Azure Cloud Security
Ihre Azure-Umgebung sicher aufgebaut und für jede Prüfung dokumentiert.
Neue Projekte starten auf einer Azure-Umgebung, deren Sicherheitsregeln bereits gelten und belegbar sind. Wir bauen die Landing Zone mit Azure Policy, Defender for Cloud, Netztrennung, PIM und Sentinel und übergeben sie dokumentiert als Code.
Beispiel einer übergebenen Landing Zone: Management-Gruppen, Netz und Private Endpoints liegen als Code vor, Azure Policy ist durchgesetzt, Admin-Rollen gibt es über PIM nur auf Antrag, die Protokolle sind an Sentinel angebunden, Defender for Cloud ist aktiv.
- Für wen
- Unternehmen ab 50 Mitarbeitenden mit Workloads in Azure
- Umfang
- Landing Zone, Azure Policy, RBAC mit PIM, Defender for Cloud, Sentinel
- Dauer
- Assessment in 2 bis 4 Wochen
- Ergebnis
- Bewertung gegen den Microsoft Cloud Security Benchmark, Landing Zone als Code
- Preis
- ab 6.900 € netto, Festpreis für das Assessment
Kennen Sie das?
Wann braucht Azure eine neue Grundlage?
Azure ist organisch gewachsen
Produktion, Entwicklung und Verwaltung sind nicht sauber getrennt.
Ein Audit steht an
NIS2, DORA oder ISO 27001 verlangen Belege für Rechte, Netztrennung und Protokolle.
Neue Workloads oder Migration
Die Sicherheitsgrundlage soll von Anfang an stimmen.
Landing Zone als Code
Wie entsteht eine sichere Azure-Umgebung?
Schicht für Schicht, jede als Code in Ihrem Repository. Azure Policy legt sich als Leitplanke um alles. Terraform oder Bicep, der Aufbau bleibt gleich.
Azure Policy gilt für alles darin
- management-groups.tfmanagement-groups.bicep
1 Management-Gruppen
Plattform und Workloads getrennt, Produktion und Entwicklung in eigenen Subscriptions.
- identity.tfidentity.bicep
2 Identität und Rechte
Azure RBAC mit minimalen Rechten, Admin-Rollen nur auf Antrag über PIM.
- network.tfnetwork.bicep
3 Netzwerk
Hub mit Azure Firewall, NSGs, PaaS-Dienste nur über Private Endpoints.
- policy.tfpolicy.bicep
4 Azure Policy
Leitplanken je Management-Gruppe, unsichere Bereitstellungen werden abgelehnt.
- logging.tflogging.bicep
5 Protokolle und Überwachung
Log Analytics, Microsoft Sentinel und Defender for Cloud.
-
Fundament für Ihre Workloads
Neue Projekte starten mit Regeln, die schon gelten.
Was wir in Azure absichern
Landing Zone
Struktur nach Cloud Adoption Framework, per Terraform oder Bicep.
Azure Policy
Leitplanken je Management-Gruppe, als Code ausgerollt; Azure Blueprints endet am 31. Januar 2027.
Defender for Cloud
Schutzpläne aktiv, Empfehlungen nach Risiko priorisiert.
Netzwerksegmentierung
Azure Firewall, NSGs und Private Endpoints.
RBAC und PIM
Minimale Rechte, Admin-Rollen nur auf Antrag.
Protokolle und Sentinel
Zentral in Log Analytics und Sentinel.
Azure Policy
Was passiert mit einer unsicheren Bereitstellung?
Azure Policy prüft jede Bereitstellung, bevor eine Ressource entsteht. Was gegen die Vorgaben verstößt, wird abgelehnt, ob aus dem Portal oder aus der Pipeline.
- Vorgaben je Management-Gruppe, als Code gepflegt
- Defender for Cloud meldet bestehende Fälle
- Speicher mit Private Endpoint Konform, wird bereitgestellt
- Speicher, öffentlich erreichbar Abgelehnt, bevor er entsteht Azure Policy
- VM in nicht erlaubter Region Abgelehnt, Region nicht freigegeben Azure Policy
Wie läuft das Projekt ab?
-
2 bis 4 Wochen
Assessment
Bewertung gegen den Microsoft Cloud Security Benchmark.
-
6 bis 12 Wochen
Fundament legen
Landing Zone, Policy, RBAC mit PIM, Protokolle.
-
2 bis 4 Monate
Härten und segmentieren
Private Endpoints, Baselines, Defender for Cloud.
-
2 bis 4 Wochen, danach laufend
Überwachen und übergeben
Sentinel anbinden, an Ihr Team übergeben.
Wo fangen Sie in Azure am besten an?
Wir klären, womit Sie anfangen sollten.
Was ändert sich in Ihrer Azure-Umgebung?
Organisch gewachsen
- Rechte dauerhaft auf Subscription-Ebene
- Speicher aus dem Internet erreichbar
- Bereitstellung ohne Prüfung möglich
- Im Ernstfall fehlen Protokolle
Mit Landing Zone
- Minimale Rechte, Admin-Rollen nur auf Antrag
- PaaS-Dienste nur über Private Endpoints
- Azure Policy lehnt unsichere Ressourcen ab
- Protokolle zentral in Microsoft Sentinel
Häufig gestellte Fragen
Was ist eine Azure Landing Zone und warum brauchen wir eine?
Das vorkonfigurierte Fundament aus Management-Gruppen, Subscriptions, Netzwerk, Rechten, Protokollierung und Richtlinien. Ohne sie wird Sicherheit pro Projekt neu entschieden, und Korrekturen an laufenden Workloads sind aufwendig.
Wir haben Defender for Cloud bereits aktiviert. Reicht das?
Defender for Cloud zeigt Fehlkonfigurationen und bewertet den Secure Score. Ohne Segmentierung, Rechtekonzept und durchgesetzte Richtlinien bleiben die Befunde aber eine Liste, die niemand abarbeitet.
Wie verhindere ich öffentlich erreichbare Speicher und Datenbanken in Azure?
Azure Policy lehnt Ressourcen mit öffentlichem Netzwerkzugriff ab, bevor sie entstehen. Private Endpoints binden sie über private Adressen an, Defender for Cloud meldet bestehende Fälle.
Wie werden Azure-Protokolle in Microsoft Sentinel ausgewertet?
Protokolle und Defender-Warnungen laufen über Datenconnectors in einen Log Analytics Workspace, Analyseregeln erzeugen daraus Vorfälle. Vorher wird festgelegt, was wie lange aufbewahrt wird, weil davon Aussagekraft und Kosten abhängen.