Azure Security Posture Auditor

Ein leichtgewichtiges, produktionsreifes CLI-Tool, das Azure-Sicherheitskonfigurationen prüft und häufige Fehlkonfigurationen aufdeckt – angelehnt an die internen Prüfungen von Microsoft Defender for Cloud.

Prüfungen

ID	Kategorie	Prüfung	Schweregrad
AZ-001	RBAC	Owner / Contributor auf Abonnementebene zugewiesen	CRITICAL
AZ-002	RBAC	Owner / Contributor auf Ressourcengruppenebene zugewiesen	HIGH
AZ-003	Netzwerk	NSG mit eingehender Allow-Regel für 0.0.0.0/0	HIGH
AZ-004	Speicher	Speicherkonto mit aktiviertem öffentlichem Blob-Zugriff	HIGH
AZ-005	Identität	Entra ID-Benutzer ohne registriertes MFA	HIGH
AZ-006	Identität	Service principal mit Owner-/Contributor-Berechtigungen	HIGH
AZ-007	Verschlüsselung	Verwalteter Datenträger ohne explizite Verschlüsselungskonfiguration	MEDIUM
AZ-008	Verschlüsselung	Key Vault ohne Firewall-Einschränkungen öffentlich erreichbar	HIGH
AZ-009	Überwachung	Aufbewahrung des Aktivitätsprotokolls unter 90 Tagen	MEDIUM
AZ-010	Überwachung	Microsoft Defender for Cloud nicht für wichtige Ressourcentypen aktiviert	HIGH
AZ-011	Überwachung	Key Vault ohne aktivierte Diagnoseprotokollierung	MEDIUM
AZ-012	Compute	Virtuelle Maschine mit direkt zugeordneter öffentlicher IP-Adresse	MEDIUM
AZ-013	Compute	Virtuelle Maschine ohne Endpoint-Protection-Erweiterung	MEDIUM
AZ-014	Compute	Betriebssystem-Datenträger der virtuellen Maschine ohne Azure Disk Encryption (ADE)	MEDIUM
AZ-015	Netzwerk	RDP-Port 3389 über NSG für das Internet freigegeben	CRITICAL
AZ-016	Netzwerk	SSH-Port 22 über NSG für das Internet freigegeben	CRITICAL
AZ-017	Speicher	Speicherkonto, das Nicht-HTTPS-Verkehr zulässt	HIGH
AZ-018	Speicher	Speicherkonto, das veraltete TLS-Versionen (unter 1.2) zulässt	MEDIUM
AZ-019	Identität

Voraussetzungen

Python 3.10+
Azure-Anmeldeinformationen konfiguriert – eine der folgenden Möglichkeiten:
- az login (Azure CLI)
- Umgebungsvariablen: AZURE_CLIENT_ID, AZURE_CLIENT_SECRET, AZURE_TENANT_ID
- Managed Identity (bei Ausführung auf Azure)
Erforderliche Azure RBAC-Berechtigungen: Reader auf dem Abonnement
Erforderliche Microsoft Graph-Berechtigungen (für AZ-005, AZ-006, AZ-019):
- UserAuthenticationMethod.Read.All
- Application.Read.All

Identitätsprüfungen (AZ-005, AZ-019) werden stillschweigend übersprungen, wenn Graph-API-Berechtigungen nicht verfügbar sind – der Rest des Audits läuft davon unberührt weiter.

Installation

pip install -e .

Verwendung

# Full audit — all checks, all severities
azure-auditor

# Target a specific subscription
azure-auditor --subscription <subscription-id>

# Show only HIGH and CRITICAL findings
azure-auditor --severity HIGH

# Save JSON report to a specific directory
azure-auditor --output-dir ./reports

# Terminal output only
azure-auditor --no-json

# Verbose logging
azure-auditor --verbose

Oder ohne Installation:

PYTHONPATH=src python -m azure_security_auditor.cli --subscription <id>

Ausgabe

Terminal – Rich-formatierte Tabelle, sortiert nach Schweregrad (zuerst CRITICAL):

╭──────────────────────────────────────────────────────────────────╮
│                    Azure Security Posture Audit                   │
│  Subscription:  My Production Subscription                        │
│  ID:            xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx             │
│  Run at:        2026-07-12T10:00:00Z                              │
│  Findings:      12 total  (2 CRITICAL  6 HIGH  4 MEDIUM  0 LOW)  │
╰──────────────────────────────────────────────────────────────────╯

 Severity    Check ID  Check                                     Resource         Detail
 ✖ CRITICAL  AZ-015    RDP Port 3389 Exposed to Internet...      /subscriptions/. ...
 ✖ CRITICAL  AZ-001    Owner Role Assigned at Subscription...    <principal-id>   ...
 ■ HIGH      AZ-010    Defender for Cloud Not Enabled — VMs      /subscriptions/. ...
 ...

JSON – Wird in reports/azure_audit_<subscription>_<timestamp>.json geschrieben.

Projektstruktur

src/
  azure_security_auditor/
    cli.py                      # argparse entrypoint
    engine.py                   # ThreadPoolExecutor orchestrator
    models.py                   # Finding, AuditResult, Severity
    checks/
      rbac.py                   # AZ-001, AZ-002
      network.py                # AZ-003, AZ-015, AZ-016
      storage.py                # AZ-004, AZ-017, AZ-018
      identity.py               # AZ-005, AZ-019
      service_principals.py     # AZ-006
      encryption.py             # AZ-007, AZ-008, AZ-020
      monitoring.py             # AZ-009, AZ-010, AZ-011
      compute.py                # AZ-012, AZ-013, AZ-014
    reporters/
      terminal.py               # Rich table output
      json_reporter.py          # JSON file output

Authentifizierung

Verwendet DefaultAzureCredential – versucht in dieser Reihenfolge:

Umgebungsvariablen (AZURE_CLIENT_ID, AZURE_CLIENT_SECRET, AZURE_TENANT_ID)
Azure CLI (az login)
Managed Identity

CI/CD (Service Principal)

export AZURE_CLIENT_ID="<app-id>"
export AZURE_CLIENT_SECRET="<secret>"
export AZURE_TENANT_ID="<tenant-id>"
azure-auditor --subscription <subscription-id>

Beliebteste

azure-security-auditor