Freigeben über

„Secure“ für die Cloudeinführung in der Verteidigung

  • Artikel

Die Secure-Methodik ist ein wichtiger Schritt in der Missionsdomäne der Cloudeinführung.

Abbildung, die einen Domänentracker zeigt. Hier ist die Befehls-, Plattform- und Missionsdomäne zu sehen. „Mission“ ist hervorgehoben, um zu zeigen, dass wir uns in der Missionsdomäne der Cloudeinführung befinden.Abbildung 1: Domänentracker – Missionsdomäne

Sicherheit bezieht sich auf die Dreiergruppe der Cybersicherheit, die sich aus Vertraulichkeit, Integrität und Verfügbarkeit zusammensetzt. Auch wenn die Sicherheit in die Missionsdomäne fällt, ist sie in jeder Phase der Cloudeinführung ein wichtiger Aspekt. Sicherheit ist ohne eine richtige Strategie und einen richtigen Plan nicht möglich. Zielzonen und Governance scheitern ohne angemessene Sicherheitsmaßnahmen. Modernisierungen schwächen den Sicherheitsstatus, wenn die Sicherheit nicht in die Entwicklungs- und Betriebsprozesse integriert ist.

Sicherheit ist ebenso wichtig für Workloads. Workloads erben Sicherheitskontrollen von der Plattform, müssen über der Plattformebene aber weiterhin Sicherheitskontrollen anwenden. Nachfolgend finden Sie einige Sicherheitsempfehlungen, die beim Erstellen und Verwalten von Verteidigungsworkloads zu berücksichtigen sind.

Implementieren von Zero Trust

Zero Trust ist eine Sicherheitsmethodik, kein Produkt. Implementierungen von Zero Trust unterscheiden sich, aber die Gemeinsamkeit ist ein Versuch, Vertrauen zu beseitigen.

Drei Hauptprinzipien von Zero Trust adressiert sind (1) überprüfungen jede Sitzung explizit, (2) erzwingen die geringsten Berechtigungen für jede Identität und (3) Überwachung, Suche und Sicherheit kontinuierlich. Untersuchen wir diese Prinzipien etwas näher.

Jede Sitzung explizit überprüfen: Die Überprüfung bezieht sich auf Authentifizierung und Autorisierung. Sie müssen jedes Gerät unabhängig vom Standort authentifizieren und autorisieren. Die Multi-Faktor-Authentifizierung ist ein allgemeiner Schutzstandard, bei dem die Verwendung eines Sicherheitstokens den Authentifizierungsprozess ergänzt.

Es wird empfohlen, ein attributbasiertes Zugriffssteuerungssystem (ABAC) zu verwenden. ABAC baut auf der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) auf. Geräte müssen bei ABAC zusätzliche Bedingungen erfüllen, bevor sie Zugriff auf eine Ressource erhalten. Sicherheitsexperten konfigurieren die Bedingungen, um den Zugriff einzuschränken und die Anzahl der zu verwaltenden Rollenzuweisungen zu minimieren. Microsoft Entra ID bietet native ABAC-Funktionen, sodass Cloudidentitäten nur auf autorisierte Informationen zugreifen. Weitere Informationen finden Sie unter Attributbasierte Zugriffssteuerung.

Geringste Rechte für jede Identität erzwingen: Das Konzept des Zugriffs mit den geringsten Rechten ist in Verteidigungsumgebungen gut bekannt. Es ist auf Makroebene im obligatorischen Zugriffssteuerungssystem sichtbar, das viele Verteidigungsorganisationen verwenden. Daten erhalten basierend auf ihrer Vertraulichkeit (vertraulich, geheim, streng geheim) Klassifizierungsbezeichnungen, und Einzelpersonen erhalten Zugriff auf Daten, die zum Ausführen einer Aufgabe erforderlich sind. Nach Abschluss der Aufgabe ist der Zugriff nicht mehr möglich. Wenn auf vertrauliche Daten zugegriffen wird, obwohl es nicht erforderlich ist, liegt eine Verletzung des Modells der geringsten Rechte vor.

RBAC und ABAC sind die Kernfeatures bei der Erzwingung der geringsten Rechte. Personen übernehmen andere Rollen und die Architektur ändert sich. Daher ist es wichtig, den Zugriff regelmäßig zu überprüfen, um Privilege Creep zu vermeiden. Mit RBAC und ABAC können Teams ein differenziertes Zugriffssteuerungssystem erstellen, das die Anforderungen einer Umgebung erfüllt, bei der sich die Zugriffsanforderungen im Laufe der Zeit ändern.

Azure vereinfacht Zugriffsüberprüfungen mit RBAC und ABAC, und automatisiert Aspekte der Zugriffssteuerung. Richtlinien für bedingten Zugriff können an Rollen, Abteilungen, Projekte und Standorte von Verteidigungspersonal gebunden werden. Wenn Personen andere Rollen übernehmen oder ihren Standort ändern, ändert sich ihr Zugriff auf Ressourcen, sobald die Änderung in ihrer Identität aktualisiert wurde. Sicherheitsteams können jederzeit manuelle Überprüfungen jeder Ressource in Azure durchführen. Mit Azure können Benutzer Ressourcen aus mehreren Ebenen anzeigen, sodass die manuelle Überprüfung vereinfacht wird.

Die Gewährung von erhöhten Rechten für einen definierten Zeitraum ist eine bewährte Sicherheitsmethode. Microsoft Entra ID vereinfacht die Nutzung erhöhter Rechte mit Privileged Identity Management (PIM). Bei PIM werden erhöhte Rechte gewährt, wenn sie von einem legitimen Benutzer angefordert werden, jedoch nur für einen definierten Zeitraum. Dieser Prozess stellt den Just-in-Time-Zugriff dar und reduziert die Anzahl inaktiver Konten, die über privilegierten Zugriff verfügen. Weitere Informationen finden Sie unter

Kontinuierliches Überwachen, Überprüfen und Verbessern – Sicherheit sollte nicht statisch sein. Die Bedrohungslandschaft ändert sich ständig, und Sicherheitslösungen müssen sich mit ihr verändern. Sicherheitsteams in der Verteidigung sollten Cloudumgebungen überwachen, überprüfen und verbessern, um Risiken zu minimieren. Verteidigungsorganisationen benötigen häufig Sicherheitstools, die durch cloudnative Tools für eine umfassende Sicherheitserkennung und -analyse ergänzt werden können. Es wird empfohlen, Microsoft Defender for Cloud als grundlegendes Cloud Security Posture Management-Tool zu verwenden, das den Sicherheitsstatus der Umgebung kontinuierlich bewertet. Weitere Informationen finden Sie unter Was ist Microsoft Defender for Cloud?.

Im Folgenden finden Sie einige Tools, die Verteidigungsbereitstellungen einen Mehrwert bieten können:

  • Threat Intelligence: Cloudumgebungen sollten über einen persistenten Threat Intelligence-Feed und ein Erkennungstool verfügen, das den Sicherheitsstatus des Netzwerks auswertet. Dieses Tool sollte Ihre Umgebung überprüfen und Warnungen für die erkannten Sicherheitsrisiken generieren. Weitere Informationen finden Sie unter Threat Intelligence-Feeds.

  • Distributed Denial of Service (DDoS): Sicherheitstools sollten vor böswilligen oder nicht böswilligen verteilten Denial-of-Service-Angriffen schützen.

  • Security Information & Event Management (SIEM): SIEM ist eine erforderliche Bedrohungserkennungs- und Forensikfunktion, die in einer Cloudumgebung generierte Bedrohungen in Protokollen analysiert, aggregiert und erkennt. Eine Liste der verfügbaren Sicherheitstools finden Sie unter Azure Government – Sicherheit.

Weitere Informationen finden Sie unter Zero Trust in Azure.

Automatisieren der Sicherheitscompliance

Im Rahmen von Sicherheitsstandards für die Verteidigung müssen Sicherheitsexperten Hunderte von Sicherheitskontrollen verwalten. Die manuelle Ausführung dieses Prozesses ist arbeitsintensiv und anfällig für menschliche Fehler. Die Compliance kann mit führenden Sicherheitsstandards automatisiert werden. Auch die Wartung von Cloudressourcen kann automatisiert werden, um diese Standards zu erfüllen. Azure ermöglicht Missionsbesitzern die Automatisierung der Compliance für Zero Trust, CMMC und NIST 800-53.

Microsoft Defender for Cloud kann einen visuellen Bericht für alle nach einem bestimmten Sicherheitsstandard nicht konformen Ressourcen erstellen. Die Lösung kann Korrekturvorschläge für Sicherheitskontrollen generieren, die nicht mit dem Standard konform sind. Über Microsoft Defender for Cloud können Sicherheitsexperten auch Berichte zur Compliancebewertung herunterladen, die als Sicherheitsbaselines dienen. Weitere Informationen finden Sie unter

Allgemeine Sicherheitsinformationen finden Sie unter:

Nächster Schritt

Die letzte Methodik in der Missionsdomäne ist die Manage-Methodik. Die Manage-Methodik enthält Empfehlungen zur Erhöhung der betrieblichen Effizienz.

Verwalten