Wer in den letzten Monaten öfter in Azure-Umgebungen gearbeitet hat, ist an den Angriffspfad-Analysen von Defender CSPM kaum vorbeigekommen. Gerade in größeren Tenants sehe ich immer wieder, dass konkrete Risiken zwischen unzähligen Empfehlungen und Sicherheitsmeldungen schnell untergehen. An diesem Punkt hilft die Angriffspfad-Visualisierung von Microsoft Defender for Cloud. Im Alltag ist es ein großer Unterschied, ob ich mich durch Hunderte Empfehlungen scrolle oder auf einen Blick sehe, wie ein Angreifer von einer Schwachstelle bis zum tatsächlichen Abfluss von Daten kommen könnte.

Die Angriffspfade liegen im Azure-Portal und im Defender-Portal

Die Übersicht der Angriffspfade steht direkt im Azure-Portal unter Microsoft Defender for Cloud → Angriffspfade bereit. Außerdem taucht sie im Defender-Portal in der Exposure-Management-Ansicht auf. Für Kunden, die mehrere Security-Produkte einsetzen, ist das praktisch. Voraussetzung ist der Defender-CSPM-Plan, die kostenlose Foundational-CSPM-Stufe genügt nicht (mehr dazu weiter unten). Mir gefällt besonders, dass die Ansicht kein Inseldasein führt, sondern in die gewohnten Security-Abläufe eingebunden ist. Ich kann die Pfade filtern, nach Risiko sortieren und mit wenigen Klicks bis zu den verwundbaren Ressourcen oder privilegierten Identitäten verfolgen.

Defender CSPM setzt die Pfade aus mehreren Risikoquellen zusammen

Das Exposure Management von Defender CSPM verknüpft im Kern mehrere Informationsquellen: die Erreichbarkeit aus dem Internet, bekannte Schwachstellen, Identitäten mit ihren Berechtigungen und seit letztem Jahr auch sensible Datenquellen wie Key Vaults oder Storage Accounts. Aus diesen Daten leitet der Dienst automatisch Pfade ab, die ein Angreifer realistischerweise gehen könnte. Die Reihenfolge richtet sich nach dem Risiko und nicht einfach danach, wie oft eine Empfehlung auftaucht. So werden auch seltene, aber gefährliche Kombinationen sichtbar. Ein Beispiel: Ein Storage Account mit sensiblen Daten ist über ein falsch konfiguriertes VM-Subnetz aus dem Internet erreichbar, und gleichzeitig existiert ein Service Principal mit zu weitreichenden Rechten.

Zur Veranschaulichung habe ich einen einfachen Angriffspfad als Flussdiagramm skizziert:

flowchart TD
  Internet["Internet"] --> VM["VM mit Schwachstelle"]
  VM --> Identity["Identität mit hohen Rechten"]
  Identity --> KeyVault["Key Vault mit sensiblen Schlüsseln"]
  KeyVault --> Exfiltration["Datenabfluss"]

Abbildung: Beispiel für einen von Defender CSPM erkannten Angriffspfad

An dem Diagramm lässt sich ablesen, wie Defender CSPM einen Angriff über unterschiedliche Ressourcentypen und Identitäten hinweg verfolgt. Jeder Schritt stützt sich auf Verbindungen und Risiken, die der Dienst tatsächlich festgestellt hat.

Der Cloud Security Explorer beantwortet eigene Abfragen

Zusätzlich zu den automatisch erzeugten Angriffspfaden gibt es seit einiger Zeit den Cloud Security Explorer im Defender-for-Cloud-Portal. Dort formuliere ich eigene „Was-wäre-wenn“-Abfragen und suche etwa nach allen Ressourcen, die aus dem Internet erreichbar sind und Schwachstellen mit bekanntem Exploit-Potenzial haben. Als Filter stehen Subscription, Ressourcentyp, Sensitivität oder Identität zur Verfügung. Hilfreich finde ich auch, dass der Explorer die Zusammenhänge zwischen Infrastruktur, Identitäten und Daten offenlegt. In komplexen Umgebungen und bei der Vorbereitung von Audit-Checks bringt mir das spürbar mehr Überblick.

Tipp aus der Praxis: Wer mit dem Cloud Security Explorer arbeitet, sollte sich angewöhnen, regelmäßig eigene Saved Queries anzulegen, zum Beispiel für besonders schützenswerte Umgebungen oder für neue Angriffswege nach Änderungen im Tenant. Das spart später Zeit, und man kann nachvollziehen, wie sich das Risiko entwickelt hat.

Mehr Details und Beispiele liefern der offizielle Konzeptartikel zu Angriffspfaden und die Anleitung zur Verwaltung von Angriffspfaden.

Agentenloses Scanning und der kostenpflichtige Plan sind Voraussetzung

Damit Defender CSPM Angriffspfade zuverlässig erkennt, muss das agentenlose Scanning auf allen relevanten Subscriptions und Ressourcengruppen eingeschaltet sein. Abgerechnet wird der Defender-CSPM-Plan pro Ressource (VM, Storage Account usw.). Diese Kosten sollte man bei der Einführung nicht unterschätzen. Für die Grundfunktionen reicht zwar der kostenlose Foundational-CSPM-Plan, doch ausgerechnet die Angriffspfad-Analysen und der Cloud Security Explorer gehören dort nicht dazu. Wer diese Funktionen braucht, kommt um den kostenpflichtigen Plan nicht herum.

Azure-VM-Erweiterungen sind für das agentenlose Scanning nicht erforderlich. Die Ressourcen müssen allerdings in Azure gehostet sein und unter die Defender-Policy fallen. In hybriden Szenarien rate ich dazu, zusätzlich Defender for Servers einzusetzen. Die Hintergründe habe ich im Beitrag Defender for Servers Plan 1 oder 2: Entscheidungshilfe aus der Praxis beschrieben.

Im Portal ist das agentenlose Scanning in drei Schritten aktiviert

  1. Azure-Portal → Microsoft Defender for Cloud → Umgebung auswählen
  2. „Abdeckung“ (Coverage) → Agentenloses Scanning → Aktivieren
  3. Kontrollieren, ob alle gewünschten Ressourcentypen (VMs, Storage usw.) abgedeckt sind

Das tatsächliche Risiko zählt mehr als die Zahl der Empfehlungen

Die übliche Masse an Empfehlungen bringt in der Praxis oft wenig, weil sie das tatsächliche Geschäftsrisiko nicht berücksichtigt. Die Angriffspfade von Defender CSPM gehen das Problem anders an. Statt einer Liste von „Empfehlungen“ bekomme ich eine nach Risiko sortierte Übersicht, in der die wahrscheinlichsten und folgenschwersten Angriffswege oben stehen. In meinen Projekten hat das die Zusammenarbeit zwischen Security-Verantwortlichen und Betriebsteams deutlich erleichtert. Mit einem konkreten Angriffspfad lässt sich im Change-Management und gegenüber den Fachbereichen viel besser argumentieren.

Wer sich eingehender damit beschäftigen möchte, findet unter Cloud Security Posture Management im Detail einen guten Überblick samt Links zu weiteren Empfehlungen.

Ihren Wert entfalten Angriffspfade erst im täglichen Betrieb

Den eigentlichen Nutzen der Angriffspfade von Defender CSPM spürt man erst, wenn man sie fest in die tägliche Arbeit einbaut. Die Visualisierung deckt Schwachstellen auf und zeigt außerdem, welche Maßnahmen das Gesamtrisiko wirklich senken. Zusammen mit Exposure Management und den Schwachstellenberichten aus Defender for Servers ergibt sich ein deutlich vollständigeres Bild. Wie das aussehen kann, habe ich bereits unter Security Exposure Management in der Praxis: Überblick und Einstieg beschrieben.

Für mich ist klar, dass Angriffspfad-Analysen kein „Nice-to-have“ mehr sein sollten. Wer Azure produktiv nutzt, sollte sie als Standard betrachten. Vor allem in großen oder über Jahre gewachsenen Umgebungen sorgen sie für Transparenz und helfen, kritische Lücken gezielt und in sinnvoller Reihenfolge zu schließen.