EASM in Ihren Sicherheitsstack integrieren: Sentinel, Copilot und mehr

Von Mirko Peters · 2026-08-13

Willkommen zurück zu einem weiteren Deep Dive in die sich wandelnde Welt von Cloud-Sicherheit und Microsoft 365-Architektur. In unserer Podcast-Reihe betonen wir immer wieder, dass moderne…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zu einem weiteren Deep Dive in die sich wandelnde Welt von Cloud-Sicherheit und Microsoft 365-Architektur. In unserer Podcast-Reihe betonen wir immer wieder, dass moderne Sicherheitsoperationen eine ganzheitliche Sicht auf Ihre digitale Landschaft erfordern. In einer aktuellen Folge haben wir die Grundlagen der Erkennung externer Assets erläutert. Falls Sie diese noch nicht gehört haben, sehen Sie sich unbedingt die passende Folge an, Microsoft Defender EASM - Simply Explained, in der wir zeigen, wie Organisationen ihre öffentlich erreichbare Angriffsfläche grundlegend anders betrachten können.

Zu wissen, was im öffentlichen Internet erreichbar ist, ist ein enormer Fortschritt. Doch ein Inventar exponierter Assets allein reicht nicht aus. Der eigentliche Mehrwert entsteht, wenn Sie Informationen aus External Attack Surface Management (EASM) in Ihren gesamten Sicherheitsstack integrieren. In diesem Beitrag gehen wir auf diese Konzepte näher ein und zeigen, wie Microsoft Defender EASM wichtigen Kontext an Microsoft Sentinel, Log Analytics, Azure Data Explorer und Security Copilot liefert, um Ihre gesamte Sicherheitslage deutlich zu verbessern.

Einführung in External Attack Surface Management

Bevor wir zur Integration kommen, skizzieren wir kurz die zentrale Herausforderung. Klassische Sicherheitskonzepte sind stark auf das interne Netzwerk ausgerichtet. Security-Information-and-Event-Management-Plattformen, Endpoint-Detection-and-Response-Werkzeuge und Schwachstellenscanner stützen sich in der Regel auf Agenten auf verwalteten Geräten oder auf interne Netzwerkscans. Angreifer starten ihre Kampagnen jedoch nicht aus Ihrem internen Netzwerk, sondern aus dem offenen Internet.

Defender EASM schließt diese Lücke, indem es als Informationsquelle arbeitet und nicht als klassisches Durchsetzungswerkzeug im Datenpfad wie eine Firewall oder ein Virenschutz. Das Tool erfasst laufend Domains, Subdomains, SSL-Zertifikate, öffentliche IP-Adressen und offene Ports aus einer Outside-in-Perspektive. Das Erkennen dieser Assets ist jedoch erst der Anfang. Damit sich im operativen Betrieb etwas bewegt, müssen diese externen Informationen in die Werkzeuge einfließen, die Ihre Analysten im Security Operations Center (SOC) täglich nutzen.

Die externe Perspektive im Vergleich zu internen Inventaren

Wenn Sicherheitsteams ihre Asset-Inventare aufbauen, greifen sie meist auf Daten aus Configuration Management Databases, IT-Ticketverläufe und Cloud-Abonnementportale zurück. Diese internen Inventare leiden leider häufig unter blinden Flecken, die durch Schatten-IT, vergessene Marketingkampagnen, unüberwachte Testumgebungen und Altlasten aus Akquisitionen entstehen.

Eine externe Perspektive durchbricht das Grundrauschen interner Organisationssilos. Es ist egal, welche Abteilung eine Cloud-Workload bereitgestellt oder welcher Dienstleister ein öffentlich erreichbares Portal ausgerollt hat. Wenn ein Asset über einen Browser oder einen IP-Scanner im öffentlichen Web erreichbar ist, findet EASM es. Indem Organisationen diese Rohdaten von außen in strukturierte Beobachtungen übersetzen, können sie endlich vergleichen, was sie für exponiert halten, und was für die Außenwelt tatsächlich zugänglich ist.

Wie Microsoft Defender EASM öffentliche Assets erkennt

Um zu verstehen, wie sich diese Daten in den restlichen Sicherheitsstack einfügen, lohnt sich ein Blick auf die Funktionsweise der Erkennungs-Engine. Die Erkennung beginnt mit einem einfachen Startpunkt, etwa einer primären Unternehmensdomain, einer Autonomous System Number oder einem bekannten öffentlichen IP-Block. Von dort aus führt das System eine rekursive Erkennung durch.

Das System folgt digitalen Spuren: Eine Root-Domain verweist auf ein Zertifikat, das Zertifikat nennt alternative Subdomains, diese Subdomains lösen auf bestimmte Hosts auf, und diese Hosts liegen auf öffentlichen IP-Adressen, die bestimmten Webdiensten zugeordnet sind. Während Defender EASM diese Beziehungen abbildet, entsteht ein umfangreicher Graph aus Assets. Wenn Sie diese beziehungsorientierte Karte in nachgelagerte Sicherheitswerkzeuge exportieren, erhalten Ihre Analysten bei einer Untersuchung einen bisher nicht gekannten Kontext.

EASM-Erkenntnisse mit Microsoft Sentinel integrieren

Microsoft Sentinel ist das zentrale Nervensystem moderner Sicherheitsoperationen. Es nimmt Logs, Warnmeldungen und Bedrohungsinformationen aus der gesamten Organisation auf. Wenn Sie Defender-EASM-Erkenntnisse in Sentinel integrieren, schließen Sie die Lücke zwischen externer Exposition und interner Telemetrie.

Stellen Sie sich vor, in Sentinel wird ein Alarm wegen auffälliger Authentifizierungsversuche gegen eine Webanwendung ausgelöst. Wenn EASM-Daten in Ihren Sentinel-Arbeitsbereich aufgenommen werden, können Ihre Analyseregeln und Korrelationsabfragen sofort feststellen, ob die angegriffene Web-App ein offiziell freigegebenes Produktivsystem ist oder ein nicht verwalteter, vergessener Staging-Server, den Ihr externer Scan der Angriffsoberfläche gefunden hat. Diese unmittelbare Anreicherung mit Kontext hilft Analysten, Vorfälle schneller zu priorisieren, und trennt hochpriorisierte Bedrohungen für kritische Ressourcen vom Rauschen, das veraltete Schatten-IT-Infrastruktur erzeugt.

EASM-Daten mit Log Analytics und Azure Data Explorer nutzen

Große Unternehmen verwalten oft umfangreiche öffentliche Präsenzen mit Tausenden von Domains, Zertifikaten und IP-Bereichen. Die Analyse dieses Datenvolumens erfordert leistungsfähige Datenplattformen. Genau hier kommen Log Analytics und Azure Data Explorer ins Spiel.

Wenn Sie EASM-Bestands- und Beobachtungsdaten in Log Analytics-Arbeitsbereiche exportieren, können Sicherheitsteams eigene Arbeitsmappen und Überwachungsdashboards erstellen. Sie können Kennzahlen verfolgen wie etwa, wie viele SSL-Zertifikate in den nächsten 30 Tagen ablaufen, wie viele neue, nicht klassifizierte öffentliche IP-Adressen in dieser Woche aufgetaucht sind oder welche Geschäftsbereiche die meisten hochriskanten externen Angriffsflächen anhäufen.

Für Organisationen mit sehr großem Umfang und mehreren globalen Tochtergesellschaften bietet Azure Data Explorer die nötige Leistung, um komplexe, blitzschnelle Abfragen über Millionen historischer Datenpunkte der Angriffsoberfläche auszuführen. Security Architects können Trendanalysen über Monate oder Jahre durchführen und nachvollziehen, wie sich die externe Angriffsfläche parallel zu Unternehmenswachstum, Fusionen und Übernahmen entwickelt.

Untersuchungen mit Security Copilot beschleunigen

Je ausgereifter Sicherheitswerkzeuge werden, desto stärker steigt die kognitive Belastung für SOC-Analysten. Komplexe Abfragen in der Kusto Query Language, um externe Asset-Daten mit internen Protokollquellen zu korrelieren, können die laufende Incident Response verlangsamen. Genau hier verändert Microsoft Security Copilot den Arbeitsablauf.

Security Copilot fungiert als Schnittstelle in natürlicher Sprache über Ihr gesamtes Sicherheitsökosystem, einschließlich Ihrer EASM-Daten. Ein Analyst, der einen laufenden Vorfall bearbeitet, kann Copilot Fragen stellen wie: "Zeig mir alle externen IP-Adressen, die mit unserer Hauptmarke verknüpft sind, offene Ports für Remoteverwaltung haben und aktuelle Brute-Force-Warnungen in Sentinel aufweisen."

Copilot verknüpft die Daten zur externen Angriffsfläche aus Defender EASM mit internen Bedrohungstelemetriedaten und erstellt in Sekunden ein umfassendes Briefing zum Vorfall. Menschliche Sicherheitsexperten behalten dabei die volle Kontrolle: Sie bewerten die Ergebnisse und führen die Gegenmaßnahmen aus. Copilot reduziert jedoch deutlich die Zeit, die mit dem Wechseln zwischen unzusammenhängenden Verwaltungsportalen verloren geht.

EASM mit Microsoft Security Exposure Management kombinieren

Neben klassischen SIEM- und Analysewerkzeugen spielt Defender EASM eine wichtige Rolle innerhalb von Microsoft Security Exposure Management. Während EASM zeigt, was aus dem öffentlichen Internet sichtbar ist, bündelt Security Exposure Management Erkenntnisse aus mehreren Workloads, darunter Cloud-Sicherheit, Identitätsstatus, Endpunktkonformität und externe Angriffsflächen, in einem einheitlichen Sicherheitswert und einer Priorisierungs-Engine.

Wenn Sie EASM mit Werkzeugen für das interne Posture Management kombinieren, können Ihre Sicherheitsteams Gegenmaßnahmen anhand des tatsächlichen Risikos priorisieren statt anhand von Vermutungen. Ein exponierter Webserver, den EASM entdeckt, kann beispielsweise als hohes Risiko eingestuft werden, nicht nur weil er öffentlich erreichbar ist, sondern weil Defender for Cloud eine ungepatchte kritische Schwachstelle meldet und Microsoft Entra ID feststellt, dass keine ausreichenden Multi-Faktor-Authentifizierungs-Kontrollen vorhanden sind. Diese mehrschichtige Betrachtung sorgt dafür, dass Gegenmaßnahmen dort ansetzen, wo sie am meisten bewirken.

Bewährte Vorgehensweisen für den Einstieg und die Umsetzung

Die Integration von EASM in Ihren gesamten Sicherheitsstack ist eher eine fortlaufende betriebliche Strategie als ein einmaliges Bereitstellungsprojekt. Für den Erfolg empfehlen sich folgende praxisnahe Vorgehensweisen:

• Mit vertrauenswürdigen Ausgangspunkten starten: Legen Sie den anfänglichen Erkennungsumfang anhand zentraler Unternehmensdomains, offizieller Marken und verifizierter ASN-Nummern fest. Versuchen Sie am ersten Tag nicht, alles auf einmal abzudecken.
• Fachbereiche einbeziehen: Externe Assets betreffen Marketing, Cloud-Engineering, Entwicklung und externe Dienstleister. Teilen Sie EASM-Erkenntnisse mit diesen Geschäftsbereichen, um die Verantwortung für Assets korrekt zuzuweisen.
• Export-Pipelines automatisieren: Richten Sie kontinuierliche Datenexporte aus Defender EASM in Log Analytics und Microsoft Sentinel ein, damit Ihre SOC-Analysten stets mit aktuellen Angriffsflächen-Karten arbeiten.
• Überprüfungsrhythmen festlegen: Planen Sie regelmäßige operative Überprüfungen ein, um neue Befunde zu bewerten, Fehlalarme oder nicht im Besitz befindliche Assets zu entfernen und Erkenntnisse in konkrete Behebungstickets umzuwandeln.

Fazit

Transparenz ist die Grundlage einer wirksamen Verteidigung. Microsoft Defender EASM verändert das Sicherheitsparadigma, indem Organisationen ihre Infrastruktur mit den Augen eines externen Angreifers betrachten können. Doch wenn diese Erkenntnisse isoliert bleiben, schöpfen Sie ihren Wert nur begrenzt aus. Indem Sie die EASM-Erkenntnisse in Microsoft Sentinel, Log Analytics, Azure Data Explorer und Security Copilot einspeisen und diese Befunde in Microsoft Security Exposure Management zusammenführen, schaffen Sie einen geschlossenen, intelligenten Sicherheitsstack.

Mehr über die Grundlagen der externen Asset-Erkennung und darüber, wie Sie die ersten Schritte zur Kartierung Ihrer öffentlichen Präsenz unternehmen, erfahren Sie in unserer vollständigen Diskussion in der zugehörigen Folge Microsoft Defender EASM - Simply Explained. Nehmen Sie das heute Gelernte mit, wählen Sie drei öffentliche Domänen aus, die zu Ihrer Organisation gehören, und stellen Sie sich noch heute die unbequemen Fragen zu Eigentümerschaft, Zweck und Behebung.