Grundlagen der Azure Security
Sicherheit gehört in Azure von Anfang an mitgedacht, denn erst dann greifen in jeder Entwicklungsphase die passenden Kontrollen. Entscheidend ist das Verständnis des Shared Responsibility Model: Azure stellt integrierte Kontrollen bereit, doch die Teams sichern ihre Workloads je nach Bereitstellungsmodell (IaaS, PaaS, SaaS) selbst ab.
Die zentralen Kontrollsäulen sind:
Identity and Access Management (IAM);
Netzwerksicherheit;
Data Protection;
Protokollierung und Überwachung;
Governance und Compliance.
Die 9 Best Practices für mehr Sicherheit
1. Sicherheitsstatus mit Azure Policy und Defender for Cloud definieren
Azure Policy definiert und erzwingt Sicherheitsregeln im gesamten Umfeld und skaliert dabei mühelos. Defender for Cloud sorgt über den Microsoft Cloud Security Benchmark für durchgehende Transparenz. Zu den wichtigsten Maßnahmen zählen der Einsatz der Richtlinieneffekte „Deny“ und „DeployIfNotExists“, die Einrichtung von Azure-Monitor-Warnungen, wöchentliche Prüfzyklen sowie dokumentierte Behebungsabläufe.
2. Native Cloud-Sicherheitskontrollen integrieren
Integrierte Kontrollen wie Microsoft Defender for Cloud, Azure Firewall und Microsoft Entra ID lassen sich gezielt nutzen. Dabei ordnen die Teams die Anforderungen der Anwendungen den verfügbaren Sicherheitsfunktionen zu. Konkret bedeutet das: Defender for Cloud über alle Abonnements hinweg aktivieren, die Regeln der Azure Firewall vierteljährlich prüfen und die Berechtigungen in Entra ID monatlich auditieren.
3. Entra ID mit Conditional Access und RBAC absichern
Microsoft Entra ID ermöglicht im Zusammenspiel mit RBAC fein abgestufte Zugriffe nach den Prinzipien Least Privilege und Zero Trust. Multi-Faktor-Authentifizierung (MFA) sichert alle Benutzer ab, und Privileged Identity Management (PIM) schützt Rollen mit Schreibrechten auf Produktionsumgebungen.
4. JIT-Zugriff für VMs aktivieren
Der Just-in-Time-Zugriff auf VMs begrenzt eingehenden Datenverkehr und gewährt nur bei Bedarf temporären Zugang. Empfehlenswert sind maximale Sitzungsdauern von höchstens vier Stunden, Freigabe-Workflows mit Bestätigung durch die Führungskraft sowie die Aktivierung von JIT auf allen VMs mit Internetanbindung.
5. Schlüssel über Azure Key Vault und Managed HSMs verwalten
Kryptografische Schlüssel, Secrets und Zertifikate gehören zentral in den Azure Key Vault und nicht in den Code eingebettet. Kundenverwaltete Schlüssel rotieren alle 90 Tage, Zugriffsrichtlinien setzen Least Privilege durch, der Löschschutz („Purge Protection“) bleibt aktiviert und Warnungen melden unbefugte Zugriffsversuche.
6. Datenverkehr mit NSGs und ASGs segmentieren
Network Security Groups (NSGs) wirken wie Firewalls und steuern den ein- und ausgehenden Datenverkehr. Application Security Groups (ASGs) regeln die Sicherheit auf Anwendungsebene. Sinnvoll ist es, NSG-Regeln auf zu großzügige Einträge zu prüfen, Ressourcen mit ASGs nach Funktion zu gruppieren und Änderungen über ein Peer-Review-Verfahren abzusichern.
7. Bedrohungen mit Microsoft Sentinel und Log Analytics aufspüren
Regelmäßige Audits decken Fehlkonfigurationen und unbefugte Zugriffe auf. Dazu gehört, den Zugriff auf kritische Ressourcen zu überprüfen, Anmeldedaten regelmäßig zu rotieren, monatliche automatisierte Sicherheitsscans einzuplanen, Zugriffsprotokolle auf auffällige Muster zu untersuchen und Audit-Protokolle zu pflegen, die erkannte Probleme und ihre Lösung nachvollziehbar festhalten.
8. Defense-in-Depth als Sicherheitsmodell umsetzen
Dieser Ansatz beseitigt einzelne Schwachstellen, indem er umfassende Kontrollen über Anwendung, Betriebssystem, Netzwerk und Zugriffskontrolle hinweg verankert. Die einzelnen Ebenen lassen sich gezielt stärken: Netzwerksicherheit über Azure Firewall, NSGs und DDoS-Schutz, Verschlüsselung auf Datenebene, Code-Prüfung auf Anwendungsebene sowie Dienste zur Bedrohungserkennung.
9. Teams mit dem Azure Cloud Adoption Framework ausrichten
Die Secure Methodology des Azure Cloud Adoption Framework verankert Sicherheit in jeder Phase der Einführung. Dazu zählen Assessments zu Kompetenzlücken, rollenspezifische Zertifizierungen, Runbooks mit dokumentierten Szenarien für Fehlkonfigurationen sowie benannte Security Champions in jedem Team.
Herausforderungen der Azure Security
Unternehmen sollten sich auf folgende Risiken vorbereiten:
Fehlkonfigurationen lassen sich durch Posture Management und regelmäßige Audits eindämmen;
unbefugten Zugriffen begegnen IAM und JIT-Zugriff;
die Offenlegung von Daten verhindern Verschlüsselung und Netzwerksicherheit;
Insider-Bedrohungen kontrollieren IAM und Audits;
unsichere APIs lassen sich über native Kontrollen und Defense-in-Depth absichern;
Compliance-Risiken reduziert ein konsequentes Posture Management;
Advanced Persistent Threats begegnen native Kontrollen und Bedrohungserkennung;
DDoS-Angriffe wehren native Schutzmechanismen und Netzwerksicherheit ab.
Ein aufsehenerregender Vorfall aus dem Jahr 2023 zeigt, wie schnell so etwas passiert: Das KI-Team von Microsoft legte über ein zu großzügig konfiguriertes Azure-Shared-Access-Signature-Token unbemerkt 38 Terabyte an Daten offen, darunter Passwörter, geheime Schlüssel und interne Kommunikation.