Freigeben über

Benchmarks des Center for Internet Security (CIS)

Informationen zu CIS-Benchmarks

Das Center for Internet Security ist eine gemeinnützige Organisation, deren Aufgabe es ist, "best practice-Lösungen für Cyberdefense zu identifizieren, zu entwickeln, zu validieren, zu fördern und aufrechtzuerhalten." Es stützt sich auf die Expertise von Cybersicherheits- und IT-Experten aus Behörden, Unternehmen und Wissenschaft aus der ganzen Welt. Zur Entwicklung von Standards und bewährten Methoden, einschließlich CIS-Benchmarks, Steuerungen und gehärteten Images, wird ein konsensbasiertes Entscheidungsmodell befolgt.

CIS-Benchmarks sind Basispläne für Konfiguration und bewährte Methoden zur sicheren Konfiguration eines Systems. Jede dieser Empfehlungen verweist auf ein oder mehrere CIS-Steuerelemente , die Organisationen dabei helfen, ihre Cyberdefense-Funktionen zu verbessern. Die CIS-Steuerungen entsprechen zahlreichen etablierten Normen und aufsichtsrechtlichen Rahmenbedingungen, einschließlich des NIST Cybersecurity Framework (CSF) und des NIST-SP 800-53, der ISO 27000-Reihe von Standards, PCI DSS, HIPAA und weiteren.

Jeder Benchmark unterliegt zwei Phasen der konsensbasierten Überprüfung. Die erste Phase findet während der ersten Entwicklung statt, wenn Experten zusammen kommen, um Arbeitsentwürfe zu diskutieren, zu erstellen und zu testen, bis sie zu einem Konsens über die Benchmark gelangen. In der zweiten Phase, nach der Veröffentlichung des Benchmarks, überprüft das Konsensteam das Feedback der Internetcommunity für die Einbindung in die Benchmark.

CIS-Benchmarks bieten zwei Ebenen von Sicherheitseinstellungen:

  • Ebene 1 empfiehlt grundlegende Sicherheitsanforderungen, die Sie auf jedem System konfigurieren können und die zu einer geringen oder gar keinen Unterbrechung des Diensts oder zu einer eingeschränkten Funktionalität führen sollten.
  • Ebene 2 empfiehlt Sicherheitseinstellungen für Umgebungen, die mehr Sicherheit erfordern, was zu einer verringerten Funktionalität führen kann.

Gehärtete CIS-Images sind sicher konfigurierte Images von virtuellen Maschinen basierend auf CIS-Benchmarks, die auf einem CIS-Benchmarkprofil der Ebene 1 oder Ebene 2 gehärtet wurden. Das „Härten“ ist ein Prozess, der Schutz vor unbefugtem Zugriff, Denial-of-Service-Angriffen und anderen Cyberbedrohungen bietet, indem potenzielle Schwachstellen eingeschränkt werden, die für Cyberattacken anfällig sind.

Microsoft und die CIS-Benchmarks

Das Center for Internet Security (CIS) veröffentlicht Benchmarks für Microsoft-Produkte und -Dienste, einschließlich der Microsoft Azure und Microsoft 365 Foundations Benchmarks, der Windows 11 Benchmark und der Windows Server 2022 Benchmark. Der CIS Microsoft Azure Foundations Benchmark richtet sich an Kunden, die Lösungen entwickeln, bereitstellen, bewerten oder sichern möchten, die Azure enthalten. Das Dokument enthält verbindliche Anweisungen für die Einrichtung einer sicheren Basislinienkonfiguration für Azure.

CIS-Benchmarks werden international als Sicherheitsstandards für den Schutz von IT-Systemen und Daten vor Cyberangriffen anerkannt. Tausende von Unternehmen verwenden sie, um einen leitfaden für die Einrichtung einer sicheren Baselinekonfiguration zu erhalten. System- und Anwendungsadministratoren, Sicherheitsexperten und andere Personen, die Lösungen mithilfe von Microsoft-Produkten und -Diensten entwickeln, können diese bewährten Methoden verwenden, um die Sicherheit ihrer Anwendungen zu bewerten und zu verbessern.

Wie alle CIS-Benchmarks wurden die Microsoft-Benchmarks durch einen Konsensüberprüfungsprozess erstellt, der auf beiträgen von Experten mit unterschiedlichem Hintergrund basiert, die softwareentwicklung, audit and compliance, security research, operations, government und law umfassen. Bei diesen CIS-Bemühungen war Microsoft ein unentbehrlicher Partner. Microsoft 365 wurde beispielsweise mit den aufgeführten Diensten getestet, und der resultierende Microsoft 365 Foundations Benchmark deckt eine breite Palette von Empfehlungen zum Festlegen geeigneter Sicherheitsrichtlinien ab, die Konto- und Authentifizierung, Datenverwaltung, Anwendungsberechtigungen, Speicher und andere Sicherheitsrichtlinienbereiche abdecken.

Zusätzlich zu den Benchmarks für Microsoft-Produkte und -Dienste hat CIS gehärtete CIS-Images in Azure veröffentlicht, die so konfiguriert sind, dass sie CIS-Benchmarks erfüllen und im Microsoft Azure Marketplace verfügbar sind. Diese Images enthalten die CIS Hardened Images für Windows Server 2019 und Windows Server 2022 sowie viele Versionen von Linux. Alle gehärtete CIS-Images, die im Azure Marketplace verfügbar sind, sind für die Ausführung auf Microsoft Azure zertifiziert. Cis erklärt: "Sie sind vorab auf Bereitschaft und Kompatibilität mit der öffentlichen Cloud von Microsoft Azure, der Microsoft Cloud Platform, die von Dienstanbietern über das Cloud OS Network gehostet wird, und lokalen privaten Clouds Windows Server Hyper-V-Bereitstellungen, die von Kunden verwaltet werden" getestet.

Gehärtete CIS-Images sind sicher konfigurierte Images von virtuellen Computern basierend auf CIS-Benchmarks, die auf einem CIS-Benchmarkprofil der Ebene 1 oder Ebene 2 gehärtet wurden. Das „Härten“ ist ein Prozess, der Schutz vor unbefugtem Zugriff, Denial-of-Service-Angriffen und anderen Cyberbedrohungen bietet, indem potenzielle Schwachstellen eingeschränkt werden, die für Cyberattacken anfällig sind. Gehärtete CIS-Images sind sowohl in Azure als auch in Azure Government verfügbar.

Für zusätzliche Kundenunterstützung stellt Microsoft Azure Blueprintsbereit. Dies ist ein Dienst, der Ihnen hilft, Cloudumgebungen auf wiederholbare Weise bereitzustellen und zu aktualisieren, indem sie zusammensetzbare Artefakte wie Azure Resource Manager-Vorlagen zum Bereitstellen von Ressourcen, rollenbasierten Zugriffssteuerungen und Richtlinien verwendet. Ressourcen, die über Azure Blueprints bereitgestellt werden, entsprechen den Standards, Mustern und Complianceanforderungen einer Organisation. Das übergeordnete Ziel von Azure Blueprints ist die Automatisierung der Compliance und des Cybersicherheitsrisikomanagements in Cloudumgebungen. Um Ihnen bei der Bereitstellung eines zentralen Satzes von Richtlinien für jede Azure-basierte Architektur, die CIS Azure Foundations-Benchmarkempfehlungen implementieren muss, zu helfen, hat Microsoft den Azure Blueprint für den CIS Microsoft Azure Foundation Benchmark veröffentlicht. Bei der Zuordnung zu einer Architektur wertet Azure Policy Ressourcen auf Konformität mit zugewiesenen Richtliniendefinitionen aus.

In-Scope-Cloudplattformen und -Dienste von Microsoft

Prüfungen, Berichte und Zertifikate

Rufen Sie eine vollständige Liste von CIS-Benchmarks für Microsoft-Produkte und -Dienste ab.

Implementierung

Häufig gestellte Fragen

Wird durch eine Einhaltung der CIS-Benchmarkeinstellungen die Sicherheit meiner Anwendungen gewährleistet?

CIS-Benchmarks legen das grundlegende Maß an Sicherheit für alle Personen fest, die Microsoft-Produkte und -Dienste einführen. Betrachten Sie sie jedoch nicht als vollständige Liste aller möglichen Sicherheitskonfigurationen und -architekturen, sondern als Ausgangspunkt. Jede Organisation muss weiterhin ihre spezifische Situation, Arbeitslast und Complianceanforderungen auswerten und ihre Umgebung entsprechend anpassen.

Wie oft werden CIS-Benchmarks aktualisiert?

Die Veröffentlichung überprüfter CSI-Benchmarks ändert sich in Abhängigkeit von der Community von IT-Experten, die den Benchmark entwickelt haben, und in Abhängigkeit vom Veröffentlichungsplan der Technologie, die der Benchmark unterstützt. CIS veröffentlicht monatliche Berichte, in denen neue Benchmarks und Aktualisierungen an vorhandenen Benchmarks angekündigt werden. Um diese Berichte zu erhalten, registrieren Sie sich für die CIS Workbench (kostenlos) und checken Newsletter in Ihrem Profil erhalten.

Wer hat zur Entwicklung von Microsoft-CIS-Benchmarks beigetragen?

CIS betont, dass seine „Benchmarks mithilfe der großzügigen Freiwilligenarbeit von Sachverständigen, Technologieanbietern, öffentlichen und privaten Mitgliedern der CIS-Community sowie des CIS-Benchmark-Entwicklungsteams entwickelt werden“. Unter CIS Microsoft Azure Foundations Benchmark v1.0.0 Now Available finden Sie beispielsweise eine Liste der Personen, die an Azure mitgewirkt haben.

Verwenden von Microsoft Purview Compliance Manager zum Bewerten Ihres Risikos

Microsoft Purview Compliance Manager ist ein Feature im Microsoft Purview-Portal, mit dem Sie den Compliancestatus Ihrer organization verstehen und Maßnahmen ergreifen können, um Risiken zu reduzieren. Compliance Manager bietet eine Premiumvorlage für die Erstellung einer Bewertung für diese Verordnung. Suchen Sie die Vorlage auf der Seite Bewertungsvorlagen im Compliance Manager. Erfahren Sie, wie Sie Bewertungen im Compliance-Manager erstellen.

Ressourcen

  • Last updated on