Funktionen
Was das Register erfasst.
Das Guardrail-Ledger verfolgt Azure-Guardrail-Abweichungen – Richtlinienzuweisungen, Ausnahmen, RBAC und Tags – gegenüber einer gespeicherten Baseline. Jede Abweichung kann mit einem Eigentümer, Genehmiger und Ablaufdatum akzeptiert werden, damit Auditoren sehen, wer freigegeben hat, nicht nur was sich geändert hat.
-
Azure-Richtlinien-Abweichungen
Täglicher Vergleich von Richtlinienzuweisungen und Ausnahmen gegenüber der letzten Baseline, pro Abonnement und Geltungsbereich.
-
RBAC-Abweichungen
Rollenzuweisungsänderungen werden täglich verglichen, sodass Zugriffsabweichungen mit dem Geltungsbereich sichtbar werden, in dem sie aufgetreten sind.
-
Tag-Abweichungen
Ressourcen-Tag-Änderungen werden gegenüber der Baseline verfolgt, sodass Tag-Abweichungen neben Richtlinien und RBAC sichtbar sind.
-
Defender for Cloud-Zuordnung
Empfehlungen werden mit dem Namen der betroffenen Steuerung geliefert, nicht mit einer rohen Empfehlungs-ID, sowie mit Landing-Zone-Abweichungs-Flags.
-
Erkennung von Expositionsmustern
Öffentliche IPs, internetzugängliche Speicherkonten und erweiterter Key Vault-Zugriff werden gemäß ISO 27001:2022 A.8.20 markiert.
-
Ausnahmeregister
Jede akzeptierte Abweichung erhält einen Eigentümer, Genehmiger, ein Ablaufdatum und einen dokumentierten Grund – zugeordnet zu CIS Azure Foundations und ISO 27001:2022 A.8.9.
-
ITSM-Abweichungs-Übersicht
Neue Abweichungen aus dem täglichen Scan öffnen Tickets in Ihrem ITSM, sodass Routing und Eigentum bei der Erkennung beginnen.
-
Monatliche Audit-Pakete
Signierte Exporte werden in Cloudflare R2 mit zeitlich begrenzten Download-URLs geschrieben – Abweichungshistorie und Freigabeaufzeichnungen in einer Datei.
-
Schreibgeschützte Kollektoren
Unterstützte Kollektoren lesen Azure-Richtlinien, Ausnahmen, RBAC und Tags. Es wird nichts in Ihre Azure-Umgebung zurückgeschrieben.
So funktioniert es.
-
Verbinden Sie Ihre Abonnements
Die unterstützte Collector-Einrichtung gewährt Lesezugriff auf Azure Policy, Ausnahmen, RBAC und Tags. Es wird nichts in Ihre Umgebung zurückgeschrieben.
-
Drift wird erkannt und weitergeleitet
Jeder Scan vergleicht den aktuellen Zustand mit der letzten Baseline. Neue Abweichungen und Defender-Erkenntnisse werden Steuerelementen zugeordnet, und der Drift-Überblick öffnet ITSM-Tickets.
-
Ausnahmen und Prüfprotokolle werden erfasst
Akzeptierte Abweichungen werden mit Eigentümer, Genehmiger und Ablaufdatum in das Ausnahmen-Hauptbuch eingetragen. Am Monatsende steht ein signiertes Audit-Paket für Ihren Prüfer bereit.
Beginnen Sie mit der Verfolgung von Guardrail-Drift.
Verbinden Sie Ihre Azure-Abonnements, erfassen Sie Ausnahmen mit dokumentierten Genehmigern und übergeben Sie Prüfern ein signiertes monatliches Paket.