Sichern Ihrer Microsoft Entra Identitätsinfrastruktur

Wenn Sie diesen Artikel lesen, verstehen Sie die Bedeutung von Sicherheit. Sie sind wahrscheinlich bereits für die Sicherheit Ihrer Organisation verantwortlich. Wenn Sie andere von der Bedeutung der Sicherheit überzeugen müssen, empfehlen Sie ihnen, den neuesten Microsoft Digital Defense Report zu lesen.

Dieser Artikel hilft Ihnen, durch die Funktionen von Microsoft Entra ID und eine fünf-Schritte-Checkliste eine sicherere Haltung zu erreichen, um den Schutz Ihrer Organisation vor Cyberangriffen zu verbessern.

Diese Checkliste erläutert folgende Aspekte und hilft Ihnen dabei, empfohlene wichtige Aktionen zum Schutz Ihrer Organisation sofort auszuführen:

• Stärken Sie Ihre Qualifikationen.
• Verringern Sie Ihre Angriffsfläche.
• Automatisieren Sie die Reaktion auf Bedrohungen.
• Verwenden Sie CloudIntelligenz.
• Aktivieren Sie den Self-Service des Endbenutzers.

Die Empfehlungen in diesem Artikel stimmen mit dem Identity Secure Score überein, einer automatisierten Bewertung der Identitätssicherheitskonfiguration Ihres Microsoft Entra-Mieters. Organisationen können die Seite "Identitätssicherheitsbewertung" in der Microsoft Entra Admin Center verwenden, um Lücken in ihrer aktuellen Sicherheitskonfiguration zu finden, um sicherzustellen, dass sie den aktuellen Microsoft bewährten Methoden für die Sicherheit folgen. Wenn Sie jede Empfehlung auf der Seite „Secure Score“ umsetzen, erhöht sich Ihre Bewertung, Sie können Ihren Fortschritt nachverfolgen, und Sie können Ihren Implementierungsstand mit dem anderer Organisationen von ähnlicher Größe vergleichen.

Bevor Sie beginnen: Schützen Sie privilegierte Konten mit Multifaktor-Authentifizierung

Bevor Sie mit dieser Checkliste beginnen, stellen Sie sicher, dass Ihr Konto während des Lesens nicht kompromittiert wird. Microsoft beobachtet täglich mehr als 600 Millionen Identitätsangriffe, und Kennwortangriffe bilden 99% aller Identitätsangriffe. In Microsoft Entra ID sind Benutzer, die über privilegierte Rollen verfügen, z. B. Administratoren, der Vertrauensanker, auf dem der Rest der Umgebung aufgebaut und verwaltet wird. Implementieren Sie die folgenden Maßnahmen, um die Auswirkungen einer Kompromittierung zu minimieren.

Angreifer, die Kontrolle über privilegierte Konten erhalten, können enormen Schaden anrichten. Daher ist es ausgesprochen wichtig, vor dem Fortfahren diese Konten zu schützen. Aktivieren und erfordern Microsoft Entra mehrstufige Authentifizierung (Multifactor Authentication, MFA) für alle Administratoren in Ihrer Organisation, indem sie Microsoft Entra Sicherheitsstandardwerte oder bedingtenZugriff verwenden. Dies ist entscheidend.

Alles fertig? Starten Sie die Checkliste.

Schritt 1: Stärken Sie Ihre Zugangsdaten

Obwohl andere Arten von Angriffen einschließlich Phishing von Einwilligungen und Angriffe auf nicht menschliche Identitäten hervortreten, spielen kennwortbasierte Angriffe auf Benutzeridentitäten immer noch die größte Rolle bei der Kompromittierung der Identität. Gut etablierte Spear-Phishing- und Passwortspray-Kampagnen von Gegnern sind weiterhin erfolgreich gegen Organisationen, die MFA oder andere Schutzmaßnahmen gegen diese gängige Taktik nicht implementieren.

Als Organisation validieren und sichern Sie Ihre Identität, indem Sie überall MFA verwenden. Das Federal Bureau of Investigation (FB) Internet Crime Complaint Center (IC3) 2024 Internet Crime Report identifiziert Phishing und Spoofing als den am häufigsten gemeldeten Internetkriminalitätstyp mit 193.407 Beschwerden. Phishing stellt eine erhebliche Bedrohung für Unternehmen und Einzelpersonen dar, und Angreifer verwenden Phishing von Anmeldeinformationen in vielen schädlichen Angriffen. MFA hilft, den Zugang zu Daten und Anwendungen zu sichern, indem es eine weitere Sicherheitsebene durch die Nutzung einer zweiten Authentifizierungsform bietet. Organisationen können die mehrstufige Authentifizierung mithilfe des bedingten Zugriffs aktivieren, um die Lösung an ihre spezifischen Anforderungen anzupassen. Weitere Informationen finden Sie unter Planen, Implementieren und Bereitstellen Microsoft Entra mehrstufiger Authentifizierung.

Sicherstellen, dass Ihre Organisation eine starke Authentifizierung verwendet

Um das grundlegende Maß an Identitätssicherheit zu aktivieren, können Sie in den Sicherheitsstandardeinstellungen von Microsoft Entra One-Select-Aktivierung verwenden. Sicherheitsstandards erzwingen die Microsoft Entra-Multi-Faktor-Authentifizierung für alle Benutzer in einem Mandanten und blockieren mandantenweit Anmeldungen über Legacyprotokolle.

Wenn Ihre Organisation über Microsoft Entra ID P1- oder P2-Lizenzen verfügt, können Sie auch die Arbeitsmappe für bedingten Zugriff verwenden, um Lücken in Ihrer Konfiguration und Abdeckung zu ermitteln. Anhand dieser Empfehlungen können Sie diese Lücke durch die neue Erfahrung mit Conditional Access-Vorlagen schließen. Vorlagen für bedingten Zugriff bieten eine einfache Methode zum Bereitstellen neuer Richtlinien, die mit Microsoft empfohlenen bewährten Methoden übereinstimmen. Diese Vorlagen erleichtern die Einführung gängiger Richtlinien zum Schutz Ihrer Identitäten und Geräte.

Beginnen Sie damit, häufig angegriffene Kennwörter zu sperren, und deaktivieren Sie herkömmliche Komplexitäts- und Ablaufrichtlinien

Viele Organisationen verwenden traditionelle Regeln für Passwortkomplexität und Passwortablauf. Die Forschung von Microsoft zeigt, dass die National Institute of Standards and Technology (NIST) Special Publication 800-63B Digital Identity Guidelines angeben, dass diese Richtlinien Benutzern die Auswahl von Kennwörtern erleichtern, die einfacher zu erraten sind. Nutzen Sie Microsoft Entra Passwortschutz, eine dynamische Sperrpasswortfunktion, die das aktuelle Verhalten von Angreifern nutzt, um zu verhindern, dass Nutzer Passwörter einsetzen, die Angreifer erraten können. Diese Funktion ist immer aktiviert, wenn Nutzer in der Cloud erstellt werden, und steht nun auch hybriden Organisationen zur Verfügung, wenn sie Microsoft Entra Passwortschutz für Windows Server Active Directory bereitstellen. Entfernen Sie außerdem Ablaufrichtlinien. Kennwortänderungen bieten keine Eindämmungsvorteile, da Cyberkriminelle fast immer Anmeldeinformationen verwenden, sobald sie sie kompromittieren. Weitere Informationen finden Sie unter Festlegen der Kennwortablaufrichtlinie für Ihre Organisation.

Schutz vor kompromittierten Anmeldeinformationen und Verstärken der Ausfallsicherung

Die einfachste und empfohlene Methode zum Aktivieren der Cloudauthentifizierung für lokale Verzeichnisobjekte in Microsoft Entra ID besteht darin, password-Hashsynchronisierung (PHS) zu aktivieren. Wenn Ihre Organisation eine hybride Identitätslösung mit Pass-through-Authentifizierung oder Föderation verwendet, aktivieren Sie die Passwort-Hash-Synchronisation aus den folgenden zwei Gründen:

• Die Bericht über Benutzer mit durchgesickerten Anmeldedaten in Microsoft Entra ID warnt vor öffentlich zugänglichen Benutzernamen- und Kennwortpaaren. Eine enorme Zahl von Kennwörtern gelangt durch Phishing, Schadsoftware und die Wiederverwendung von Kennwörtern auf Websites von Drittanbietern, die später kompromittiert werden, an die Öffentlichkeit. Microsoft findet viele dieser durchleckten Anmeldeinformationen und teilt Ihnen in diesem Bericht mit, ob sie Anmeldeinformationen in Ihrer Organisation entsprechen – aber nur, wenn Sie password-Hashsynchronisierung aktivieren oder cloudgeschützte Identitäten haben.
• Wenn ein lokaler Ausfall auftritt, z. B. ein Ransomware-Angriff, können Sie mithilfe der Kennworthashsynchronisierung zur Cloudauthentifizierung wechseln. Mit dieser Sicherungsauthentifizierungsmethode können Sie weiterhin auf Apps zugreifen, die für die Authentifizierung mit Microsoft Entra ID konfiguriert sind, einschließlich Microsoft 365. In diesem Fall müssen IT-Mitarbeiter nicht auf Schatten-IT oder persönliche E-Mail-Konten zurückgreifen, um bis zur Behebung des lokalen Ausfalls Daten freizugeben.

Microsoft Entra ID speichert niemals Kennwörter im Klartext oder verschlüsselt sie mit einem umkehrbaren Algorithmus. Weitere Informationen zum eigentlichen Prozess der Kennworthashsynchronisierung finden Sie unter Detaillierte Beschreibung der Funktionsweise der Kennworthashsynchronisierung.

Implementieren Sie Active Directory-Verbunddienste (AD FS) (AD FS)-Extranet Smart Lockout

Die intelligente Sperre hilft dabei, Angreifer auszusperren, die versuchen, die Kennwörter Ihrer Benutzer zu erraten oder Brute-Force-Methoden zu verwenden, um sich Zugriff zu verschaffen. Smart Lockout kann Anmeldungen gültiger Benutzer erkennen und anders behandeln als Anmeldungen von Angreifern und anderen unbekannten Quellen. Angreifer werden ausgesperrt, während Ihre Benutzer weiterhin auf ihre Konten zugreifen und produktiv arbeiten können. Organisationen, die Anwendungen so konfigurieren, dass sie sich direkt bei Microsoft Entra ID authentifizieren, profitieren von der intelligenten Sperre in Microsoft Entra. Verbundbereitstellungen, die AD FS 2016 und AD FS 2019 verwenden, können ähnliche Vorteile ermöglichen, indem AD FS-Extranetsperrung und SmartNet-Sperrung verwendet werden.

Schritt 2: Verringern Ihrer Angriffsfläche

Angesichts des Ausmaßes an Schaden, den gehackte Kennwörter anrichten, ist es von entscheidender Bedeutung, die Angriffsfläche in Ihrer Organisation so klein wie möglich zu halten. Deaktivieren Sie die Verwendung älterer, weniger sicherer Protokolle, beschränken Sie Die Einstiegspunkte für den Zugriff, wechseln Sie zur Cloudauthentifizierung, üben Sie eine bedeutendere Kontrolle des administrativen Zugriffs auf Ressourcen aus, und nutzen Sie Zero Trust Sicherheitsprinzipien.

Verwenden von Cloudauthentifizierung

Anmeldeinformationen stellen einen primären Angriffsvektor dar. Die Methoden in diesem Artikel können die Angriffsfläche mithilfe der Cloudauthentifizierung, der Bereitstellung von MFA und der Verwendung kennwortloser Authentifizierungsmethoden verringern. Sie können kennwortlose Methoden wie Windows Hello for Business, Telefonanmeldung mit der Microsoft Authenticator App oder FIDO bereitstellen.

Blockieren älterer Authentifizierungsmethoden

Apps, die ihre eigenen Legacymethoden verwenden, um sich mit Microsoft Entra ID zu authentifizieren und auf Unternehmensdaten zuzugreifen, stellen ein weiteres Risiko für Organisationen dar. Beispiele für Apps, die die Legacyauthentifizierung verwenden, sind POP3-, IMAP4- oder SMTP-Clients. Legacyauthentifizierungs-Apps authentifizieren sich im Namen des Benutzers und verhindern, dass Microsoft Entra ID erweiterte Sicherheitsbewertungen durchführen. Die Alternative, die moderne Authentifizierung, wird Ihr Sicherheitsrisiko verringern, da sie die Multifaktor-Authentifizierung und den bedingten Zugriff unterstützt.

Microsoft empfiehlt die folgenden Aktionen:

1. Ermitteln Sie Legacyauthentifizierung in Ihrer Organisation mithilfe von Microsoft Entra-Anmeldeprotokollen und Log Analytics-Arbeitsmappen.
2. Richten Sie SharePoint Online und Exchange Online ein, um moderne Authentifizierung zu verwenden.
3. Wenn Sie über Microsoft Entra ID P1- oder P2-Lizenzen verfügen, verwenden Sie Richtlinien für bedingten Zugriff, um die Legacyauthentifizierung zu blockieren. Für Microsoft Entra ID Free-Tarif verwenden Sie Microsoft Entra-Sicherheitsstandards.
4. Blockieren Sie ältere Authentifizierungsmethoden, wenn Sie AD FS verwenden.
5. Blockieren Sie Legacy-Authentifizierung mithilfe von Exchange Server 2019.
6. Deaktivieren Sie die Legacyauthentifizierung in Exchange Online.

Weitere Informationen finden Sie unter Blockieren von Legacyauthentifizierungsprotokollen in Microsoft Entra ID.

Blockieren von ungültigen Authentifizierungseinstiegspunkten

Wenn Sie das "Verify"-Prinzip explizit verwenden, sollten Sie die Auswirkungen kompromittierter Benutzeranmeldeinformationen verringern, wenn sie auftreten. Berücksichtigen Sie für jede App in Ihrer Umgebung die gültigen Anwendungsfälle: welche Gruppen, welche Netzwerke, welche Geräte und welche anderen Elemente autorisiert sind. Blockieren Sie den Rest. Mithilfe von Microsoft Entra Conditional Access können Sie steuern, wie autorisierte Benutzer auf ihre Apps und Ressourcen zugreifen, basierend auf bestimmten Bedingungen, die Sie definieren.

Weitere Informationen finden Sie unter Cloud-Apps für bedingten Zugriff, Aktionen und Authentifizierungskontext.

Überprüfen und Verwalten von Administratorrollen

Eine weitere Zero Trust Säule erfordert eine Minimierung der Wahrscheinlichkeit, dass ein kompromittiertes Konto mit einer privilegierten Rolle arbeiten kann. Sie können dieses Steuerelement erreichen, indem Sie der Identität die geringste Berechtigung zuweisen. Wenn Sie noch nicht mit Microsoft Entra Rollen vertraut sind, hilft Ihnen dieser Artikel, Microsoft Entra Rollen zu verstehen.

Verwenden Sie reine Cloudkonten für privilegierte Rollen in Microsoft Entra ID, um sie von lokalen Umgebungen zu isolieren. Verwenden Sie keine lokalen Kennworttresore zum Speichern von Anmeldeinformationen.

Implementieren von Privileged Identity Management

Privileged Identity Management (PIM) bietet eine zeitbasierte und genehmigungsbasierte Rollenaktivierung, um die Risiken übermäßiger, unnötiger oder missbrauchter Zugriffsberechtigungen für wichtige Ressourcen zu minimieren. Zu diesen Ressourcen gehören Ressourcen in Microsoft Entra ID, Azure und anderen Microsoft Onlinediensten wie Microsoft 365 oder Microsoft Intune.

Microsoft Entra Privileged Identity Management (PIM) hilft Ihnen, Kontoberechtigungen zu minimieren, indem es Sie dabei unterstützt:

• Identifizieren und verwalten Sie Benutzer, denen Administratorrollen zugewiesen sind.
• Erkennen Sie ungenutzte oder zu weitreichende privilegierte Rollen, die entfernt werden sollten.
• Stellen Sie Regeln fest, um sicherzustellen, dass privilegierte Rollen durch Multifaktor-Authentifizierung geschützt werden.
• Regeln festlegen, um sicherzustellen, dass privilegierte Rollen nur so lange vergeben werden, dass sie die privilegierte Aufgabe erfüllen können.

Aktivieren Sie Microsoft Entra PIM, sehen Sie sich die Benutzer an, denen Verwaltungsrollen zugewiesen sind, und entfernen Sie unnötige Konten in diesen Rollen. Ändern Sie die Berechtigungen für die verbleibenden privilegierten Benutzer von „dauerhaft“ zu „berechtigt“. Schließlich sollten geeignete Richtlinien festgelegt werden, um sicherzustellen, dass Nutzer, wenn sie Zugang zu diesen privilegierten Rollen benötigen, dies sicher mit der notwendigen Änderungskontrolle tun können.

Microsoft Entra eingebaute und benutzerdefinierte Rollen arbeiten mit Konzepten, die den rollenbasierten Zugriffssteuerungssystemen für Azure-Ressourcen (Azure-Rollen) ähneln. Die beiden rollenbasierten Zugriffssteuerungssysteme unterscheiden sich wie folgt:

• Microsoft Entra Rollen steuern den Zugriff auf Microsoft Entra Ressourcen wie Benutzer, Gruppen und Anwendungen mithilfe der Microsoft Graph-API.
• Azure Rollen steuern den Zugriff auf Azure Ressourcen wie virtuelle Computer oder Speicher mithilfe Azure Ressourcenverwaltung.

Beide Systeme enthalten ähnlich verwendete Rollendefinitionen und Rollenzuweisungen. Allerdings sind Microsoft Entra-Rollenberechtigungen in benutzerdefinierten Azure-Rollen nicht verfügbar und umgekehrt. Im Rahmen der Bereitstellung Ihres privilegierten Kontos sollten Sie die Best Practice befolgen und mindestens zwei Notfallkonten erstellen, damit Sie weiterhin Zugriff auf Microsoft Entra ID haben, falls Sie sich aussperren.

Weitere Informationen finden Sie unter Planen einer Privileged Identity Management Bereitstellung und Sichern des privilegierten Zugriffs für Hybrid- und Cloudbereitstellungen in Microsoft Entra ID.

Einschränken von Benutzerzustimmungsvorgängen

Es ist wichtig, die verschiedenen Erfahrungen mit Microsoft Entra-Anwendungseinwilligung, die Arten von Berechtigungen und deren Auswirkungen auf die Sicherheitslage Ihrer Organisation zu verstehen. Während es den Nutzern, selbst zuzustimmen, ihnen ermöglicht, nützliche Anwendungen zu erwerben, die mit Microsoft 365, Azure und anderen Diensten integriert sind, kann dies ein Risiko darstellen, wenn es nicht sorgfältig genutzt und überwacht wird.

Microsoft empfiehlt, die Zustimmung des Benutzers einzuschränken, um die Zustimmung des Endbenutzers nur für Apps von bestätigten Herausgebern und nur für von Ihnen ausgewählte Berechtigungen zuzulassen. Wenn Sie die Zustimmung des Endnutzers einschränken, werden frühere Einwilligungen weiterhin anerkannt, aber Administratoren müssen alle zukünftigen Einwilligungsoperationen durchführen. Für bestimmte Fälle können Benutzer die Administratorzustimmung über einen integrierten Workflow zur Administratorzustimmungsanforderung oder über Ihre eigenen Supportprozesse anfordern. Bevor Sie die Zustimmung des Endbenutzers einschränken, verwenden Sie Microsoft Empfehlungen, um diese Änderung in Ihrer Organisation zu planen. Für Anwendungen, auf die alle Nutzer Zugriff haben sollen, erwägen Sie, im Namen aller Nutzer die Zustimmung zu erteilen, um sicherzustellen, dass Nutzer, die noch nicht individuell zugestimmt haben, auf die App zugreifen können. Wenn Sie nicht möchten, dass diese Anwendungen allen Benutzern in allen Szenarien zur Verfügung stehen, verwenden Sie Application Assignment und Conditional Access, um den Zugriff auf bestimmte Apps einzuschränken.

Stellen Sie sicher, dass Nutzer Administratorgenehmigungen für neue Anwendungen anfordern können, um die Reibung der Nutzer zu verringern, das Support-Volumen zu minimieren und zu verhindern, dass Nutzer sich für Anwendungen anmelden, indem sie keine Microsoft Entra-Zugangsdaten verwenden. Nachdem Sie Ihre Zustimmungsvorgänge reguliert haben, sollten Administratoren App- und Zustimmungsberechtigungen regelmäßig überwachen.

Weitere Informationen finden Sie unter Microsoft Entra-Einwilligungsframework.

Schritt 3: Automatisieren der Reaktionen auf Bedrohungen

Microsoft Entra ID umfasst viele Funktionen, die Angriffe automatisch abfangen und die Latenz zwischen Erkennung und Reaktion verringern. Sie können Kosten und Risiken senken, indem Sie die Zeit verkürzen, die Kriminelle nutzen, um sich in Ihrer IT-Umgebung festzusetzen.

Weitere Informationen finden Sie unter Anleitung: Konfigurieren und Aktivieren von Risikorichtlinien.

Implementieren einer Richtlinie zum Anmelderisiko

Ein Anmelderisiko stellt die Wahrscheinlichkeit dar, dass der Identitätsbesitzer die Authentifizierungsanforderung nicht autorisiert hat. Sie können eine auf Anmelderisiken basierende Richtlinie implementieren, indem Sie Ihrer Richtlinien für bedingten Zugriff eine Anmelderisikobedingung hinzufügen, die das Risikoniveau für einen bestimmten Benutzer oder eine bestimmte Gruppe auswertet. Basierend auf Risikostufen wie "Hoch", "Mittel" oder "Niedrig" kann eine Richtlinie den Zugriff blockieren oder die mehrstufige Authentifizierung erzwingen. Microsoft empfiehlt, die mehrstufige Authentifizierung bei mittleren oder über riskanten Anmeldungen zu erzwingen.

Implementieren einer Benutzerrisiko-Sicherheitsrichtlinie

Das Benutzerrisiko gibt die Wahrscheinlichkeit einer Kompromittierung der Benutzeridentität an, und Der Identitätsschutz berechnet sie basierend auf den Benutzerrisikoerkennungen, die der Identität eines Benutzers zugeordnet sind. Sie können eine risikobasierte Benutzerrichtlinie implementieren, indem Sie Ihren Richtlinien für bedingten Zugriff eine Benutzerrisikobedingung hinzufügen, die das Risikoniveau für einen bestimmten Benutzer auswertet. Basierend auf einem niedrigen, mittleren oder hohen Risikoniveau kann eine Richtlinie den Zugriff blockieren oder eine sichere Kennwortänderung mithilfe der mehrstufigen Authentifizierung erfordern. Microsoft empfiehlt, eine sichere Kennwortänderung für Benutzer mit hohem Risiko zu verlangen.

Die Erkennung von Benutzerrisiken umfasst eine Überprüfung, ob die Anmeldeinformationen des Benutzers mit Anmeldeinformationen übereinstimmen, die von Cyberkriminellen offengelegt wurden. Für eine optimale Funktion ist es wichtig, die Kennworthashsynchronisierung mithilfe von Microsoft Entra Connect Sync zu implementieren.

Integrieren Sie Microsoft Defender XDR mit Microsoft Entra ID Protection

Damit Identitätsschutz die bestmögliche Risikoerkennung durchführt, benötigt er so viele Signale wie möglich. Es ist wichtig, die komplette Suite von Microsoft Defender XDR-Diensten zu integrieren:

• Microsoft Defender für Endpunkt.
• Microsoft Defender für Office 365.
• Microsoft Defender for Identity.
• Microsoft Defender für Cloud-Apps.

Erfahren Sie mehr über Microsoft Defender XDR und die Bedeutung der Integration verschiedener Domänen im folgenden kurzen Video.

Einrichten von Überwachung und Warnung

Überwachen und prüfen Sie Ihre Protokolle, um verdächtiges Verhalten zu erkennen. Das Azure-Portal bietet mehrere Möglichkeiten, Microsoft Entra-Logs mit anderen Tools wie Microsoft Sentinel, Azure Monitor und anderen Sicherheitsinformations- und Ereignismanagement-Tools (SIEM) zu integrieren. Weitere Informationen finden Sie im Microsoft Entra Sicherheitsbetriebshandbuch.

Schritt 4: Verwenden von CloudIntelligenz

Überwachung und Protokollierung sicherheitsrelevanter Ereignisse und zugehöriger Warnungen sind wesentliche Komponenten einer effizienten Schutzstrategie. Sicherheitsprotokolle und Berichte bieten eine elektronische Aufzeichnung verdächtiger Aktivitäten und helfen Ihnen bei der Erkennung von Mustern, die auf versuchte oder erfolgreiche externe Eindringversuche in das Netzwerk und auf interne Angriffe hinweisen können. Sie können im Rahmen der Überwachung entsprechende Benutzeraktivitäten überwachen, die Einhaltung gesetzlicher Bestimmungen dokumentieren, forensische Analysen durchführen und vieles mehr. Warnungen benachrichtigen Sie bei Sicherheitsereignissen. Stellen Sie sicher, dass Sie sowohl für Ihre Anmeldeprotokolle als auch für Ihre Audit-Logs für Microsoft Entra ID eine Protokollaufbewahrungsrichtlinie haben, indem Sie diese in Azure Monitor oder ein SIEM-Tool exportieren.

Microsoft Entra ID überwachen

Microsoft Azure Dienste und Features bieten konfigurierbare Sicherheitsüberwachungs- und Protokollierungsoptionen, um Lücken in Ihren Sicherheitsrichtlinien und -mechanismen zu erkennen und diese Lücken zu beheben, um Verstöße zu verhindern. Verwenden Sie Azure-Protokollierung und -Überwachung und Berichte zur Überwachungsaktivität im Microsoft Entra Admin Center. Weitere Informationen finden Sie im Handbuch zu Microsoft Entra Sicherheitsvorgängen zum Überwachen von Benutzerkonten, privilegierten Konten, Apps und Geräten.

Überwachen Microsoft Entra Connect Health in Hybridumgebungen

Die Überwachung von AD FS mit Microsoft Entra Connect Health verschafft einen besseren Einblick in potenzielle Probleme und die Sichtbarkeit von Angriffen auf Ihre AD FS-Infrastruktur. Zeigen Sie AD FS-Anmeldungen an, um Ihre Überwachung tiefgehender zu gestalten. Microsoft Entra Connect Health liefert Warnungen, die Details, Lösungsschritte und Links zu verwandten Dokumentationen enthalten; Nutzungsanalysen für mehrere Metriken im Zusammenhang mit Authentifizierungsdatenverkehr, Leistungsüberwachung und Berichte. Verwenden Sie die Arbeitsmappe für riskante IP-Adressen für AD FS, um das normale Verhalten in Ihrer Umgebung zu ermitteln und bei Änderungen zu warnen. Überwachen Sie alle Hybridinfrastrukturen als Ressource der Stufe 0. Detaillierte Überwachungsleitfaden für diese Ressourcen finden Sie im Sicherheitsbetriebshandbuch für Infrastruktur.

Überwachen von Microsoft Entra ID Protection Ereignissen

Microsoft Entra ID Protection stellt zwei wichtige Berichte zur täglichen Überwachung bereit:

• Risikoreiche Anmeldemeldungen zeigen Benutzer-Anmeldeaktivitäten auf, die untersucht werden sollen, um festzustellen, ob der rechtmäßige Eigentümer die Anmeldung durchgeführt hat.
• Berichte zu riskanten Benutzern zeigen Benutzerkonten an, die möglicherweise kompromittiert wurden, z. B. wenn geleakte Anmeldeinformationen erkannt werden oder wenn sich der Benutzer von unterschiedlichen Standorten aus anmeldet, was zu einem Ereignis vom Typ „Unmögliche Reise“ führt.

Überwachen von Apps und Berechtigungen, denen zugestimmt wurde

Angreifer können Benutzer dazu verleiten, zu einer kompromittierten Website oder Apps zu navigieren, die Zugriff auf ihre Profilinformationen und Benutzerdaten erhalten, z. B. ihre E-Mail. Ein böswilliger Akteur kann die erteilten Berechtigungen verwenden, die sie erhalten, um Postfachinhalte zu verschlüsseln und ein Lösegeld zum Wiederherstellen Ihrer Postfachdaten zu verlangen. Administratoren sollten die Berechtigungen, die Benutzer gewähren, überprüfen und überwachen. Zusätzlich zur Überwachung der Berechtigungen, die Benutzern gewährt werden, können Sie riskante oder unerwünschte OAuth-Anwendungen in Premiumumgebungen suchen.

Schritt 5: Aktivieren von Self-Service-Funktionen für Endbenutzer*innen

So viel wie möglich möchten Sie sicherheit mit Produktivität ausgleichen. Wenn Sie diesen Weg mit der Einstellung angehen, dass Sie eine Grundlage für die Sicherheit schaffen, können Sie Reibungsverluste in Ihrer Organisation beseitigen, indem Sie Ihre Benutzer befähigen, während Sie gleichzeitig wachsam bleiben und Ihre Betriebskosten senken.

"Selbstbedienungs-Kennwortzurücksetzung implementieren"

Die Self-Service-Kennwortzurücksetzung (SSPR) von Microsoft Entra ID bietet IT-Administratoren eine einfache Möglichkeit, Benutzern das Zurücksetzen oder Entsperren ihrer Kennwörter oder Konten ohne die Hilfe des Helpdesks oder eines Administrators zu ermöglichen. Das System verfügt über eine ausführliche Berichterstellung, die die Kennwortänderungen der Benutzer nachverfolgt, und Benachrichtigungen, um Sie bei missbräuchlicher Nutzung zu informieren.

Implementieren von Self-Service-Gruppen und Anwendungszugriff

Microsoft Entra ID kann Nichtadministratoren ermöglichen, den Zugriff auf Ressourcen mithilfe von Sicherheitsgruppen, Microsoft 365-Gruppen, Anwendungsrollen und Katalogen für Zugriffspakete zu verwalten. Mithilfe der Self-Service-Gruppenverwaltung können Gruppenbesitzer ihre eigenen Gruppen verwalten, ohne ihnen eine administrative Rolle zuzuweisen. Benutzer können auch Microsoft 365 Gruppen erstellen und verwalten, ohne sich auf Administratoren verlassen zu müssen, um ihre Anforderungen zu verarbeiten, und nicht verwendete Gruppen laufen automatisch ab. Die Microsoft Entra-Berechtigungsverwaltung unterstützt außerdem Delegierung und Sichtbarkeit durch umfassende Workflows für Zugriffsanforderungen und einen automatischen Ablauf. Sie können Nichtadministratoren die Möglichkeit übertragen, ihre eigenen Zugriffspakete für Gruppen, Teams, Anwendungen und SharePoint Online-Websites zu konfigurieren, die ihnen gehören. Verwenden Sie benutzerdefinierte Richtlinien dafür, wer den Zugang genehmigt, wie z. B. Mitarbeitermanager und Geschäftspartner-Sponsoren.

Implementieren Microsoft Entra Zugriffsüberprüfungen

Mit Microsoft Entra Zugriffsüberprüfungen können Sie Zugriffspaket- und Gruppenmitgliedschaften, den Zugriff auf Unternehmensanwendungen und privilegierte Rollenzuweisungen verwalten, um sicherzustellen, dass Sie einen Sicherheitsstandard beibehalten. Mit der regelmäßigen Überwachung durch die Benutzer selbst, durch Ressourcenbesitzer und durch andere Prüfer wird sichergestellt, dass Benutzer den Zugriff nicht über längere Zeiträume beibehalten, wenn sie ihn nicht mehr benötigen.

Automatische Benutzerbereitstellung implementieren

Die Bereitstellung und die Aufhebung der Bereitstellung sind die Prozesse, mit denen die Einheitlichkeit (Konsistenz) digitaler Identitäten für mehrere Systeme sichergestellt wird. Diese Prozesse werden häufig im Rahmen des Identity Lifecycle Management genutzt.

Provisioning bezeichnet den Prozess der Erstellung einer Identität in einem Zielsystem auf Grundlage bestimmter Bedingungen. Die Deprovisionierung ist der Vorgang, die Identität aus dem Zielsystem zu entfernen, wenn die Bedingungen nicht mehr erfüllt sind. Die Synchronisierung ist der Prozess, mit dem das bereitgestellte Objekt auf dem neuesten Stand gehalten wird, sodass das Quellobjekt und das Zielobjekt konsistent sind.

Microsoft Entra ID bietet derzeit drei Bereiche der automatisierten Bereitstellung:

• Bereitstellung aus einem externen autoritativen Nicht-Verzeichnissystem (System of Record) in Microsoft Entra ID durch HR-gesteuerte Bereitstellung.
• Bereitstellung von Microsoft Entra ID für Anwendungen über App-Bereitstellung.
• Bereitstellung zwischen Microsoft Entra ID und Active Directory Domain Services durch verzeichnisübergreifende Bereitstellung.

Weitere Informationen finden Sie unter Was ist Provisioning?

Zusammenfassung

Eine sichere Identitätsinfrastruktur hat viele Aspekte, aber diese fünfstufige Checkliste hilft Ihnen, schnell eine sicherere, sicherere Identitätsinfrastruktur zu erreichen:

• Stärken Sie Ihre Qualifikationen.
• Verringern Sie Ihre Angriffsfläche.
• Automatisieren Sie die Reaktion auf Bedrohungen.
• Verwenden Sie CloudIntelligenz.
• Aktivieren Sie den Self-Service des Endbenutzers.

Vielen Dank, dass Sie Sicherheit ernst nehmen. Dieser Artikel kann als nützliche Roadmap für eine sicherere Haltung Ihrer Organisation dienen.

Nächste Schritte

Unterstützung bei der Planung und Bereitstellung der Empfehlungen finden Sie in den Microsoft Entra ID Projektbereitstellungsplänen.

Wenn Sie sicher sind, dass alle diese Schritte abgeschlossen sind, verwenden Sie Microsofts Identity Secure Score, die Sie mit den neuesten bewährten Methoden und Sicherheitsbedrohungen auf dem neuesten Stand hält.