Security Baselines¶

Security Baselines in TCM365 bieten vordefinierte Regelwerke, die Industrie-Best-Practices, regulatorische Anforderungen und organisatorische Sicherheitsstandards repraesentieren. Mit 43 Baseline-Templates über 10+ Framework-Kategorien ermöglicht TCM365 automatisierte Compliance-Evaluation gegen weithin anerkannte Sicherheitsbenchmarks.

Übersicht¶

Eine Security Baseline ist eine Sammlung von Konfigurationsregeln, die jeweils einen erwarteten Einstellungswert, den zugehörigen Resource Type und Metadaten für Compliance-Mapping spezifizieren. TCM365 evaluiert Tenant-Snapshots gegen diese Baselines, um Compliance-Scores zu erstellen, Lücken zu identifizieren und Remediation-Anleitungen zu generieren.

Kernfunktionen¶

• 43 vorgefertigte Baseline-Templates über 10+ Framework-Kategorien
• MITRE ATT&CK-Mapping für sicherheitsrelevante Regeln
• Framework-spezifische Bezeichner (Maester Test IDs, EIDSCA Control IDs)
• Cross-Vendor Framework-Mapping (ISO, NIS2)
• Automatisierte Compliance Engine für Snapshot-Evaluation
• Erstellung und Modifikation eigener Baselines
• Zscaler-spezifische Baselines für ZIA- und ZPA-Konfigurationen
• Atlassian-spezifische Baselines für Org Security, Jira und Confluence (v2.5.0)
• Szenario-basierte Templates für gängige Deployment-Muster

Baseline-Template-Kategorien¶

CIS Benchmarks (4 Templates)¶

Center for Internet Security (CIS) Benchmarks bieten praeskriktive Konfigurationsrichtlinien für Microsoft 365.

SCUBA (8 Templates)¶

CISA Secure Cloud Business Applications (SCUBA) Baselines sind auf die Cloud-Sicherheitsanforderungen der US-Bundesregierung abgestimmt.

Microsoft Zero Trust (3 Templates) + NIST (1 Template)¶

Zero Trust Architecture Baselines basierend auf Microsofts Maturity-Modell und NIST Special Publication 800-207.

BSI (1 Template)¶

Bundesamt für Sicherheit in der Informationstechnik (BSI) IT-Grundschutz-Baseline für deutsche regulatorische Compliance.

Maester (3 Templates)¶

Maester-kompatible Baselines für automatisierte Sicherheitstests mit strukturierten Test-Bezeichnern.

EIDSCA (1 Template)¶

Entra ID Security Configuration Analyzer -- eine umfassende Baseline mit Fokus ausschliesslich auf Entra ID-Sicherheitseinstellungen.

Allgemeine Sicherheit (9 Templates)¶

Zweckgebundene Baselines für spezifische Sicherheitsdomaenen:

Zscaler (4 Templates)¶

Baselines für Zscaler ZIA- und ZPA-Sicherheitskonfigurationen:

Szenario-basiert (6 Templates)¶

Vorkonfigurierte Baselines optimiert für gängige organisatorische Szenarien:

Atlassian (3 Templates, v2.5.0)¶

Baselines für Atlassian Cloud Sicherheitskonfigurationen:

Template-JSON-Struktur¶

Jedes Baseline-Template folgt einem standardisierten JSON-Schema definiert in backend-js/src/config/baseline-templates/template-schema.ts.

Template-Aufbau¶

{
  "id": "cis-m365-l1",
  "name": "CIS Microsoft 365 Level 1",
  "description": "CIS Benchmark für Microsoft 365 - Level 1 (empfohlen für alle Organisationen)",
  "version": "2.0.0",
  "framework": "CIS",
  "category": "benchmark",
  "vendor": "microsoft",
  "tags": ["cis", "m365", "level1", "recommended"],
  "rules": [
    {
      "id": "CIS-M365-1.1.1",
      "name": "MFA für alle Benutzer sicherstellen",
      "description": "Multi-Faktor-Authentifizierung sollte für alle Benutzerkonten erforderlich sein",
      "severity": "critical",
      "resourceType": "microsoft.entra.conditionalAccess",
      "settingPath": "state",
      "expectedValue": "enabled",
      "operator": "equals",
      "remediation": "CA Policy erstellen, die MFA für alle Benutzer erfordert",
      "references": [
        "https://www.cisecurity.org/benchmark/microsoft_365"
      ],
      "mitreAttackId": "T1078",
      "mitreAttackTactic": "Initial Access",
      "isoMapping": "A.9.4.2",
      "nis2Mapping": "Article 21(2)(j)"
    }
  ]
}

Regel-Eigenschaften¶

Vergleichsoperatoren¶

MITRE ATT&CK-Mapping¶

Baseline-Regeln können auf das MITRE ATT&CK Framework gemappt werden, sodass Organisationen verstehen können, welche Angriffstechniken ihre Konfigurationen abdecken.

Unterstützte Mappings¶

Coverage-Visualisierung¶

Der Security Assessment Report (siehe Berichte) umfasst MITRE ATT&CK Coverage-Mapping und zeigt:

• Welche Techniken durch Baseline-Regeln abgedeckt sind
• Welche Techniken bestandene vs. fehlgeschlagene Regeln haben
• Coverage-Lücken, die potenzielle Blind Spots darstellen

Cross-Framework-Mapping¶

Baseline-Regeln unterstützen das Mapping zu mehreren Compliance-Frameworks gleichzeitig, sodass eine einzelne Regel Anforderungen über mehrere Standards erfüllen kann:

Dieses Cross-Mapping ermöglicht TCM365 die Compliance-Evaluation über mehrere Frameworks aus einem einzigen Baseline-Evaluierungslauf.

Compliance Engine¶

Der BaselinesService enthält eine Compliance Engine, die Tenant-Snapshots gegen ausgewaehlte Baselines evaluiert.

Evaluierungsablauf¶

flowchart TD
    A[Snapshot-Daten] --> B[Baseline-Template auswählen]
    B --> C[Für jede Regel im Template]
    C --> D[Resource Type aus Snapshot extrahieren]
    D --> E[Zum settingPath navigieren]
    E --> F[Operator-Vergleich anwenden]
    F --> G[Pass/Fail/Skip-Ergebnis erfassen]
    G --> H[Compliance-Score berechnen]
    H --> I[Compliance-Bericht generieren]

Evaluierungsergebnisse¶

{
  "baselineId": "cis-m365-l1",
  "baselineName": "CIS Microsoft 365 Level 1",
  "evaluatedAt": "2026-03-05T10:30:00Z",
  "score": 87.5,
  "totalRules": 40,
  "passed": 35,
  "failed": 3,
  "skipped": 2,
  "results": [
    {
      "ruleId": "CIS-M365-1.1.1",
      "ruleName": "MFA für alle Benutzer sicherstellen",
      "status": "passed",
      "actualValue": "enabled",
      "expectedValue": "enabled"
    },
    {
      "ruleId": "CIS-M365-2.3.1",
      "ruleName": "Legacy-Authentifizierung blockieren",
      "status": "failed",
      "actualValue": "allowed",
      "expectedValue": "blocked",
      "remediation": "CA Policy erstellen, die Legacy-Authentifizierungsprotokolle blockiert"
    }
  ]
}

Score-Berechnung¶

Der Compliance-Score ist ein gewichteter Prozentsatz:

Score = (bestandene_regeln / (gesamt_regeln - uebersprungene_regeln)) * 100

Regeln werden uebersprungen, wenn der erforderliche Resource Type nicht im Snapshot vorhanden ist (z.B. Auswertung von Defender-Regeln gegen einen Snapshot, der keine Defender-Konfigurationen erfasst hat).

API-Endpoints¶

Eigene Baselines¶

Organisationen können eigene Baselines erstellen durch:

1. Von einem Template starten -- Bestehendes Template klonen und Regeln anpassen
2. Von Grund auf erstellen -- Neue Baseline mit eigenen Regeln erstellen
3. Templates zusammenfuehren -- Regeln aus mehreren Templates kombinieren

Eigene Baseline erstellen¶

{
  "name": "Unser Organisations-Sicherheitsstandard",
  "description": "Eigene Baseline, die CIS L1 mit zusätzlichen internen Anforderungen kombiniert",
  "framework": "Custom",
  "vendor": "microsoft",
  "rules": [
    {
      "id": "CUSTOM-001",
      "name": "Mindestens 16-Zeichen-Passwörter erfordern",
      "severity": "high",
      "resourceType": "microsoft.entra.authenticationMethods",
      "settingPath": "passwordPolicy.minimumLength",
      "expectedValue": 16,
      "operator": "greaterThan",
      "remediation": "Entra ID Passwort-Policy aktualisieren für mindestens 16 Zeichen"
    }
  ]
}

Best Practices¶

1. Mit CIS Level 1 beginnen -- Bietet eine solide Grundlage ohne uebertriebene Einschränkungen
2. Baselines schichten -- CIS mit Maester und EIDSCA für umfassende Abdeckung kombinieren
3. Szenario-Templates nutzen -- Das Szenario-Template wählen, das am nächsten zum Organisationstyp passt
4. Auf Regulierungen mappen -- Cross-Framework-Mappings für Compliance-Reporting nutzen
5. Regelmäßig überprüfen -- Eigene Baselines aktualisieren wenn sich Sicherheitsanforderungen ändern
6. MITRE-Coverage verfolgen -- ATT&CK-Mapping nutzen um Lücken in der Sicherheitslage zu identifizieren
7. Vor und nach Änderungen evaluieren -- Baseline-Evaluierungen vor und nach Konfigurationsänderungen durchführen um Verbesserungen zu messen