Azure-Sicherheitsbaseline für Azure Data Explorer

Diese Sicherheitsbaseline wendet Anleitungen des Microsoft Cloud Security Benchmark Version 1.0 auf Azure Data Explorer an. Der Microsoft Clout-Sicherheitsvergleichstest enthält Empfehlungen zum Schutz Ihrer Cloudlösungen in Azure. Der Inhalt wird nach den Sicherheitskontrollen gruppiert, die vom Microsoft Cloud Security Benchmark und den zugehörigen Anleitungen für Azure Data Explorer definiert sind.

Diese Sicherheitsbaseline und ihre Empfehlungen können Sie mithilfe von Microsoft Defender for Cloud überwachen. Azure Policy Definitionen werden im Abschnitt Einhaltung gesetzlicher Bestimmungen der Portalseite Microsoft Defender für Cloud aufgeführt.

Wenn ein Feature über relevante Azure Policy Definitionen verfügt, werden diese in dieser Baseline aufgeführt, damit Sie die Konformität mit den Microsoft Cloud Security Benchmark-Kontrollen und Empfehlungen messen können. Einige Empfehlungen erfordern möglicherweise einen kostenpflichtigen Microsoft Defender Plan, um bestimmte Sicherheitsszenarien zu ermöglichen.

Sicherheitsprofil

Das Sicherheitsprofil fasst das Verhalten von Azure Data Explorer mit hohen Auswirkungen zusammen, was zu erhöhten Sicherheitsüberlegungen führen kann.

Dienstverhaltensattribut	Wert
Produktkategorie	Analysen, Datenbanken
Der Kunde kann auf HOST/OS zugreifen	Kein Zugriff
Der Dienst kann im virtuellen Netzwerk des Kunden bereitgestellt werden.	True
Speichert kundenbezogene Inhalte im Ruhezustand	True

Netzwerksicherheit

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Netzwerksicherheit.

NS-1: Einrichten von Grenzen für die Netzwerksegmentierung

Features

Virtual Network-Integration

Beschreibung: Der Dienst unterstützt die Bereitstellung im privaten Virtual Network (VNet) des Kunden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Featurehinweise: Es wird dringend empfohlen, private Endpunkte zu verwenden, um den Netzwerkzugriff auf Ihren Cluster zu sichern. Diese Option hat viele Vorteile gegenüber der Einbindung in ein virtuelles Netzwerk, die insgesamt zur Verringerung des Wartungsaufwands beitragen. Zu diesen Vorteilen zählen unter anderem ein einfacherer Bereitstellungsprozess und eine höhere Stabilität bei VNet-Änderungen.

Konfigurationsleitfaden: Stellen Sie azure Data Explorer Cluster in einem Subnetz in Ihrem Virtual Network (VNet) bereit. Auf diese Weise können Sie NSG-Regeln implementieren, um den Datenverkehr Ihres Azure Data Explorer-Clusters einzuschränken und Ihr lokales Netzwerk mit dem Subnetz des Azure Data Explorer Clusters zu verbinden.

Referenz: Bereitstellen eines Azure Data Explorer-Clusters in Ihrem Virtual Network

Unterstützung von Netzwerksicherheitsgruppen

Beschreibung: Der Dienstnetzwerkdatenverkehr berücksichtigt die Regelzuweisung von Netzwerksicherheitsgruppen in seinen Subnetzen. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Featurehinweise: Es wird unterstützt und muss Netzwerksicherheitsgruppenregeln für den Fall konfiguriert werden, dass Azure Data Explorer in das virtuelle Netzwerk des Kunden eingefügt wurde. Es wird nicht empfohlen, Azure Data Explorer in ein virtuelles Netzwerk einzufügen. Es wird empfohlen, eine auf privatem Endpunkt basierende Netzwerksicherheitsimplementierung zu befolgen: Private Endpunkte für Azure Data Explorer.

Konfigurationsleitfaden: Für den Fall, dass Sie Azure Data Explorer in ein virtuelles Netzwerk einfügen möchten (eine auf privaten Endpunkten basierende Lösung wird dringend empfohlen), müssen Sie die Subnetzdelegierung für die Bereitstellung Ihres Clusters verwenden. Dazu müssen Sie das Subnetz vor dem Erstellen des Clusters im Subnetz an Microsoft.Kusto/clusters delegieren.

Durch die Aktivierung der Subnetzdelegierung im Subnetz des Clusters ermöglichen Sie dem Dienst, seine Vorbedingungen für die Bereitstellung in Form von Netzwerkabsichtsrichtlinien zu definieren. Beim Erstellen des Clusters im Subnetz werden die in den folgenden Abschnitten genannten NSG-Konfigurationen automatisch für Sie erstellt.

Referenz: Konfigurieren von Netzwerksicherheitsgruppenregeln

NS-2: Schützen von Clouddiensten mit Netzwerkkontrollen

Features

Azure Private Link

Beschreibung: Dienstnative IP-Filterfunktion zum Filtern von Netzwerkdatenverkehr (nicht zu verwechseln mit NSG oder Azure Firewall). Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Es wird dringend empfohlen, private Endpunkte zu verwenden, um den Netzwerkzugriff auf Ihren Cluster zu sichern. Diese Option bietet viele Vorteile gegenüber der Integration virtueller Netzwerke, was zu einem geringeren Wartungsaufwand führt, einschließlich eines einfacheren Bereitstellungsprozesses und einer stabileren Anpassung virtueller Netzwerke.

Referenz: Private Endpunkte für Azure Data Explorer

Deaktivieren des Zugriffs aus öffentlichen Netzwerken

Beschreibung: Der Dienst unterstützt das Deaktivieren des Zugriffs auf öffentliche Netzwerke entweder mithilfe einer IP-ACL-Filterregel auf Dienstebene (nicht NSG oder Azure Firewall) oder mithilfe eines Umschaltschalters "Öffentlichen Netzwerkzugriff deaktivieren". Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Deaktivieren Sie den Zugriff auf öffentliche Netzwerke entweder mithilfe der IP-ACL-Filterregel auf Dienstebene oder mithilfe eines Umschaltschalters für den Zugriff auf öffentliche Netzwerke.

Referenz: Einschränken des öffentlichen Zugriffs auf Ihren Azure Data Explorer-Cluster

Identitätsverwaltung

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Identitätsverwaltung.

IM-1: Verwenden eines zentralen Identitäts- und Authentifizierungssystems

Features

Azure AD-Authentifizierung für den Zugriff auf Datenebene erforderlich

Beschreibung: Der Dienst unterstützt die Verwendung der Azure AD-Authentifizierung für den Zugriff auf Datenebene. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Verwenden Sie Azure Active Directory (Azure AD) als Standardauthentifizierungsmethode, um den Zugriff auf Datenebene zu steuern.

Referenz: Authentifizieren mit Azure Active Directory (Azure AD) für Azure Data Explorer-Zugriff

Lokale Authentifizierungsmethoden für den Zugriff auf Datenebene

Beschreibung: Lokale Authentifizierungsmethoden, die für den Zugriff auf Datenebene unterstützt werden, z. B. ein lokaler Benutzername und ein Kennwort. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten

Features

Verwaltete Identitäten

Beschreibung: Aktionen auf Datenebene unterstützen die Authentifizierung mit verwalteten Identitäten. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	True	Microsoft

Featurehinweise: Azure Data Explorer ermöglicht die Authentifizierung auf der Datenebene mit jeder Azure Active Directory-Identität. Dies bedeutet, dass system- und benutzerseitig verwaltete Identitäten unterstützt werden. Darüber hinaus unterstützt Azure Data Explorer die Verwendung von verwalteten Identitäten für die Authentifizierung bei anderen Diensten für die Erfassung und Abfrage. Weitere Informationen finden Sie unter Übersicht über verwaltete Identitäten.

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.

Referenz: Azure Active Directory-Authentifizierung

Dienstprinzipale

Beschreibung: Die Datenebene unterstützt die Authentifizierung mithilfe von Dienstprinzipalen. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	True	Microsoft

Featurehinweise: Azure Data Explorer unterstützt alle Azure Active Directory-Identitätstypen, einschließlich Dienstprinzipalen.

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.

Referenz: Azure Active Directory-Authentifizierung mithilfe einer Anwendung

IM-7: Einschränken des Ressourcenzugriffs basierend auf Bedingungen

Features

Bedingter Zugriff für Datenebene

Beschreibung: Der Zugriff auf Datenebene kann mithilfe von Azure AD-Richtlinien für bedingten Zugriff gesteuert werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Definieren Sie die anwendbaren Bedingungen und Kriterien für den bedingten Zugriff von Azure Active Directory (Azure AD) in der Workload. Ziehen Sie häufige Anwendungsfälle in Betracht, z. B. das Blockieren oder Gewähren des Zugriffs von bestimmten Standorten, das Blockieren riskanter Anmeldeverhalten oder die Anforderung von organization verwalteten Geräten für bestimmte Anwendungen.

Referenz: Bedingter Zugriff mit Azure Data Explorer

IM-8: Einschränken der Gefährdung von Anmeldeinformationen und Geheimnissen

Features

Unterstützung von Integration und Speicher in Azure Key Vault durch Dienstanmeldeinformationen und Geheimnisse

Beschreibung: Die Datenebene unterstützt die native Verwendung von Azure Key Vault für den Speicher von Anmeldeinformationen und Geheimnissen. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Privilegierter Zugriff

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Privilegierter Zugriff.

PA-1: Trennen und Einschränken stark privilegierter Benutzer/Administratoren

Features

Lokale Admin-Konten

Beschreibung: Der Dienst hat das Konzept eines lokalen Administratorkontos. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

PA-7: Befolgen Sie die Prinzipien der Just Enough Administration (Prinzip der geringsten Rechte)

Features

Azure RBAC für Datenebene

Beschreibung: Azure Role-Based Access Control (Azure RBAC) kann für den verwalteten Zugriff auf die Datenebenenaktionen des Diensts verwendet werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Featurehinweise: Mit Azure Data Explorer können Sie den Zugriff auf die Datenebene (Datenbanken und Tabellen) mithilfe eines rollenbasierten Zugriffssteuerungsmodells steuern. Bei diesem Modell werden Prinzipale (Benutzer, Gruppen und Apps) Rollen zugewiesen. Prinzipale können gemäß den zugewiesenen Rollen auf Ressourcen zugreifen. Die Datenebene von Azure Data Explorer ist jedoch von der Azure RBAC für die Steuerungsebene entkoppelt.

Weitere Informationen finden Sie unter Verwalten von Azure Data Explorer-Datenbankberechtigungen.

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

PA-8: Bestimmen des Zugriffsprozesses für die Unterstützung von Cloudanbietern

Features

Kunden-Lockbox

Beschreibung: Kunden-Lockbox kann für den Microsoft-Supportzugriff verwendet werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	True	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.

Schutz von Daten

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Datenschutz.

DP-1: Ermitteln, Klassifizieren und Bezeichnen von vertraulichen Daten

Features

Ermittlung und Klassifizierung vertraulicher Daten

Beschreibung: Tools (z. B. Azure Purview oder Azure Information Protection) können für die Datenermittlung und -klassifizierung im Dienst verwendet werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Featurehinweise: Azure Data Explorer wird in Microsoft Purview unterstützt.

Konfigurationsleitfaden: Azure Data Explorer wird in Microsoft Purview unterstützt. Sie können Azure Purview verwenden, um alle vertraulichen Daten zu überprüfen, zu klassifizieren und zu kennzeichnen, die sich in Azure Data Explorer befinden.

DP-2: Überwachen von Anomalien und Bedrohungen für sensible Daten

Features

Verhinderung von Datenlecks/-verlusten

Beschreibung: Der Dienst unterstützt die DLP-Lösung, um die Verschiebung vertraulicher Daten (im Inhalt des Kunden) zu überwachen. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Das Einschränken des ausgehenden Zugriffs auf Ihren Cluster ist wichtig, um Risiken wie datenexfiltration zu minimieren. Ein böswilliger Akteur könnte möglicherweise eine externe Tabelle zu einem Speicherkonto erstellen und große Datenmengen extrahieren. Sie können ausgehenden Zugriff auf Clusterebene steuern, indem Sie Calloutrichtlinien definieren. Die Verwaltung von Calloutrichtlinien ermöglicht Ihnen das Zulassen von ausgehendem Zugriff auf angegebene SQL-, Speicher- oder andere Endpunkte.

Referenz: Einschränken des ausgehenden Zugriffs aus Ihrem Azure Data Explorer-Cluster

DP-3: Verschlüsseln in Übertragung begriffener vertraulicher Daten

Features

Verschlüsselung von Daten während der Übertragung

Beschreibung: Der Dienst unterstützt die Datenverschlüsselung während der Übertragung für die Datenebene. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	True	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.

DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten

Features

Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln wird unterstützt, alle ruhenden Kundeninhalte werden mit diesen verwalteten Microsoft-Schlüsseln verschlüsselt. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	True	Microsoft

Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.

Referenz: Datenverschlüsselung in Azure Data Explorer

DP-5: Verwenden der Option kundenseitig verwalteter Schlüssel bei der Verschlüsselung ruhender Daten bei Bedarf

Features

Verschlüsselung ruhender Daten mithilfe von CMK

Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von kundenseitig verwalteten Schlüsseln wird für Kundeninhalte unterstützt, die vom Dienst gespeichert werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Zur zusätzlichen Kontrolle über Verschlüsselungsschlüssel können Sie kundenseitig verwaltete Schlüssel für die Datenverschlüsselung bereitstellen. Sie können die Verschlüsselung Ihrer Daten auf der Speicherebene mit Ihren eigenen Schlüsseln verwalten. Ein kundenseitig verwalteter Schlüssel wird verwendet, um den Zugriff auf den Stammverschlüsselungsschlüssel zu schützen, der wiederum zur Ver- und Entschlüsselung sämtlicher Daten verwendet wird. Vom Kunden verwaltete Schlüssel bieten größere Flexibilität beim Erstellen, Rotieren, Deaktivieren und Widerrufen von Zugriffssteuerungen. Außerdem können Sie die zum Schutz Ihrer Daten verwendeten Verschlüsselungsschlüssel überwachen.

Referenz: Verschlüsselung mithilfe von kundenseitig verwalteten Schlüsseln

DP-7: Verwenden eines sicheren Zertifikatverwaltungsprozesses

Features

Zertifikatverwaltung in Azure Key Vault

Beschreibung: Der Dienst unterstützt die Integration von Azure Key Vault für alle Kundenzertifikate. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Asset-Management

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Asset Management.

AM-2: Ausschließliches Verwenden genehmigter Dienste

Features

Azure Policy-Unterstützung

Beschreibung: Dienstkonfigurationen können über Azure Policy überwacht und erzwungen werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Verwenden Sie Microsoft Defender für Cloud, um Azure Policy zum Überwachen und Erzwingen von Konfigurationen Ihrer Azure-Ressourcen zu konfigurieren. Verwenden Sie Azure Monitor, um Warnungen zu erstellen, wenn eine Konfigurationsabweichung für die Ressourcen erkannt wird. Verwenden Sie Azure Policy [Verweigern] und [Bereitstellen, falls nicht vorhanden] Effekte, um eine sichere Konfiguration für Azure-Ressourcen zu erzwingen.

Referenz: Azure Policy Kontrollen zur Einhaltung gesetzlicher Bestimmungen für Azure Data Explorer

Protokollierung und Bedrohungserkennung

Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Protokollierung und Bedrohungserkennung.

LT-1: Aktivieren von Funktionen für die Bedrohungserkennung

Features

Microsoft Defender for Service / Produktangebot

Beschreibung: Der Dienst verfügt über eine angebotsspezifische Microsoft Defender Lösung zum Überwachen und Warnen von Sicherheitsproblemen. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

LT-4: Aktivieren der Protokollierung für die Sicherheitsuntersuchung

Features

Azure-Ressourcenprotokolle

Beschreibung: Der Dienst erstellt Ressourcenprotokolle, die erweiterte dienstspezifische Metriken und Protokollierung bereitstellen können. Der Kunde kann diese Ressourcenprotokolle konfigurieren und an seine eigene Datensenke wie ein Speicherkonto oder einen Log Analytics-Arbeitsbereich senden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
True	False	Kunde

Konfigurationsleitfaden: Azure Data Explorer verwendet Diagnoseprotokolle für Erkenntnisse zur Erfassung, zu Befehlen, Abfragen und Tabellen. Sie können Vorgangsprotokolle in Azure Storage, Event Hub oder Log Analytics exportieren, um den Status von Erfassungen, Befehlen und Abfragen zu überwachen. Protokolle aus Azure Storage und Azure Event Hubs können zur weiteren Analyse an eine Tabelle im Azure Data Explorer-Cluster weitergeleitet werden.

Referenz: Überwachen der Erfassung, Befehle, Abfragen und Tabellen von Azure Data Explorer mithilfe von Diagnoseprotokollen

Sicherung und Wiederherstellung

Weitere Informationen finden Sie im Microsoft-Cloudsicherheitstest: Sicherung und Wiederherstellung.

BR-1: Sicherstellen regelmäßiger automatisierter Sicherungen

Features

Azure Backup

Beschreibung: Der Dienst kann durch den Azure Backup-Dienst gesichert werden. Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Service Native Backup-Funktion

Beschreibung: Der Dienst unterstützt seine eigene native Sicherungsfunktion (falls nicht Azure Backup). Weitere Informationen

Unterstützt	Standardmäßig aktiviert	Konfigurationsverantwortung
False	Nicht zutreffend	Nicht zutreffend

Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.

Nächste Schritte

• Übersicht über den Microsoft-Cloudsicherheitstest
• Erfahren Sie mehr über Azure-Sicherheitsbaselines.