Microsoft AZ-500: Hybrid- und Multi-Cloud-Sicherheit — Lernleitfaden

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- Agent-Anforderungen und -Erweiterungen
  - Der Connected Machine Agent (azcmagent) ist erforderlich; er verwendet ausgehendes TLS 1.2 auf TCP 443 und benötigt lokale Admin-/Root-Rechte für die Installation.
  - Führen Sie keine SSL-Inspektion seines Datenverkehrs durch; der Agent führt in einigen Abläufen während des Handshakes gegenseitiges TLS (mTLS) und Cert-Pinning durch.
  - Verwenden Sie Arc-Erweiterungen, um Funktionen bereitzustellen: Azure Monitor Agent (bevorzugt), Komponenten von Defender for Endpoint/Defender for Servers, Update Manager und Guest Configuration.
  - Begründung: Erweiterungen bieten Ihnen Lebenszyklusmanagement und Compliance im Azure-Stil für Nicht-Azure-Hosts ohne eingehende Ports.

- RBAC
  - Azure Connected Machine Onboarding: registriert Maschinen.
  - Azure Connected Machine Resource Administrator: verwaltet die Arc-Server-Ressource und ihre Erweiterungen.
  - Policy Contributor/Reader: steuert die Durchsetzung und Sichtbarkeit.
  - Begründung: Die Aufteilung der Aufgaben – Onboarding vs. laufende Verwaltung – reduziert den potenziellen Schaden (Blast Radius).

- Private Konnektivität
  - Verwenden Sie Private Link für Arc-fähige Server, indem Sie einen Private Link Scope und private Endpunkte für die Steuerungsebenen-Dienste von Arc erstellen und diese mit Private DNS-Zonen und lokalen DNS-Forwardern integrieren.
  - Begründung: Zwingt den Agenten, Ihren privaten Netzwerkpfad zu durchlaufen, wodurch die Abhängigkeit von öffentlichem Egress entfällt und strenge Egress-Kontrollen erfüllt werden.

Azure Arc-fähiges Kubernetes

- Cluster Connect
  - Verbinden Sie Cluster mit:

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- Richtlinie
  - Aktivieren Sie Azure Policy für Kubernetes (Gatekeeper v3) über die azurepolicy-Erweiterung; weisen Sie integrierte Initiativen zu, um privilegierte Pods, hostPath oder fehlende seccomp-Profile zu blockieren.
  - Begründung: Erzwingen Sie die Zulassungskontrolle (Admission Control) zum Zeitpunkt der Bereitstellung, um die Gefährdung zur Laufzeit zu reduzieren.

- Defender-Integration
  - Aktivieren Sie auf Arc-Clustern Defender for Containers. Dadurch werden die erforderlichen Agenten bereitgestellt, um Kube-Audit-Ereignisse zu sammeln, anomales Verhalten zu erkennen und Schwachstellenanalysen für Images und Workloads zu unterstützen.
  - Begründung: Vereinheitlichen Sie die Bedrohungserkennung und den Sicherheitsstatus mit Cloud-nativen Clustern unter einem einzigen Plan.

Azure Arc-fähiger SQL Server und hybrides Inventar

- Führen Sie das Onboarding von SQL Server-Instanzen, die auf Arc-fähigen Maschinen laufen, mit der SQL Server-Erweiterung durch; dies macht SQL als Azure-Ressource sichtbar.
- Aktivieren Sie Defender for SQL auf Maschinen für die Schwachstellenbewertung und erweiterte Bedrohungserkennung; konfigurieren Sie die automatische Bereitstellung (Auto-Provisioning) von Defender for Cloud, um die Abdeckung sicherzustellen.
- Verwenden Sie das Arc-Inventar und Azure Resource Graph, um hybride Assets abzufragen, die Kritikalität zu kennzeichnen und Richtlinien zu definieren (z. B. die Erzwingung von reinen TLS-Endpunkten und starken Cipher Suites).
- Begründung: Konsistente Governance und Sicherheitsanalysen für ältere, VM-basierte SQL-Instanzen neben PaaS-Datenbanken.
### Multicloud-Integration mit Microsoft Defender for Cloud

Multicloud-Connectors

- AWS
  - Erstellen Sie einen AWS-Connector in Defender for Cloud; stellen Sie das bereitgestellte CloudFormation-Template oder StackSet auf Organisationsebene bereit, um eine schreibgeschützte kontoübergreifende Rolle und Ereignisweiterleitung zu erstellen.
  - Aktivieren Sie optional die automatische Agenten-Bereitstellung für Defender for Servers und Containers.
  - Begründung: Das Onboarding auf Organisationsebene stellt sicher, dass neue Konten Sicherheitskontrollen ohne manuelle Schritte erben.

- Google Cloud
  - Erstellen Sie einen GCP-Connector; stellen Sie das empfohlene Terraform- oder Deployment Manager-Template auf Organisationsebene mit einem Service-Account mit den geringsten Rechten bereit.
  - Begründung: Standardisierter Zugriff mit den geringsten Rechten skaliert das Posture Management automatisch auf neue Projekte und Ordner.

Cloud Security Posture Management (CSPM)

- Fassen Sie Azure, AWS, GCP und On-Prem/Edge (über Arc) im Secure Score und im Dashboard für die Einhaltung gesetzlicher Vorschriften von Defender for Cloud zusammen.
- Weisen Sie integrierte Initiativen (CIS, NIST, PCI) auf der Ebene der Verwaltungsgruppe zu; erweitern Sie Baselines auf Betriebssystemebene über Azure Policy Guest Configuration auf Arc-Server.
- Nutzen Sie Empfehlungen, um Korrekturmaßnahmen voranzutreiben und automatische Korrekturen mit DeployIfNotExists durchzuführen, wo dies unterstützt wird (z. B. Bereitstellung des Azure Monitor Agent auf Arc-Servern).
- Begründung: Ein einheitliches Compliance-Modell über heterogene Plattformen hinweg reduziert die Komplexität von Audits und beschleunigt die Behebung von Problemen.

Bedrohungsschutz

- Aktivieren Sie relevante Defender-Pläne (Servers, Containers, SQL, Storage) über alle Clouds hinweg; konfigurieren Sie die automatische Bereitstellung und die Einstellungen für die Datensammlung zentral.
- Begründung: Eine gemeinsame Taxonomie für Warnungen und Analysen speist Ihr SIEM mit normalisierten Signalen.

### Hybride Identität und sicheres Monitoring

Hybride Identität und Sicherheit für lokales AD

- **Synchronisierungsstrategie**
  - Verwenden Sie Kennworthash-Synchronisierung für Resilienz und Pass-Through-Authentifizierung mit nahtlosem SSO, wenn lokale Kennwortrichtlinien und Anmeldebeschränkungen gelten müssen, während die Infrastruktur minimiert wird. Diese Kombination minimiert den Server-Footprint und erfüllt die Durchsetzung lokaler Richtlinien.
  - Schließen Sie Konten (z. B. mit givenName, der mit LAB beginnt) mithilfe der attributbasierten Filterung im Synchronization Rules Editor aus.
- **Überwachung von Microsoft Entra Connect**
  - Stellen Sie Azure AD Connect Health bereit, um die Synchronisierung, Domänencontroller und AD FS (falls verwendet) zu überwachen, mit Warnungen bei Latenz, Ausfällen und riskanten Konfigurationen.
- **Privilegierter Zugriff**
  - Um Privileged Identity Management (PIM) zu konfigurieren, ist die Rolle des globalen Administrators erforderlich. Beginnen Sie mit der Ermittlung privilegierter Rollen und aktivieren Sie dann Just-in-Time, Genehmigungen und Zugriffsüberprüfungen.
- **Authentifizierungserlebnis**
  - Verwenden Sie für hybrid eingebundene Windows-Geräte die in Active Directory integrierte Authentifizierung zur Azure SQL Database von SSMS aus, um Anmeldeaufforderungen zu minimieren, während Entra ID-Token verwendet werden.
- **AD-Härtung**
  - Erzwingen Sie ein gestuftes Admin-Modell, LAPS für die Rotation lokaler Administratorkennwörter, deaktivieren Sie veraltete Protokolle und überwachen Sie Kerberos/NTLM-Anomalien mit Defender for Identity.
- Begründung: Eine starke Identitätshygiene verhindert, dass der Diebstahl von Anmeldeinformationen zu einer umgebungsübergreifenden Kompromittierung wird.

Azure Monitor Agent (AMA), Datensammlungsregeln (DCR) und sichere Protokollsammlung

- Verwenden Sie Arc-Erweiterungen, um den AMA bereitzustellen; erstellen Sie DCRs, die genau definieren, welche Windows-Ereignisprotokolle und Syslog-Facilities gesammelt und an bestimmte Log Analytics-Arbeitsbereiche weitergeleitet werden sollen.
- Entkoppeln Sie Ingestion-Endpunkte über Data Collection Endpoints (DCE); beschränken Sie den ausgehenden Datenverkehr mithilfe von Azure Monitor Private Link Scope (AMPLS).
- Beispiel für ein DCR-Snippet:

- Begründung: DCRs ermöglichen Telemetrie nach dem Prinzip der geringsten Rechte (sammeln nur das Notwendige), reduzieren Kosten und vereinfachen die Änderungssteuerung im Vergleich zu Konfigurationsabweichungen auf Host-Ebene.
### Netzwerk-, DNS-, Proxy- und richtlinienbasierte Baselines

Anforderungen an private Konnektivität, DNS, Proxy und ausgehende Firewalls

- Outbound-only-Modell
- Arc-Agents, AMA, Defender und Richtlinienerweiterungen verwenden ausgehendes TLS 1.2 auf Port 443. Es sollte kein eingehendes NAT oder das Öffnen von Ports erforderlich sein.
- Private Link
- Verwenden Sie Private Link Scopes für Arc und Azure Monitor; erstellen Sie entsprechende Private DNS Zones und bedingte Weiterleitungen (Conditional Forwarders), damit hybride Maschinen die FQDNs der Dienste zu privaten IPs auflösen.
- Proxys
- Wenn Sie einen Forward-Proxy verwenden, setzen Sie die FQDNs der Azure-Steuerungsebene (Control-Plane) und der Datenerfassung (Ingestion) auf die Allowlist und umgehen Sie die SSL-Inspektion für Arc/Monitor-Endpunkte.
- Konfigurieren Sie dies auf einem Server mit: