Azure Security Services Azure Security Services

Technische Referenz für Schlüsselschutz, Sicherheitsstatus, Richtlinien-Governance, Netzisolation, DDoS-Abwehr, vertrauliche Compute-Modelle und IoT-Sicherheit in Azure. Technical reference for key protection, security posture, policy governance, network isolation, DDoS defense, confidential compute models, and IoT security in Azure.

Azure-Sicherheitsportfolio und Architekturmodell Azure security portfolio and architecture model

Azure Security besteht nicht aus einem einzelnen Produkt, sondern aus Schichten für Identität, Geheimnisse, Richtlinien, Netzwerkisolation, Workload-Schutz, Telemetrie und Reaktion. In der Praxis greifen diese Ebenen über Management Groups, Subscriptions, VNets, Plattformdienste und Workloads ineinander. Azure Security is not a single product. It is a set of layers for identity, secrets, policy, network isolation, workload protection, telemetry, and response. In practice, these layers intersect across management groups, subscriptions, VNets, platform services, and workloads.

Ein robustes Zielbild beginnt mit Default Deny für kritische Datenpfade, privatem Datenzugriff, zentraler Richtlinienzuweisung und automatischer Sicherheitsbewertung. Danach folgen Diensthärtung, Schlüssellebenszyklen und detections-orientierte Betriebsprozesse. A robust target state starts with default-deny for critical data paths, private access for data services, centralized policy assignment, and automated security assessment. After that come service hardening, key lifecycles, and detection-oriented operating processes.

Die wichtigsten Designfragen lauten: Wer darf zugreifen, über welchen Netzwerkpfad, mit welchen Schlüsseln, unter welchen Richtlinien, mit welcher Erkennungslogik und mit welcher Wiederherstellungsstrategie? The main design questions are: who can access, over which network path, with which keys, under which policies, with which detection logic, and with which recovery strategy?

• Management Groups sind der natürliche Ort für Security-Baselines, Allowed Locations, Tags und Diagnosepflichten. Management groups are the natural place for security baselines, allowed locations, tags, and diagnostic requirements.
• Private Link schützt den Datenpfad, ersetzt aber nicht Authentifizierung, RBAC oder Datenklassifizierung. Private Link protects the data path but does not replace authentication, RBAC, or data classification.
• Defender for Cloud priorisiert Findings, während Azure Policy deren erneutes Auftreten begrenzt. Defender for Cloud prioritizes findings, while Azure Policy limits their reoccurrence.
• Key Vault und Managed HSM sollten zusammen mit zentraler Protokollierung und Zugriffsreviews betrieben werden. Key Vault and Managed HSM should be operated together with centralized logging and access reviews.
• WAF und DDoS wirken auf unterschiedlichen Ebenen: HTTP/S-Logik versus volumetrische Netzangriffe. WAF and DDoS operate at different layers: HTTP/S logic versus volumetric network attacks.

Azure Key Vault und Managed HSM Azure Key Vault and Managed HSM

Azure Key Vault bündelt Geheimnisse, Software-Schlüssel und Zertifikate in einem verwalteten Sicherheitsdienst. Typische Muster sind App-Geheimnisse, Datenbankschlüssel, TLS-Zertifikate, Customer-Managed Keys und signierende Schlüssel für Tokens oder Dokumente. Azure Key Vault centralizes secrets, software keys, and certificates in a managed security service. Typical patterns include app secrets, database keys, TLS certificates, customer-managed keys, and signing keys for tokens or documents.

Managed HSM ist die Variante für FIPS-orientierte, HSM-gestützte Schlüsselverwahrung mit dedizierter Sicherheitsgrenze. Sie eignet sich für Root-of-Trust-Szenarien, hochkritische Verschlüsselungsschlüssel und streng regulierte Umgebungen. Managed HSM is the variant for FIPS-oriented, HSM-backed key custody with a dedicated security boundary. It fits root-of-trust scenarios, highly critical encryption keys, and strongly regulated environments.

Aktuell ist RBAC der bevorzugte Zugriffsansatz gegenüber klassischen Access Policies, weil RBAC konsistent in Azure integriert ist, PIM unterstützt und besser mit zentraler Governance, Auditierung und Trennung von Aufgaben zusammenspielt. RBAC is now the preferred access model over classic access policies because it integrates consistently across Azure, supports PIM, and works better with centralized governance, auditing, and separation of duties.

Für Produktionsumgebungen gehören Soft Delete, Purge Protection, Private Endpoints, Diagnoseeinstellungen, kontrollierte Rotation und die Vermeidung harter Geheimniswerte im Code zum Mindeststandard. For production environments, soft delete, purge protection, private endpoints, diagnostic settings, controlled rotation, and avoiding hard-coded secret values should be considered minimum standards.

• Verwende Managed Identities statt gespeicherter Anmeldeinformationen, wann immer ein Azure-Dienst auf ein Secret zugreift. Use managed identities instead of stored credentials whenever an Azure service reads a secret.
• Trenne Verwaltungsrollen für Vault-Betrieb, Datenzugriff und Notfallwiederherstellung. Separate administrative roles for vault operations, data access, and break-glass recovery.
• Leite Audit-, Zugriff- und Fehlerprotokolle an Log Analytics, Event Hub oder Storage weiter. Send audit, access, and failure logs to Log Analytics, Event Hub, or Storage.
• Rotiere Zertifikate und Secrets mit ausreichend Überlappung, damit Clients alte und neue Versionen parallel akzeptieren können. Rotate certificates and secrets with enough overlap so clients can accept old and new versions in parallel.
• Nutze Private Endpoints für hochkritische Vaults und blockiere Public Network Access, sofern Betriebswege vorhanden sind. Use private endpoints for highly critical vaults and disable public network access when operating paths exist.

az group create --name rg-sec-core --location westeurope
az keyvault create \
  --name kv-sec-core-001 \
  --resource-group rg-sec-core \
  --location westeurope \
  --enable-rbac-authorization true \
  --enable-purge-protection true \
  --retention-days 90

az keyvault secret set \
  --vault-name kv-sec-core-001 \
  --name SqlAdminPassword \
  --value "Use-Managed-Identity-Where-Possible"

az role assignment create \
  --assignee <principalId> \
  --role "Key Vault Secrets User" \
  --scope $(az keyvault show --name kv-sec-core-001 --query id -o tsv)
        

$vault = New-AzKeyVault `
  -Name "kv-sec-core-001" `
  -ResourceGroupName "rg-sec-core" `
  -Location "westeurope" `
  -EnableRbacAuthorization `
  -EnablePurgeProtection

Set-AzKeyVaultSecret `
  -VaultName $vault.VaultName `
  -Name "StorageConnection" `
  -SecretValue (ConvertTo-SecureString "placeholder-value" -AsPlainText -Force)

Set-AzRoleAssignment `
  -ObjectId "<principalId>" `
  -RoleDefinitionName "Key Vault Secrets Officer" `
  -Scope $vault.ResourceId
        

resource keyVault 'Microsoft.KeyVault/vaults@2023-07-01' = {
  name: 'kv-sec-core-001'
  location: resourceGroup().location
  properties: {
    tenantId: subscription().tenantId
    enableRbacAuthorization: true
    enablePurgeProtection: true
    enableSoftDelete: true
    softDeleteRetentionInDays: 90
    publicNetworkAccess: 'Disabled'
    sku: {
      name: 'standard'
      family: 'A'
    }
  }
}

resource privateEndpoint 'Microsoft.Network/privateEndpoints@2023-09-01' = {
  name: 'pe-kv-sec-core-001'
  location: resourceGroup().location
  properties: {
    subnet: {
      id: subnetId
    }
    privateLinkServiceConnections: [
      {
        name: 'kv-connection'
        properties: {
          privateLinkServiceId: keyVault.id
          groupIds: [ 'vault' ]
        }
      }
    ]
  }
}
        

Rotation, Lebenszyklus und Betriebsgrenzen Rotation, lifecycle, and operating boundaries

Automatische Rotation ist nur dann hilfreich, wenn abhängige Anwendungen die neue Version ohne manuelle Änderung übernehmen können. Bei Legacy-Anwendungen ist deshalb häufig eine orchestrierte, aber nicht vollautomatische Rotation sinnvoller. Automatic rotation is only helpful if dependent applications can adopt the new version without manual changes. For legacy applications, an orchestrated but not fully automatic rotation is often safer.

HSM-gestützte Schlüssel erhöhen die Sicherheitsgrenze, können aber auch Latenz, Kosten und Prozesskomplexität steigern. Deshalb sollten HSMs gezielt für wirklich hochwertige Schlüsselmaterialien eingesetzt werden. HSM-backed keys raise the security boundary but can also increase latency, cost, and process complexity. They should therefore be used selectively for truly high-value key material.

• Setze Ablaufwarnungen früh genug, damit Zertifikatserneuerung nicht in einem Change-Freeze endet. Set expiration alerts early enough so certificate renewal does not hit a change freeze.
• Dokumentiere Notfallverfahren für gelöschte oder kompromittierte Schlüssel explizit. Document emergency procedures for deleted or compromised keys explicitly.
• Teste CMK-abhängige Plattformdienste nach jeder Schlüssel- oder Netzwerkrichtlinienänderung. Retest CMK-dependent platform services after every key or network policy change.

Microsoft Defender for Cloud Microsoft Defender for Cloud

Defender for Cloud ist die zentrale CNAPP-Schicht für Azure, hybride Umgebungen, AWS und GCP. Es kombiniert Foundational CSPM, Defender CSPM, DevSecOps-Funktionen und workload-spezifische Schutzpläne in einer gemeinsamen Steuerungs- und Ermittlungsoberfläche. Defender for Cloud is the core CNAPP layer for Azure, hybrid environments, AWS, and GCP. It combines foundational CSPM, Defender CSPM, DevSecOps capabilities, and workload-specific protection plans in one control and investigation surface.

Secure Score dient als priorisierte Verbesserungsansicht, während Regulatory Compliance regulatorische Frameworks wie ISO, NIS2-orientierte Kontrollen oder branchenspezifische Sets auf technische Empfehlungen abbildet. Beides ersetzt keine Architekturentscheidung, beschleunigt aber Priorisierung und Nachweisführung. Secure Score provides a prioritized improvement view, while Regulatory Compliance maps frameworks such as ISO, NIS2-oriented controls, or industry-specific sets to technical recommendations. Neither replaces architecture decisions, but both accelerate prioritization and evidence gathering.

JIT-Zugriff reduziert offene Verwaltungsports für Maschinen, Attack Path Analysis priorisiert lateral ausnutzbare Pfade, und ASR-nahe Empfehlungen gewinnen an Wirkung, wenn Defender for Servers mit Defender for Endpoint zusammen betrieben wird. JIT access reduces exposed management ports on machines, attack path analysis prioritizes laterally exploitable paths, and ASR-oriented recommendations become more useful when Defender for Servers is operated together with Defender for Endpoint.

Empfehlungen sollten nicht isoliert behandelt werden. Typischerweise übersetzt ein Security Team kritische Findings in Policy, Landing-Zone-Standards, Pipeline-Checks und Betriebs-Runbooks, damit dieselben Risiken nicht permanent wiederkehren. Recommendations should not be handled in isolation. Security teams typically translate critical findings into policy, landing-zone standards, pipeline checks, and operating runbooks so the same risks do not keep returning.

• Aktiviere Defender-Pläne gezielt nach Datenwert, Bedrohungslage und Betriebsreife. Enable Defender plans deliberately based on data value, threat model, and operational maturity.
• Nutze Secure Score nicht als KPI ohne Kontext; kritische ungepunktete Risiken müssen separat erfasst werden. Do not use Secure Score as a KPI without context; critical unscored risks must be tracked separately.
• Leite hochkritische Empfehlungen in Tickets, Policy-Backlogs oder Platform Modules über. Convert high-severity recommendations into tickets, policy backlog items, or platform modules.
• JIT ist besonders wirksam, wenn Verwaltungsports sonst grundsätzlich geschlossen bleiben. JIT is most effective when management ports remain closed by default.
• Attack Path Analysis ist wertvoll für Priorisierung, ersetzt aber kein vollständiges Threat Modeling. Attack path analysis is valuable for prioritization but does not replace full threat modeling.

az security pricing create --name VirtualMachines --tier Standard
az security pricing create --name Containers --tier Standard
az security pricing create --name StorageAccounts --tier Standard
az security pricing create --name KeyVaults --tier Standard
az security pricing create --name AppServices --tier Standard
az security pricing create --name Arm --tier Standard
        

Set-AzSecurityPricing -Name "VirtualMachines" -PricingTier "Standard"
Set-AzSecurityPricing -Name "Containers" -PricingTier "Standard"
Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard"
Get-AzSecuritySecureScore | Select-Object DisplayName, Score, MaxScore
Get-AzSecuritySecureScoreControl | Sort-Object Percentage | Select-Object -First 10
        

Azure Policy, Initiatives und Remediation Azure Policy, initiatives, and remediation

Azure Policy ist die Governance-Schicht für Standardisierung und Erzwingung. Sie bewertet Ressourcen bei Bereitstellung und im Bestand, steuert erlaubte Konfigurationen und kann mit verwalteten Identitäten automatisch fehlende Einstellungen ausrollen oder korrigieren. Azure Policy is the governance layer for standardization and enforcement. It evaluates resources at deployment time and in inventory, controls allowed configurations, and can automatically deploy or remediate missing settings by using managed identities.

Built-in Policies decken Hunderte Standards ab, darunter Allowed Locations, Required Tags, Diagnosepflichten, Netzwerkhärtung, Verschlüsselung, Kubernetes-Standards und regulatorische Baselines. Custom Policies ergänzen diese Standards für organisationsspezifische Regeln. Built-in policies cover hundreds of standards, including allowed locations, required tags, diagnostic requirements, network hardening, encryption, Kubernetes standards, and regulatory baselines. Custom policies extend those standards for organization-specific rules.

Initiatives bündeln mehrere Richtlinien unter einer Zuweisung. Das ist entscheidend für Landing Zones, weil Baselines aus Tags, Allowed SKUs, Diagnosevorgaben, Private-Link-Vorgaben und Security-Defaults typischerweise gemeinsam verwaltet werden. Initiatives group multiple policies under one assignment. This is crucial for landing zones because baselines for tags, allowed SKUs, diagnostic requirements, private-link expectations, and security defaults are typically managed together.

Remediation Tasks sind der praktische Hebel, um bestehende Ressourcen nachzuziehen. Besonders relevant ist dies für Diagnoseeinstellungen, TLS-Minimums, Verschlüsselungsoptionen oder Konfigurationen, die per deployIfNotExists oder modify ergänzt werden sollen. Remediation tasks are the practical lever for bringing existing resources up to standard. This is especially relevant for diagnostic settings, minimum TLS versions, encryption options, or configurations that should be added via deployIfNotExists or modify.

• Plane Policy als Code zusammen mit Landing-Zone- und Netzwerkmodulen. Plan policy as code together with landing zone and network modules.
• Verwende Parameter und allowedValues, um Definitionen wiederverwendbar zu halten. Use parameters and allowedValues to keep definitions reusable.
• deployIfNotExists und modify benötigen häufig eine Assignment-Identity mit passenden Rollen. deployIfNotExists and modify often require an assignment identity with appropriate roles.
• Dokumentiere Exemptions mit Ablaufdatum, Verantwortlichem und Begründung. Document exemptions with expiry date, owner, and justification.
• Nutze Initiatives für Baselines und Einzelrichtlinien für Spezialfälle oder temporäre Kontrollen. Use initiatives for baselines and single policies for special cases or temporary controls.

az policy definition create \
  --name require-private-endpoints \
  --display-name "Require Private Endpoints for critical data services" \
  --rules policy-rule.json \
  --params policy-params.json \
  --mode All

az policy set-definition create \
  --name landing-zone-security-baseline \
  --definitions require-private-endpoints require-diagnostics disallow-public-ip

az policy assignment create \
  --name mg-security-baseline \
  --scope /providers/Microsoft.Management/managementGroups/contoso-platform \
  --policy-set-definition landing-zone-security-baseline
        

$assignment = New-AzPolicyAssignment `
  -Name "sub-diagnostics-baseline" `
  -PolicySetDefinition (Get-AzPolicySetDefinition -Name "landing-zone-security-baseline") `
  -Scope "/subscriptions/<subscriptionId>"

Start-AzPolicyRemediation `
  -Name "remediate-diagnostics" `
  -PolicyAssignmentId $assignment.PolicyAssignmentId `
  -ResourceDiscoveryMode ReEvaluateCompliance
        

resource assignment 'Microsoft.Authorization/policyAssignments@2024-04-01' = {
  name: 'enforce-kv-private-access'
  scope: subscription()
  identity: {
    type: 'SystemAssigned'
  }
  properties: {
    displayName: 'Enforce private access for key vaults'
    policyDefinitionId: policyDefinitionId
    enforcementMode: 'Default'
    parameters: {
      effect: {
        value: 'deny'
      }
    }
  }
}
        

Web Application Firewall und DDoS Protection Web Application Firewall and DDoS Protection

Azure WAF schützt HTTP- und HTTPS-Anwendungen auf Anwendungsebene. Der Dienst wird typischerweise mit Application Gateway oder Azure Front Door kombiniert und nutzt verwaltete Regelsets auf Basis von OWASP Core Rule Set bzw. Microsoft Default Rule Set / DRS, ergänzt durch benutzerdefinierte Regeln. Azure WAF protects HTTP and HTTPS applications at the application layer. It is commonly paired with Application Gateway or Azure Front Door and uses managed rule sets based on the OWASP Core Rule Set or Microsoft Default Rule Set / DRS, extended by custom rules.

Managed Rules liefern bekannte Signaturen und Protokollnormalisierung, während Custom Rules für Geo-Fencing, Header-/Path-Blockierungen, IP-Listen, Rate Limits oder Freigaben eingesetzt werden. Bot Protection ergänzt dies für bekannte Bot-Kategorien und automatisierte Missbrauchsszenarien. Managed rules provide known signatures and request normalization, while custom rules cover geo-fencing, header/path blocking, IP lists, rate limits, or allow lists. Bot protection complements this for known bot categories and automated abuse scenarios.

DDoS Protection wirkt tiefer im Netzwerkstack und adressiert volumetrische, Protokoll- und Ressourcenerschöpfungsangriffe gegen öffentliche IPs. Für unternehmenskritische Internet-Expositionen ist DDoS Protection ein Netzwerkgrundschutz und kein Ersatz für WAF oder Anwendungsauthentifizierung. DDoS Protection works lower in the network stack and addresses volumetric, protocol, and resource exhaustion attacks against public IPs. For business-critical internet exposure, DDoS Protection is a network baseline, not a replacement for WAF or application authentication.

Telemetrie umfasst WAF-Logs, Metriken, DDoS-Mitigation-Events, Mitigation Flow Logs und Reports. Die Stärke liegt in der Kombination: Angriffsvolumen, geblockte Rule IDs, betroffene Endpunkte und die Zeitachse können gemeinsam ausgewertet werden. Telemetry includes WAF logs, metrics, DDoS mitigation events, mitigation flow logs, and reports. The value comes from correlation: attack volume, blocked rule IDs, affected endpoints, and the timeline can be analyzed together.

• Custom Rules werden vor Managed Rules für zentrale Block-/Allow-Entscheidungen genutzt. Custom rules are used ahead of managed rules for central block/allow decisions.
• Lege WAF zunächst im Detection/Prevention-Tuning für kritische Anwendungen mit realem Traffic aus. Tune WAF in detection/prevention mode for critical apps using real traffic patterns.
• Kombiniere DDoS Alerts mit Application Insights, Front Door- oder Gateway-Logs. Correlate DDoS alerts with Application Insights and Front Door or gateway logs.
• Schütze Verwaltungs- und Backend-Endpunkte getrennt von Public-Frontend-Regeln. Protect management and backend endpoints separately from public front-end rules.
• Bot Protection ist besonders relevant für Login-, Search- und Commerce-Endpunkte. Bot protection is especially relevant for login, search, and commerce endpoints.

az network application-gateway waf-policy create \
  --name agw-waf-core \
  --resource-group rg-edge \
  --type OWASP \
  --version 3.2

az network application-gateway waf-policy custom-rule create \
  --policy-name agw-waf-core \
  --resource-group rg-edge \
  --name BlockLegacyAdminPath \
  --priority 10 \
  --rule-type MatchRule \
  --action Block
        

$plan = New-AzDdosProtectionPlan `
  -Name "ddos-core" `
  -ResourceGroupName "rg-network" `
  -Location "westeurope"

Set-AzVirtualNetwork `
  -VirtualNetwork (Get-AzVirtualNetwork -Name "vnet-hub" -ResourceGroupName "rg-network") `
  -DdosProtectionPlanId $plan.Id `
  -EnableDdosProtection
        

resource frontDoorWaf 'Microsoft.Network/frontdoorwebapplicationfirewallpolicies@2024-02-01' = {
  name: 'fd-waf-core'
  location: 'global'
  sku: {
    name: 'Premium_AzureFrontDoor'
  }
  properties: {
    policySettings: {
      enabledState: 'Enabled'
      mode: 'Prevention'
    }
    managedRules: {
      managedRuleSets: [
        {
          ruleSetType: 'Microsoft_DefaultRuleSet'
          ruleSetVersion: '2.1'
        }
      ]
    }
  }
}
        

Azure Confidential Computing Azure Confidential Computing

Azure Confidential Computing zielt auf Workloads, bei denen Daten während der Verarbeitung zusätzlich geschützt werden müssen. Dabei wird Arbeitsspeicher hardwaregestützt isoliert, sodass selbst privilegierte Betreiberpfade den Klartext nur eingeschränkt oder gar nicht einsehen können. Azure Confidential Computing targets workloads where data must remain protected even during processing. Memory is isolated with hardware support so that even highly privileged operator paths have limited or no access to plaintext.

In der Praxis sind Confidential VMs und verwandte Dienste besonders relevant für regulierte Analytik, Multi-Party-Szenarien, besonders sensible Schlüsselmaterialien und verteilte Rechenmodelle, bei denen Nachweise über die gemessene Ausführungsumgebung nötig sind. In practice, confidential VMs and related services are especially relevant for regulated analytics, multi-party scenarios, highly sensitive key material, and distributed compute models that require evidence of the measured execution environment.

AMD SEV-SNP und Intel TDX adressieren beide Speicherisolation und Integrität für virtuelle Maschinen, während Azure Attestation als Vertrauensanker für Remote Attestation dient. Entscheidend sind dabei unterstützte VM-Familien, Images, Treiber und die Integrationsfähigkeit der Anwendung. AMD SEV-SNP and Intel TDX both address memory isolation and integrity for virtual machines, while Azure Attestation acts as the trust anchor for remote attestation. Supported VM families, images, drivers, and the application integration model remain decisive.

• Prüfe vorab, ob Gastbetriebssystem, Kernel und Agenten für vertrauliche VM-Typen freigegeben sind. Verify early whether the guest OS, kernel, and agents are supported for confidential VM types.
• Attestation ist nur wertvoll, wenn abhängige Systeme ihre Ergebnisse auch erzwingen oder auswerten. Attestation is only valuable if dependent systems actually enforce or evaluate the results.
• Plane Image-Härtung, Schlüsselzugriff und Netzwerkpfade gemeinsam mit dem Confidential-Design. Plan image hardening, key access, and network paths together with the confidential design.
• Nicht jede Performance- oder Treiberanforderung ist mit jedem Confidential-SKU kompatibel. Not every performance or driver requirement is compatible with every confidential SKU.

az vm create \
  --name cvm-app-01 \
  --resource-group rg-confidential \
  --image Ubuntu2204 \
  --size Standard_DC2as_v5 \
  --security-type ConfidentialVM \
  --enable-vtpm true \
  --enable-secure-boot true
        

resource cvm 'Microsoft.Compute/virtualMachines@2024-03-01' = {
  name: 'cvm-app-01'
  location: resourceGroup().location
  properties: {
    securityProfile: {
      securityType: 'ConfidentialVM'
      uefiSettings: {
        secureBootEnabled: true
        vTpmEnabled: true
      }
    }
    hardwareProfile: {
      vmSize: 'Standard_DC2as_v5'
    }
    storageProfile: {
      imageReference: {
        publisher: 'Canonical'
        offer: '0001-com-ubuntu-server-jammy'
        sku: '22_04-lts'
        version: 'latest'
      }
    }
  }
}
        

Azure Private Link und DNS-Design Azure Private Link and DNS design

Private Link verschiebt den Datenpfad vieler Azure-Plattformdienste von einem öffentlichen Endpunkt auf eine private IP in deinem VNet. Authentifizierung, Dienst-FQDN und viele SDKs bleiben gleich, aber DNS muss die Auflösung gezielt auf die private Adresse umlenken. Private Link shifts the data path for many Azure platform services from a public endpoint to a private IP in your VNet. Authentication, service FQDNs, and most SDKs remain the same, but DNS must deliberately resolve those names to the private address.

Das häufigste Architekturproblem ist nicht der Private Endpoint selbst, sondern das DNS-Muster über Hub/Spoke, On-Premises, Resolver und mehrere gleichartige Endpunkte hinweg. Private DNS Zones, Azure Private Resolver und Forwarding-Regeln sollten früh designt werden. The most common architecture problem is not the private endpoint itself but the DNS model across hub/spoke, on-premises, resolvers, and multiple like-for-like endpoints. Private DNS zones, Azure Private Resolver, and forwarding rules should be designed early.

Einige Plattformdienste benötigen mehrere Private-DNS-Zonen oder Subressourcen, zum Beispiel Storage, Azure Monitor oder Web Apps mit SCM-Endpunkt. Deshalb gehört die DNS-Dokumentation immer direkt ins IaC-Modul des jeweiligen Dienstes. Some platform services need multiple private DNS zones or subresources, such as Storage, Azure Monitor, or Web Apps with an SCM endpoint. DNS documentation should therefore live directly in the IaC module for each service.

Die folgende Übersicht gruppiert die kommerziell unterstützten Private-Link-Dienste nach Domäne und deckt die typischen Daten- oder Kontrollpfade ab, die in Enterprise-Landing-Zones relevant sind. The following overview groups commercially supported Private Link services by domain and covers the typical data or control paths that matter in enterprise landing zones.

• Private Link schützt den Datenpfad; NSGs, RBAC und Dienst-Firewalls bleiben zusätzlich relevant. Private Link protects the data path; NSGs, RBAC, and service firewalls remain important.
• Storage-Clients und SMB-Szenarien erfordern oft Tests für Namensauflösung, Mount-Verhalten und Failover. Storage clients and SMB scenarios often require testing for name resolution, mount behavior, and failover.
• Dokumentiere pro Dienst FQDN, Subresource, DNS-Zone, Resolver-Weg und Freigabepfade. Document FQDN, subresource, DNS zone, resolver path, and approval flow per service.
• Überlappende Public- und Private-Endpunkt-Nutzung ohne Forwarding-Konzept führt schnell zu Supportfällen. Overlapping public and private endpoint usage without a forwarding concept quickly leads to support cases.
• Verifiziere DNS immer mit Test-VMs in jedem relevanten Netzsegment. Always validate DNS with test VMs in every relevant network segment.

az network private-endpoint create \
  --name pe-kv-sec-core-001 \
  --resource-group rg-network \
  --vnet-name vnet-hub \
  --subnet snet-private-endpoints \
  --private-connection-resource-id $(az keyvault show --name kv-sec-core-001 --query id -o tsv) \
  --group-id vault \
  --connection-name kv-connection

az network private-dns zone create \
  --resource-group rg-network \
  --name privatelink.vaultcore.azure.net
        

$zone = New-AzPrivateDnsZone -Name "privatelink.vaultcore.azure.net" -ResourceGroupName "rg-network"
$link = New-AzPrivateDnsVirtualNetworkLink `
  -ZoneName $zone.Name `
  -ResourceGroupName "rg-network" `
  -Name "hub-link" `
  -VirtualNetworkId (Get-AzVirtualNetwork -Name "vnet-hub" -ResourceGroupName "rg-network").Id

Get-AzPrivateEndpoint -Name "pe-kv-sec-core-001" -ResourceGroupName "rg-network" 
        

resource privateDnsZone 'Microsoft.Network/privateDnsZones@2020-06-01' = {
  name: 'privatelink.vaultcore.azure.net'
  location: 'global'
}

resource zoneGroup 'Microsoft.Network/privateEndpoints/privateDnsZoneGroups@2023-09-01' = {
  name: 'default'
  parent: privateEndpoint
  properties: {
    privateDnsZoneConfigs: [
      {
        name: 'vault-zone'
        properties: {
          privateDnsZoneId: privateDnsZone.id
        }
      }
    ]
  }
}
        

Microsoft Defender for IoT Microsoft Defender for IoT

Defender for IoT adressiert industrielle OT- und Enterprise-IoT-Szenarien, in denen Geräte, Protokolle und Netzsegmente häufig nicht nach klassischen IT-Mustern verwaltet werden. Schwerpunkt sind Asset Discovery, Protokollverständnis, Bedrohungsanalyse und Sicherheitsmonitoring. Defender for IoT addresses industrial OT and enterprise IoT scenarios where devices, protocols, and network segments are often not managed like traditional IT. The focus is asset discovery, protocol awareness, threat analysis, and security monitoring.

Für OT-Umgebungen kommen häufig passive Sensoren oder spiegelnde Netzpfade zum Einsatz, um Produktionsnetze nicht zu stören. Daraus entstehen Architekturfragen zu Port Mirroring, Netzwerkzugang, Appliance-Lebenszyklus und Integration in SOC-Workflows. For OT environments, passive sensors or mirrored network paths are common so production networks are not disrupted. This creates architecture questions around port mirroring, network access, appliance lifecycle, and SOC integration.

Defender for IoT ist besonders wertvoll, wenn industrielle Assets in dasselbe Risikobild wie Cloud- und Endpoint-Signale eingeordnet werden. Der Mehrwert steigt also mit sauberem Asset-Owner-Modell, Incident-Routing und klaren Playbooks. Defender for IoT is most valuable when industrial assets are brought into the same risk picture as cloud and endpoint signals. Value increases with a clear asset-owner model, incident routing, and well-defined playbooks.

• OT-Netzwerke bevorzugen passive Beobachtung statt aktiver Scanner. OT networks usually prefer passive observation instead of active scanners.
• Asset-Inventar und Verantwortlichkeiten sind Voraussetzung für wirksame Reaktion. Asset inventory and ownership are prerequisites for effective response.
• Berücksichtige Wartungsfenster und Safety-Prozesse in jeder Security-Änderung. Respect maintenance windows and safety processes in every security change.
• Integriere OT-Alarme in dasselbe Incident-Triage-Modell wie Cloud- und Endpoint-Alarme. Integrate OT alerts into the same incident triage model as cloud and endpoint alerts.

Preismodelle, typische Kostentreiber und wichtige Grenzen Pricing models, typical cost drivers, and important limits

Sicherheitsdienste in Azure werden meist nach geschützten Ressourcen, aktivierten Schutzplänen, Transaktionen, analysiertem Datenvolumen oder Netzexposition abgerechnet. Eine gute Referenzarchitektur dokumentiert deshalb nicht nur den Zielzustand, sondern auch die auslösenden Kostentreiber. Azure security services are usually billed by protected resources, enabled protection plans, transaction volume, analyzed data volume, or network exposure. A good reference architecture therefore documents not only the target state but also the cost drivers.

Grenzen und Quoten ändern sich nach Region und SKU. Für Produktionsentscheidungen sollten stets die aktuellen Microsoft-Dokumente geprüft werden. Die folgende Tabelle fasst typische, planungsrelevante Muster zusammen, ohne tagesaktuelle Listenpreise vorwegzunehmen. Limits and quotas change by region and SKU. Production decisions should always validate the current Microsoft documentation. The following table summarizes planning-relevant patterns without hardcoding day-specific list prices.

• Plane Sicherheitskosten als Teil der Landing-Zone-FinOps und nicht erst nach dem Go-live. Plan security cost as part of landing-zone FinOps, not only after go-live.
• Bewerte Traffic-Muster, Anzahl Endpunkte und Protokollvolumen pro Umgebung. Evaluate traffic patterns, endpoint count, and log volume per environment.
• Nutze Pilot-Subscriptions, um Policy-, Defender- und WAF-Tuning vor dem Rollout zu validieren. Use pilot subscriptions to validate policy, defender, and WAF tuning before rollout.

Empfohlenes Umsetzungsmodell Recommended implementation model

Ein pragmatischer Einführungsplan startet mit Identität, Logging und Governance, erweitert dann auf Private Link und Key Management und aktiviert anschließend workload-spezifische Schutzpläne und Spezialfunktionen wie Confidential Computing oder Defender for IoT nur dort, wo die Anforderungen es rechtfertigen. A pragmatic rollout plan starts with identity, logging, and governance, then extends to private access and key management, and finally enables workload-specific protection plans and specialized capabilities such as confidential computing or Defender for IoT only where justified.

• Phase 1: Management Groups, RBAC-Modell, Diagnose-Standards, zentrale Workspaces. Phase 1: management groups, RBAC model, diagnostic standards, central workspaces.
• Phase 2: Key Vault/Managed HSM, Private Link Muster, DNS-Resolver, Policy Baselines. Phase 2: Key Vault/Managed HSM, Private Link patterns, DNS resolvers, policy baselines.
• Phase 3: Defender-Pläne für priorisierte Workloads, WAF-/DDoS-Abdeckung, SOC-Integration. Phase 3: Defender plans for prioritized workloads, WAF/DDoS coverage, SOC integration.
• Phase 4: Confidential Workloads, OT/IoT-Sichtbarkeit, automatisierte Remediation und Attack-Path-gesteuerte Priorisierung. Phase 4: confidential workloads, OT/IoT visibility, automated remediation, and attack-path-driven prioritization.