Microsoft Defender for Cloud Apps (CASB) Microsoft Defender for Cloud Apps (CASB)

Referenz zu Architektur, Cloud Discovery, Richtlinien, Conditional Access App Control, App Governance, Anomalieerkennung und Automatisierung in Microsoft Defender for Cloud Apps. Reference for architecture, cloud discovery, policies, Conditional Access App Control, app governance, anomaly detection, and automation in Microsoft Defender for Cloud Apps.

Architektur und Schutzmodell Architecture and protection model

Microsoft Defender for Cloud Apps vereint CASB-Funktionen für Transparenz, Richtlinienkontrolle und Schutz über SaaS-Dienste. Das Produkt deckt drei Hauptachsen ab: Cloud Discovery für Schatten-IT, Informationsschutz für Dateien und Freigaben sowie Bedrohungsschutz für Anomalien und missbräuchliche Aktivitäten. Microsoft Defender for Cloud Apps combines CASB capabilities for visibility, policy control, and protection across SaaS services. The product covers three main axes: cloud discovery for shadow IT, information protection for files and sharing, and threat protection for anomalies and abusive activity.

1. API-basierte Integrationen lesen Aktivitäten, Dateien und Freigaben aus verbundenen Apps aus und erlauben nachträgliche Governance. API-based integrations read activities, files, and shares from connected apps and allow post-event governance.
2. Log- und Endpoint-basierte Discovery erkennt auch nicht integrierte Cloud-Dienste und liefert eine vollständige Schatten-IT-Sicht. Log- and endpoint-based discovery also detects non-integrated cloud services and provides a complete shadow IT view.
3. Inline-Sitzungssteuerung ergänzt APIs um Echtzeitkontrollen während der Browser-Sitzung. Inline session control complements APIs with real-time controls during the browser session.

Cloud Discovery und App Discovery Dashboard Cloud discovery and app discovery dashboard

Cloud Discovery ist das Discovery-Modul von Defender for Cloud Apps. Es wertet Netzwerk- oder Endpoint-Telemetrie aus, ordnet Verbindungen Cloud-Apps zu und verknüpft diese mit Katalogdaten, Risikoscores und Governance-Status. Cloud discovery is the discovery module of Defender for Cloud Apps. It evaluates network or endpoint telemetry, maps connections to cloud apps, and enriches them with catalog data, risk scores, and governance state.

Discovery-Reports können als einmalige Snapshot-Auswertung oder als kontinuierlicher Bericht betrieben werden. Snapshots sind ideal für Erstanalysen; kontinuierliche Reports eignen sich für KPIs, Sanktionierung und Trendüberwachung. Discovery reports can run as one-time snapshot assessments or continuous reports. Snapshots are ideal for first assessments; continuous reports fit KPIs, sanctioning, and trend monitoring.

Policy-Typen in Defender for Cloud Apps Policy types in Defender for Cloud Apps

Defender for Cloud Apps kennt sieben Policy-Typen. Sie unterscheiden sich nach Datenquelle, Auslösezeitpunkt und möglichen Governance-Aktionen. Die Matrix unten dient als Einordnung, die folgenden Abschnitte listen die vollständigen Einstellungsfelder je Typ auf. Defender for Cloud Apps has seven policy types. They differ by data source, trigger time, and available governance actions. The matrix below provides orientation, and the following sections list the complete configuration fields for each type.

Zugriffsrichtlinien Access policies

Access Policies bestimmen, wer unter welchen Bedingungen auf überwachte Apps zugreifen darf oder in Inline-Kontrollen umgeleitet wird. Access policies determine who may access monitored apps under which conditions or be redirected into inline controls.

Sitzungsrichtlinien Session policies

Session Policies setzen während der aktiven Browser-Sitzung Echtzeitkontrollen durch und sind das Herzstück von Conditional Access App Control. Session policies enforce real-time controls during the active browser session and are the heart of Conditional Access App Control.

Aktivitätsrichtlinien Activity policies

Activity Policies prüfen API- und Audit-Ereignisse nach Verstößen, Datenmengen oder ungewöhnlichem Verhalten. Activity policies inspect API and audit events for violations, data volume, or unusual behavior.

Dateirichtlinien File policies

File Policies durchsuchen Dateien und Freigaben und koppeln sie an DLP, Labeling und Governance-Aktionen. File policies scan files and sharing posture and tie them to DLP, labeling, and governance actions.

Anomalieerkennungsrichtlinien Anomaly detection policies

Anomaly Policies basieren auf Microsoft-Analytik, Nutzerbaselines und bekannten Angriffsmustern. Anomaly policies are based on Microsoft analytics, user baselines, and known attack patterns.

App-Discovery-Richtlinien App discovery policies

App Discovery Policies leiten Sanktionierung und Alarme direkt aus Discovery-Daten ab. App discovery policies drive sanctioning and alerts directly from discovery data.

OAuth-App-Richtlinien OAuth app policies

OAuth App Policies überwachen Einwilligungen, Berechtigungen und riskantes App-Verhalten. OAuth app policies monitor consents, permissions, and risky app behavior.

Conditional Access App Control Conditional Access App Control

Conditional Access App Control erweitert Entra Conditional Access um eine Inline-Proxy-Schicht für Browser-Sitzungen. Dadurch lassen sich riskante Interaktionen nicht nur erkennen, sondern in Echtzeit beeinflussen. Conditional Access App Control extends Entra Conditional Access with an inline proxy layer for browser sessions. This makes it possible not only to detect risky interactions but to influence them in real time.

Sitzungssteuerungen in Echtzeit Real-time session controls

Benutzerdefinierte Apps Custom apps

Dateirichtlinien, DLP und Labels File policies, DLP, and labels

File Policies sind die Verbindung zwischen CASB und Data Protection. Sie erkennen falsch geteilte, unklassifizierte oder sensibel klassifizierte Inhalte und erzwingen bei Bedarf Governance in SaaS-Diensten. File policies are the bridge between the CASB and data protection. They detect wrongly shared, unclassified, or sensitively classified content and enforce governance in SaaS services when needed.

OAuth-App-Governance OAuth app governance

OAuth-Apps stellen ein eigenes Risiko dar, weil sie dauerhaft auf Daten zugreifen können, ohne dass jede Aktion eine neue Benutzerinteraktion auslöst. Defender for Cloud Apps und App Governance helfen, überprivilegierte oder missbräuchliche Apps sichtbar zu machen. OAuth apps create their own risk because they can access data continuously without requiring new user interaction for every action. Defender for Cloud Apps and App Governance help make over-privileged or abusive apps visible.

Anomalieerkennung und Angriffsszenarien Anomaly detection and attack scenarios

Anomaliepolicys liefern häufig die ersten Hinweise auf Kontenübernahmen, Datenabfluss oder fehlgeleitete Automatisierung. Sie sollten immer mit Identitätssignalen, Geräte- und Netzwerkdaten korreliert werden. Anomaly policies often provide the first clues of account takeover, data exfiltration, or broken automation. They should always be correlated with identity signals and device and network data.

Governance-Log, APIs und PowerShell Governance log, APIs, and PowerShell

Governance-Aktionen sind nur dann belastbar, wenn sie nachweisbar, wiederholbar und integrierbar sind. Deshalb sind Governance-Log, API-Zugriffe und PowerShell-Skripte fester Bestandteil jedes Betriebsmodells. Governance actions are reliable only when they are traceable, repeatable, and integrable. That is why the governance log, API access, and PowerShell scripts are mandatory parts of every operating model.

            Connect-MgGraph -Scopes "SecurityEvents.Read.All"
$incidents = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/incidents"
$incidents.value | Where-Object { $_.title -match "Cloud App|OAuth|Session" } | Select-Object id,title,severity,status
            Connect-MgGraph -Scopes "SecurityEvents.Read.All"
$incidents = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/incidents"
$incidents.value | Where-Object { $_.title -match "Cloud App|OAuth|Session" } | Select-Object id,title,severity,status
        

            # Tenant-spezifische Defender-for-Cloud-Apps-API
$token = "<MCAS-API-TOKEN>"
$headers = @{ Authorization = "Token $token" }
Invoke-RestMethod -Method GET -Headers $headers -Uri "https://contoso.portal.cloudappsecurity.com/api/v1/alerts/"
            # Tenant-specific Defender for Cloud Apps API
$token = "<MCAS-API-TOKEN>"
$headers = @{ Authorization = "Token $token" }
Invoke-RestMethod -Method GET -Headers $headers -Uri "https://contoso.portal.cloudappsecurity.com/api/v1/alerts/"
        

Betriebsempfehlungen Operational recommendations

1. Beginne mit Discovery und Monitoring, bevor du blockierende Session- oder Governance-Aktionen global einschaltest. Start with discovery and monitoring before turning on blocking session or governance actions globally.
2. Pflege App-Tags, Ausnahmen, Owner-Zuordnungen und Reviewer genauso diszipliniert wie Conditional-Access-Richtlinien. Maintain app tags, exceptions, owner mappings, and reviewers with the same discipline as Conditional Access policies.
3. Verbinde Defender for Cloud Apps mit Defender XDR, Sentinel, Purview und Entra Identity Protection für ein vollständiges Signalbild. Connect Defender for Cloud Apps with Defender XDR, Sentinel, Purview, and Entra ID Protection for a complete signal picture.
4. Miss nicht nur Alarme, sondern auch Governance-Durchlaufzeiten, Fehlerraten, Ausnahmealter und Business-Auswirkungen. Measure not just alerts, but also governance lead times, failure rates, exception age, and business impact.