Integrieren von Microsoft Defender für Cloud in Azure VMware Solution

Microsoft Defender für Cloud bietet erweiterten Bedrohungsschutz für Azure VMware Solution- und lokale VMs. Die Lösung bewertet das Sicherheitsrisiko von Azure VMware Solution-VMs und gibt bei Bedarf Warnungen aus. Diese Sicherheitswarnungen können zur Behebung an Azure Monitor weitergeleitet werden. Sie können Sicherheitsrichtlinien in Microsoft Defender für Cloud definieren. Weitere Informationen finden Sie unter Arbeiten mit Sicherheitswarnungen.

Microsoft Defender für Cloud bietet zahlreiche Funktionen, darunter:

• Dateiintegritätsüberwachung
• Erkennung dateiloser Angriffe
• Bewertung von Patches für Betriebssysteme
• Bewertung von Sicherheitsfehlkonfigurationen
• Bewertung von Endpoint Protection

Das Diagramm zeigt die integrierte Überwachungsarchitektur der integrierten Sicherheit für Azure VMware Solution-VMs.

Der Log Analytics-Agent erfasst Protokolldaten aus Azure, Azure VMware Solution und lokalen VMs. Die Protokolldaten werden an Azure Monitor-Protokolle gesendet und in einem Log Analytics-Arbeitsbereich gespeichert. Jeder Arbeitsbereich verfügt über ein eigenes Datenrepository und eine eigene Konfiguration zum Speichern von Daten. Nachdem die Protokolle erfasst wurden, bewertet Microsoft Defender für Cloud den Sicherheitsrisikostatus von Azure VMware Solution-VMs und löst bei jedem kritischen Sicherheitsrisiko eine Warnung aus. Nach der Bewertung wird der Sicherheitsrisikostatus von Microsoft Defender für Cloud an Microsoft Sentinel weitergeleitet, um einen Incident zu erstellen und eine Zuordnung zu anderen Bedrohungen vorzunehmen. Microsoft Defender für Cloud ist über den Microsoft Defender für Cloud-Connector mit Microsoft Sentinel verbunden.

Voraussetzungen

• Planen der optimierten Verwendung von Defender für Cloud.

• Überprüfen der unterstützten Plattformen in Defender für Cloud.

• Erstellen Sie einen Log Analytics-Arbeitsbereich, um Daten aus verschiedenen Quellen zu sammeln.

• Aktivieren Sie Microsoft Defender für Cloud in Ihrem Abonnement.

  Hinweis

  Microsoft Defender für Cloud ist ein vorkonfiguriertes Tool, das keine Bereitstellung erfordert, aber aktiviert werden muss.

• Aktivieren von Microsoft Defender für Cloud.

Hinzufügen von Azure VMware Solution-VMs zu Defender für Cloud

1. Suchen Sie im Azure-Portal nach Azure Arc, und wählen Sie den Eintrag aus.

2. Klicken Sie unter „Ressourcen“ auf Server und dann auf +Hinzufügen.

   

3. Wählen Sie Skript generieren aus.

   

4. Klicken Sie auf der Registerkarte Voraussetzungen auf Weiter.

5. Geben Sie auf der Registerkarte Ressourcendetails die folgenden Details ein, und wählen Sie dann Weiter: Tags aus:

   • Subscription
   • Resource group
   • Region
   • Betriebssystem
   • Details zum Proxyserver

6. Klicken Sie auf der Registerkarte Tags auf Weiter.

7. Klicken Sie auf der Registerkarte Skript herunterladen und ausführen auf Herunterladen.

8. Geben Sie Ihr Betriebssystem an, und führen Sie das Skript auf Ihrer Azure VMware Solution-VM aus.

Anzeigen von Empfehlungen und bestandenen Bewertungen

Empfehlungen und Bewertungen bieten Ihnen Details zur Sicherheitsintegrität Ihrer Ressource.

1. Wählen Sie in Microsoft Defender für Cloud im linken Bereich Inventar aus.

2. Wählen Sie als Ressourcentyp Server – Azure Arc aus.

   

3. Wählen Sie den Namen Ihrer Ressource aus. Daraufhin wird eine Seite geöffnet, auf die Details zur Sicherheitsintegrität Ihrer Ressource angezeigt werden.

4. Wählen Sie unter Empfehlungsliste die Registerkarten Empfehlungen, Bestandene Bewertungen und Nicht verfügbare Bewertungen aus, um die jeweiligen Details anzuzeigen.

   

Bereitstellen eines Microsoft Sentinel-Arbeitsbereichs

Microsoft Sentinel bietet Sicherheitsanalysen, Warnungserkennung und automatisierte Reaktionen auf Bedrohungen innerhalb einer Umgebung. Es handelt sich um eine cloudnative SIEM-Lösung (Security Information & Event Management), der ein Log Analytics-Arbeitsbereich zugrunde liegt.

Da Microsoft Sentinel auf einem Log Analytics-Arbeitsbereich basiert, müssen Sie lediglich den Arbeitsbereich auswählen, den Sie verwenden möchten.

1. Suchen Sie im Azure-Portal nach Microsoft Sentinel, und wählen Sie den Eintrag aus.

2. Klicken Sie auf der Seite mit den Microsoft Sentinel-Arbeitsbereichen auf +Hinzufügen.

3. Wählen Sie den Log Analytics-Arbeitsbereich aus, und klicken Sie auf Hinzufügen.

Aktivieren eines Datensammlers für sicherheitsrelevante Ereignisse

1. Wählen Sie auf der Seite der Microsoft Sentinel-Arbeitsbereiche den konfigurierten Arbeitsbereich aus.

2. Wählen Sie unter „Konfiguration“ die Option Datenconnectors aus.

3. Wählen Sie in der Spalte „Connectorname“ den Eintrag Sicherheitsereignisse aus, und klicken Sie dann auf Connectorseite öffnen.

4. Wählen Sie auf der Connectorseite die Ereignisse aus, die Sie streamen möchten, und klicken Sie dann auf Änderungen übernehmen.

   

Verbinden Microsoft Sentinel mit Microsoft Defender für Cloud

1. Wählen Sie auf der Seite „Microsoft Sentinel-Arbeitsbereich“ den konfigurierten Arbeitsbereich aus.

2. Wählen Sie unter „Konfiguration“ die Option Datenconnectors aus.

3. Wählen Sie Microsoft Defender for Cloud aus der Liste aus, und wählen Sie dann Connectorseite öffnen aus.

   

4. Wählen Sie Verbinden aus, um Microsoft Defender für Cloud mit Microsoft Sentinel zu verbinden.

5. Aktivieren Sie Incident erstellen, um einen Incident für Microsoft Defender für Cloud zu generieren.

Erstellen von Regeln zum Identifizieren von Sicherheitsbedrohungen

Nachdem Sie Datenquellen mit Microsoft Sentinel verbunden haben, können Sie Regeln erstellen, um Warnungen für erkannte Bedrohungen zu generieren. Im folgenden Beispiel wird eine Regel für Versuche erstellt, sich mit einem falschen Kennwort bei einem Windows-Server anzumelden.

1. Wählen Sie auf der Übersichtsseite von Microsoft Sentinel unter „Konfigurationen“ die Option Analysen aus.

2. Wählen Sie unter „Konfigurationen“ die Option Analyse aus.

3. Klicken Sie auf +Erstellen, und wählen Sie in der Dropdownliste den Eintrag Geplante Abfrageregel aus.

4. Geben Sie auf der Registerkarte Allgemein die erforderlichen Informationen ein, und wählen Sie dann Weiter: Regellogik festlegen aus.

   • Name
   • Beschreibung
   • Taktik
   • Severity
   • Status

5. Geben Sie auf der Registerkarte Regellogik festlegen die erforderlichen Informationen ein, und wählen Sie dann Weiter aus.

   • Regelabfrage (gezeigt wird die Beispielabfrage)

     SecurityEvent
     |where Activity startswith '4625'
     |summarize count () by IpAddress,Computer
     |where count_ > 3
     

   • Entitäten zuordnen

   • Abfrageplanung

   • Warnungsschwellenwert

   • Ereignisgruppierung

   • Unterdrückung

6. Aktivieren Sie auf der Registerkarte Incidenteinstellungen die Option Incidents aus Warnungen erstellen, die von dieser Analyseregel ausgelöst werden, und wählen Sie Weiter: Automatisierte Antwort aus.

   

7. Klicken Sie auf Weiter: Review (Weiter: Überprüfen).

8. Überprüfen Sie die Informationen auf der Registerkarte Überprüfen + erstellen, und klicken Sie auf Erstellen.

Tipp

Nach dem dritten fehlerhaften Anmeldeversuch beim Windows-Server löst die erstellte Regel einen Incident für jeden erfolglosen Versuch aus.

Anzeigen von Warnungen

Sie können generierte Incidents mit Microsoft Sentinel anzeigen. Sie können auch Incidents zuweisen und nach der Auflösung schließen – alles innerhalb von Microsoft Sentinel.

1. Navigieren Sie zur Übersichtsseite von Microsoft Sentinel.

2. Wählen Sie unter „Bedrohungsmanagement“ die Option Incidents aus.

3. Wählen Sie einen Incident aus, und weisen Sie ihn dann einem Team zur Auflösung zu.

   

Tipp

Nachdem das Problem behoben wurde, können Sie den Incident schließen.

Suchen nach Sicherheitsbedrohungen mithilfe von Abfragen

Sie können Abfragen erstellen oder die verfügbaren vordefinierten Abfragen in Microsoft Sentinel verwenden, um Bedrohungen in Ihrer Umgebung zu identifizieren. In den folgenden Schritten wird eine vordefinierte Abfrage ausgeführt.

1. Wählen Sie auf der Übersichtsseite von Microsoft Sentinel unter „Bedrohungsverwaltung“ die Option Hunting aus. Eine Liste vordefinierter Abfragen wird angezeigt.

   Tipp

   Sie können auch eine neue Abfrage erstellen, indem Sie Neue Abfrage auswählen.

   

2. Wählen Sie eine Abfrage aus, und klicken Sie dann auf Abfrage ausführen.

3. Klicken Sie auf Ergebnisse anzeigen, um die Ergebnisse zu überprüfen.

Nächste Schritte

Nachdem Sie sich mit dem Schützen Ihrer Azure VMware Solution-VMs vertraut gemacht haben, informieren Sie sich über die folgenden Themen:

• Verwenden des Dashboards für den Workloadschutz
• Erweiterte mehrstufige Angriffserkennung in Microsoft Sentinel
• Integrieren von nativen Azure-Diensten in Azure VMware Solution