Freigeben über

Azure Local and ISO/IEC 27001:2022

  • Artikel

Gilt für: Azure Local, Version 23H2

In diesem Artikel wird beschrieben, wie Azure Local Organisationen dabei hilft, die Sicherheitskontrollanforderungen von ISO/IEC 27001:2022 sowohl in der Cloud als auch lokal zu erfüllen. Erfahren Sie mehr über Azure Local und andere Sicherheitsstandards in Azure Local und Sicherheitsstandards.

ISO/IEC 27001:2022

ISO/IEC 27001 ist ein globaler Sicherheitsstandard, der Anforderungen für die Einrichtung, Implementierung, Betrieb, Überwachung, Wartung und Verbesserung eines Information Security Management Systems (ISMS) angibt. Die Zertifizierung nach ISO/IEC 27001:2022 hilft Organisationen dabei, ihren Sicherheitsstatus zu verbessern, Vertrauen mit ihren Kunden aufzubauen und verschiedene rechtliche und behördliche Verpflichtungen zu erfüllen, die informationssicherheit umfassen, z. B. PCI DSS, HIPAA, HITRUST und FedRAMP. Erfahren Sie mehr über den Standard bei ISO/IEC 27001.

Azure Lokal

Azure Local ist eine Hybridlösung, die eine nahtlose Integration zwischen der lokalen Infrastruktur von Organisationen und Azure-Clouddiensten bietet, die dazu beiträgt, virtualisierte Workloads und Container zu konsolidieren und Cloudeffizienz zu erzielen, wenn Daten aus rechtlichen oder datenschutzrechtlichen Gründen lokal bleiben müssen. Organisationen, die eine ISO/IEC 27001:2022-Zertifizierung für ihre Lösungen wünschen, sollten sowohl ihre Cloud- als auch lokale Umgebungen berücksichtigen.

Verbundene Clouddienste

Azure Local bietet umfassende Integration in mehrere Azure-Dienste wie Azure Monitor, Azure Backup und Azure Site Recovery, um neue Funktionen für die Hybridumgebung bereitzustellen. Diese Clouddienste unterliegen regelmäßigen unabhängigen Audits von Drittanbietern für iso/IEC 27001:2022 Compliance. Sie können das Azure ISO/IEC 27001:2022-Zertifikat und den Auditbericht unter den Azure-Complianceangeboten – ISO/IEC 27001:2022 – überprüfen.

Wichtig

Der Azure-Compliancestatus erteilt keine ISO/IEC 27001-Akkreditierung für die Dienste, die eine Organisation auf der Azure-Plattform erstellt oder hostt. Organisationen sind dafür verantwortlich, die Einhaltung ihrer Vorgänge mit ISO/IEC 27001:2022-Anforderungen sicherzustellen.

Lokale Lösungen

Lokal bietet Azure Local eine Reihe von Features, mit denen Organisationen die Sicherheitsanforderungen von ISO/IEC 27001:2022 erfüllen können. In den folgenden Abschnitten finden Sie weitere Informationen.

Lokale Azure-Funktionen, die für ISO/IEC 27001:2022 relevant sind

In diesem Abschnitt wird beschrieben, wie Organisationen Azure Local-Funktionen verwenden können, um die Sicherheitskontrollen in Anhang A von ISO/IEC 27001:2022 zu erfüllen. Die folgenden Informationen beziehen sich nur auf technische Anforderungen. Anforderungen im Zusammenhang mit Sicherheitsvorgängen liegen außerhalb des Gültigkeitsbereichs, da Azure Local sie nicht beeinflussen kann. Die Leitlinien werden von den neun Bereichen des Anhangs A organisiert:

Die Anleitung in diesem Artikel beschreibt, wie Azure Local-Funktionen verwendet werden können, um die Anforderungen jeder Domäne zu erfüllen. Es ist wichtig zu beachten, dass nicht alle Steuerelemente obligatorisch sind. Organisationen sollten ihre Umgebung analysieren und risikobewertungen durchführen, um zu bestimmen, welche Kontrollen erforderlich sind. Weitere Informationen zu den Anforderungen finden Sie unter ISO/IEC 27001.

Netzwerksicherheit

Die in diesem Abschnitt beschriebene Netzwerksicherheitsfunktionalität kann Sie bei der Erfüllung der folgenden Sicherheitskontrollen unterstützen, die im ISO/IEC 27001-Standard angegeben sind.

  • 8.20 – Netzwerksicherheit
  • 8.21 – Sicherheit der Netzwerkdienste
  • 8.22 – Trennung von Netzwerken
  • 8.23 – Webfilterung

Mit Azure Local können Sie Netzwerksicherheitskontrollen anwenden, um Ihre Plattform und die darin ausgeführten Workloads vor Netzwerkbedrohungen außerhalb und innerhalb zu schützen. Azure Local garantiert außerdem eine faire Netzwerkzuordnung auf einem Host und verbessert die Workloadleistung und Verfügbarkeit mit Lastenausgleichsfunktionen. Weitere Informationen zur Netzwerksicherheit in Azure Local finden Sie in den folgenden Artikeln.

Identitäts- und Zugriffsverwaltung

Die in diesem Abschnitt beschriebenen Identitäts- und Zugriffsverwaltungsfunktionen unterstützen Sie bei der Erfüllung der folgenden Sicherheitskontrollen, die im ISO/IEC 27001-Standard angegeben sind.

  • 8.2 – Rechte für privilegierten Zugriff
  • 8.3 – Einschränkungen des Informationszugriffs
  • 8.5 – Sichere Authentifizierung

Azure Local bietet vollständigen und direkten Zugriff auf das zugrunde liegende System, das auf Computern über mehrere Schnittstellen wie Azure Arc und Windows PowerShell ausgeführt wird. Sie können entweder herkömmliche Windows-Tools in lokalen Umgebungen oder cloudbasierte Lösungen wie Microsoft Entra ID (früher Azure Active Directory) verwenden, um Identität und Zugriff auf die Plattform zu verwalten. In beiden Fällen können Sie integrierte Sicherheitsfeatures nutzen, z. B. mehrstufige Authentifizierung (MFA), bedingter Zugriff, rollenbasierte Zugriffssteuerung (RBAC) und Privileged Identity Management (PIM), um sicherzustellen, dass Ihre Umgebung sicher und kompatibel ist.

Erfahren Sie mehr über die lokale Identitäts- und Zugriffsverwaltung bei Microsoft Identity Manager und Privileged Access Management für Active Directory-Domäne Services. Erfahren Sie mehr über cloudbasierte Identitäts- und Zugriffsverwaltung bei Microsoft Entra ID.

Datenschutz

Die in diesem Abschnitt beschriebenen Datenschutzfunktionen können Sie bei der Erfüllung der folgenden Sicherheitskontrollen unterstützen, die im ISO/IEC 27001-Standard angegeben sind.

  • 8.5 – Sichere Authentifizierung
  • 8.20 – Netzwerksicherheit
  • 8.21 - Sicherheit der Netzwerkdienste
  • 8.24 – Verwendung von Kryptografie

Verschlüsseln von Daten mit BitLocker

Auf lokalen Azure-Instanzen können alle ruhenden Daten über bitLocker XTS-AES 256-Bit-Verschlüsselung verschlüsselt werden. Standardmäßig wird vom System empfohlen, BitLocker zu aktivieren, um alle Betriebssystemvolumes (OS) und freigegebene Clustervolumes (CSV) in Ihrer lokalen Azure-Bereitstellung zu verschlüsseln. Für alle neuen Speichervolumes, die nach der Bereitstellung hinzugefügt wurden, müssen Sie BitLocker manuell aktivieren, um das neue Speichervolume zu verschlüsseln. Die Verwendung von BitLocker zum Schutz von Daten kann Organisationen dabei helfen, mit ISO/IEC 27001 konform zu bleiben. Weitere Informationen finden Sie unter "Verwenden von BitLocker mit freigegebenen Clustervolumes (CSV)".

Schützen des externen Netzwerkdatenverkehrs mit TLS/DTLS

Standardmäßig werden alle Hostkommunikationen an lokale und Remoteendpunkte mit TLS1.2, TLS1.3 und DTLS 1.2 verschlüsselt. Die Plattform deaktiviert die Verwendung älterer Protokolle/Hashes wie TLS/DTLS 1.1 SMB1. Azure Local unterstützt auch starke Verschlüsselungssammlungen wie SDL-kompatible elliptische Kurven, die nur auf NIST-Kurven P-256 und P-384 beschränkt sind.

Schützen des internen Netzwerkdatenverkehrs mit SMB (Server Message Block)

Die SMB-Signatur ist standardmäßig für Clientverbindungen in lokalen Azure-Instanzen aktiviert. Bei intraclusterbasiertem Datenverkehr ist die SMB-Verschlüsselung eine Option, die Organisationen während oder nach der Bereitstellung aktivieren können, um Daten während der Übertragung zwischen Systemen zu schützen. AES-256-GCM- und AES-256-CCM-Kryptografiesammlungen werden jetzt vom SMB 3.1.1-Protokoll unterstützt, das vom Clientserverdateidatenverkehr und der Datenstruktur innerhalb des Clusters verwendet wird. Das Protokoll unterstützt weiterhin die umfassendere AES-128-Suite. Weitere Informationen finden Sie unter SMB-Sicherheitsverbesserungen.

Logging

Die in diesem Abschnitt beschriebene Protokollierungsfunktionalität kann Sie bei der Erfüllung der folgenden Sicherheitskontrollen unterstützen, die im ISO/IEC 27001-Standard angegeben sind.

  • 8.15 – Protokollierung
  • 8.17 – Uhr-Synchronisierung

Lokale Systemprotokolle

Standardmäßig werden alle Vorgänge, die innerhalb der lokalen Azure-Instanz ausgeführt werden, aufgezeichnet, sodass Sie nachverfolgen können, wer was getan hat, wann und wo auf der Plattform. Protokolle und Warnungen, die von Windows Defender erstellt wurden, sind ebenfalls enthalten, um Die Wahrscheinlichkeit und Auswirkungen einer Datenkompromittierung zu verhindern, zu erkennen und zu minimieren. Da das Systemprotokoll jedoch häufig eine große Menge an Informationen enthält, von denen ein Großteil der Informationssicherheitsüberwachung überflüssig ist, müssen Sie ermitteln, welche Ereignisse für die Erfassung und Verwendung für Sicherheitsüberwachungszwecke relevant sind. Azure-Überwachungsfunktionen helfen beim Sammeln, Speichern, Warnen und Analysieren dieser Protokolle. Verweisen Sie auf die Sicherheitsbasislinie für Azure Local , um mehr zu erfahren.

Lokale Aktivitätsprotokolle

Azure Local Lifecycle Manager erstellt und speichert Aktivitätsprotokolle für jeden ausgeführten Aktionsplan. Diese Protokolle unterstützen eine tiefere Untersuchung und Überwachung.

Cloudaktivitätsprotokolle

Indem Sie Ihre Systeme bei Azure registrieren, können Sie Mithilfe von Azure Monitor-Aktivitätsprotokollen Vorgänge auf jeder Ressource auf der Abonnementebene aufzeichnen, um zu bestimmen, was, wer und wann für schreibvorgänge (put, post oder delete), die für die Ressourcen in Ihrem Abonnement übernommen wurden.

Cloudidentitätsprotokolle

Wenn Sie Microsoft Entra-ID zum Verwalten von Identität und Zugriff auf die Plattform verwenden, können Sie Protokolle in der Azure AD-Berichterstellung anzeigen oder in Azure Monitor, Microsoft Sentinel oder andere SIEM/Monitoring-Tools für komplexe Überwachungs- und Analyseanwendungsfälle integrieren. Wenn Sie lokales Active Directory verwenden, verwenden Sie die Microsoft Defender for Identity-Lösung, um Ihre lokales Active Directory Signale zu nutzen, um erweiterte Bedrohungen, kompromittierte Identitäten und bösartige Insideraktionen zu identifizieren, zu erkennen und zu untersuchen, die an Ihre Organisation gerichtet sind.

SIEM-Integration

Microsoft Defender für Cloud und Microsoft Sentinel sind nativ in Arc-fähige Azure Local-Computer integriert. Sie können Ihre Protokolle in Microsoft Sentinel aktivieren und integrieren, das sicherheitsrelevante Informationsereignisverwaltung (SECURITY Information Event Management, SIEM) und automatisierte Reaktionsfunktionen (Security Orchestration Automated Response, SOAR) bereitstellt. Microsoft Sentinel, wie andere Azure-Clouddienste, erfüllt auch viele bewährte Sicherheitsstandards wie ISO/IEC 27001, die Ihnen bei Ihrem Zertifizierungsprozess helfen können. Darüber hinaus stellt Azure Local eine systemeigene Syslog-Ereignisweiterleitung bereit, um die Systemereignisse an SIEM-Lösungen von Drittanbietern zu senden.

Überwachung

Die in diesem Abschnitt beschriebene Überwachungsfunktionalität kann Sie bei der Erfüllung der folgenden Sicherheitskontrollen unterstützen, die im ISO/IEC 27001-Standard angegeben sind.

  • 8.15 – Protokollierung

Insights für Azure Local

Insights für Azure Local ermöglicht es Ihnen, Integritäts-, Leistungs- und Nutzungsinformationen für Systeme zu überwachen, die mit Azure verbunden sind und bei der Überwachung registriert sind. Während der Insights-Konfiguration wird eine Datensammlungsregel erstellt, die die zu erfassenden Daten angibt. Diese Daten werden in einem Log Analytics-Arbeitsbereich gespeichert, der dann aggregiert, gefiltert und analysiert wird, um vordefinierte Überwachungsdashboards mithilfe von Azure-Arbeitsmappen bereitzustellen. Sie können die Überwachungsdaten sowohl für einzelne Knoten- als auch für Mehrere-Knoten-Systeme von Ihrer Azure Local-Ressourcenseite oder azure Monitor anzeigen. Weitere Informationen finden Sie unter Monitor Azure Local with Insights.

Metriken für Azure Local

Metriken für Azure Local speichert numerische Daten aus überwachten Ressourcen in einer Zeitreihendatenbank. Sie können den Azure Monitor-Metrik-Explorer verwenden, um die Daten in Ihrer Metrikdatenbank interaktiv zu analysieren und die Werte mehrerer Metriken im Laufe der Zeit zu diagrammen. Mit Metriken können Sie Diagramme aus Metrikwerten erstellen und Trends visuell korrelieren.

Protokollwarnungen

Um Probleme in Echtzeit anzuzeigen, richten Sie Warnungen für Azure Local ein, indem Sie bereits vorhandene Beispielprotokollabfragen wie die durchschnittliche Server-CPU, verfügbaren Arbeitsspeicher, verfügbare Volumenkapazität und vieles mehr verwenden. Weitere Informationen finden Sie unter Einrichten von Warnungen für lokale Azure-Systeme.

Metrikwarnungen

Eine Metrikwarnungsregel überwacht eine Ressource, indem Die Bedingungen für die Ressourcenmetriken in regelmäßigen Abständen ausgewertet werden. Wenn die Bedingungen erfüllt sind, wird eine Warnung ausgelöst. Bei einer Metrikzeitreihe handelt es sich um eine Reihe von Metrikwerten, die über einen Zeitraum erfasst werden. Sie können diese Metriken verwenden, um Warnungsregeln zu erstellen. Erfahren Sie mehr über das Erstellen von metrischen Warnungen bei metrischen Warnungen.

Dienst- und Gerätewarnungen

Azure Local bietet dienstbasierte Warnungen für Konnektivität, Betriebssystemupdates, Azure-Konfiguration und vieles mehr. Gerätebasierte Warnungen für Clusterintegritätsfehler sind ebenfalls verfügbar. Sie können auch Azure Local Instances und deren zugrunde liegende Komponenten mithilfe von PowerShell oder Integritätsdienst überwachen.

Sichere Konfiguration

Die in diesem Abschnitt beschriebene sichere Konfigurationsfunktionalität kann Ihnen dabei helfen, die folgenden Sicherheitskontrollanforderungen von ISO/IEC 27001 zu erfüllen.

  • 8.8 – Verwaltung technischer Schwachstellen
  • 8.9 – Konfigurationsverwaltung

Standardmäßig sicher

Azure Local ist standardmäßig sicher mit Sicherheitstools und -technologien konfiguriert, die sich gegen moderne Bedrohungen schützen und den Azure Compute Security-Basiswerten entsprechen. Weitere Informationen finden Sie unter Verwalten von Sicherheitsstandardeinstellungen für Azure Local.

Driftschutz

Die Standardsicherheitskonfiguration und die sicheren Kerneinstellungen der Plattform werden sowohl während der Bereitstellung als auch zur Laufzeit mit Drift Control-Schutz geschützt. Wenn diese Option aktiviert ist, aktualisiert der Drift Control-Schutz die Sicherheitseinstellungen regelmäßig alle 90 Minuten, um sicherzustellen, dass alle Änderungen aus dem angegebenen Zustand behoben werden. Diese kontinuierliche Überwachung und Autoremediation ermöglicht es Ihnen, eine konsistente und zuverlässige Sicherheitskonfiguration während des gesamten Lebenszyklus des Geräts zu haben. Sie können den Driftschutz während der Bereitstellung deaktivieren, wenn Sie die Sicherheitseinstellungen konfigurieren.

Sicherheitsbasisplan für Arbeitsauslastung

Für Workloads, die auf Azure Local ausgeführt werden, können Sie den empfohlenen Basisplan des Azure-Betriebssystems (sowohl für Windows als auch Linux) als Benchmark verwenden, um Ihre Basisplan für die Berechnungsressourcenkonfiguration zu definieren.

Plattformupdate

Alle Komponenten von Azure Local, einschließlich Betriebssystem, Kern-Agents und -Diensten und der Lösungserweiterung, können mit dem Lifecycle Manager problemlos verwaltet werden. Mit diesem Feature können Sie verschiedene Komponenten in einer Updateversion bündeln und die Kombination von Versionen überprüfen, um die Interoperabilität sicherzustellen. Weitere Informationen finden Sie unter Lifecycle Manager für lokale Azure-Lösungsupdates.

Kundenarbeitslasten werden von dieser Updatelösung nicht abgedeckt.

Bedrohungsschutz

Die Funktionalität zum Schutz vor Bedrohungen in diesem Abschnitt kann Ihnen dabei helfen, die folgenden Sicherheitskontrollanforderungen von ISO/IEC 27001 zu erfüllen.

  • 8.7 – Schutz vor Schadsoftware

Windows Defender Antivirus

Windows Defender Antivirus ist eine Hilfsanwendung, die die Möglichkeit bietet, das Scannen von Echtzeitsystemen und regelmäßige Überprüfungen zu erzwingen, um Plattform und Workloads vor Viren, Schadsoftware, Spyware und anderen Bedrohungen zu schützen. Microsoft Defender Antivirus ist standardmäßig in Azure Local aktiviert. Microsoft empfiehlt die Verwendung von Microsoft Defender Antivirus mit Azure Local anstelle von Antiviren- und Schadsoftwareerkennungssoftware und -diensten von Drittanbietern, da sie sich auf die Fähigkeit des Betriebssystems zum Empfangen von Updates auswirken können. Weitere Informationen finden Sie unter Microsoft Defender Antivirus auf Windows Server.

Windows Defender-Anwendungssteuerung (WDAC)

Windows Defender Application Control (WDAC) ist standardmäßig in Azure Local aktiviert, um zu steuern, welche Treiber und Anwendungen direkt auf jedem Computer ausgeführt werden dürfen, wodurch verhindert wird, dass Schadsoftware auf die Systeme zugreift. Erfahren Sie mehr über die Basisrichtlinien, die in Azure Local enthalten sind, und erfahren Sie, wie Sie zusätzliche Richtlinien unter Windows Defender Application Control für Azure Local erstellen.

Microsoft Defender für Cloud

Microsoft Defender für Cloud mit Endpoint Protection (aktiviert über den Defender for Servers-Plan) bietet eine Sicherheitsverwaltungslösung mit erweiterten Bedrohungsschutzfunktionen. Es bietet Ihnen Tools, um den Sicherheitsstatus Ihrer Infrastruktur zu bewerten, Workloads zu schützen, Sicherheitswarnungen auszuheben und bestimmte Empfehlungen zur Behebung von Angriffen zu befolgen und zukünftige Bedrohungen zu beheben. Sie führt alle diese Dienste mit hoher Geschwindigkeit in der Cloud ohne Bereitstellungsaufwand durch automatische Bereitstellung und Schutz mit Azure-Diensten aus. Weitere Informationen finden Sie unter Microsoft Defender für Cloud.

Sicherung und Wiederherstellung

Die in diesem Abschnitt beschriebene Sicherungs- und Wiederherstellungsfunktionalität kann Ihnen dabei helfen, die folgenden Sicherheitskontrollanforderungen von ISO/IEC 27001 zu erfüllen.

  • 8.7 – Schutz vor Schadsoftware
  • 8.13 – Informationssicherung
  • 8.14 – Redundanz von Informationen

Stretched Cluster

Azure Local bietet integrierte Unterstützung für die Notfallwiederherstellung virtualisierter Workloads durch gestreckte Clustering. Durch die Bereitstellung einer gestreckten lokalen Azure-Instanz können Sie ihre virtualisierten Workloads synchron über zwei separate lokale Speicherorte replizieren und automatisch failovern. Geplante Site-Failover können ohne Ausfallzeiten mithilfe der Hyper-V-Livemigration erfolgen.

Kubernetes-Clusterknoten

Wenn Sie Azure Local verwenden, um containerbasierte Bereitstellungen zu hosten, hilft Ihnen die Plattform, die Flexibilität und Resilienz zu verbessern, die Azure Kubernetes-Bereitstellungen inhärent. Azure Local verwaltet das automatische Failover von VMs, die als Kubernetes-Clusterknoten dienen, wenn ein lokalisierter Fehler der zugrunde liegenden physischen Komponenten auftritt. Diese Konfiguration ergänzt die integrierte Hochverfügbarkeit von Kubernetes, durch die ausgefallene Container automatisch auf derselben oder einer anderen VM neu gestartet werden.

Azure Site Recovery

Mit diesem Dienst können Sie Workloads replizieren, die auf Ihren lokalen virtuellen Azure-Computern ausgeführt werden, in die Cloud, sodass Ihr Informationssystem wiederhergestellt werden kann, wenn ein Vorfall, ein Fehler oder ein Speichermedium verloren geht. Wie andere Azure-Clouddienste verfügt Azure Site Recovery über einen langen Überblick über Sicherheitszertifikate, einschließlich HITRUST, mit denen Sie Ihren Akkreditierungsprozess unterstützen können. Weitere Informationen finden Sie unter Schützen von VM-Workloads mit Azure Site Recovery auf Azure Local.

Microsoft Azure Backup Server (MABS)

Mit diesem Dienst können Sie virtuelle Azure Local-Computer sichern und einen gewünschten Zeitraum für Häufigkeit und Aufbewahrung angeben. Sie können MABS verwenden, um die meisten Ihrer Ressourcen in der gesamten Umgebung zu sichern, einschließlich:

  • Systemstatus/Bare-Metal-Wiederherstellung (BMR) des lokalen Azure-Hosts
  • Gast-VMs in einem System mit lokalem oder direkt angefügtem Speicher
  • Gast-VMs auf lokalen Azure-Instanzen mit CSV-Speicher
  • VM-Verschiebung innerhalb eines Clusters

Weitere Informationen finden Sie unter Sichern lokaler virtueller Azure-Computer mit Azure Backup Server.

Skalierbarkeit und Verfügbarkeit

Die in diesem Abschnitt beschriebene Skalierbarkeits- und Verfügbarkeitsfunktionalität kann Ihnen dabei helfen, die folgenden Sicherheitskontrollanforderungen von ISO/IEC 27001 zu erfüllen.

  • 8.6 – Kapazitätsmanagement
  • 8.14 – Redundanz von Informationen

Hyperkonvergierte Modelle

Azure Local verwendet hyperkonvergierte Modelle von Speicherplätze Direct zum Bereitstellen von Workloads. Mit diesem Bereitstellungsmodell können Sie einfach skalieren, indem Sie neue Knoten hinzufügen, die automatisch Compute und Speicher gleichzeitig mit null Ausfallzeiten erweitern.

Failovercluster

Lokale Azure-Instanzen sind Failovercluster. Wenn ein Server, der Teil von Azure Local ist, fehlschlägt oder nicht verfügbar wird, übernimmt ein anderer Server im selben Failovercluster die Aufgabe, die vom fehlgeschlagenen Knoten angebotenen Dienste bereitzustellen. Sie erstellen einen Failovercluster, indem Sie Speicherplätze direkt auf mehreren Computern aktivieren, auf denen Azure Local ausgeführt wird.