Funktionen

Was das Ledger erfasst.

Guardrail Ledger verfolgt Azure-Guardrail-Drift — Richtlinienzuweisungen, Exemptions, RBAC und Tags — gegenüber einer gespeicherten Baseline. Jede Abweichung kann mit Verantwortlichem, Genehmiger und Ablaufdatum akzeptiert werden, damit Auditoren sehen, wer freigegeben hat, nicht nur was sich geändert hat.

  • Azure-Richtlinien-Abweichungen

    Täglicher Vergleich von Richtlinienzuweisungen und Ausnahmen gegenüber der letzten Baseline, pro Abonnement und Geltungsbereich.

  • RBAC-Abweichungen

    Rollenzuweisungsänderungen werden täglich verglichen, sodass Zugriffsabweichungen mit dem Geltungsbereich sichtbar werden, in dem sie aufgetreten sind.

  • Tag-Abweichungen

    Ressourcen-Tag-Änderungen werden gegenüber der Baseline verfolgt, sodass Tag-Abweichungen neben Richtlinien und RBAC sichtbar sind.

  • Defender for Cloud-Zuordnung

    Empfehlungen werden mit dem Namen der betroffenen Steuerung geliefert, nicht mit einer rohen Empfehlungs-ID, sowie mit Landing-Zone-Abweichungs-Flags.

  • Erkennung von Expositionsmustern

    Öffentliche IPs, internetzugängliche Speicherkonten und erweiterter Key Vault-Zugriff werden gemäß ISO 27001:2022 A.8.20 markiert.

  • Ausnahmeregister

    Jede akzeptierte Abweichung erhält einen Eigentümer, Genehmiger, ein Ablaufdatum und einen dokumentierten Grund – zugeordnet zu CIS Azure Foundations und ISO 27001:2022 A.8.9.

  • ITSM-Abweichungs-Übersicht

    Neue Abweichungen aus dem täglichen Scan öffnen Tickets in Ihrem ITSM, sodass Weiterleitung und Verantwortlichkeit schon bei der Erkennung beginnen.

  • Monatliche Audit-Pakete

    Signierte Exporte werden in Cloudflare R2 mit zeitlich begrenzten Download-URLs geschrieben – Abweichungshistorie und Freigabeaufzeichnungen in einer Datei.

  • Schreibgeschützte Collectors

    Unterstützte Collectors lesen Azure Policy, Exemptions, RBAC und Tags. Es wird nichts in Ihre Azure-Umgebung zurückgeschrieben.

So funktioniert es.

  1. Verbinden Sie Ihre Abonnements

    Die unterstützte Collector-Einrichtung gewährt Lesezugriff auf Azure Policy, Ausnahmen, RBAC und Tags. Es wird nichts in Ihre Umgebung zurückgeschrieben.

  2. Drift wird erkannt und weitergeleitet

    Jeder Scan vergleicht den aktuellen Zustand mit der letzten Baseline. Neue Abweichungen und Defender-Findings werden Controls zugeordnet, und der Drift-Überblick öffnet ITSM-Tickets.

  3. Ausnahmen und Prüfprotokolle werden erfasst

    Akzeptierte Abweichungen werden mit Verantwortlichem, Genehmiger und Ablaufdatum in das Ausnahmenregister eingetragen. Am Monatsende steht ein signiertes Audit-Paket für Ihren Prüfer bereit.

Beginnen Sie mit der Verfolgung von Guardrail-Drift.

Verbinden Sie Ihre Azure-Abonnements, erfassen Sie Ausnahmen mit dokumentierten Genehmigern und übergeben Sie Prüfern ein signiertes monatliches Paket.