Funktionen
Was das Ledger erfasst.
Guardrail Ledger verfolgt Azure-Guardrail-Drift — Richtlinienzuweisungen, Exemptions, RBAC und Tags — gegenüber einer gespeicherten Baseline. Jede Abweichung kann mit Verantwortlichem, Genehmiger und Ablaufdatum akzeptiert werden, damit Auditoren sehen, wer freigegeben hat, nicht nur was sich geändert hat.
-
Azure-Richtlinien-Abweichungen
Täglicher Vergleich von Richtlinienzuweisungen und Ausnahmen gegenüber der letzten Baseline, pro Abonnement und Geltungsbereich.
-
RBAC-Abweichungen
Rollenzuweisungsänderungen werden täglich verglichen, sodass Zugriffsabweichungen mit dem Geltungsbereich sichtbar werden, in dem sie aufgetreten sind.
-
Tag-Abweichungen
Ressourcen-Tag-Änderungen werden gegenüber der Baseline verfolgt, sodass Tag-Abweichungen neben Richtlinien und RBAC sichtbar sind.
-
Defender for Cloud-Zuordnung
Empfehlungen werden mit dem Namen der betroffenen Steuerung geliefert, nicht mit einer rohen Empfehlungs-ID, sowie mit Landing-Zone-Abweichungs-Flags.
-
Erkennung von Expositionsmustern
Öffentliche IPs, internetzugängliche Speicherkonten und erweiterter Key Vault-Zugriff werden gemäß ISO 27001:2022 A.8.20 markiert.
-
Ausnahmeregister
Jede akzeptierte Abweichung erhält einen Eigentümer, Genehmiger, ein Ablaufdatum und einen dokumentierten Grund – zugeordnet zu CIS Azure Foundations und ISO 27001:2022 A.8.9.
-
ITSM-Abweichungs-Übersicht
Neue Abweichungen aus dem täglichen Scan öffnen Tickets in Ihrem ITSM, sodass Weiterleitung und Verantwortlichkeit schon bei der Erkennung beginnen.
-
Monatliche Audit-Pakete
Signierte Exporte werden in Cloudflare R2 mit zeitlich begrenzten Download-URLs geschrieben – Abweichungshistorie und Freigabeaufzeichnungen in einer Datei.
-
Schreibgeschützte Collectors
Unterstützte Collectors lesen Azure Policy, Exemptions, RBAC und Tags. Es wird nichts in Ihre Azure-Umgebung zurückgeschrieben.
So funktioniert es.
-
Verbinden Sie Ihre Abonnements
Die unterstützte Collector-Einrichtung gewährt Lesezugriff auf Azure Policy, Ausnahmen, RBAC und Tags. Es wird nichts in Ihre Umgebung zurückgeschrieben.
-
Drift wird erkannt und weitergeleitet
Jeder Scan vergleicht den aktuellen Zustand mit der letzten Baseline. Neue Abweichungen und Defender-Findings werden Controls zugeordnet, und der Drift-Überblick öffnet ITSM-Tickets.
-
Ausnahmen und Prüfprotokolle werden erfasst
Akzeptierte Abweichungen werden mit Verantwortlichem, Genehmiger und Ablaufdatum in das Ausnahmenregister eingetragen. Am Monatsende steht ein signiertes Audit-Paket für Ihren Prüfer bereit.
Beginnen Sie mit der Verfolgung von Guardrail-Drift.
Verbinden Sie Ihre Azure-Abonnements, erfassen Sie Ausnahmen mit dokumentierten Genehmigern und übergeben Sie Prüfern ein signiertes monatliches Paket.