungen wie Antischadsoftware oder Web Application Firewalls

Die Microsoft Security Response Center (MSRC) führt eine ausgewählte Sicherheitsüberwachung des Azure Netzwerks und der Infrastruktur durch und empfängt Bedrohungserkennung und Missbrauchsbeschwerden von Dritten. Wenn MSRC erkennt, dass auf Kundendaten von einer rechtswidrigen oder nicht autorisierten Partei zugegriffen wurde oder dass die Nutzung von Azure des Kunden nicht den Bedingungen für die zulässige Nutzung entspricht, benachrichtigt ein Sicherheitsvorfallmanager den Kunden. Die Benachrichtigung erfolgt in der Regel durch Senden einer E-Mail an die in Microsoft Defender for Cloud angegebenen Sicherheitskontakte oder den Azure Abonnementbesitzer, wenn kein Sicherheitskontakt angegeben ist.

Defender for Cloud ist ein Azure Dienst, der die Azure, multicloud und lokale Umgebung des Kunden kontinuierlich überwacht und Analysen anwendet, um automatisch eine vielzahl von potenziell schädlichen Aktivitäten zu erkennen. Diese Erkennungen werden als Sicherheitswarnungen im Dashboard „Workloadschutz“ angezeigt.

Azure Abonnements verfügen möglicherweise über mehrere Administratoren mit Berechtigungen zum Ändern der Preiseinstellungen. Um herauszufinden, welcher Benutzer eine Änderung vorgenommen hat, verwenden Sie das Azure Aktivitätsprotokoll.

Wenn die Informationen des Benutzers nicht in der Spalte Ereignis initiiert von aufgeführt sind, sollten Sie sich in den JSON-Daten des Ereignisses die relevanten Details ansehen.

Manchmal liegt eine Sicherheitsempfehlung in mehreren Richtlinieninitiativen vor. Wenn mehrere Instanzen derselben Empfehlung demselben Abonnement zugewiesen sind, und Sie eine Ausnahme für die Empfehlung erstellen, wirkt sich dies auf alle Initiativen aus, für die Sie die Berechtigung zum Bearbeiten haben.

Wenn Sie versuchen, eine Ausnahme für diese Empfehlung zu erstellen, wird eine der beiden folgenden Meldungen angezeigt:

• Wenn Sie die notwendigen Berechtigungen zur Bearbeitung beider Initiativen haben, sehen Sie das:

  Diese Empfehlung ist in mehreren Richtlinieninitiativen enthalten: [durch Kommas getrennte Initiativennamen]. Ausnahmen werden für alle diese erstellt.

• Wenn Sie nicht die nötigen Berechtigungen haben, um beide Initiativen zu bearbeiten, sehen Sie stattdessen diese Nachricht:

  Sie verfügen über eingeschränkte Berechtigungen zum Anwenden der Ausnahme auf alle Richtlinieninitiativen. Die Ausnahmen werden nur für die Initiativen mit ausreichenden Berechtigungen erstellt.

Diese allgemein verfügbaren Empfehlungen unterstützen keine Ausnahme:

• In den Advanced Data Security-Einstellungen in SQL Managed Instance sollten alle Advanced Threat Protection-Typen aktiviert werden.
• In den Erweiterten Datenschutzeinstellungen des SQL Servers sollten alle Typen des Erweiterten Bedrohungsschutzes aktiviert werden.
• Überwachen der Verwendung benutzerdefinierter RBAC-Rollen
• Für Container müssen CPU- und Arbeitsspeicherlimits erzwungen werden
• Containerimages dürfen nur aus vertrauenswürdigen Registrys bereitgestellt werden
• Container mit Rechteausweitung müssen vermieden werden
• Container, die sensible Host-Namespaces gemeinsam nutzen, sollten vermieden werden
• Container dürfen nur an zulässigen Ports lauschen
• Die Standard-IP-Filterrichtlinie muss auf „Verweigern“ festgelegt sein
• Für Computer sollte die Überwachung der Dateiintegrität aktiviert sein
• Unveränderliches (schreibgeschütztes) Stammdateisystem für Container erzwingen
• IoT-Geräte: Offen Ports auf Geräten
• IoT-Geräte - in einer der Ketten wurde eine zu permissive Firewallrichtlinie gefunden
• IoT-Geräte: In der Eingabekette wurde eine erlaubende Firewallregel gefunden
• IoT-Geräte: In der Ausgabekette wurde eine zu permissive Firewallregel gefunden
• IP-Filterregel für großen IP-Adressbereich
• Auf Kubernetes-Cluster sollte nur über HTTPS zugegriffen werden können.
• Kubernetes-Cluster sollten das automatische Einhängen von API-Anmeldeinformationen deaktivieren
• Kubernetes-Cluster dürfen nicht den Standardnamespace verwenden
• Kubernetes-Cluster sollten keine CAPSYSADMIN-Sicherheitsfunktionen gewähren
• Linux-Funktionen mit den niedrigsten Berechtigungen für Container erzwingen
• Die Anpassung oder Deaktivierung des AppArmor-Profils von Containern sollte eingeschränkt werden.
• Privilegierte Container müssen vermieden werden
• Das Ausführen von Containern als Root-Benutzer muss vermieden werden
• Dienste dürfen nur an zulässigen Ports lauschen
• SQL-Server sollten über einen Microsoft Entra Administrator verfügen
• Einschränkung der Nutzung von Host-Netzwerken und -Ports
• Verwendung von HostPath-Volumeeinbindungen von Pods sollte auf eine bekannte Liste beschränkt sein, um den Knotenzugriff von kompromittierten Containern zu begrenzen
• Azure API Management-APIs sollten in Defender for APIs eingebunden werden.
• Nicht verwendete API-Endpunkte sollten deaktiviert und aus Funktions-Apps entfernt werden (Vorschau)
• Nicht verwendete API-Endpunkte sollten deaktiviert und aus Logik-Apps entfernt werden (Vorschau)
• Die Authentifizierung sollte auf API-Endpunkten aktiviert werden, die in Funktions-Apps gehostet werden (Vorschau)
• Die Authentifizierung sollte auf API-Endpunkten aktiviert werden, die in Logik-Apps gehostet werden (Vorschau)

Es gibt einige Einschränkungen für den Identitäts- und Zugriffsschutz Defender for Cloud:

• Identitätsempfehlungen sind für Abonnements mit mehr als 6.000 Konten nicht verfügbar. In diesen Fällen werden diese Arten von Abonnements auf der Registerkarte „Nicht anwendbar“ aufgelistet.
• Identitätsempfehlungen sind für die Administratorenagenten des Cloud-Solution-Provider-(CSP)-Partners nicht verfügbar.
• Identitätsempfehlungen bewerten Rollenzuweisungen, einschließlich PIM-berechtigter Zuordnungen, differenzieren jedoch aktuell kein Risiko basierend auf PIM-Aktivierungsworkflows oder Genehmigungsanforderungen. Dies kann zu Ergebnissen führen, die PIM-verwaltete Identitäten enthalten.
• Empfehlungen zur Identitätsverwaltung unterstützen nicht die bedingten Zugriffsrichtlinien von Microsoft Entra, die anstelle von Benutzern und Gruppen Verzeichnisrollen einbeziehen.

Eine Liste der AMIs mit vorinstalliertem SSM-Agent finden Sie auf dieser Seite in der AWS-Dokumentation.

Bei anderen Betriebssystemen sollte der SSM-Agent anhand der folgenden Anweisungen manuell installiert werden:

• Installieren Sie den SSM-Agenten für die Hybridumgebung (Windows)
• Installieren des SSM-Agents für eine Hybridumgebung (Linux)

Zum Ermitteln von AWS-Ressourcen sind die folgenden IAM-Berechtigungen erforderlich:

Ja. Informationen zum Erstellen, Bearbeiten oder Löschen von Defender for Cloud Cloudconnectors mit einer REST-API finden Sie in den Details der API Connectors.

Defender for Cloud unterstützt und überprüft alle verfügbaren Regionen in der öffentlichen GCP-Cloud.

Wenn Sie Ihre Umgebung für BCDR-Szenarien vorbereiten, bei denen die Zielressource einen Ausfall oder eine andere Katastrophe erlebt, liegt es in der Verantwortung der Organisation, Datenverluste zu verhindern, indem Sie Sicherungen gemäß den Richtlinien von Azure Event Hubs, Log Analytics Arbeitsbereich und Logik-Apps einrichten.

Wir empfehlen Ihnen, für jede aktive Automatisierung eine identische (deaktivierte) Automatisierung zu erstellen und an einem anderen Ort zu speichern. Bei einem Ausfall können Sie diese Sicherungsautomatisierungen aktivieren und den normalen Betrieb aufrechterhalten.

Erfahren Sie mehr über Business continuity and disaster recovery for Azure Logic Apps.

Für die Ermöglichung eines fortlaufenden Exports fallen keine Kosten an. Je nach Konfiguration können Kosten für die Erfassung und Aufbewahrung von Daten in Ihrem Log Analytics Arbeitsbereich anfallen.

Viele Warnungen werden nur bereitgestellt, wenn Sie Defender Pläne für Ihre Ressourcen aktiviert haben. Eine gute Möglichkeit zum Anzeigen der Warnungen, die Sie in Ihren exportierten Daten erhalten, besteht darin, die warnungen anzuzeigen, die auf den Seiten Defender for Cloud im Azure-Portal angezeigt werden.

Weitere Informationen zu Log Analytics Workspace-Preisen.

Erfahren Sie mehr über Azure Event Hubs Pricing.

Allgemeine Informationen zu Defender for Cloud Preisen finden Sie auf der Preisseite.

Nein. Der fortlaufende Export wurde für das Streaming von Ereignissen konzipiert:

• Warnungen, die erhalten wurden, bevor Sie den Export aktivierten, werden nicht exportiert.
• Empfehlungen werden immer dann gesendet, wenn sich der Konformitätszustand einer Ressource ändert. Zum Beispiel, wenn eine Ressource von „gesund“ zu „ungesund“ wechselt. Daher werden, wie bei Warnungen, keine Empfehlungen für Ressourcen exportiert, deren Zustand sich seit der Aktivierung des Exports nicht geändert hat.
• Sicherheitsbewertung pro Sicherheitskontrolle oder Abonnement wird gesendet, wenn sich die Bewertung einer Sicherheitskontrolle um 0,01 oder mehr ändert.
• Der Status der Einhaltung gesetzlicher Bestimmungen wird gesendet, wenn sich der Status der Compliance der Ressource ändert.

Unterschiedliche Empfehlungen weisen unterschiedliche Intervalle für die Konformitätsauswertung auf, die von einigen Minuten bis zu einigen Tagen reichen können. Daher schwankt die Zeit, bis Empfehlungen in Ihren Exporten angezeigt werden.

Um eine Beispielabfrage für eine Empfehlung zu erhalten, öffnen Sie die Empfehlung in Defender for Cloud, wählen Sie Open-Abfrage aus, und wählen Sie dann Abfrage, die Sicherheitsergebnisse zurückgibt aus.

Der fortlaufende Export kann hilfreich sein, um BCDR-Szenarien vorzubereiten, in denen für die Zielressource ein Ausfall oder eine andere Katastrophe aufgetreten ist. Es liegt jedoch in der Verantwortung der Organisation, Datenverluste zu verhindern, indem Sicherungen gemäß den Richtlinien von Azure Event Hubs, Log Analytics Arbeitsbereich und Logik-App erstellt werden.

Weitere Informationen finden Sie in Azure Event Hubs – Geo-Notfallwiederherstellung.

Es wird nicht empfohlen, mehrere Pläne für ein einzelnes Abonnement gleichzeitig (über REST-API, ARM-Vorlagen, Skripts usw.) programmgesteuert zu aktualisieren. Bei Verwendung des Microsoft. SICHERHEITS-/Preis-API oder eine andere programmgesteuerte Lösung sollten Sie eine Verzögerung von 10 bis 15 Sekunden zwischen jeder Anforderung einfügen.

Änderungen an Defender for Cloud-Plänen oder deren Optionen, einschließlich Features in diesen Plänen, erfordern die Ausführung der Bereitstellungsvorlage. Das gilt unabhängig vom Berechtigungstyp, der während der Erstellung des Sicherheitsconnectors ausgewählt wird. Wenn Regionen wie in diesem Screenshot geändert wurden, müssen Sie die Vorlage "Cloudformation" oder Cloud Shell Skript nicht erneut ausführen.

Wenn Sie Berechtigungstypen konfigurieren, unterstützt der geringste Berechtigungszugriff Features, die zum Zeitpunkt der Ausführung der Vorlage oder des Skripts verfügbar sind. Neue Ressourcentypen können ausschließlich durch ein erneutes Ausführen der Vorlage oder des Skripts unterstützt werden.

Nein, wenn der Bereich oder das Scanintervall geändert wird, müssen die CloudFormation-Vorlage oder das Cloud Shell-Skript nicht neu ausgeführt werden. Die Änderungen werden automatisch angewendet.

Das Onboarding einer Organisation oder eines Verwaltungskontos zum Microsoft Defender for Cloud initiiert den Prozess von Deploying a StackSet. Das StackSet enthält die erforderlichen Rollen und Berechtigungen. Das StackSet verteilt auch die erforderlichen Berechtigungen für alle Konten innerhalb der Organisation.

Mit den enthaltenen Berechtigungen können Microsoft Defender for Cloud die ausgewählten Sicherheitsfeatures über den erstellten Connector in Defender for Cloud bereitstellen. Mit den Berechtigungen können Defender for Cloud auch alle Konten kontinuierlich überwachen, die mit dem automatischen Bereitstellungsdienst hinzugefügt werden können.

Defender for Cloud kann die Erstellung neuer Verwaltungskonten identifizieren und die erteilten Berechtigungen nutzen, um automatisch einen entsprechenden Mitgliedssicherheitsconnector für jedes Mitgliedskonto bereitzustellen.

Dieses Feature ist nur für das Onboarding der Organisation verfügbar und ermöglicht es Defender for Cloud, Connectors für neu hinzugefügte Konten zu erstellen. Mit dieser Funktion kann Defender for Cloud alle Mitgliedsconnectors bearbeiten, wenn das Verwaltungskonto bearbeitet wird, alle Mitgliedskonten löschen, wenn das Verwaltungskonto gelöscht wird, und ein bestimmtes Mitgliedskonto entfernen, wenn das entsprechende Konto entfernt wird.

Ein separater Stapel muss speziell für das Verwaltungskonto bereitgestellt werden.

Nein. Die agentlose Überprüfung überprüft keine verwalteten VMs.

Ja. Agentloses Scannen scannt sowohl Betriebssystemdatenträger als auch Datenträger.

Die Tageszeit ist dynamisch und kann sich über verschiedene Konten und Abonnements hinweg ändern.

In AWS können die Vorgänge auf dem Kundenkonto über CloudTrail nachverfolgt werden.

Agentless Scanning sammelt Daten ähnlich wie die Daten, die ein Agent sammelt, um dieselbe Analyse durchzuführen. Rohdaten, PIIs oder vertrauliche Geschäftsdaten werden nicht gesammelt, und nur Metadatenergebnisse werden an Defender for Cloud gesendet.

Die Analyse der Momentaufnahmen erfolgt in sicheren Umgebungen, die von Defender for Cloud verwaltet werden.

Die Umgebungen sind regional über mehrere Clouds hinweg, sodass Momentaufnahmen in derselben Cloudregion verbleiben wie die VM, aus der sie stammen (z. B. eine Momentaufnahme einer EC2-Instanz in DEN USA West werden in derselben Region analysiert, ohne in eine andere Region oder Cloud kopiert zu werden).

Die Scanumgebung, in der Datenträger analysiert werden, ist veränderlich, isoliert und hochsicher.

Die agentenlose Scanplattform wird überwacht und ist konform mit den strengen Sicherheits- und Datenschutzstandards von Microsoft. Einige der getroffenen Maßnahmen sind (keine umfassende Liste):

• Physische Isolation pro Region, zusätzliche Isolation pro Kunde und Abonnement
• E2E-Verschlüsselung im Ruhezustand und während der Übertragung
• Datenträgermomentaufnahmen werden nach dem Scan sofort gelöscht
• Nur Metadaten (d. a. Sicherheitsergebnisse) verlassen die isolierte Scanumgebung.
• Die Scanumgebung ist autonom.
• Alle Vorgänge werden intern überwacht.

Agentenlose Überprüfung ist in den Defender Cloud Security Posture Management (CSPM) und Defender für Server P2 Plänen enthalten. Beim Aktivieren von Defender for Cloud entstehen keine zusätzlichen Kosten.

Datenträger-Snapshots werden mit dem CreatedBy-Tag-Schlüssel und dem Microsoft Defender for Cloud-Tag-Wert erstellt. Das CreatedBy Tag verfolgt, wer die Ressource erstellt hat. Sie müssen die Tags in der Abrechnungs- und Kostenverwaltungskonsole aktivieren. Es kann bis zu 24 Stunden dauern, bis Tags aktiviert werden.

Nächste Schritte

Erfahren Sie, was es Neues in Defender for Cloud gibt