Data/Locales/checks/de/AzureIAMChecks.json
|
{ "_family": "AzureIAMChecks.json", "AZIAM-001": { "name": { "value": "Audit der Rollenzuweisungen auf Abonnementebene", "status": "machine-draft" }, "description": { "value": "Rollenzuweisungen auf Abonnementebene gewähren weitreichende Berechtigungen für alle Ressourcen innerhalb eines Abonnements. Übermäßig freizügige oder veraltete Zuweisungen in diesem Geltungsbereich können laterale Bewegung und unbefugten Zugriff auf sensible Workloads ermöglichen. Regelmäßige Audits stellen sicher, dass nur autorisiertes Personal abonnementweite Privilegien behält.", "status": "machine-draft" }, "recommendedValue": { "value": "Rollenzuweisungen auf Abonnementebene minimieren; Zuweisungen auf Ressourcengruppen- oder Ressourcenebene bevorzugen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Rollenzuweisungen auf Abonnementebene in Azure IAM und entfernen Sie alle veralteten, unnötigen oder zu weitreichenden Zuweisungen. Weisen Sie Berechtigungen nach Möglichkeit auf Ebene der Ressourcengruppe oder der einzelnen Ressource zu. Führen Sie mithilfe von Azure AD-Zugriffsüberprüfungen eine wiederkehrende vierteljährliche Zugriffsüberprüfung für abonnementbezogene Rollen ein.", "status": "machine-draft" } }, "AZIAM-002": { "name": { "value": "Benutzer mit Azure-IAM-Rollen direkt auf Ressourcen", "status": "machine-draft" }, "description": { "value": "Direkte Rollenzuweisungen an einzelne Benutzer auf Azure-Ressourcen umgehen die gruppenbasierte Zugriffssteuerung und erschweren die Nachverfolgung von Berechtigungen. Diese Praxis erhöht das Risiko verwaister Berechtigungen, wenn Benutzer ihre Rolle wechseln oder die Organisation verlassen. Gruppenbasierte Zuweisungen bieten eine bessere Nachvollziehbarkeit und ein besseres Lebenszyklusmanagement.", "status": "machine-draft" }, "recommendedValue": { "value": "Rollen an Azure-AD-Gruppen zuweisen statt direkt an einzelne Benutzer", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle direkten Rollenzuweisungen von Benutzern zu Ressourcen mithilfe von Azure Resource Graph oder dem IAM-Blade. Erstellen Sie für jedes Zugriffsmuster geeignete Azure-AD-Sicherheitsgruppen und migrieren Sie die individuellen Zuweisungen zu gruppenbasierten Zuweisungen. Entfernen Sie die direkten Benutzerzuweisungen, nachdem Sie bestätigt haben, dass die Gruppenmitgliedschaft gleichwertigen Zugriff gewährt.", "status": "machine-draft" } }, "AZIAM-003": { "name": { "value": "Analyse der Ressourcengruppenberechtigungen", "status": "machine-draft" }, "description": { "value": "Ressourcengruppen dienen als logische Container für Azure-Ressourcen, und ihre IAM-Zuweisungen werden an alle enthaltenen Ressourcen vererbt. Fehlkonfigurierte Ressourcengruppenberechtigungen können versehentlich Zugriff auf sensible Ressourcen wie Datenbanken, Schlüsseltresore oder virtuelle Maschinen gewähren. Die Analyse dieser Berechtigungen stellt eine konsistente Durchsetzung der Prinzipien der geringsten Rechte sicher.", "status": "machine-draft" }, "recommendedValue": { "value": "Rollenzuweisungen nach dem Prinzip der geringsten Rechte auf Ressourcengruppenebene mit dokumentierter Begründung anwenden", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Rollenzuweisungen für jede Ressourcengruppe mit Get-AzRoleAssignment auf und prüfen Sie auf übermäßige Berechtigungen wie Owner- oder Contributor-Rollen, die breiten Gruppen gewährt wurden. Stufen Sie zu freizügige Rollen auf spezifischere integrierte Rollen wie Reader oder bestimmte Ressourcenanbieter-Rollen herab. Dokumentieren Sie die geschäftliche Begründung für jede Rollenzuweisung auf Ressourcengruppenebene und planen Sie regelmäßige Überprüfungen.", "status": "machine-draft" } }, "AZIAM-004": { "name": { "value": "Audit der Azure-Key-Vault-Zugriffsrichtlinien", "status": "machine-draft" }, "description": { "value": "Azure Key Vault speichert kryptografische Schlüssel, Geheimnisse und Zertifikate, die für die Anwendungssicherheit und den Datenschutz entscheidend sind. Übermäßig freizügige Zugriffsrichtlinien können Geheimnisse gegenüber unbefugten Benutzern oder Dienstprinzipalen offenlegen und zu Diebstahl von Anmeldeinformationen oder Datenschutzverletzungen führen. Sowohl das Zugriffsrichtlinien- als auch das RBAC-Autorisierungsmodell müssen auf die Einhaltung des Prinzips der geringsten Rechte geprüft werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Azure RBAC für die Key-Vault-Zugriffssteuerung verwenden; Get-, List- und Set-Berechtigungen auf die minimal erforderlichen Prinzipale beschränken", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Key-Vault-Zugriffsrichtlinien oder RBAC-Zuweisungen und entfernen Sie alle Prinzipale mit unnötigen Berechtigungen wie Purge oder vollständigen Schlüsselverwaltungsrechten. Migrieren Sie vom veralteten Zugriffsrichtlinienmodell zur Azure-RBAC-basierten Autorisierung für eine feinere Steuerung und bessere Nachvollziehbarkeit. Aktivieren Sie die Key-Vault-Protokollierung in einen Log-Analytics-Arbeitsbereich und richten Sie Warnungen für verdächtige Zugriffsmuster ein.", "status": "machine-draft" } }, "AZIAM-005": { "name": { "value": "Sicherheitseinstellungen des Speicherkontos", "status": "machine-draft" }, "description": { "value": "Azure-Speicherkonten enthalten häufig sensible Geschäftsdaten, Sicherungen und Anwendungszustände, die im Ruhezustand und bei der Übertragung geschützt werden müssen. Fehlkonfigurierte Einstellungen wie das Zulassen von öffentlichem Blob-Zugriff, das Deaktivieren der HTTPS-Erzwingung oder die Verwendung veralteter TLS-Versionen schaffen erhebliche Risiken einer Datenoffenlegung. Die Sicherheitseinstellungen des Speicherkontos müssen gehärtet werden, um unbefugten Zugriff und Datenabfluss zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Nur-HTTPS-Übertragung erzwingen, öffentlichen Blob-Zugriff deaktivieren, mindestens TLS 1.2 verlangen, Infrastrukturverschlüsselung aktivieren", "status": "machine-draft" }, "remediationSteps": { "value": "Legen Sie die minimale TLS-Version auf 1.2 fest, aktivieren Sie die Nur-HTTPS-Übertragung und deaktivieren Sie den öffentlichen Blob-Zugriff auf allen Speicherkonten. Aktivieren Sie die Infrastrukturverschlüsselung für eine doppelte Verschlüsselung im Ruhezustand und konfigurieren Sie private Endpunkte, um den Netzwerkzugriff einzuschränken. Überprüfen Sie Shared Access Signatures und Zugriffsschlüssel, wechseln Sie die Schlüssel regelmäßig und bevorzugen Sie die Azure-AD-Authentifizierung gegenüber dem schlüsselbasierten Zugriff.", "status": "machine-draft" } }, "AZIAM-006": { "name": { "value": "Audit der Netzwerksicherheitsgruppenregeln", "status": "machine-draft" }, "description": { "value": "Netzwerksicherheitsgruppen steuern den ein- und ausgehenden Datenverkehr zu Azure-Ressourcen und sind ein zentraler Mechanismus zur Netzwerksegmentierung. Übermäßig freizügige NSG-Regeln, etwa das Zulassen uneingeschränkten eingehenden Zugriffs aus dem Internet auf Verwaltungsports, setzen Ressourcen Brute-Force-Angriffen und Ausnutzung aus. Regelmäßige Audits der NSG-Regeln sind unerlässlich, um einen sicheren Netzwerkperimeter aufrechtzuerhalten.", "status": "machine-draft" }, "recommendedValue": { "value": "Gesamten eingehenden Internetverkehr standardmäßig verweigern; nur erforderliche Ports aus bestimmten Quell-IP-Bereichen zulassen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle NSG-Regeln auf zu freizügige Einträge, insbesondere Regeln, die eingehenden Verkehr von 0.0.0.0/0 oder Any auf Ports wie 22, 3389, 445 oder 1433 zulassen. Ersetzen Sie breite Zulassen-Regeln durch bestimmte Quell-IP-Bereiche oder Diensttags und entfernen Sie ungenutzte Regeln. Aktivieren Sie NSG-Flussprotokolle und integrieren Sie sie mit Azure Network Watcher zur kontinuierlichen Überwachung von Verkehrsmustern und Anomalieerkennung.", "status": "machine-draft" } }, "AZIAM-007": { "name": { "value": "Compliance-Status von Azure Policy", "status": "machine-draft" }, "description": { "value": "Azure Policy erzwingt organisatorische Standards und bewertet die Compliance skalierbar über Azure-Ressourcen hinweg. Nicht konforme Ressourcen deuten auf eine Konfigurationsabweichung von Sicherheitsbaselines hin und können die Umgebung Risiken aussetzen, die durch Governance-Kontrollen verhindert werden sollen. Die Überwachung der Richtlinien-Compliance stellt sicher, dass bereitgestellte Ressourcen durchgängig die Sicherheits- und regulatorischen Anforderungen erfüllen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle zugewiesenen Richtlinien sollten eine Compliance von 95 % oder mehr melden; nicht konforme Ressourcen sollten über dokumentierte Ausnahmen verfügen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie das Azure-Policy-Compliance-Dashboard, um nicht konforme Ressourcen zu identifizieren, und priorisieren Sie die Behebung anhand des Schweregrads der Richtlinie. Verwenden Sie Behebungsaufgaben, um nicht konforme Ressourcen automatisch zu korrigieren, sofern der Richtlinieneffekt dies unterstützt (DeployIfNotExists, Modify). Erstellen Sie für Ressourcen, die nicht konform gemacht werden können, dokumentierte Richtlinienausnahmen mit Ablaufdaten und geschäftlicher Begründung.", "status": "machine-draft" } }, "AZIAM-008": { "name": { "value": "Überprüfung der Verwaltungsgruppenstruktur", "status": "machine-draft" }, "description": { "value": "Verwaltungsgruppen bieten eine hierarchische Struktur zum Organisieren von Abonnements und zum Anwenden von Governance-Kontrollen in großem Umfang. Eine schlecht gestaltete oder flache Verwaltungsgruppenstruktur erschwert die Durchsetzung differenzierter Richtlinien für Produktions-, Entwicklungs- und Sandbox-Umgebungen. Die Überprüfung der Hierarchie stellt sicher, dass Richtlinienvererbung und Rollenzuweisungen mit den Sicherheitsanforderungen der Organisation übereinstimmen.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine Verwaltungsgruppenhierarchie implementieren, die Produktions-, Entwicklungs- und Sandbox-Umgebungen mit geeigneten Richtlinienzuweisungen trennt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die aktuelle Verwaltungsgruppenhierarchie und stellen Sie sicher, dass sie organisatorische Grenzen wie Geschäftsbereiche, Umgebungen und Workload-Klassifizierungen widerspiegelt. Wenden Sie restriktive Richtlinien auf höheren Verwaltungsgruppenebenen für eine breite Durchsetzung an und lassen Sie Ausnahmen auf niedrigeren Ebenen nur mit dokumentierter Begründung zu. Stellen Sie sicher, dass die Stammverwaltungsgruppe möglichst wenige direkte Rollenzuweisungen hat und dass sensible Abonnements in angemessen verwalteten Verwaltungsgruppen platziert werden.", "status": "machine-draft" } }, "AZIAM-009": { "name": { "value": "Benutzerdefinierte RBAC-Rollendefinitionen", "status": "machine-draft" }, "description": { "value": "Benutzerdefinierte Azure-RBAC-Rollen bieten maßgeschneiderte Berechtigungen über das hinaus, was integrierte Rollen leisten, können jedoch versehentlich übermäßige oder gefährliche Aktionskombinationen gewähren. Schlecht abgegrenzte benutzerdefinierte Rollen mit Platzhalterberechtigungen oder zu breiten zuweisbaren Geltungsbereichen schaffen Pfade zur Rechteausweitung. Jede benutzerdefinierte Rolle muss überprüft werden, um sicherzustellen, dass sie dem Prinzip der geringsten Rechte folgt und keine sensiblen Vorgänge kombiniert.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzerdefinierte Rollendefinitionen minimieren; Platzhalteraktionen vermeiden; zuweisbare Geltungsbereiche auf bestimmte Verwaltungsgruppen oder Abonnements beschränken", "status": "machine-draft" }, "remediationSteps": { "value": "Listen Sie alle benutzerdefinierten RBAC-Rollendefinitionen auf und überprüfen Sie deren actions, notActions, dataActions und zuweisbare Geltungsbereiche auf zu freizügige Konfigurationen. Entfernen Sie alle Platzhalterberechtigungen (*/*, Microsoft.*/* usw.) und ersetzen Sie sie durch bestimmte Aktionszeichenfolgen, die für die Funktion der Rolle erforderlich sind. Dokumentieren Sie die geschäftliche Begründung für jede benutzerdefinierte Rolle und prüfen Sie, ob eine integrierte Rolle oder eine Kombination integrierter Rollen die benutzerdefinierte Definition ersetzen könnte.", "status": "machine-draft" } }, "AZIAM-010": { "name": { "value": "Konfiguration von Ressourcensperren", "status": "machine-draft" }, "description": { "value": "Azure-Ressourcensperren verhindern das versehentliche Löschen oder Ändern kritischer Ressourcen wie Produktionsdatenbanken, Netzwerkkomponenten und Schlüsseltresore. Ohne Ressourcensperren können Benutzer mit ausreichenden Berechtigungen versehentlich Infrastruktur zerstören und dadurch Dienstausfälle und möglichen Datenverlust verursachen. Das Anwenden von CanNotDelete- oder ReadOnly-Sperren auf kritische Ressourcen bietet eine zusätzliche Sicherheitsebene über RBAC hinaus.", "status": "machine-draft" }, "recommendedValue": { "value": "CanNotDelete-Sperren auf alle Produktions-Ressourcengruppen und kritischen Einzelressourcen anwenden", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle Produktions- und geschäftskritischen Ressourcengruppen und Ressourcen, die vor versehentlichem Löschen oder Ändern geschützt werden sollten. Wenden Sie CanNotDelete-Sperren auf Ressourcengruppenebene für Produktionsumgebungen und ReadOnly-Sperren für unveränderliche Infrastrukturkomponenten an. Dokumentieren Sie die Sperrstrategie und stellen Sie sicher, dass die Betriebsverfahren Schritte zum Entfernen von Sperren enthalten, wenn beabsichtigte Änderungen erforderlich sind, mit entsprechender Genehmigung durch das Änderungsmanagement.", "status": "machine-draft" } } } |