Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Behebung von Risiken für Azure Function-Apps
AWS Security Hub kann Risikoprüfungen für Azure Function-Apps generieren.
Auf der Security Hub-Konsole werden die Azure Function-App, die an einer Gefahrenfeststellung beteiligt war, und ihre identifizierenden Informationen im Abschnitt Ressourcen der Ermittlungsdetails aufgeführt. Programmgesteuert können Sie Ressourcendetails mithilfe der GetFindingsV2 Security Hub CSPM-API abrufen.
Nachdem Sie die Ressource identifiziert haben, die an einer Risikofeststellung beteiligt war, können Sie die Ressource löschen, falls Sie sie nicht benötigen. Das Löschen einer Ressource, die nicht unbedingt erforderlich ist, kann Ihr Risikoprofil und Ihre AWS Kosten reduzieren. Wenn es sich um eine wichtige Ressource handelt, befolgen Sie diese empfohlenen Abhilfemaßnahmen, um das Risiko zu mindern. Die Themen zur Problembehebung sind nach der Art des Merkmals unterteilt.
Ein einziges Expositionsergebnis enthält Probleme, die in mehreren Sanierungsthemen identifiziert wurden. Umgekehrt können Sie ein Expositionsergebnis behandeln und dessen Schweregrad herabsetzen, indem Sie sich nur mit einem Problembehebungsthema befassen. Ihr Ansatz zur Risikominderung hängt von Ihren organisatorischen Anforderungen und Arbeitsbelastungen ab.
Anmerkung
Die in diesem Thema bereitgestellten Anleitungen zur Problembehebung erfordern möglicherweise zusätzliche Konsultationen in anderen Microsoft Azure-Ressourcen.
Inhalt
Fehlkonfigurationsmerkmale für Azure Function-Apps
Im Folgenden finden Sie Fehlkonfigurationsmerkmale für Azure Function-Apps und empfohlene Korrekturmaßnahmen.
Die Azure Function-App wird außerhalb eines VNet bereitgestellt
Wenn eine Function-App nicht in ein virtuelles Netzwerk integriert ist, passieren ihre Endpunkte und der ausgehende Datenverkehr das öffentliche Netzwerk und nicht Ihre private Netzwerkgrenze. Wenn die Funktions-App nicht in ein virtuelles Netzwerk integriert ist, können Sie keine Kontrollen auf Netzwerkebene wie private Endpunkte, Netzwerksicherheitsgruppen und eingeschränkten ausgehenden Zugriff anwenden. Diese Lücke erhöht das Risiko der App. Integrieren Sie die Function-App gemäß den Standardsicherheitsprinzipien in ein virtuelles Netzwerk und verwenden Sie private Endpunkte, sofern Ihr Hosting-Paket dies unterstützt.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um diesem Risiko zu begegnen:
Integrieren Sie die Function-App in ein virtuelles Netzwerk
Aktivieren Sie die virtuelle Netzwerkintegration für die Function-App. Verwenden Sie private Endpunkte, sodass die App nur von Ihrem Netzwerk aus erreichbar ist, sofern dies von Ihrem Hosting-Tarif (Flex Consumption, Elastic Premium oder Dedicated) unterstützt wird. Weitere Informationen finden Sie in der Microsoft
Beschränken Sie den eingehenden Zugriff
Verwenden Sie bei Hostingplänen, die keine privaten Endpunkte unterstützen, Zugriffsbeschränkungen, um eingehenden Datenverkehr nur aus vertrauenswürdigen IP-Adressbereichen zuzulassen, und deaktivieren Sie den öffentlichen Netzwerkzugriff, wenn er nicht erforderlich ist. Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation unter
Der Rolle, die der Azure Function-App zugeordnet ist, ist eine Administratorzugriffsrolle zugewiesen
Sie können einer Azure Function-App eine verwaltete Identität zuweisen und ihr die rollenbasierte Azure-Zugriffskontrolle (Azure RBAC) -Rollenzuweisungen für den Zugriff auf andere Azure-Ressourcen gewähren. Wenn der zugehörigen Identität eine administrative Rollenzuweisung (z. B. Owner oderContributor) in einem breiten Umfang zugewiesen ist, gewährt sie in der Regel Berechtigungen, die weit über das hinausgehen, was die App benötigt. Wenn die Function-App kompromittiert ist, kann ein Angreifer diese übermäßigen Berechtigungen nutzen, um sich quer durch Ihre Umgebung zu bewegen, auf Daten zuzugreifen oder Ressourcen zu manipulieren. Gewähren Sie gemäß den Standardsicherheitsprinzipien die geringsten Rechte, indem Sie nur die Berechtigungen zuweisen, die die App benötigt.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um diesem Risiko zu begegnen:
Überprüfen und identifizieren Sie die administrativen Rollenzuweisungen
Überprüfen Sie im Azure-Portal die Rollenzuweisungen auf die Identität, die der Function-App zugeordnet ist. Suchen Sie nach privilegierten Administratorrollen wieOwner, oder ContributorUser Access Administrator, und nach benutzerdefinierten Rollen, in deren Actions Rollen ein Platzhalterzeichen (*) verwendet wird. Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation unter Azure-Rollenzuweisungen
Implementieren des Zugriffs mit geringsten Berechtigungen
Ersetzen Sie administrative Rollenzuweisungen durch die integrierte Rolle mit den geringsten Rechten, die nur die Berechtigungen gewährt, die die App benötigt, und weisen Sie sie im engsten Umfang zu, der Ihren Anforderungen entspricht. Verwenden Sie eine verwaltete Identität anstelle von gespeicherten Geheimnissen für Verbindungen zu anderen Azure-Diensten. Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation unter
Merkmale der Erreichbarkeit für Azure Function-Apps
Im Folgenden finden Sie Erreichbarkeitsmerkmale für Azure Function-Apps und empfohlene Abhilfemaßnahmen.
Die Azure Function-App ermöglicht den anonymen Aufruf von HTTP-Triggern
Eine HTTP-triggered Funktion, deren Autorisierungsstufe auf eingestellt ist, anonymous kann ohne Zugriffsschlüssel oder Authentifizierung über das Internet aufgerufen werden. Anonyme HTTP-Trigger machen Ihre Funktionslogik für nicht authentifizierte Aufrufer zugänglich, was zu Missbrauch, Datenpreisgabe oder einem Denial-of-Wallet durch unkontrollierten Aufruf führen kann. Erfordern Sie gemäß den Standardsicherheitsprinzipien Authentifizierungs- oder Zugriffsschlüssel für Funktionen, es sei denn, ein anonymer Zugriff ist ausdrücklich erforderlich. HTTP-triggered
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieser Gefahr zu begegnen:
Autorisierung für HTTP-Trigger erforderlich
Erhöhen Sie die Autorisierungsstufe für HTTP-Trigger von anonymous auf function oder admin so, dass Anfragen einen gültigen Zugriffsschlüssel enthalten müssen und HTTPS erfordern. Für einen stärkeren Schutz aktivieren Sie App Service Authentication/Authorization oder verwenden Sie Azure API Management als Frontend für die App. Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation unter
Erfordern Sie eine Authentifizierung bei einem verwalteten Identitätsanbieter
Da Zugriffsschlüssel eher eine Autorisierungskontrolle als eine Authentifizierung sind, sollten Sie die App Service-Authentifizierung (Easy Auth) mit der Microsoft Entra-ID aktivieren, sodass Anrufer eine gültige Identität vorlegen müssen. Deaktivieren Sie auch die administrativen Endpunkte (die /admin Routen), wenn sie nicht benötigt werden. Weitere Informationen finden Sie unter Securing Azure Functions
Sicherheitsmerkmale für Azure Function-Apps
Im Folgenden finden Sie Schwachstellenmerkmale für Azure Function-Apps und empfohlene Maßnahmen zur Behebung.
Die Azure Function-App weist über das Netzwerk ausnutzbare Softwareschwachstellen auf, deren Ausnutzungswahrscheinlichkeit hoch ist
Common Vulnerabilities and Exposures (CVEs) können sich auf Softwarepakete und Abhängigkeiten in Ihrer Function-App auswirken. Eine Sicherheitslücke mit hoher Priorität ist vom Netzwerk ausnutzbar und bietet eine hohe Wahrscheinlichkeit, dass sie ausgenutzt wird. Dies stellt eine unmittelbare Sicherheitsbedrohung dar, da der Exploit-Code möglicherweise bereits öffentlich verfügbar ist und von Angreifern aktiv genutzt wird. Patchen Sie diese Sicherheitslücken umgehend, um Ihre Function-App zu schützen.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieses Risiko zu beheben:
Aktualisieren Sie die betroffenen Abhängigkeiten
Überprüfen Sie die betroffenen CVEs im Ergebnis, aktualisieren Sie dann die anfälligen Pakete und Abhängigkeiten auf die neuesten sicheren Versionen und stellen Sie die App erneut bereit. Verwenden Sie die Function-App auf einer unterstützten Laufzeit, damit die Sicherheitsupdates für die Plattform weiterhin gelten. Weitere Informationen finden Sie unter Microsoft Defender for App Service
Zukünftige Überlegungen
Integrieren Sie das Scannen von Abhängigkeiten und Sicherheitslücken in Ihre Build- und Deployment-Pipeline, und überwachen Sie Ihre App mithilfe von Microsoft Defender for Cloud im Hinblick auf Konfiguration und Schwachstellenfunde. Weitere Informationen finden Sie in der
Die Azure Function-App weist Software-Sicherheitslücken auf
Common Vulnerabilities and Exposures (CVEs) können sich auf Softwarepakete und Abhängigkeiten in Ihrer Function-App auswirken. Bei unkritischen Sicherheitslücken handelt es sich um Sicherheitslücken mit geringerem Schweregrad oder geringerer Ausnutzbarkeit als Sicherheitslücken mit hoher Priorität. Obwohl sie ein geringeres unmittelbares Risiko darstellen, können Angreifer ungepatchte Sicherheitslücken dennoch ausnutzen, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten zu gefährden oder auf andere Systeme zuzugreifen. Patchen Sie diese Sicherheitslücken gemäß den bewährten Sicherheitsmethoden, um Ihre Function-App zu schützen.
Behebung: Aktualisieren Sie die betroffenen Abhängigkeiten
Aktualisieren Sie die anfälligen Pakete und Abhängigkeiten auf ihre neuesten sicheren Versionen und stellen Sie die App erneut bereit. Wenn kein Update verfügbar ist, sollten Sie erwägen, die anfällige Komponente zu entfernen oder zu deaktivieren, bis ein Patch veröffentlicht wird. Weitere Informationen finden Sie unter Microsoft Defender for App Service
Die Azure Function-App enthält schädliche Softwarepakete
Bösartige Pakete sind Softwarekomponenten, die schädlichen Code enthalten, der die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten gefährden soll. Bösartige Pakete stellen eine aktive und kritische Bedrohung für Ihre Function-App dar, da Angreifer den Schadcode automatisch ausführen können, ohne eine separate Sicherheitslücke auszunutzen. Entfernen Sie bösartige Pakete gemäß den bewährten Sicherheitsmethoden, um Ihre Function-App vor potenziellen Angriffen zu schützen.
Problembehebung: Untersuchen und entfernen Sie bösartige Pakete
Überprüfen Sie die Funddetails, um die betroffenen Pakete zu identifizieren, entfernen Sie sie aus Ihren Projektabhängigkeiten, erstellen Sie sie aus einer vertrauenswürdigen Quelle neu und stellen Sie die App erneut bereit. Überprüfen Sie nach der Behebung Ihrer Abhängigkeiten die Lieferkette, um sicherzustellen, dass keine damit verbundenen schädlichen Komponenten mehr vorhanden sind. Weitere Informationen finden Sie in der
